Nachweise & Regulierung

BSI C5: Was das Testat aussagt und wann du es brauchst

C5 ist ein Prüfungsurteil eines Wirtschaftsprüfers über die Sicherheit eines Cloud-Anbieters, kein Zertifikat des BSI und keine Rechtsgrundlage für eine Verarbeitung. Es sagt etwas über die Dienste, Regionen und den Zeitraum aus, die im Bericht stehen, und über nichts sonst. Der wichtigste Teil des Berichts ist deshalb nicht das Urteil, sondern die Liste der Kontrollen, die der Anbieter ausdrücklich bei dir lässt.

5 Kapitel mit allen Befehlen

Passende Kurse ansehen Persönlich beraten lassen

Einsteigerin in die Cloud-Administration an zwei Monitoren mit Dashboards

Seit 1997 am Markt Präsenz & Live-Online 4,9 aus 503 Google-Bewertungen Auch Inhouse für dein Team

Worum es geht

Warum ein vorhandenes Testat oft weniger wert ist als angenommen

In Ausschreibungen taucht C5 als Häkchen auf: Anbieter hat C5, Anforderung erfüllt. Das greift zu kurz. Ein Testat bezieht sich immer auf einen benannten Geltungsbereich, also auf bestimmte Dienste, bestimmte Regionen und einen bestimmten Prüfzeitraum. Wenn du einen Dienst einsetzt, der nicht in dieser Liste steht, hast du für diesen Dienst kein Testat, auch wenn er beim selben Anbieter läuft. Genau das passiert regelmäßig bei neueren Diensten, die erst im übernächsten Prüfzyklus aufgenommen werden.

Der zweite Punkt ist der Unterschied zwischen Typ 1 und Typ 2, und er entscheidet über die Aussagekraft. Ein Testat vom Typ 1 bestätigt, dass die Kontrollen zu einem Stichtag angemessen ausgestaltet waren. Ein Testat vom Typ 2 bestätigt zusätzlich, dass sie über einen Zeitraum von meist sechs bis zwölf Monaten wirksam waren. Nur der zweite Fall sagt aus, dass die Maßnahmen im Alltag tatsächlich gelebt werden. Wer im Vertrag nur C5 schreibt, bekommt im Zweifel Typ 1, und der ist deutlich weniger wert.

Der dritte und in der Praxis folgenreichste Punkt sind die komplementären Kundenkontrollen. Jeder C5-Bericht enthält einen Abschnitt mit Maßnahmen, die der Anbieter ausdrücklich nicht übernimmt, sondern beim Kunden voraussetzt: Verschlüsselung, Rechtevergabe, Netzkonfiguration, Sicherung, Protokollauswertung. Wer den Bericht nur bis zum Prüfungsurteil liest, überliest genau diese Liste. Das Ergebnis ist eine Umgebung, in der die Sicherheit des Anbieters testiert ist und die eigene Konfiguration offen wie ein Scheunentor.

Miniatur-Szene: Treppe aus drei Stufen hinauf zu einer schwebenden Cloud, Laptop und Wegweiser

Sechs Schritte im Umgang mit einem C5-Bericht

01 Bericht beschaffen, meist über ein Vertraulichkeitsabkommen
02 Geltungsbereich prüfen: welche Dienste, welche Regionen
03 Typ und Prüfzeitraum feststellen, Lücken zwischen Zeiträumen suchen
04 Abweichungen und Einschränkungen im Prüfungsurteil lesen
05 Komplementäre Kundenkontrollen in eigene Maßnahmen überführen
06 Nachweise automatisiert erheben und jährlich erneuern

Was du mitnimmst

C5 richtig einordnen und nutzen

Ein Testat ist kein Etikett, sondern ein Bericht mit fünfzig bis zweihundert Seiten. Der Nutzen entsteht beim Lesen, nicht beim Ablegen.

Was C5 ist

Der Kriterienkatalog Cloud Computing Compliance Criteria Catalogue des BSI beschreibt Anforderungen an die Informationssicherheit von Cloud-Diensten. Geprüft wird nicht vom BSI, sondern von einem unabhängigen Wirtschaftsprüfer nach anerkannten Prüfungsstandards. Das Ergebnis ist ein Prüfungsurteil in einem Bericht, deshalb heißt es Testat und nicht Zertifikat.

Typ 1 gegen Typ 2

Typ 1 beurteilt die Angemessenheit der Ausgestaltung zu einem Stichtag, Typ 2 zusätzlich die Wirksamkeit über einen Zeitraum. Für Ausschreibungen und Auslagerungsverträge solltest du ausdrücklich Typ 2 fordern und den Prüfzeitraum benennen lassen. Ein Typ-1-Testat taugt für den Markteintritt eines neuen Dienstes, nicht als Dauernachweis.

Umfeldparameter lesen

C5 verlangt vom Anbieter Angaben zu Rechtsraum, Standorten der Verarbeitung, Zugriffen aus Drittstaaten und dem Umgang mit behördlichen Auskunftsersuchen. Diese Umfeldparameter sind der Teil des Berichts, der für die datenschutzrechtliche Bewertung zählt, und sie sind der Grund, warum C5 im deutschen Kontext mehr Gewicht hat als ein reiner ISO-Nachweis.

Wo C5 faktisch Pflicht ist

Die Bundesverwaltung setzt C5 bei der Cloud-Nutzung voraus, im Gesundheitswesen verlangt das Sozialgesetzbuch für die Verarbeitung von Gesundheitsdaten ein C5-Testat des Anbieters, und in Ausschreibungen der öffentlichen Hand ist es Standardanforderung. Für Betreiber kritischer Anlagen ist es der übliche Weg, die Sicherheit eines Dienstleisters nachzuweisen.

Abgrenzung zu anderen Nachweisen

ISO 27001 bescheinigt ein funktionierendes Managementsystem, SOC 2 ist ein vergleichbares Prüfungsurteil nach US-Standard mit frei wählbaren Kriterien. C5 gibt die Kriterien fest vor und ergänzt die Umfeldparameter. Deshalb ersetzen sich die drei nicht, sondern beantworten unterschiedliche Fragen an denselben Anbieter.

Die Anforderung so formulieren, dass sie trägt

Der Satz "Der Anbieter verfügt über ein C5-Testat" ist in einer Ausschreibung fast wertlos, weil er weder Typ noch Geltungsbereich noch Aktualität festlegt. Verlange stattdessen ein Testat vom Typ 2 mit benanntem Prüfzeitraum, eine Liste der abgedeckten Dienste und Regionen sowie die komplementären Kundenkontrollen als Anlage. Erst damit lässt sich prüfen, ob das Testat die Dienste abdeckt, die ihr tatsächlich nutzt.

Tutorial

Vom Bericht zur nachweisbaren eigenen Konfiguration

Der wichtigste Teil eines C5-Berichts ist nicht das Urteil, sondern die Liste der Kontrollen, die der Anbieter ausdrücklich bei dir lässt. Genau daran entlang läuft der Weg: Bericht beschaffen, Geltungsbereich und Typ prüfen, die komplementären Kundenkontrollen herausziehen und sie dann technisch umsetzen und belegen. Die Befehle zeigen AWS und Azure nebeneinander und erzeugen genau die Nachweise, nach denen eine Prüfung anschließend fragt.

Schritt 1: Verstehen, worüber C5 überhaupt ein Urteil fällt

C5 prüft den Anbieter, nicht deine Umgebung. Diese Trennung ist der Kern des Themas und der Grund für die meisten Missverständnisse in Ausschreibungen.

C5 im Vergleich zu anderen Nachweisen

Merkmal	BSI C5	ISO 27001	SOC 2
Was beurteilt wird	Kontrollen eines Cloud-Dienstes gegen einen festen Katalog	Managementsystem für Informationssicherheit	Kontrollen gegen selbst gewählte Kriterien
Wer prüft	Wirtschaftsprüfer, nicht das BSI	Akkreditierte Zertifizierungsstelle	Wirtschaftsprüfer
Ergebnis	Testat mit ausführlichem Bericht	Zertifikat	Bericht mit Prüfungsurteil
Angaben zu Rechtsraum und Zugriffen	Verpflichtend als Umfeldparameter	Nicht vorgesehen	Nicht vorgesehen
Aussage über Wirksamkeit im Zeitverlauf	Nur bei Typ 2	Über Überwachungsaudits	Nur bei Typ 2
Verbreitung in deutschen Ausschreibungen	Hoch, im öffentlichen Sektor Standard	Hoch, oft als Mindestanforderung	Gering, außer bei US-Anbietern

Aus der Tabelle folgt die praktische Regel: C5 beantwortet die Frage, ob der Anbieter seine Hausaufgaben macht und wo seine Systeme stehen. Es beantwortet nicht die Frage, ob deine Verarbeitung zulässig ist, und es ersetzt keine Rechtsgrundlage nach Datenschutzrecht. Ebenso wenig deckt es deine eigenen Pflichten ab. Wenn dein Haus unter die NIS2-Umsetzung fällt, bleiben Risikomanagement, Meldewege und Lieferkettenprüfung deine Aufgabe, und wir behandeln sie unter NIS2-Pflichten in der Cloud.

Schritt 2: Bericht beschaffen und den Geltungsbereich prüfen

Die Berichte sind nicht öffentlich, aber für Kunden zugänglich, in der Regel nach Zustimmung zu einer Vertraulichkeitsvereinbarung. Beide großen Anbieter stellen sie über ein Portal bereit.

Nachweisdokumente beim Anbieter abrufen

# AWS: Berichte liegen in AWS Artifact und lassen sich auch skriptgesteuert holen
aws artifact list-reports --query 'reports[?contains(name, `C5`)].{name:name,id:id,version:version}' --output table

# Vor dem Herunterladen den Nutzungsbedingungen zustimmen
aws artifact get-term-for-report --report-id <report-id>
aws artifact get-report --report-id <report-id> --term-token <token>

# Azure: die Berichte liegen im Service Trust Portal unter
# https://servicetrust.microsoft.com/ im Bereich Audit Reports.
# Der Zugriff erfolgt mit dem Entra-ID-Konto der Organisation.

Lade den vollständigen Bericht herunter, nicht die Zusammenfassung. Nur der vollständige Bericht enthält den Geltungsbereich, die Beschreibung des Dienstsystems, die Prüfungshandlungen, festgestellte Abweichungen und die komplementären Kundenkontrollen. Die Zusammenfassung enthält davon nichts.

Was du beim ersten Durchgang durch den Bericht prüfst

Steht jeder von dir eingesetzte Dienst namentlich im Geltungsbereich?Das Testat gilt ausschließlich für die aufgeführten Dienste. Für alles andere hast du keinen Nachweis, auch wenn es beim selben Anbieter läuft.
Sind die von dir genutzten Regionen aufgeführt?Regionen werden einzeln in den Geltungsbereich aufgenommen. Eine neue Region kann Monate bis Jahre hinter dem restlichen Testat herlaufen.
Typ 1 oder Typ 2, und welcher Prüfzeitraum genau?Nur Typ 2 sagt etwas über die Wirksamkeit im laufenden Betrieb aus. Ohne Zeitraumangabe lässt sich außerdem keine lückenlose Kette über die Jahre belegen.
Schließt der neue Prüfzeitraum lückenlos an den vorherigen an?Lücken zwischen zwei Prüfzeiträumen sind Zeiträume ohne Nachweis. Aufsichten und Prüfer fragen genau danach, weil dort Vorfälle unbemerkt bleiben könnten.
Enthält das Prüfungsurteil Einschränkungen oder festgestellte Abweichungen?Ein eingeschränktes Urteil ist keine Formalie. Die betroffenen Kriterien musst du in der eigenen Risikobewertung als offene Punkte führen.
Welche Kontrollen weist der Anbieter ausdrücklich dir zu?Diese komplementären Kundenkontrollen sind der Teil, der bei dir Arbeit auslöst. Wer sie nicht umsetzt, hat trotz testierten Anbieters eine unsichere Umgebung.

Schritt 3: Komplementäre Kundenkontrollen technisch umsetzen

Die Liste im Bericht ist in Prüfersprache formuliert. Übersetze jeden Punkt in eine Einstellung, die sich abfragen lässt, dann wird aus einer Anforderung ein Nachweis.

Verschlüsselung und Schlüsselverwaltung belegen

# AWS: Verschluesselung der Ablage und Herkunft des Schluessels
aws s3api get-bucket-encryption --bucket kunden-dokumente
aws s3api get-public-access-block --bucket kunden-dokumente
aws kms describe-key --key-id alias/prod-daten \
  --query 'KeyMetadata.{herkunft:Origin,rotation:KeyManager,zustand:KeyState}'
aws kms get-key-rotation-status --key-id alias/prod-daten

# Azure: Transportverschluesselung, Mindestversion und eigener Schluessel
az storage account show -g rg-prod -n stkundendaten \
  --query "{https:enableHttpsTrafficOnly,tls:minimumTlsVersion,oeffentlich:allowBlobPublicAccess,schluessel:encryption.keySource}"
az keyvault key list --vault-name kv-prod \
  --query "[].{name:name,aktiviert:attributes.enabled,ablauf:attributes.expires}" --output table

Der Unterschied zwischen anbieterverwalteten und kundenverwalteten Schlüsseln ist der Punkt, an dem viele Berichte die Verantwortung ausdrücklich übergeben. Wenn im Bericht steht, dass die Schlüsselverwaltung beim Kunden liegt, reicht die Standardverschlüsselung des Anbieters für diese Anforderung nicht aus.

Protokollierung lückenlos und manipulationsgeschützt betreiben

# AWS: laeuft die Protokollierung ueber alle Regionen und ist sie geschuetzt?
aws cloudtrail describe-trails \
  --query 'trailList[].{name:Name,alleRegionen:IsMultiRegionTrail,validierung:LogFileValidationEnabled,kms:KmsKeyId}' \
  --output table
aws cloudtrail get-trail-status --name org-trail

# Azure: haengen an den kritischen Ressourcen Diagnoseeinstellungen?
az monitor diagnostic-settings list --resource "$RESID" --output table
az monitor log-analytics workspace show -g rg-prod -n law-prod \
  --query "{aufbewahrung:retentionInDays,sku:sku.name}"

# Azure: Richtlinienkonformitaet als Nachweis ueber alle Abonnements
az policy state summarize --management-group mg-konzern

Für den Nachweis zählen drei Eigenschaften: lückenlose Erfassung über alle Regionen und Konten, ein Ablageort, an dem niemand nachträglich löschen kann, und eine Aufbewahrungsfrist, die zu deinen eigenen Vorgaben passt. Alle drei lassen sich aus den Ausgaben oben direkt belegen.

Schritt 4: Genutzte Dienste und Regionen gegen den Bericht abgleichen

Der Abgleich lässt sich automatisieren, denn die Abrechnung weiß genau, welche Dienste in welchen Regionen tatsächlich laufen.

Tatsächlich genutzte Dienste und Regionen ermitteln

# AWS: welche Dienste wurden im Vormonat ueberhaupt genutzt?
aws ce get-cost-and-usage \
  --time-period Start=2026-06-01,End=2026-07-01 \
  --granularity MONTHLY --metrics UsageQuantity \
  --group-by Type=DIMENSION,Key=SERVICE --output table

# AWS: und in welchen Regionen?
aws ce get-cost-and-usage \
  --time-period Start=2026-06-01,End=2026-07-01 \
  --granularity MONTHLY --metrics UnblendedCost \
  --group-by Type=DIMENSION,Key=REGION --output table

# Azure: alles, was nicht in einer deutschen Region liegt
az resource list \
  --query "[?location!='germanywestcentral' && location!='germanynorth'].{name:name,typ:type,ort:location}" \
  --output table

Die Ausgabe der letzten Abfrage ist erfahrungsgemäß länger als erwartet, weil globale Dienste und Testumgebungen dort auftauchen. Beides ist erklärbar, muss aber erklärt werden, und zwar bevor jemand anderes danach fragt.

Dieser Abgleich gehört in denselben Turnus wie die Erneuerung des Testats, also einmal im Jahr. Er ist zugleich die Vorarbeit für zwei benachbarte Themen: für die Auslagerungsanforderungen im Finanzsektor, die wir unter DORA und Cloud-Auslagerung behandeln, und für die Frage, ob ein Anbieter mit Sitz oder Muttergesellschaft außerhalb der EU für deinen Fall überhaupt tragfähig ist. Dazu gibt es einen eigenen Vergleich unter souveräne Cloud-Anbieter.

Schritt 5: Die Anforderung so formulieren, dass sie trägt

Der Satz "Der Anbieter verfügt über ein C5-Testat" ist in einer Ausschreibung fast wertlos, weil er weder Typ noch Geltungsbereich noch Aktualität festlegt. Diese vier Ergänzungen machen daraus eine prüfbare Anforderung.

Vier Präzisierungen für Ausschreibung und Vertrag

Typ und Zeitraum benennen: ein Testat vom Typ 2 mit einem Prüfzeitraum von mindestens zwölf Monaten, das lückenlos an den vorangegangenen Zeitraum anschließt.
Geltungsbereich festschreiben: alle für die Leistungserbringung eingesetzten Dienste und alle Regionen, in denen Daten verarbeitet oder gesichert werden, namentlich im Testat aufgeführt.
Aktualität und Nachreichung regeln: jährliche Vorlage des neuen Berichts innerhalb einer festen Frist nach Abschluss des Prüfzeitraums, samt Information über Einschränkungen im Prüfungsurteil.
Änderungen anzeigen lassen: Meldepflicht, wenn ein genutzter Dienst aus dem Geltungsbereich fällt, eine neue Region hinzukommt oder sich Angaben in den Umfeldparametern ändern.

Diese vier Punkte kosten in der Verhandlung wenig, weil große Anbieter sie ohnehin erfüllen, und sie ersparen später die unangenehme Situation, in der ein Testat vorliegt, aber nicht für den Dienst gilt, um den es geht. Für Vergabestellen lohnt zusätzlich der Blick in die Vertragsmuster für Cloud-Leistungen, die genau diese Nachweisführung bereits vorsehen. Der Aufwand entsteht ohnehin, die Frage ist nur, ob er in der Ausschreibung anfällt oder drei Jahre später in einer Prüfung.

Passende Kurse

Kurse zu BSI C5 und Cloud-Compliance bei cmt

Diese Kurse vertiefen genau das, an echten Systemen statt nur an Folien. Als Präsenz oder Live-Online, auf Wunsch auch Inhouse für dein Team.

AWS Security Governance at Scale 1 Tag Präsenz nächster Termin 25.09.2026 Zum Kurs AWS Security Best Practices 1 Tag Präsenz nächster Termin 30.09.2026 Zum Kurs Security Engineering on AWS 3 Tage Präsenz nächster Termin 31.08.2026 Zum Kurs AZ-500 Training: Microsoft Azure Security Technologies (AZ-500T00-A) 4 Tage Präsenz nächster Termin 05.10.2026 Zum Kurs SC-100 Training: Microsoft Cybersecurity Architect (SC-100T00) 4 Tage Präsenz nächster Termin 07.09.2026 Zum Kurs

Unverbindlich beraten lassen Alle AWS-Kurse ansehen

Wissen prüfen

Teste dich und finde deinen Weg

Bevor du einen Kurs buchst, lohnt sich eine ehrliche Standortbestimmung. Die Tests sind kostenlos und ohne Anmeldung.

Wissenstest AZ-500 Quiz - Azure Security Engineer Bereite dich auf die AZ-500 Prüfung vor. Teste dein Wissen zu Azure-Sicherheit, Identity und Netzwerk. Quiz starten

Gut zu wissen

Häufige Fragen zu BSI C5 und Cloud-Compliance

Noch etwas offen? Wir sind ohne Warteschleife für dich da.

Frag uns direkt

Ist C5 ein Zertifikat des BSI?

Nein. Das BSI gibt den Kriterienkatalog heraus, prüft aber selbst nicht. Die Prüfung führt ein unabhängiger Wirtschaftsprüfer nach anerkannten Prüfungsstandards durch, und das Ergebnis ist ein Prüfungsurteil in einem Bericht. Deshalb spricht man von einem Testat und nicht von einer Zertifizierung. Praktisch bedeutet das zweierlei: Es gibt kein öffentliches Verzeichnis wie bei ISO-Zertifikaten, und die Aussagekraft hängt vom Bericht ab, den du lesen musst, nicht von einem Logo auf einer Webseite.

Worin unterscheiden sich Typ 1 und Typ 2 in der Praxis?

Typ 1 bestätigt, dass die Kontrollen zu einem Stichtag angemessen ausgestaltet waren. Der Prüfer sieht sich also an, ob die Maßnahmen auf dem Papier und in der Konfiguration passen. Typ 2 bestätigt zusätzlich, dass sie über einen Zeitraum von meist sechs bis zwölf Monaten wirksam waren, dafür zieht der Prüfer Stichproben über den gesamten Zeitraum. Für laufende Auslagerungen ist nur Typ 2 aussagekräftig. Fordere ihn deshalb ausdrücklich, samt Angabe des Prüfzeitraums, sonst bekommst du im Zweifel das Schwächere.

Ersetzt ein C5-Testat die datenschutzrechtliche Prüfung?

Nein, es ergänzt sie. C5 ist ein Sicherheitsnachweis über den Anbieter und liefert dir mit den Umfeldparametern wichtige Angaben zu Standorten, Rechtsraum und behördlichen Zugriffen. Die Rechtsgrundlage für deine Verarbeitung, der Auftragsverarbeitungsvertrag, das Verzeichnis der Verarbeitungstätigkeiten und die Bewertung eines möglichen Drittlandtransfers bleiben deine Aufgabe. Ein Testat kann diese Bewertung erleichtern, weil es belastbare Angaben liefert, aber es kann sie nicht ersetzen.

Für wen ist ein C5-Testat faktisch verpflichtend?

Für Cloud-Dienste in der Bundesverwaltung ist es gesetzt, in Ausschreibungen der öffentlichen Hand ist es Standardanforderung, und im Gesundheitswesen verlangt das Sozialgesetzbuch für die Verarbeitung von Gesundheitsdaten ein C5-Testat des Anbieters. Betreiber kritischer Anlagen nutzen es als üblichen Nachweis für die Sicherheit eines Dienstleisters. Für alle anderen ist es keine Pflicht, aber es ist im deutschsprachigen Raum der Nachweis mit der höchsten Akzeptanz und erspart in Prüfungen viel Diskussion.

Was ändert sich mit der Fassung C5:2026?

Das BSI hat den Katalog am 7. April 2026 aktualisiert und dabei unter anderem Anforderungen an Container-Management, Post-Quanten-Kryptographie und Confidential Computing aufgenommen. Für dich heißt das zweierlei: Bestehende Testate nach der Fassung von 2020 behalten für ihren Prüfzeitraum ihre Gültigkeit, und neue Testate werden nach einer Übergangsphase auf die neue Fassung umgestellt. Die genauen Fristen holst du dir aus dem Katalog beim BSI selbst, bevor du ein Datum in eine Ausschreibung schreibst.

Quellen

Zuletzt geprüft am 26. Juli 2026.

Echte Stimmen aus unseren IT-Kursen

“

Qualitativ sehr guter Kurs. Ruhiger und wertschätzender Umgang. Keine Informationsüberlastung.

Rückmeldung aus dem Kurs „Ansible Kompaktkurs“

“

Der Kurs hat sein Ziel erreicht. Der Trainer konnte die Inhalte gut rüberbringen und der Praxisanteil und die Übungsumgebung war sehr gut.

Rückmeldung aus dem Kurs „Terraform mit Azure – Der kompakte Praxiskurs für Ihren Cloud-Erfolg“

Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem Cloud-Programm den passenden Kurs oder Lernpfad zu finden.

0800 71 20000 E-Mail

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die exakt auf eure Systemlandschaft und Distributionen zugeschnitten sind.