IAM · Identitäts- und Berechtigungsmanagement
IAM-09 Vertraulichkeit von Authentisierungsinformationen
Geändert gegenüber C5:2020 · vorher IDM-08
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Added requirement regarding the security level of authentication credentials.
Extended specification of the procedure for server-side storage of passwords to include provisions for cases in which passwords are stored for later use in plaintext.
Added requirement for the cloud service provider to provide rules and recommendations for credential management to its users.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
No change.
Wortlaut in C5:2020
Basiskriterium
The allocation of authentication information to access system components used to provide the cloud service to internal and external users of the cloud provider and system components that are involved in automated authorisation processes of the cloud provider is done in an orderly manner that ensures the confidentiality of the information. If passwords are used as authentication information, their confidentiality is ensured by the following procedures, as far as technically possible:
- Users can initially create the password themselves or must change an initial password when logging on to the system component for the first time. An initial password loses its validity after a maximum of 14 days.
- When creating passwords, compliance with the password specifications (cf. IDM-12) is enforced as far as technically possible.
- The user is informed about changing or resetting the password.
- The server-side storage takes place using cryptographically strong hash functions.
Deviations are evaluated by means of a risk analysis and mitigating measures derived from this are implemented.
Zusatzkriterium
The users sign a declaration in which they assure that they treat personal (or shared) authentication information confidentially and keep it exclusively for themselves (within the members of the group).
Basiskriterium
Die Zuweisung von Authentisierungsinformationen für den Zugriff auf Systemkomponenten, die zur Bereitstellung des Cloud-Dienstes für interne und externe Cloud-Nutzer des Cloud-Anbieters sowie für Systemkomponenten verwendet werden, die an automatisierten Autorisierungsprozessen des Cloud-Anbieters beteiligt sind, erfolgt in geordneter Weise, die die Vertraulichkeit der Informationen sicherstellt.
Authentisierungsnachweise werden mit einem Sicherheitsniveau verwaltet, das der Klassifizierung der Systemkomponente, die sie schützen, entspricht oder diese übertrifft.
Soweit Passwörter als Authentisierungsinformationen eingesetzt werden, ist deren Vertraulichkeit durch folgende Verfahren sichergestellt, soweit dies technisch möglich ist:
- Cloud-Nutzer können das Passwort initial selbst erstellen oder müssen ein initial vorgegebenes Passwort bei der ersten Anmeldung an der Systemkomponente ändern. Ein initial vorgegebenes Passwort verliert nach maximal 14 Tagen seine Gültigkeit;
- Beim Erstellen von Passwörtern wird das Einhalten der Authentisierungsrichtlinie (vgl. IAM-08) erzwungen, soweit dies technisch möglich ist;
- Der Cloud-Nutzer wird über das Ändern oder Zurücksetzen des Passworts informiert; und
- Die serverseitige Speicherung erfolgt unter Verwendung kryptographischer Hashfunktionen nach dem Stand der Technik, mit Ausnahme von Passwörtern, die zur späteren Verwendung in Klartextform gespeichert werden, beispielsweise in einem Passwortmanager. In diesem Fall werden kryptographische Mechanismen nach dem Stand der Technik verwendet, um die Passwörter zu schützen.
Abweichungen werden mittels einer Risikobeurteilung gemäß OIS-07 bewertet und daraus abgeleitete mindernde Maßnahmen werden umgesetzt.
Regeln und Empfehlungen für die Verwaltung von Anmeldeinformationen in Übereinstimmung mit der Authentisierungsrichtlinie (vgl. IAM-08) werden dokumentiert, kommuniziert und allen Cloud-Nutzern im Verantwortungsbereich des Cloud-Anbieters zur Verfügung gestellt. Sie umfassen Empfehlungen zu Passwortmanagern und Empfehlungen, um insbesondere klassische Angriffe wie Phishing, Social Attacks und Whaling zu adressieren.
Verwendete kryptographische Mechanismen entsprechen den Richtlinien und Anweisungen für kryptographische Mechanismen (vgl. CRY-01).
Passwort-Zurücksetzungsverfahren sind höchstens 24 Stunden gültig. Nachdem das Zurücksetzungsverfahren verwendet wurde, ist das Passwort durch den Cloud-Nutzer zu ändern.
Ergänzende Information
Dieses Unterkriterium ist nur auf passwortbasierte Authentisierungsschemata anwendbar.
Zusatzkriterium
IAM-09.01AC
Zusatz, erweiterndDie Cloud-Nutzer bestätigen in einer Erklärung, dass sie persönliche (bzw. geteilte) Authentisierungsinformationen vertraulich behandeln und ausschließlich für sich (bzw. innerhalb der Gruppe) behalten.
Ergänzende Information
Ergänzende Information
Soweit dies rechtsverbindlich ist, können Erklärungen unter Verwendung einer elektronischen Signatur unterzeichnet werden.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen