Wer in Deutschland Cloud-Dienste an die öffentliche Hand, das Gesundheitswesen oder regulierte Unternehmen verkaufen will, stößt fast zwangsläufig auf drei Buchstaben und eine Ziffer: C5. Der Katalog des Bundesamts für Sicherheit in der Informationstechnik hat sich als Referenz dafür durchgesetzt, was ein sicherer Cloud-Dienst mindestens leisten muss.
Für Cloud-Kunden ist der C5 weniger ein Gütesiegel als ein Werkzeug: Der zugehörige Prüfbericht erlaubt eine eigene, fundierte Risikobewertung des eingesetzten Dienstes – vorausgesetzt, man liest ihn richtig.
Was ist der BSI C5?
C5 steht für Cloud Computing Compliance Criteria Catalogue, einen Anforderungskatalog des Bundesamts für Sicherheit in der Informationstechnik. Die aktuelle Fassung C5:2020 bündelt gut 120 Basiskriterien in 17 Themenbereichen – von der Organisation der Informationssicherheit über Identitäts- und Rechtemanagement, Kryptografie und Kommunikationssicherheit bis zum Umgang mit Sicherheitsvorfällen. Ergänzende Zusatzkriterien adressieren erhöhten Schutzbedarf.
Die Besonderheit liegt in der Nachweisform: C5 ist keine Zertifizierung, sondern ein Testat. Ein Wirtschaftsprüfer prüft nach internationalen Prüfungsstandards und dokumentiert das Ergebnis in einem detaillierten Bericht. Das Typ-1-Testat beurteilt die Angemessenheit der Kontrollen zu einem Stichtag; das aussagekräftigere Typ-2-Testat bewertet zusätzlich ihre Wirksamkeit über einen Zeitraum von in der Regel zwölf Monaten.
So läuft ein C5-Testat ab
- Systembeschreibung: Der Cloud-Anbieter beschreibt seinen Dienst, die Grenzen der Prüfung und die Rahmenbedingungen – etwa Rechenzentrumsstandorte und Subdienstleister.
- Kontrollen zuordnen: Zu jedem anwendbaren Kriterium dokumentiert der Anbieter die umgesetzten Kontrollen.
- Unabhängige Prüfung: Der Prüfer testet das Design der Kontrollen und beim Typ 2 zusätzlich ihre Wirksamkeit im Prüfzeitraum.
- Bericht statt Siegel: Das Ergebnis ist ein umfangreicher Prüfbericht, den der Anbieter seinen Kunden für deren eigene Risikobewertung bereitstellt. Abweichungen werden ausgewiesen, nicht versteckt.
Warum der C5 wichtig ist
- Für Cloud-Dienste der Bundesverwaltung ist der C5-Nachweis der etablierte Maßstab; viele Länder und Kommunen orientieren sich daran.
- Im Gesundheitswesen ist das C5-Testat gesetzlich verankert, etwa für digitale Gesundheitsanwendungen und weitere Dienste, die Sozialdaten in der Cloud verarbeiten.
- Der detaillierte Prüfbericht ermöglicht Kunden eine echte Risikobewertung – im Unterschied zu einem bloßen Logo auf der Website.
- Der Katalog übersetzt abstrakte Cloud-Sicherheit in konkrete, prüfbare Kriterien und erleichtert damit auch interne Anforderungslisten.
Typische Szenarien
- Eine Landesbehörde verlangt in einer Ausschreibung ein C5-Typ-2-Testat für die angebotene SaaS-Lösung.
- Der Hersteller einer digitalen Gesundheitsanwendung benötigt das Testat seines Cloud-Betreibers für die Zulassung.
- Ein Konzern zieht den C5-Bericht seines Cloud-Anbieters als Grundlage für die Lieferantenrisikobewertung nach ISO 27001 heran.
- Ein Cloud-Anbieter nutzt die C5-Kriterien als Bauplan, bevor er überhaupt in die Prüfung geht.
Den C5-Bericht richtig lesen
Für Cloud-Kunden ist der Bericht wertvoller als jedes Logo – sofern er vollständig gelesen wird. Drei Stellen verdienen besondere Aufmerksamkeit. Die Systembeschreibung zeigt, welche Dienste, Standorte und Subdienstleister überhaupt geprüft wurden; ein Testat für eine andere Region oder ein Schwesterprodukt hilft wenig. Die ausgewiesenen Abweichungen offenbaren, wo Kontrollen nicht oder nur teilweise wirksam waren und wie der Anbieter darauf reagiert hat. Und die komplementären Kundenkontrollen listen auf, was der Anbieter ausdrücklich von seinen Kunden erwartet – etwa die Pflege von Berechtigungen, sichere Konfiguration und die Absicherung der Anbindung.
Gerade der letzte Punkt wird oft übersehen: Das beste Testat des Anbieters deckt die Kundenseite nicht ab. Wer die eigenen Pflichten aus dem Bericht ignoriert, betreibt einen geprüften Dienst in einer ungeprüften Umgebung. In der Praxis ziehen viele Organisationen für die Auswahl testierter Plattformen und eine sauber abgesicherte Anbindung spezialisierte Dienstleister hinzu, etwa für Cloud Connectivity & SDN, damit der Weg in die geprüfte Cloud nicht zur ungeprüften Lücke wird.
Abgrenzung: C5 und ISO 27001
Beide Nachweise ergänzen einander. ISO 27001 zertifiziert das Managementsystem einer Organisation – das Zertifikat bestätigt, dass Sicherheitsprozesse existieren und gelebt werden. Der C5 prüft dagegen cloud-spezifische Kontrollen eines konkreten Dienstes und liefert statt eines Zertifikats einen detaillierten Prüfbericht, der beim Typ 2 die Wirksamkeit über Monate belegt. Anspruchsvolle Kunden fragen in der Praxis nach beidem: ISO 27001 für die Organisation, C5 für den Cloud-Dienst. Einen Überblick über die Regelwerke gibt der Eintrag Cybersecurity-Compliance.
Häufige Fragen
Wofür steht BSI C5?
C5 steht für Cloud Computing Compliance Criteria Catalogue – den Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik für sichere Cloud-Dienste. Die Fassung C5:2020 umfasst gut 120 Basiskriterien in 17 Themenbereichen sowie Zusatzkriterien für erhöhten Schutzbedarf.
Ist der C5 eine Zertifizierung?
Nein, der C5 ist ein Testat: Ein unabhängiger Wirtschaftsprüfer bescheinigt die Einhaltung der Kriterien in einem ausführlichen Prüfbericht. Das Typ-1-Testat beurteilt die Angemessenheit der Kontrollen zum Stichtag, das Typ-2-Testat zusätzlich die Wirksamkeit über in der Regel zwölf Monate.
Wer benötigt ein C5-Testat?
Vor allem Cloud-Anbieter, die an die Bundesverwaltung, regulierte Branchen oder das Gesundheitswesen verkaufen – dort ist der Nachweis teils gesetzlich verankert. Cloud-Kunden brauchen kein eigenes Testat; sie nutzen die Berichte ihrer Anbieter für Risikobewertung und Lieferantenprüfung.
Was unterscheidet C5 Typ 1 von Typ 2?
Typ 1 beurteilt, ob die Kontrollen zu einem Stichtag angemessen gestaltet sind. Typ 2 prüft zusätzlich, ob sie über einen Zeitraum von üblicherweise zwölf Monaten wirksam funktioniert haben. Für Ausschreibungen und regulierte Einsätze gilt Typ 2 als der belastbare Nachweis.
Macht ein C5-Testat die ISO-27001-Zertifizierung überflüssig?
Nein, beide Nachweise ergänzen sich: ISO 27001 bestätigt das Managementsystem der Organisation, der C5-Bericht die cloud-spezifischen Kontrollen eines konkreten Dienstes samt Prüfdetails. Anspruchsvolle Kunden und Aufsichten verlangen häufig beides – je nach Rolle als Anbieter oder Nutzer.