PowerShell-Automatisierung für Entra PIM: Mark Orrs Tool „Intrepid“ vorgestellt

Von Mirko Peters · 2026-08-13

Willkommen zurück im Blog! Wenn Sie unserer Podcast-Reihe folgen, wissen Sie, dass wir regelmäßig tief in moderne Cloud-Sicherheit, Identitätsarchitektur und Wege eintauchen, wie IT-Administratoren ihre Arbeit erleichtern können, ohne ihre Sicherheitsvorkehrungen zu lockern…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Blog! Wenn Sie unserer Podcast-Reihe folgen, wissen Sie, dass wir uns regelmäßig intensiv mit moderner Cloud-Sicherheit, Identitätsarchitektur und Möglichkeiten befassen, IT-Administratoren das Leben zu erleichtern, ohne die Sicherheitsvorgaben zu lockern. In einer aktuellen Folge haben wir mit dem Microsoft MVP Mark Orr über identitätsbasierte Sicherheit, die Verwaltung privilegierter Berechtigungen und die Grundprinzipien von Zero Trust gesprochen. Falls Sie die Folge noch nicht gehört haben, sehen Sie sich unbedingt die komplette Diskussion auf der Episodenseite ENTRA PIM EXPLAINED: Securing Privileged Access with Mark Orr [MVP] an.

Eines der spannendsten Themen in diesem Gespräch waren die Hürden, die modernes Privileged Identity Management (PIM) zwangsläufig mit sich bringt. Just-in-Time-(JIT-)Zugriff ist für jede Sicherheitsstrategie in Unternehmen ein absolutes Muss, doch das tägliche Ritual, sich durch Webportale zu klicken, um mehrere Rollen zu aktivieren, kann Administratoren zur Verzweiflung bringen. Um genau dieses Problem zu lösen, hat Mark ein eigenes PowerShell-Hilfsprogramm namens Intrepid entwickelt. In diesem Beitrag vertiefen wir die Themen aus der Folge: Wir erläutern die Sicherheitsrisiken dauerhaft zugewiesener Berechtigungen, zeigen, wie Intrepid die Massenaktivierung von PIM-Rollen vereinfacht, und erklären, wie Sie strenge Sicherheitsrichtlinien einhalten und gleichzeitig unnötige administrative Reibungsverluste beseitigen.

Einführung: Reibungsverluste beim privilegierten Zugriff in Microsoft Entra PIM

Microsoft Entra Privileged Identity Management hat grundlegend verändert, wie Organisationen administrative Berechtigungen verwalten. Vorbei sind die Zeiten, in denen ein IT-Profi acht bis zehn Stunden am Tag dauerhaft ein Global-Administrator- oder Exchange-Administrator-Konto besaß. Stattdessen setzt PIM das Prinzip der minimalen Berechtigungen durch, indem Benutzer berechtigte (eligible) Rollenzuweisungen erhalten statt aktiver. Muss eine administrative Aufgabe erledigt werden, beantragt der Benutzer die Aktivierung, gibt eine Begründung an und besteht – sofern konfiguriert – die Multi-Faktor-Authentifizierung oder einen Genehmigungsworkflow.

Diese deutliche Verbesserung der Sicherheit hat allerdings einen spürbaren Nachteil: administrative Reibungsverluste. In einer komplexen Unternehmensumgebung muss ein Ingenieur unter Umständen drei oder vier verschiedene Rollen aktivieren, nur um eine mehrschichtige Bereitstellung zu analysieren oder ein routinemäßiges Wartungsfenster abzuarbeiten. Das Entra Admin Center öffnen, jede Rolle einzeln suchen, auf „Aktivieren“ klicken, eine Begründung eingeben und für jede einzelne Rolle die Authentifizierungsabfragen durchlaufen – das wird sehr schnell mühsam. Wenn Sicherheitskontrollen täglich so viel Reibung erzeugen, setzt sich die menschliche Natur durch, und Administratoren suchen nach Umgehungslösungen. Genau diese Reibung führt zu unsicherem Verhalten, etwa dazu, dass Rollen weit länger aktiv bleiben als nötig, oder dass bei der Geschäftsleitung dauerhafte Rollenzuweisungen eingefordert werden.

Das Sicherheitsrisiko dauerhaft aktivierter Rollen

Um zu verstehen, warum Werkzeuge wie Intrepid so wichtig sind, müssen wir zurückblicken, warum dauerhafte Rollenzuweisungen in der modernen Cybersicherheit ein so gefährliches Anti-Pattern sind. Wie Mark Orr in unserem Podcast betonte, ist Identität der neue Sicherheitsperimeter. Angreifer verschwenden keine Zeit mehr damit, schwere Perimeter-Firewalls zu knacken, wenn sie einfach einen Mitarbeiter per Phishing ins Visier nehmen oder kompromittierte Zugangsdaten im Darknet kaufen können.

Nutzt ein Administrator ein Konto mit dauerhaft aktiven, permanenten Berechtigungen – besonders wenn dasselbe Konto auch für alltägliche Aufgaben wie E-Mails oder das Öffnen von Weblinks genutzt wird –, übergibt ein erfolgreicher Phishing-Angriff einem Angreifer sofort die Schlüssel zum Königreich. Mit einem dauerhaft aktiven Global-Administrator-Konto kann ein Angreifer unbemerkt zusätzliche Hintertür-Konten anlegen, Conditional-Access-Richtlinien ändern, sensible Daten abgreifen und Ransomware im gesamten Mandanten verteilen.

Privileged Identity Management verringert dieses Risiko, indem Konten nur dann privilegiert sind, wenn ein ausdrücklicher, zeitlich begrenzter Bedarf besteht. Es reicht jedoch nicht aus, PIM nur zu aktivieren, wenn Administratoren ihre Rollen aus Bequemlichkeit den ganzen Tag über aktiv lassen. Bewährte Verfahren sehen vor, erhöhte Sitzungen strikt zu begrenzen, idealerweise auf vier Stunden oder weniger, und sie zu deaktivieren, sobald die Aufgabe abgeschlossen ist. Um die Lücke zwischen dem Sicherheitsanspruch der JIT-Administration und dem betrieblichen Bedarf an Effizienz zu schließen, braucht es intelligente Automatisierung.

Intrepid vorgestellt: Das PowerShell-Tool für die Massenaktivierung von PIM-Rollen

Mark Orr hat „Intrepid“ entwickelt, ein Open-Source-PowerShell-Tool, das die Massenaktivierung von Microsoft Entra PIM-Rollen vereinfacht und automatisiert. Der Aufwand durch wiederholte PIM-Aktivierungen ist groß. Administratoren müssen sich nicht jeden Morgen oder bei jedem Wartungsfenster durch mehrere grafische Weboberflächen klicken. Stattdessen können berechtigte Ingenieure mit Intrepid ihre Erhöhungsabläufe skripten und straffen.

Intrepid verbindet die Möglichkeiten von PowerShell mit den Endpunkten der Microsoft Graph API, die die PIM-Rollenverwaltung steuern. Wenn Sie in einer Konfiguration oder einer Skriptausführung eine Zielgruppe an Rollen festlegen, können Sie Anfragen für mehrere Rollen gleichzeitig auslösen. Das Tool übernimmt die Orchestrierung im Hintergrund: Es übermittelt die erforderlichen Begründungen, verfolgt den Aktivierungsstatus und stellt sicher, dass die Anfragen innerhalb der Grenzen bleiben, die in Ihrem Microsoft Entra-Mandanten festgelegt sind.

Damit wird eine mühsame, mehrstufige manuelle Routinearbeit zu einer einzigen, schlanken Ausführung. Ein Ingenieur setzt sich an seinen gesicherten Arbeitsplatz, startet sein individuell angepasstes Intrepid-Skript und fordert effizient alle Rollen an, die er für seine Schicht oder sein Projekt benötigt, ohne den Fokus zu verlieren oder wertvolle Zeit in Webmenüs zu verschwenden.

Wie Intrepid den bedingten Zugriff und Authentifizierungskontexte berücksichtigt

Sicherheitsarchitekten haben oft eine Sorge, sobald sie von automatisierten Tools für die Rechteerweiterung hören: Umgehen Automatisierungen die Sicherheitskontrollen? Wenn ein Skript still und leise administrative Rollen anfordern kann, könnte es dann auch die Multi-Faktor-Authentifizierung, vertrauenswürdige Standorte oder Gerätekonformitätsprüfungen umgehen?

Das Besondere an Intrepid ist, dass es nach sicherheitsorientierten Prinzipien entwickelt wurde. Das Tool umgeht die Richtlinien des bedingten Zugriffs in Microsoft Entra nicht, sondern berücksichtigt sie vollständig. Wenn ein Intrepid-Skript eine PIM-Rollenaktivierung startet, bewertet Microsoft Entra die Anfrage anhand aller aktiven Richtlinien für den bedingten Zugriff, die auf den Benutzer und die Rolle zutreffen. Verlangt eine bestimmte Rolle phishingresistente Anmeldeinformationen, ein konformes Gerät oder einen bestimmten Authentifizierungskontext, setzt das Automatisierungsframework diese Anforderungen durch.

Wenn während der Aktivierung eine Authentifizierungsabfrage oder eine interaktive Eingabeaufforderung erforderlich ist, um eine Richtlinie des bedingten Zugriffs zu erfüllen, pausiert der Ablauf oder fordert entsprechend zur Eingabe auf, damit die Compliance gewahrt bleibt. Organisationen müssen so weder auf Governance, Überwachung noch Richtliniendurchsetzung verzichten, nur um die Effizienz der Administration zu steigern. Sie erhalten die Geschwindigkeit der Automatisierung und behalten zugleich die volle Integrität Ihrer bestehenden Zero-Trust-Architektur.

Just-In-Time-Administration straffen, ohne die Sicherheit zu gefährden

Bei der Einführung von Automatisierung in Unternehmensumgebungen ist das richtige Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit immer die eigentliche Herausforderung. Zu viel Sicherheit führt zu Shadow IT und frustrierten Anwendern, die sich eigene Umgehungslösungen suchen. Zu viel Komfort führt zu Sicherheitsverletzungen und kompromittierter Infrastruktur.

Tools wie Intrepid zeigen, dass administrative Effizienz und eine strikte Sicherheitslage sich nicht ausschließen. Indem Intrepid die Reibungspunkte der Just-In-Time-Administration beseitigt, ermutigt es Administratoren, PIM tatsächlich so zu nutzen, wie es gedacht ist. Wenn die Aktivierung von drei oder vier Rollen per Skript zwei Klicks statt fünf Minuten manueller Navigation im Webportal kostet, deaktivieren Administratoren diese Rollen nach Abschluss ihrer Aufgaben deutlich bereitwilliger.

Darüber hinaus ermöglicht die skriptgestützte Rollenaktivierung Unternehmen, ihre Begründungstexte zu vereinheitlichen, die Transparenz bei der Überwachung zu verbessern und über alle Engineering-Teams hinweg konsistent zu arbeiten. Anstelle unterschiedlicher, manuell eingegebener Begründungen verschiedener Administratoren können automatisierte Skripte standardisierte Ticketnummern, Change-Request-IDs oder Wartungsfenster direkt im PIM-Überwachungsprotokoll erfassen.

Best Practices für die Verwaltung privilegierter Rollen im Unternehmen

Wenn Sie Tools wie Intrepid in Ihre eigene Unternehmensumgebung integrieren möchten, lohnt sich ein Blick auf allgemeinere Best Practices für das Management privilegierter Identitäten, damit Ihre Architektur auch gegen moderne Bedrohungen widerstandsfähig bleibt:

• Administrative Identitäten isolieren: Verwenden Sie niemals ein tägliches Produktivitätskonto für administrative Aufgaben. Privilegierte Konten sollten reine Cloud-Identitäten sein, denen keine Exchange-Postfächer, Teams-Lizenzen oder standardmäßigen Benutzerworkloads zugeordnet sind.
• Phishing-resistente Authentifizierung erzwingen: Verlangen Sie für alle privilegierten Konten Hardware-Sicherheitsschlüssel, Windows Hello for Business oder Passkeys. Starke Authentifizierung bleibt Ihre beste Verteidigung gegen den Diebstahl von Anmeldeinformationen.
• Aktivierungszeiträume kurz halten: Ermutigen Sie Ihre Engineering-Teams, die Dauer von Rollenaktivierungen zu begrenzen. Vier Stunden reichen für die meisten operativen Aufgaben in der Regel völlig aus. Wird mehr Zeit benötigt, sollte eine neue Anforderung gestellt werden.
• Bedingten Zugriff und Intune-Compliance nutzen: Stellen Sie sicher, dass administrativer Zugriff nur gewährt wird, wenn sowohl die Benutzeridentität als auch das Gerät die strengen Compliance- und Integritätsrichtlinien erfüllen, die über Microsoft Intune verwaltet werden.
• Automatisierung mit Bedacht einsetzen: Nutzen Sie Community-Tools und eigene PowerShell-Skripte wie Mark Orr's Intrepid, um den administrativen Aufwand zu verringern. Prüfen Sie Ihre Skripte aber stets, damit sie die Governance und die Richtlinienrahmen Ihrer Organisation einhalten.

Letztlich ist die Absicherung einer Cloud-Umgebung im Unternehmen eine fortlaufende Reise und kein Häkchen auf einer Checkliste, das man irgendwann abhakt. Mit zunehmend raffinierteren Bedrohungsakteuren müssen sich auch unsere administrativen Prozesse weiterentwickeln. Indem Sie robuste Werkzeuge wie Entra PIM, phishing-resistente Anmeldeinformationen, Endgeräte-Compliance und clevere Automatisierungstools wie Intrepid kombinieren, können Sicherheitsteams ihre Infrastruktur schützen und ihre Ingenieure zugleich befähigen, schneller und sicherer zu arbeiten.

Weitere Einblicke von Mark Orr zu militärisch disziplinierter IT, Strategien für passwortlose Authentifizierung und der sich wandelnden Microsoft-Sicherheitslandschaft erhalten Sie im vollständigen Gespräch in der Podcast-Episode ENTRA PIM EXPLAINED: Securing Privileged Access with Mark Orr [MVP]. Vielen Dank fürs Lesen, und bleiben Sie sicher!