IAM · Identitäts- und Berechtigungsmanagement
IAM-07 Zugriff auf Cloud-Kundendaten
Geändert gegenüber C5:2020 · vorher IDM-07
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Added requirements for partitioning measures between the system components for providing the cloud service and other system components, which reduce the impact of a compromise.
Added the geographical location of an access to the information provided to the cloud service customers.
Added requirement for informing cloud service customers about potential accesses before the service is offered.
Zusatzkriterium
Specified which data types the criterion applies to.
Modified phrasing of existing additional criterion to be more similar to the phrasing of the basic criterion that is being sharpened.
Extended the list of situations in which the cloud service provider needs to ask for consent of the cloud service customer before an access by the edge case in which encrypted data and its decryption key are stored in the same cloud environment and might be accessed together.
Added the geographical location of an access to the information provided to the cloud service customers.
Added requirement for informing cloud service customers about potential accesses before the service is offered.
Added requirement for invluding provisions for cases where it is not feasible to ask for consent prior to an access.
Added requirements for personnel that access cloud service customer data to pass an assessment first, or be supervised otherwise. Further added requirements regarding the performance of a supervised access.
Wortlaut in C5:2020
Basiskriterium
The cloud customer is informed by the Cloud Service Provider whenever internal or external employees of the Cloud Service Provider read or write to the cloud customer's data processed, stored or transmitted in the cloud service or have accessed it without the prior consent of the cloud customer. The Information is provided whenever data of the cloud customer is/was not encrypted, the encryption is/was disabled for access or the contractual agreements do not explicitly exclude such information. The information contains the cause, time, duration, type and scope of the access. The information is sufficiently detailed to enable subject matter experts of the cloud customer to assess the risks of the access. The information is provided in accordance with the contractual agreements, or within 72 hours after the access.
Zusatzkriterium
Access to the data processed, stored or transmitted in the cloud service by internal or external employees of the Cloud Service Provider requires the prior consent of an authorised department of the cloud customer, provided that the cloud customer's data is not encrypted, encryption is disabled for access, or contractual agreements do not explicitly exclude such consent. For the consent, the cloud customer's department is provided with meaningful information about the cause, time, duration, type and scope of the access supporting assessing the risks associated with the access.
Basiskriterium
Der Cloud-Anbieter implementiert Maßnahmen für Trennungsmechanismen, die:
Die Maßnahmen für Trennungsmechanismen des Cloud-Anbieters stellen sicher, dass Sicherheitsvorfälle, sofern sie die Systemkomponenten kompromittieren, die die Cloud-Kundendaten speichern, nicht auch die Systemkomponenten kompromittieren, die den Zugriff darauf verwalten.
Sofern dies nicht durch anwendbares Recht verboten ist, wird der Cloud-Kunde durch den Cloud-Anbieter über Ereignisse informiert, bei denen internes oder externes Personal des Cloud-Anbieters, ohne vorherige Zustimmung des Cloud-Kunden, lesend oder schreibend auf die im Cloud-Dienst verarbeiteten, gespeicherten oder übertragenen Daten der Cloud-Kunden zugreifen werden oder zugegriffen haben. Die Information erfolgt je Ereignis, soweit auf die Cloud-Kundendaten in unverschlüsselter Form zugegriffen wird/wurde oder die vertraglichen Vereinbarungen eine solche Information nicht explizit ausschließen.
Ergänzende Information
Gilt auch für 04B, 05B, 06B, 03AS, 04AS, 01AC, 02AC, 03AC
Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist.
Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden.
Sofern vertraglich nichts anderes vereinbart ist, gehen aus der Information Anlass, Zeitpunkt, Dauer, geografischer Ort, Art und Umfang des Zugriffs, sowie die Aufbewahrungsdauer anderer während des Zugriffs erzeugter Daten, wie Protokolle oder Kopien, die Cloud-Kundendaten enthalten, hervor. Die Informationen sind hinreichend detailliert, um sachverständigen Personen des Cloud-Kunden eine Risikobeurteilung des Zugriffs zu ermöglichen. Die Information erfolgt gemäß der vertraglichen Vereinbarung, spätestens aber 72 Stunden nach dem Zugriff.
Ergänzende Information
Gilt auch für 04AS
Sachverständige Personen im Sinne dieses Kriteriums sind Personen aus z. B. IT, Compliance oder Interne Revision.
Ergänzende Information
Gilt auch für 03B, 05B, 06B, 03AS, 04AS, 01AC, 02AC, 03AC
Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist.
Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden.
Ergänzende Information
Gilt auch für 04AS
Der dem Cloud-Kunden bereitgestellte geografische Ort des Zugriffs muss kein GPS-Standort sein, sollte aber mindestens so präzise sein wie das Land, von dem aus der Zugriff durchgeführt wurde oder durchgeführt werden soll.
Die Information wird gemäß den vertraglichen Vereinbarungen, jedoch spätestens 72 Stunden ab Einleitung des Zugriffs bereitgestellt.
Ergänzende Information
Gilt auch für 03B, 04B, 06B, 03AS, 04AS, 01AC, 02AC, 03AC
Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist.
Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden.
Der Cloud-Anbieter legt durch vertragliche Vereinbarungen und vor dem Anbieten seiner Dienste alle Fälle offen, in denen der Cloud-Anbieter auf Cloud-Kundendaten in unverschlüsselter Form zugreifen kann, während diese im Cloud-Dienst verarbeitet, gespeichert oder übertragen werden.
Ergänzende Information
Gilt auch für 03B, 04B, 05B, 03AS, 04AS, 01AC, 02AC, 03AC
Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist.
Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden.
Zusatzkriterium
IAM-07.03AS
Zusatz, verschärft03BZugriffe auf Cloud-Kundendaten und abgeleitete Cloud-Dienstdaten durch internes oder externes Personal des Cloud-Anbieters bedürfen der vorherigen Zustimmung durch autorisiertes Personal des Cloud-Kunden, soweit die Daten des Cloud-Kunden in unverschlüsselter Form zugänglich sind oder die vertraglichen Vereinbarungen eine solche Zustimmung nicht explizit ausschließen. Wenn verschlüsselte Daten und ihr Entschlüsselungsschlüssel innerhalb derselben Cloud-Umgebung getrennt gespeichert werden, ist außerdem eine vorherige Zustimmung nicht nur für den Zugriff auf den Entschlüsselungsschlüssel erforderlich, sondern auch für den Zugriff auf die verschlüsselten Daten selbst (möglicherweise zusammen mit dem Schlüssel).
Ergänzende Information
Gilt auch für 03B, 04B, 05B, 06B, 04AS, 01AC, 02AC, 03AC
Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist.
Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden.
IAM-07.04AS
Zusatz, verschärft04BSofern vertraglich nichts anderes vereinbart ist, enthält die für die Zustimmung bereitgestellte Information die Ursache, den Zeitpunkt, die Dauer, den geografischen Ort, die Art und den Umfang des Zugriffs sowie die Aufbewahrungsdauer anderer während des Zugriffs erzeugter Daten, wie Protokolle oder Kopien, die Cloud-Kundendaten enthalten. Die Information ist hinreichend detailliert, um Fachexperten des Cloud-Kunden in die Lage zu versetzen, die Risiken des Zugriffs zu bewerten. Zusätzlich zu den bereitgestellten Informationen legt der Cloud-Anbieter einen Zeitrahmen fest, innerhalb dessen der Cloud-Kunde auf die Zugriffsanfrage reagieren soll.
Ergänzende Information
Gilt auch für 04B
Sachverständige Personen im Sinne dieses Kriteriums sind Personen aus z. B. IT, Compliance oder Interne Revision.
Ergänzende Information
Gilt auch für 03B, 04B, 05B, 06B, 03AS, 01AC, 02AC, 03AC
Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist.
Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden.
Ergänzende Information
Gilt auch für 04B
Der dem Cloud-Kunden bereitgestellte geografische Ort des Zugriffs muss kein GPS-Standort sein, sollte aber mindestens so präzise sein wie das Land, von dem aus der Zugriff durchgeführt wurde oder durchgeführt werden soll.
IAM-07.06AS
Zusatz, verschärft06BDer Cloud-Anbieter legt durch vertragliche Vereinbarungen und vor dem Anbieten seiner Dienste alle Fälle offen, in denen der Cloud-Anbieter auf Cloud-Kundendaten oder abgeleitete Cloud-Dienstdaten in unverschlüsselter Form zugreifen kann, während diese im Cloud-Dienst verarbeitet, gespeichert oder übertragen werden.
IAM-07.01AC
Zusatz, erweiterndFalls der Cloud-Anbieter möglicherweise auf die im Cloud-Dienst übertragenen, verarbeiteten oder gespeicherten Cloud-Kundendaten in unverschlüsselter Form zugreifen könnte, nimmt der Cloud-Anbieter durch vertragliche Vereinbarungen Regelungen für Fälle auf, in denen es nicht praktikabel ist, vor einem solchen Zugriff eine vorherige Zustimmung einzuholen.
Ergänzende Information
Dieses Unterkriterium ist nur anwendbar, wenn auch Unterkriterium IAM-07.03S angewendet wird.
Die Einholung einer vorherigen Zustimmung könnte zum Beispiel dann nicht praktikabel sein, wenn der Cloud-Dienst zur Wahrung der Vertraulichkeit, Integrität und Verfügbarkeit der Cloud-Kundendaten auf Fehler hin analysiert werden muss.
Ergänzende Information
Gilt auch für 03B, 04B, 05B, 06B, 03AS, 04AS, 02AC, 03AC
Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist.
Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden.
IAM-07.02AC
Zusatz, erweiterndUm direkt oder indirekt auf Cloud-Kundendaten zugreifen zu können, muss jegliches internes oder externes Personal des Cloud-Anbieters eine angemessene Überprüfung bestanden haben oder andernfalls durch Personal beaufsichtigt werden, das eine angemessene Überprüfung bestanden hat (vgl. HR-01). Der Cloud-Anbieter verifiziert, dass eine dieser Bedingungen erfüllt ist, bevor der Zugriff gewährt wird. Dies gilt auch für Supporttätigkeiten.
Ergänzende Information
Gilt auch für 03B, 04B, 05B, 06B, 03AS, 04AS, 01AC, 03AC
Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist.
Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden.
Ergänzende Information
Gilt auch für 03AC
Der Cloud-Anbieter sollte Details dazu, wie der beaufsichtigte Zugriff durchgeführt wird, für Cloud-Kunden zugänglich machen.
IAM-07.03AC
Zusatz, erweiterndFalls der durchgeführte Zugriff beaufsichtigt wird, stellt der Cloud-Anbieter sicher, dass:
- Die Mechanismen, die zur Durchführung des beaufsichtigten Zugriffs verwendet werden, es dem beaufsichtigenden Personal erlauben, einzelne Aktionen der beaufsichtigten Person zu genehmigen oder abzulehnen und in Echtzeit Erklärungen zu verlangen;
- Alle Zugriffsberechtigungen, die im Rahmen des beaufsichtigten Zugriffs gewährt werden, am Ende des Vorgangs widerrufen werden;
- Alle Vorgänge, die im Rahmen des beaufsichtigten Zugriffs durchgeführt werden, als Administrationsaktionen protokolliert werden;
- Die beaufsichtigte Person und das Gerät, das zur Durchführung des beaufsichtigten Zugriffs verwendet wird, durch die Aufsichtslösung authentisiert werden;
- Die Vorgänge, die die beaufsichtigte Person vorschlägt, und die Handlungen des beaufsichtigenden Personals von der Aufsichtslösung protokolliert werden, einschließlich Vorgängen, die abgelehnt wurden; und
- Informationsflüsse in Richtung des Geräts der beaufsichtigten Person durch die Aufsichtslösung verhindert werden.
Ergänzende Information
Gilt auch für 03B, 04B, 05B, 06B, 03AS, 04AS, 01AC, 02AC
Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist.
Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden.
Ergänzende Information
Gilt auch für 02AC
Der Cloud-Anbieter sollte Details dazu, wie der beaufsichtigte Zugriff durchgeführt wird, für Cloud-Kunden zugänglich machen.
IAM-07.04AC
Zusatz, erweiterndFalls dem Cloud-Kunden im Rahmen des Cloud-Dienstes Zugriff auf Schnittstellen für Administratoren und für Cloud-Nutzer gegeben wird, trennt der Cloud-Anbieter diese Schnittstellen voneinander und stellt sicher, dass sich die Zugriffspfade für Administratoren der Cloud-Kunden von denen für Cloud-Nutzer unterscheiden.
Ergänzende Information
Die Trennung sollte so entworfen und umgesetzt werden, dass Administratoren von Cloud-Kunden auf den Cloud-Dienst zugreifen können, selbst wenn die Schnittstellen der Cloud-Nutzer nicht verfügbar sind.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass ihre Verträge mit dem Cloud-Anbieter eine umfassende Liste aller Fälle enthalten, in denen der Cloud-Anbieter auf Cloud-Kundendaten in unverschlüsselter Form zugreifen könnte. Cloud-Kunden verifizieren, dass diese Bedingungen gründlich dokumentiert sind, bevor sie die Dienste in Anspruch nehmen, damit sie informierte Entscheidungen über Datensicherheit und Compliance treffen können.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie innerhalb eines in den vertraglichen Vereinbarungen festgelegten Zeitrahmens eine Antwort auf Datenzugriffsanfragen des Cloud-Anbieters bereitstellen.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen