# IAM-01 Richtlinie für Identitäten und Zugriffsberechtigungen - Bereich: IAM – Identitäts- und Berechtigungsmanagement - Gegenüber C5:2020: geändert (vorher IDM-01) - Webseite: https://c5.patrickscheid.de/iam-01/ ## Basiskriterium ### IAM-01.01B Der Cloud-Anbieter dokumentiert, kommuniziert und stellt gemäß SP-01 zur Verfügung: 1. Ein Berechtigungsrahmenwerk auf der Grundlage rollenbasierter Zugriffskontrolle und der geschäftlichen sowie sicherheitsbezogenen Anforderungen des Cloud-Anbieters; und 2. Eine Richtlinie für die Verwaltung von Identitäten und Zugriffsberechtigungen für internes und externes Personal des Cloud-Anbieters sowie Systemkomponenten, die eine Rolle in automatisierten Autorisierungsprozessen des Cloud-Anbieters innehaben. **Ergänzende Information:** Externes Personal umfasst Freiberufler, Zeitarbeitnehmer, Lieferanten und Service-Organisationen mit Zugriff auf Systemkomponenten. **Ergänzende Information (zu 01B, 02B):** Anforderungen an die physische Zutrittskontrolle gemäß der Richtlinie für Identitäten und Zugriffsberechtigungen werden in der Richtlinie zur physischen Zutrittskontrolle (vgl. PS-04) näher spezifiziert. Wenn der Cloud-Anbieter föderierte Identitätsdienste anbietet, insbesondere wenn der Cloud-Anbieter diese Dienste als Cloud-Vermittler anbietet, sollten die in diesen Unterkriterien definierten Dokumente die Komplexität der jeweiligen Cloud-Dienstarchitektur berücksichtigen. Dies kann unter anderem die folgenden Aspekte umfassen: 1. Verwaltung der Trust Boundaries zwischen den verschiedenen Parteien, die am Authentisierungsprozess einer föderierten Identität beteiligt sind; 2. Weitergabe identitätsverwaltungsbezogener Ereignisse über alle Parteien hinweg, die am Authentisierungsprozess einer föderierten Identität beteiligt sind; 3. Protokollierung von Ereignissen im Zusammenhang mit dem Authentisierungsprozess einer föderierten Identität; und 4. Benachrichtigung von Cloud-Kunden im Fall, dass eine Föderationsberechtigung kompromittiert oder eine Trust Boundary verletzt wird. ### IAM-01.02B Zum Zweck der geschäftlichen und sicherheitsbezogenen Anforderungen behandeln diese Dokumente mindestens die folgenden Aspekte: 1. Aspekte, die für Zugriffskontrollentscheidungen relevant sind; 2. Vergabe eindeutiger Benutzernamen; 3. Gewährung und Änderung von Identitäten und Zugriffsberechtigungen auf der Grundlage des 'Least-Privilege-Prinzips' und des 'Need-to-Know-Prinzips'; 4. Anwendung eines rollenbasierten Mechanismus zur Vergabe von Zugriffsberechtigungen; 5. Definition der unterstützten Identitäts- und rollenbasierten Zugriffstypen, einschließlich einer Zuordnung von Zugriffskontrollparametern und für jeden Typ zu berücksichtigenden Rollen; 6. Funktionstrennung zwischen operativen und kontrollierenden Funktionen ('Segregation of Duties'); 7. Vergabe und Überwachung privilegierter Zugriffsberechtigungen; 8. Genehmigung der Vergabe oder Änderung von Identitäten und Zugriffsberechtigungen durch autorisiertes Personal oder autorisierte Systemkomponenten bevor auf Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten und Cloud-Anbieterdaten zugegriffen werden kann; 9. Regelmäßige Überprüfung zugewiesener Identitäten und Zugriffsberechtigungen; 10. Sperrung und Entzug von Identitäten oder Beschränkung des Zugriffs bei von Inaktivität; 11. Spezifische Maßnahmen für die Verwaltung von Identitäten, deren Verwendung auf Notfallwiederherstellung und ähnliche Szenarien beschränkt ist; 12. Zeitbasierter oder anlassbezogener Entzug bzw. Anpassung von Zugriffsberechtigungen bei Veränderungen des Aufgabengebiets; 13. Multi-Faktor-Authentisierung (MFA) für Cloud-Nutzer mit privilegierten Zugriffsberechtigungen; 14. Remote-Zugriff und Zugriff über geografische Grenzen hinweg; 15. Anforderungen an die Genehmigung und Dokumentation der Verwaltung von Identitäten und Zugriffsberechtigungen; und 16. Maßnahmen, die beim Erkennen einer potenziellen Kompromittierung einer Identität zu ergreifen sind, wie etwa das Deaktivieren und der Entzug der betroffenen Identitäten. **Ergänzende Information:** Systemkomponenten im Sinne des Kriteriums sind in OPS-26 definiert. Automatisierte Autorisierungsprozesse im Sinne dieses Basiskriterium betreffen Verfahren zur automatisierten Softwareauslieferung (Continuous Delivery) sowie zum automatisierten Provisionieren und Deprovisionieren von Identitäten und Zugriffsberechtigungen auf Basis genehmigter Anträge. Für Container sollten Identitäten und Zugriffsberechtigungen nach einem geregelten Prozess verwaltet werden, insbesondere für automatisierte Autorisierungsprozesse in Container-Umgebungen. Wenn ein Cloud-Anbieter alternative Zugriffsmethoden verwendet, bei denen es nicht möglich oder praktikabel ist, Identitäten zu sperren und zu entziehen (wie zeitlich begrenzte Zugriffsmethoden), ist die Beschränkung des Zugriffs auf eine Identität eine weitere Lösung für den Umgang mit Inaktivität, die dieses Unterkriterium erfüllt. ### IAM-01.03B Der Cloud-Anbieter ist in der Lage, für jede Identität in seinem Verantwortungsbereich eine Liste der aktuell gewährten Cloud-basierten Zugriffsberechtigungen zu erstellen. **Ergänzende Information:** Auf der Grundlage dieser Liste ist der Cloud-Anbieter in der Lage, die Cloud-basierten Zugriffsberechtigungen der betreffenden Identität zu überprüfen. 'Cloud-basiert' bezieht sich in diesem Fall auf alle Zugriffsberechtigungen, die in den Geltungsbereich des internen Kontrollsystems des Cloud-Anbieters fallen. ## Zusatzkriterium ### IAM-01.01AC (Zusatz, erweiternd) Zugriffsprotokolle werden mindestens jeden Monat überprüft, um Versuche unbefugten Zugriffs oder verdächtige Zugriffsmuster zu erkennen. **Ergänzende Information:** Eine Überprüfung kann manuell oder auf automatisierte Weise durchgeführt werden. Bei einer monatlichen Überprüfung können verdächtige Verhaltensweisen wie z. B. Zugriffsfehler über einen längeren Zeitraum (z. B. einmal täglich) oder aufeinanderfolgende Anmeldungen aus verschiedenen Ländern sichtbar werden, die ein SIEM, das nur Anmeldeversuche in Echtzeit analysiert, möglicherweise übersieht. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Specified which data types the criterion applies to. Split up first requirement into a list for better readability. Extended aspects to be adressed by the documents by aspects to be considered for access control decisions, use of a role-based mechanism, definition of the different types of identities and role-based access supported, assignment and monitoring of privileged access rights, remote access or access across geographic boundaries, and measures for the case of identity compromise. Added requirement for the cloud service provider to maintain a list of all users and their access rights. Bullet points are now sorted to ease discussions about specific list items. **Zusatzkriterium:** Additional criterion newly included. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.