IAM · Identitäts- und Berechtigungsmanagement
IAM-05 Regelmäßige Überprüfung von Zugriffsberechtigungen
Geändert gegenüber C5:2020 · vorher IDM-05
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Modified requirement regarding the frequency of performed access rights review to include in case of significant changes as well.
Added requirements for the prevention and management of orphaned resources.
Zusatzkriterium
Modified requirement regarding the frequency of performed access rights review to include in case of significant changes as well.
Wortlaut in C5:2020
Basiskriterium
Access rights of internal and external employees of the Cloud Service Provider as well as of system components that play a role in automated authorisation processes of the Cloud Service Provider are reviewed at least once a year to ensure that they still correspond to the actual area of use. The review is carried out by authorised persons from the Cloud Service Provider's organisational units, who can assess the appropriateness of the assigned access rights based on their knowledge of the task areas of the employees or system components. Identified deviations will be dealt with promptly, but no later than 7 days after their detection, by appropriate modification or withdrawal of the access rights.
Zusatzkriterium
Privileged access rights are reviewed at least every six months.
Basiskriterium
Identitäten und die zugehörigen Zugriffsberechtigungen des internen und externen Personals des Cloud-Anbieters sowie von Systemkomponenten, die eine Rolle in automatisierten Autorisierungsprozessen des Cloud-Anbieters innehaben, werden mindestens jährlich und bei wesentlichen Änderungen am Cloud-Dienst daraufhin überprüft, ob diese noch dem tatsächlichen Aufgaben- bzw. Einsatzgebiet entsprechen.
Ergänzende Information
Gilt auch für 02B, 03B, 04B, 05B
Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.
Als Alternative zu den regelmäßigen Überprüfungen von Zugriffsberechtigungen können auch zeitlich befristete Zugriffsberechtigungen vergeben werden, die automatisch ablaufen.
Ergänzende Information
Gilt auch für 01AC
Wenn eine Überprüfung durch wesentliche Änderungen am Cloud-Dienst ausgelöst wird, müssen nur die von der Änderung betroffenen Identitäten und Zugriffsberechtigungen in die Überprüfung einbezogen werden.
Die Überprüfung erfolgt durch hierzu autorisierte Personen aus den Organisationseinheiten des Cloud-Anbieters, die aufgrund ihres Wissens über die Aufgabengebiete des Personals oder der Systemkomponenten die Angemessenheit der vergebenen Zugriffsberechtigungen beurteilen können.
Ergänzende Information
Gilt auch für 01B, 03B, 04B, 05B
Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.
Als Alternative zu den regelmäßigen Überprüfungen von Zugriffsberechtigungen können auch zeitlich befristete Zugriffsberechtigungen vergeben werden, die automatisch ablaufen.
Identifizierte Abweichungen werden zeitnah, spätestens aber sieben Tage nach ihrer Feststellung durch geeignetes Ändern oder Entziehen der Zugriffsberechtigungen behandelt.
Ergänzende Information
Gilt auch für 01B, 02B, 04B, 05B
Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.
Als Alternative zu den regelmäßigen Überprüfungen von Zugriffsberechtigungen können auch zeitlich befristete Zugriffsberechtigungen vergeben werden, die automatisch ablaufen.
Beim Entziehen von Identitäten stellt das System sicher, dass alle produktionszugehörigen Systemkomponenten (z. B. virtuelle Maschinen, Speicher, Zugriffsberechtigungen) identifiziert, neu zugewiesen oder gelöscht werden, um die Entstehung verwaister Ressourcen zu verhindern. Klare Prozesse und technische Kontrollen werden eingerichtet, um trotz präventiver Maßnahmen auftretende verwaiste Ressourcen zu identifizieren und zu behandeln und ihre rechtzeitige Neuzuweisung oder sichere Löschung sicherzustellen.
Ergänzende Information
Gilt auch für 01B, 02B, 03B, 05B
Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.
Als Alternative zu den regelmäßigen Überprüfungen von Zugriffsberechtigungen können auch zeitlich befristete Zugriffsberechtigungen vergeben werden, die automatisch ablaufen.
Für Systemkomponenten, die nicht produktionszugehörig sind, entwirft, implementiert und pflegt der Cloud-Anbieter auf der Grundlage einer Risikobeurteilung (vgl. OIS-07) angemessene Kontrollen zur Verhinderung verwaister Ressourcen.
Ergänzende Information
Gilt auch für 01B, 02B, 03B, 04B
Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.
Als Alternative zu den regelmäßigen Überprüfungen von Zugriffsberechtigungen können auch zeitlich befristete Zugriffsberechtigungen vergeben werden, die automatisch ablaufen.
Ergänzende Information
Die hier gemeinten Systemkomponenten sind Systemkomponenten in Entwicklungs-, Test- oder anderen nicht-produktiven Umgebungen. Verwaiste Ressourcen sind Systemkomponenten, denen kein Eigentümer zugewiesen ist.
Zusatzkriterium
IAM-05.01AC
Zusatz, erweiterndPrivilegierte Zugriffsberechtigungen werden mindestens alle sechs Monate sowie bei wesentlichen Änderungen am Cloud-Dienst überprüft.
Ergänzende Information
Gilt auch für 01B
Wenn eine Überprüfung durch wesentliche Änderungen am Cloud-Dienst ausgelöst wird, müssen nur die von der Änderung betroffenen Identitäten und Zugriffsberechtigungen in die Überprüfung einbezogen werden.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen