# IAM-06 Privilegierte Zugriffsberechtigungen

- Bereich: IAM – Identitäts- und Berechtigungsmanagement
- Gegenüber C5:2020: geändert (vorher IDM-06)
- Webseite: https://c5.patrickscheid.de/iam-06/

**Ergänzende Information:**

Privilegierte Zugriffsberechtigungen im Sinne des Kriteriums sind diejenigen, welche das Personal des Cloud-Anbieters dazu befähigen, eine der folgenden Tätigkeiten auszuführen:

1. Lesenden oder schreibenden Zugriff auf die im Cloud-Dienst verarbeiteten, gespeicherten oder übertragenen Cloud-Kundendaten, soweit diese nicht verschlüsselt sind oder die Verschlüsselung für den Zugriff durch den Cloud-Anbieter aufgehoben werden kann; und
2. Änderungen an der betrieblichen und/oder sicherheitstechnischen Konfiguration der Systemkomponenten in der Produktionsumgebung, insbesondere das Starten, Stoppen, Löschen oder Deaktivieren von Systemkomponenten, wenn dies die Vertraulichkeit, Integrität oder Verfügbarkeit der Cloud-Kundendaten beeinträchtigen kann (auch mittelbar, z. B. durch Deaktivieren der Protokollierung und Überwachung sicherheitsrelevanter Ereignisse).

## Basiskriterium

### IAM-06.01B

Privilegierte Zugriffsberechtigungen für internes und externes Personal sowie technische Cloud-Nutzer des Cloud-Anbieters werden in Übereinstimmung mit der Richtlinie zur Verwaltung von Identitäten und Zugriffsberechtigungen (vgl. IAM-01) oder einer separaten spezifischen Richtlinie vergeben und geändert.

### IAM-06.02B

Privilegierte Zugriffsberechtigungen werden personalisiert sowie gemäß einer Risikobeurteilung zeitlich befristet und wie es für die Aufgabenwahrnehmung notwendig ist ('Need-to-Know-Prinzip') zugewiesen.

### IAM-06.03B

Auf anonyme technische Cloud-Nutzer wird nur durch Authentisierung mit einer personalisierten Identität zugegriffen.

### IAM-06.04B

Aktivitäten von Cloud-Nutzern mit privilegierten Zugriffsberechtigungen werden protokolliert, um in verdächtigen Fällen einen Missbrauch des privilegierten Zugriffs zu erkennen.

### IAM-06.05B

Die protokollierten Informationen werden automatisch auf definierte Ereignisse überwacht, die auf Missbrauch hinweisen können.

### IAM-06.06B

Wird ein solches Ereignis festgestellt, wird das verantwortliche Personal automatisch informiert, damit es zeitnah beurteilen kann, ob ein Missbrauch vorliegt, und entsprechende Maßnahmen ergreifen kann.

**Ergänzende Information:**

Verantwortliches Personal für Ereignisse, die auf Missbrauch hindeuten können, kann z. B. das Personal des Security Operations Centre des Cloud-Anbieters sein.

Missbräuchlich genutzte privilegierte Zugriffsberechtigungen können z. B. als Sicherheitsvorfall behandelt werden, vgl. SIM-01.

### IAM-06.07B

Im Fall eines nachgewiesenen Missbrauchs privilegierter Zugriffsberechtigungen werden Disziplinarmaßnahmen gemäß HR-04 ergriffen.

### IAM-06.08B

Für Container und Images werden Aktivitäten von Cloud-Nutzer mit privilegiertem Zugriff gemäß OPS-10 protokolliert.

### IAM-06.09B

Der Zugriff auf die Administrationsschnittstellen des Cloud-Anbieters erfordert die Verwendung von Multi-Faktor-Authentisierung.

## Zusatzkriterium

### IAM-06.01AC (Zusatz, erweiternd)

Der Cloud-Anbieter führt eine Liste der Identitäten mit privilegierten Zugriffsberechtigungen in seinem Verantwortungsbereich. Diese Liste wird aktuell gehalten.

### IAM-06.02AC (Zusatz, erweiternd)

Der Cloud-Anbieter führt eine Liste des Personals, das für eine Identität verantwortlich ist, die einer nicht-menschlichen Entität innerhalb des Verantwortungsbereichs des Cloud-Anbieters zugewiesen ist. Diese Liste wird alle sechs Monate und bei wesentlichen Änderungen am Cloud-Dienst überprüft.

**Ergänzende Information:**

Wenn eine Überprüfung durch wesentliche Änderungen am Cloud-Dienst ausgelöst wird, müssen nur die von der Änderung betroffenen Teile der Liste in die Überprüfung einbezogen werden.

### IAM-06.03AC (Zusatz, erweiternd)

Für privilegierte Cloud-Nutzer werden phishing-resistente Multi-Faktor-Authentisierungen wie FIDO2-Sicherheitsschlüssel oder vergleichbare Mechanismen unter Verwendung von Public-Key-Kryptographie und Domain-Bindung implementiert.

### IAM-06.04AC (Zusatz, erweiternd)

Privilegierte Zugriffsberechtigungen werden durch eine Privileged-Access-Management-(PAM)-Lösung mit Unterstützung für 'Just-in-Time'-Erhöhung des Zugriffsrechts und 'Just-enough'-Zugriff durchgesetzt.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Added requirement regarding access to anonymous technical users.

Added requirement regarding privileged access to containers and images.

Added requirement regarding the use of multi-factor authentication for accessing administration interfaces.

**Zusatzkriterium:**

Additional criterion newly included.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.