# AM-08 Verpflichtung zur ordnungsgemäßen Nutzung, sicheren Handhabung und Rückgabe von Assets

- Bereich: AM – Asset Management
- Gegenüber C5:2020: geändert (vorher AM-05)
- Webseite: https://c5.patrickscheid.de/am-08/

**Ergänzende Information:**

Das Kriterium betrifft im Wesentlichen Mobilgeräte (z. B. Notebooks, Tablets, Smartphones, FIDO2-Sicherheitsschlüssel etc.), insbesondere, wenn auf diesen Geräten vertrauliche Informationen gespeichert sind, die bei unautorisierten Zugriffen dazu genutzt werden können, privilegierten Zugriff auf den Cloud-Dienst zu erhalten (z. B. wenn diese als Security-Token zur Authentifizierung genutzt werden).

## Basiskriterium

### AM-08.01B

Der Cloud-Anbieter stellt in einer Risikobeurteilung (vgl. OIS-07) fest, ob der Verlust von oder unautorisierte Zugriffe auf Assets die Informationssicherheit des Cloud-Dienstes gefährden könnten. Falls dies der Fall ist, wird das interne und externe Personal des Cloud-Anbieters nachweislich auf die Richtlinien und Verfahren für die ordnungsgemäße Nutzung und sichere Handhabung von Assets verpflichtet, bevor diese verwendet werden dürfen.

### AM-08.02B

Ausgehändigte Assets werden bei Beendigung des Beschäftigungsverhältnisses nachweislich zurückgegeben.

### AM-08.03B

Wenn Assets nicht vor oder am Tag der Beendigung zurückgegeben werden können, entfernt der Cloud-Anbieter die Zugriffsrechte des Personals spätestens zum Datum der Beendigung des Beschäftigungsverhältnisses.

**Ergänzende Information:**

Die Entfernung der Zugriffsrechte von ausgeschiedenem Personal kann z. B. umgesetzt werden, indem die Identität des jeweiligen Personals auf dem Gerät deaktiviert wird.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Slight linguistic adaptations.

Added requirements regarding assets that cannot be  returned prior to or on the day of the termination of employment.

**Zusatzkriterium:**

Additional criterion removed. Managed endpoints are instead addressed by the additional criterion of AM-12.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.