# Eine stehende Rolle auf Aktivierung umstellen
Typ: Checkliste
Herkunft: microsoft-entra-m365 / privileged-access-strategy / microsoft-entra-pim-rollout-sequence
Version: microsoft-entra-pim-rollout-sequence-2026-09-13
Geprüft: 2026-09-13

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Vier Personen tragen dauerhaft eine privilegierte Rolle und brauchen sie etwa zweimal im Monat. Der Vorschlag lautet, die Zuweisungen auf berechtigt umzustellen und bei der Aktivierung eine Prüfung zu verlangen.

## Schritte
1. Prüfen, ob eine kleinere Rolle oder ein Geltungsbereich die Aufgabe ebenfalls abdeckt
2. Sicherstellen, dass die Notfallzugangskonten dauerhaft zugewiesen bleiben und ausgenommen sind
3. Die Zuweisungen auf berechtigt umstellen und die Höchstdauer an der Aufgabe ausrichten
4. Authentifizierungskontext einrichten und die Zugriffsregel auf die Berechtigten zuschneiden, nicht auf die Rolle
5. Eine zweite Regel auf die Rolle selbst anlegen, damit auch die Nutzung nach der Aktivierung abgedeckt ist
6. Eine Aktivierung testweise durchführen und prüfen, dass die Aufforderung tatsächlich erscheint

## Begründung
Warum: Bei jeder Verschärfung privilegierter Rechte wird der Rettungsweg vor der Maßnahme gesichert, nicht danach. Und weil die Aktivierungsprüfung stillschweigend ausbleiben kann, gehört ein Test ans Ende — geprüft wird das Ergebnis, nicht die Einstellung.
Folgen: **+** Am Ende ist belegt, dass die Prüfung stattfindet und dass ein Weg zurück besteht. **−** Die Umstellung berührt vier Konfigurationen an drei Orten; jede spätere Änderung an einer davon kann die Wirkung aufheben, ohne dass eine Fehlermeldung darauf hinweist.

## Quellen
1. https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-how-to-change-default-settings
2. https://learn.microsoft.com/en-us/entra/identity/users/directory-emergency-access
3. https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure