# IAM-07 Zugriff auf Cloud-Kundendaten - Bereich: IAM – Identitäts- und Berechtigungsmanagement - Gegenüber C5:2020: geändert (vorher IDM-07) - Webseite: https://c5.patrickscheid.de/iam-07/ ## Basiskriterium ### IAM-07.01B Der Cloud-Anbieter implementiert Maßnahmen für Trennungsmechanismen, die: 1. Hinreichend sind, um die Systemkomponenten zur Bereitstellung des Cloud-Dienstes von den Systemkomponenten der anderen Informationssysteme des Cloud-Anbieters zu trennen; und 2. Geeignet sind, unterschiedliche Cloud-Kunden voneinander zu trennen (vgl. OPS-30 und OPS-31). ### IAM-07.02B Die Maßnahmen für Trennungsmechanismen des Cloud-Anbieters stellen sicher, dass Sicherheitsvorfälle, sofern sie die Systemkomponenten kompromittieren, die die Cloud-Kundendaten speichern, nicht auch die Systemkomponenten kompromittieren, die den Zugriff darauf verwalten. ### IAM-07.03B Sofern dies nicht durch anwendbares Recht verboten ist, wird der Cloud-Kunde durch den Cloud-Anbieter über Ereignisse informiert, bei denen internes oder externes Personal des Cloud-Anbieters, ohne vorherige Zustimmung des Cloud-Kunden, lesend oder schreibend auf die im Cloud-Dienst verarbeiteten, gespeicherten oder übertragenen Daten der Cloud-Kunden zugreifen werden oder zugegriffen haben. Die Information erfolgt je Ereignis, soweit auf die Cloud-Kundendaten in unverschlüsselter Form zugegriffen wird/wurde oder die vertraglichen Vereinbarungen eine solche Information nicht explizit ausschließen. **Ergänzende Information (zu 03B, 04B, 05B, 06B, 03AS, 04AS, 01AC, 02AC, 03AC):** Der Zugriff auf Cloud-Kundendaten umfasst auch die Offenlegung von Daten im Rahmen von Untersuchungsanfragen gemäß INQ-03. Diese sind den Cloud-Kunden mitzuteilen, soweit dies rechtlich nicht verboten ist. Das Kriterium zielt darauf ab, die Fähigkeit des Cloud-Anbieters zum Zugriff auf Cloud-Kundendaten zu minimieren. Die Minimierung der Möglichkeit des Cloud-Anbieters, auf Cloud-Kundendaten zuzugreifen, ist oft eine Frage des Radius des Kollusionskreises. Wenn beispielsweise das Vier-Augen-Prinzip für den Zugriff angewendet wird und der Zugriff protokolliert wird, dann bilden drei Personen den Kollusionskreis. Um Vertrauen in solche Zugriffsaussagen aufzubauen, sollte der Cloud-Anbieter in der Systembeschreibung die Maßnahmen beschreiben, die zur Vergrößerung des Kollusionskreises ergriffen wurden. ### IAM-07.04B Sofern vertraglich nichts anderes vereinbart ist, gehen aus der Information Anlass, Zeitpunkt, Dauer, geografischer Ort, Art und Umfang des Zugriffs, sowie die Aufbewahrungsdauer anderer während des Zugriffs erzeugter Daten, wie Protokolle oder Kopien, die Cloud-Kundendaten enthalten, hervor. Die Informationen sind hinreichend detailliert, um sachverständigen Personen des Cloud-Kunden eine Risikobeurteilung des Zugriffs zu ermöglichen. Die Information erfolgt gemäß der vertraglichen Vereinbarung, spätestens aber 72 Stunden nach dem Zugriff. **Ergänzende Information (zu 04B, 04AS):** Sachverständige Personen im Sinne dieses Kriteriums sind Personen aus z. B. IT, Compliance oder Interne Revision. **Ergänzende Information (zu 04B, 04AS):** Der dem Cloud-Kunden bereitgestellte geografische Ort des Zugriffs muss kein GPS-Standort sein, sollte aber mindestens so präzise sein wie das Land, von dem aus der Zugriff durchgeführt wurde oder durchgeführt werden soll. ### IAM-07.05B Die Information wird gemäß den vertraglichen Vereinbarungen, jedoch spätestens 72 Stunden ab Einleitung des Zugriffs bereitgestellt. ### IAM-07.06B Der Cloud-Anbieter legt durch vertragliche Vereinbarungen und vor dem Anbieten seiner Dienste alle Fälle offen, in denen der Cloud-Anbieter auf Cloud-Kundendaten in unverschlüsselter Form zugreifen kann, während diese im Cloud-Dienst verarbeitet, gespeichert oder übertragen werden. ## Zusatzkriterium ### IAM-07.03AS (Zusatz, verschärft 03B) Zugriffe auf Cloud-Kundendaten und abgeleitete Cloud-Dienstdaten durch internes oder externes Personal des Cloud-Anbieters bedürfen der vorherigen Zustimmung durch autorisiertes Personal des Cloud-Kunden, soweit die Daten des Cloud-Kunden in unverschlüsselter Form zugänglich sind oder die vertraglichen Vereinbarungen eine solche Zustimmung nicht explizit ausschließen. Wenn verschlüsselte Daten und ihr Entschlüsselungsschlüssel innerhalb derselben Cloud-Umgebung getrennt gespeichert werden, ist außerdem eine vorherige Zustimmung nicht nur für den Zugriff auf den Entschlüsselungsschlüssel erforderlich, sondern auch für den Zugriff auf die verschlüsselten Daten selbst (möglicherweise zusammen mit dem Schlüssel). ### IAM-07.04AS (Zusatz, verschärft 04B) Sofern vertraglich nichts anderes vereinbart ist, enthält die für die Zustimmung bereitgestellte Information die Ursache, den Zeitpunkt, die Dauer, den geografischen Ort, die Art und den Umfang des Zugriffs sowie die Aufbewahrungsdauer anderer während des Zugriffs erzeugter Daten, wie Protokolle oder Kopien, die Cloud-Kundendaten enthalten. Die Information ist hinreichend detailliert, um Fachexperten des Cloud-Kunden in die Lage zu versetzen, die Risiken des Zugriffs zu bewerten. Zusätzlich zu den bereitgestellten Informationen legt der Cloud-Anbieter einen Zeitrahmen fest, innerhalb dessen der Cloud-Kunde auf die Zugriffsanfrage reagieren soll. ### IAM-07.06AS (Zusatz, verschärft 06B) Der Cloud-Anbieter legt durch vertragliche Vereinbarungen und vor dem Anbieten seiner Dienste alle Fälle offen, in denen der Cloud-Anbieter auf Cloud-Kundendaten oder abgeleitete Cloud-Dienstdaten in unverschlüsselter Form zugreifen kann, während diese im Cloud-Dienst verarbeitet, gespeichert oder übertragen werden. ### IAM-07.01AC (Zusatz, erweiternd) Falls der Cloud-Anbieter möglicherweise auf die im Cloud-Dienst übertragenen, verarbeiteten oder gespeicherten Cloud-Kundendaten in unverschlüsselter Form zugreifen könnte, nimmt der Cloud-Anbieter durch vertragliche Vereinbarungen Regelungen für Fälle auf, in denen es nicht praktikabel ist, vor einem solchen Zugriff eine vorherige Zustimmung einzuholen. **Ergänzende Information:** Dieses Unterkriterium ist nur anwendbar, wenn auch Unterkriterium IAM-07.03S angewendet wird. Die Einholung einer vorherigen Zustimmung könnte zum Beispiel dann nicht praktikabel sein, wenn der Cloud-Dienst zur Wahrung der Vertraulichkeit, Integrität und Verfügbarkeit der Cloud-Kundendaten auf Fehler hin analysiert werden muss. ### IAM-07.02AC (Zusatz, erweiternd) Um direkt oder indirekt auf Cloud-Kundendaten zugreifen zu können, muss jegliches internes oder externes Personal des Cloud-Anbieters eine angemessene Überprüfung bestanden haben oder andernfalls durch Personal beaufsichtigt werden, das eine angemessene Überprüfung bestanden hat (vgl. HR-01). Der Cloud-Anbieter verifiziert, dass eine dieser Bedingungen erfüllt ist, bevor der Zugriff gewährt wird. Dies gilt auch für Supporttätigkeiten. **Ergänzende Information (zu 02AC, 03AC):** Der Cloud-Anbieter sollte Details dazu, wie der beaufsichtigte Zugriff durchgeführt wird, für Cloud-Kunden zugänglich machen. ### IAM-07.03AC (Zusatz, erweiternd) Falls der durchgeführte Zugriff beaufsichtigt wird, stellt der Cloud-Anbieter sicher, dass: 1. Die Mechanismen, die zur Durchführung des beaufsichtigten Zugriffs verwendet werden, es dem beaufsichtigenden Personal erlauben, einzelne Aktionen der beaufsichtigten Person zu genehmigen oder abzulehnen und in Echtzeit Erklärungen zu verlangen; 2. Alle Zugriffsberechtigungen, die im Rahmen des beaufsichtigten Zugriffs gewährt werden, am Ende des Vorgangs widerrufen werden; 3. Alle Vorgänge, die im Rahmen des beaufsichtigten Zugriffs durchgeführt werden, als Administrationsaktionen protokolliert werden; 4. Die beaufsichtigte Person und das Gerät, das zur Durchführung des beaufsichtigten Zugriffs verwendet wird, durch die Aufsichtslösung authentisiert werden; 5. Die Vorgänge, die die beaufsichtigte Person vorschlägt, und die Handlungen des beaufsichtigenden Personals von der Aufsichtslösung protokolliert werden, einschließlich Vorgängen, die abgelehnt wurden; und 6. Informationsflüsse in Richtung des Geräts der beaufsichtigten Person durch die Aufsichtslösung verhindert werden. ### IAM-07.04AC (Zusatz, erweiternd) Falls dem Cloud-Kunden im Rahmen des Cloud-Dienstes Zugriff auf Schnittstellen für Administratoren und für Cloud-Nutzer gegeben wird, trennt der Cloud-Anbieter diese Schnittstellen voneinander und stellt sicher, dass sich die Zugriffspfade für Administratoren der Cloud-Kunden von denen für Cloud-Nutzer unterscheiden. **Ergänzende Information:** Die Trennung sollte so entworfen und umgesetzt werden, dass Administratoren von Cloud-Kunden auf den Cloud-Dienst zugreifen können, selbst wenn die Schnittstellen der Cloud-Nutzer nicht verfügbar sind. ## Korrespondierende Kriterien für Kunden Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass ihre Verträge mit dem Cloud-Anbieter eine umfassende Liste aller Fälle enthalten, in denen der Cloud-Anbieter auf Cloud-Kundendaten in unverschlüsselter Form zugreifen könnte. Cloud-Kunden verifizieren, dass diese Bedingungen gründlich dokumentiert sind, bevor sie die Dienste in Anspruch nehmen, damit sie informierte Entscheidungen über Datensicherheit und Compliance treffen können. Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie innerhalb eines in den vertraglichen Vereinbarungen festgelegten Zeitrahmens eine Antwort auf Datenzugriffsanfragen des Cloud-Anbieters bereitstellen. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Specified which data types the criterion applies to. Added requirements for partitioning measures between the system components for providing the cloud service and other system components, which reduce the impact of a compromise. Added the geographical location of an access to the information provided to the cloud service customers. Added requirement for informing cloud service customers about potential accesses before the service is offered. **Zusatzkriterium:** Specified which data types the criterion applies to. Modified phrasing of existing additional criterion to be more similar to the phrasing of the basic criterion that is being sharpened. Extended the list of situations in which the cloud service provider needs to ask for consent of the cloud service customer before an access by the edge case in which encrypted data and its decryption key are stored in the same cloud environment and might be accessed together. Added the geographical location of an access to the information provided to the cloud service customers. Added requirement for informing cloud service customers about potential accesses before the service is offered. Added requirement for invluding provisions for cases where it is not feasible to ask for consent prior to an access. Added requirements for personnel that access cloud service customer data to pass an assessment first, or be supervised otherwise. Further added requirements regarding the performance of a supervised access. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.