Das BSI C5-Testat ist der Nachweis, dass ein Cloud-Anbieter die Anforderungen des Cloud Computing Compliance Criteria Catalogue (C5) des Bundesamts für Sicherheit in der Informationstechnik erfüllt. Erteilt wird es nicht vom BSI selbst, sondern von einer Wirtschaftsprüfungsgesellschaft nach dem internationalen Prüfungsstandard ISAE 3000. Ein C5-Testat bezieht sich stets auf einen konkreten Dienst, einen definierten Prüfungsumfang und einen abgeschlossenen Prüfungszeitraum.

Was ist das BSI C5-Testat?

Das BSI C5-Testat ist ein Prüfungsurteil über die Informationssicherheit eines Cloud-Dienstes. Grundlage ist der C5-Kriterienkatalog, den das BSI erstmals 2016 veröffentlicht und mit der Fassung C5:2020 überarbeitet hat. Der Katalog beschreibt Mindestanforderungen an Cloud-Anbieter und wurde entwickelt, weil klassische Sicherheitszertifizierungen für Kunden zu wenig darüber aussagen, wie ein Anbieter seine Dienste konkret betreibt.

Der entscheidende Unterschied zu anderen Nachweisen liegt in der Prüfmechanik. Das C5-Testat ist keine Zertifizierung durch eine Behörde oder Zertifizierungsstelle, sondern eine Prüfung durch einen Wirtschaftsprüfer, die dem Vorgehen bei Jahresabschlussprüfungen folgt. Der Anbieter erstellt eine Systembeschreibung seines Dienstes und der zugehörigen Kontrollen, der Prüfer beurteilt diese Beschreibung und die Kontrollen und dokumentiert das Ergebnis in einem Prüfungsbericht. Das eigentliche Ergebnis ist damit nicht ein Siegel, sondern ein Bericht, der von Kunden gelesen und bewertet werden soll.

Diese Konstruktion erklärt die Verbreitung von C5 im deutschsprachigen Raum. Für Organisationen, die eine Auslagerung an einen Cloud-Anbieter gegenüber Aufsicht, Rechnungsprüfung oder interner Revision belegen müssen, ist ein prüferisch belastbarer Bericht wertvoller als eine Zusammenfassung ohne Einzelnachweise. Das C5-Testat ist deshalb primär ein Instrument der Nachweisführung in der Lieferkette.

Was prüft der C5-Kriterienkatalog?

Der C5-Kriterienkatalog prüft die Informationssicherheit eines Cloud-Dienstes über 17 thematische Bereiche hinweg, die von der Organisation der Informationssicherheit über den Regelbetrieb bis zur Fortführung des Geschäftsbetriebs reichen. Abgedeckt sind unter anderem Sicherheitsrichtlinien, Personal, Asset- und Berechtigungsmanagement, physische Sicherheit, Kryptografie und Schlüsselmanagement, Kommunikationssicherheit, Beschaffung und Entwicklung, Steuerung von Dienstleistern und Lieferanten, Umgang mit Sicherheitsvorfällen, Notfallmanagement, Compliance sowie Produktsicherheit.

Zwei Bereiche sind für die Bewertung besonders aufschlussreich, weil sie über reine Sicherheitsfragen hinausgehen. Der Bereich zu Portabilität und Interoperabilität verlangt Angaben dazu, wie Kunden ihre Daten wieder herauslösen können – ein direkter Bezug zu Vendor Lock-in. Und der Bereich zum Umgang mit Ermittlungsanfragen staatlicher Stellen verlangt vom Anbieter offenzulegen, wie er mit behördlichen Zugriffsersuchen umgeht.

Die Anforderungen sind gestuft. Basiskriterien bilden das Mindestniveau, das jeder testierte Dienst erfüllen muss; ergänzende Zusatzkriterien adressieren höhere Schutzanforderungen und werden nur geprüft, wenn der Anbieter sie in den Prüfungsumfang einbezieht. Hinzu kommen die sogenannten Umgebungsparameter: Angaben, die der Anbieter in seiner Systembeschreibung offenlegen muss, ohne dass sie bewertet werden – etwa Gerichtsstand und anwendbares Recht, Standorte der Rechenzentren, Orte der Datenverarbeitung und Zuständigkeiten für den Betrieb. Sie werden nicht als „gut“ oder „schlecht“ beurteilt, sondern transparent gemacht, damit Kunden eine eigene Bewertung vornehmen können. Genau hier liegt oft der praktische Mehrwert eines C5-Berichts.

Was ist der Unterschied zwischen C5 Typ 1 und Typ 2?

Ein C5-Testat vom Typ 1 beurteilt, ob die beschriebenen Kontrollen angemessen ausgestaltet sind – bezogen auf einen einzelnen Stichtag. Es beantwortet damit die Frage, ob der Anbieter über geeignete Regelungen und Verfahren verfügt, nicht aber, ob diese tatsächlich funktionieren.

Ein C5-Testat vom Typ 2 geht deutlich weiter: Es beurteilt zusätzlich die Wirksamkeit der Kontrollen über einen Prüfungszeitraum, üblicherweise sechs bis zwölf Monate. Der Prüfer erhebt dafür Nachweise über tatsächlich durchgeführte Kontrollhandlungen im Zeitverlauf. Für Kunden ist der Unterschied erheblich: Nur Typ 2 belegt gelebte Praxis. Ein Typ-1-Testat ist in der Regel ein Zwischenschritt für Anbieter, die neu in die Prüfung einsteigen. Wer C5 als Nachweis in Auslagerungs- oder Vergabeverfahren verwendet, sollte deshalb regelmäßig Typ 2 verlangen – und prüfen, ob der genannte Prüfungszeitraum lückenlos an den vorherigen anschließt.

Ist das C5-Testat ein Zertifikat?

Nein – das C5-Testat ist kein Zertifikat. Es ist ein Prüfungsurteil eines Wirtschaftsprüfers über einen abgeschlossenen Zeitraum in der Vergangenheit. Diese Unterscheidung wirkt formal, hat aber praktische Folgen: Ein Zertifikat bescheinigt einen Zustand für die Zukunft und wird durch Überwachungsaudits aufrechterhalten, ein Testat beschreibt einen Zeitraum, der bereits vorbei ist.

Ebenso wenig erteilt oder verwaltet das BSI die Testate. Das BSI gibt den Kriterienkatalog heraus, führt die Prüfung aber nicht durch und pflegt kein Register testierter Anbieter im Sinne eines Zertifikatsverzeichnisses. Wer ein C5-Testat prüfen will, muss daher den Prüfungsbericht beim Anbieter anfordern – häufig unter Vertraulichkeitsvereinbarung. Aussagen wie „vom BSI zertifiziert“ sind im Zusammenhang mit C5 sachlich falsch und ein verlässlicher Hinweis darauf, dass ein Nachweis nicht genauer geprüft wurde.

Wie lange ist ein BSI C5-Testat gültig?

Ein C5-Testat hat keine Gültigkeitsdauer im klassischen Sinn, weil es sich auf einen vergangenen Prüfungszeitraum bezieht. In der Praxis gilt eine Aussage über die Wirksamkeit von Kontrollen als aktuell, wenn der Prüfungszeitraum unmittelbar zurückliegt; Anbieter lassen die Prüfung deshalb üblicherweise jährlich wiederholen, sodass sich die Zeiträume ohne Lücken aneinanderreihen.

Für die Bewertung sind drei Angaben maßgeblich: das Ende des Prüfungszeitraums, die Länge des Zeitraums und die Frage, ob eine Anschlussprüfung angekündigt oder bereits erfolgt ist. Ein Bericht, dessen Prüfungszeitraum zwei Jahre zurückliegt, sagt über den heutigen Betrieb wenig aus – selbst wenn das Testat unverändert vorgelegt wird. Aus diesem Grund gehört die Wiedervorlage von Nachweisen in das Lieferantenmanagement und nicht in die Ablage.

Wie unterscheidet sich das BSI C5-Testat von ISO 27001 und SOC 2?

Das C5-Testat, ISO/IEC 27001 und SOC 2 beantworten unterschiedliche Fragen und schließen sich nicht aus. ISO 27001 bewertet ein Managementsystem, C5 und SOC 2 bewerten Kontrollen eines konkreten Dienstes.

Aspekt	BSI C5-Testat	ISO/IEC 27001	SOC 2
Art des Nachweises	Prüfungsurteil eines Wirtschaftsprüfers	Zertifikat einer akkreditierten Stelle	Prüfungsurteil eines Wirtschaftsprüfers
Gegenstand	Kontrollen eines Cloud-Dienstes nach C5-Katalog	Managementsystem für Informationssicherheit	Kontrollen entlang der Trust Services Criteria
Zeitbezug	Abgeschlossener Zeitraum (Typ 2) oder Stichtag (Typ 1)	Zustandsbezogen, in der Regel drei Jahre mit Überwachungsaudits	Abgeschlossener Zeitraum oder Stichtag
Ergebnis für Kunden	Detaillierter Prüfungsbericht, meist unter Vertraulichkeit	Zertifikat mit Geltungsbereich, Bericht in der Regel nicht öffentlich	Detaillierter Prüfungsbericht
Verbreitung	Deutschsprachiger Raum, öffentlicher Sektor, regulierte Branchen	Weltweit	Vor allem US-amerikanischer Markt

Praktisch bedeutet das: ISO 27001 belegt, dass eine Organisation Informationssicherheit systematisch steuert; das C5-Testat belegt, wie ein bestimmter Dienst betrieben wird und ob die dafür eingerichteten Kontrollen gewirkt haben. Für Auslagerungsentscheidungen ist die zweite Frage die relevantere, weshalb C5 in Ausschreibungen zunehmend zusätzlich zu ISO 27001 verlangt wird. Wer nach BSI IT-Grundschutz arbeitet, findet in einem C5-Bericht zudem eine gute Grundlage, um Anforderungen an externe Dienstleister zu belegen.

Für wen ist das BSI C5-Testat relevant?

Relevant ist das BSI C5-Testat vor allem für Cloud-Anbieter, die deutsche Behörden und regulierte Branchen adressieren, sowie für deren Kunden. Für Bundesbehörden ist das Testat de facto gesetzt: Der Mindeststandard des BSI zur Nutzung externer Cloud-Dienste verlangt einen entsprechenden Nachweis, sodass Anbieter ohne C5-Testat in Vergabeverfahren des Bundes praktisch nicht anschlussfähig sind. Vergleichbare Vorgaben haben zahlreiche Länder und Kommunen übernommen.

Im regulierten Umfeld dient das Testat der Erfüllung von Auslagerungspflichten. Aufsichtsrechtliche Anforderungen an das Auslagerungsmanagement verlangen, dass Institute die Sicherheit ihrer Dienstleister beurteilen und dies belegen können – ein C5-Bericht liefert dafür prüffähige Substanz, die ein eigenes Vor-Ort-Audit oft ersetzt. Mit den erweiterten Pflichten zur Lieferkettensicherheit durch NIS-2 gewinnt diese Funktion an Bedeutung, weil deutlich mehr Einrichtungen ihre Dienstleister systematisch bewerten müssen. Datenschutzrechtlich ergänzt der Bericht die Prüfung, ob ein Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen vorhält, wie sie im Auftragsverarbeitungsvertrag zugesichert werden – ohne dass er die DSGVO-Konformität insgesamt belegt.

Belegt das C5-Testat digitale Souveränität?

Nein – das C5-Testat belegt keine digitale Souveränität. Es prüft Informationssicherheit, nicht die Frage, welchem Recht ein Anbieter unterliegt oder wer im Zweifel Zugriff auf Daten erlangen kann. Anbieter mit Sitz oder Muttergesellschaft in Drittstaaten können ein C5-Testat erlangen, ohne dass sich damit etwas an ihrer Rechtsunterworfenheit ändert.

Wertvoll ist das Testat in dieser Frage dennoch – allerdings als Informationsquelle, nicht als Nachweis. Die offenzulegenden Umgebungsparameter benennen Gerichtsstand, anwendbares Recht, Standorte und Verarbeitungsorte; der Bereich zum Umgang mit behördlichen Ermittlungsanfragen beschreibt, wie der Anbieter mit Zugriffsersuchen verfährt und ob er Kunden darüber informiert. Aus diesen Angaben lässt sich ablesen, wie ein Anbieter im Hinblick auf extraterritoriale Befugnisse wie den US CLOUD Act einzuordnen ist. Wer die Anforderungen an eine souveräne Cloud bewertet, sollte den C5-Bericht deshalb als Datengrundlage nutzen und nicht als Antwort – die Bewertung bleibt Aufgabe der eigenen Organisation.

Worauf sollten Kunden im C5-Prüfungsbericht achten?

Der wichtigste Prüfschritt bei einem C5-Testat ist die Kontrolle des Prüfungsumfangs. Ein Testat gilt nur für die darin genannten Dienste, Standorte und Systeme. Deckt es das Rechenzentrum, aber nicht den zugehörigen Verwaltungsdienst ab, oder eine Produktlinie, aber nicht die tatsächlich genutzte Variante, ist es für die eigene Bewertung wenig wert. Ebenso maßgeblich sind Prüfungstyp und Prüfungszeitraum.

Ein zweiter Punkt bleibt regelmäßig unbeachtet: die im Bericht dokumentierten Abweichungen. Prüfer benennen Kontrollen, die nicht oder nur teilweise wirksam waren, samt Stellungnahme des Anbieters. Ein Testat mit Feststellungen ist kein Ausschlusskriterium – entscheidend ist, welche Kontrollen betroffen sind und wie der Anbieter darauf reagiert hat. Drittens listet der Bericht ergänzende Kundenkontrollen auf: Maßnahmen, die der Kunde selbst umsetzen muss, damit die geprüften Kontrollen ihre Wirkung entfalten. Diese Liste ist faktisch eine Arbeitsanweisung an die eigene IT und der praktisch nützlichste Teil des Berichts. Wer sie überliest, betreibt einen testierten Dienst in einer Konfiguration, die das Testat nicht abdeckt.

Was bedeutet das C5-Testat bei der Auswahl von Kommunikationslösungen?

Bei Kommunikationslösungen ist das C5-Testat ein Baustein der Bewertung, aber kein vollständiger. Es beantwortet Fragen zum Betrieb der Plattform: Wie werden Zugriffe verwaltet, wie wird verschlüsselt, wie werden Sicherheitsvorfälle behandelt, wie ist der Notbetrieb geregelt. Es beantwortet nicht, ob die Lösung fachlich zu den Anforderungen passt – ob sie priorisierte Alarmierung beherrscht, welche Metadaten anfallen, wie Rollen und Berechtigungen abgebildet werden und ob ein Betrieb im eigenen Verantwortungsbereich möglich ist.

Zu beachten ist außerdem der Zuschnitt des Prüfungsumfangs. Kommunikationsdienste bestehen typischerweise aus mehreren Komponenten – Anwendung, Verzeichnisdienst, Push-Zustellung, Archivierung, Administrationsoberfläche –, die nicht zwingend alle im Testat enthalten sind. Bei der Bewertung lohnt daher die konkrete Frage, welche dieser Komponenten geprüft wurden und ob die eingesetzte Betriebsvariante darunter fällt.

Organisationen kombinieren die Nachweisprüfung in der Praxis daher mit einer eigenen fachlichen Bewertung: Sie fordern den vollständigen Prüfungsbericht an, gleichen den Prüfungsumfang mit der tatsächlich genutzten Konfiguration ab und beurteilen Betriebsort, Zugriffswege und Wechselfähigkeit gesondert.

Wie sich sichere dienstliche Kommunikation mit voller organisatorischer Kontrolle abbilden lässt, zeigt Teamwire in einer Demo oder im kostenlosen Test.

Welche typischen Fehler treten im Umgang mit dem C5-Testat auf?

Der häufigste Fehler beim C5-Testat ist, es wie ein Zertifikat zu behandeln und den zugehörigen Prüfungsbericht nie zu lesen. Weitere Schwachstellen aus der Praxis:

Typ 1 und Typ 2 nicht unterschieden, sodass ein Nachweis über die Ausgestaltung als Nachweis über die Wirksamkeit gewertet wird
Prüfungsumfang nicht mit der eigenen Nutzung abgeglichen – testiert ist ein anderer Dienst oder eine andere Betriebsvariante
Prüfungszeitraum nicht beachtet, sodass veraltete Testate als aktueller Nachweis in der Lieferantenakte liegen
dokumentierte Abweichungen und Prüferfeststellungen übersehen, weil nur die Zusammenfassung gelesen wird
ergänzende Kundenkontrollen nicht umgesetzt, wodurch der Dienst außerhalb der geprüften Annahmen betrieben wird
C5 als Souveränitätsnachweis interpretiert, obwohl es Rechtsunterworfenheit und Zugriffsrisiken nur offenlegt, nicht bewertet
Anbieteraussage „BSI-zertifiziert“ ungeprüft übernommen, obwohl das BSI keine C5-Testate erteilt

Zusammenfassung: Wichtige Punkte zum BSI C5-Testat

Das BSI C5-Testat weist nach, dass ein Cloud-Dienst die Anforderungen des Cloud Computing Compliance Criteria Catalogue (C5) des BSI erfüllt; maßgeblich ist derzeit die Fassung C5:2020.
Erteilt wird es nicht vom BSI, sondern von einer Wirtschaftsprüfungsgesellschaft nach dem Prüfungsstandard ISAE 3000 – Aussagen wie „vom BSI zertifiziert“ sind sachlich falsch.
Der Kriterienkatalog umfasst 17 thematische Bereiche mit gestuften Basis- und Zusatzkriterien, von der Organisation der Informationssicherheit bis zur Produktsicherheit.
Typ 1 beurteilt die Angemessenheit der Kontrollen zu einem Stichtag, Typ 2 zusätzlich deren Wirksamkeit über einen Zeitraum von üblicherweise sechs bis zwölf Monaten.
Ein C5-Testat hat keine Gültigkeitsdauer im klassischen Sinn, weil es einen vergangenen Prüfungszeitraum beschreibt; Anbieter lassen die Prüfung deshalb jährlich wiederholen.
Das eigentliche Ergebnis ist der Prüfungsbericht, nicht das Testat: Prüfungsumfang, Zeitraum, Abweichungen und ergänzende Kundenkontrollen entscheiden über die Aussagekraft.
Die ergänzenden Kundenkontrollen sind der praktisch nützlichste Teil des Berichts – ohne ihre Umsetzung läuft der Dienst außerhalb der geprüften Annahmen.
Für Bundesbehörden ist ein C5-Nachweis über den Mindeststandard zur Nutzung externer Cloud-Dienste faktisch gesetzt; in regulierten Branchen dient er dem Auslagerungsmanagement.
Das BSI C5-Testat belegt keine digitale Souveränität, macht aber über Umgebungsparameter und den Bereich zu behördlichen Ermittlungsanfragen die dafür nötigen Angaben transparent.
C5, ISO/IEC 27001 und SOC 2 schließen sich nicht aus: ISO 27001 bewertet das Managementsystem, C5 und SOC 2 bewerten die Kontrollen eines konkreten Dienstes.