# IAM-09 Vertraulichkeit von Authentisierungsinformationen

- Bereich: IAM – Identitäts- und Berechtigungsmanagement
- Gegenüber C5:2020: geändert (vorher IDM-08)
- Webseite: https://c5.patrickscheid.de/iam-09/

## Basiskriterium

### IAM-09.01B

Die Zuweisung von Authentisierungsinformationen für den Zugriff auf Systemkomponenten, die zur Bereitstellung des Cloud-Dienstes für interne und externe Cloud-Nutzer des Cloud-Anbieters sowie für Systemkomponenten verwendet werden, die an automatisierten Autorisierungsprozessen des Cloud-Anbieters beteiligt sind, erfolgt in geordneter Weise, die die Vertraulichkeit der Informationen sicherstellt.

**Ergänzende Information (zu 01B, 02B, 03B, 01AC):**

Authentisierungsinformationen im Sinne des Basiskriteriums sind Cloud-Anbieterdaten.

### IAM-09.02B

Authentisierungsnachweise werden mit einem Sicherheitsniveau verwaltet, das der Klassifizierung der Systemkomponente, die sie schützen, entspricht oder diese übertrifft.

### IAM-09.03B

Soweit Passwörter als Authentisierungsinformationen eingesetzt werden, ist deren Vertraulichkeit durch folgende Verfahren sichergestellt, soweit dies technisch möglich ist:

1. Cloud-Nutzer können das Passwort initial selbst erstellen oder müssen ein initial vorgegebenes Passwort bei der ersten Anmeldung an der Systemkomponente ändern. Ein initial vorgegebenes Passwort verliert nach maximal 14 Tagen seine Gültigkeit;
2. Beim Erstellen von Passwörtern wird das Einhalten der Authentisierungsrichtlinie (vgl. IAM-08) erzwungen, soweit dies technisch möglich ist;
3. Der Cloud-Nutzer wird über das Ändern oder Zurücksetzen des Passworts informiert; und
4. Die serverseitige Speicherung erfolgt unter Verwendung kryptographischer Hashfunktionen nach dem Stand der Technik, mit Ausnahme von Passwörtern, die zur späteren Verwendung in Klartextform gespeichert werden, beispielsweise in einem Passwortmanager. In diesem Fall werden kryptographische Mechanismen nach dem Stand der Technik verwendet, um die Passwörter zu schützen.

### IAM-09.04B

Abweichungen werden mittels einer Risikobeurteilung gemäß OIS-07 bewertet und daraus abgeleitete mindernde Maßnahmen werden umgesetzt.

### IAM-09.05B

Regeln und Empfehlungen für die Verwaltung von Anmeldeinformationen in Übereinstimmung mit der Authentisierungsrichtlinie (vgl. IAM-08) werden dokumentiert, kommuniziert und allen Cloud-Nutzern im Verantwortungsbereich des Cloud-Anbieters zur Verfügung gestellt. Sie umfassen Empfehlungen zu Passwortmanagern und Empfehlungen, um insbesondere klassische Angriffe wie Phishing, Social Attacks und Whaling zu adressieren.

### IAM-09.06B

Verwendete kryptographische Mechanismen entsprechen den Richtlinien und Anweisungen für kryptographische Mechanismen (vgl. CRY-01).

### IAM-09.07B

Passwort-Zurücksetzungsverfahren sind höchstens 24 Stunden gültig. Nachdem das Zurücksetzungsverfahren verwendet wurde, ist das Passwort durch den Cloud-Nutzer zu ändern.

**Ergänzende Information:**

Dieses Unterkriterium ist nur auf passwortbasierte Authentisierungsschemata anwendbar.

## Zusatzkriterium

### IAM-09.01AC (Zusatz, erweiternd)

Die Cloud-Nutzer  bestätigen in einer Erklärung, dass sie persönliche (bzw. geteilte) Authentisierungsinformationen vertraulich behandeln und ausschließlich für sich (bzw. innerhalb der Gruppe) behalten.

**Ergänzende Information:**

Soweit dies rechtsverbindlich ist, können Erklärungen unter Verwendung einer elektronischen Signatur unterzeichnet werden.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Added requirement regarding the security level of authentication credentials.

Extended specification of the procedure for server-side storage of passwords to include provisions for cases in which passwords are stored for later use in plaintext.

Added requirement for the cloud service provider to provide rules and recommendations for credential management to its users.

Bullet points are now sorted to ease discussions about specific list items.

**Zusatzkriterium:**

No change.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.