2 Fragen zu Accountsharing

Das Verbot des Accountsharings, also der Weitergabe von Passwörtern, ist im IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI) geregelt. Die entsprechenden Anforderungen findest du im Baustein **"ORP.4 Identitäts- und Berechtigungsmanagement"**. Konkret wird im **Anforderungstext ORP.4.A18 "Verbot der Weitergabe von Authentisierungsmerkmalen"** festgelegt, dass Authentisierungsmerkmale wie Passwörter nicht weitergegeben werden dürfen. Dort heißt es sinngemäß, dass Benutzerinnen und Benutzer verpflichtet sind, ihre Authentisierungsmerkmale geheim zu halten und nicht an Dritte weiterzugeben. Weitere Informationen findest du direkt beim BSI: [BSI IT-Grundschutz-Kompendium – ORP.4 Identitäts- und Berechtigungsmanagement](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/IT-Grundschutz/IT-Grundschutz-Kompendium/baustein-orp-4.html)

Ja, Accountsharing widerspricht den Anforderungen des BSI IT-Grundschutz. Der BSI IT-Grundschutz fordert in mehreren Bausteinen und Maßnahmen eine eindeutige Benutzeridentifikation und die Nachvollziehbarkeit von Aktivitäten (z. B. in den Bausteinen ORP.4 Identitäts- und Berechtigungsmanagement sowie SYS.1.1 Allgemeiner Server). Das Teilen von Benutzerkonten (Accountsharing) führt dazu, dass nicht mehr eindeutig nachvollzogen werden kann, wer welche Aktion durchgeführt hat. Dies steht im Widerspruch zu den Anforderungen an Authentisierung, Protokollierung und Verantwortlichkeit. Konkret heißt es im BSI IT-Grundschutz-Kompendium (z. B. Maßnahme ORP.4.A3): „Jede Benutzerkennung darf nur einer natürlichen Person zugeordnet werden und nicht gemeinsam genutzt werden.“ Accountsharing ist daher aus Sicht des BSI IT-Grundschutz nicht zulässig und sollte vermieden werden. Weitere Informationen findest du direkt beim [BSI IT-Grundschutz-Kompendium](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/IT-Grundschutz/it-grundschutz_node.html).