„Hat Hetzner ein C5-Testat?“ „Ist IONOS Cloud Typ 1 oder Typ 2?“ Genau solche Fragen tippen Leute in Suchmaschinen, auch bei uns sind sie im Oktober aufgetaucht [5]. Die ehrliche Antwort ist fast immer: Kommt darauf an, welchen Dienst Sie meinen und wann Sie fragen.
Das BSI führt keine Liste der Testate [1]. Es verweist in seinem FAQ auf eine private Seite mit öffentlich bekannten Testaten, c5-attestations.com [1]. Am Ende bleibt der Prüfbericht des Anbieters die einzige belastbare Quelle. Mit diesen fünf Schritten kommen Sie in einer Viertelstunde zu einer Antwort, die einem Audit standhält.
Schritt 1: Die Behauptung finden (2 Minuten)
Suchen Sie auf der Website des Anbieters nach „C5“. Typische Fundorte sind Compliance-, Trust- oder Sicherheitsseiten und Pressemitteilungen. Notieren Sie wörtlich, was dort steht. „C5-zertifiziert“ ist schon das erste Warnsignal, denn Zertifikate gibt es bei C5 nicht (warum, steht in Teil 1).
Schritt 2: Typ und Datum festhalten (3 Minuten)
Zwei Beispiele aus den Selbstauskünften großer deutscher Anbieter:
| Anbieter | Was der Anbieter selbst schreibt | Quelle |
|---|---|---|
| Hetzner | „C5-Testat Typ 2“, Meldung vom 25.03.2026. In der Dokumentation: Kriterien „nicht nur angemessen implementiert“, sondern über einen definierten Zeitraum wirksam angewendet | [2][3] |
| IONOS Cloud | „BSI C5:2020 Type 1“, erhalten am 28.05.2026, im Scope 33 Services. Die ältere Meldung vom 07.11.2023 nannte ebenfalls Typ 1, damals für Compute Engine, Cloud Cubes und S3 Object Storage | [7][4] |
Merken Sie, was in der Tabelle fehlt? Bei Hetzner nennt die Pressemitteilung keinen Geltungsbereich, also keine Produkte oder Rechenzentren [2]. Bei IONOS steht zweimal Typ 1, also eine Prüfung zum Stichtag ohne Prüfzeitraum. Einen Typ-2-Bericht nennt die Seite nicht. Beides heißt nicht, dass etwas falsch ist. Es heißt, dass Sie mit der Pressemitteilung allein noch nichts in der Hand haben.
Schritt 3: Den Bericht anfordern (5 Minuten)
Fragen Sie nach dem Prüfbericht, nicht nach einem Siegel. Manche Anbieter stellen ein Testat-Dokument öffentlich bereit, andere geben den Bericht nur Bestandskunden oder unter Vertraulichkeitsvereinbarung heraus. Hetzner verlinkt sein Testat zum Beispiel auf der Seite zur Informationssicherheit [3].
Eine kurze Mail an den Vertrieb reicht oft:
Bitte senden Sie uns den aktuellen C5-Prüfbericht für die Dienste [X, Y]. Wir benötigen Typ, Prüfzeitraum, Geltungsbereich und die zugrunde liegende C5-Fassung.
Schritt 4: Vier Dinge im Bericht prüfen (4 Minuten)
- Typ. Typ 2 bescheinigt die Wirksamkeit über einen Zeitraum, Typ 1 nur die Ausgestaltung an einem Stichtag [1]. Nach dem neuen Katalog C5:2026 soll Typ 1 nur bei der Erstprüfung vorkommen [6].
- Zeitraum. Laut BSI deckt ein Testat drei bis zwölf Monate in der Vergangenheit ab, Prüfungen werden in der Regel jährlich wiederholt [1]. Ist das Ende des Zeitraums lange her, fragen Sie nach dem Folgebericht.
- Geltungsbereich. Stehen die Dienste und Standorte, die Sie nutzen, wirklich im Bericht? Ein Testat für den Objektspeicher sagt nichts über die Datenbank.
- Prüfer. Ausstellen dürfen nur Wirtschaftsprüfer [1]. Steht dort eine andere Art von Stelle, haken Sie nach.
Schritt 5: Ergebnis dokumentieren (1 Minute)
Eine Zeile pro Dienst genügt: Anbieter, Dienst, Typ, Prüfzeitraum, C5-Fassung, Datum Ihrer Prüfung, Ablageort des Berichts. Wenn der nächste Kundenfragebogen kommt, kopieren Sie diese Zeile, statt neu zu suchen.
Was wir dabei oft sehen
Der häufigste Fehler ist nicht ein fehlendes Testat. Es ist ein Testat für den falschen Dienst. Betriebe nutzen drei, vier Produkte eines Anbieters und gehen davon aus, dass das Testat alle abdeckt. Schritt 4.3 kostet eine Minute und erspart später eine unangenehme Rückfrage.
Und manchmal führt Schritt 3 zu einer ganz anderen Frage: Müssen diese Daten überhaupt zu einem Cloud-Anbieter? DripBack setzt KI-Anwendungen mit lokal laufenden Open-Source-Modellen um, auf unseren Servern in Deutschland oder auf Hardware im Betrieb des Kunden. Ob das für Sie einfacher ist als die Testat-Prüfung, besprechen wir gern unverbindlich.
Die ganze Serie „C5 ohne Nebel“
← Teil 1: Es gibt keine C5-Zertifizierung. Was es stattdessen gibt
← Teil 2: C5 oder ISO 27001? Welcher Nachweis bei Ihrem Großkunden zählt
Zum Nachschlagen: Whitepaper BSI C5 für KMU
Quellen
[1] BSI, C5-FAQ, abgerufen 30.10.2026: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/C5-FAQ/kriterienkatalog-c5-faq_node.html
[2] Hetzner, „Hetzner erhält BSI C5-Testat“, 25.03.2026: https://www.hetzner.com/de/news/hetzner-receives-bsi-c5-certification/
[3] Hetzner Docs, „Informationssicherheit bei Hetzner“, abgerufen 30.10.2026: https://docs.hetzner.com/de/general/company-and-policy/information-security-at-hetzner/
[4] IONOS Group, „IONOS receives C5 certification for Compute Engine, Cloud Cubes and S3 Object Storage“, 07.11.2023: https://www.ionos-group.com/investor-relations/publications/announcements/ionos-receives-c5-certification-for-compute-engine-cloud-cubes-and-s3-object-storage.html
[5] Google Search Console dripback.de, 01.–28.10.2026: „hetzner c5 testat“ 17 Impressionen, „hat ionos cloud ein bsi-c5-testat typ 1 oder typ 2?“ 12 Impressionen.
[6] BSI, C5:2026, Version 1.0.1, Abschnitt 3.4.11: https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/CloudComputing/ComplianceControlsCatalogue/2026/C5_2026.pdf
[7] IONOS Cloud, Zertifikate, abgerufen 14.10.2026: https://cloud.ionos.de/zertifikate