MSP-FAQ: Zugriffsverwaltung über Mandanten hinweg ohne God-Admin

Ein häufiger Fehlermodus im MSP-Betrieb ist ein Techniker- oder Automatisierungskonto mit dauerhaften Administratorrechten über alle Kundenmandanten hinweg – ein „God-Admin", der aus einer kompromittierten Zugangsberechtigung einen Sicherheitsvorfall für den gesamten Kundenstamm macht. Microsofts Modell der Granular Delegated Admin Privileges (GDAP), entwickelt für das eigene Partner-Ökosystem, veranschaulicht die Alternative.

Was GDAP ändert

Vor GDAP konnten die Admin-Agenten eines Partners unbegrenzt eine Global-Administrator-Rolle im Mandanten eines Kunden übernehmen. GDAP ersetzt dies durch Zugriff, der sowohl granulär – auf bestimmte administrative Rollen begrenzt – als auch zeitgebunden ist, und es verlangt, dass der Kunde diesen Zugriff ausdrücklich gewährt, statt ihn automatisch zu erben. Microsofts eigene Rollenleitlinien gehen noch weiter und ordnen jeder administrativen Aufgabe die Built-in-Rolle mit den geringsten Berechtigungen zu, die sie ausführen kann, statt standardmäßig eine umfassende Admin-Rolle zu verwenden, weil es bequem ist.

Übertragung des Modells über Microsoft 365 hinaus

Das GDAP-Muster lässt sich auf jeden SaaS-Stack verallgemeinern, den ein MSP im Auftrag eines Kunden verwaltet: Jeder Kundenmandant sollte eine eigene Governance-Grenze sein, Techniker- und Automatisierungsidentitäten sollten getrennt sein, und erhöhte Zugriffsrechte sollten ablaufen statt dauerhaft bestehen. Ein MSP-Forenthread der Non-Human Identity Management Group benennt das zugrunde liegende Risiko unmissverständlich: Schwache Mandantenisolation macht aus betrieblicher Bequemlichkeit ein gemeinsames Risiko für alle Kunden auf der Plattform.

Eine praktische Checkliste

• Kein dauerhafter Global-Administrator oder eine gleichwertige Rolle über alle Kundenmandanten hinweg.
• Partner-/Technikerrollen pro Kunde eingrenzen und nach einem festen Zeitplan überprüfen.
• Einen separaten Break-Glass-Pfad mit zeitgebundener Rechteerweiterung vorhalten, der an ein Ticket gebunden ist.
• Der Automatisierung eine eigene Identität mit minimalen Berechtigungen geben, getrennt von jeder Technikeridentität.
• Mandantenbezogene Auditprotokolle aufbewahren, die nach Kunden durchsuchbar sind.

Die Lehre reicht über Microsoft 365 hinaus: Welche Plattform ein MSP auch nutzt, um Kundenmandanten zu erreichen, Zugriff sollte eingegrenzt, zeitgebunden und kundenspezifisch sein – nicht eine einzige Admin-Identität, die jede Tür öffnet.

Quellen: Microsoft Learn — Introduction to GDAP, Non-Human Identity Management Group — multi-tenant SaaS management for MSPs.