Bastion-Host: Definition und souveränes PAM

Die Zugangs-Bastion (PAM) verstehen, wofür sie dient und wie man sie ohne schwere Infrastruktur einführt

Ein Bastion-Host ist ein einziger, kontrollierter Zugangspunkt, über den jede administrative Verbindung zu Ihren Servern und Geräten läuft. Er authentifiziert Benutzer, setzt Zugriffsrichtlinien durch, zeichnet Sitzungen auf und erzeugt einen lückenlosen Audit-Trail. Im französischen Markt ist Bastion die gängige Bezeichnung für das, was englischsprachige Anbieter PAM (Privileged Access Management) nennen.

Was ist ein Bastion-Host?

Ein Bastion-Host (auch Zugangs-Bastion, Administrations-Bastion oder Jump-Server genannt) ist die einzige Tür, durch die die privilegierten Verbindungen eines Unternehmens laufen. Statt SSH-, RDP- oder VNC-Zugriff direkt auf jedem Rechner zu öffnen, stellen Sie einen einzigen gehärteten, überwachten Zugangspunkt bereit.

Ohne Bastion zersplittert der administrative Zugriff: ein VPN-Konto für den Managed-Service-Provider, ein Admin-Passwort, das sich drei Personen teilen, ein RDP-Port, der für einen einzigen Auftrag geöffnet und nie wieder geschlossen wurde. Jedes davon schafft einen Zugang, dessen Umfang, Lebensdauer und tatsächliche Nutzung niemand mehr nachverfolgt. Genau das zu beseitigen, ist die Aufgabe von Privileged Access Management (PAM).

Eine Bastion ist weder Firewall noch VPN. Die Firewall entscheidet, welcher Netzwerkverkehr passieren darf; das VPN verbindet einen entfernten Rechner mit dem internen Netzwerk; die Bastion regelt, wer mit welchen Rechten auf welchen Rechner zugreift und was dort geschehen ist. Sie ergänzt die beiden anderen, statt sie zu ersetzen.

Wie funktioniert ein Bastion-Host?

Jede administrative Sitzung folgt demselben Weg, unabhängig vom Protokoll: SSH, RDP oder VNC.

Schritt 1

Starke Authentifizierung

Der Administrator oder externe Dienstleister authentifiziert sich zuerst an der Bastion, mit Multi-Faktor-Authentifizierung. Ein direkter Zugriff auf den Zielrechner ist nicht möglich: Die Bastion ist die einzige Tür.

Schritt 2

Autorisierung und minimale Rechte

Die Bastion prüft die Rechte des Benutzers: welche Ziele, welche Protokolle, in welchem Zeitfenster. Jeder erhält genau den Zugriff, den seine Aufgabe erfordert, und nicht mehr.

Schritt 3

Einspeisung von Zugangsdaten

Die Bastion öffnet die Sitzung zum Ziel, indem sie Zugangsdaten aus einem Tresor einspeist. Das Passwort des privilegierten Kontos wird nie angezeigt, nie an den Benutzer weitergegeben und nie auf dessen Rechner gespeichert.

Schritt 4

Aufzeichnung und Audit

Die Sitzung wird von Anfang bis Ende aufgezeichnet. Sie erhalten einen Audit-Trail, den Sie bei einem Vorfall oder einer Prüfung tatsächlich nutzen können: wer sich wann mit welchem Rechner verbunden hat und was dort getan wurde.

Wofür dient ein Bastion-Host?

Die sechs Situationen, die in KMU und mittelständischen Unternehmen am häufigsten zur Einführung einer Bastion führen

Zugriff externer Dienstleister

Managed-Service-Provider, Softwareanbieter, Wartungsfirmen: Gewähren Sie zeitlich befristeten, aufgezeichneten und sofort widerrufbaren Zugriff, ohne VPN-Konten oder geteilte Passwörter herauszugeben.

Privilegierte Konten

Administratorkonten, Root-Konten, Dienstkonten: Bündeln Sie deren Nutzung hinter einem zentralen Kontrollpunkt, statt sie zwischen Teams zirkulieren zu lassen.

Nachvollziehbarkeit von Sitzungen

Aufzeichnung von RDP-, SSH- und VNC-Sitzungen: Sie wissen genau, was auf Ihren kritischen Systemen getan wurde, und können es erneut abspielen.

NIS2-Compliance

Artikel 21 der NIS2-Richtlinie verlangt die Kontrolle privilegierter Zugriffe und deren Nachvollziehbarkeit. Eine Bastion ist die direkteste Antwort auf diese Anforderung.

Cyber-Versicherung

Versicherer machen Versicherungsschutz und dessen Preis zunehmend davon abhängig, dass eine Kontrolle des administrativen Zugriffs und ein Audit-Trail vorhanden sind.

Ausscheidende und Rollenwechsel

Zugriff mit einer einzigen Aktion entziehen, ohne Passwörter auf jedem Rechner ändern zu müssen, den diese Person erreichen konnte.

Klassische Bastion oder Bastion der nächsten Generation?

Der Bedarf hat sich nicht geändert. Die Einstiegskosten sind stark gesunken.

Die klassische Bastion

  • Ein dedizierter Server, der installiert, dimensioniert und gewartet werden muss
  • Ein Thick Client oder Plugin, das auf jedem Arbeitsplatz ausgerollt werden muss
  • Portfreigaben und Firewall-Regeln, die ausgehandelt werden müssen
  • Ein mehrwöchiges Integrationsprojekt, meist mit einem Systemintegrator
  • Lizenzierung, die auf Großunternehmen zugeschnitten ist

Die Heimlane-Realm-Bastion

  • Zugriff im Browser, keine Client-Software, kein Plugin
  • Kein Jump-Server, der exponiert wird, keine eingehende Firewall-Regel
  • SSH, RDP und VNC über dieselbe Oberfläche
  • Zugangsdaten werden aus Vault eingespeist und sind für den Benutzer nie sichtbar
  • Preise und Einführung auf KMU und mittelständische Unternehmen zugeschnitten

Warum eine souveräne Bastion wählen?

Von Natur aus bündelt eine Bastion das Sensibelste, was ein Unternehmen besitzt: administrative Zugangsdaten, die Karte seiner kritischen Rechner und die Aufzeichnung von allem, was auf ihnen geschieht. Deshalb wiegen Fragen von Hosting und Rechtsraum hier schwerer als fast überall sonst.

Heimlane ist ein europäischer Anbieter. Realm wird in Frankreich und Deutschland bei europäischen Hosting-Anbietern gehostet. Sitzungsaufzeichnungen und Zugriffsprotokolle verlassen die Europäische Union nicht und unterliegen keiner extraterritorialen Gesetzgebung wie dem US-amerikanischen CLOUD Act.

Das beantwortet eine Anforderung, die in Ausschreibungen und Versicherungsfragebögen immer häufiger auftaucht: einen Anbieter, einen Rechtsraum und einen Hosting-Standort nennen zu können, ohne undurchsichtige Subunternehmerkette.

Heimlane Realm, der Bastion-Host in der Prism-Plattform

Der Tresor verwahrt die Geheimnisse, die Bastion kontrolliert und zeichnet ihre Nutzung auf. Die beiden Produkte arbeiten zusammen.

Heimlane Realm

Realm

Der Bastion-Host (PAM)

  • SSH-, RDP- und VNC-Bastion im Browser
  • Vollständige Sitzungsaufzeichnung
  • Einspeisung von Zugangsdaten, ohne sie je offenzulegen
  • Rollenbasierte Berechtigungen und Audit-Trail
Mehr erfahren
Heimlane Vault

Vault

Der Passwort-Tresor

  • Verschlüsselte Speicherung privilegierter Konten
  • Zero-Knowledge-Verschlüsselung
  • Teilen im Team und geteilte Tresore
  • Gehostet in Frankreich und Deutschland
Mehr erfahren

Häufig gestellte Fragen zu Bastion-Hosts

Was ist der Unterschied zwischen einer Bastion und einem VPN?
Ein VPN bindet Sie ins Netzwerk ein: Sobald Sie verbunden sind, erreichen Sie alles, was dieses Netzwerk bereitstellt. Eine Bastion gibt Ihnen Zugriff auf einen bestimmten Rechner, für ein bestimmtes Protokoll, für einen bestimmten Zeitraum, und zeichnet die Sitzung auf. Beide erfüllen unterschiedliche Aufgaben, und eine Bastion bleibt auch hinter einem VPN wertvoll.
Bastion, PAM, Jump-Server: Ist das dasselbe?
Die Begriffe überschneiden sich stark. Ein Jump-Server ist die einfachste Form: ein Zwischenrechner, über den man geht. Eine Bastion ergänzt starke Authentifizierung, Zugriffsrichtlinien, Sitzungsaufzeichnung und Audit. PAM (Privileged Access Management) bezeichnet die gesamte Disziplin, deren zentraler Baustein die Bastion ist. In Frankreich werden bastion d'accès und bastion d'administration synonym verwendet.
Ist eine Bastion für die NIS2-Compliance Pflicht?
Die NIS2-Richtlinie nennt kein Produkt. Ihr Artikel 21 verlangt jedoch die Kontrolle privilegierter Zugriffe, Nachvollziehbarkeit und Multi-Faktor-Authentifizierung für sensible Konten. In der Praxis ist eine Bastion der direkteste Weg, diese Maßnahmen bei einem Audit nachzuweisen.
Braucht ein kleines Unternehmen wirklich eine Bastion?
Sobald ein externer Dienstleister auf Ihren Servern arbeitet oder mehrere Personen ein Administratorkonto teilen, stellt sich die Frage. Genau diese beiden Szenarien stehen hinter einem großen Teil der Vorfälle. Das historische Hindernis waren die Kosten einer Enterprise-Bastion, nicht die Berechtigung des Bedarfs.
Müssen Benutzer Software installieren?
Nicht mit Heimlane Realm. SSH-, RDP- und VNC-Sitzungen öffnen sich direkt im Browser. Es gibt keinen Thick Client auszurollen, kein Plugin und keine VPN-Konfiguration auf dem Rechner des Dienstleisters.
Wo werden die Bastion-Daten gehostet?
In Frankreich und Deutschland, bei europäischen Hosting-Anbietern. Sitzungsaufzeichnungen und Zugriffsprotokolle bleiben innerhalb der Europäischen Union und unterliegen keiner extraterritorialen Gesetzgebung wie dem US-amerikanischen CLOUD Act.
Was kostet eine Bastion?
Das hängt vor allem davon ab, wie die Bastion bereitgestellt wird. Eine Bastion auf Ihrer eigenen Infrastruktur bringt meist Lizenzen, Server oder Appliances, ein Integrationsprojekt und laufende Wartung mit sich. Eine browserbasierte Bastion wie Heimlane Realm ist dagegen ein Abonnement: Abrechnung pro Nutzer und Monat, ohne Plattformgebühr, ohne Hardware-Kauf und ohne Mindestabnahme für MSPs, und die erste aufgezeichnete Sitzung läuft binnen Minuten.

Einen modernen Bastion-Host in Aktion erleben

Fünfzehn Minuten genügen, um aus einem gewöhnlichen Browser eine aufgezeichnete RDP-Sitzung zu öffnen. Fragen Sie eine Realm-Demo an.

Demo / Angebot anfragen Vertrieb kontaktieren Mehr erfahren

Abrechnung pro Nutzer. Keine Plattformgebühr, keine Mindestabnahme für MSPs.