PSS-05 Authentisierungsmechanismen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Replaced requirement for strong authentication with requirement for multi-factor authentication.
Realigned requirement regarding the enforcement of authentication mechanism to be about providing the cloud service customer with the ability to enforce the mechanisms.
Zusatzkriterium
No change.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider provides authentication mechanisms that can force strong authentication (e.g. two or more factors) for users, IT components or applications within the cloud users' area of responsibility.
These authentication mechanisms are set up at all access points that allow users, IT components or applications to interact with the cloud service.
For privileged users, IT components or applications, these authentication mechanisms are enforced.
Zusatzkriterium
The cloud service offers out-of-band authentication (OOB), in which the factors are transmitted via different channels (e.g. Internet and mobile network).
Ergänzende Information zu allen Unterkriterien
IT-Komponenten im Sinne dieses Kriteriums sind eigenständig nutzbare Objekte mit externen Schnittstellen, die mit anderen IT-Komponenten verbunden werden können.
Zugangspunkte im Sinne dieses Kriteriums sind solche, die von Cloud-Nutzern, IT-Komponenten oder Anwendungen über Netze erreicht werden können (für Cloud-Nutzer beispielsweise der Anmeldebildschirm auf der öffentlich zugänglichen Website des Cloud-Anbieters).
Multi-Faktor-Authentisierung sollte erzwungen werden und kann z. B. mit kryptographischen Zertifikaten, Smartcards oder Token durchgeführt werden.
Basiskriterium
Der bereitgestellte Cloud-Dienst ist mit Authentisierungsmechanismen ausgestattet, die für Cloud-Nutzer, IT-Komponenten oder Anwendungen innerhalb des Verantwortungsbereichs der Cloud-Kunden Multi-Faktor-Authentisierung erzwingen können. Diese Authentisierungsmechanismen sind an allen Zugangspunkten eingerichtet, die es Cloud-Nutzern, IT-Komponenten oder Anwendungen ermöglichen, mit dem Cloud-Dienst zu interagieren.
Für privilegierte Cloud-Nutzer, IT-Komponenten oder Anwendungen unter der Verantwortung des Cloud-Kunden können diese Authentisierungsmechanismen vom Cloud-Kunden erzwungen werden.
Zusatzkriterium
PSS-05.01AC
Zusatz, erweiterndDer Cloud-Dienst bietet Out-of-Band-Authentisierung (OOB-Authentisierung), bei der die Faktoren über unterschiedliche Kanäle übertragen werden (z. B. Internet und Mobilfunknetz).
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die vom Cloud-Dienst angebotenen Authentisierungsmechanismen gemäß den Vorgaben des Identitäts- und Berechtigungsmanagement des Cloud-Kunden genutzt werden. Falls Cloud-Kunden virtuelle Maschinen oder Container mit dem Cloud-Dienst betreiben, stellen sie mit geeigneten Kontrollen sicher, dass die Authentisierungsmechanismen container-spezifische Szenarien abdecken, wie etwa Multi-Faktor-Authentisierung für Container-Hosts und den Zugriff auf Registries.
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen