In meinen Projekten hat kaum ein Feature so schnell für Transparenz gesorgt wie die Berichte zum Permission Creep Index aus Entra Permissions Management. Gerade Unternehmen mit Multi-Cloud-Umgebungen sahen damit oft zum ersten Mal, welche Identitäten in Azure, AWS und GCP tatsächlich welche Rechte besitzen. Jetzt hat Microsoft offiziell angekündigt, Entra Permissions Management zum 1. Oktober 2025 einzustellen. Neukunden können schon ab heute keine Lizenzen mehr erwerben (Quelle). Wer das Tool produktiv einsetzt, muss sich umstellen. Panik ist trotzdem nicht nötig, solange man die nächsten Monate mit Bedacht nutzt.

Bestehende EPM-Tenants laufen noch bis zum 1. Oktober 2025 weiter

Das Aus für Entra Permissions Management (EPM) trifft viele, die sich gerade erst an die regelmäßigen Berechtigungsanalysen und die bequemen Berichte gewöhnt haben. Bestehende Tenants und Reports funktionieren bis zum 1. Oktober 2025 weiter. Support und Feature-Updates enden allerdings zum selben Datum. In etlichen Umgebungen ist EPM inzwischen das Herzstück der Cloud-Berechtigungsanalyse, und ich merke immer wieder, wie schwer sich Teams von den Dashboards trennen. Wer die Reports und die Analysen zum Permission Creep Index auch künftig braucht, sollte sie unbedingt exportieren und dokumentieren. Das betrifft die Management-Berichte genauso wie die technischen Findings.

Praxistipp: Exportiert alle relevanten Findings und Berechtigungsanalysen aus EPM spätestens im August 2025 und legt sie revisionssicher ab. Falls ihr den Permission Creep Index als KPI an das Management berichtet, dokumentiert den bisherigen Verlauf dieser Kennzahl und baut die Methodik für eigene Prüfungen nach.

Defender for Cloud, PIM und Access Reviews decken vor allem Azure ab

Entra Permissions Management verschwindet, im Microsoft-Umfeld bleiben aber einige brauchbare Werkzeuge. Microsoft Defender for Cloud bringt bereits ein umfassendes Cloud Security Posture Management mit (Hintergrund), das gerade bei Azure-Berechtigungen viele EPM-Empfehlungen ersetzt. Dort bekommt man Übersichten über vergebene Berechtigungen und findet zu weit gefasste Rollen ebenso wie inaktive Identitäten. Privilegierte Rollen in Azure lassen sich zusätzlich mit Privileged Identity Management (PIM) und Access Reviews gezielt und in festen Abständen überprüfen. Das gilt allerdings nur für Azure (und Microsoft 365), nicht für AWS oder GCP. Wer ohnehin fast ausschließlich mit Azure arbeitet, kommt damit in vielen Fällen schon aus. Die konkreten CSPM-Empfehlungen findet ihr im Defender-for-Cloud-Portal unter „Cloud Security Posture Management“ → „Berechtigungen“.

Least Privilege braucht feste Prozesse statt eines bestimmten Tools

Vielen hat EPM erst gezeigt, dass jedes Tool wirkungslos bleibt, solange die Prozesse dahinter fehlen. Least Privilege erledigt man nicht einmal und hakt es dann ab. Es ist eine Daueraufgabe, die im Idealfall ohne ein bestimmtes Produkt funktioniert. Wer in Entra ID bereits mit Access Reviews oder PIM arbeitet, behält diese Routinen einfach bei und ergänzt sie um manuelle Prüfungen für die anderen Clouds. Wichtig ist vor allem, dass privilegierte Rechte nur befristet vergeben werden. Jede Zuweisung gehört außerdem dokumentiert und in regelmäßigen Abständen überprüft. Am zuverlässigsten klappt das, wenn die Verantwortlichkeiten klar verteilt sind und der Review-Zyklus feststeht – ob EPM dabei hilft oder nicht, spielt dann kaum noch eine Rolle.

Ich sichere Findings und Reports als CSV oder PDF

Im EPM-Portal lassen sich Reports als CSV oder PDF exportieren. Bei meinen Kunden habe ich die wichtigsten Berichte regelmäßig gesichert, vor allem diese:

  • Verlauf des Permission Creep Index (PCI)
  • Übersicht verwaister Rechte
  • Liste privilegierter Identitäten
  • Änderungsverlauf von Berechtigungen
  • Management-Reports für Audits

Ablegen solltet ihr die Exporte in einer revisionssicheren SharePoint-Bibliothek oder einer vergleichbaren Lösung. Wer die PCI-Kennzahl weiter im Reporting verwenden möchte, dokumentiert am besten die Methodik und bildet sie mit eigenen Skripten nach. Gut geeignet ist etwa eine Kombination aus Azure Resource Graph und PowerShell, mit der sich Berechtigungszuweisungen und Aktivitäten miteinander abgleichen lassen. Eine einfache Abfrage nach privilegierten Rollen in Azure sieht im Azure Resource Graph Explorer zum Beispiel so aus:

Resources
| where type == "microsoft.authorization/roleassignments"
| extend principalType = tostring(properties.principalType), roleDefinitionId = tostring(properties.roleDefinitionId)
| where roleDefinitionId in ("<GUIDs privilegierter Rollen>")

Abbildung: Abfrage privilegierter Rollen mit Azure Resource Graph

Der CIEM-Workflow kommt auch ohne EPM aus

Das folgende Diagramm zeigt, wie der Ablauf von der Zuweisung einer Berechtigung bis zum Review in modernen Azure-Umgebungen auch nach dem Ende von EPM aussehen kann:

flowchart TD
    Zuweisung["Berechtigungs-zuweisung"] --> Review["Regelmäßiger Review (Access Review, PIM)"]
    Review --> Entzug["Entzug unnötiger Rechte"]
    Review --> Verlängerung["Verlängerung bei Bedarf"]
    Entzug --> Audit["Dokumentation/Audit"]
    Verlängerung --> Audit

Abbildung: Berechtigungsmanagement-Prozess nach EPM

Kontinuität entsteht durch Prozesse und nicht durch Tools

Dass Entra Permissions Management eingestellt wird, ist ein Einschnitt, aber kein Anlass zur Panik. Wer Least Privilege und Access Reviews sauber organisiert hat und regelmäßig dokumentiert, verliert wenig. Gerade im Microsoft-Umfeld stehen weiterhin solide Werkzeuge bereit, wenn auch ohne den Komfort für mehrere Clouds. Den eigentlichen Mehrwert hat schon immer der Prozess geliefert und nicht (nur) das Tool. Wer jetzt rechtzeitig seine Berichte sichert und Verantwortlichkeiten eindeutig festlegt, steht auf einem stabilen Fundament, egal wie sich die Tool-Landschaft weiterentwickelt. Mehr zu kontinuierlicher Governance lest ihr auch in meinem Beitrag Workload-Identitäten in Entra ID: Managed Identities, App-Registrierungen und sichere Alternativen.