IAM · Identitäts- und Berechtigungsmanagement
IAM-06 Privilegierte Zugriffsberechtigungen
Geändert gegenüber C5:2020 · vorher IDM-06
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Added requirement regarding access to anonymous technical users.
Added requirement regarding privileged access to containers and images.
Added requirement regarding the use of multi-factor authentication for accessing administration interfaces.
Zusatzkriterium
Additional criterion newly included.
Wortlaut in C5:2020
Basiskriterium
Privileged access rights for internal and external employees as well as technical users of the Cloud Service Provider are assigned and changed in accordance to the policy for managing user accounts and access rights (cf. IDM-01) or a separate specific policy.
Privileged access rights are personalised, limited in time according to a risk assessment and assigned as necessary for the execution of tasks ("need-to-know principle"). Technical users are assigned to internal or external employees of the Cloud Service Provider.
Activities of users with privileged access rights are logged in order to detect any misuse of privileged access in suspicious cases. The logged information is automatically monitored for defined events that may indicate misuse. When such an event is identified, the responsible personnel are automatically informed so that they can promptly assess whether misuse has occurred and take corresponding action. In the event of proven misuse of privileged access rights, disciplinary measures are taken in accordance with HR-04.
Ergänzende Information zu allen Unterkriterien
Privilegierte Zugriffsberechtigungen im Sinne des Kriteriums sind diejenigen, welche das Personal des Cloud-Anbieters dazu befähigen, eine der folgenden Tätigkeiten auszuführen:
- Lesenden oder schreibenden Zugriff auf die im Cloud-Dienst verarbeiteten, gespeicherten oder übertragenen Cloud-Kundendaten, soweit diese nicht verschlüsselt sind oder die Verschlüsselung für den Zugriff durch den Cloud-Anbieter aufgehoben werden kann; und
- Änderungen an der betrieblichen und/oder sicherheitstechnischen Konfiguration der Systemkomponenten in der Produktionsumgebung, insbesondere das Starten, Stoppen, Löschen oder Deaktivieren von Systemkomponenten, wenn dies die Vertraulichkeit, Integrität oder Verfügbarkeit der Cloud-Kundendaten beeinträchtigen kann (auch mittelbar, z. B. durch Deaktivieren der Protokollierung und Überwachung sicherheitsrelevanter Ereignisse).
Basiskriterium
Privilegierte Zugriffsberechtigungen für internes und externes Personal sowie technische Cloud-Nutzer des Cloud-Anbieters werden in Übereinstimmung mit der Richtlinie zur Verwaltung von Identitäten und Zugriffsberechtigungen (vgl. IAM-01) oder einer separaten spezifischen Richtlinie vergeben und geändert.
Privilegierte Zugriffsberechtigungen werden personalisiert sowie gemäß einer Risikobeurteilung zeitlich befristet und wie es für die Aufgabenwahrnehmung notwendig ist ('Need-to-Know-Prinzip') zugewiesen.
Auf anonyme technische Cloud-Nutzer wird nur durch Authentisierung mit einer personalisierten Identität zugegriffen.
Aktivitäten von Cloud-Nutzern mit privilegierten Zugriffsberechtigungen werden protokolliert, um in verdächtigen Fällen einen Missbrauch des privilegierten Zugriffs zu erkennen.
Die protokollierten Informationen werden automatisch auf definierte Ereignisse überwacht, die auf Missbrauch hinweisen können.
Wird ein solches Ereignis festgestellt, wird das verantwortliche Personal automatisch informiert, damit es zeitnah beurteilen kann, ob ein Missbrauch vorliegt, und entsprechende Maßnahmen ergreifen kann.
Ergänzende Information
Verantwortliches Personal für Ereignisse, die auf Missbrauch hindeuten können, kann z. B. das Personal des Security Operations Centre des Cloud-Anbieters sein.
Missbräuchlich genutzte privilegierte Zugriffsberechtigungen können z. B. als Sicherheitsvorfall behandelt werden, vgl. SIM-01.
Im Fall eines nachgewiesenen Missbrauchs privilegierter Zugriffsberechtigungen werden Disziplinarmaßnahmen gemäß HR-04 ergriffen.
Für Container und Images werden Aktivitäten von Cloud-Nutzer mit privilegiertem Zugriff gemäß OPS-10 protokolliert.
Der Zugriff auf die Administrationsschnittstellen des Cloud-Anbieters erfordert die Verwendung von Multi-Faktor-Authentisierung.
Zusatzkriterium
IAM-06.01AC
Zusatz, erweiterndDer Cloud-Anbieter führt eine Liste der Identitäten mit privilegierten Zugriffsberechtigungen in seinem Verantwortungsbereich. Diese Liste wird aktuell gehalten.
IAM-06.02AC
Zusatz, erweiterndDer Cloud-Anbieter führt eine Liste des Personals, das für eine Identität verantwortlich ist, die einer nicht-menschlichen Entität innerhalb des Verantwortungsbereichs des Cloud-Anbieters zugewiesen ist. Diese Liste wird alle sechs Monate und bei wesentlichen Änderungen am Cloud-Dienst überprüft.
Ergänzende Information
Wenn eine Überprüfung durch wesentliche Änderungen am Cloud-Dienst ausgelöst wird, müssen nur die von der Änderung betroffenen Teile der Liste in die Überprüfung einbezogen werden.
IAM-06.03AC
Zusatz, erweiterndFür privilegierte Cloud-Nutzer werden phishing-resistente Multi-Faktor-Authentisierungen wie FIDO2-Sicherheitsschlüssel oder vergleichbare Mechanismen unter Verwendung von Public-Key-Kryptographie und Domain-Bindung implementiert.
IAM-06.04AC
Zusatz, erweiterndPrivilegierte Zugriffsberechtigungen werden durch eine Privileged-Access-Management-(PAM)-Lösung mit Unterstützung für 'Just-in-Time'-Erhöhung des Zugriffsrechts und 'Just-enough'-Zugriff durchgesetzt.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen