NIST IR 8587: Neue Regeln für Token-Sicherheit in Cloud-Systemen
Veröffentlicht am: 16.09.2026 um 23:43 Uhr | Redaktion boerse-global.de
Die US-Standardisierungsbehörde NIST und die Cybersicherheitsbehörde CISA haben am 15. September 2026 die finale Fassung des Leitfadens NIST IR 8587 vorgelegt. Das Regelwerk dient als Playbook für US-Bundesbehörden sowie Cloud-Dienstleister, um Zugriffs- und Identitäts-Tokens vor Diebstahl, Fälschung, Wiedereinspielung und unbefugter Nutzung zu schützen.
Die Empfehlungen sind freiwillig und behandeln die Sicherheit von Tokens über deren gesamten Lebenszyklus hinweg – von der Aufbewahrung der Signaturschlüssel über die Ausstellung und Verifikation bis hin zu Sperrung und Arbeitslast-Identitäten.
Strengere Fristen für Schlüssel und Tokens
Der Leitfaden konzentriert sich auf Tokens nach erfolgter Authentifizierung und legt das Augenmerk auf asymmetrisch signierte Identitätsnachweise, wie sie in Protokollen wie SAML, OpenID Connect und OAuth 2.0 verwendet werden. API-Schlüssel sind explizit vom Geltungsbereich ausgenommen.
Um Risiken durch kompromittierte Zugangsdaten zu minimieren, empfiehlt das Dokument eine maximale Gültigkeitsdauer von einer Stunde für Tokens. Systeme müssen abgelaufene Einheiten ausnahmslos zurückweisen. Zudem wird für automatisierte Arbeitslasten der Einsatz kurzlebiger Tokens anstelle statischer Anmeldedaten verlangt.
Ein zentraler Bestandteil ist das Schlüsselmanagement, dessen Vorgaben an die Kritikalität des jeweiligen Systems gekoppelt sind. Für Systeme mit hohem Schadenspotenzial müssen Signaturschlüssel mindestens alle 90 Tage erneuert werden; bei übrigen Systemen hat die Rotation spätestens nach einem Jahr zu erfolgen.
Angesichts steigender Anforderungen an die IT-Sicherheit müssen Unternehmen ihre Schutzmaßnahmen kontinuierlich anpassen. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen proaktiv erfüllen. IT-Sicherheit stärken ohne teure Investitionen
Bei moderater Schutzbedürftigkeit ist hardwarebasierter oder isolierter Speicher gefordert, während Signiervorgänge für hochkritische Umgebungen vollständig in isolierten Zonen ablaufen müssen. Darüber hinaus schreibt die Richtlinie vor, dass jedes Token ein explizites Empfängerfeld enthalten muss. Weder Tokens noch personenbezogene Daten dürfen in Protokolldateien geraten.
Reaktion auf Cyberangriffe und breite Branchenbeteiligung
Hintergrund der Initiative sind gravierende Sicherheitsvorfälle in der Vergangenheit. So verweist das NIST auf einen Angriff ausländischer Akteure, denen es gelang, über einen gestohlenen kommerziellen Signaturschlüssel gefälschte Tokens zu generieren. Dadurch verschafften sich die Angreifer Zugriff auf staatliche E-Mail-Konten und erbeuteten bei einer einzelnen Behörde über 60.000 E-Mails.
Die Behörden betonen vor diesem Hintergrund, dass Cloud-Anbieter und Kunden eine geteilte Verantwortung für die Absicherung von Zugangsmanagementsystemen tragen.
Da immer mehr Unternehmen zur Zielscheibe komplexer Cyberangriffe werden, ist eine fundierte Vorbereitung für Verantwortliche unerlässlich. Experten erklären in diesem kostenlosen Report, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen, um sich proaktiv abzusichern. Gratis-Report zu neuen Cyberrisiken anfordern
Das Dokument baut auf einem ersten Entwurf aus dem Dezember 2025 auf und unterstützt die Regierungsverordnung Executive Order 14306 sowie Richtlinien aus NIST SP 800-53 Release 5.1.1. Erarbeitet wurde das Dokument in Zusammenarbeit mit dem CISA Joint Cyber Defense Collaborative.
Während der Konsultation gingen fast 250 Kommentare von mehr als 20 Akteuren ein, darunter Unternehmen wie Microsoft, Google, AWS, Okta, Oracle, IBM, HashiCorp, Wiz sowie die OpenID Foundation.
Gegenüber dem ursprünglichen Entwurf gestaltet sich die finale Fassung ergebnisorientierter und lässt beim Schlüsselschutz mehr Umsetzungsspielraum. Gleichzeitig bietet sie erweiterte Optionen für die Token-Sperrung, den Austausch von Risikosignalen sowie erste Richtungsweisungen für den anstehenden Übergang zu Post-Quanten-Kryptografie und den Umgang mit KI-Systemen. Für Januar ist ergänzend ein Webinar zur Umsetzung geplant.
