BSI-Grundschutz und Identity and Access Management

Der BSI IT-Grundschutz definiert wichtige Standards für Sicherheitsanforderungen deutscher Unternehmen und Einrichtungen. Welche Rolle IAM im BSI-Katalog spielt und vor welchen Gefahren Identitäts- und Berechtigungsmanagement schützt, erfahren Sie hier.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt in seinen Standards die Bestandteile der IT-Grundschutz-Methodik. Ziel ist es, Behörden, Unternehmen, Herstellern und Dienstleistern Maßnahmen für die sichere Gestaltung von Geschäftsprozessen und den Schutz von Daten bereitzustellen.

Neben Grundmaßnahmen definiert das BSI Zusatzmaßnahmen. So versteht der IT-Grundschutz Sicherheit als fortlaufenden Prozess, der verschiedene Bereiche abdeckt. In einer zunehmend vernetzten Welt sollen diese Maßnahmen vor wachsenden Bedrohungen wie Cyberangriffen und Manipulation schützen.

Die folgenden Informationen zum Identity and Access Management im BSI-Grundschutz beziehen sich auf den BSI-Standard 200-1: Managementsysteme für Informationssicherheit (ISMS) und den IT-Grundschutz-Baustein ORP.4: Identitäts- und Berechtigungsmanagement. Außerdem zeigen wir, was sich durch Grundschutz++ und das NIS2-Umsetzungsgesetz ändert.

BSI-Grundschutz-Kompendium: Definition, Wirkungsbereich und Sicherheitskatalog

Cyber-Sicherheit gewinnt durch die fortschreitende Digitalisierung und die damit wachsenden Bedrohungen im Berufs- und Alltag zunehmend an Bedeutung. Das Bundesamt für Sicherheit in der Informationstechnik hat sich der Aufgabe verschrieben, widerstandsfähige und sichere Infrastrukturen zu fördern.

Mit dem BSI-Grundschutz bietet das Amt ein Regelwerk und Methoden, mit denen Unternehmen den aktuellen Stand ihrer IT-Sicherheit bewerten und ein gewünschtes Sicherheitsniveau erreichen und weiterentwickeln können. Die BSI-Standards der Reihe 200 gelten seit Oktober 2017.

Eine Besonderheit des BSI-IT-Grundschutz-Kompendiums ist der allgemeine Gefahrenkatalog, der die individuelle Bewertung von Gefährdungen teilweise ersetzt. Die zuletzt erschienene Ausgabe ist die Edition 2023.

Mit Grundschutz++ modernisiert das BSI den IT-Grundschutz grundlegend. Die neue Methodik wurde im April 2026 als BSI-Standard 300-1 veröffentlicht. Sie ist prozessorientiert: Zuerst werden die zentralen Geschäftsprozesse einer Organisation abgesichert. Die Anforderungen stellt das BSI erstmals maschinenlesbar bereit. Für Zertifizierungen gilt eine Übergangsphase bis 2029, in der das Kompendium der Edition 2023 weiterhin genutzt werden kann. Die hier beschriebenen Anforderungen an das Identitäts- und Berechtigungsmanagement bleiben inhaltlich relevant.

Ziel des BSI-Grundschutzes

Der BSI-Grundschutz bietet Unternehmen und Behörden Maßnahmen und eine Vorgehensweise, um Sicherheitsanforderungen zu ermitteln und umzusetzen. Dazu gehören technische, infrastrukturelle, organisatorische und personelle Schutzmaßnahmen für IT-Systeme und Informationen.

Ergänzt werden die Maßnahmen durch Bausteine mit weiterführenden Informationen, zum Beispiel ORP: Organisation und Personal. Dazu gehört ORP.4: Identitäts- und Berechtigungsmanagement.

Zusätzliche Bedeutung erhält der Grundschutz durch das NIS2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 ohne Übergangsfrist gilt. Deutlich mehr Unternehmen und Einrichtungen als bisher müssen nun verpflichtende Risikomanagementmaßnahmen umsetzen, darunter ausdrücklich Konzepte für die Zugriffskontrolle. Der BSI-Grundschutz bietet dafür eine anerkannte Orientierung. Wie Imprivata Organisationen dabei unterstützt, erfahren Sie auf unserer Seite zur NIS2-Compliance.

BSI-Grundschutz-Standards im Überblick

Das BSI veröffentlichte Standards der Reihe 200, um einen wirksamen Katalog von IT-Sicherheitsmaßnahmen und deren schrittweise Umsetzung bereitzustellen. Die vier Standards behandeln folgende Themen:

• BSI-Standard 200-1
• Methodik (200-2)
• Risiken (200-3)
• Business Continuity Management (200-4)

Mit dem BSI-Standard 300-1 kam 2026 außerdem die Methodik für Grundschutz++ hinzu.

BSI-Standard 200-1: Anforderungen an ein Managementsystem

Als Nachfolger des BSI-Standards 100-1 beschreibt der BSI-Standard 200-1 den Aufbau eines Informationssicherheitsmanagements. Neben einer schrittweisen Anleitung definiert er Aufgaben und Verantwortlichkeiten auf Leitungsebene in Behörden und Unternehmen.

Der Standard behandelt unter anderem die Grundlagen der Informationssicherheit, die Definition und Prozesse eines ISMS, Managementprinzipien, Ressourcen, die Einbindung von Mitarbeitenden, Sicherheitskonzepte und -prozesse, Zertifizierungen sowie die IT-Grundschutz-Methodik.

Bei der Auswahl von Sicherheitsmaßnahmen erwähnt der Standard auch das Zugriffs- und Berechtigungsmanagement beziehungsweise Identity and Access Management. Der IT-Grundschutz-Baustein ORP.4 behandelt dieses Thema ausführlicher.

BSI-Standard 200-1 als PDF (externes Angebot)

BSI-Standard 200-2: Methodik für ein effektives Management der Informationssicherheit

Der an die Anforderungen von Unternehmen und Einrichtungen anpassbare BSI-Standard 200-2 beschreibt drei Vorgehensweisen zur Absicherung: Basis-, Kern- und Standardabsicherung. Außerdem konkretisiert er den Rahmen für das ISMS (Informationssicherheitsmanagementsystem).

Zu den Themen gehören Informationssicherheitsmanagement mit IT-Grundschutz, die Initiierung und Organisation des Sicherheitsprozesses, Dokumentation und Umsetzung, die Sicherheitskonzeption sowie die Aufrechterhaltung und kontinuierliche Verbesserung der Informationssicherheit.

BSI-Standard 200-2 als PDF (externes Angebot)

BSI-Standard 200-3: Informationssicherheitsrisiken angemessen und zielgerichtet steuern

Der BSI-Standard 200-3 konzentriert sich auf bestehende Risiken. Er schärft das Bewusstsein für aktuelle Gefahren, unterstützt die Überprüfung des Sicherheitssystems und hilft, zusätzliche Risiken zu analysieren.

Zu den Themen gehören:

• Vorarbeiten zur Risikoanalyse
• Übersicht über elementare Gefährdungen
• Erstellung einer Gefährdungsübersicht
• Ermittlung elementarer und zusätzlicher Gefährdungen
• Einstufung, Einschätzung, Bewertung und Behandlung von Risiken
• Konsolidierung des Sicherheitskonzepts und Rückführung in den Sicherheitsprozess

BSI-Standard 200-3 als PDF (externes Angebot)

BSI-Standard 200-4: Notfallmanagement in einer Behörde oder einem Unternehmen aufbauen

Der praxisorientierte BSI-Standard 200-4 beschreibt den Aufbau eines Business Continuity Management Systems (BCMS). Ziel ist es, die Auswirkungen von Angriffen und anderen Störungen zu reduzieren und den Geschäftsbetrieb aufrechtzuerhalten. Die finale Fassung 1.0 ist seit Juni 2023 verfügbar und hat den bisherigen BSI-Standard 100-4 „Notfallmanagement“ abgelöst. Neu ist unter anderem ein Stufenmodell: Organisationen können mit einem Reaktiv-BCMS beginnen und es über ein Aufbau-BCMS bis zum Standard-BCMS weiterentwickeln.

Zu den Themen gehören unter anderem die Initiierung des BCMS, der Aufbau und die Befähigung der Notfallorganisation, die Business Impact Analyse, Business-Continuity-Strategien und -Lösungen, Notfallbewältigung und Krisenmanagement sowie Test- und Übungskonzepte.

Informationen zum BSI-Standard 200-4 (externes Angebot)

BSI-Grundschutz und IAM: Identitäts- und Berechtigungsmanagement im Sicherheitskatalog

Die systematische Beschreibung von IT-Sicherheitsmaßnahmen im BSI-Grundschutz zeigt auch, welche Rolle Identity and Access Management bei der Abwehr von Gefahren spielt. Der BSI-Standard 200-1 verweist dafür auf das Identitäts- und Berechtigungsmanagement.

Die Bedeutung von Identity and Access Management wird an verschiedenen Stellen ausdrücklich genannt oder ergibt sich aus den Maßnahmen zum Schutz vor Gefahren.

Sicherheit durch organisatorische Abläufe und IAM-Prozesse

Die koordinierte Verwaltung von Identitäten und Berechtigungen kann die Sicherheit erhöhen und den Arbeitsaufwand reduzieren. Damit sich Investitionen in IT-Sicherheit auszahlen, sollten Organisationen bereits in der Planungsphase klare Abläufe und passende Teilziele festlegen.

Prozessbeschreibung und PDCA-Zyklus

Eine gemeinsame Anforderung von IT-Grundschutz und IAM ist die genaue Beschreibung von Prozessen. Die Vorgehensweisen ähneln sich organisatorisch. Statt von einem statischen Zustand auszugehen, empfiehlt das BSI eine zyklische Vorgehensweise nach dem Deming-Prinzip (PDCA-Zyklus):

• Planen (Plan)
• Umsetzen (Do)
• Prüfen (Check)
• Verbessern (Act)

Im IAM unterstützt das Rezertifizierungsmanagement die Prüfung des aktuellen Stands der Rechtevergabe.

Berechtigungsmanagement und NIST

Im BSI-Standard 200-1 nimmt das Bundesamt ausdrücklich Bezug auf das US-amerikanische National Institute of Standards and Technology (NIST). Genannt wird das Berechtigungsmanagement als Teil der sogenannten Controls aus dem Dokument NIST SP 800-53. Die aktuelle Revision 5 trägt den Titel „Security and Privacy Controls for Information Systems and Organizations“.

Demnach ist Berechtigungsmanagement neben Schulungen, Infrastruktursicherheit, Sensibilisierung und weiteren Maßnahmen eine wichtige Voraussetzung für den Schutz des IT-Informationsverbunds.

Mitarbeitende in den Sicherheitsprozess einbinden

Laut BSI-Standard 200-1 ist es wichtig, Mitarbeitende aktiv in Prozesse einzubinden und für Sicherheit und Berechtigungen zu sensibilisieren. IAM kann dies durch die Beteiligung von Key Usern oder Content Ownern bei der Vergabe einzelner Rechte im Self-Service unterstützen. IAM betrifft alle Mitarbeitenden eines Unternehmens direkt oder indirekt – vom Hausmeister, der Zutrittsrechte für Schließsysteme dokumentiert, bis zum mittleren Management.

Die Aufgaben der verschiedenen Rollen im Unternehmen sollten deshalb ermittelt und klar kommuniziert werden. Dabei ist zu beachten, dass Mitarbeitende in bestimmten Situationen auch ein Sicherheitsrisiko darstellen können. Das betrifft nicht nur IT-Mitarbeitende mit Superuser-Status, sondern auch Beschäftigte mit Zugang zu Räumen und Geräten sowie externe Dienstleister, deren Zugänge nach Projektende nicht entzogen wurden.

Gefährdungslagen für Identity and Access Management im BSI-Grundschutz

Der Baustein ORP.4 „Identitäts- und Berechtigungsmanagement“ im IT-Grundschutz-Kompendium benennt drei mögliche Schwachstellen bei der Einführung von Identity and Access Management.

Fehlende oder unzureichende Prozesse

Die Prozessdokumentation ist eine wichtige Grundlage für das Berechtigungsmanagement. Fehlende oder unzureichende Prozesse können Lücken bei der Verwaltung von Berechtigungen verursachen.

Fehlen klare Regeln, kann das Principle of Least Privilege gefährdet sein. Werden Berechtigungen dagegen zu restriktiv vergeben, fehlen Mitarbeitenden Informationen, die sie nach dem Need-to-know-Prinzip benötigen. Die Folge können häufigere Anfragen nach Einzelrechten sein.

Weitere denkbare Szenarien sind nicht gesperrte oder gelöschte Konten nach dem Austritt einer Person oder fehlende Informationen für Verantwortliche bei Änderungen. Eine lückenlose Dokumentation, die Zusammenarbeit mit Mitarbeitenden und die sorgfältige Übertragung von Prozessen in Rollen und Berechtigungsobjekte sind wichtige Grundlagen für ein sicheres Zugriffsmanagement.

Fehlende zentrale Möglichkeit zur Deaktivierung von Benutzerzugängen

Eine weitere Gefahrenquelle entsteht, wenn sich Benutzerkonten nicht zentral sperren lassen. In vielen Organisationen verteilen sich Zugänge auf zahlreiche Systeme und Anwendungen. Muss ein Konto schnell deaktiviert werden, kann leicht ein Zugang übersehen werden – etwa ein lokales Konto in einer Fachanwendung oder ein Zugang zu einem Cloud-Dienst.

Im Notfall müssen Verantwortliche jedoch schnell sämtliche Zugänge einer Person sperren können, zum Beispiel wenn Zugangsdaten kompromittiert wurden, verdächtiges Kontoverhalten gemeldet wird oder ein Administrator mit weitreichenden Rechten freigestellt wird. Das gilt auch für privilegierte Konten.

Eine zentrale Deaktivierungsmöglichkeit ist dafür eine Voraussetzung.

Ungeeignete Verwaltung von Rechten

Eine ungeeignete Rechteverwaltung, etwa eine komplizierte Vergabe einzelner Rechte, führt im Alltag schnell zu Problemen. Das kann Verzögerungen und Reibung zwischen Abteilungen oder Mitarbeitenden verursachen.

Eine praktikable Lösung kann die Vergabe passender Einzelrechte über ein Bestellsystem mit Verantwortlichen in den Abteilungen sein. Content Owner, Manager oder Gruppenleiter können unter bestimmten Voraussetzungen – etwa mit zeitlicher Begrenzung – Zugriffe freigeben. So wird die IT entlastet und die Arbeitslast auf die passenden Stellen verteilt.

Ein wichtiger Sicherheitsmechanismus dabei ist die lückenlose und automatische Archivierung der Vergabevorgänge, damit Autorisierungen nachvollziehbar bleiben.

Anforderungen an Identity and Access Management nach BSI

Die Anforderungen richten sich an Informationssicherheitsbeauftragte, den IT-Betrieb und weitere Nutzerinnen und Nutzer. Je nach internen Abläufen können auch andere Rollen für einzelne Vorgänge verantwortlich sein.

IAM-Basisanforderungen

Das BSI kennzeichnet die Basisanforderungen an IAM im Baustein ORP.4 als verpflichtend („MUSS“). Sie betreffen grundlegende Anforderungen an die Verwaltung von:

• Benutzern und Benutzergruppen
• Berechtigungen
• Dokumentation
• Aufgabenverteilung und Funktionstrennung
• Zutritts- und Zugangsberechtigungen sowie Zugriffsrechten
• Identifikation und Authentisierung sowie Passwortmanagement

IAM-Standardanforderungen

Die IAM-Standardanforderungen sind im BSI-Grundschutz als Empfehlungen („SOLL“) formuliert. Sie betreffen grundlegende Sicherheitsfaktoren, die Organisationen berücksichtigen sollten.

Dazu gehören beispielsweise der Schutz von Benutzerkennungen mit weitreichenden Berechtigungen, Passwortdienste wie Self-Service-Angebote, die Entwicklung von Authentisierungskonzepten und -mechanismen, Prozesse für das Identitäts- und Berechtigungsmanagement sowie die Sensibilisierung der Mitarbeitenden für Sicherheitsanforderungen.

Anforderungen bei erhöhtem Schutzbedarf

Bei erhöhtem Schutzbedarf empfiehlt das BSI, bestimmte Sicherheitsmaßnahmen zu erwägen („SOLLTE“). Dazu gehören alternative Pläne für den Betrieb bei einem Ausfall des IAM-Systems und die Mehr-Faktor-Authentisierung. Für Einrichtungen, die unter NIS2 fallen, zählt der Einsatz von Multi-Faktor-Authentifizierung ausdrücklich zu den geforderten Risikomanagementmaßnahmen. Für Betreiber kritischer Anlagen gelten außerdem besondere Nachweispflichten nach dem BSI-Gesetz, das mit dem NIS2-Umsetzungsgesetz neu gefasst wurde.

Weitere Anforderungen und Standards

Das BSI empfiehlt außerdem, IAM-Anforderungen und Informationen aus weiteren Sicherheitsstandards zu berücksichtigen, darunter:

• ISO/IEC 27001:2022 „Information security, cybersecurity and privacy protection – Information security management systems – Requirements“
• ISO/IEC 29146:2016 „Information technology – Security techniques – A framework for access management“
• Information Security Forum (ISF) – The Standard of Good Practice for Information Security
• NIST Special Publication 800-53 Rev. 5 und 800-53A Rev. 5

Schutz vor Gefahren durch IAM nach BSI

Das BSI beschreibt IAM im Grundschutz als Mittel zur Abwehr konkreter Gefahren. So kann IAM zur Daten-, Netzwerk- und Komponentensicherheit beitragen.

Zu den Gefahren, vor denen Identity and Access Management laut BSI-Grundschutz schützen kann, gehören:

• Spionage (Ausspähen und Abhören)
• Diebstahl von Geräten, Daten und Datenträgern
• Manipulation
• Fehler bei Planung und Anpassung
• Unbefugter Zugriff oder unbefugtes Eindringen
• Geräte- oder Systemausfall
• Gesetzesverstöße und Compliance-Verstöße
• Unberechtigte oder fehlerhafte Nutzung beziehungsweise Administration von Geräten und Systemen
• Missbrauch von Berechtigungen
• Identitätsdiebstahl
• Fehlende Nachvollziehbarkeit von Handlungen
• Verlust der Integrität schützenswerter Informationen

IAM mit Imprivata UIGA: Sicherheit nach BSI-Vorgaben

Die Dokumente des BSI bieten eine gute Grundlage für die Umsetzung von Sicherheitsanforderungen. Sie sind bewusst herstellerneutral formuliert: Das BSI beschreibt, was erreicht werden muss, nicht mit welchen Werkzeugen.

Konkrete IAM-Funktionen wie Passwort-Self-Services, rollenbasierte Zugriffssteuerung (RBAC), Lifecycle-Management für Eintritte, Wechsel und Austritte oder die Definition von Berechtigungsobjekten werden deshalb nicht im Detail behandelt. Sie können jedoch dabei helfen, die vom BSI beschriebenen Anforderungen umzusetzen.

Individuelle Beratung und Evaluierung können den Grundschutz ergänzen. Internationales Know-how und aktuelle Erkenntnisse sind dabei hilfreich, insbesondere weil sich der regulatorische Rahmen mit Grundschutz++ und NIS2 derzeit weiterentwickelt.

Mit Imprivata Unimate Identity Governance & Administration (UIGA) erfüllen Sie individuelle Sicherheitsanforderungen, meistern wichtige Compliance-Vorgaben und nutzen IAM-Software, die als offenes System auf zukünftige Anforderungen ausgerichtet ist. Sie entlasten die IT, fördern das Sicherheitsbewusstsein der Mitarbeitenden und stärken Ihre Sicherheitsmaßnahmen.

Gern beraten wir Sie in einem kostenlosen Online-Meeting!