PSS-07 Vertraulichkeit von Authentisierungsinformationen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Realigned requirement regarding the procedures for protecting the confidentiality of passwords to be about the cloud service provider providing the cloud service customer with these procedures.
Provided further specifications regarding the password reset procedure.
Added requirement to make rules and recommendations available to cloud service customers.
Added requirement to use additional security mechanisms for distributing credentials.
Bullet points are now sorted to ease discussions about specific list items.
Wortlaut in C5:2020
Basiskriterium
If passwords are used as authentication information for the cloud service, their confidentiality is ensured by the following procedures:
- Users can initially create the password themselves or must change an initial password when logging in to the cloud service for the first time. An initial password loses its validity after a maximum of 14 days.
- When creating passwords, compliance with the length and complexity requirements of the Cloud Service Provider (cf. IDM-09) or the cloud customer is technically enforced.
- The user is informed about changing or resetting the password.
- The server-side storage takes place using state-of-the-art cryptographically strong hash functions in combination with at least 32-bit long salt values.
Basiskriterium
Falls Passwörter als Authentisierungsinformationen für den Cloud-Dienst verwendet werden, stellt der Cloud-Anbieter den Cloud-Kunden die folgenden Verfahren zum Schutz der Vertraulichkeit der Passwörter zur Verfügung:
- Cloud-Nutzer können das Passwort zunächst selbst erstellen oder müssen ein Initialpasswort bei der ersten Anmeldung am Cloud-Dienst ändern. Ein Initialpasswort verliert nach maximal 14 Tagen seine Gültigkeit;
- Bei der Erstellung von Passwörtern wird die Einhaltung der Längen- und Komplexitätsanforderungen des Cloud-Anbieters (vgl. IAM-08) oder des Cloud-Kunden technisch erzwungen;
- Der Cloud-Nutzer wird über die Änderung oder Zurücksetzung des Passworts informiert. Verfahren zum Zurücksetzen von Passwörtern sind höchstens 48 Stunden gültig. Nachdem das Zurücksetzungsverfahren verwendet wurde, ist das Passwort vom Cloud-Nutzer zu ändern; und
- Die serverseitige Speicherung verwendet Hashfunktionen in Kombination mit Salt-Werten, die beide dem Stand der Technik entsprechen.
Ergänzende Information
Der Stand der Technik in Bezug auf kryptographische Hashfunktionen wird in der aktuellen Version der Technischen Richtlinie TR-02102-1 'Kryptographische Verfahren: Empfehlungen und Schlüssellängen' des BSI beschrieben.
Regeln und Empfehlungen werden den Cloud-Kunden so mitgeteilt, wie sie für die Cloud-Nutzer unter ihrer Verantwortung anwendbar sind. Der Cloud-Anbieter bietet den Cloud-Kunden Werkzeuge für die Verwaltung und Erzwingung dieser Regeln an.
Bei der Verteilung von Zugangsdaten überprüft der Cloud-Anbieter die Identität des Empfängers, validiert die Anfrage und schützt die Zugangsdaten durch den Einsatz zusätzlicher Sicherheitsmechanismen wie Multi-Faktor-Authentisierung.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie hinreichend sichere Passwörter verwenden (vgl. IAM-08) und die vom Cloud-Anbieter bereitgestellten Verfahren zum Schutz der Vertraulichkeit der Passwörter entsprechend ihrer eigenen Einschätzung einsetzen und dass die mit ihrer eigenen Wahl verbundenen Risiken unautorisierter Zugriffe getragen werden. Falls Cloud-Kunden virtuelle Maschinen oder Container mit dem Cloud-Dienst betreiben, stellen sie mit geeigneten Kontrollen sicher, dass die Vertraulichkeit der Informationen auch bei der Zuweisung von Authentisierungsinformationen für die virtuellen Maschinen oder Container gewährleistet ist.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen