# IAM-05 Regelmäßige Überprüfung von Zugriffsberechtigungen

- Bereich: IAM – Identitäts- und Berechtigungsmanagement
- Gegenüber C5:2020: geändert (vorher IDM-05)
- Webseite: https://c5.patrickscheid.de/iam-05/

## Basiskriterium

### IAM-05.01B

Identitäten und die zugehörigen Zugriffsberechtigungen des internen und externen Personals des Cloud-Anbieters sowie von Systemkomponenten, die eine Rolle in automatisierten Autorisierungsprozessen des Cloud-Anbieters innehaben, werden mindestens jährlich und bei wesentlichen Änderungen am Cloud-Dienst daraufhin überprüft, ob diese noch dem tatsächlichen Aufgaben- bzw. Einsatzgebiet entsprechen.

**Ergänzende Information (zu 01B, 02B, 03B, 04B, 05B):**

Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.

Als Alternative zu den regelmäßigen Überprüfungen von Zugriffsberechtigungen können auch zeitlich befristete Zugriffsberechtigungen vergeben werden, die automatisch ablaufen.

**Ergänzende Information (zu 01B, 01AC):**

Wenn eine Überprüfung durch wesentliche Änderungen am Cloud-Dienst ausgelöst wird, müssen nur die von der Änderung betroffenen Identitäten und Zugriffsberechtigungen in die Überprüfung einbezogen werden.

### IAM-05.02B

Die Überprüfung erfolgt durch hierzu autorisierte Personen aus den Organisationseinheiten des Cloud-Anbieters, die aufgrund ihres Wissens über die Aufgabengebiete des Personals oder der Systemkomponenten die Angemessenheit der vergebenen Zugriffsberechtigungen beurteilen können.

### IAM-05.03B

Identifizierte Abweichungen werden zeitnah, spätestens aber sieben Tage nach ihrer Feststellung durch geeignetes Ändern oder Entziehen der Zugriffsberechtigungen behandelt.

### IAM-05.04B

Beim Entziehen von Identitäten stellt das System sicher, dass alle produktionszugehörigen Systemkomponenten (z. B. virtuelle Maschinen, Speicher, Zugriffsberechtigungen) identifiziert, neu zugewiesen oder gelöscht werden, um die Entstehung verwaister Ressourcen zu verhindern. Klare Prozesse und technische Kontrollen werden eingerichtet, um trotz präventiver Maßnahmen auftretende verwaiste Ressourcen zu identifizieren und zu behandeln und ihre rechtzeitige Neuzuweisung oder sichere Löschung sicherzustellen.

### IAM-05.05B

Für Systemkomponenten, die nicht produktionszugehörig sind, entwirft, implementiert und pflegt der Cloud-Anbieter auf der Grundlage einer Risikobeurteilung (vgl. OIS-07) angemessene Kontrollen zur Verhinderung verwaister Ressourcen.

**Ergänzende Information:**

Die hier gemeinten Systemkomponenten sind Systemkomponenten in Entwicklungs-, Test- oder anderen nicht-produktiven Umgebungen. Verwaiste Ressourcen sind Systemkomponenten, denen kein Eigentümer zugewiesen ist.

## Zusatzkriterium

### IAM-05.01AC (Zusatz, erweiternd)

Privilegierte Zugriffsberechtigungen werden mindestens alle sechs Monate sowie bei wesentlichen Änderungen am Cloud-Dienst überprüft.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Modified requirement regarding the frequency of performed access rights review to include in case of significant changes as well.

Added requirements for the prevention and management of orphaned resources.

**Zusatzkriterium:**

Modified requirement regarding the frequency of performed access rights review to include in case of significant changes as well.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.