# IAM-03 Risikobasiertes Verfahren zur Sperrung und zum Entzug von Identitäten - Bereich: IAM – Identitäts- und Berechtigungsmanagement - Gegenüber C5:2020: geändert (vorher IDM-03) - Webseite: https://c5.patrickscheid.de/iam-03/ **Ergänzende Information:** Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen. ## Basiskriterium ### IAM-03.01B Der Cloud-Anbieter verfügt über ein risikobasiertes Verfahren zur Verwaltung von Identitäten (vgl. IAM-01), unter Berücksichtigung der Arten von Daten, auf die über die Identitäten des internen und externen Personals zugegriffen werden können. ### IAM-03.02B Im Rahmen dieses Verfahrens werden spezifische Parameter für das automatische Sperren und Entziehen von Zugriffen aufgrund von Inaktivität oder Hinweisen auf Brute-Force-Angriffe definiert, mit Ausnahmen für Identitäten, deren Verwendung auf Notfallwiederherstellung und ähnliche Szenarien beschränkt ist. **Ergänzende Information:** Eine Sperrung kann aus einer längeren Abwesenheit des Personals resultieren, zum Beispiel aufgrund von Krankheit, Elternzeit oder Sabbatical. Mehrere fehlgeschlagene Anmeldeversuche können Hinweise auf Brute-Force-Angriffe sein. ### IAM-03.03B Der Cloud-Anbieter dokumentiert und implementiert einen Prozess zur Überwachung gestohlener und kompromittierter Anmeldeinformationen, der auch die Deaktivierung jeder Identität umfasst, für die ein Problem festgestellt wird. Dieser Prozess wird für alle Identitäten im Verantwortungsbereich des Cloud-Anbieters umgesetzt, die privilegierte Zugriffsberechtigungen haben. **Ergänzende Information (zu 03B, 03AS):** Dieser Prozess kann automatisch oder manuell durch autorisiertes Personal durchgeführt werden. ### IAM-03.04B Der vorgenannte Prozess umfasst einen Ausnahmemechanismus, der angewendet wird, wenn alle Identitäten, die zur Bewältigung der Situation benötigt werden, potenziell kompromittiert sind. **Ergänzende Information:** Dieser Ausnahmemechanismus sollte als Teil des Systems für Business Continuity und Notfallmanagement (vgl. BCM-01) umgesetzt werden, da Fälle, in denen alle Identitäten, die zur Bewältigung der in IAM-03.03B beschriebenen Situation benötigt werden, potenziell kompromittiert sind, einen Notfall oder Krise darstellen können. ## Zusatzkriterium ### IAM-03.03AS (Zusatz, verschärft 03B) Der Cloud-Anbieter dokumentiert und implementiert einen Prozess zur Überwachung gestohlener und kompromittierter Anmeldeinformationen, der auch die Deaktivierung jeder Identität umfasst, für die ein Problem festgestellt wird. Dieser Prozess wird für alle Identitäten im Verantwortungsbereich des Cloud-Anbieters umgesetzt. ### IAM-03.01AC (Zusatz, erweiternd) Der Kontext von Authentisierungsversuchen wird überwacht und verdächtige Ereignisse werden, soweit relevant, autorisierten Personen gemeldet. **Ergänzende Information:** Der Kontext eines Authentisierungsversuchs kann, muss aber nicht, IP-Adressen, das Datum und die Uhrzeit oder das verwendete Gerät umfassen. ### IAM-03.02AC (Zusatz, erweiternd) Die Wirksamkeit der Verfahren zur Sperrung und zum Entzug von Identitäten wird validiert. ### IAM-03.03AC (Zusatz, erweiternd) Zeitnahe und angemessene Abhilfemaßnahmen beheben alle bei der Validierung festgestellten Abweichungen. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Generalised requirements for locking and withdrawing access to allow cloud service provders to define appropriate parameters for their cloud service. Added requirement to implement a process for monitoring stolen and compromised credentials and disabling identities if needed, including a mechanism for handling the edge case in which all involved identities are compromised. **Zusatzkriterium:** Additional criterion newly included. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.