IAM · Identitäts- und Berechtigungsmanagement
IAM-08 Authentisierungsmechanismen
Geändert gegenüber C5:2020 · vorher IDM-08
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Added requirement regarding the security level of authentication credentials.
Extended specification of the procedure for server-side storage of passwords to include provisions for cases in which passwords are stored for later use in plaintext.
Added requirement for the cloud service provider to provide rules and recommendations for credential management to its users.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
No change.
Wortlaut in C5:2020
Basiskriterium
The allocation of authentication information to access system components used to provide the cloud service to internal and external users of the cloud provider and system components that are involved in automated authorisation processes of the cloud provider is done in an orderly manner that ensures the confidentiality of the information. If passwords are used as authentication information, their confidentiality is ensured by the following procedures, as far as technically possible:
- Users can initially create the password themselves or must change an initial password when logging on to the system component for the first time. An initial password loses its validity after a maximum of 14 days.
- When creating passwords, compliance with the password specifications (cf. IDM-12) is enforced as far as technically possible.
- The user is informed about changing or resetting the password.
- The server-side storage takes place using cryptographically strong hash functions.
Deviations are evaluated by means of a risk analysis and mitigating measures derived from this are implemented.
Zusatzkriterium
The users sign a declaration in which they assure that they treat personal (or shared) authentication information confidentially and keep it exclusively for themselves (within the members of the group).
Basiskriterium
Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters, die für die Bereitstellung des Cloud-Dienstes verwendet werden, authentifizieren Cloud-Nutzer des internen und externen Personals des Cloud-Anbieters sowie der Systemkomponenten, die eine Rolle in automatisierten Autorisierungsprozessen des Cloud-Anbieters innehaben.
Der Cloud-Anbieter setzt Multi-Faktor-Authentisierung für jeden Zugriff auf die Produktionsumgebung durch. Diese Anforderung gilt sowohl für menschliche Cloud-Nutzer als auch für automatisierte Prozesse und stellt sicher, dass nur autorisierte Entitäten auf Systeme und Daten in der Produktionsumgebung zugreifen können.
Ergänzende Information
Multi-Faktor-Authentisierung bedeutet, dass verschiedene Quellen zur Identitätsprüfung verwendet werden. Dies gilt sowohl für menschliche Cloud-Nutzer als auch für automatisierte Prozesse. Menschliche Cloud-Nutzer können verschiedene Faktoren wie ein Passwort und ein Hardware-Token verwenden. Multi-Faktor-Authentisierung für automatisierte Prozesse bedeutet die Verwendung unabhängiger Quellen zur Identitätsprüfung wie z. B. kryptographischer Schlüssel und eines Kurzzeit-Tokens aus einer anderen Quelle.
Innerhalb der Produktionsumgebung erfolgt die Authentisierung der Cloud-Nutzer durch Passwörter, digital signierte Zertifikate oder Verfahren, die mindestens ein gleichwertiges Sicherheitsniveau erreichen. Wenn digital signierte Zertifikate verwendet werden, erfolgt die Administration in Übereinstimmung mit den Richtlinien und Verfahren für den Einsatz kryptographischer Mechanismen (vgl. CRY-01).
Die Authentisierungsvorgaben werden aus einer Risikobeurteilung abgeleitet und in einer Authentisierungsrichtlinie gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt. Die Einhaltung der Vorgaben wird durch die Konfiguration der Systemkomponenten erzwungen, soweit dies technisch möglich ist. Die Authentisierungsrichtlinie beschreibt mindestens die folgenden Aspekte:
- Die Auswahl geeigneter Mechanismen für jedes Risikoniveau und jeden Identitätstyp;
- Den Schutz der Anmeldeinformationen, die die Authentisierungsmechanismen verwenden, einschließlich der Vertraulichkeit persönlicher oder geteilter Authentisierungsinformationen und der Nichtweitergabe von Anmeldeinformationen;
- Die Erzeugung und Verteilung von Anmeldeinformationen für jede neue Identität;
- Die Nichtwiederverwendung von Anmeldeinformationen;
- Regeln zur Speicherung von Anmeldeinformationen;
- Regeln für die Erneuerung von Anmeldeinformationen, einschließlich regelmäßiger Erneuerungen und Erneuerungen für den Fall, dass eine Anmeldeinformation verloren geht oder kompromittiert wird; und
- Regeln zur erforderlichen Stärke von Anmeldeinformationen, einschließlich Abwägungen zwischen Entropie und Merkfähigkeit, wo anwendbar, sowie Mechanismen zur Kommunikation und Durchsetzung dieser Regeln.
Der Cloud-Anbieter bestimmt mittels einer Risikobeurteilung (vgl. OIS-07) das Risiko, dass die in die Systemkomponenten unter seiner Verantwortung integrierten Authentisierungsmechanismen, die zur Bereitstellung des Cloud-Dienstes verwendet werden, veralten. Auf der Grundlage der Ergebnisse der Risikobeurteilung implementiert der Cloud-Anbieter angemessene Maßnahmen zum Austausch veralteter Authentisierungsmechanismen oder der Systemkomponenten, in die sie integriert sind.
Jeder in die zur Bereitstellung des Cloud-Dienstes verwendeten Systemkomponenten integrierte Authentisierungsmechanismus verfügt über einen Mechanismus zur Deaktivierung einer Identität nach einer vordefinierten Anzahl erfolgloser Authentisierungsversuche.
Der Cloud-Anbieter implementiert Maßnahmen, die verlangen, dass Cloud-Nutzer nur dann auf nicht-personenbezogene Identitäten, die mehreren Personen zugewiesen sind, zugreifen können, nachdem sie bereits mit ihrer einer einzelnen Person zugewiesenen Identität authentisiert wurden.
Zusatzkriterium
IAM-08.02AS
Zusatz, verschärft02BDer Cloud-Anbieter setzt Multi-Faktor-Authentisierung für jeden Zugriff auf jede Umgebung durch. Diese Anforderung gilt sowohl für menschliche Cloud-Nutzer als auch für automatisierte Prozesse und stellt sicher, dass nur autorisierte Entitäten in allen Umgebungen auf Systeme und Daten zugreifen können.
Ergänzende Information
Gilt auch für 03AS
Diese Umgebungen umfassen Produktions-, Entwicklungs-, Test- und Staging-Umgebungen.
IAM-08.03AS
Zusatz, verschärft03BInnerhalb einer Umgebung erfolgt die Authentisierung der Cloud-Nutzer durch Passwörter, digital signierte Zertifikate oder Verfahren, die mindestens ein gleichwertiges Sicherheitsniveau erreichen. Wenn digital signierte Zertifikate verwendet werden, erfolgt die Administration in Übereinstimmung mit den Richtlinien und Verfahren für den Einsatz kryptographischer Mechanismen (vgl. CRY-01).
Ergänzende Information
Gilt auch für 02AS
Diese Umgebungen umfassen Produktions-, Entwicklungs-, Test- und Staging-Umgebungen.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen