IAM · Identitäts- und Berechtigungsmanagement
IAM-03 Risikobasiertes Verfahren zur Sperrung und zum Entzug von Identitäten
Geändert gegenüber C5:2020 · vorher IDM-03
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Generalised requirements for locking and withdrawing access to allow cloud service provders to define appropriate parameters for their cloud service.
Added requirement to implement a process for monitoring stolen and compromised credentials and disabling identities if needed, including a mechanism for handling the edge case in which all involved identities are compromised.
Zusatzkriterium
Additional criterion newly included.
Wortlaut in C5:2020
Basiskriterium
User accounts of internal and external employees of the Cloud Service Provider as well as for system components involved in automated authorisation processes of the Cloud Service Provider are automatically locked if they have not been used for a period of two months. Approval from authorised personnel or system components are required to unlock these accounts.
Locked user accounts are automatically revoked after six months. After revocation, the procedure for granting user accounts and access rights (cf. IDM-02) must be repeated.
Ergänzende Information zu allen Unterkriterien
Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.
Basiskriterium
Der Cloud-Anbieter verfügt über ein risikobasiertes Verfahren zur Verwaltung von Identitäten (vgl. IAM-01), unter Berücksichtigung der Arten von Daten, auf die über die Identitäten des internen und externen Personals zugegriffen werden können.
Im Rahmen dieses Verfahrens werden spezifische Parameter für das automatische Sperren und Entziehen von Zugriffen aufgrund von Inaktivität oder Hinweisen auf Brute-Force-Angriffe definiert, mit Ausnahmen für Identitäten, deren Verwendung auf Notfallwiederherstellung und ähnliche Szenarien beschränkt ist.
Ergänzende Information
Eine Sperrung kann aus einer längeren Abwesenheit des Personals resultieren, zum Beispiel aufgrund von Krankheit, Elternzeit oder Sabbatical. Mehrere fehlgeschlagene Anmeldeversuche können Hinweise auf Brute-Force-Angriffe sein.
Der Cloud-Anbieter dokumentiert und implementiert einen Prozess zur Überwachung gestohlener und kompromittierter Anmeldeinformationen, der auch die Deaktivierung jeder Identität umfasst, für die ein Problem festgestellt wird. Dieser Prozess wird für alle Identitäten im Verantwortungsbereich des Cloud-Anbieters umgesetzt, die privilegierte Zugriffsberechtigungen haben.
Ergänzende Information
Gilt auch für 03AS
Dieser Prozess kann automatisch oder manuell durch autorisiertes Personal durchgeführt werden.
Der vorgenannte Prozess umfasst einen Ausnahmemechanismus, der angewendet wird, wenn alle Identitäten, die zur Bewältigung der Situation benötigt werden, potenziell kompromittiert sind.
Ergänzende Information
Dieser Ausnahmemechanismus sollte als Teil des Systems für Business Continuity und Notfallmanagement (vgl. BCM-01) umgesetzt werden, da Fälle, in denen alle Identitäten, die zur Bewältigung der in IAM-03.03B beschriebenen Situation benötigt werden, potenziell kompromittiert sind, einen Notfall oder Krise darstellen können.
Zusatzkriterium
IAM-03.03AS
Zusatz, verschärft03BDer Cloud-Anbieter dokumentiert und implementiert einen Prozess zur Überwachung gestohlener und kompromittierter Anmeldeinformationen, der auch die Deaktivierung jeder Identität umfasst, für die ein Problem festgestellt wird. Dieser Prozess wird für alle Identitäten im Verantwortungsbereich des Cloud-Anbieters umgesetzt.
Ergänzende Information
Gilt auch für 03B
Dieser Prozess kann automatisch oder manuell durch autorisiertes Personal durchgeführt werden.
IAM-03.01AC
Zusatz, erweiterndDer Kontext von Authentisierungsversuchen wird überwacht und verdächtige Ereignisse werden, soweit relevant, autorisierten Personen gemeldet.
Ergänzende Information
Der Kontext eines Authentisierungsversuchs kann, muss aber nicht, IP-Adressen, das Datum und die Uhrzeit oder das verwendete Gerät umfassen.
IAM-03.02AC
Zusatz, erweiterndDie Wirksamkeit der Verfahren zur Sperrung und zum Entzug von Identitäten wird validiert.
IAM-03.03AC
Zusatz, erweiterndZeitnahe und angemessene Abhilfemaßnahmen beheben alle bei der Validierung festgestellten Abweichungen.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen