IAM · Identitäts- und Berechtigungsmanagement
IAM-01 Richtlinie für Identitäten und Zugriffsberechtigungen
Geändert gegenüber C5:2020 · vorher IDM-01
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Split up first requirement into a list for better readability.
Extended aspects to be adressed by the documents by aspects to be considered for access control decisions, use of a role-based mechanism, definition of the different types of identities and role-based access supported, assignment and monitoring of privileged access rights, remote access or access across geographic boundaries, and measures for the case of identity compromise.
Added requirement for the cloud service provider to maintain a list of all users and their access rights.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Additional criterion newly included.
Wortlaut in C5:2020
Basiskriterium
A role and rights concept based on the business and security requirements of the Cloud Service Provider as well as a policy for managing user accounts and access rights for internal and external employees of the Cloud Service Provider and system components that have a role in automated authorisation processes of the Cloud Service Provider are documented, communicated and made available according to SP-01:
- Assignment of unique usernames;
- Granting and modifying user accounts and access rights based on the “least-privilege- principle” and the “need-to-know” principle;
- Segregation of duties between operational and monitoring functions (“Segregation of Duties”);
- Segregation of duties between managing, approving and assigning user accounts and access rights;
- Approval by authorised individual(s) or system(s) for granting or modifying user accounts and access rights before data of the cloud customer or system components used to provision the cloud service can be accessed;
- Regular review of assigned user accounts and access rights;
- Blocking and removing access accounts in the event of inactivity;
- Time-based or event-driven removal or adjustment of access rights in the event of changes to job responsibility;
- Two-factor or multi-factor authentication for users with privileged access;
- Requirements for the approval and documentation of the management of user accounts and access rights.
Basiskriterium
Der Cloud-Anbieter dokumentiert, kommuniziert und stellt gemäß SP-01 zur Verfügung:
- Ein Berechtigungsrahmenwerk auf der Grundlage rollenbasierter Zugriffskontrolle und der geschäftlichen sowie sicherheitsbezogenen Anforderungen des Cloud-Anbieters; und
- Eine Richtlinie für die Verwaltung von Identitäten und Zugriffsberechtigungen für internes und externes Personal des Cloud-Anbieters sowie Systemkomponenten, die eine Rolle in automatisierten Autorisierungsprozessen des Cloud-Anbieters innehaben.
Ergänzende Information
Externes Personal umfasst Freiberufler, Zeitarbeitnehmer, Lieferanten und Service-Organisationen mit Zugriff auf Systemkomponenten.
Ergänzende Information
Gilt auch für 02B
Anforderungen an die physische Zutrittskontrolle gemäß der Richtlinie für Identitäten und Zugriffsberechtigungen werden in der Richtlinie zur physischen Zutrittskontrolle (vgl. PS-04) näher spezifiziert.
Wenn der Cloud-Anbieter föderierte Identitätsdienste anbietet, insbesondere wenn der Cloud-Anbieter diese Dienste als Cloud-Vermittler anbietet, sollten die in diesen Unterkriterien definierten Dokumente die Komplexität der jeweiligen Cloud-Dienstarchitektur berücksichtigen. Dies kann unter anderem die folgenden Aspekte umfassen:
- Verwaltung der Trust Boundaries zwischen den verschiedenen Parteien, die am Authentisierungsprozess einer föderierten Identität beteiligt sind;
- Weitergabe identitätsverwaltungsbezogener Ereignisse über alle Parteien hinweg, die am Authentisierungsprozess einer föderierten Identität beteiligt sind;
- Protokollierung von Ereignissen im Zusammenhang mit dem Authentisierungsprozess einer föderierten Identität; und
- Benachrichtigung von Cloud-Kunden im Fall, dass eine Föderationsberechtigung kompromittiert oder eine Trust Boundary verletzt wird.
Zum Zweck der geschäftlichen und sicherheitsbezogenen Anforderungen behandeln diese Dokumente mindestens die folgenden Aspekte:
- Aspekte, die für Zugriffskontrollentscheidungen relevant sind;
- Vergabe eindeutiger Benutzernamen;
- Gewährung und Änderung von Identitäten und Zugriffsberechtigungen auf der Grundlage des 'Least-Privilege-Prinzips' und des 'Need-to-Know-Prinzips';
- Anwendung eines rollenbasierten Mechanismus zur Vergabe von Zugriffsberechtigungen;
- Definition der unterstützten Identitäts- und rollenbasierten Zugriffstypen, einschließlich einer Zuordnung von Zugriffskontrollparametern und für jeden Typ zu berücksichtigenden Rollen;
- Funktionstrennung zwischen operativen und kontrollierenden Funktionen ('Segregation of Duties');
- Vergabe und Überwachung privilegierter Zugriffsberechtigungen;
- Genehmigung der Vergabe oder Änderung von Identitäten und Zugriffsberechtigungen durch autorisiertes Personal oder autorisierte Systemkomponenten bevor auf Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten und Cloud-Anbieterdaten zugegriffen werden kann;
- Regelmäßige Überprüfung zugewiesener Identitäten und Zugriffsberechtigungen;
- Sperrung und Entzug von Identitäten oder Beschränkung des Zugriffs bei von Inaktivität;
- Spezifische Maßnahmen für die Verwaltung von Identitäten, deren Verwendung auf Notfallwiederherstellung und ähnliche Szenarien beschränkt ist;
- Zeitbasierter oder anlassbezogener Entzug bzw. Anpassung von Zugriffsberechtigungen bei Veränderungen des Aufgabengebiets;
- Multi-Faktor-Authentisierung (MFA) für Cloud-Nutzer mit privilegierten Zugriffsberechtigungen;
- Remote-Zugriff und Zugriff über geografische Grenzen hinweg;
- Anforderungen an die Genehmigung und Dokumentation der Verwaltung von Identitäten und Zugriffsberechtigungen; und
- Maßnahmen, die beim Erkennen einer potenziellen Kompromittierung einer Identität zu ergreifen sind, wie etwa das Deaktivieren und der Entzug der betroffenen Identitäten.
Ergänzende Information
Systemkomponenten im Sinne des Kriteriums sind in OPS-26 definiert. Automatisierte Autorisierungsprozesse im Sinne dieses Basiskriterium betreffen Verfahren zur automatisierten Softwareauslieferung (Continuous Delivery) sowie zum automatisierten Provisionieren und Deprovisionieren von Identitäten und Zugriffsberechtigungen auf Basis genehmigter Anträge.
Für Container sollten Identitäten und Zugriffsberechtigungen nach einem geregelten Prozess verwaltet werden, insbesondere für automatisierte Autorisierungsprozesse in Container-Umgebungen.
Wenn ein Cloud-Anbieter alternative Zugriffsmethoden verwendet, bei denen es nicht möglich oder praktikabel ist, Identitäten zu sperren und zu entziehen (wie zeitlich begrenzte Zugriffsmethoden), ist die Beschränkung des Zugriffs auf eine Identität eine weitere Lösung für den Umgang mit Inaktivität, die dieses Unterkriterium erfüllt.
Ergänzende Information
Gilt auch für 01B
Anforderungen an die physische Zutrittskontrolle gemäß der Richtlinie für Identitäten und Zugriffsberechtigungen werden in der Richtlinie zur physischen Zutrittskontrolle (vgl. PS-04) näher spezifiziert.
Wenn der Cloud-Anbieter föderierte Identitätsdienste anbietet, insbesondere wenn der Cloud-Anbieter diese Dienste als Cloud-Vermittler anbietet, sollten die in diesen Unterkriterien definierten Dokumente die Komplexität der jeweiligen Cloud-Dienstarchitektur berücksichtigen. Dies kann unter anderem die folgenden Aspekte umfassen:
- Verwaltung der Trust Boundaries zwischen den verschiedenen Parteien, die am Authentisierungsprozess einer föderierten Identität beteiligt sind;
- Weitergabe identitätsverwaltungsbezogener Ereignisse über alle Parteien hinweg, die am Authentisierungsprozess einer föderierten Identität beteiligt sind;
- Protokollierung von Ereignissen im Zusammenhang mit dem Authentisierungsprozess einer föderierten Identität; und
- Benachrichtigung von Cloud-Kunden im Fall, dass eine Föderationsberechtigung kompromittiert oder eine Trust Boundary verletzt wird.
Der Cloud-Anbieter ist in der Lage, für jede Identität in seinem Verantwortungsbereich eine Liste der aktuell gewährten Cloud-basierten Zugriffsberechtigungen zu erstellen.
Ergänzende Information
Auf der Grundlage dieser Liste ist der Cloud-Anbieter in der Lage, die Cloud-basierten Zugriffsberechtigungen der betreffenden Identität zu überprüfen.
'Cloud-basiert' bezieht sich in diesem Fall auf alle Zugriffsberechtigungen, die in den Geltungsbereich des internen Kontrollsystems des Cloud-Anbieters fallen.
Zusatzkriterium
IAM-01.01AC
Zusatz, erweiterndZugriffsprotokolle werden mindestens jeden Monat überprüft, um Versuche unbefugten Zugriffs oder verdächtige Zugriffsmuster zu erkennen.
Ergänzende Information
Eine Überprüfung kann manuell oder auf automatisierte Weise durchgeführt werden. Bei einer monatlichen Überprüfung können verdächtige Verhaltensweisen wie z. B. Zugriffsfehler über einen längeren Zeitraum (z. B. einmal täglich) oder aufeinanderfolgende Anmeldungen aus verschiedenen Ländern sichtbar werden, die ein SIEM, das nur Anmeldeversuche in Echtzeit analysiert, möglicherweise übersieht.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen