PSS-06 Session Management
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Replaced requirement for session management that complies with the state of the art with requirement for session management that complies with the established rules of technology.
Wortlaut in C5:2020
Basiskriterium
To protect confidentiality, availability, integrity and authenticity during interactions with the cloud service, a suitable session management system is used that at least corresponds to the state-of-the-art and is protected against known attacks. Mechanisms are implemented that invalidate a session after it has been detected as inactive. The inactivity can be detected by time measurement. In this case, the time interval can be configured by the Cloud Service Provider or - if technically possible - by the cloud customer.
Basiskriterium
Zum Schutz von Vertraulichkeit, Verfügbarkeit, Integrität und Authentizität während der Interaktionen mit dem Cloud-Dienst wird ein geeignetes Session Management verwendet, das dem Stand der Technik entspricht und gegen bekannte Angriffe geschützt ist.
Ergänzende Information
Bekannte Angriffe umfassen Manipulation, Fälschung, Sessionübernahme, Denial-of-Service-Angriffe, Enveloping-, Replay- und Null-Cipher-Angriffe.
Es werden Mechanismen implementiert, die eine Session ungültig machen, nachdem erkannt wurde, dass sie inaktiv ist. Die Inaktivität kann durch Zeitmessung erkannt werden. In diesem Fall kann das Zeitintervall vom Cloud-Anbieter oder - soweit technisch möglich - vom Cloud-Kunden konfiguriert werden.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie die Schutzfunktionen des Session Managements des Cloud-Dienstes gemäß den Vorgaben aus ihrem eigenen ISMS nutzen. Außerdem legen sie die Zeitspanne, nach der eine Session ungültig wird, nach den Vorgaben aus ihrem eigenen ISMS fest.
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen