Rechtlich-regulatorische Anforderungen an das Identitäts- und Berechtigungsmanagement beim Anbieter
Vertraulichkeit von Authentisierungsinformationen (IDP-01)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Authentisierungsinformationen an internes und externes Personal und Systemkomponenten in einem geordneten Verfahren zuzuteilen, das die Vertraulichkeit der Informationen sicherstellt. (Vgl. BSI C5:2026 IAM-08)
Passwörter als Authentisierungsinformationen (IDP-02)
Falls Passwörter als Authentisierungsinformationen eingesetzt werden, muss die DREAM-Lösung es dem Anbieter ermöglichen, die Vertraulichkeit der Passwörter durch folgende Verfahren sicherzustellen: initiale Erstellung von Passwörtern durch die Nutzenden (alternativ: initial vorgegebene Passwörter mit befristeter Gültigkeit, die bei der ersten Anmeldung geändert werden müssen); Erzwingen der Einhaltung von Passwort-Vorgaben; Information der Nutzenden beim Ändern oder Zurücksetzen ihres Passworts; serverseitige Speicherung der Passwörter unter Anwendung von Passworthashfunktionen, die dem Stand der Technik entsprechen. (Vgl. BSI C5:2026 IAM-08)
Authentisierungsmechanismen von Systemkomponenten (IDP-03)
Die DREAM-Lösung muss dem Anbieter die Möglichkeit bieten, dass Systemkomponenten der DREAM-Lösung Benutzer des internen und externen Personals sowie der Systemkomponenten authentifizieren können. (Vgl. BSI C5:2026 IAM-08)
Multi-Faktor-Authentisierung für Produktionsumgebungen (IDP-04)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, den Zugriff auf Produktionsumgebungen der DREAM-Lösung mit einer Multi-Faktor-Authentisierung zu sichern. Dies gilt sowohl für menschliche Nutzende als auch für automatisierte Prozesse. (Vgl. BSI C5:2026 IAM-08)
Multi-Faktor-Authentisierung für Nicht-Produktionsumgebungen (IDP-05)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, den Zugriff auf Nicht-Produktionsumgebungen der DREAM-Lösung mit einer Multi-Faktor-Authentisierung zu sichern. Dies gilt sowohl für menschliche Nutzende als auch für automatisierte Prozesse. (Vgl. BSI C5:2026 IAM-08)
Out-of-Band-Authentisierung (IDP-06)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, eine Out-of-Band-Authentisierung (OOB) zu verwenden, bei der die Faktoren über unterschiedliche Kanäle übertragen werden (z. B. Internet und Mobilfunknetz). (Vgl. BSI C5:2026 PSS-05)
Überwachung von Authentisierungsmechanismen (IDP-07)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, den Status des Authentifizierungssystems in Hinsicht auf Abweichungen von Soll-Konfigurationen zu überwachen. (Vgl. BSI C5:2026 PSS-05)
Einhaltung der Authentisierungsvorgaben (IDP-08)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, die Einhaltung der Authentisierungsvorgaben durch die Konfiguration der Systemkomponenten zu erzwingen. (Vgl. BSI C5:2026 IAM-08)
Authentisierungsverfahren für Produktionsumgebungen (IDP-09)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, für die Authentisierung der Benutzer innerhalb von Produktionsumgebungen Passwörter, digital signierte Zertifikate oder ein anderes Verfahren mit einem mindestens gleichwertigen Sicherheitsniveau zu nutzen. (Vgl. BSI C5:2026 IAM-08)
Authentisierungsverfahren für Nicht-Produktionsumgebungen (IDP-10)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, für die Authentisierung der Benutzer innerhalb von Nicht-Produktionsumgebungen Passwörter, digital signierte Zertifikate oder ein anderes Verfahren mit einem mindestens gleichwertigen Sicherheitsniveau zu nutzen. (Vgl. BSI C5:2026 IAM-08)
Multi-Faktor- Authentisierung für Protokollierung (IDP-11)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, den Zugriff auf Systemkomponenten zur Protokollierung und Überwachung in seinem Verantwortungsbereich mit einer Multi-Faktor-Authentisierung zu sichern. (Vgl. BSI C5:2026 OPS-16)
Risikobeurteilung von Authentisierungsmechanismen (IDP-12)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, das Risiko zu bestimmen, dass die in die Systemkomponenten unter seiner Verantwortung integrierten Authentisierungsmechanismen, die zur Bereitstellung der Cloud-Dienste verwendet werden, veralten. (Vgl. BSI C5:2026 IAM-08)
Austausch von Authentisierungsmechanismen (IDP-13)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, angemessene Maßnahmen umzusetzen, um veraltete Authentisierungsmechanismen oder Systemkomponenten, in die diese integriert sind, auszutauschen. (Vgl. BSI C5:2026 IAM-08)
Nicht-personenbezogene Identitäten (IDP-14)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, für den Zugriff auf nicht-personenbezogene Identitäten, die mehreren Personen zugewiesen sind, Maßnahmen zu implementieren, die verlangen, dass die Nutzenden zunächst mit einer ihrer Person zugewiesenen Identität authentisiert werden. (Vgl. BSI C5:2026 IAM-08)
Autorisierungsmechanismen (IDP-15)
Die DREAM-Lösung muss fähig sein, den Zugriff auf die bereitgestellten Funktionen durch Zugriffskontrollen (Autorisierungsmechanismen) einzuschränken, die überprüfen, ob Nutzende, IT-Komponenten oder Anwendungen zur Durchführung bestimmter Aktionen berechtigt sind. (Vgl. BSI C5:2026 PSS-09)
Autorisierungsmechanismen neuer Funktionen (IDP-16)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, die Funktionsfähigkeit der Autorisierungsmechanismen neuer Funktionen zu validieren. (Vgl. BSI C5:2026 PSS-09)
Geänderte Autorisierungsmechanismen (IDP-17)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, die Funktionsfähigkeit geänderter Autorisierungsmechanismen zu validieren. (Vgl. BSI C5:2026 PSS-09)
Attributbasierte Zugriffskontrollen (IDP-18)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, attributbasierte Zugriffskontrollen zu verwenden, um granulare, kontextbezogene Überprüfungen anhand mehrerer Attribute eines Nutzenden, einer IT-Komponente oder einer Anwendung zu ermöglichen (z. B. Rolle, Standort, Authentifizierungsverfahren). (Vgl. BSI C5:2026 PSS-09)
Zugangs- und Zugriffsberechtigungen (IDP-19)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Zugangs- und Zugriffsberechtigungen für internes und externes Personal sowie für Systemkomponenten, die eine Rolle in automatisierten Autorisierungsprozessen des Anbieters innehaben, zu vergeben bzw. zu ändern. (Vgl. BSI C5:2026 IAM-02)
Technische Kontrollen (IDP-20)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, technische Kontrollen umzusetzen, um den Zugriff auf die Daten und Systemfunktionen der DREAM-Lösung auf autorisiertes Personal zu beschränken und Zugriffsberechtigungen innerhalb der Systeme zu verwalten und zu überprüfen. (Vgl. BSI C5:2026 IAM-02)
Zeitliche Begrenzung (IDP-21)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Zugriffsberechtigungen zeitlich zu begrenzen. (Vgl. BSI C5:2026 IAM-04)
Überprüfung von Zugriffsberechtigungen (IDP-22)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Zugriffsberechtigungen für internes und externes Personal sowie für Systemkomponenten daraufhin zu überprüfen, ob diese Berechtigungen noch dem tatsächlichen Aufgaben- bzw. Einsatzgebiet entsprechen. (Vgl. BSI C5:2026 IAM-05)
Kontext von Authentisierungsversuchen (IDP-23)
Die DREAM-Lösung sollte dem Anbieter die Möglichkeit bieten, den Kontext von Authentisierungsversuchen (z. B. IP-Adresse, Datum, Uhrzeit, verwendetes Gerät) zu überwachen und verdächtige Ereignisse gegebenenfalls an autorisierte Personen zu melden. (Vgl. BSI C5:2026 IAM-03).
Inaktivität (IDP-24)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Zugangsberechtigungen für internes und externes Personal, die über einen definierten Zeitraum nicht genutzt wurden, automatisch zu sperren (mit Ausnahmen für Identitäten, deren Verwendung auf Notfallwiederherstellung und ähnliche Szenarien beschränkt ist). (Vgl. BSI C5:2026 IAM-03)
Brute-Force-Angriffe (IDP-25)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Zugriffe von Identitäten des internen und externen Personals bei Hinweisen auf Brute-Force-Angriffe automatisch zu sperren (mit Ausnahmen für Identitäten, die in Notfallwiederherstellungsszenarien und ähnlichen Szenarien verwendet werden sollen). (Vgl. BSI C5:2026 IAM-03)
Wirksamkeit von Sperrverfahren (IDP-26)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, die Wirksamkeit der Verfahren zur Sperrung und zum Entzug von Identitäten zu validieren. (Vgl. BSI C5:2026 IAM-03)
Gestohlene und kompromittierte Anmeldeinformationen (IDP-27)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, gestohlene und kompromittierte Anmeldeinformationen zu überwachen und jede Identität zu deaktivieren, für die ein Problem festgestellt wird. (Vgl. BSI C5:2026 IAM-03)
Entzug von Zugangsberechtigungen (IDP-28)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Zugangsberechtigungen für internes und externes Personal sowie für Systemkomponenten, der Aufgaben sich geändert haben, zeitnah anzupassen oder zu entziehen; nach Entzug ist das Verfahren für die Vergabe erneut zu durchlaufen. (Vgl. BSI C5:2026 IAM-04)
Verwaiste Ressourcen (IDP-29)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, technische Kontrollen einzurichten, mit denen verhindert wird, dass durch das Entziehen von Identitäten verwaiste Ressourcen (z. B. virtuelle Maschinen, Speicher) entstehen, und um verwaiste Ressourcen zu identifizieren und zu behandeln. (Vgl. BSI C5:2026 IAM-05)
Anonyme technische Benutzer (IDP-30)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, auf anonyme technische Benutzer ausschließlich durch Authentisierung mit einer personalisierten Identität zuzugreifen (Vgl. BSI C5:2026 IAM-06)
Administrationsschnittstellen (IDP-31)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, eine Multi-Faktor-Authentisierung für den Zugriff auf die von der DREAM-Lösung verwendeten Administrationsschnittstellen zu verwenden. (Vgl. BSI C5:2026 IAM-06)
Privilegierte Zugriffsberechtigungen (IDP-32)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, privilegierte Zugriffsberechtigungen für internes und externes Personal sowie für Systemkomponenten zu vergeben bzw. zu ändern. Diese Zugriffsberechtigungen müssen personalisiert und zeitlich befristet vergeben werden können. (Vgl. BSI C5:2026 IAM-06)
Authentisierung privilegierter Benutzer (IDP-33)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, für privilegierte Benutzer phishing-resistente Multi-Faktor-Authentisierungen wie FIDO2-Sicherheitsschlüssel oder vergleichbare Mechanismen unter Verwendung von Public-Key-Kryptographie und Domain-Bindung zu implementieren. (Vgl. BSI C5:2026 IAM-06)
Durchsetzung privilegierter Zugriffsberechtigungen (IDP-34)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, privilegierte Zugriffsberechtigungen durch eine Privileged-Access-Management(PAM)-Lösung mit Unterstützung für „Just-in-Time“-Erhöhung des Zugriffsrechts und „Just-enough“-Zugriff durchzusetzen. (Vgl. BSI C5:2026 IAM-06)
Identitäten mit privilegierten Zugriffsberechtigungen (IDP-35)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, eine aktuelle Liste der Identitäten mit privilegierten Zugriffsberechtigungen in seinem Verantwortungsbereich zu führen. (Vgl. BSI C5:2026 IAM-06)
Protokollierung der Aktivitäten von privilegierten Benutzern (IDP-36)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Aktivitäten von Benutzern mit privilegierten Zugriffsberechtigungen zu protokollieren. (Vgl. BSI C5:2026 IAM-06)
Überwachung der Aktivitäten von privilegierten Benutzern (IDP-37)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Aktivitäten von Benutzern mit privilegierten Zugriffsberechtigungen automatisch auf definierte Ereignisse zu überwachen und bei Identifikation eines solchen Ereignisses das dafür zuständige Personal automatisch zu informieren. (Vgl. BSI C5:2026 IAM-06)