A.5 Organisatorische Maßnahmen
Authentisierungsinformationen
Die Zuteilung und Verwaltung von Authentisierungsinformationen müssen durch einen Managementprozess gesteuert werden, einschließlich der Beratung der Beschäftigten zum sachgemäßen Umgang.
Was fordert dieses Control?
Die Zuteilung und Verwaltung von Authentisierungsinformationen müssen durch einen Managementprozess gesteuert werden, einschließlich der Beratung der Beschäftigten zum sachgemäßen Umgang.
Warum ist das wichtig?
Passwörter und andere Authentisierungsmittel sind ein Hauptziel von Angriffen. Sicherer Umgang, MFA und gute Verwaltung sind entscheidend gegen Kontoübernahmen.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| NIS2 | Art. 21 (2) | Direkt |
| TISAX | 4.1.2 | Direkt |
| BSI | ORP.4.A8 | Direkt |
Was der Auditor erwartet
- 1Sichere Vergabe und Verwaltung von Zugangsdaten
- 2Einsatz von MFA für kritische Zugänge
- 3Sensibilisierung zum Umgang mit Passwörtern
Audit-Checkliste
Dokumente
Passwort-/Authentisierungsrichtlinie
Anforderungen an Komplexität, MFA und Verwahrung
Nachweise
MFA-Abdeckung
Aktivierung für Admin- und Remote-Zugänge
Interviews
Mitarbeiter
Umgang mit Passwörtern und Passwortmanager-Nutzung
Technisch
Authentisierungseinstellungen
Erzwungene MFA und Passwortrichtlinie im IdP
Praxis-Tipps zur Umsetzung
MFA überall
Multi-Faktor für alle externen und privilegierten Zugänge erzwingen.
Passwortmanager
Statt erzwungenem häufigem Wechsel lieber lange Passphrasen plus Passwortmanager.
Initialpasswörter sicher
Erstpasswörter sicher übergeben und sofortigen Wechsel erzwingen.
Häufige Fehler
Keine MFA
Kritische Zugänge hängen allein am Passwort.
Passwörter im Klartext
Zugangsdaten in Tabellen oder Mails statt im Passwortmanager.
Häufig gestellte Fragen
Muss man Passwörter regelmäßig wechseln?
Moderne Empfehlungen raten von erzwungenem Routinewechsel ab, solange MFA aktiv ist und kein Verdacht besteht.
Ist MFA Pflicht?
Unter NIS2 faktisch ja. Für kritische und externe Zugänge ist MFA Stand der Technik.
Wo unterscheidet sich das von A.8.5?
A.5.17 regelt die Verwaltung der Authentisierungsinformationen, A.8.5 die sichere technische Authentisierung.
So hilft CompliantDesk bei A.5.17
CompliantDesk erzwingt MFA für Owner und Admins mit Grace-Period und weist über die M365-Integration die MFA-Abdeckung im Tenant nach.