Was ist Just-in-Time-Zugriff (JIT), und wie passen Break-Glass-Konten dazu?
Kurzantwort
Just-in-Time-Zugriff gewährt erhöhte Privilegien nur bei Bedarf, für begrenzte Zeit, meist mit Genehmigung — danach laufen sie automatisch ab, sodass es kein dauerhaftes Privileg zu stehlen gibt. Break-Glass-Konten sind die bewusste Ausnahme: hochprivilegierte Notfallkonten, normalerweise ruhend, hinter strengen Kontrollen und starken Alarmen verriegelt, die nur genutzt werden, wenn die normalen Zugriffswege versagen. JIT verkleinert die alltägliche Angriffsfläche; Break-Glass garantiert, dass man in einer Krise dennoch hineinkommt.
Das am billigsten zu stehlende Privileg ist eines, das immer da ist. Just-in-Time-Zugriff (JIT) geht das an, indem die Erhöhung temporär wird, und Break-Glass-Konten decken den Sonderfall ab, in dem die Automatisierung selbst versagt.
Just-in-Time-Zugriff
Statt dauerhaft Administratorrechte zu halten, fordert ein Benutzer die Erhöhung an, wenn er sie braucht. Die Anfrage wird genehmigt (durch eine Person oder Richtlinie), für ein begrenztes Zeitfenster gewährt und dann nach Ablauf der Zeit automatisch widerrufen. Das Privileg ist zudem typischerweise auf eine bestimmte Rolle oder Ressource beschränkt.
Der Gewinn ist die Beseitigung des dauerhaften Privilegs. Wenn Konten erhöhte Rechte nur für die Minuten halten, in denen sie tatsächlich genutzt werden, landet eine per Phishing übernommene Sitzung oder ein gestohlenes Token meist auf einem Konto mit nichts Zusätzlichem zum Greifen. Es schafft außerdem einen sauberen Prüfpfad: Jede Erhöhung ist ein protokolliertes, begründetes, genehmigtes Ereignis.
Break-Glass-Konten
JIT und SSO-/IdP-gesteuerter Zugriff können selbst ausfallen — der IdP ist offline, das PAM-Werkzeug nicht verfügbar, eine Fehlkonfiguration sperrt alle aus. Break-Glass-Konten sind die bewusste Notausgangsklappe: eine kleine Zahl hochprivilegierter Notfallkonten, die die normale Zugriffsmaschinerie umgehen.
Weil sie so mächtig sind, müssen sie von strengen Kontrollen umgeben sein:
- Offline / in einem versiegelten Tresor gespeichert, mit sehr langen, einmaligen Anmeldedaten und idealerweise phishing-resistenter MFA.
- Von den Richtlinien für bedingten Zugriff ausgenommen, die sie aussperren könnten (das ist der Sinn) — aber stark kompensiert durch Überwachung.
- Alarme hoher Schwere bei jeder Nutzung — jede Anmeldung sollte sofort jemanden alarmieren und eine Überprüfung auslösen.
- Regelmäßig getestet, damit Sie wissen, dass sie funktionieren, bevor der echte Notfall eintritt.
Wie sie zusammenpassen
JIT minimiert das alltägliche Privileg; Break-Glass garantiert die Wiederherstellbarkeit, wenn das System, das JIT gewährt, selbst nicht verfügbar ist. Das eine reduziert das Routinerisiko, das andere verhindert eine selbstverschuldete Aussperrung.
Worauf Interviewer achten: Sie fassen JIT als Beseitigung des dauerhaften Privilegs durch zeitlich begrenzte, genehmigte Erhöhung auf, und beschreiben Break-Glass als streng kontrollierte, stark alarmierte Notfallausnahme — nicht bloß als „ein Ersatz-Administrator-Login".
Wahrscheinliche Anschlussfragen
- Warum ist dauerhaftes Privileg riskanter als eine zeitlich begrenzte Erhöhung?
- Welche Kontrollen sollten ein Break-Glass-Konto umgeben?
- Wie stellen Sie sicher, dass die Nutzung eines Break-Glass-Kontos nie unbemerkt bleibt?