Ein Satz aus dem FAQ des Bundesamts für Sicherheit in der Informationstechnik, den viele Ausschreibungen und Lieferantenfragebögen noch nicht kennen: „Derzeit existiert kein Zertifizierungsverfahren für C5. Daher gibt es keine C5 Zertifikate.“ [1]
Trotzdem steht in Angeboten „C5-zertifiziert“, in Vergabeunterlagen „C5-Zertifikat beifügen“ und in Suchmaschinen landet „bsi c5 zertifizierung“ weit oben. Allein auf unserer eigenen Seite hat Google diese Suchanfrage im Oktober 107-mal angezeigt [4]. Wer so sucht, sucht nach etwas, das es nicht gibt. Das ist kein Haarspalten. Wer das falsche Dokument anfordert, bekommt oft das falsche Dokument und merkt es erst beim Audit.
Testat statt Zertifikat: wer prüft hier eigentlich wen?
Bei ISO 27001 läuft es so: Eine akkreditierte Zertifizierungsstelle prüft, stellt ein Zertifikat aus und überwacht danach. Bei C5 gibt es diese dritte Instanz nicht. Das BSI beschreibt das Verfahren als Testierung mit nur zwei Parteien, dem geprüften Cloud-Anbieter und dem Prüfer [1]. Ausstellen dürfen das C5-Testat nur Wirtschaftsprüfer, Fachleute anderer Disziplinen dürfen im Prüfteam mitarbeiten [1].
Das BSI selbst sitzt nicht mit am Tisch. Es ist „bei der Auswahl der Auditoren sowie der eigentlichen Prüfung nicht involviert“ und führt auch keine Liste der Testate [2][1]. Wer also beim BSI anruft und fragt, ob Anbieter X ein C5-Testat hat, bekommt keine Antwort. Wie Sie es trotzdem herausfinden, steht in Teil 3 dieser Serie.
Typ 1 und Typ 2: Foto oder Film
Hier liegt der Unterschied, der in Gesprächen am häufigsten untergeht.
Ein Typ-1-Bericht ist ein Foto. Der Prüfer schaut sich an einem Stichtag an, ob die Kontrollen des Anbieters so gebaut sind, dass sie die C5-Kriterien erfüllen würden. Ob sie im Alltag auch funktionieren, prüft er nicht.
Ein Typ-2-Bericht ist ein Film. Der Prüfer testet zusätzlich, ob die Kontrollen über einen Zeitraum wirksam waren [1]. Laut BSI-FAQ bescheinigt ein Testat die C5-Konformität für einen Zeitraum von drei bis zwölf Monaten in der Vergangenheit [1].
Die neue Fassung des Katalogs wird hier deutlich. Im C5:2026 steht: Typ-1-Berichte sollen nur bei der erstmaligen Prüfung beauftragt werden, alle Folgeprüfungen sollen Typ 2 sein, mit einem Zeitraum von mindestens drei Monaten [3, Abschnitt 3.4.11]. Ein Anbieter, der Jahr für Jahr nur Typ 1 vorlegt, passt also nicht zu dem, was das BSI vorsieht.
Warum ein Testat nie „abläuft“ und trotzdem alt werden kann
Ein Zertifikat hat ein Ablaufdatum. Ein C5-Testat nicht. Es bezieht sich laut BSI „immer auf einen bereits vergangenen, abgeschlossenen Zeitraum“ und wird nur dann ungültig, wenn sich Aussagen darin als falsch herausstellen [1]. In der Regel wiederholen Anbieter die Prüfung jährlich [1].
Für Sie als Kunde heißt das: Die Frage lautet nicht „Ist das Testat gültig?“, sondern „Welchen Zeitraum deckt es ab und wie lange ist das her?“ Ein Typ-2-Bericht über das erste Halbjahr 2024 sagt wenig darüber, wie der Anbieter heute arbeitet.
Was das für Ihre nächste Ausschreibung oder Lieferantenprüfung heißt
Drei Formulierungen, die wir in Unterlagen ersetzen würden:
| Statt | Besser |
|---|---|
| „C5-Zertifikat beifügen“ | „C5-Testat (Prüfbericht) beifügen, Typ 2, Angabe des Prüfzeitraums“ |
| „Anbieter ist C5-zertifiziert“ | „Anbieter hat ein C5-Testat Typ 2 für die Dienste X, Y im Zeitraum …“ |
| „C5-konform“ ohne Beleg | Prüfbericht anfordern und Geltungsbereich gegen die tatsächlich genutzten Dienste abgleichen |
Der letzte Punkt ist der wichtigste. Ein Testat gilt für die Dienste, die im Bericht stehen. Nicht für das ganze Unternehmen und nicht für jedes Produkt mit demselben Logo.
Und wenn Sie selbst gar keine Cloud wollen?
Manche Betriebe stellen sich die C5-Frage nur, weil sie sensible Daten in fremde Rechenzentren geben müssten. Wenn die Daten das Haus gar nicht verlassen, verschiebt sich die Frage: Dann geht es um Ihre eigene Informationssicherheit, nicht um das Testat eines Anbieters. Bei DripBack laufen KI-Anwendungen deshalb auf lokal betriebenen Open-Source-Modellen, auf unseren Servern in Deutschland oder auf Hardware beim Kunden. Ob das für Ihren Fall die bessere Wahl ist, hängt von Datenart, Budget und Betriebsaufwand ab. Das klären wir gern in einem Gespräch.
Weiterlesen in der Serie „C5 ohne Nebel“
Sie haben jetzt ein Testat in der Hand. Ihr Großkunde fragt aber nach ISO 27001. Reicht das eine für das andere? Die kurze Antwort des BSI ist überraschend eindeutig, die lange kostet Sie vielleicht ein Audit.
→ Teil 2: C5 oder ISO 27001? Welcher Nachweis bei Ihrem Großkunden zählt
→ Teil 3: C5-Testat eines Anbieters prüfen, in 15 Minuten
Quellen
[1] BSI, C5-FAQ, abgerufen 30.10.2026: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/C5-FAQ/kriterienkatalog-c5-faq_node.html
[2] BSI, Kriterienkatalog C5 (Übersichtsseite), abgerufen 30.10.2026: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html
[3] BSI, Cloud Computing Compliance Criteria Catalogue (C5:2026), Version 1.0.1, Abschnitte 3.4.11 und Anwendungszeitpunkt: https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/CloudComputing/ComplianceControlsCatalogue/2026/C5_2026.pdf
[4] Google Search Console dripback.de, Zeitraum 01.–28.10.2026, Suchanfrage „bsi c5 zertifizierung“: 107 Impressionen.