In einem Satz. Der BSI Cloud Computing Compliance Criteria Catalogue (C5) ist ein 2016 vom BSI eingeführter und 2020 aktualisierter Kriterienkatalog mit 121 Anforderungen in 17 Themenbereichen, der Cloud-Anbietern den auditierten Nachweis ihrer Sicherheit ermöglicht — heute De-facto-Standard für Bundesbehörden und regulierte Branchen in Deutschland.
Wichtige Punkte
- C5:2020 enthält 121 Kriterien in 17 Themenbereichen (vorher C5:2016: 114 Kriterien).
- Zwei Testat-Typen: Typ 1 (Konzept-Audit) und Typ 2 (Wirksamkeit über Zeitraum).
- BaFin akzeptiert C5 für Bankenauslagerungen (MaRisk AT 9, BAIT).
- AWS, Azure, Google Cloud, SAP, IONOS halten aktive C5-Testate.
- Audit nach ISAE 3000 oder ISAE 3402 durch unabhängige Wirtschaftsprüfer.
1. Hintergrund und Zielsetzung
BSI veröffentlichte C5 ursprünglich 2016 nach Snowden-Enthüllungen, um deutschen Behörden und Unternehmen einen Cloud-Sicherheitsmaßstab zu geben. Update 2020 ergänzte Themen wie DevOps und Container. Das Update C5:2020 ist heute der gültige Stand. Kundenseitig ergänzt eine Zero-Trust-Architektur nach BSI die anbieterseitigen C5-Kontrollen.
2. Struktur des Kriterienkatalogs
17 Themenbereiche, jeweils mit Basis- und Zusatzkriterien:
| Bereich | Kriterien (Auswahl) |
|---|---|
| Organisation der Informationssicherheit | OIS-01 bis OIS-07 |
| Personalsicherheit | HR-01 bis HR-06 |
| Asset Management | AM-01 bis AM-06 |
| Physische Sicherheit | PS-01 bis PS-07 |
| Operations und Kommunikationssicherheit | OPS-01 bis OPS-22 |
| Identitäts- und Berechtigungsmanagement | IDM-01 bis IDM-09 |
| Kryptographie und Schlüsselmanagement | CRY-01 bis CRY-04 |
| Compliance | COM-01 bis COM-04 |
Die Kriterien zur physischen Sicherheit (PS) korrespondieren mit den BSI-Anforderungen an Hochverfügbarkeit im Rechenzentrum.
3. Typ-1 vs. Typ-2 Testat
| Typ | Inhalt | Zeitbezug | Aussagekraft |
|---|---|---|---|
| Typ 1 | Eignung der Kontrollen | Stichtag | Konzept-Nachweis |
| Typ 2 | Wirksamkeit über Zeitraum | 6-12 Monate | Operativer Nachweis |
Für ernsthafte Cloud-Nutzung sollte Typ 2 verlangt werden — Typ 1 ist nur Einstieg.
4. Audit-Prozess
- Vorbereitung: Definition Service-Scope und Subdienstleister
- Readiness Assessment durch internen oder externen Prüfer
- Audit nach ISAE 3000/3402 durch akkreditierten Wirtschaftsprüfer
- Testat-Erstellung mit Befundliste
- Veröffentlichung in NDA-geschützter Form
Dauer: 3-9 Monate je nach Reifegrad.
5. Wer hält C5-Testate?
- AWS: zahlreiche Services (EC2, S3, RDS, Lambda) in eu-central-1 (Frankfurt) und eu-west-1
- Microsoft Azure: Compute, Storage, SQL Database, AKS in West/North Europe
- Google Cloud: GCE, GCS, BigQuery in europe-west3 (Frankfurt)
- SAP: SAP HANA Cloud, SAP BTP
- IONOS Cloud, Open Telekom Cloud, Deutsche Telekom: vollständige Plattformen
Aktuelle Liste auf bsi.bund.de.
6. C5 und DSGVO
Aber: C5 ersetzt nicht den AVV, sondern unterstützt ihn. Art. 28 Abs. 5 DSGVO nennt genehmigte Zertifizierungen ausdrücklich als Element, mit dem ein Auftragsverarbeiter hinreichende Garantien nachweisen kann — der genaue Wortlaut ist im Volltext der DSGVO auf EUR-Lex nachlesbar. Wichtig: C5 ist ein Prüfstandard nach ISAE, kein förmliches Zertifikat nach Art. 42 DSGVO. Das Testat ist ein starkes Indiz, entbindet den Verantwortlichen aber nicht von der eigenen Auswahl- und Kontrollpflicht. In der Praxis heißt das: Der Prüfbericht (nicht nur die Zusammenfassung) muss angefordert, die Befundliste (“Ausnahmen”) gelesen und im AVV-Dossier abgelegt werden.
7. C5 und BaFin/MaRisk
BaFin-Rundschreiben 10/2017 (MaRisk) und BAIT akzeptieren C5-Testate als Auslagerungsbeleg. Banken müssen jedoch ergänzend:
- Eigene Risikobewertung durchführen
- Exit-Strategie nachweisen
- Auditrechte sicherstellen
8. C5 und NIS2
9. Einschränkungen und Kritik
- Testat bezieht sich nur auf definierten Service-Scope, nicht auf gesamten Anbieter
- Nicht alle Regionen abgedeckt (Hyperscaler-Testate meist nur eu-central-1)
- Subdienstleister-Tiefe variabel
- Kosten für Anbieter hoch (200-500k Euro pro Audit-Zyklus)
10. C5 in der Kundenprüfung
Kunden sollten prüfen:
- Ist der genutzte Service im Testat-Scope?
- Ist die genutzte Region abgedeckt?
- Wie aktuell ist das Testat (max. 12 Monate alt)?
- Welche Befunde wurden festgestellt?
- Welche Subdienstleister sind eingebunden?
11. C5 im Vergleich zu anderen Nachweisen
In der Beschaffung tauchen mehrere Nachweise nebeneinander auf. Die Einordnung entscheidet, was ein Testat wirklich belegt:
| Nachweis | Prüftiefe | Cloud-Spezifik | Aussage zum Drittland |
|---|---|---|---|
| ISO/IEC 27001 | Management-System, zertifiziert | gering | keine |
| SOC 2 Typ II | Kontrollwirksamkeit (US-Standard) | mittel | keine |
| BSI C5 Typ 2 | Kontrollwirksamkeit + Transparenzkriterien | hoch | teilweise (Standortangaben) |
| ISO/IEC 27017/27018 | Cloud- und PII-Ergänzungen | hoch | keine |
| EUCS (kommend) | EU-weites Cloud-Schema | hoch | offen |
C5 verlangt zusätzlich die sogenannten Rahmenbedingungen (“Corporate Governance”, Gerichtsstand, Ort der Datenverarbeitung, Ermittlungsbefugnisse ausländischer Behörden) — genau die Angaben, die für eine Transfer Impact Assessment nach Schrems II gebraucht werden. Kein anderer verbreiteter Standard liefert diese Offenlegung strukturiert mit. Das künftige EU-weite Schema EUCS (European Cybersecurity Certification Scheme for Cloud Services) unter der Ägide der ENISA soll C5 mittelfristig ergänzen; bis dahin bleibt C5 in Deutschland der belastbarste Cloud-Nachweis.
12. Praktischer Fahrplan für Kunden
Für die Beschaffungs- und Compliance-Seite empfiehlt sich ein festes Vorgehen, bevor ein Cloud-Dienst produktiv geht:
- Scope-Abgleich. Steht der konkret genutzte Service (z. B. eine bestimmte Datenbank-Engine, nicht nur “AWS”) namentlich im Testat? Randservices fallen häufig heraus.
- Regionsabgleich. Ist die genutzte Region (etwa eu-central-1 Frankfurt) abgedeckt? Testate der Hyperscaler decken oft nur ausgewählte EU-Regionen ab.
- Aktualität. Der Berichtszeitraum eines Typ-2-Testats sollte innerhalb der letzten zwölf Monate enden. Ältere Berichte sind für den laufenden Nachweis unbrauchbar.
- Befundprüfung. Die “Ausnahmen”/“Exceptions” im Bericht lesen — sie zeigen, wo Kontrollen im Prüfzeitraum nicht durchgängig wirksam waren.
- Subdienstleister. Anhang zum Testat mit der eigenen Subdienstleister-Liste im AVV (Anhang II) abgleichen.
- Dokumentation. Testat, Befundliste und Scope-Bestätigung im AVV-Dossier zur jeweiligen Verarbeitungstätigkeit nach Art. 30 ablegen.
Dieser Ablauf ist zugleich der Nachweis der Auswahl- und Kontrollpflicht — genau das, wonach eine Aufsichtsbehörde bei einer Prüfung fragt.
13. Häufige Fehler in der Praxis
- “Der Anbieter hat C5” als Pauschalaussage. Ohne Scope- und Regionsabgleich wertlos.
- Nur die Management Summary lesen. Die eigentliche Information steckt in den Kontrollbeschreibungen und Ausnahmen.
- C5 mit Schrems-II-Compliance verwechseln. C5 liefert Bausteine für die Transfer-Analyse, ersetzt sie aber nicht.
- Testat einmalig prüfen und vergessen. Testate sind jahresbezogen; ein Erneuerungs-Tracking ist Pflicht.
14. Tool-Unterstützung
Fazit
C5 ist das deutsche Cloud-Vertrauenssiegel mit Substanz. Für jeden Cloud-Einsatz in regulierter Umgebung ist ein gültiges C5-Typ-2-Testat der Mindeststandard — alles andere bedeutet bei Aufsichtsfragen offene Flanken.
FAQ
Was kostet ein C5-Testat?
Für Cloud-Anbieter 200-500k Euro pro Audit, je nach Scope. Kunden zahlen indirekt über Service-Preise.
Wie unterscheidet sich C5 von ISO 27001?
C5 baut auf ISO 27001 auf, ist aber spezifischer (Cloud-Fokus), strenger (Datenstandort, Transparenz) und Audit-pflichtig nach ISAE.
Ersetzt C5 die Schrems-II-Prüfung?
Nein. C5 sagt nichts über Drittlandtransfer aus. Für US-Anbieter bleibt TIA und SCC erforderlich.
Welche Cloud-Anbieter haben kein C5?
Viele kleinere SaaS-Anbieter, oft auch Hyperscaler-Services außerhalb des Kern-Scopes. Prüfen Sie immer die aktuelle Liste.
Wie alt darf ein C5-Testat sein?
Maximal 12 Monate für die Nutzung als Compliance-Nachweis. Typ-2-Berichte beziehen sich auf einen Zeitraum, der enden sollte innerhalb der letzten 12 Monate.
Ist C5 dasselbe wie eine DSGVO-Zertifizierung nach Art. 42?
Nein. C5 ist ein Prüfstandard nach ISAE 3000/3402, keine akkreditierte Zertifizierung nach Art. 42 DSGVO. Es ist ein starkes Indiz für “hinreichende Garantien” nach Art. 28, ersetzt aber weder den AVV noch die eigene Risikoprüfung des Verantwortlichen.