ISO 27001:2022 · A.8.5 · A.8 Technologische Maßnahmen
Sichere Authentisierung
Sichere Authentisierungstechnologien und -verfahren müssen auf Basis der Zugriffsbeschränkungen und der Zugriffskontrollrichtlinie umgesetzt werden.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Sichere Authentisierungstechnologien und -verfahren müssen auf Basis der Zugriffsbeschränkungen und der Zugriffskontrollrichtlinie umgesetzt werden.
Warum ist das wichtig?
Starke Authentisierung, insbesondere MFA, ist die wirksamste Einzelmaßnahme gegen Kontoübernahmen und der wichtigste Schutz für Remote- und Cloud-Zugänge.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | MFA | Direkt |
| TISAX | 4.1.2 | Authentisierung | Direkt |
| BSI | ORP.4.A8 | Authentisierung | Direkt |
Was der Auditor erwartet
- MFA für kritische und externe Zugänge
- Sichere Authentisierungsverfahren je Risiko
- Schutz vor Brute-Force und Credential-Angriffen
Audit-Checkliste
Dokumente
AuthentisierungsvorgabenWo welche Authentisierung (MFA, SSO) gefordert ist
Nachweise
MFA-AbdeckungAktivierung über Konten und Anwendungen hinweg
Sign-in-LogsProtokollierte Anmeldungen inklusive Fehlversuche
Conditional-Access-NachweisAktive Richtlinien für risiko- und standortbasierte Zugänge
Technisch
IdP-KonfigurationMFA, Conditional Access und Sperrmechanismen
Praxis-Tipps zur Umsetzung
MFA priorisierenZuerst Admins, Remote- und Cloud-Zugänge absichern.
Phishing-resistentWo möglich phishing-resistente Verfahren wie FIDO2 nutzen.
Brute-Force bremsenSperren und Verzögerungen nach Fehlversuchen aktivieren.
Generische FehlermeldungenBei Login neutral "Anmeldung fehlgeschlagen" melden, nicht verraten, ob das Passwort falsch war.
Häufige Fehler
MFA nur teilweiseWichtige Zugänge bleiben ohne zweiten Faktor.
Schwache FaktorenSMS als alleiniger Faktor trotz bekannter Schwächen.
Häufig gestellte Fragen
Welche MFA-Verfahren sind sicher?
Authenticator-Apps und vor allem phishing-resistente Verfahren wie FIDO2/Passkeys, SMS ist die schwächste Option.
Wo unterscheidet sich das von A.5.17?
A.5.17 regelt die Verwaltung der Zugangsdaten, A.8.5 die sichere technische Authentisierung.
Ist SSO sinnvoll?
Ja, zentrales SSO mit MFA reduziert Passwortmüdigkeit und verbessert Kontrolle und Sicherheit.
So hilft CompliantDesk bei A.8.5
CompliantDesk erzwingt MFA für privilegierte Rollen und weist über die M365-Integration MFA- und Conditional-Access-Abdeckung nach.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten