BSI C5: Testat, Typ 1 und Typ 2 verstehen

Ein BSI-C5-Testat taucht in Ausschreibungen, Lieferantenfragebögen und Sicherheitsreviews regelmäßig auf, meist ohne Erklärung, was genau dahintersteckt. Der Unterschied zwischen Typ 1 und Typ 2 entscheidet dabei über die Aussagekraft des Dokuments. Dieser Leitfaden ordnet ein, was ein C5-Testat belegt, was es nicht belegt und wie du einen Prüfbericht liest.

Was ist ein BSI-C5-Testat?

Ein BSI-C5-Testat ist die Bestätigung eines unabhängigen Wirtschaftsprüfers, dass ein Cloud-Dienst die Sicherheitsanforderungen des vom Bundesamt für Sicherheit in der Informationstechnik herausgegebenen Kriterienkatalogs C5 erfüllt, dokumentiert in einem ausführlichen Prüfbericht.

Der Katalog heißt vollständig "Cloud Computing Compliance Criteria Catalogue". Das BSI hat ihn erstmals 2016 veröffentlicht und 2020 grundlegend überarbeitet; die aktuell maßgebliche Fassung ist der C5:2020. Wichtig ist die Rollenverteilung: Das BSI schreibt den Katalog, prüft aber nicht selbst und vergibt kein Siegel. Die Prüfung führt eine Wirtschaftsprüfungsgesellschaft nach anerkannten Prüfungsstandards durch, in der Praxis nach ISAE 3000 (Revised) beziehungsweise IDW PS 951 n. F.

Das Ergebnis ist deshalb kein Zertifikat mit Logo, sondern ein Bericht. Darin stehen die Systembeschreibung des Anbieters, die geprüften Kriterien, der Prüfzeitraum, das Prüfvorgehen und die festgestellten Abweichungen. Genau darin liegt der Zweck des Formats: Du sollst den Bericht selbst lesen und bewerten können, statt einem Prüfsiegel vertrauen zu müssen.

Wer braucht ein BSI-C5-Testat?

Gesetzlich verpflichtend ist das BSI C5 für niemanden, weder für Anbieter noch für Kunden. In der Praxis fordern es öffentliche Auftraggeber, Unternehmen aus regulierten Branchen und Konzerne mit strukturierter Lieferantenprüfung regelmäßig als Nachweis für ausgelagerte IT-Leistungen.

Ob es für dein Haus relevant ist, entscheidet sich an drei Fragen:

• Regulatorischer Rahmen: Unterliegt deine Organisation Vorgaben, die einen Nachweis über eingesetzte Dienstleister verlangen? Das betrifft etwa Einrichtungen im Anwendungsbereich der NIS2-Richtlinie, Finanzunternehmen unter DORA oder Stellen mit besonderen Beschaffungsvorgaben.
• Art der Daten: Je schutzbedürftiger die verarbeiteten Daten, desto höher die Begründungslast bei der Anbieterauswahl. Bei personenbezogenen Daten kommt die Pflicht zur sorgfältigen Auswahl des Auftragsverarbeiters aus der DSGVO hinzu.
• Interne Vorgaben: Ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 verlangt Nachweise für ausgelagerte Prozesse, schreibt aber kein Format vor. Ein C5-Bericht erfüllt diese Anforderung, ohne dass du beim Anbieter selbst auditieren musst.

graph TD
    A["Verarbeitet der Cloud-Dienst schutzbedürftige oder regulierte Daten?"] -->|nein| B["Testat optional, bleibt ein Qualitätsmerkmal"]
    A -->|ja| C["Verlangt dein Rahmenwerk einen Nachweis über Dienstleister?"]
    C -->|nein| D["Eigene Risikobewertung entscheidet über den Nachweisbedarf"]
    C -->|ja| E["Prüfbericht anfordern statt Marketingaussagen zu vertrauen"]
    E --> F["Deckt der Bericht Dienst, Standort und aktuellen Zeitraum ab?"]
    F -->|nein| G["Lücke dokumentieren und beim Anbieter nachfassen"]
    F -->|ja| H["Typ 1 oder Typ 2 gegen die eigene Anforderung abgleichen"]

Eine Rechtsberatung ersetzt diese Einordnung nicht. Ob eine konkrete Pflicht besteht, hängt von deiner Branche, deiner Größe und der jeweils gültigen nationalen Umsetzung ab.

Was prüft der C5-Katalog inhaltlich?

Der C5:2020 gliedert seine Anforderungen in Themenbereiche, die den gesamten Betrieb eines Cloud-Dienstes abdecken, von der Organisation der Informationssicherheit über den technischen Betrieb bis zum Umgang mit Sicherheitsvorfällen. Die genaue Zahl der Kriterien und Bereiche steht im Katalog selbst und sollte dort nachgeschlagen werden.

Inhaltlich wiederkehrende Themen sind unter anderem:

• Organisation und Personal: Verantwortlichkeiten, Richtlinien, Sicherheitsüberprüfung und Sensibilisierung von Mitarbeitenden.
• Physische Sicherheit und Betrieb: Rechenzentrumszutritt, Kapazitätssteuerung, Protokollierung, Schutz vor Schadsoftware, Datensicherung.
• Identitäts- und Berechtigungsmanagement: Vergabe, Überprüfung und Entzug von Zugriffsrechten, insbesondere für privilegierte Konten.
• Kryptografie und Kommunikationssicherheit: Verschlüsselung im Transport und bei der Speicherung, Schlüsselverwaltung, Netztrennung.
• Beschaffung, Entwicklung und Dienstleistersteuerung: sichere Entwicklung, Change-Prozesse, Steuerung von Subdienstleistern.
• Sicherheitsvorfälle und Kontinuität: Meldewege, Reaktionsprozesse, Notfallplanung und deren Erprobung.

Basiskriterien und Zusatzkriterien

Der C5:2020 unterscheidet zwischen Basiskriterien, die den Grundumfang bilden, und darüber hinausgehenden Zusatzanforderungen für erhöhten Schutzbedarf. Ein Bericht kann sich auf die Basiskriterien beschränken. Prüfe deshalb im Bericht, welcher Umfang tatsächlich Prüfgegenstand war, statt vom Vorliegen eines Testats auf den vollen Katalog zu schließen.

Transparenz über die Rahmenbedingungen

Eine Besonderheit des C5 sind die Angaben zu den Rahmenbedingungen der Leistungserbringung. Der Anbieter muss offenlegen, wo Daten verarbeitet werden, welchem Gerichtsstand er unterliegt, wie er mit behördlichen Ermittlungsanfragen umgeht und welche Subdienstleister beteiligt sind. Diese Angaben sind keine Sicherheitsmaßnahme im engeren Sinn, aber häufig genau die Information, die eine Beschaffungsentscheidung trägt.

Worin unterscheiden sich Typ 1 und Typ 2?

Ein C5-Testat vom Typ 1 bestätigt, dass die Sicherheitsmaßnahmen zu einem Stichtag angemessen ausgestaltet sind; ein Testat vom Typ 2 bestätigt zusätzlich, dass diese Maßnahmen über einen zurückliegenden Zeitraum hinweg tatsächlich wirksam waren.

Der Anspruch an die Kriterien ist in beiden Fällen identisch, der Unterschied liegt allein in der Prüftiefe über die Zeit. Typ 2 ist damit der stärkere Nachweis. Ein Typ-1-Testat ist deswegen nicht wertlos: Es ist der übliche erste Schritt, weil ein Anbieter erst nach einem ausreichend langen Betriebszeitraum überhaupt Wirksamkeit belegen kann. Für die eigene Bewertung zählt, ob dein Rahmenwerk oder dein Auftraggeber ausdrücklich Typ 2 verlangt.

Was bedeutet ein C5-Testat für deine eigene Infrastruktur?

Ein C5-Testat deckt die Verantwortung des Anbieters ab, nicht deine. Der Katalog benennt dafür ausdrücklich Kriterien in der Verantwortung des Cloud-Kunden: Aufgaben, die der Anbieter technisch gar nicht übernehmen kann und die im Bericht als solche gekennzeichnet sind.

In der Praxis bleibt damit bei dir, was oberhalb der Plattform liegt: die Konfiguration deiner Instanzen und Netzwerke, das Berechtigungskonzept in deinen Accounts, die Verschlüsselung und Aufbewahrung deiner Daten, das Patchen deiner Betriebssysteme und Anwendungen sowie die Frage, ob deine Backups wiederherstellbar sind. Ein Testat des Anbieters verbessert keine dieser Punkte. Es verkleinert nur den Teil der Sicherheitsarchitektur, den du selbst nachweisen musst.

Daraus folgt eine praktische Konsequenz für Audits: Lies den Abschnitt zu den Kundenverantwortlichkeiten zuerst und gleiche ihn mit deiner eigenen Betriebsdokumentation ab. Genau dort entstehen die Lücken, die bei einer Prüfung auffallen.

Wie lange gilt ein BSI-C5-Testat?

Ein BSI-C5-Testat hat kein Ablaufdatum im Sinne eines Zertifikats, sondern bezieht sich immer auf einen abgeschlossenen Stichtag oder Prüfzeitraum, weshalb Anbieter die Prüfung üblicherweise jährlich wiederholen, um eine lückenlose Nachweiskette zu erhalten.

Für deine Bewertung heißt das: Ein Bericht altert ab dem Tag seiner Erstellung. Prüfe, wie weit der Prüfzeitraum zurückliegt und ob zwischen aufeinanderfolgenden Berichten Lücken klaffen. Wesentliche Änderungen am Dienst, etwa ein neuer Standort oder ein neuer Subdienstleister, sind vom alten Bericht nicht abgedeckt.

Eine Nichteinhaltung des C5 ist nicht sanktionsbewehrt, weil der Katalog keine Rechtsnorm ist. Die Konsequenzen sind wirtschaftlicher Natur: Ohne Testat scheiden Anbieter in Ausschreibungen und Lieferantenprüfungen aus, und Kunden müssen den Nachweis anderweitig führen. Sanktionen drohen dort, wo ein Gesetz dahintersteht, etwa über die NIS2-Umsetzung, DORA oder die DSGVO.

Wie verhält sich C5 zu ISO 27001, SOC 2 und NIS2?

C5, ISO/IEC 27001, SOC 2 und NIS2 überschneiden sich thematisch, unterscheiden sich aber in Gegenstand und Verbindlichkeit: C5 und SOC 2 prüfen konkrete Dienste, ISO 27001 zertifiziert ein Managementsystem, NIS2 ist Recht und kein Nachweisformat.

Wer ISO/IEC 27001:2022 betreibt, hat einen erheblichen Teil der C5-Grundlagen bereits geschaffen; die Kataloge überschneiden sich weitgehend, decken sich aber nicht vollständig. Die Transparenzangaben des C5 haben in der ISO keine direkte Entsprechung. Die Typ-1- und Typ-2-Logik ist bei C5 und SOC 2 vergleichbar, weil beide auf demselben Prüfungsansatz aufsetzen.

Bei NIS2 lohnt eine Klarstellung: Die Richtlinie verlangt angemessene Risikomanagementmaßnahmen, auch für die Lieferkette, schreibt aber kein bestimmtes Testat vor. Ein C5-Bericht kann helfen, diese Sorgfalt zu belegen, ersetzt sie aber nicht. Der Stand der deutschen Umsetzung hat sich mehrfach verschoben; prüfe den aktuellen Rechtsstand und den Anwendungsbereich beim BSI, bevor du daraus Pflichten für dein Haus ableitest. Für Finanzunternehmen und ihre IKT-Dienstleister gilt zusätzlich die DORA-Verordnung, die seit dem 17. Januar 2025 anwendbar ist und eigene Anforderungen an Vertragsgestaltung und Auslagerungsregister stellt. Ein europäisches Cloud-Zertifizierungsschema (EUCS) befindet sich seit Längerem in Arbeit; den aktuellen Stand veröffentlicht die ENISA.

Woran erkennst du ein belastbares Testat?

Ein vorliegendes Testat ersetzt deine eigene Bewertung nicht. Diese Punkte lohnen den Blick in den Bericht:

• Geltungsbereich: Welche Dienste, Standorte und Rechenzentren deckt der Bericht ab? Ein Testat für ein Produkt gilt nicht automatisch für das gesamte Portfolio des Anbieters.
• Typ und Zeitraum: Typ 1 oder Typ 2, und wie aktuell ist der Prüfzeitraum?
• Kriterienumfang: Nur Basiskriterien oder auch Zusatzkriterien?
• Abweichungen: Welche Feststellungen enthält der Bericht, wie hat der Anbieter darauf reagiert, und ist das Testat eingeschränkt oder uneingeschränkt erteilt?
• Subdienstleister: Sind wesentliche Vorleistungen einbezogen oder ausgeklammert?
• Kundenverantwortung: Welche Kriterien liegen ausdrücklich bei dir?

Den vollständigen Bericht geben Anbieter üblicherweise nur unter Vertraulichkeitsvereinbarung heraus. Das ist normal und kein Warnsignal. Ein Warnsignal ist, wenn ein Anbieter mit C5 wirbt, den Bericht aber gar nicht bereitstellt.

Wo stehen die verbindlichen Angaben?

Maßgeblich ist der Kriterienkatalog C5 des BSI in seiner jeweils gültigen Fassung, abrufbar auf den Seiten des Bundesamts. Für Prüfungsstandards ist der jeweilige Standard selbst die Quelle, für ISO/IEC 27001:2022 die Norm, für NIS2 und DORA der offizielle Rechtstext samt nationaler Umsetzung. Ob ein bestimmter Anbieter ein Testat hält und in welchem Umfang, beantwortet allein der Prüfbericht.

centron hat für die ccloud³ und die Managed Cloud ein uneingeschränktes BSI-C5:2020-Testat vom Typ 1 sowie Zertifizierungen nach ISO/IEC 27001, ISO 9001 und ISO 14001. Die zugehörigen Nachweise liegen in den Trust-Center-Unterlagen; für die eigene Bewertung ist der Bericht die Grundlage, nicht diese Seite.

Weitere Compliance-Themen

• CLOUD Act: Auswirkungen auf deutsche Unternehmen
• DORA: Was die Verordnung für IT-Dienstleister bedeutet
• ISO 27001: Anforderungen, Ablauf und Aufwand
• NIS2: Wer ist betroffen und was ist zu tun?