# PSS-08 Rahmenwerk für Rollen und Berechtigungen

- Bereich: PSS – Produktsicherheit
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/pss-08/

## Basiskriterium

### PSS-08.01B

Der bereitgestellte Cloud-Dienst umfasst ein Rahmenwerk für Rollen und Berechtigungen für Cloud-Nutzer des Cloud-Kunden. Dieses Rahmenwerk ermöglicht es Cloud-Nutzern, ihre eigenen Zugriffsrechte zu verwalten. Es beschreibt Zugriffsrechte und Rollen für die vom Cloud-Dienst bereitgestellten Funktionen. Cloud-Kunden können relevante Parameter der Zugriffskontrolle selbst konfigurieren.

**Ergänzende Information:**

Bei IaaS würde ein Rahmenwerk für Rollen und Berechtigungen unter anderem die Zugriffsrechte und Rollen für die folgenden Funktionen des Cloud-Dienstes beschreiben:

1. Verwaltung der Zustände virtueller Maschinen (Start, Pause, Stopp) sowie ihrer Migration oder Überwachung;
2. Verwaltung verfügbarer Images, die zur Erstellung virtueller Maschinen verwendet werden können; und
3. Verwaltung virtueller Netze (z. B. Konfiguration virtueller Router und Switches).

### PSS-08.02B

Die Zugriffsrechte und Rollen sind geeignet, Cloud-Nutzern des Cloud-Kunden die Verwaltung von Zugriffsrechten und Zugangsberechtigungen in Übereinstimmung mit dem Prinzip der geringsten Berechtigung ('Least-Privilege-Prinzip') und soweit dies für die Erfüllung von Aufgaben erforderlich ist ('Need-to-know-Prinzip') zu ermöglichen und das Prinzip der funktionalen Trennung zwischen ausführenden und kontrollierenden Funktionen ('Separation of Duties') umzusetzen.

### PSS-08.03B

Der bereitgestellte Cloud-Dienst ist mit einer Funktionalität ausgestattet, die Cloud-Kunden dabei unterstützt, Cloud-Nutzerzugriffsrechte unter ihrer Verantwortung zu überprüfen.

**Ergänzende Information:**

Diese Funktionalität kann z. B. das Abrufen einer Liste aller Rollen und Zugriffe umfassen, die der Cloud-Kunde aktiviert hat, und wann sie zuletzt geändert wurden.

### PSS-08.04B

Falls der Cloud-Dienst die Verwaltung von Kundenidentitäten umfasst, ist der bereitgestellte Cloud-Dienst für eine bestimmte Kundenidentität mit einer Funktionalität ausgestattet, eine Liste der dieser Identität derzeit gewährten Zugriffsrechte gemäß den vertraglichen Bedingungen bereitzustellen.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass:

1. Sie das vom Cloud-Anbieter angebotene Rahmenwerk für Rollen und Berechtigungen sowie die begleitenden Funktionalitäten aktiv nutzen;
2. Die Erteilung von Berechtigungen an Cloud-Nutzer in ihrem Verantwortungsbereich einer Autorisierung unterliegt; und
3. Die Angemessenheit der zugewiesenen Berechtigungen regelmäßig überprüft wird und Berechtigungen bei erforderlichen Änderungen (z. B. Ausscheiden von Personal) zeitnah angepasst oder entzogen werden.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Added requirement for the cloud service customers to be able to configure relevant access control parameters themselves.

Added requirement for the cloud service customer to be provided with a functionality for reviewing user access rights.

Added requirement for, where applicable, the cloud service provider being able to produce a list of currently granted access rights for a customer identity.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.