BSI C5 Beratung: das Testat vorbereiten

Einordnung

Stand 27.10.2026

BSI C5 auf einen Blick

Standard

BSI C5 (Cloud Computing Compliance Criteria Catalogue), aktuelle Fassung C5:2026

Umfang

174 Kriterien in 18 Bereichen

Ergebnis

Testat, also ein Prüfbericht eines Wirtschaftsprüfers nach ISAE 3000 (Revised), kein Zertifikat

Typ 1 und Typ 2

Typ 1 prüft die Gestaltung zu einem Stichtag, Typ 2 zusätzlich die Wirksamkeit über einen Prüfzeitraum, laut BSI typischerweise 6 oder 12 Monate

Pflicht

Für normale KMU keine, erwartet wird C5 aber von Behörden, KRITIS-Betreibern und in Großkunden-Audits

Unsere Rolle

Die DripBack GmbH aus Leopoldshöhe (OWL) bereitet auf die Prüfung vor. Das Testat stellt der Wirtschaftsprüfer aus.

Kurz erklärt

Testat, nicht Zertifizierung

C5 führt nicht zu einem Zertifikat wie etwa ISO 27001, sondern zu einem Testat: einem Prüfbericht, den ein unabhängiger Wirtschaftsprüfer nach dem internationalen Standard ISAE 3000 (Revised) erstellt. Der Bericht dokumentiert die Prüftätigkeiten und enthält eine Systembeschreibung der Maßnahmen des Cloud-Anbieters. Wer also nach einer „C5-Zertifizierung“ sucht, meint in der Sache dieses Testat. Den Prüfer beauftragt der Cloud-Anbieter selbst; das Ergebnis kann er seinen Kunden vorlegen, damit diese es in ihre eigene Risikoanalyse übernehmen.

Kurz erklärt

Typ 1 oder Typ 2 — welches Testat zählt

• Typ 1 bescheinigt, dass die Maßnahmen zu einem Stichtag angemessen gestaltet sind.
• Typ 2 bescheinigt zusätzlich, dass sie über einen Prüfzeitraum hinweg tatsächlich wirksam waren — laut BSI typischerweise 6 oder 12 Monate. Typ 2 hat damit die höhere Aussagekraft.

Für die eigene Lieferanten-Dokumentation genügt es meist, den Testat-Typ des Anbieters zu erfassen und bei sensiblen Daten auf ein aktuelles Typ-2-Testat zu achten.

Ablauf

Ablauf eines C5-Testats in sechs Schritten

1. Umfang festlegen. Welche Cloud-Dienste, Regionen und Standorte geprüft werden und ob Typ 1 oder Typ 2. Ein Typ-1-Bericht ist laut C5:2026 auf den Erstauftrag beschränkt und darf nicht für aufeinanderfolgende Aufträge beauftragt werden.
2. Lückenanalyse gegen den Katalog. Abgleich mit den 174 Kriterien. Alle Basiskriterien müssen vollständig erfüllt sein, Zusatzkriterien kommen dazu, wenn Kunden sie wegen höheren Schutzbedarfs fordern.
3. Maßnahmen und Nachweise aufbauen. Richtlinien, Prozesse und technische Kontrollen, und zwar so dokumentiert, dass ein Prüfer sie nachvollziehen kann.
4. Systembeschreibung erstellen. Der Cloud-Anbieter beschreibt Dienste, Systemkomponenten und Rahmenbedingungen und gibt dazu eine Erklärung der gesetzlichen Vertreter ab.
5. Prüfung durch den Wirtschaftsprüfer. Nach ISAE 3000 (Revised): bei Typ 1 die Ausgestaltung der Kontrollen zum Stichtag, bei Typ 2 zusätzlich ihre Wirksamkeit über den Prüfzeitraum. Der soll laut C5:2026 mindestens drei und höchstens zwölf Monate umfassen. Ein Typ-1-Bericht vorab ist nicht nötig.
6. Bericht an die Kunden. Der Anbieter gibt den Prüfbericht an seine Kunden weiter, Folgeprüfungen laufen als Typ 2.

DripBack begleitet die Schritte 1 bis 4. Die Prüfung in Schritt 5 und das Testat liegen beim Wirtschaftsprüfer.

Abschnitt 01

Was C5 wirklich ist

In der aktuellen Fassung C5:2026 besteht C5 aus 174 Kriterien in 18 Bereichen. Die Bereiche überdecken die typischen ISMS-Themen (Organisation der Informationssicherheit, Personalsicherheit, physische Sicherheit, etc.) plus cloud-spezifische Erweiterungen wie Mandantentrennung, Eskalations-Management bei Sicherheitsvorfällen, kryptographische Schlüssel-Verwaltung mit Customer-Hoheit. C5 wird durch eine externe Wirtschaftsprüfer-Prüfung bescheinigt ("C5-Testat"). Anders als ISO 27001 ist C5 nicht zertifiziert, sondern testiert — die formelle Trennung ist juristisch relevant.

Das BSI hat den Katalog 2025/26 grundlegend überarbeitet. C5:2026 erweitert nicht nur die Anforderungen, sondern ist auch strukturell neu aufgebaut, in Anlehnung an das europäische Zertifizierungsschema EUCS: Jedes Kriterium besteht jetzt aus Unterkriterien, und die Zusatzkriterien sind in verschärfende und ergänzende Anforderungen geteilt. Fragen Sie beim Anbieter nach, auf welcher Katalog-Fassung sein jüngstes Testat beruht.

Abschnitt 02

Wann C5 verpflichtend ist

Für öffentliche Verwaltung: C5-Testat ist seit 2018 Standard-Voraussetzung für Cloud-Services in der Bundesverwaltung (BIT-V). Für KRITIS-Betreiber: C5 ist eine der akzeptierten Compliance-Schienen nach BSIG. Für Gesundheits-Daten: nicht direkt verpflichtend, aber von Krankenhäusern und Praxen oft gefordert. Für Anwalts- und Steuerkanzleien: keine explizite C5-Pflicht, aber faktisch der etablierte Standard für DSGVO-konforme Cloud-Nutzung in sensitiven Bereichen. Für reguläre KMU: keine direkte Pflicht, aber bei Großkunden-Audits oft als Erwartung formuliert.

Abschnitt 03

Welche Cloud-Anbieter C5-Testat haben

Wer nach „BSI C5 zertifizierten Anbietern“ sucht, meint Anbieter mit C5-Testat; ein Zertifikat im engeren Sinn vergibt C5 nicht. Ob ein C5-Testat für Sie Pflicht ist, steht in Abschnitt 02. Öffentlich belegte C5-Testate (Stand Oktober 2026, laut Angaben der Anbieter): Hetzner (C5:2020-Testat Typ 2 der Hetzner Online GmbH, Prüfbericht vom 17.11.2025; umfasst laut Hetzner u. a. Cloud Server, Dedicated Server und Storage inklusive Object Storage), IONOS Cloud (C5:2020-Testat Typ 1, Stichtag 28.05.2026, für 33 Dienste; ein Typ-2-Testat nennt IONOS bisher nicht), AWS (C5-Testat Typ 2, Prüfzeitraum 01.10.2024 bis 30.09.2025, für neun Regionen, darunter Frankfurt), Microsoft Azure und Google Cloud (C5:2020-Prüfung belegt; welche Dienste und Regionen geprüft sind, steht im jeweiligen Bericht im Kundenportal), T Cloud Public, früher Open Telekom Cloud (C5-Testat Typ 2 für die Rechenzentren in Deutschland und den Niederlanden, zuletzt öffentlich belegt für 01.01. bis 31.10.2024), STACKIT (C5-Testat Typ 2 inklusive Zusatzkriterien für die gelisteten Dienste, Bericht auf Anfrage). Ein C5:2026-Testat weist bisher keiner dieser Anbieter öffentlich aus. Wichtig: Ein Testat gilt nur für die Dienste und Regionen im Prüfumfang des Berichts. US-Regionen gehören laut AWS nicht zum C5-Prüfumfang. Wer für DSGVO-konforme Datenverarbeitung Cloud nutzt, sollte zusätzlich zur EU-Region die explizite Region-Konfiguration absichern.

Abschnitt 04

Eigene C5-Konformitäts-Dokumentation

Wenn Sie selbst Cloud-Services nutzen, müssen Sie nicht selbst ein C5-Testat haben. Aber Sie müssen die eingesetzten Cloud-Services dokumentieren. Ein einfaches C5-Konformitäts-Register enthält: (1) Anbieter-Name + Service. (2) Hosting-Standort. (3) Daten-Klassen die in dem Service liegen. (4) Schutzbedarf der Daten (Standard / Erhöht / Hoch / Sehr Hoch). (5) C5-Testat-Nummer + Gültigkeitsdauer. (6) Eigene Konfiguration (Verschlüsselungs-Optionen, Multi-Region-Backup, IAM-Setup). Diese Dokumentation reicht für die meisten Kunden- und Behörden-Audits. DSGVO-Audit-Suite enthält ein C5-Register-Template.

Abschnitt 05

Sub-Provider-Liste prüfen

Ein C5-Testat des Haupt-Anbieters ist nicht ausreichend, wenn der Anbieter selbst Sub-Provider einsetzt, die kein eigenes Testat haben. AWS nutzt für bestimmte Services eigene Sub-Anbieter (z.B. für CDN-Services, Email-Versand). Vor Nutzung sollte die Sub-Provider-Liste geprüft werden, ob alle Sub-Provider entweder eigenes C5-Testat haben oder durch das Haupt-Testat mit-abgedeckt sind. Bei sensiblen Daten (Patient, Anwalt-Mandant) sollte Sub-Provider-Hoheit dokumentiert sein — keine "blanket inclusion" zulassen.

Abschnitt 06

Verschlüsselung mit Customer-Hoheit

C5 verlangt, dass für sensible Daten die Verschlüsselungs-Schlüssel beim Customer (oder dessen direkter Kontrolle) liegen können. Das ist die "Bring Your Own Key"-Anforderung. Wichtig zu wissen: viele Cloud-Anbieter bieten BYOK an, aber mit Einschränkungen — liegt der importierte Schlüssel weiter in der Schlüsselverwaltung des Anbieters, gibt das Customer-Hoheit nur teilweise. Echte Customer-Hoheit gibt es nur mit "Bring Your Own HSM" oder Cloud-HSM-Services (ein verwaltetes HSM bietet Hetzner nach unserer Recherche, Stand Oktober 2026, nicht an; dort braucht es ein externes HSM oder eigene Hardware in der Colocation). Für höchste Vertraulichkeits-Stufen sollte ein dediziertes Customer-HSM verwendet werden; es kostet zusätzlich zum normalen Cloud-Service, die Preise nennt der jeweilige Anbieter.

Abschnitt 07

Eskalation bei Sicherheits­vorfällen

C5 fordert dokumentierte Prozesse für den Umgang mit Sicherheitsvorfällen, einschließlich der Information der Kunden. Welche Fristen und Ansprechpartner konkret gelten, steht im Vertrag und in der AVV des Anbieters; bei personenbezogenen Daten muss der Auftragsverarbeiter eine Datenschutzverletzung unverzüglich melden (Art. 33 Abs. 2 DSGVO), der Verantwortliche hat für die Meldung an die Aufsichtsbehörde 72 Stunden (Art. 33 Abs. 1 DSGVO). Vor Cloud-Nutzungs-Beginn sollten alle Eskalations-Daten dokumentiert und im Incident-Response-Plan hinterlegt sein. Wer im Ernstfall sucht "wo ist die AWS-Hotline-Nummer", verliert kritische Reaktions-Zeit.

Abschnitt 08

Test-Pflichten an C5-Konformität

C5 enthält Kriterien zu regelmäßigen Penetrationstests. Wie der Anbieter sie umsetzt, beschreibt der Testat-Bericht, den Kunden beim Anbieter anfordern können; die einzelnen Testberichte selbst erhalten Kunden in der Regel nicht. Bei Anbietern ohne C5-Testat sollten Kunden Nachweise zu Penetrationstests einfordern. Eigene Tests gegen Cloud-Dienste sind nur im Rahmen der Pentest-Richtlinien des jeweiligen Anbieters erlaubt, die vor jedem Test zu lesen sind.

Abschnitt 09

Vergleich C5 vs ISO 27001 vs SOC 2

Die drei Standards überlappen, aber haben unterschiedliche Schwerpunkte. ISO 27001: international anerkannt, framework-basiert, jährliche Surveillance, weltweit der Standard. SOC 2: US-zentriert, Prüfung gegen die fünf Trust Services Criteria des AICPA. C5: deutscher Standard, fokussiert auf Cloud-Spezifika und DSGVO-Konformität, jährliches Testat statt 3-jährige Zertifizierung. Für deutsche KMU mit Schwerpunkt auf öffentlichen Auftraggebern oder regulierten Branchen: C5 ist der relevanteste Standard. Für KMU mit internationalem Kundenkreis: ISO 27001 mit C5 als Ergänzung ist die robusteste Wahl.

Abschnitt 10

Setup-Aufwand für KMU-Cloud-Dokumentation

Für KMU, die Cloud-Services nutzen und C5-konforme Dokumentation aufbauen wollen: Bausteine sind Anbieter-Bestandsaufnahme, Schutzbedarf-Klassifikation und Compliance-Register; der Aufwand hängt von der Zahl der genutzten Cloud-Dienste und vom Schutzbedarf ab und ist jährlich zu aktualisieren. Er ist deutlich niedriger als ein eigenes C5-Testat. Ob die Dokumentation für ein bestimmtes Kunden- oder Behörden-Audit genügt, legt der jeweilige Auftraggeber fest.

Kriterienkatalog

Welche Nachweise ein C5-Audit braucht: die 18 Bereiche des C5:2026

Der Katalog C5:2026 gliedert seine 174 Kriterien in 18 Bereiche. Zu jedem Bereich will der Prüfer Unterlagen und Belege sehen. Die folgende Liste nennt je Bereich die Anzahl der Kriterien (gezählt in der maschinenlesbaren Fassung des BSI) und die Nachweise, die in der Vorbereitung typischerweise entstehen. Dazu kommt die Systembeschreibung aus Schritt 4.

• Organisation der Informationssicherheit (OIS, 10 Kriterien): ISMS, Informationssicherheitsrichtlinie, Rollen und Schnittstellen.
• Sicherheitsrichtlinien und Arbeitsanweisungen (SP, 3 Kriterien): freigegebene Richtlinien, Prüfintervalle, dokumentierte Ausnahmen.
• Personal (HR, 8 Kriterien): Überprüfung neuer Beschäftigter, Vertragsklauseln, Schulungsnachweise.
• Asset Management (AM, 12 Kriterien): Asset-Inventar für Hardware, Software und Daten.
• Physische Sicherheit (PS, 8 Kriterien): Gebäude- und Perimeterschutz, Redundanzmodell der Rechenzentren.
• Regelbetrieb (OPS, 35 Kriterien): Kapazitätsplanung, Protokollierung, Datensicherung, Schwachstellen- und Patchmanagement.
• Identitäts- und Berechtigungsmanagement (IAM, 9 Kriterien): Berechtigungskonzept, Vergabe- und Entzugsprozess, regelmäßige Rezertifizierung.
• Kryptographie und Schlüsselmanagement (CRY, 19 Kriterien): Kryptokonzept, Schlüsselverwaltung, Prüfung der Verfahren.
• Kommunikationssicherheit (COS, 8 Kriterien): Netzsegmentierung, Schutz und Überwachung der Verbindungen.
• Portabilität und Interoperabilität (PI, 3 Kriterien): Datenexport, vertragliche Herausgabe, sichere Löschung.
• Beschaffung, Entwicklung und Änderung von Informationssystemen (DEV, 15 Kriterien): Entwicklungs- und Änderungsrichtlinien, Umgang mit ausgelagerter Entwicklung.
• Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO, 8 Kriterien): Lieferantenverzeichnis, Risikobeurteilung, Überwachung der Dienstleister.
• Umgang mit Sicherheitsvorfällen (SIM, 6 Kriterien): Incident-Richtlinie, Reaktionspläne, Bearbeitungsnachweise.
• Kontinuität des Geschäftsbetriebs und Notfallmanagement (BCM, 4 Kriterien): Business Impact Analyse, Notfall- und Wiederanlaufpläne, Tests.
• Compliance (COM, 4 Kriterien): Verzeichnis der rechtlichen und vertraglichen Anforderungen, interne Audits.
• Umgang mit behördlichen Auskunfts- und Herausgabeverlangen (INQ, 4 Kriterien): juristische Bewertung, Information der Kunden, Begrenzung der Offenlegung.
• Produktsicherheit (PSS, 12 Kriterien): Leitlinien für Cloud-Kunden, Umgang mit bekannten Schwachstellen.
• Angaben zu den Rahmenbedingungen des Cloud-Dienstes (GC, 6 Kriterien): anwendbares Recht, Standorte und Regionen, Verfügbarkeit und Wiederanlauf.

Welche Nachweise im Einzelfall genügen, entscheidet der Wirtschaftsprüfer. Die Liste ersetzt nicht den Katalog selbst, den das BSI kostenlos veröffentlicht.

Region

C5-Beratung für Unternehmen in OWL und Niedersachsen

Unser Sitz ist Leopoldshöhe in Ostwestfalen-Lippe, nah an der Landesgrenze zu Niedersachsen. Die Arbeit am Kriterienkatalog läuft überwiegend per Videogespräch und Dokumentenaustausch. Deshalb beraten wir Cloud-Anbieter und IT-Dienstleister auch in Hannover, Braunschweig, Wolfsburg, Hildesheim, Salzgitter, Goslar und Göttingen. Workshops vor Ort vereinbaren wir nach Bedarf, Hannover erreichen wir über die A2 in gut einer Stunde. In OWL kommen wir für Termine im Umkreis von rund 50 Kilometern direkt vorbei.

Fragen

Häufige Fragen