C5-Zertifikat

Q: Wer stellt ein C5-Testat aus?

Ein C5-Testat wird ausschließlich von qualifizierten Wirtschaftsprüfern mit IT-Spezialisierung ausgestellt. Die Prüfung erfolgt nach ISAE 3000 und bewertet, ob die geforderten Kontrollen angemessen ausgestaltet und je nach Prüfungsart auch wirksam umgesetzt wurden. Werden Schwachstellen festgestellt, muss der Anbieter einen Maßnahmenplan zur Schließung der Sicherheitslücken erstellen und die Umsetzung im internen Fehlermanagement überwachen.

Cloud-Dienste sind längst Teil kritischer Geschäftsprozesse, doch ihre Sicherheit muss für Kunden nachvollziehbar bleiben. Das C5-Zertifikat schafft dafür eine prüfbare Grundlage und zeigt, welche Anforderungen Cloud-Anbieter für belastbare Informationssicherheit erfüllen.

C5-Zertifikat – Auf einen Blick

Was ist ein C5 Zertifikat?

Ein offizielles C5-Zertifikat gibt es formal nicht; gemeint ist meist ein C5-Testat oder ein C5-Prüfbericht auf Basis des BSI-C5-Kriterienkatalogs.

Wann wurde der C5-Katalog eingeführt?

Seit 2016 dient der C5-Katalog des Bundesamts für Sicherheit in der Informationstechnik als Sicherheitsstandard für Cloud-Computing und ergänzt bestehende Standards wie ISO 27001.

Wer nutzt die C5-Kriterien?

Genutzt werden die C5-Kriterien vor allem von Cloud-Anbietern, Prüfern und Cloud-Kunden, die Cloud-Dienste sicher bewerten oder Nachweise für die Lieferantenbewertung benötigen.

Wie lange ist ein C5-Testat gültig?

Ein C5-Audit beziehungsweise C5-Testat ist in der Regel ein Jahr gültig und sollte von Cloud-Kunden regelmäßig neu angefordert und geprüft werden.

Welche Prüfungsarten gibt es beim C5?

Bei C5 Typ 1 werden Kontrollen zu einem festen Stichtag bewertet; C5 Typ 2 prüft die Wirksamkeit der Kontrollen über einen definierten Zeitraum im laufenden Betrieb.

Was ist ein C5-Zertifikat?

Ein offizielles C5-Zertifikat gibt es formal nicht. Gemeint ist in der Praxis meist ein C5-Testat oder ein standardisierter C5-Prüfbericht, der die Sicherheit eines Cloud-Dienstes nachvollziehbar bewertet. Die Grundlage dafür bildet der Kriterienkatalog Cloud Computing des Bundesamts für Sicherheit in der Informationstechnik.

Der C5-Kriterienkatalog beschreibt Mindestanforderungen an sicheres Cloud-Computing und macht sichtbar, wie ein Anbieter seine Cloud-Dienste schützt, betreibt und dokumentiert. Das BSI entwickelt den Anforderungskatalog, prüft Cloud-Anbieter aber nicht selbst. Die eigentliche C5-Prüfung übernehmen unabhängige Wirtschaftsprüfer. Das Ergebnis ist ein detaillierter Prüfbericht, der die geprüften Sicherheitsmaßnahmen nachvollziehbar dokumentiert.

Die aktualisierte Version C5:2026 wurde am 7. April 2026 offiziell als verbindlicher Standard veröffentlicht und umfasst 168 Kriterien in 17 Themengebieten. Geprüft werden unter anderem Informationssicherheit, Organisation, IT-Sicherheit, technische Sicherheitsmaßnahmen, Datenschutz, Betrieb, Sicherheitsvorfälle und Nachweise zur Wirksamkeit.

Für wen sind die C5-Kriterien relevant?

Die C5-Kriterien richten sich an professionelle Cloud-Anbieter, Prüfer und Cloud-Kunden und schaffen einen gemeinsamen Rahmen, wenn Cloud-Security belastbar nachgewiesen werden soll. C5-Testate sind keine gesetzliche Pflicht für Cloud-Anbieter. Für Anbieter ist der C5-Standard trotzdem ein starkes Marktsignal.

Wer Cloud-Services für Behörden, regulierte Branchen, Krankenhäuser, Leistungserbringer, größere Unternehmen oder sicherheitskritische Organisationen bereitstellt, braucht belastbare Nachweise zum Schutz sensibler Daten von Patienten und Kunden.

Für Cloud-Kunden ist C5 vor allem ein Werkzeug für Einkauf, Compliance und Risikomanagement. Der Bericht unterstützt die Auswahl geeigneter Cloud-Lösungen, liefert Nachweise für interne Audits und zeigt, wo Aufgaben zwischen Anbieter und Kunde aufgeteilt sind.

Für Cloud-Anbieter zählt C5 besonders in vier Bereichen:

Marktzugang: Behörden und große Kunden verlangen immer häufiger geprüfte Sicherheitsstandards.

Vertrauen: Der Prüfbericht belegt, wie IT-Sicherheit und Informationssicherheit umgesetzt werden.

Wettbewerb: Anbieter können ihre Cloud-Infrastruktur klarer vom Markt abgrenzen.

Strategie: Die C5-Anforderungen helfen, Sicherheitskontrollen systematisch auszurichten.

Lassen Sie sich zu ISO-Normen beraten!

Lassen Sie sich zu ISO-Normen beraten! Sichern Sie sich eine fachkundige und qualifizierte Beratung zu allem für Ihr Unternehmen relevanten ISO-Normen.

Der BSI C5-Kriterienkatalog: Cloud-Computing Compliance Criteria im Überblick

Der BSI-C5-Kriterienkatalog macht Sicherheitsanforderungen an Cloud-Dienste prüfbar. Er übersetzt abstrakte Vorgaben zur Informationssicherheit in konkrete Kriterien, die ein Cloud-Anbieter im Betrieb nachweisen muss.

Damit wird Cloud-Computing besser bewertbar. Für Anbieter entsteht ein klarer Anforderungskatalog. Für Kunden entsteht mehr Transparenz bei der Auswahl sicherer Cloud-Services.

Aufbau des Computing Compliance Criteria Catalogue

Der Kriterienkatalog Cloud Computing ist in 17 Sachbereiche gegliedert und umfasst insgesamt 168 spezifische C5-Kriterien. Diese Bereiche verbinden technische IT-Kontrollen mit Organisation, Betrieb, Compliance und Unternehmensführung.

Der Katalog betrachtet Cloud-Sicherheit damit nicht als einzelne Maßnahme. Er prüft, ob Sicherheitskontrollen im Unternehmen geplant, umgesetzt, überwacht und dokumentiert werden.

Wichtige Bereiche sind unter anderem:

Organisation: Sicherheitsrollen, Richtlinien und Zuständigkeiten sind klar geregelt.

Betrieb: Systemzugriffe, Datenflüsse und Änderungen werden kontrolliert.

Sicherheit: Schwachstellen, Softwarefehler und Sicherheitsvorfälle werden strukturiert behandelt.

Nachweis: Logfiles, Tickets, Reports und Freigaben stehen für die Prüfung bereit.

Basiskriterien und Zusatzkriterien für Cloud-Anbieter

Die Version C5:2026 arbeitet mit Basiskriterien und Zusatzkriterien. Dadurch lässt sich der Schutzbedarf eines Cloud-Dienstes genauer abbilden.

Die Basiskriterien bilden das Mindestmaß für geprüfte Cloud-Dienste. Sie gelten als Grundlage, wenn ein Anbieter ein C5-Testat erreichen möchte. Zusatzkriterien greifen, wenn höhere Anforderungen bestehen, etwa bei besonders sensiblen Daten, Behörden, KRITIS-nahen Organisationen oder regulierten Kunden.

Die Anforderungen gliedern sich in:

Basiskriterien: grundlegende Sicherheitsanforderungen für Cloud-Anbieter.

Zusatzkriterien: erhöhte Schutzanforderungen für kritische oder besonders sensible Nutzung.

Ergänzungen: zusätzliche Vorgaben neben bestehenden Mindestanforderungen.

Verschärfungen: strengere Kontrollen, wenn ein höheres Sicherheitsniveau erforderlich ist.

Damit folgt der C5-Katalog einem risikobasierten Ansatz. Nicht jeder Cloud-Dienst hat denselben Schutzbedarf. Entscheidend sind Nutzung, Daten, Kundenanforderungen und mögliche Auswirkungen bei Sicherheitsvorfällen.

C5-Zertifizierung: Rolle des Bundesamts für Sicherheit in der Informationstechnik

Das Bundesamt für Sicherheit in der Informationstechnik ist Herausgeber des Standards für Cloudsicherheit. Es entwickelt den Kriterienkatalog, aktualisiert die Anforderungen und schafft damit einen einheitlichen Rahmen für sichere Cloud-Dienste.

Die eigentliche Prüfung liegt bei unabhängigen Prüfern beziehungsweise Wirtschaftsprüfern. Das BSI bewertet also nicht den einzelnen Anbieter vor Ort. Es stellt den Standard bereit, an dem sich die C5-Prüfung orientiert.

Die Rolle des BSI umfasst vor allem:

Entwicklung: Kontinuierliche Ausarbeitung und Pflege aller 168 C5-Kriterien.

Orientierung: Bereitstellung eines anerkannten Rahmens für Cloudsicherheit in Deutschland.

Neutralität: Trennung zwischen Standardgeber und konkreter Prüfung.

Harmonisierung: Anschlussfähigkeit an weitere Standards und europäische Vorgaben.

Typ 1 vs. Typ 2: Die beiden Prüfungsarten des C5fizierung

Beim C5-Testat gibt es zwei Prüfungsarten: Typ 1 und Typ 2. Der zentrale Unterschied liegt im Zeitraum der Prüfung und damit in der Aussagekraft für Cloud-Kunden. Typ 1 betrachtet einen festen Stichtag. Typ 2 prüft, ob die Sicherheitskontrollen über mehrere Monate im laufenden Betrieb funktioniert haben.

C5 Typ 1: Das Stichtags-Testat

C5 Typ 1 bewertet, ob das Kontrollsystem eines Cloud-Anbieters zu einem bestimmten Zeitpunkt angemessen aufgebaut ist. Der Prüfer betrachtet vor allem Konzept, Dokumentation und geplante Sicherheitsmaßnahmen.

Für die Einführung einer C5-Zertifizierung kann ein Typ-1-Testat sinnvoll sein. Viele Unternehmen nutzen vorab eine interne GAP-Analyse, um fehlende Nachweise, unklare Zuständigkeiten oder Lücken in den Kriterien aufzudecken.

Die Aussagekraft bleibt begrenzt. Typ 1 zeigt, dass Kontrollen vorhanden und nachvollziehbar beschrieben sind. Der Bericht belegt noch nicht, ob diese Kontrollen im Alltag zuverlässig greifen. Für Cloud-Kunden ist er deshalb eher ein Einstieg in die Bewertung als ein vollständiger Wirksamkeitsnachweis.

C5 Typ 2: Der operative Wirksamkeitsnachweis

C5 Typ 2 geht deutlich weiter. Der Prüfer bewertet die Sicherheitskontrollen über einen fest definierten Zeitraum von 6 bis 12 Monaten.

Hier zählt die Praxis. Der Anbieter muss zeigen, dass seine Prozesse laufen, Kontrollen durchgeführt werden und Nachweise aus dem echten Betrieb vorliegen. Genau deshalb hat Typ 2 für viele Kunden die größere Bedeutung.

Typische Nachweise sind zum Beispiel:

Logfiles und Systemprotokolle

Tickets zu Änderungen oder Sicherheitsvorfällen

Freigaben und Kontrollnachweise

Auswertungen aus Monitoring-Systemen

Nachweise zu Zugriffen, Rollen und Berechtigungen

In dieser Prüfung zeigt sich, ob der prozessorientierte Ansatz trägt. Eine Richtlinie wirkt schnell sauber. Spannend wird es, wenn ein Sicherheitsvorfall, eine Änderung oder ein fehlgeschlagener Zugriff nachvollziehbar behandelt werden muss.

Für Cloud-Kunden ist C5 Typ 2 daher der stärkere Nachweis. Er zeigt, ob die Anforderungen aus dem C5-Kriterienkatalog im laufenden Betrieb umgesetzt wurden und ob der Anbieter seine Cloud-Sicherheit über längere Zeit kontrolliert steuert.

C5 und ISO 27001: Wo liegt der Unterschied?

C5 und ISO 27001 gehören beide zur Informationssicherheit, prüfen aber unterschiedliche Ebenen. ISO 27001 bewertet das Managementsystem eines Unternehmens. C5 geht tiefer in die Cloud-Dienste selbst und liefert mehr Einblick in konkrete Sicherheitskontrollen.

Der wichtigste Unterschied liegt im Ergebnis. Eine ISO-Zertifizierung bestätigt das Managementsystem. Ein C5-Prüfbericht zeigt detaillierter, welche Kontrollen geprüft wurden und wie der Cloud-Anbieter seine Sicherheitsanforderungen im Betrieb erfüllt.

In der Praxis ist ISO 27001 häufig die Basis. Die Kriterien des C5-Katalogs orientieren sich unter anderem an ISO/IEC 27001:2013 und lassen sich auch mit weiteren Standards wie dem IT-Grundschutz einordnen. Die C5-Testierung ergänzt dieses Rahmenwerk um einen cloud-spezifischen Nachweis mit mehr Transparenz für Kunden, Einkauf und Compliance.

C5 im Risikomanagement von Cloud-Kunden

Ein C5-Testat entbindet Cloud-Kunden nicht von der eigenen Verantwortung. Es liefert aber eine belastbare Grundlage, um externe Cloud-Dienste im Risikomanagement sauber zu bewerten.

Der C5-Prüfbericht liefert IT, Einkauf, Datenschutz und internen Auditoren eine konkrete Datengrundlage. Er zeigt, welche Sicherheitskontrollen beim Anbieter bestehen, wie sie geprüft wurden und welche Aufgaben beim Kunden verbleiben.

Für Unternehmen wird C5 damit vor allem in vier Bereichen relevant:

Lieferantenbewertung: Der Prüfbericht wird zum belastbaren Kriterium im Einkauf.

Compliance: Nachweise unterstützen interne und externe Prüfungen.

Risikobewertung: Cloud-Risiken lassen sich im Sinne eines risikobasierten Ansatzes besser einordnen.

Managementbewertung: Die Geschäftsführung erhält eine klarere Grundlage für Entscheidungen zur Cloud-Nutzung.

Der Bericht ersetzt keine eigene Risikoanalyse. Er verkürzt aber den Weg zu einer sauberen Bewertung, weil Unternehmen auf die Testierung unabhängiger Prüfer zurückgreifen können.

Vorteile eines C5-Prüfberichts

Ein C5-Prüfbericht schafft Transparenz, spart Prüfaufwand und stärkt Vertrauen in Cloud-Dienste. Für Cloud-Anbieter ist er ein belastbarer Sicherheitsnachweis. Für Kunden wird er zur Grundlage für Einkauf, Compliance und Risikobewertung.

Seit der Einführung im Jahr 2016 hat sich C5 als wichtiger IT-Sicherheitsstandard im Markt etabliert und wurde mehrfach aktualisiert. Der Prüfbericht macht Cloud-Services vergleichbarer und hilft Unternehmen, Sicherheitsanforderungen sauber zu dokumentieren.

Die wichtigsten Vorteile:

Haftungsrisiken reduzieren: Der Bericht liefert der Geschäftsführung belastbare Nachweise für die Bewertung externer Cloud-Dienste.

Datenschutz belegen: Cloud-Anbieter mit C5-Testat zeigen, dass Datenschutz und Informationssicherheit nach klaren Kriterien geprüft wurden.

Auditaufwand senken: Kunden müssen viele Sicherheitskontrollen nicht vollständig selbst prüfen, weil sie auf die Testierung unabhängiger Prüfer zurückgreifen können.

Wettbewerb stärken: Für Anbieter ist C5 ein starkes Argument bei Ausschreibungen, Behörden und regulierten Kunden.

Lieferantenbewertung erleichtern: Der standardisierte Prüfbericht schafft eine bessere Vergleichsbasis für Einkauf, IT und Compliance.

Häufige Fragen und Antworten

Wer stellt ein C5-Testat aus?

Ein C5-Testat wird ausschließlich von qualifizierten Wirtschaftsprüfern mit IT-Spezialisierung ausgestellt. Die Prüfung erfolgt nach ISAE 3000 und bewertet, ob die geforderten Kontrollen angemessen ausgestaltet und je nach Prüfungsart auch wirksam umgesetzt wurden. Werden Schwachstellen festgestellt, muss der Anbieter einen Maßnahmenplan zur Schließung der Sicherheitslücken erstellen und die Umsetzung im internen Fehlermanagement überwachen.

Für welche Cloud-Dienste ist der BSI-C5-Standard verpflichtend?

Eine allgemeine Pflicht für alle kommerziellen Cloud-Dienste gibt es nicht. Für Bundesbehörden gilt der C5-Standard in Deutschland seit 2020 als verpflichtender Nachweis; im Gesundheitswesen sind Typ-2-Testate seit dem 1. Juli 2025 für den Umgang mit elektronischen Patientenakten und Gesundheitsdaten vorgeschrieben. Für Einkauf und Compliance wird der Nachweis damit zu einem festen Kriterium in der Lieferantenbewertung.

Wie hat sich der Umfang der C5-Prüfung verändert?

Der Umfang der C5-Prüfung ist durch neue regulatorische Anforderungen deutlich gewachsen. Während frühere Fassungen des C5-Kriterienkatalogs 121 Kriterien zur Informationssicherheit enthielten, umfasst C5:2026 exakt 168 Kriterien. Für Cloud-Anbieter wird eine frühzeitige GAP-Analyse damit zum wichtigen Leitfaden, um fehlende Nachweise vor dem Audit zu erkennen und eine Nichtkonformität zu vermeiden.