Was ist Privileged Remote Access (PRA)?
Privileged Remote Access (PRA) ist ein clientloser Zugangsdienst von Zscaler Private Access, über den Nutzer per Browser auf interne Systeme wie Server, Jump-Hosts oder Desktops zugreifen. Unterstützt werden die Protokolle RDP, SSH sowie VNC und RealVNC, ganz ohne installierten Zscaler Client Connector und ohne Browser-Plugin. Zugangsdaten kann der Administrator bereitstellen und in die Sitzung einspeisen, statt sie den Nutzern offenzulegen. Sitzungen lassen sich aufzeichnen und über Audit-Logs nachvollziehen. PRA richtet sich damit an privilegierten Zugriff auf kritische IT- und OT-Systeme, besonders für Dienstleister und externe Partner ohne verwaltetes Gerät.
Privileged Remote Access im Detail
PRA setzt auf der Zugriffslogik von ZPA auf und erbt deren Zero-Trust-Prinzip: Die Zielsysteme sind nicht offen aus dem Internet erreichbar, sondern nur über eine ausdrücklich freigegebene, geprüfte Sitzung. Der Nutzer meldet sich an einem Zugangsportal an und öffnet die Konsole des Zielsystems direkt im Browser. Als Protokolle stehen laut Dokumentation RDP, SSH, VNC und RealVNC bereit, ergänzt um Funktionen wie Dateiübertragung, Zwischenablage und Bildschirmtastatur.
Der Unterschied zum klassischen Sprungserver liegt in der Kontrolle über Zugangsdaten und Sitzungen. Privilegierte Anmeldedaten lassen sich in die Sitzung einspeisen, ohne sie dem Nutzer preiszugeben; alternativ gibt der Nutzer eigene Anmeldedaten ein. Ist die Sitzungsaufzeichnung aktiv, wird jede privilegierte Sitzung als Nachweis festgehalten und einem konkreten Nutzer zugeordnet. Für den Zugriff gelten weiterhin Access Policy und Posture-Profil.
Warum ist Privileged Remote Access im Zscaler-Betrieb wichtig?
Privilegierter Zugriff ist der Weg, den Angreifer am liebsten nehmen: hohe Rechte, oft breit vergeben, selten lückenlos protokolliert. Der klassische Aufbau aus VPN und Sprungserver öffnet dafür einen Netzzugang und verteilt privilegierte Passwörter. PRA dreht das um: kein Client, kein offener Netzzugang, sondern eine browserbasierte Sitzung auf genau ein Zielsystem, mit kontrollierten Zugangsdaten. Das passt besonders für externe Dienstleister und für OT-Umgebungen, in denen sich kein verwaltetes Gerät ausrollen lässt.
Für Nachweise nach NIS2 oder DORA zählt vor allem die Sitzungsaufzeichnung samt Audit-Logs. Wer belegen muss, wer wann mit welchen Rechten an einem kritischen System gearbeitet hat, hat mit protokollierten, aufgezeichneten Sitzungen eine belastbare Grundlage. Im Betrieb entsteht daraus eine zusätzliche Ebene, die der Helpdesk und die Sicherheitsverantwortlichen im Blick behalten sollten: Neben ZIA, ZPA und ZDX kommen die privilegierten Sitzungen als eigener Zugriffskanal hinzu.
Typische Fehlerquellen
- PRA wie ein Voll-VPN gedacht: Der Zugang ist auf einzelne Zielsysteme begrenzt, nicht auf ein ganzes Netz.
- Zugangsdaten-Verwaltung unsauber: Wer die geführte Einspeisung nicht nutzt, verteilt privilegierte Passwörter doch wieder von Hand.
- Sitzungsaufzeichnung nicht aktiviert: Wo Nachweise gefordert sind, fehlt ohne Aufzeichnung die entscheidende Spur.
- Access Policy und Posture übersehen: PRA erbt beide, ein gescheiterter Zugriff kann auch an ihnen liegen.
Privileged Remote Access in der Praxis: so hilft CentaurNexus
CentaurNexus bündelt mit Unified Support Center den erweiterten 360-Grad-Blick auf einen Nutzer und bezieht dabei die PRA-Sitzungen mit ein, zusätzlich zum Status über ZIA, ZPA und ZDX. So sieht der Helpdesk auf einer Seite, ob und wie ein Nutzer privilegierte Sitzungen genutzt hat, ohne für die Recherche ein Zscaler-Admin-Konto zu brauchen. Der Blick bleibt lesend, verändert also nichts an Zugang oder Aufzeichnung, macht privilegierten Zugriff aber im Alltag nachvollziehbar. Wie der 360-Grad-Ansatz ohne Admin-Rechte arbeitet, zeigt der Beitrag Zscaler-Support ohne Admin-Rechte.
Verwandte Begriffe
Häufige Fragen zu Privileged Remote Access
ZPA ist die übergreifende Zero-Trust-Plattform für privaten Anwendungszugriff. Privileged Remote Access ist eine Funktion darin, die speziell privilegierten Zugriff auf Server, Jump-Hosts und Desktops per Browser bereitstellt. PRA nutzt die Zugriffslogik von ZPA, ergänzt sie aber um Zugangsdaten-Verwaltung und Sitzungsaufzeichnung für kritische Systeme.
Laut Zscaler-Dokumentation unterstützt PRA die gängigen Fernzugriffsprotokolle RDP, SSH sowie VNC und RealVNC. Damit lassen sich Windows-Desktops und Server, Linux-Systeme über SSH und weitere Konsolen erreichen. Der Zugriff läuft vollständig im Browser, ohne dass auf dem Client zusätzliche Software installiert wird.
Nein. PRA ist ein clientloser Zugang: Der Nutzer öffnet die privilegierte Sitzung in einem modernen Browser, ohne Zscaler Client Connector und ohne Browser-Plugin. Das ist besonders für Dienstleister, externe Partner und wechselnde OT- oder IT-Administratoren praktisch, die kein verwaltetes Gerät mitbringen.
Laut Dokumentation kann der Administrator konfigurierte Zugangsdaten bereitstellen oder den Nutzer zur Eingabe auffordern. Bei der geführten Variante werden die Anmeldedaten in die Sitzung eingespeist, ohne sie dem Nutzer offenzulegen. So bleibt der Zugriff möglich, ohne privilegierte Passwörter breit zu verteilen.
Ja. Ist die Sitzungsaufzeichnung aktiviert, sieht der Nutzer während der privilegierten Sitzung einen Hinweis auf die Aufzeichnung. Die Aufzeichnung dient als Nachweis und ordnet jede Aktion einem konkreten Nutzer zu. Zusammen mit Audit-Logs entsteht so eine belastbare Grundlage für Nachweise.
- Zscaler Help Portal: Understanding Privileged Remote Access - help.zscaler.com
- Zscaler Help Portal: Accessing Privileged Sessions - help.zscaler.com
Hinweis: CentaurNexus ist ein unabhängiges Produkt der SourcingBlox GmbH und kein Angebot von Zscaler, Inc. Produkt- und Markennamen gehören ihren jeweiligen Inhabern.