BSI C5-Testat: Cloud-Compliance-Standard für KMU

Einordnung

Kurz erklärt

Testat, nicht Zertifizierung

C5 führt nicht zu einem Zertifikat wie etwa ISO 27001, sondern zu einem Testat: einem Prüfbericht, den ein unabhängiger Wirtschaftsprüfer nach dem internationalen Standard ISAE 3000 (Revised) erstellt. Der Bericht dokumentiert die Prüftätigkeiten und enthält eine Systembeschreibung der Maßnahmen des Cloud-Anbieters. Wer also nach einer „C5-Zertifizierung“ sucht, meint in der Sache dieses Testat. Den Prüfer beauftragt der Cloud-Anbieter selbst; das Ergebnis kann er seinen Kunden vorlegen, damit diese es in ihre eigene Risikoanalyse übernehmen.

Kurz erklärt

Typ 1 oder Typ 2 — welches Testat zählt

• Typ 1 bescheinigt, dass die Maßnahmen zu einem Stichtag angemessen gestaltet sind.
• Typ 2 bescheinigt zusätzlich, dass sie über einen Prüfzeitraum hinweg tatsächlich wirksam waren — laut BSI 3 bis 12 Monate in der Vergangenheit. Typ 2 hat damit die höhere Aussagekraft.

Für die eigene Lieferanten-Dokumentation genügt es meist, den Testat-Typ des Anbieters zu erfassen und bei sensiblen Daten auf ein aktuelles Typ-2-Testat zu achten.

Abschnitt 01

Was C5 wirklich ist

In der aktuellen Fassung C5:2026 besteht C5 aus 174 Kriterien in 18 Bereichen. Die Bereiche überdecken die typischen ISMS-Themen (Organisation der Informationssicherheit, Personalsicherheit, physische Sicherheit, etc.) plus cloud-spezifische Erweiterungen wie Mandantentrennung, Eskalations-Management bei Sicherheitsvorfällen, kryptographische Schlüssel-Verwaltung mit Customer-Hoheit. C5 wird durch eine externe Wirtschaftsprüfer-Prüfung bescheinigt ("C5-Testat"). Anders als ISO 27001 ist C5 nicht zertifiziert, sondern testiert — die formelle Trennung ist juristisch relevant.

Das BSI hat den Katalog 2025/26 grundlegend überarbeitet. C5:2026 erweitert nicht nur die Anforderungen, sondern ist auch strukturell neu aufgebaut, in Anlehnung an das europäische Zertifizierungsschema EUCS: Jedes Kriterium besteht jetzt aus Unterkriterien, und die Zusatzkriterien sind in verschärfende und ergänzende Anforderungen geteilt. Fragen Sie beim Anbieter nach, auf welcher Katalog-Fassung sein jüngstes Testat beruht.

Abschnitt 02

Wann C5 verpflichtend ist

Für öffentliche Verwaltung: C5-Testat ist seit 2018 Standard-Voraussetzung für Cloud-Services in der Bundesverwaltung (BIT-V). Für KRITIS-Betreiber: C5 ist eine der akzeptierten Compliance-Schienen nach BSIG. Für Gesundheits-Daten: nicht direkt verpflichtend, aber von Krankenhäusern und Praxen oft gefordert. Für Anwalts- und Steuerkanzleien: keine explizite C5-Pflicht, aber faktisch der etablierte Standard für DSGVO-konforme Cloud-Nutzung in sensitiven Bereichen. Für reguläre KMU: keine direkte Pflicht, aber bei Großkunden-Audits oft als Erwartung formuliert.

Abschnitt 03

Welche Cloud-Anbieter C5-Testat haben

Wer nach „BSI C5 zertifizierten Anbietern“ sucht, meint Anbieter mit C5-Testat; ein Zertifikat im engeren Sinn vergibt C5 nicht. Ob ein C5-Testat für Sie Pflicht ist, steht in Abschnitt 02. Öffentlich belegte C5-Testate (Stand Oktober 2026, laut Angaben der Anbieter): Hetzner (C5:2020-Testat Typ 2 der Hetzner Online GmbH, Prüfbericht vom 17.11.2025; umfasst laut Hetzner u. a. Cloud Server, Dedicated Server und Storage inklusive Object Storage), IONOS Cloud (C5:2020-Testat Typ 1, Stichtag 28.05.2026, für 33 Dienste; ein Typ-2-Testat nennt IONOS bisher nicht), AWS (C5-Testat Typ 2, Prüfzeitraum 01.10.2024 bis 30.09.2025, für neun Regionen, darunter Frankfurt), Microsoft Azure und Google Cloud (C5:2020-Prüfung belegt; welche Dienste und Regionen geprüft sind, steht im jeweiligen Bericht im Kundenportal), T Cloud Public, früher Open Telekom Cloud (C5-Testat Typ 2 für die Rechenzentren in Deutschland und den Niederlanden, zuletzt öffentlich belegt für 01.01. bis 31.10.2024), STACKIT (C5-Testat Typ 2 inklusive Zusatzkriterien für die gelisteten Dienste, Bericht auf Anfrage). Ein C5:2026-Testat weist bisher keiner dieser Anbieter öffentlich aus. Wichtig: Ein Testat gilt nur für die Dienste und Regionen im Prüfumfang des Berichts. US-Regionen gehören laut AWS nicht zum C5-Prüfumfang. Wer für DSGVO-konforme Datenverarbeitung Cloud nutzt, sollte zusätzlich zur EU-Region die explizite Region-Konfiguration absichern.

Abschnitt 04

Eigene C5-Konformitäts-Dokumentation

Wenn Sie selbst Cloud-Services nutzen, müssen Sie nicht selbst ein C5-Testat haben. Aber Sie müssen die eingesetzten Cloud-Services dokumentieren. Ein einfaches C5-Konformitäts-Register enthält: (1) Anbieter-Name + Service. (2) Hosting-Standort. (3) Daten-Klassen die in dem Service liegen. (4) Schutzbedarf der Daten (Standard / Erhöht / Hoch / Sehr Hoch). (5) C5-Testat-Nummer + Gültigkeitsdauer. (6) Eigene Konfiguration (Verschlüsselungs-Optionen, Multi-Region-Backup, IAM-Setup). Diese Dokumentation reicht für die meisten Kunden- und Behörden-Audits. DSGVO-Audit-Suite enthält ein C5-Register-Template.

Abschnitt 05

Sub-Provider-Liste prüfen

Ein C5-Testat des Haupt-Anbieters ist nicht ausreichend, wenn der Anbieter selbst Sub-Provider einsetzt, die kein eigenes Testat haben. AWS nutzt für bestimmte Services eigene Sub-Anbieter (z.B. für CDN-Services, Email-Versand). Vor Nutzung sollte die Sub-Provider-Liste geprüft werden, ob alle Sub-Provider entweder eigenes C5-Testat haben oder durch das Haupt-Testat mit-abgedeckt sind. Bei sensiblen Daten (Patient, Anwalt-Mandant) sollte Sub-Provider-Hoheit dokumentiert sein — keine "blanket inclusion" zulassen.

Abschnitt 06

Verschlüsselung mit Customer-Hoheit

C5 verlangt, dass für sensible Daten die Verschlüsselungs-Schlüssel beim Customer (oder dessen direkter Kontrolle) liegen können. Das ist die "Bring Your Own Key"-Anforderung. Wichtig zu wissen: viele Cloud-Anbieter bieten BYOK an, aber mit Einschränkungen — liegt der importierte Schlüssel weiter in der Schlüsselverwaltung des Anbieters, gibt das Customer-Hoheit nur teilweise. Echte Customer-Hoheit gibt es nur mit "Bring Your Own HSM" oder Cloud-HSM-Services (ein verwaltetes HSM bietet Hetzner nach unserer Recherche, Stand Oktober 2026, nicht an; dort braucht es ein externes HSM oder eigene Hardware in der Colocation). Für höchste Vertraulichkeits-Stufen sollte ein dediziertes Customer-HSM verwendet werden; es kostet zusätzlich zum normalen Cloud-Service, die Preise nennt der jeweilige Anbieter.

Abschnitt 07

Eskalation bei Sicherheits­vorfällen

C5 fordert dokumentierte Prozesse für den Umgang mit Sicherheitsvorfällen, einschließlich der Information der Kunden. Welche Fristen und Ansprechpartner konkret gelten, steht im Vertrag und in der AVV des Anbieters; bei personenbezogenen Daten muss der Auftragsverarbeiter eine Datenschutzverletzung unverzüglich melden (Art. 33 Abs. 2 DSGVO), der Verantwortliche hat für die Meldung an die Aufsichtsbehörde 72 Stunden (Art. 33 Abs. 1 DSGVO). Vor Cloud-Nutzungs-Beginn sollten alle Eskalations-Daten dokumentiert und im Incident-Response-Plan hinterlegt sein. Wer im Ernstfall sucht "wo ist die AWS-Hotline-Nummer", verliert kritische Reaktions-Zeit.

Abschnitt 08

Test-Pflichten an C5-Konformität

C5 enthält Kriterien zu regelmäßigen Penetrationstests. Wie der Anbieter sie umsetzt, beschreibt der Testat-Bericht, den Kunden beim Anbieter anfordern können; die einzelnen Testberichte selbst erhalten Kunden in der Regel nicht. Bei Anbietern ohne C5-Testat sollten Kunden Nachweise zu Penetrationstests einfordern. Eigene Tests gegen Cloud-Dienste sind nur im Rahmen der Pentest-Richtlinien des jeweiligen Anbieters erlaubt, die vor jedem Test zu lesen sind.

Abschnitt 09

Vergleich C5 vs ISO 27001 vs SOC 2

Die drei Standards überlappen, aber haben unterschiedliche Schwerpunkte. ISO 27001: international anerkannt, framework-basiert, jährliche Surveillance, weltweit der Standard. SOC 2: US-zentriert, Prüfung gegen die fünf Trust Services Criteria des AICPA. C5: deutscher Standard, fokussiert auf Cloud-Spezifika und DSGVO-Konformität, jährliches Testat statt 3-jährige Zertifizierung. Für deutsche KMU mit Schwerpunkt auf öffentlichen Auftraggebern oder regulierten Branchen: C5 ist der relevanteste Standard. Für KMU mit internationalem Kundenkreis: ISO 27001 mit C5 als Ergänzung ist die robusteste Wahl.

Abschnitt 10

Setup-Aufwand für KMU-Cloud-Dokumentation

Für KMU, die Cloud-Services nutzen und C5-konforme Dokumentation aufbauen wollen: Bausteine sind Anbieter-Bestandsaufnahme, Schutzbedarf-Klassifikation und Compliance-Register; der Aufwand hängt von der Zahl der genutzten Cloud-Dienste und vom Schutzbedarf ab und ist jährlich zu aktualisieren. Er ist deutlich niedriger als ein eigenes C5-Testat. Ob die Dokumentation für ein bestimmtes Kunden- oder Behörden-Audit genügt, legt der jeweilige Auftraggeber fest.

Fragen

Häufige Fragen