Wer Cloud-Dienste an Bundesbehörden, Kliniken oder regulierte Unternehmen verkauft, wird früher oder später nach einem C5-Testat gefragt. Der BSI C5 ist kein Zertifikat mit Siegel, sondern ein ausführlicher Prüfbericht eines Wirtschaftsprüfers. Anbieter unterschätzen oft die Nachweisarbeit, Kunden lesen oft nur das Prüfungsurteil.
Dieser Beitrag erklärt, wie der Kriterienkatalog aufgebaut ist, was ein Testat vom Typ 1 und Typ 2 aussagt und wer es braucht. Sie erfahren außerdem, was die neue Fassung C5:2026 ändert, ab wann sie gilt und wie Sie einen C5-Bericht als Kunde auswerten. Ein eigener Abschnitt zeigt, wie Schwachstellenmanagement und Penetrationstests in die Vorbereitung passen.
C5 steht für „Cloud Computing Compliance Criteria Catalogue“, auf Deutsch Kriterienkatalog Cloud Computing. Herausgeber ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Es hat den Katalog 2016 erstmals veröffentlicht und ihn 2020 sowie 2025 und 2026 grundlegend überarbeitet. C5 legt Mindestanforderungen an die Informationssicherheit von Cloud-Diensten fest und richtet sich an Cloud-Anbieter, deren Prüfer und Cloud-Kunden.
Die Kriterien sind prüfbar und technologieneutral formuliert. Sie beschreiben ein Sicherheitsziel, schreiben aber kein Produkt und keine konkrete Maßnahme vor. Für Anbieter und Kunden hat C5 laut BSI empfehlenden Charakter. Verbindlich wird er erst, wenn eine andere Regel ihn fordert, etwa ein Mindeststandard oder ein Gesetz.
Geprüft wird nie ein Unternehmen als Ganzes. Gegenstand ist immer ein Cloud-Dienst oder eine Gruppe von Diensten in festgelegten Regionen. Nach Angaben des BSI gibt es bereits mehr als hundert Testate für nationale, europäische und weltweit tätige Anbieter.
C5:2020 umfasst 121 Kriterien, C5:2026 insgesamt 168. Beide Fassungen gliedern sie in 17 Themengebiete, darunter „Personal“, „Physische Sicherheit“ und „Kryptographie und Schlüsselmanagement“. Der Katalog unterscheidet zwei Ebenen:
Hinzu kommen die Rahmenbedingungen, die das BSI als Besonderheit des C5 bezeichnet. Sie dienen der Transparenz: Der Anbieter legt unter anderem eine detaillierte Systembeschreibung, den Ort der Datenverarbeitung und bereits erteilte Zertifikate offen. Für die Risikoanalyse des Kunden zählen sie oft ebenso wie die Prüfergebnisse.
Cloud-Sicherheit ist geteilte Verantwortung. Der Anbieter stellt zum Beispiel ein Rollenmodell bereit, die Vergabe der Rollen im eigenen Mandanten liegt aber beim Kunden. Ein C5-konformer Prüfbericht muss deshalb korrespondierende Kriterien beziehungsweise Kontrollen für Kunden enthalten. Fehlen sie, entspricht der Bericht laut BSI nicht dem C5.
Analog beschreibt der Bericht Subdienstleisterkontrollen, im Englischen Complementary Subservice Organization Controls (CSOCs). Sie betreffen Unterauftragnehmer wie den Betreiber des Rechenzentrums, auf deren Kontrollen sich der Anbieter verlässt. In Projekten zeigt sich häufig, dass Kunden diese Abschnitte überspringen. Die Lücke liegt dann auf ihrer Seite, trotz sauberem Testat.
Ein C5-Testat ist ein Bericht mit Prüfungsurteil, den ein Wirtschaftsprüfer erteilt. Methodisch beruht er auf ISAE 3000 (International Standard on Assurance Engagements 3000), einem internationalen Standard für Prüfungen außerhalb der Abschlussprüfung. Das deutsche Gegenstück ist IDW PS 860, ein Prüfungsstandard des Instituts der Wirtschaftsprüfer. C5 ergänzt diese Standards um eigene Vorgaben, etwa zur Qualifikation des Prüfteams und zum Mindestinhalt des Berichts.
Laut BSI-FAQ darf nur ein Wirtschaftsprüfer das Testat erteilen. Im Team können weitere Fachleute mitarbeiten, deren Qualifikationen der Bericht nennen und belegen muss. Der Bericht folgt der Form eines SOC-2-Berichts (Service Organization Control 2), eines Formats des US-Wirtschaftsprüferverbands AICPA über interne Kontrollen von Dienstleistern. Geprüft wird das dienstleistungsbezogene interne Kontrollsystem des Anbieters, entweder über eine Erklärung des Anbieters oder direkt durch den Prüfer.
Wichtig ist die Abgrenzung zum Zertifikat. Bei einer Zertifizierung entscheidet eine unabhängige dritte Stelle. Beim C5 gibt es nur zwei Parteien: den Anbieter und den Prüfer, den dieser beauftragt und bezahlt. Ein C5-Zertifikat existiert deshalb ebenso wenig wie ein offizielles C5-Logo. Das BSI wählt keine Prüfer aus, begleitet keine Prüfungen und bewertet keine Berichte.
Ein uneingeschränktes Prüfungsurteil bedeutet laut BSI ausdrücklich nicht, dass es keine Abweichungen gibt. Erst die Ergebnisse je Kriterium zeigen, wo Kontrollen nicht wie beschrieben funktioniert haben.