# IAM-08 Authentisierungsmechanismen - Bereich: IAM – Identitäts- und Berechtigungsmanagement - Gegenüber C5:2020: geändert (vorher IDM-08) - Webseite: https://c5.patrickscheid.de/iam-08/ ## Basiskriterium ### IAM-08.01B Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters, die für die Bereitstellung des Cloud-Dienstes verwendet werden, authentifizieren Cloud-Nutzer des internen und externen Personals des Cloud-Anbieters sowie der Systemkomponenten, die eine Rolle in automatisierten Autorisierungsprozessen des Cloud-Anbieters innehaben. ### IAM-08.02B Der Cloud-Anbieter setzt Multi-Faktor-Authentisierung für jeden Zugriff auf die Produktionsumgebung durch. Diese Anforderung gilt sowohl für menschliche Cloud-Nutzer als auch für automatisierte Prozesse und stellt sicher, dass nur autorisierte Entitäten auf Systeme und Daten in der Produktionsumgebung zugreifen können. **Ergänzende Information:** Multi-Faktor-Authentisierung bedeutet, dass verschiedene Quellen zur Identitätsprüfung verwendet werden. Dies gilt sowohl für menschliche Cloud-Nutzer als auch für automatisierte Prozesse. Menschliche Cloud-Nutzer können verschiedene Faktoren wie ein Passwort und ein Hardware-Token verwenden. Multi-Faktor-Authentisierung für automatisierte Prozesse bedeutet die Verwendung unabhängiger Quellen zur Identitätsprüfung wie z. B. kryptographischer Schlüssel und eines Kurzzeit-Tokens aus einer anderen Quelle. ### IAM-08.03B Innerhalb der Produktionsumgebung erfolgt die Authentisierung der Cloud-Nutzer durch Passwörter, digital signierte Zertifikate oder Verfahren, die mindestens ein gleichwertiges Sicherheitsniveau erreichen. Wenn digital signierte Zertifikate verwendet werden, erfolgt die Administration in Übereinstimmung mit den Richtlinien und Verfahren für den Einsatz kryptographischer Mechanismen (vgl. CRY-01). ### IAM-08.04B Die Authentisierungsvorgaben werden aus einer Risikobeurteilung abgeleitet und in einer Authentisierungsrichtlinie gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt. Die Einhaltung der Vorgaben wird durch die Konfiguration der Systemkomponenten erzwungen, soweit dies technisch möglich ist. Die Authentisierungsrichtlinie beschreibt mindestens die folgenden Aspekte: 1. Die Auswahl geeigneter Mechanismen für jedes Risikoniveau und jeden Identitätstyp; 2. Den Schutz der Anmeldeinformationen, die die Authentisierungsmechanismen verwenden, einschließlich der Vertraulichkeit persönlicher oder geteilter Authentisierungsinformationen und der Nichtweitergabe von Anmeldeinformationen; 3. Die Erzeugung und Verteilung von Anmeldeinformationen für jede neue Identität; 4. Die Nichtwiederverwendung von Anmeldeinformationen; 5. Regeln zur Speicherung von Anmeldeinformationen; 6. Regeln für die Erneuerung von Anmeldeinformationen, einschließlich regelmäßiger Erneuerungen und Erneuerungen für den Fall, dass eine Anmeldeinformation verloren geht oder kompromittiert wird; und 7. Regeln zur erforderlichen Stärke von Anmeldeinformationen, einschließlich Abwägungen zwischen Entropie und Merkfähigkeit, wo anwendbar, sowie Mechanismen zur Kommunikation und Durchsetzung dieser Regeln. ### IAM-08.05B Der Cloud-Anbieter bestimmt mittels einer Risikobeurteilung (vgl. OIS-07) das Risiko, dass die in die Systemkomponenten unter seiner Verantwortung integrierten Authentisierungsmechanismen, die zur Bereitstellung des Cloud-Dienstes verwendet werden, veralten. Auf der Grundlage der Ergebnisse der Risikobeurteilung implementiert der Cloud-Anbieter angemessene Maßnahmen zum Austausch veralteter Authentisierungsmechanismen oder der Systemkomponenten, in die sie integriert sind. ### IAM-08.06B Jeder in die zur Bereitstellung des Cloud-Dienstes verwendeten Systemkomponenten integrierte Authentisierungsmechanismus verfügt über einen Mechanismus zur Deaktivierung einer Identität nach einer vordefinierten Anzahl erfolgloser Authentisierungsversuche. ### IAM-08.07B Der Cloud-Anbieter implementiert Maßnahmen, die verlangen, dass Cloud-Nutzer nur dann auf nicht-personenbezogene Identitäten, die mehreren Personen zugewiesen sind, zugreifen können, nachdem sie bereits mit ihrer einer einzelnen Person zugewiesenen Identität authentisiert wurden. ## Zusatzkriterium ### IAM-08.02AS (Zusatz, verschärft 02B) Der Cloud-Anbieter setzt Multi-Faktor-Authentisierung für jeden Zugriff auf jede Umgebung durch. Diese Anforderung gilt sowohl für menschliche Cloud-Nutzer als auch für automatisierte Prozesse und stellt sicher, dass nur autorisierte Entitäten in allen Umgebungen auf Systeme und Daten zugreifen können. **Ergänzende Information (zu 02AS, 03AS):** Diese Umgebungen umfassen Produktions-, Entwicklungs-, Test- und Staging-Umgebungen. ### IAM-08.03AS (Zusatz, verschärft 03B) Innerhalb einer Umgebung erfolgt die Authentisierung der Cloud-Nutzer durch Passwörter, digital signierte Zertifikate oder Verfahren, die mindestens ein gleichwertiges Sicherheitsniveau erreichen. Wenn digital signierte Zertifikate verwendet werden, erfolgt die Administration in Übereinstimmung mit den Richtlinien und Verfahren für den Einsatz kryptographischer Mechanismen (vgl. CRY-01). ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Added requirement regarding the security level of authentication credentials. Extended specification of the procedure for server-side storage of passwords to include provisions for cases in which passwords are stored for later use in plaintext. Added requirement for the cloud service provider to provide rules and recommendations for credential management to its users. Bullet points are now sorted to ease discussions about specific list items. **Zusatzkriterium:** No change. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.