BSI C5: Cloud Computing Compliance Criteria

In einem Satz. Der BSI Cloud Computing Compliance Criteria Catalogue (C5) ist ein 2016 vom BSI eingeführter und 2020 aktualisierter Kriterienkatalog mit 121 Anforderungen in 17 Themenbereichen, der Cloud-Anbietern den auditierten Nachweis ihrer Sicherheit ermöglicht — heute De-facto-Standard für Bundesbehörden und regulierte Branchen in Deutschland.

C5 baut auf ISO 27001 auf, schärft die Anforderungen jedoch mit Fokus auf Transparenz, Datenstandort und Subdienstleister. AWS, Microsoft Azure, Google Cloud und SAP halten C5-Testate für definierte Service-Bereiche vor. Für DSGVO-Auftragsverarbeitungen ist C5 das stärkste Argument im AVV. Siehe Auftragsverarbeitungsvertrag. Der aktuelle Kriterienkatalog und die Liste der Anbieter mit gültigem Testat sind beim Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlicht.

Wichtige Punkte

• C5:2020 enthält 121 Kriterien in 17 Themenbereichen (vorher C5:2016: 114 Kriterien).
• Zwei Testat-Typen: Typ 1 (Konzept-Audit) und Typ 2 (Wirksamkeit über Zeitraum).
• BaFin akzeptiert C5 für Bankenauslagerungen (MaRisk AT 9, BAIT).
• AWS, Azure, Google Cloud, SAP, IONOS halten aktive C5-Testate.
• Audit nach ISAE 3000 oder ISAE 3402 durch unabhängige Wirtschaftsprüfer.

1. Hintergrund und Zielsetzung

BSI veröffentlichte C5 ursprünglich 2016 nach Snowden-Enthüllungen, um deutschen Behörden und Unternehmen einen Cloud-Sicherheitsmaßstab zu geben. Update 2020 ergänzte Themen wie DevOps und Container. Das Update C5:2020 ist heute der gültige Stand. Kundenseitig ergänzt eine Zero-Trust-Architektur nach BSI die anbieterseitigen C5-Kontrollen.

2. Struktur des Kriterienkatalogs

17 Themenbereiche, jeweils mit Basis- und Zusatzkriterien:

Bereich	Kriterien (Auswahl)
Organisation der Informationssicherheit	OIS-01 bis OIS-07
Personalsicherheit	HR-01 bis HR-06
Asset Management	AM-01 bis AM-06
Physische Sicherheit	PS-01 bis PS-07
Operations und Kommunikationssicherheit	OPS-01 bis OPS-22
Identitäts- und Berechtigungsmanagement	IDM-01 bis IDM-09
Kryptographie und Schlüsselmanagement	CRY-01 bis CRY-04
Compliance	COM-01 bis COM-04

Die Kriterien zur physischen Sicherheit (PS) korrespondieren mit den BSI-Anforderungen an Hochverfügbarkeit im Rechenzentrum.

3. Typ-1 vs. Typ-2 Testat

Typ	Inhalt	Zeitbezug	Aussagekraft
Typ 1	Eignung der Kontrollen	Stichtag	Konzept-Nachweis
Typ 2	Wirksamkeit über Zeitraum	6-12 Monate	Operativer Nachweis

Für ernsthafte Cloud-Nutzung sollte Typ 2 verlangt werden — Typ 1 ist nur Einstieg.

4. Audit-Prozess

1. Vorbereitung: Definition Service-Scope und Subdienstleister
2. Readiness Assessment durch internen oder externen Prüfer
3. Audit nach ISAE 3000/3402 durch akkreditierten Wirtschaftsprüfer
4. Testat-Erstellung mit Befundliste
5. Veröffentlichung in NDA-geschützter Form

Dauer: 3-9 Monate je nach Reifegrad.

5. Wer hält C5-Testate?

• AWS: zahlreiche Services (EC2, S3, RDS, Lambda) in eu-central-1 (Frankfurt) und eu-west-1
• Microsoft Azure: Compute, Storage, SQL Database, AKS in West/North Europe
• Google Cloud: GCE, GCS, BigQuery in europe-west3 (Frankfurt)
• SAP: SAP HANA Cloud, SAP BTP
• IONOS Cloud, Open Telekom Cloud, Deutsche Telekom: vollständige Plattformen

Aktuelle Liste auf bsi.bund.de.

6. C5 und DSGVO

C5-Testate liefern starke Argumente für DSGVO-Auftragsverarbeitung nach Artikel 28 DSGVO:

• Nachweis “hinreichender Garantien” (Art. 28 Abs. 1)
• Subdienstleister-Transparenz (Anhang II AVV)
• Sicherheitsmaßnahmen nach Art. 32

Aber: C5 ersetzt nicht den AVV, sondern unterstützt ihn. Art. 28 Abs. 5 DSGVO nennt genehmigte Zertifizierungen ausdrücklich als Element, mit dem ein Auftragsverarbeiter hinreichende Garantien nachweisen kann — der genaue Wortlaut ist im Volltext der DSGVO auf EUR-Lex nachlesbar. Wichtig: C5 ist ein Prüfstandard nach ISAE, kein förmliches Zertifikat nach Art. 42 DSGVO. Das Testat ist ein starkes Indiz, entbindet den Verantwortlichen aber nicht von der eigenen Auswahl- und Kontrollpflicht. In der Praxis heißt das: Der Prüfbericht (nicht nur die Zusammenfassung) muss angefordert, die Befundliste (“Ausnahmen”) gelesen und im AVV-Dossier abgelegt werden.

7. C5 und BaFin/MaRisk

BaFin-Rundschreiben 10/2017 (MaRisk) und BAIT akzeptieren C5-Testate als Auslagerungsbeleg. Banken müssen jedoch ergänzend:

• Eigene Risikobewertung durchführen
• Exit-Strategie nachweisen
• Auditrechte sicherstellen

8. C5 und NIS2

NIS2 verlangt von wesentlichen Einrichtungen Sicherheitsanforderungen an Lieferketten. C5-Testate erfüllen diese Anforderung für Cloud-Dienstleister — der Auditbericht kann der BSI-Aufsicht vorgelegt werden. Siehe NIS2 Deutschland; speziell für Cloud- und DNS-Anbieter gelten die Pflichten aus NIS2 für digitale Infrastruktur.

9. Einschränkungen und Kritik

• Testat bezieht sich nur auf definierten Service-Scope, nicht auf gesamten Anbieter
• Nicht alle Regionen abgedeckt (Hyperscaler-Testate meist nur eu-central-1)
• Subdienstleister-Tiefe variabel
• Kosten für Anbieter hoch (200-500k Euro pro Audit-Zyklus)

10. C5 in der Kundenprüfung

Kunden sollten prüfen:

1. Ist der genutzte Service im Testat-Scope?
2. Ist die genutzte Region abgedeckt?
3. Wie aktuell ist das Testat (max. 12 Monate alt)?
4. Welche Befunde wurden festgestellt?
5. Welche Subdienstleister sind eingebunden?

11. C5 im Vergleich zu anderen Nachweisen

In der Beschaffung tauchen mehrere Nachweise nebeneinander auf. Die Einordnung entscheidet, was ein Testat wirklich belegt:

Nachweis	Prüftiefe	Cloud-Spezifik	Aussage zum Drittland
ISO/IEC 27001	Management-System, zertifiziert	gering	keine
SOC 2 Typ II	Kontrollwirksamkeit (US-Standard)	mittel	keine
BSI C5 Typ 2	Kontrollwirksamkeit + Transparenzkriterien	hoch	teilweise (Standortangaben)
ISO/IEC 27017/27018	Cloud- und PII-Ergänzungen	hoch	keine
EUCS (kommend)	EU-weites Cloud-Schema	hoch	offen

C5 verlangt zusätzlich die sogenannten Rahmenbedingungen (“Corporate Governance”, Gerichtsstand, Ort der Datenverarbeitung, Ermittlungsbefugnisse ausländischer Behörden) — genau die Angaben, die für eine Transfer Impact Assessment nach Schrems II gebraucht werden. Kein anderer verbreiteter Standard liefert diese Offenlegung strukturiert mit. Das künftige EU-weite Schema EUCS (European Cybersecurity Certification Scheme for Cloud Services) unter der Ägide der ENISA soll C5 mittelfristig ergänzen; bis dahin bleibt C5 in Deutschland der belastbarste Cloud-Nachweis.

12. Praktischer Fahrplan für Kunden

Für die Beschaffungs- und Compliance-Seite empfiehlt sich ein festes Vorgehen, bevor ein Cloud-Dienst produktiv geht:

1. Scope-Abgleich. Steht der konkret genutzte Service (z. B. eine bestimmte Datenbank-Engine, nicht nur “AWS”) namentlich im Testat? Randservices fallen häufig heraus.
2. Regionsabgleich. Ist die genutzte Region (etwa eu-central-1 Frankfurt) abgedeckt? Testate der Hyperscaler decken oft nur ausgewählte EU-Regionen ab.
3. Aktualität. Der Berichtszeitraum eines Typ-2-Testats sollte innerhalb der letzten zwölf Monate enden. Ältere Berichte sind für den laufenden Nachweis unbrauchbar.
4. Befundprüfung. Die “Ausnahmen”/“Exceptions” im Bericht lesen — sie zeigen, wo Kontrollen im Prüfzeitraum nicht durchgängig wirksam waren.
5. Subdienstleister. Anhang zum Testat mit der eigenen Subdienstleister-Liste im AVV (Anhang II) abgleichen.
6. Dokumentation. Testat, Befundliste und Scope-Bestätigung im AVV-Dossier zur jeweiligen Verarbeitungstätigkeit nach Art. 30 ablegen.

Dieser Ablauf ist zugleich der Nachweis der Auswahl- und Kontrollpflicht — genau das, wonach eine Aufsichtsbehörde bei einer Prüfung fragt.

13. Häufige Fehler in der Praxis

• “Der Anbieter hat C5” als Pauschalaussage. Ohne Scope- und Regionsabgleich wertlos.
• Nur die Management Summary lesen. Die eigentliche Information steckt in den Kontrollbeschreibungen und Ausnahmen.
• C5 mit Schrems-II-Compliance verwechseln. C5 liefert Bausteine für die Transfer-Analyse, ersetzt sie aber nicht.
• Testat einmalig prüfen und vergessen. Testate sind jahresbezogen; ein Erneuerungs-Tracking ist Pflicht.

14. Tool-Unterstützung

Legiscope verwaltet Cloud-Anbieter, ihre C5-Testate und die Verknüpfung zu DSGVO-AVVs und Verarbeitungstätigkeiten — inklusive Erneuerungs-Tracking.

Fazit

C5 ist das deutsche Cloud-Vertrauenssiegel mit Substanz. Für jeden Cloud-Einsatz in regulierter Umgebung ist ein gültiges C5-Typ-2-Testat der Mindeststandard — alles andere bedeutet bei Aufsichtsfragen offene Flanken.

FAQ

Was kostet ein C5-Testat?

Für Cloud-Anbieter 200-500k Euro pro Audit, je nach Scope. Kunden zahlen indirekt über Service-Preise.

Wie unterscheidet sich C5 von ISO 27001?

C5 baut auf ISO 27001 auf, ist aber spezifischer (Cloud-Fokus), strenger (Datenstandort, Transparenz) und Audit-pflichtig nach ISAE.

Ersetzt C5 die Schrems-II-Prüfung?

Nein. C5 sagt nichts über Drittlandtransfer aus. Für US-Anbieter bleibt TIA und SCC erforderlich.

Welche Cloud-Anbieter haben kein C5?

Viele kleinere SaaS-Anbieter, oft auch Hyperscaler-Services außerhalb des Kern-Scopes. Prüfen Sie immer die aktuelle Liste.

Wie alt darf ein C5-Testat sein?

Maximal 12 Monate für die Nutzung als Compliance-Nachweis. Typ-2-Berichte beziehen sich auf einen Zeitraum, der enden sollte innerhalb der letzten 12 Monate.

Ist C5 dasselbe wie eine DSGVO-Zertifizierung nach Art. 42?

Nein. C5 ist ein Prüfstandard nach ISAE 3000/3402, keine akkreditierte Zertifizierung nach Art. 42 DSGVO. Es ist ein starkes Indiz für “hinreichende Garantien” nach Art. 28, ersetzt aber weder den AVV noch die eigene Risikoprüfung des Verantwortlichen.