IAM · Identitäts- und Berechtigungsmanagement
IAM-04 Entzug oder Anpassung von Zugriffsberechtigungen bei Veränderungen des Aufgabengebiets
Geändert gegenüber C5:2020 · vorher IDM-04
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Added requirement regarding temporary access.
Wortlaut in C5:2020
Basiskriterium
Access rights are promptly revoked if the job responsibilities of the Cloud Service Provider's internal or external staff or the tasks of system components involved in the Cloud Service Provider's automated authorisation processes change. Privileged access rights are adjusted or revoked within 48 hours after the change taking effect. All other access rights are adjusted or revoked within 14 days. After revocation, the procedure for granting user accounts and access rights (cf. IDM-02) must be repeated.
Ergänzende Information zu allen Unterkriterien
Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.
Basiskriterium
Zugriffsberechtigungen werden bei Änderungen im Aufgabengebiet des internen und externen Personals des Cloud-Anbieters oder der Systemkomponenten, die eine Rolle in automatisierten Autorisierungsprozessen des Cloud-Anbieters innehaben, zeitnah angepasst oder entzogen.
Ergänzende Information
Auslöser von Änderungen des Aufgabengebiets von internem und externem Personal können Änderungen im Beschäftigungsverhältnis (z. B. Kündigung, Versetzung) oder in Verträgen und Vereinbarungen sein.
Privilegierte Zugriffsberechtigungen werden spätestens 48 Stunden nach Inkrafttreten der Änderung angepasst oder entzogen.
Ergänzende Information
Für privilegierte Zugriffsberechtigungen gilt die Definition in IAM-06.
Alle anderen Zugriffsberechtigungen werden spätestens nach 14 Tagen angepasst oder entzogen.
Nach Entzug ist das Verfahren für die Vergabe von Identitäten und Zugriffsberechtigungen (vgl. IAM-02) erneut zu durchlaufen.
In Fällen von Rollenwechseln, in denen möglicherweise vorübergehender Zugriff gewährt werden muss, werden diese Zugriffsberechtigungen genehmigt, zeitlich befristet und dokumentiert.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen