PSS-08 Rahmenwerk für Rollen und Berechtigungen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Added requirement for the cloud service customers to be able to configure relevant access control parameters themselves.
Added requirement for the cloud service customer to be provided with a functionality for reviewing user access rights.
Added requirement for, where applicable, the cloud service provider being able to produce a list of currently granted access rights for a customer identity.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider provides cloud users with a roles and rights concept for managing access rights. It describes rights profiles for the functions provided by the cloud service.
The rights profiles are suitable for enabling cloud users to manage access authorisations and permissions in accordance with the principle of least-privilege and how it is necessary for the performance of tasks ("need-to-know principle") and to implement the principle of functional separation between operational and controlling functions ("separation of duties").
Basiskriterium
Der bereitgestellte Cloud-Dienst umfasst ein Rahmenwerk für Rollen und Berechtigungen für Cloud-Nutzer des Cloud-Kunden. Dieses Rahmenwerk ermöglicht es Cloud-Nutzern, ihre eigenen Zugriffsrechte zu verwalten. Es beschreibt Zugriffsrechte und Rollen für die vom Cloud-Dienst bereitgestellten Funktionen. Cloud-Kunden können relevante Parameter der Zugriffskontrolle selbst konfigurieren.
Ergänzende Information
Bei IaaS würde ein Rahmenwerk für Rollen und Berechtigungen unter anderem die Zugriffsrechte und Rollen für die folgenden Funktionen des Cloud-Dienstes beschreiben:
- Verwaltung der Zustände virtueller Maschinen (Start, Pause, Stopp) sowie ihrer Migration oder Überwachung;
- Verwaltung verfügbarer Images, die zur Erstellung virtueller Maschinen verwendet werden können; und
- Verwaltung virtueller Netze (z. B. Konfiguration virtueller Router und Switches).
Die Zugriffsrechte und Rollen sind geeignet, Cloud-Nutzern des Cloud-Kunden die Verwaltung von Zugriffsrechten und Zugangsberechtigungen in Übereinstimmung mit dem Prinzip der geringsten Berechtigung ('Least-Privilege-Prinzip') und soweit dies für die Erfüllung von Aufgaben erforderlich ist ('Need-to-know-Prinzip') zu ermöglichen und das Prinzip der funktionalen Trennung zwischen ausführenden und kontrollierenden Funktionen ('Separation of Duties') umzusetzen.
Der bereitgestellte Cloud-Dienst ist mit einer Funktionalität ausgestattet, die Cloud-Kunden dabei unterstützt, Cloud-Nutzerzugriffsrechte unter ihrer Verantwortung zu überprüfen.
Ergänzende Information
Diese Funktionalität kann z. B. das Abrufen einer Liste aller Rollen und Zugriffe umfassen, die der Cloud-Kunde aktiviert hat, und wann sie zuletzt geändert wurden.
Falls der Cloud-Dienst die Verwaltung von Kundenidentitäten umfasst, ist der bereitgestellte Cloud-Dienst für eine bestimmte Kundenidentität mit einer Funktionalität ausgestattet, eine Liste der dieser Identität derzeit gewährten Zugriffsrechte gemäß den vertraglichen Bedingungen bereitzustellen.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass:
- Sie das vom Cloud-Anbieter angebotene Rahmenwerk für Rollen und Berechtigungen sowie die begleitenden Funktionalitäten aktiv nutzen;
- Die Erteilung von Berechtigungen an Cloud-Nutzer in ihrem Verantwortungsbereich einer Autorisierung unterliegt; und
- Die Angemessenheit der zugewiesenen Berechtigungen regelmäßig überprüft wird und Berechtigungen bei erforderlichen Änderungen (z. B. Ausscheiden von Personal) zeitnah angepasst oder entzogen werden.
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen