# PSS-07 Vertraulichkeit von Authentisierungsinformationen

- Bereich: PSS – Produktsicherheit
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/pss-07/

## Basiskriterium

### PSS-07.01B

Falls Passwörter als Authentisierungsinformationen für den Cloud-Dienst verwendet werden, stellt der Cloud-Anbieter den Cloud-Kunden die folgenden Verfahren zum Schutz der Vertraulichkeit der Passwörter zur Verfügung:

1. Cloud-Nutzer können das Passwort zunächst selbst erstellen oder müssen ein Initialpasswort bei der ersten Anmeldung am Cloud-Dienst ändern. Ein Initialpasswort verliert nach maximal 14 Tagen seine Gültigkeit;
2. Bei der Erstellung von Passwörtern wird die Einhaltung der Längen- und Komplexitätsanforderungen des Cloud-Anbieters (vgl. IAM-08) oder des Cloud-Kunden technisch erzwungen;
3. Der Cloud-Nutzer wird über die Änderung oder Zurücksetzung des Passworts informiert. Verfahren zum Zurücksetzen von Passwörtern sind höchstens 48 Stunden gültig. Nachdem das Zurücksetzungsverfahren verwendet wurde, ist das Passwort vom Cloud-Nutzer zu ändern; und
4. Die serverseitige Speicherung verwendet Hashfunktionen in Kombination mit Salt-Werten, die beide dem Stand der Technik entsprechen.

**Ergänzende Information:**

Der Stand der Technik in Bezug auf kryptographische Hashfunktionen wird in der aktuellen Version der Technischen Richtlinie TR-02102-1 'Kryptographische Verfahren: Empfehlungen und Schlüssellängen' des BSI beschrieben.

### PSS-07.02B

Regeln und Empfehlungen werden den Cloud-Kunden so mitgeteilt, wie sie für die Cloud-Nutzer unter ihrer Verantwortung anwendbar sind. Der Cloud-Anbieter bietet den Cloud-Kunden Werkzeuge für die Verwaltung und Erzwingung dieser Regeln an.

### PSS-07.03B

Bei der Verteilung von Zugangsdaten überprüft der Cloud-Anbieter die Identität des Empfängers, validiert die Anfrage und schützt die Zugangsdaten durch den Einsatz zusätzlicher Sicherheitsmechanismen wie Multi-Faktor-Authentisierung.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie hinreichend sichere Passwörter verwenden (vgl. IAM-08) und die vom Cloud-Anbieter bereitgestellten Verfahren zum Schutz der Vertraulichkeit der Passwörter entsprechend ihrer eigenen Einschätzung einsetzen und dass die mit ihrer eigenen Wahl verbundenen Risiken unautorisierter Zugriffe getragen werden. Falls Cloud-Kunden virtuelle Maschinen oder Container mit dem Cloud-Dienst betreiben, stellen sie mit geeigneten Kontrollen sicher, dass die Vertraulichkeit der Informationen auch bei der Zuweisung von Authentisierungsinformationen für die virtuellen Maschinen oder Container gewährleistet ist.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Realigned requirement regarding the procedures for protecting the confidentiality of passwords to be about the cloud service provider providing the cloud service customer with these procedures.

Provided further specifications regarding the password reset procedure.

Added requirement to make rules and recommendations available to cloud service customers.

Added requirement to use additional security mechanisms for distributing credentials.

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.