Cloud-Dienste sind längst Rückgrat moderner IT-Infrastrukturen. Gleichzeitig bleibt bei vielen Unternehmen ein ungutes Gefühl: Wer trägt eigentlich die Verantwortung für Sicherheit und Compliance in der Cloud?
Mit dem überarbeiteten Kriterienkatalog C5 liefert das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Antwort – und setzt zugleich neue Maßstäbe für Transparenz und Vergleichbarkeit.
Was hinter dem C5 steckt
Der „Cloud Computing Compliance Criteria Catalogue“ (C5) ist kein weiteres Zertifikat, das man einmal erwirbt und dann abhakt. Er ist vielmehr ein strukturierter Prüfmaßstab für Informationssicherheit in Cloud-Diensten.
Seit seiner Erstveröffentlichung im Jahr 2016 hat sich der Katalog im Markt etabliert. Mehr als hundert Testate für Cloud-Anbieter weltweit zeigen: C5 ist längst ein relevantes Entscheidungskriterium geworden – auch für mittelständische Anbieter.
Mit der Überarbeitung 2025/2026 reagiert das BSI auf neue technische und regulatorische Entwicklungen und schärft die Anforderungen weiter.
Transparenz statt Vertrauensvorschuss
Der zentrale Gedanke des C5 ist schnell beschrieben: Vertrauen soll nicht behauptet, sondern überprüfbar gemacht werden.
Cloud-Anbieter setzen die definierten Mindestanforderungen um und lassen deren Einhaltung durch unabhängige Auditoren prüfen. Das Ergebnis ist ein Prüfbericht, der nicht nur ein „Ja“ oder „Nein“ enthält, sondern die Sicherheitsarchitektur nachvollziehbar dokumentiert.
Gerade diese Systembeschreibung macht den Unterschied: Kunden erhalten Einblick in konkrete Maßnahmen – nicht nur in abstrakte Versprechen.
Drei Rollen – drei Verantwortlichkeiten
Ein häufiger Irrtum: Mit einem C5-Testat sei das Thema Sicherheit erledigt. Genau das stellt der Katalog klar richtig.
- Cloud-Anbieter müssen Sicherheitsmaßnahmen implementieren und nachweisbar machen
- Auditoren prüfen die Einhaltung nach anerkannten Standards
- Kunden müssen die Berichte auswerten und in ihr eigenes Risikomanagement integrieren
Diese Aufgabenteilung ist kein Detail, sondern der Kern des Konzepts. Sicherheit wird bewusst nicht vollständig ausgelagert.
Der unterschätzte Part: der Kunde
Besonders praxisrelevant ist die Rolle des Cloud-Kunden. Der C5 liefert eine Grundlage – ersetzt aber keine eigene Bewertung.
Unternehmen sind gehalten,
- den Prüfbericht initial und regelmäßig zu prüfen,
- Anbieter miteinander zu vergleichen und
- eigene Anforderungen zu definieren, die über die Mindestkriterien hinausgehen.
Das bedeutet auch: Restrisiken verbleiben beim Kunden. Wer Cloud nutzt, trifft weiterhin eigene unternehmerische Entscheidungen – und trägt die Konsequenzen.
Wettbewerbsvorteil für Anbieter
Für Cloud-Anbieter ist der C5 mehr als Compliance. Er ist ein strategisches Instrument.
Ein aussagekräftiges Testat signalisiert:
- strukturierte Sicherheitsprozesse
- nachvollziehbare Kontrollen
- Bereitschaft zur Transparenz
Gerade im B2B-Bereich kann das den Ausschlag geben, wenn mehrere Anbieter technisch vergleichbar sind.
Was sich durch die Überarbeitung geändert hat
Auch wenn der Grundansatz gleich bleibt, zeigt die Aktualisierung: Cloud-Sicherheit ist kein statisches Feld. Neue Bedrohungslagen, steigende regulatorische Anforderungen und wachsende Abhängigkeiten von Cloud-Diensten erfordern eine kontinuierliche Anpassung der Maßstäbe.
Die Überarbeitung 2025/2026 verfolgt daher vor allem ein Ziel: die Qualität und Aussagekraft der Prüfungen weiter zu erhöhen.
Fazit
Der C5-Katalog verschiebt die Perspektive: Weg vom blinden Vertrauen, hin zu überprüfbarer Sicherheit.
Für Anbieter bedeutet das mehr Aufwand – aber auch mehr Glaubwürdigkeit.
Für Kunden bedeutet es mehr Transparenz – aber auch mehr Verantwortung.
Wer Cloud-Dienste nutzt oder anbietet, kommt an dieser Logik kaum noch vorbei.
