Cloud-Compliance mit dem BSI-Kriterienkatalog C5

Das BSI hat den C5 2016 erstmals veröffentlicht und 2020 grundlegend überarbeitet. Der C5:2020 definiert 121 Kriterien in 17 Themengebieten – von der Organisation der Informationssicherheit über Personal und physische Sicherheit bis zur Kryptographie. Basiskriterien beschreiben das verpflichtende Mindestniveau und müssen vollständig erfüllt werden; Zusatzkriterien adressieren erhöhten Schutzbedarf. Daneben verlangt der Katalog Transparenz: Die Systembeschreibung des Anbieters legt Umfeldparameter wie Gerichtsstand, Verarbeitungsstandorte und Offenlegungspflichten gegenüber Behörden offen, damit Kunden die Eignung des Dienstes selbst beurteilen können.

C5 ist kein Zertifizierungsschema, sondern ein Prüfungsmaßstab: Unabhängige Prüfer – in Deutschland regelmäßig Wirtschaftsprüfer – testieren die Erfüllung der Kriterien nach dem International Standard on Assurance Engagements 3000 (ISAE 3000), national nach IDW PS 860. Das Ergebnis ist kein binäres Siegel, sondern ein ausführlicher Prüfbericht mit Systembeschreibung, Kontrollen und Prüfungsergebnissen. Diese aus der Abschlussprüfung stammende Logik liefert deutlich mehr Detailtiefe als ein Zertifikat – verlagert die Bewertungsarbeit aber zum Leser: Der Bericht muss inhaltlich ausgewertet werden.

Ein Typ-1-Bericht bestätigt, dass die Kontrollen des Anbieters zu einem Stichtag angemessen ausgestaltet und eingerichtet sind – eine reine Design-Prüfung. Ein Typ-2-Bericht prüft zusätzlich die Wirksamkeit dieser Kontrollen über einen Prüfungszeitraum von in der Regel drei bis zwölf Monaten. Belastbare Aussagen über den laufenden Betrieb liefert erst die Wirksamkeitsprüfung nach Typ 2; auch § 393 SGB V akzeptiert seit dem 1. Juli 2025 grundsätzlich nur noch Typ-2-Testate. In der Praxis ist ein Typ-1-Testat dennoch ein üblicher Zwischenschritt zur Erst-Testierung, weil der Prüfungszeitraum für Typ 2 erst durchlaufen werden muss.

Entwickelt wurde der C5 für die sichere Cloud-Nutzung der öffentlichen Verwaltung; für die Bundesverwaltung ist er über den BSI-Mindeststandard zur Nutzung externer Cloud-Dienste verankert, und auch in Vergabeverfahren wird er regelmäßig als Nachweis gefordert. Seit dem 1. Juli 2024 verlangt zudem § 393 SGB V: Leistungserbringer, Kranken- und Pflegekassen sowie ihre Auftragsverarbeiter dürfen Gesundheits- und Sozialdaten nur dann per Cloud verarbeiten, wenn unter anderem die Verarbeitung im Inland, der EU oder einem gleichwertigen Staat erfolgt, die datenverarbeitende Stelle über eine Niederlassung im Inland verfügt und ein aktuelles C5-Testat über die Basiskriterien vorliegt. Seit dem 1. Juli 2025 muss dies ein Typ-2-Testat sein; für nach dem 30. Juni 2025 erstmalig in Verkehr gebrachte Systeme genügt für die ersten 18 Monate ein Typ-1-Testat.

Cloud-Sicherheit ist geteilte Verantwortung: C5-Prüfberichte enthalten korrespondierende Kriterien für Kunden – Kontrollen, die der Nutzer selbst umsetzen muss, damit die testierten Kontrollen des Anbieters ihre Wirkung entfalten, etwa im Identitäts- und Berechtigungsmanagement. § 393 SGB V macht daraus eine ausdrückliche Rechtspflicht: Die Cloud-Nutzung ist nur zulässig, wenn „die im Prüfbericht des Testats enthaltenen, korrespondierenden Kriterien für Kunden umgesetzt sind“. Für die Praxis bedeutet das: Prüfbericht anfordern und auswerten, Kundenpflichten extrahieren, den eigenen Kontrollen zuordnen und die Umsetzung nachweisbar dokumentieren. Das Testat des Anbieters allein macht die Nutzung noch nicht konform.

ISO/IEC 27001 zertifiziert das Managementsystem einer Organisation, C5 testiert den konkreten Cloud-Dienst – beide ergänzen sich, ersetzen einander aber nicht; das BSI stellt Kreuzreferenztabellen unter anderem zu ISO/IEC 27001:2022 bereit. SOC 2 folgt derselben prüfungsbasierten Logik, und laut BSI lassen sich C5- und SOC-2-Prüfungen kombinieren, sodass Systembeschreibung und Prüfungsergebnisse für überlappende Kontrollen wiederverwendet werden können. Die Neufassung C5:2026 ist nach öffentlicher Kommentierung des Community Drafts seit Ende März 2026 final: Sie umfasst 168 Kriterien in weiterhin 17 Bereichen, ergänzt Themen wie Container-Management, Lieferkettensicherheit, Post-Quanten-Kryptographie, Confidential Computing und technische Souveränität und erscheint erstmals maschinenlesbar im YAML-Format. Verbindlich anzuwenden ist sie für Testate mit Stichtagen beziehungsweise Prüfungszeiträumen ab dem 1. Juni 2027; eine frühere Anwendung ist zulässig.