Eine Aufzeichnung, der man nicht vertrauen kann, ist kein Nachweis. Sie kann Aktivitäten zeigen, aber die schwierigeren Fragen nicht beantworten: Stammt diese Aufzeichnung aus dieser Sitzung, wurde sie verändert, wer hat sie angesehen und wurde sie nach den Regeln behandelt? Deshalb bedeutet der Schutz einer Aufzeichnung mehr, als eine Datei abzulegen. Es handelt sich um eine technische Kette, die mit der kontrollierten Erfassung beginnt und sich über Verschlüsselung, Integritätsprüfung, Zugriffsentscheidungen, Aufbewahrung und Prüfverlauf fortsetzt. Dieser Artikel erläutert, wie VaultPAM diese Kette aufbaut, damit eine Aufzeichnung als nachvollziehbarer Nachweis dienen kann, statt als ungeprüftes Artefakt behandelt zu werden.

Sitzungsaufzeichnungen beantworten die Fragen, die nach einem privilegierten Zugriff entscheidend sind: Wer hat sich verbunden, welches Zielsystem wurde erreicht, wann geschah dies und was geschah während der Sitzung? Es geht um Rechenschaftspflicht und Untersuchung, nicht um Überwachung. Wenn ein Sicherheitsvorfall, eine Zugriffsprüfung oder ein Audit eine Frage aufwirft, reicht ein Anmeldeereignis allein selten aus. Die Organisation benötigt eine Aufzeichnung, die sie finden, prüfen und mit der Entscheidung über die Zugriffsgewährung verknüpfen kann.

NIS2 macht privilegierte Zugriffe in der gesamten EU zu einer Frage der Unternehmenssteuerung. Organisationen, die als wesentliche oder wichtige Einrichtungen eingestuft sind, müssen kontrollieren, wer auf kritische Systeme zugreifen kann, wie sich diese Personen authentifizieren, was sie tun können, wie Anmeldeinformationen geschützt werden und welche Nachweise anschließend verfügbar sind. Diese Checkliste setzt die PAM-relevanten Teile von Artikel 21(2) in praktische Maßnahmen um, die Sicherheits-, IT-, Risiko- und Audit-Teams abschließen können, bevor im April 2027 die vollständige Durchsetzung und Verwaltungsbußgelder beginnen.

Wenn Sie in einem mittel- und osteuropäischen Unternehmen für Engineering oder Sicherheit verantwortlich sind, haben Sie dieses Gespräch in den letzten sechs Monaten wahrscheinlich zweimal geführt — einmal von den Juristen („wir brauchen ISO 27001") und einmal von einem potenziellen US-amerikanischen Unternehmenskunden („wir brauchen SOC 2 Type II"). Beide haben recht. Beide haben reale Konsequenzen. Und beide haben Privileged Access Management als grundlegende Anforderung an Kontrollmechanismen. Die Frage lautet: Welches implementieren Sie zuerst, und überschneidet sich die Arbeit?

Die meisten Sicherheitsvorfälle in Unternehmen mit privilegiertem Zugriff haben eine gemeinsame Grundursache: Das kompromittierte Konto hatte Zugriff, den es nicht benötigte, auf Systeme, die es seit Wochen nicht berührt hatte, mit Zugangsdaten, die seit Monaten gültig waren. Der Angreifer hat keine Berechtigungen eskaliert — die Berechtigungen waren bereits vorhanden, dauerhaft, wartend. Das ist das Problem dauerhafter Berechtigungen, und Just-in-Time-Zugriff ist genau dafür konzipiert, diese Lücke zu schließen.

Das polnische Gesetz zur Umsetzung von NIS2 (UKSC — Gesetz über das nationale Cybersicherheitssystem) trat am 3. April 2026 in Kraft. Sie haben bis April 2027 Zeit, die Compliance zu erreichen. Die Nichterfüllung setzt Ihre Organisation Geldstrafen von bis zu 7 Millionen Euro aus — und, was entscheidend ist, der persönlichen Haftung von Führungskräften der obersten Ebene. Das ist kein Problem des Sicherheitsteams. Das ist ein Problem auf Vorstandsebene.

Dieser Leitfaden erklärt alles ohne Umschweife: Hier ist genau das, was NIS2 Art. 21 in Bezug auf privilegierten Zugriff verlangt, und wie jede Anforderung in einen konkreten Implementierungsschritt übersetzt wird.