BSI C5-Testat
und Datenräume

1. Was der Kriterienkatalog Cloud Computing C5 ist und wozu das BSI ihn geschaffen hat

Der C5 ist ein Anforderungskatalog des Bundesamts für Sicherheit in der Informationstechnik, der beschreibt, welche Sicherheitsanforderungen ein Cloud-Dienst erfüllen soll und wie deren Erfüllung nachgewiesen wird. Der vollständige Name lautet heute „Kriterienkatalog Cloud Computing C5", englisch Cloud Computing Compliance Criteria Catalogue.

Die Ausgangsfrage war praktischer Natur. Cloud-Anbieter warben mit einer Vielzahl von Zertifikaten und Selbstauskünften, die sich nicht vergleichen ließen. Ein Kunde konnte nicht beurteilen, welcher Teil eines Dienstes tatsächlich geprüft war, nach welchen Maßstäben und über welchen Zeitraum. Der C5 setzt an dieser Vergleichbarkeitslücke an.

Das Besondere ist die Kombination aus einem inhaltlichen Kriterienkatalog und einem festgelegten Prüfungsverfahren. Der Katalog beschreibt die Anforderungen, das Verfahren bestimmt, wer sie prüft, nach welchem Standard und in welcher Berichtsform. Beides zusammen macht die Aussage nachvollziehbar.

Ein zweiter Aspekt wird häufig übersehen: Der C5 verlangt nicht nur Kontrollen, sondern auch Transparenzangaben. Der Anbieter muss offenlegen, wo Daten liegen, welchem Recht er unterliegt und wie er mit behördlichen Auskunftsersuchen umgeht. Für einen deutschen Käufer ist dieser Teil oft aufschlussreicher als die Kontrollprüfung selbst.

2. C5:2016, C5:2020 und C5:2026: welcher Katalog wann anzuwenden ist

Wer einen C5-Bericht bewertet, muss zuerst wissen, auf welcher Katalogfassung er beruht. Diese Angabe steht im Prüfungsbericht und ist keine Formalie: Zwischen den Fassungen liegen erhebliche inhaltliche Unterschiede, und ein Bericht nach einer älteren Fassung sagt weniger aus als einer nach der aktuellen.

Die erste Fassung erschien 2016 unter dem Titel „Anforderungskatalog Cloud Computing (C5)". Sie führte bereits die Grundidee aus Kriterien und Prüfungsverfahren ein, arbeitete aber mit den sogenannten Umfeldparametern UP-01 bis UP-04 für die Transparenzangaben.

Die Überarbeitung wurde im Januar 2020 fertiggestellt und ist als C5:2020 die bis heute in der Prüfungspraxis maßgebliche Fassung. Das BSI empfiehlt ihre Anwendung für Prüfungszeiträume, die am oder nach dem 15. Februar 2021 enden. Sie enthält 121 Basiskriterien in 17 Kriterienbereichen.

Am 7. April 2026 hat das BSI den C5:2026 veröffentlicht. Er umfasst 168 Kriterien in denselben 17 Bereichen, ist inhaltlich und strukturell eng an das europäische Zertifizierungsschema EUCS angelehnt und behandelt erstmals Themen wie Container-Management, Post-Quanten-Kryptografie und Confidential Computing. Entscheidend für die Praxis ist der Anwendungszeitpunkt.

Für eine Ausschreibung oder einen Vertrag heißt das: Formulieren Sie die Anforderung so, dass sie den Übergang überlebt. Eine Klausel, die einen C5-Bericht „in der jeweils gültigen Fassung" verlangt, altert nicht; eine Klausel, die auf den C5:2020 festlegt, steht ab Mitte 2027 im Widerspruch zur Prüfungspraxis. Der Gesetzgeber hat diese Formel im Gesundheitsbereich übrigens selbst gewählt.

3. Testat statt Zertifikat: der Unterschied, der die meisten Missverständnisse erklärt

Die häufigste Fehlvorstellung über den C5 ist die, er sei ein Zertifikat wie die ISO/IEC 27001. Das ist nicht der Fall, und der Unterschied ist keine Wortklauberei, sondern bestimmt, was die Aussage überhaupt bedeutet.

Das BSI beschreibt es in seiner FAQ so: Bei einem Zertifikat gibt es drei Parteien, den Auditierten, den Auditor und eine Zertifizierungsstelle. Beim C5 wird das Verfahren einer Testierung angewendet; hier gibt es nur zwei Parteien, den Auditierten und den Auditor. Ein BSI-C5-Zertifikat existiert nicht, und das war eine bewusste Entscheidung: Das BSI wollte kein weiteres nationales Zertifikat einführen, sondern auf international Bewährtes zurückgreifen.

Aus dieser Konstruktion folgt der zweite, wichtigere Unterschied: die Zeitrichtung. Ein ISO-Zertifikat wird für einen künftigen Gültigkeitszeitraum ausgestellt, typischerweise drei Jahre mit Überwachungsaudits. Ein C5-Testat bezieht sich nach Aussage des BSI immer auf einen bereits vergangenen, abgeschlossenen Zeitraum.

Praktisch bedeutet das: Ein Testat sagt nichts darüber aus, wie der Dienst heute betrieben wird, sondern wie er in einem definierten Zeitfenster der Vergangenheit betrieben wurde. Wer durchgehende Aussagekraft will, braucht lückenlos aneinander anschließende Berichtszeiträume. Die folgende Gegenüberstellung fasst die Unterschiede zusammen.

Der Vorteil des Testats liegt in der Detailtiefe. Ein Zertifikat sagt, dass ein Managementsystem die Norm erfüllt; es nennt keine einzelnen Feststellungen. Ein C5-Bericht listet die Kriterien, die dazu eingerichteten Kontrollen, die Prüfungshandlungen und die Ergebnisse auf. Wer bereit ist, den Bericht zu lesen, erfährt deutlich mehr, als ein Zertifikat je hergeben würde.

4. Typ 1 und Typ 2: Angemessenheit zum Stichtag gegen Wirksamkeit über den Zeitraum

Die Unterscheidung zwischen Typ 1 und Typ 2 ist der wichtigste einzelne Punkt beim Lesen eines C5-Berichts, weil sie über die Aussagekraft entscheidet. Sie wird in Anbieterkommunikation häufig verschwiegen, weil ein Typ-1-Testat schneller und günstiger zu erlangen ist.

Ein Typ-1-Testat beurteilt die Angemessenheit der Kontrollen zum Erfüllen der anwendbaren C5-Kriterien zum geprüften Zeitpunkt. Es sagt also aus: An diesem Stichtag waren Kontrollen so gestaltet, dass sie geeignet erscheinen, die Kriterien zu erfüllen. Ob sie tatsächlich funktioniert haben, ist nicht Gegenstand der Prüfung.

Ein Typ-2-Testat beurteilt zusätzlich die Wirksamkeit der Kontrollen während des geprüften Zeitraums. Der Prüfer nimmt Stichproben, prüft Nachweise über die Zeit und stellt fest, ob die Kontrolle nicht nur gut gestaltet, sondern auch durchgängig angewendet wurde. Erst das ist eine belastbare Aussage.

Das BSI ist hier ungewöhnlich deutlich: Prüfungen der Angemessenheit sollten nur im Falle der Erstprüfung eines Cloud-Dienstes erfolgen und keinesfalls mehrmals hintereinander in Betracht gezogen werden. Ein Anbieter, der im dritten Jahr in Folge ein Typ-1-Testat vorlegt, entspricht damit nicht der Erwartung des Katalogs.

Zum Zeitraum macht der C5:2026 nun eine ausdrückliche Vorgabe: Der Mindestzeitraum sollte mindestens drei Monate umfassen, der Höchstzeitraum nicht mehr als zwölf Monate. Die BSI-FAQ nennt für die bisherige Praxis dieselbe Spanne und weist darauf hin, dass sich ein Anbieter ein- bis viermal jährlich prüfen lassen muss, um durchgehend nachweislich C5-konform zu sein. Daraus folgen drei Prüffragen.

• ·Liegt ein Typ-2-Bericht vor, oder handelt es sich um ein Typ-1-Testat? Steht der Typ ausdrücklich im Bericht, oder wird er nur in der Vermarktung angedeutet?
• ·Welchen Zeitraum deckt der Bericht ab, und wie weit liegt dessen Ende zurück? Ein Bericht, dessen Zeitraum vor achtzehn Monaten endete, beschreibt einen veralteten Zustand.
• ·Schließen die Berichtszeiträume aufeinanderfolgender Jahre lückenlos aneinander an, oder klaffen Lücken, in denen der Betrieb nicht geprüft war?

Der C5:2026 verschärft an dieser Stelle zusätzlich die Regeln zur Modifikation des Urteils. Er sieht vor, dass das Prüfungsurteil unter anderem dann zu modifizieren ist, wenn die anwendbaren Kriterien nicht vollständig erfüllt wurden, und stellt klar, dass davon bereits auszugehen ist, wenn eines der zu einem Kriterium gehörenden Unterkriterien nicht erfüllt ist. Berichte nach der neuen Fassung werden Abweichungen damit tendenziell sichtbarer machen als bisher.

In der Vertragsgestaltung lohnt sich daher eine Formulierung, die den Typ und die Lückenlosigkeit ausdrücklich adressiert. Eine Klausel, die lediglich „ein gültiges C5-Testat" verlangt, lässt sich mit einem Typ-1-Bericht über einen weit zurückliegenden Stichtag erfüllen. Eine Klausel, die einen Typ-2-Bericht mit jährlich anschließenden Berichtszeiträumen und Vorlage innerhalb einer Frist nach Berichtsdatum verlangt, ist deutlich schwerer zu unterlaufen.

Die dritte Frage ist die, die am seltensten gestellt wird und am meisten verrät. Ein Anbieter, der jedes Jahr einen Dreimonatszeitraum prüfen lässt, hat neun ungeprüfte Monate pro Jahr. Das ist zulässig und wird korrekt berichtet, entspricht aber nicht dem, was ein Kunde beim Wort „C5-testiert" annimmt.

5. Die 17 Kriterienbereiche: was der C5 inhaltlich abdeckt

Der C5 gliedert sich in 17 Kriterienbereiche, die von der Organisation der Informationssicherheit über den technischen Regelbetrieb bis zu Fragen reichen, die man in einem Sicherheitskatalog nicht unbedingt erwartet, etwa dem Umgang mit Ermittlungsanfragen staatlicher Stellen.

Die Verteilung der Kriterien auf die Bereiche ist ungleich und aussagekräftig. Der Bereich Regelbetrieb ist mit Abstand der umfangreichste, gefolgt von der Produktsicherheit und der Entwicklung. Bereiche wie Sicherheitsrichtlinien oder Portabilität kommen mit wenigen Kriterien aus.

Die folgende Übersicht nennt die Bereiche mit ihren offiziellen Kürzeln und der Anzahl der Basiskriterien im C5:2020. Eine Anmerkung zur Fortschreibung: Im C5:2026 heißt der Bereich IDM nun IAM, und die Kriterienzahlen verschieben sich deutlich.

Für einen Datenraum sind aus dieser Liste vier Bereiche besonders relevant. Das Identitäts- und Berechtigungsmanagement bestimmt, wie sauber Zugriffe vergeben, überprüft und entzogen werden. Die Kryptographie und das Schlüsselmanagement entscheiden darüber, wer technisch auf Klartextdaten zugreifen kann. Die Kommunikationssicherheit betrifft die Übertragung, die Produktsicherheit die Anwendung selbst.

Ebenfalls aufschlussreich ist der Bereich SSO zur Steuerung und Überwachung von Dienstleistern und Lieferanten. Ein Datenraum-Anbieter betreibt seine Plattform in aller Regel nicht auf eigener Hardware, sondern bei einem Hyperscaler oder in einem gemieteten Rechenzentrum, und setzt weitere Dienste für Versand, Virenprüfung oder Protokollierung ein. Wie diese Kette gesteuert und überwacht wird, entscheidet mit darüber, wie belastbar die Aussagen über den Dienst insgesamt sind.

Der Bereich PI zur Portabilität und Interoperabilität kommt mit drei Kriterien aus, hat für Datenräume aber unmittelbaren praktischen Wert. Er betrifft die Frage, wie Daten am Ende eines Vertragsverhältnisses herausgegeben werden und in welchem Format. Für Unterlagen, die handels- und steuerrechtlichen Aufbewahrungsfristen unterliegen, ist das keine Nebensache, sondern der Unterschied zwischen einem verwertbaren Archiv und einem Verlust.

Der Bereich INQ verdient besondere Aufmerksamkeit, weil es ihn in vergleichbarer Form in anderen Katalogen nicht gibt. Er verlangt vom Anbieter Regelungen dazu, wie er mit Auskunftsersuchen staatlicher Stellen umgeht, ob er betroffene Kunden informiert und welche Möglichkeiten er überhaupt hätte, verschlüsselte Daten offenzulegen. Für ein deutsches Unternehmen, das vertrauliche Transaktionsunterlagen ablegt, ist das eine zentrale Frage.

6. Basiskriterien und Zusatzkriterien: normaler und erhöhter Schutzbedarf

Der C5 arbeitet zweistufig. Die Basiskriterien beschreiben den Mindestumfang, den ein Cloud-Dienst nach Auffassung des BSI bei normalem Schutzbedarf erfüllen sollte. Sie sind der Kern jedes Testats, und wenn von „C5-testiert" die Rede ist, sind in aller Regel sie gemeint.

Daneben enthält der Katalog Zusatzkriterien. Sie richten sich an Konstellationen mit erhöhtem Schutzbedarf und sind optional; sie werden nur geprüft, wenn Anbieter und Prüfer sie in den Auftragsumfang aufnehmen. Ein Testat, das ausschließlich die Basiskriterien abdeckt, ist deshalb nicht mangelhaft, sondern der Regelfall.

Für die Praxis heißt das: Der Geltungsbereich eines Berichts muss ausdrücklich geprüft werden. Wurden nur die Basiskriterien geprüft? Wurden die Basiskriterien plus sämtliche Zusatzkriterien geprüft? Oder die Basiskriterien plus einzelne ausgewählte Zusatzkriterien? Alle drei Varianten kommen vor, und alle drei dürfen als „C5-Testat" bezeichnet werden.

Eine weitere Frage betrifft Ausschlüsse. Der C5 erlaubt es, einzelne Basiskriterien aus dem Prüfungsumfang herauszunehmen, verlangt dafür aber eine Begründung im Bericht. Wer einen Bericht bewertet, sollte diese Stellen gezielt suchen. Die folgenden Fragen führen durch die Umfangsprüfung.

• ·Welche C5-Fassung liegt dem Bericht zugrunde, und ist sie zum Bewertungszeitpunkt noch die maßgebliche?
• ·Wurden ausschließlich Basiskriterien geprüft, oder wurden Zusatzkriterien einbezogen? Wenn ja, welche?
• ·Wurden einzelne Basiskriterien vom Prüfungsumfang ausgenommen, und wie wird das begründet?
• ·Welche konkreten Dienste des Anbieters sind Gegenstand des Berichts, und ist der von Ihnen genutzte Dienst darunter?
• ·Welche Standorte und Regionen deckt der Bericht ab, und stimmen sie mit Ihrem Vertrag überein?
• ·Sind Managementleistungen, Support und Betrieb einbezogen, oder nur die technische Plattform?

Die vorletzte Frage ist in der Praxis die folgenreichste. Große Cloud-Anbieter listen im Bericht ausdrücklich auf, welche ihrer Dienste und welche Regionen erfasst sind. Es kommt regelmäßig vor, dass ein Testat vorliegt, der konkret genutzte Dienst aber nicht darin enthalten ist. Die Aussage des Anbieters ist dann korrekt, für Ihren Anwendungsfall aber ohne Wert.

7. Angaben zu den Rahmenbedingungen: der Transparenzteil, den kein anderer Katalog hat

Neben den prüfbaren Kriterien verlangt der C5 vom Anbieter eine Reihe von Angaben über die Rahmenbedingungen seines Dienstes. Im C5:2020 sind das die sechs Punkte BC-01 bis BC-06; im C5:2016 hießen sie noch Umfeldparameter UP-01 bis UP-04, im C5:2026 „General Conditions" GC-01 bis GC-06.

Diese Angaben sind für einen deutschen Käufer oft der aufschlussreichste Teil des Berichts, weil sie Fragen beantworten, die sonst nur mühsam zu klären sind: Welchem Recht unterliegt der Anbieter, wo werden Daten verarbeitet, gespeichert und gesichert, und was passiert, wenn eine Behörde Auskunft verlangt.

Wichtig ist eine Einschränkung, die im Katalog ausdrücklich steht: Über die Angaben zu Verfügbarkeit, Wiederanlaufparametern und Rechenzentrumsverfügbarkeit gibt der Wirtschaftsprüfer kein Prüfungsurteil ab. Es handelt sich insoweit um Angaben des Anbieters, nicht um geprüfte Feststellungen. Wer sie als testiert behandelt, überzeichnet die Aussage.

Der interessanteste Punkt ist BC-05 zum Umgang mit Ermittlungsanfragen staatlicher Stellen. Der Katalog verlangt Angaben zum Verfahren der Verifizierung der Rechtsgrundlage, zur Information und Einbindung betroffener Kunden, zu Widerspruchsmöglichkeiten und dazu, ob der Anbieter bei verschlüsselten Kundendaten überhaupt die Möglichkeit zur Entschlüsselung hat. Die ergänzenden Hinweise nennen dabei ausdrücklich den US-CLOUD-Act und das chinesische Cyber Security Law.

BC-01 verdient dabei eine gesonderte Betrachtung. Die Angabe zur Gerichtsbarkeit ist nicht identisch mit der Angabe zum Speicherort. Ein Anbieter kann Daten ausschließlich in Frankfurt speichern und dennoch als Konzerntochter einem außereuropäischen Recht unterliegen, das Herausgabepflichten begründet. Erst beide Angaben zusammen ergeben ein Bild, und genau deshalb verlangt der Katalog sie gemeinsam.

Für Datenräume, in denen Transaktionsunterlagen, Vertragsentwürfe und Kundendaten zusammenlaufen, ist diese Kombination die vielleicht wichtigste einzelne Information überhaupt. Sie lässt sich auch ohne C5-Bericht beschaffen, indem man Sitz des Vertragspartners, Konzernzugehörigkeit, Speicherorte einschließlich Sicherungskopien und das Verfahren bei behördlichen Anfragen schriftlich abfragt und die Antworten in der eigenen Auslagerungsakte dokumentiert.

Wer keinen C5-Bericht bekommt, kann diese sechs Punkte trotzdem als Fragenkatalog verwenden. Sie sind anbieterunabhängig formuliert und liefern auch dann brauchbare Antworten, wenn kein Testat existiert. In der Praxis ist das der wertvollste Nebeneffekt des C5: Er stellt die richtigen Fragen, unabhängig davon, ob am Ende ein Testat vorliegt.

8. Prüfungsstandards und Prüferqualifikation: wer prüft und wonach

Der C5 legt nicht nur fest, was geprüft wird, sondern auch, wie. Das unterscheidet ihn von reinen Kriterienkatalogen und ist der Grund, warum die Ergebnisse zwischen Anbietern vergleichbar sind.

Rahmenstandard ist ISAE 3000 (Revised), der internationale Standard für andere Prüfungsleistungen als Abschlussprüfungen. Das deutsche Pendant ist der IDW PS 860 zur IT-Prüfung außerhalb der Abschlussprüfung. Für die Systembeschreibung und die Berichterstattung kommen ISAE 3402 und der IDW PS 951 n. F. zur Prüfung des internen Kontrollsystems bei Dienstleistungsunternehmen hinzu. Ergänzend werden die AICPA-Standards AT-C Section 105 und AT-C Section 205 herangezogen.

Ein Detail mit erheblicher Wirkung: Das geforderte Sicherheitsniveau ist hinreichende Sicherheit, nicht begrenzte Sicherheit. Ein Bericht mit einer bloßen Plausibilitätsaussage erfüllt die Anforderungen des C5 nicht.

Zur Person des Prüfers ist das BSI eindeutig: Nach den geltenden Regulierungen können nur Wirtschaftsprüfer ein C5-Testat ausstellen; im Prüfungsteam dürfen weitere Fachleute mitwirken. Der Katalog stellt zusätzlich Qualifikationsanforderungen an das Team. Die folgenden Punkte fassen sie zusammen.

• ·Ausstellungsberechtigt sind ausschließlich Wirtschaftsprüfer; es gelten die Berufspflichten nach § 43 WPO.
• ·Für das Qualitätsmanagement der Praxis gelten ISQM 1 beziehungsweise IDW QMS 1.
• ·Das Prüfungsteam soll über mindestens drei Jahre relevante IT-Prüfungserfahrung in der Wirtschaftsprüfung verfügen oder eine einschlägige Qualifikation nachweisen.
• ·Als einschlägige Qualifikationen nennt der Katalog unter anderem CISA, CISM, CRISC, ISO/IEC 27001 Lead Auditor beziehungsweise BSI-zertifizierter ISO-27001-Auditor, CSA CCSK und CCSP.
• ·Der Bericht muss Angaben zur Unabhängigkeit und zur Qualitätssicherung enthalten.
• ·Eine direkte Kontaktaufnahme des Kunden zum prüfenden Wirtschaftsprüfer ist nicht vorgesehen.

Der letzte Punkt hat eine praktische Konsequenz: Rückfragen zum Bericht laufen immer über den Anbieter. Wer Klärungsbedarf hat, etwa zu einer Abweichung oder zu einem ausgeklammerten Subdienstleister, muss ihn dem Anbieter schriftlich stellen und die Antwort dokumentieren. Diese Korrespondenz gehört zur eigenen Auslagerungsakte.

9. C5 und ISO/IEC 27001: große Überschneidung, keine Gleichsetzung

Die Frage, ob eine ISO-27001-Zertifizierung einen C5 ersetzt, wird in Ausschreibungen ständig gestellt. Die kurze Antwort lautet: inhaltlich weitgehend, formal nicht.

Inhaltlich gibt das BSI an, dass der C5 alle Kriterien der ISO/IEC 27001 in seine Basiskriterien aufnimmt. Wer die Norm erfüllt, hat einen erheblichen Teil der C5-Anforderungen bereits abgedeckt. Das BSI veröffentlicht zudem eine Kreuzreferenztabelle, die den C5:2020 unter anderem auf ISO/IEC 27001, die Cloud Controls Matrix der Cloud Security Alliance, die Trust Services Criteria des AICPA, ISO/IEC 27017, ISO/IEC 27018 und das IT-Grundschutz-Kompendium abbildet; für die ISO/IEC 27001:2022 gibt es eine gesonderte Tabelle.

Formal ersetzt die Zertifizierung das Testat jedoch nicht. Das BSI stellt klar, dass man mit einem IT-Grundschutz- oder ISO-27001-Zertifikat nicht automatisch ein C5-Testat erhält. Und es warnt ausdrücklich davor, sich allein auf die Zuordnung in den Referenztabellen zu berufen: Der bloße Verweis auf Kriterien anderer Standards sei nicht ausreichend.

Der eigentliche Unterschied liegt woanders, nämlich in dem, was der C5 zusätzlich verlangt. Die folgenden Punkte gehen über die Norm hinaus.

• ·Transparenzangaben zu Gerichtsbarkeit, Verarbeitungs- und Speicherorten, die die Norm in dieser Form nicht verlangt.
• ·Ein eigener Kriterienbereich zum Umgang mit Ermittlungsanfragen staatlicher Stellen, einschließlich der Frage nach technischen Entschlüsselungsmöglichkeiten.
• ·Cloud-spezifische Themen wie Mandantentrennung, Portabilität und Interoperabilität.
• ·Kriterienweise Feststellungen im Bericht statt einer Gesamtaussage über ein Managementsystem.
• ·Eine ausdrückliche Benennung der Kontrollen, die der Kunde selbst umsetzen muss.
• ·Offenlegung, welche Subdienstleistungsunternehmen einbezogen und welche ausgeklammert wurden.

Umgekehrt gibt es auch etwas, das die Norm besser kann. Ein ISO-27001-Zertifikat ist auf ein Managementsystem gerichtet, das kontinuierlich betrieben, überwacht und verbessert wird, und es wird über Überwachungsaudits während der Laufzeit begleitet. Ein C5-Testat beschreibt dagegen einen abgeschlossenen Zeitraum und sagt für sich genommen nichts darüber aus, ob die Organisation zwischen zwei Prüfungen ihre Sicherheitsarbeit fortsetzt.

Beide Nachweise ergänzen sich deshalb sinnvoll: Die Norm belegt das System, das Testat belegt die Wirksamkeit einzelner Kontrollen in einem konkreten Zeitfenster. Anbieter, die beides führen, liefern die vollständigere Aussage; Anbieter, die eines von beiden führen, sind deshalb nicht automatisch unzureichend geprüft.

Praktisch heißt das für eine Ausschreibung: Wer ISO 27001 fordert, fragt nach einem funktionierenden Managementsystem. Wer C5 fordert, fragt zusätzlich nach Transparenz über Standort, Rechtsraum und behördlichen Zugriff. Welche der beiden Fragen wichtiger ist, hängt vom Anwendungsfall ab und sollte bewusst entschieden werden, statt beide Nachweise reflexhaft nebeneinander zu verlangen.

10. C5 und SOC 2 Type II: gleiche Mechanik, anderer Kriterienkatalog

C5 und SOC 2 sind einander deutlich ähnlicher als C5 und ISO 27001, weil sie derselben Prüfungsmechanik folgen. Beide sind Testate eines Wirtschaftsprüfers über einen abgeschlossenen Zeitraum, beide beruhen auf ISAE 3000 und ISAE 3402, beide unterscheiden zwischen einer Stichtags- und einer Zeitraumbetrachtung.

Auch die Typ-Systematik entspricht sich: Ein SOC 2 Type I beurteilt die Angemessenheit der Kontrollen zu einem Stichtag, ein SOC 2 Type II ihre Wirksamkeit über einen Zeitraum. Genau wie beim C5 ist die Zeitraumbetrachtung die aussagekräftige.

Der Unterschied liegt im inhaltlichen Katalog. SOC 2 stützt sich auf die Trust Services Criteria des AICPA, die neben der Sicherheit optional Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz abdecken. Der C5 stützt sich auf den BSI-Katalog. Das BSI beschreibt seine Kriterien im Vergleich als detaillierter und um zusätzliche Bereiche erweitert, namentlich Transparenzkriterien, den Umgang mit Ermittlungsanfragen und cloud-spezifische Themen.

Für die Bewertung eines Anbieters heißt das: Ein SOC 2 Type II ist keine schwächere Kategorie, sondern eine andere Ausprägung derselben Prüfungsart. Die folgende Gegenüberstellung ordnet die drei gängigen Nachweise zueinander.

Die letzte Zeile ist für die Anbieterauswahl praktisch bedeutsam. Der C5 ist ein deutscher Katalog mit begrenzter internationaler Verbreitung. Ein europäischer Anbieter, der international verkauft, wählt häufig SOC 2 Type II und ISO/IEC 27001, weil diese Nachweise von Kunden außerhalb Deutschlands verstanden und akzeptiert werden. Das ist eine Marktentscheidung, kein Sicherheitsdefizit.

11. Wo ein C5-Testat tatsächlich Pflicht ist: Gesundheitswesen und Bundesverwaltung

Das BSI formuliert den Grundsatz selbst: Der C5 hat für Cloud-Kunden und Cloud-Anbieter empfehlenden Charakter, kann aber in einigen Bereichen und Branchen durch andere Regulierungen gefordert sein. Es gibt genau zwei Konstellationen, in denen das nachweisbar der Fall ist.

Die erste und deutlichste ist das Gesundheitswesen. § 393 Abs. 3 Nr. 2 SGB V verlangt für die Verarbeitung von Gesundheitsdaten im Rahmen von Cloud-Computing-Diensten, dass ein aktuelles C5-Testat der datenverarbeitenden Stelle im Hinblick auf die C5-Basiskriterien vorliegt. Nummer 3 derselben Vorschrift verlangt zusätzlich, dass die im Prüfbericht enthaltenen korrespondierenden Kriterien für Kunden umgesetzt sind.

Adressaten sind Leistungserbringer nach dem Vierten Kapitel des SGB V sowie Kranken- und Pflegekassen und deren Auftragsdatenverarbeiter. Die Regelung gilt seit dem 1. Juli 2024; nach § 393 Abs. 4 SGB V genügte zunächst ein Typ-1-Testat, seit dem 1. Juli 2025 ist grundsätzlich Typ 2 gefordert. Für neu in Verkehr gebrachte Dienste gilt eine Übergangsregelung.

Eine Besonderheit ist die C5-Gleichwertigkeitsverordnung vom 19. März 2025. Sie erkennt unter Bedingungen ISO/IEC 27001, ISO 27001 auf Basis IT-Grundschutz und die CSA Cloud Controls Matrix an, verlangt dafür aber einen Maßnahmenplan mit Meilensteinen und einen verbindlichen Weg zum C5-Testat. Faktisch handelt es sich um eine Übergangsregelung, nicht um eine dauerhafte Alternative.

Die zweite Konstellation ist die Bundesverwaltung. Sie beruht nicht auf einem Gesetz, sondern auf dem BSI-Mindeststandard „Nutzung externer Cloud-Dienste" in der Version 2.1 vom 15. Dezember 2022, der für Einrichtungen des Bundes nach dem BSI-Gesetz verbindlich ist. Die folgende Einordnung zeigt, was dort genau gilt.

Beide Konstellationen haben eine Gemeinsamkeit, die für die Vertragsgestaltung wichtig ist: Sie verlangen nicht nur ein Testat, sondern auch eine eigene Leistung des Kunden. Im Gesundheitsbereich sind die korrespondierenden Kriterien umzusetzen, in der Bundesverwaltung bleibt die Einrichtung für ihre Risikobetrachtung verantwortlich. Ein Testat abzuheften genügt in keinem der beiden Fälle.

Für Datenräume ist die Konsequenz überschaubar, aber konkret: Wer einen Datenraum für ein Krankenhaus, eine Klinikgruppe, eine Krankenkasse oder eine Bundesbehörde beschafft und darin Gesundheitsdaten verarbeitet oder als Bundesstelle handelt, muss die C5-Frage stellen. Alle übrigen Beschaffer sollten sie bewusst als Qualitätskriterium behandeln, nicht als Rechtspflicht.

12. Wo C5 gerade nicht gefordert wird: BSIG, BaFin, DORA und der Stand von EUCS

Mindestens ebenso wichtig wie die Frage, wo C5 Pflicht ist, ist die Frage, wo er es entgegen einer verbreiteten Annahme nicht ist. Denn ein großer Teil der Nachfrage nach C5-Testaten entsteht aus Vermutungen über regulatorische Anforderungen, die sich am Normtext nicht bestätigen lassen.

Das BSI-Gesetz nennt den C5 nicht. Das NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft und hat das BSIG neu gefasst; ein bestimmtes Zertifizierungsschema schreibt es für die Risikomanagementmaßnahmen nicht vor. Ein C5-Bericht kann Bestandteil eines KRITIS-Nachweises sein, muss es aber nicht. Ein Hinweis zur Zitierweise: Der frühere § 8a BSIG existiert seit der Neufassung nicht mehr.

Auch im Finanzsektor findet sich keine Pflicht. Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz nennt den C5 nicht, ebenso wenig die BAIT. KAIT, VAIT und ZAIT sind mit Ablauf des 16. Januar 2025 aufgehoben worden. Die BaFin erwähnt den BSI C5 lediglich in ihrer Aufsichtsmitteilung zu Auslagerungen an Cloud-Anbieter als eines von mehreren Beispielen neben ISO 27001, SOC 2 und der CSA CCM und stellt dort ausdrücklich keine neuen Anforderungen.

Auf europäischer Ebene liegt das Cybersicherheitszertifizierungsschema für Cloud-Dienste, EUCS, weiterhin als Entwurf vor; angenommen wurde bislang nur EUCC. Nach dem Cybersecurity Act ist eine europäische Cybersicherheitszertifizierung grundsätzlich freiwillig. Das BSI gibt an, den C5:2026 inhaltlich und strukturell eng an die EUCS-Arbeiten angelehnt zu haben. Die folgende Übersicht fasst den Stand zusammen.

Für Finanzunternehmen bedeutet das nicht, dass keine Anforderungen bestünden. DORA verlangt sehr konkrete Vertrags- und Informationspflichten gegenüber IKT-Drittdienstleistern, nur eben ohne Bezug auf ein bestimmtes Testat. Was daraus für Datenräume folgt, behandelt der Beitrag DORA und Datenräume.

13. Wann ein deutscher Käufer ein C5-Testat verlangen sollte und wann nicht

Aus den beiden vorangegangenen Abschnitten lässt sich eine praktische Entscheidungsregel ableiten. Sie besteht aus drei Fragen, die in dieser Reihenfolge zu beantworten sind, und endet in aller Regel schon bei der ersten oder zweiten.

Erstens: Besteht eine Rechtspflicht? Wer Gesundheitsdaten im Anwendungsbereich des § 393 SGB V verarbeitet oder als Bundesstelle beschafft, muss die Anforderung stellen. Hier gibt es keinen Ermessensspielraum, und ein Anbieter ohne entsprechendes Testat scheidet entweder aus oder muss sich vertraglich auf einen Weg dorthin verpflichten.

Zweitens: Verlangt es ein Vertragspartner? In Konzernbeschaffungen, im öffentlichen Sektor und bei Kunden aus dem Gesundheitswesen wird C5 regelmäßig als Weitergabeanforderung gestellt. Das ist keine Rechtspflicht, aber praktisch ebenso bindend, und die Anforderung sollte dann wörtlich aus dem Vertrag übernommen werden, statt sie zu interpretieren.

Drittens: Wäre C5 im konkreten Fall der aussagekräftigste Nachweis? Diese Frage wird zu selten gestellt. Bei einem Datenraum für eine mittelständische Transaktion ist die entscheidende Information nicht, ob ein bestimmter Katalog geprüft wurde, sondern wo die Daten liegen, wer Zugriff hat und was bei einer behördlichen Anfrage geschieht. Die folgende Zuordnung hilft bei der Einordnung.

Ein Wort zur Verhältnismäßigkeit: Ein C5-Testat zu erlangen und jährlich fortzuschreiben, ist für einen Anbieter mit erheblichem Aufwand verbunden. Diese Kosten landen im Preis. Wer C5 fordert, ohne ihn zu brauchen, verengt das Anbieterfeld auf große Plattformen und zahlt für eine Aussage, die im konkreten Anwendungsfall keinen zusätzlichen Schutz bewirkt.

14. Wer ein C5-Testat hält und warum es keine offizielle Liste gibt

Eine vollständige Übersicht der C5-testierten Dienste existiert nicht, und das ist kein Versäumnis, sondern systembedingt. Das BSI ist nach eigener Aussage nicht in die Prüfung von Cloud-Diensten oder die Erstellung der Testate eingebunden und weist darauf hin, dass Anbieter selbst entscheiden, ob sie öffentlich berichten.

Wer sich orientieren will, muss deshalb zur Quelle gehen: zu den Trust-Center- oder Compliance-Seiten der Anbieter. Dort steht im günstigen Fall, welcher Dienst, in welchem Umfang, nach welcher Katalogfassung, in welchem Typ und für welchen Zeitraum geprüft wurde. Im ungünstigen Fall steht dort nur ein Logo.

Bei den großen Cloud-Plattformen ist die Lage vergleichsweise transparent. AWS veröffentlicht ein Typ-2-Testat nach C5:2020 mit ausdrücklicher Auflistung der erfassten Dienste und Regionen; für die AWS European Sovereign Cloud liegt ein Typ-1-Testat vor. Microsoft Azure veröffentlicht ein Typ-2-Testat, kombiniert mit SOC 2. SAP weist ein Typ-2-Testat für seine zentralen Cloud-Dienste aus, T-Systems ebenfalls ein Typ-2-Testat. IONOS veröffentlicht ein Typ-1-Testat für 33 Dienste. Google Cloud weist ein Testat aus, ohne den Typ zu veröffentlichen.

Bei den auf Datenräume spezialisierten deutschen Anbietern ist die Lage deutlich dünner, und hier lohnt sich Genauigkeit. Nach Prüfung der jeweiligen Anbieterangaben lässt sich nur bei netfiles ein eigenes C5-Testat belegen, ohne dass Typ und Berichtszeitraum veröffentlicht wären. Bei anderen Anbietern, deren Rechenzentren C5-testiert sind, ist das nicht dasselbe wie ein Testat für den Dienst selbst.

Der Grund für diese Marktlage ist wirtschaftlich nachvollziehbar. Ein C5-Testat zu erlangen und jährlich fortzuschreiben, bindet Prüfungskosten, interne Vorbereitungszeit und dauerhafte Nachweisführung. Für einen Anbieter, dessen Kunden überwiegend in Deutschland sitzen und aus dem Gesundheitswesen oder der öffentlichen Verwaltung stammen, rechnet sich das. Für einen Anbieter, der europaweit und international an Unternehmen verkauft, rechnen sich ISO/IEC 27001 und SOC 2 Type II besser, weil sie außerhalb Deutschlands verstanden werden.

Für Käufer bedeutet das: Das Fehlen eines C5-Testats bei einem Datenraum-Anbieter ist in den allermeisten Fällen eine Aussage über dessen Zielmarkt, nicht über dessen Sicherheitsniveau. Wer daraus einen Qualitätsschluss zieht, verwechselt eine Vertriebsentscheidung mit einem Prüfungsergebnis.

Wer also einen Datenraum sucht und C5 als Kriterium setzt, sollte damit rechnen, dass das Feld schmal wird. Das ist der entscheidende Grund, die Notwendigkeit vorher ehrlich zu prüfen. Welche deutschen Anbieter welche Nachweise führen, ordnet der Marktüberblick deutscher Datenräume ein.

15. Einen C5-Bericht richtig lesen: neun Stellen, an denen die Aussage entsteht

Ein C5-Bericht ist kein Dokument, das man überfliegt. Er umfasst je nach Umfang des Dienstes leicht mehrere hundert Seiten und ist in fünf Abschnitte gegliedert: das Prüfungsurteil des Wirtschaftsprüfers, die Erklärung der gesetzlichen Vertreter des Anbieters, die Systembeschreibung, die Darstellung der Kriterien mit Kontrollen und Ergebnissen sowie optional sonstige Informationen des Anbieters.

Der letzte Abschnitt ist der, den man am ehesten überliest und am kritischsten lesen sollte: Sonstige Informationen, die von den gesetzlichen Vertretern bereitgestellt werden, sind ausdrücklich nicht vom Prüfungsurteil abgedeckt. Sie stehen im selben Dokument, haben aber nicht denselben Status.

Das BSI stellt für die Auswertung einen eigenen Berichtsüberblick und Auswertungsleitfaden bereit. Wer regelmäßig Berichte bewertet, sollte damit arbeiten; für den einmaligen Anwendungsfall genügen die folgenden neun Prüfpunkte.

Ein Hinweis vorab zur Beschaffung: Nach der BSI-FAQ hat man als Kunde grundsätzlich kein Anrecht auf den Prüfbericht; er gehört dem Anbieter. In der Praxis wird er unter Vertraulichkeitsvereinbarung bereitgestellt. Verlangen Sie den vollständigen Bericht, nicht eine Zusammenfassung.

Ein eingeschränktes Prüfungsurteil ist dabei kein Grund, einen Anbieter sofort auszuschließen. Es bedeutet, dass der Prüfer eine oder mehrere Feststellungen getroffen hat, die er für wesentlich hält, und dass er sie benennt. Entscheidend ist, welche Kriterien betroffen sind, ob sie Ihren Anwendungsfall überhaupt berühren und was der Anbieter zur Behebung erklärt. Eine benannte und terminierte Abhilfemaßnahme ist in der Regel aussagekräftiger als ein makelloser Bericht ohne jede Feststellung.

Ein uneingeschränktes Urteil ist umgekehrt keine Garantie für einen fehlerfreien Betrieb. Das BSI weist ausdrücklich darauf hin, dass das Vorhandensein eines Testats nicht bedeutet, dass es keine Abweichungen gibt. Lesen Sie deshalb die Feststellungen zu den einzelnen Kriterien, nicht nur den zusammenfassenden Satz am Anfang.

Die Punkte 7 und 8 werden in der Praxis fast immer übersprungen und sind die beiden wichtigsten. Punkt 7 verschiebt Verantwortung zu Ihnen: Wer die vorausgesetzten Kontrollen nicht umsetzt, kann sich auf das Testat nur eingeschränkt berufen. Punkt 8 kann große Teile der Lieferkette aus dem geprüften Bereich herausnehmen, ohne dass dies auf dem Deckblatt sichtbar wäre.

16. Der Anbieter hat ISO 27001, aber kein C5: was jetzt konkret zu tun ist

Dies ist der praktisch häufigste Fall, gerade bei europäischen Software- und Datenraum-Anbietern. Er ist außerhalb der beiden Pflichtkonstellationen kein Ausschlussgrund, verlangt aber, dass Sie die Fragen selbst stellen, die ein C5-Bericht beantwortet hätte.

Die gute Nachricht: Die meisten dieser Fragen lassen sich beantworten, und die Antworten sind belastbarer als das bloße Vorhandensein eines Katalogs. Sie brauchen dafür kein Prüfungswissen, sondern Beharrlichkeit und eine schriftliche Dokumentation der Antworten.

Beginnen Sie mit dem Geltungsbereich der ISO-Zertifizierung. Ein Zertifikat nennt einen Scope; er kann die gesamte Organisation und den Dienst umfassen oder nur einen Teil davon. Lassen Sie sich das Zertifikat samt Anhang vorlegen, nicht nur das Logo.

Prüfen Sie anschließend, ob zusätzlich ein SOC 2 Type II vorliegt. Diese Kombination ist bei europäischen Anbietern mit internationalem Kundenkreis verbreitet und deckt inhaltlich einen erheblichen Teil dessen ab, was der C5 prüft. Die folgende Ersatzprüfung arbeitet die verbleibenden Lücken ab.

• ·Geltungsbereich der ISO/IEC-27001-Zertifizierung schriftlich vorlegen lassen, einschließlich Ausstellungs- und Ablaufdatum sowie Zertifizierungsstelle.
• ·Vorhandensein und Typ eines SOC 2 prüfen; bei Type II Berichtszeitraum und Abweichungen erfragen.
• ·Speicherort der Daten verbindlich benennen lassen, einschließlich Sicherungskopien und etwaiger Verarbeitung zu Supportzwecken.
• ·Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und aktuelle Unterauftragnehmer-Liste anfordern.
• ·Umgang mit behördlichen Auskunftsersuchen schriftlich erfragen: Verfahren, Kundeninformation, technische Entschlüsselungsmöglichkeit.
• ·Verschlüsselung im Ruhezustand und bei der Übertragung sowie das Schlüsselmanagement dokumentieren lassen.
• ·Berechtigungskonzept, Protokollierung und Exportierbarkeit des Audit-Logs praktisch prüfen, nicht nur zusagen lassen.
• ·Notfall- und Wiederanlaufkonzept mit Wiederanlaufzeit und Datenwiederherstellungspunkt anfragen.
• ·Prüfungs- und Auditrechte sowie eine Ausstiegsregelung vertraglich verankern.

Ein Hinweis zum Vorgehen: Stellen Sie diese Fragen schriftlich und in einem Dokument, nicht verstreut über mehrere Gespräche. Anbieter beantworten einen strukturierten Fragenkatalog erfahrungsgemäß bereitwillig und vollständig, während Einzelfragen in Vertriebsgesprächen häufig allgemein beantwortet werden. Die schriftliche Antwort ist zugleich die Dokumentation, die Sie für Ihre eigene Auslagerungsakte, für Ihren Wirtschaftsprüfer oder für einen Kunden benötigen, der die Kette weiterfragt.

Ergänzen Sie den Katalog um eine praktische Prüfung. Legen Sie einen Testzugang an, laden Sie ein Dokument hoch, geben Sie es an eine externe Adresse frei, entziehen Sie den Zugang und exportieren Sie das Protokoll. Was dabei tatsächlich im Export steht, sagt mehr über die Nachweisfähigkeit einer Plattform aus als jede Feature-Liste. Diese Prüfung dauert eine Stunde und ersetzt einen erheblichen Teil der theoretischen Bewertung.

Diese Liste orientiert sich bewusst an den Rahmenangaben BC-01 bis BC-06 und den für Datenräume wesentlichen Kriterienbereichen. Wer sie abarbeitet und die Antworten dokumentiert, hat für den eigenen Auslagerungsvorgang eine bessere Grundlage als jemand, der ein Testat abheftet, ohne es gelesen zu haben.

17. Drei Nachweise in einer Ausschreibung: wie Sie die Anforderung formulieren, ohne das Feld zu leeren

Wer eine Beschaffung vorbereitet, steht regelmäßig vor derselben Versuchung: Man verlangt C5, ISO/IEC 27001 und SOC 2 Type II gleichzeitig, weil jeder Nachweis für sich sinnvoll klingt und niemand sich vorwerfen lassen will, zu wenig gefordert zu haben. Das Ergebnis ist eine Anforderung, die im Datenraum-Markt fast niemand erfüllt.

Der bessere Weg trennt zwischen Mindestanforderung und Bewertungskriterium. Als Mindestanforderung gehört nur hinein, was rechtlich zwingend ist oder ohne das der Betrieb nicht verantwortbar wäre. Alles Weitere wird zum Kriterium, das in die Bewertung einfließt, ohne einen Anbieter auszuschließen.

Der zweite Fehler ist unpräzise Formulierung. „Der Anbieter muss C5-zertifiziert sein" ist schon sprachlich falsch, weil es kein C5-Zertifikat gibt, und lässt offen, ob Typ 1 genügt, welche Dienste erfasst sein müssen und wie aktuell der Bericht sein soll. Ein Anbieter kann eine solche Klausel mit einem Typ-1-Bericht über einen weit zurückliegenden Stichtag erfüllen.

Formulieren Sie deshalb entlang von fünf Merkmalen: Nachweisart, Typ, Geltungsbereich, Aktualität und Vorlagepflicht. Die folgende Struktur hat sich bewährt und lässt sich auf jedes der drei Regelwerke anwenden.

• ·Nachweisart korrekt benennen: Testat oder Bericht beim C5 und bei SOC 2, Zertifikat bei ISO/IEC 27001. Vermeiden Sie den Begriff C5-Zertifikat.
• ·Typ ausdrücklich festlegen: Typ 2 beziehungsweise Type II verlangen, wenn eine Aussage über die Wirksamkeit gewünscht ist.
• ·Geltungsbereich an den eigenen Anwendungsfall binden: der konkret genutzte Dienst muss namentlich erfasst sein, nicht nur eine Plattform, auf der er läuft.
• ·Aktualität regeln: Vorlage innerhalb einer Frist nach Berichtsdatum und lückenlos anschließende Berichtszeiträume in den Folgejahren.
• ·Katalogfassung offen formulieren, etwa in der jeweils geltenden Fassung, damit die Klausel den Versionswechsel überlebt.
• ·Vorlagepflicht des vollständigen Berichts vereinbaren, nicht nur einer Zusammenfassung, gegebenenfalls unter Vertraulichkeitsvereinbarung.
• ·Ersatzweg vorsehen: ein vertragliches Prüfungs- oder Auditrecht für den Fall, dass kein Bericht vorgelegt werden kann.

Der letzte Punkt verdient Beachtung, weil er dem Muster folgt, das der BSI-Mindeststandard für die Bundesverwaltung selbst wählt: Kann ein Anbieter keinen C5-Prüfbericht vorlegen, muss sich die Einrichtung berechtigen lassen, eine Prüfung nach C5 durch Dritte zu beauftragen. Das ist eine brauchbare Vorlage auch für privatwirtschaftliche Verträge.

Ein letzter Hinweis zur Gewichtung. Wenn ein Anbieter ISO/IEC 27001 und SOC 2 Type II führt, sein EU-Hosting benennt, einen Auftragsverarbeitungsvertrag und eine Unterauftragnehmer-Liste bereitstellt, ist der zusätzliche Erkenntnisgewinn eines C5-Testats außerhalb der Pflichtfälle begrenzt. Ihn dennoch als Ausschlusskriterium zu setzen, kostet Wettbewerb und damit in aller Regel Geld.

18. Der Übergang auf den C5:2026: was sich zum 1. Juni 2027 ändert und was jetzt zu tun ist

Zwischen der Veröffentlichung eines Katalogs und seiner Anwendung liegt beim C5 ein erheblicher Zeitraum, und genau dieser Zwischenzustand prägt die Jahre 2026 und 2027. Der C5:2026 ist seit dem 7. April 2026 veröffentlicht, seine Kriterien sind nach der BSI-FAQ aber erst für Testierungen ab dem 1. Juni 2027 anzuwenden.

Praktisch bedeutet das: Berichte, die Ihnen 2026 und in der ersten Jahreshälfte 2027 vorgelegt werden, beruhen regulär auf dem C5:2020. Das ist kein Mangel und kein Zeichen von Nachlässigkeit, sondern die vorgesehene Reihenfolge. Ein Anbieter, der jetzt schon nach C5:2026 testieren ließe, wäre die Ausnahme, nicht der Maßstab.

Inhaltlich ist der Sprung groß. Der C5:2026 umfasst 168 Kriterien statt der 121 Basiskriterien des C5:2020, bleibt aber bei denselben 17 Kriterienbereichen; lediglich der Bereich IDM heißt nun IAM. Neu behandelt werden unter anderem Container-Management, Post-Quanten-Kryptografie und Confidential Computing. Die Transparenzangaben heißen nicht mehr BC, sondern General Conditions GC-01 bis GC-06.

Für Kunden folgen daraus vor allem zwei Konsequenzen. Erstens werden Abweichungen sichtbarer, weil der neue Katalog die Modifikation des Prüfungsurteils strenger regelt. Zweitens ist mit einem Bruch in der Vergleichbarkeit zu rechnen: Ein Bericht nach C5:2026 lässt sich nicht kriterienweise gegen einen Vorjahresbericht nach C5:2020 stellen.

Bemerkenswert ist die strategische Richtung. Das BSI gibt an, den C5:2026 inhaltlich und strukturell eng an die Arbeiten zum europäischen Zertifizierungsschema EUCS angelehnt zu haben. Da EUCS weiterhin als Entwurf vorliegt und eine europäische Cybersicherheitszertifizierung nach dem Cybersecurity Act grundsätzlich freiwillig ist, bleibt der C5 auf absehbare Zeit der maßgebliche deutsche Katalog.

Konkret zu tun ist jetzt wenig, aber Bestimmtes. Prüfen Sie laufende Verträge auf Klauseln, die eine bestimmte Katalogfassung festschreiben, und formulieren Sie sie offen. Fragen Sie bei Anbietern mit echter C5-Pflichtrelevanz nach dem geplanten Umstellungsjahr. Und behandeln Sie Vergleiche zwischen Anbietern ab 2027 mit Vorsicht, solange nicht feststeht, ob beide nach derselben Fassung geprüft wurden.

19. Was das für die Datenraum-Auswahl heißt

Fasst man die vorangegangenen Abschnitte zusammen, ergibt sich ein klares Bild. Ein C5-Testat ist ein wertvoller Transparenznachweis, aber außerhalb des Gesundheitswesens und der Bundesverwaltung keine Pflicht. Im Datenraum-Markt ist es zudem selten, weil die Anbieter überwiegend europäisch und international zugleich verkaufen.

Für die überwiegende Zahl der Anwendungsfälle, also M&A und Due Diligence, Gesellschafterwechsel, Nachfolge, Fundraising und Immobilientransaktionen, sind ISO/IEC 27001 und SOC 2 Type II in Kombination mit belegtem EU-Hosting und einem DSGVO-Auftragsverarbeitungsvertrag der aussagekräftigere und marktübliche Nachweis.

Papermark ist für genau diese Anwendungsfälle am besten geeignet. Die folgenden Punkte ordnen ein, warum, und wo die Grenze verläuft.

PapermarkWebsite →

Am besten für M&A- und Due-Diligence-Datenräume ohne C5-Pflicht

Geprüfte Nachweise statt Zusagen. Papermark ist SOC 2 Type II auditiert und nach ISO/IEC 27001 zertifiziert, stellt einen DSGVO-Auftragsverarbeitungsvertrag bereit und veröffentlicht die Unterauftragnehmer-Liste. Das SOC 2 Type II ist dabei die inhaltlich engste Entsprechung zum C5-Typ-2-Testat: dieselbe Prüfungsmechanik nach ISAE 3000 und ISAE 3402, dieselbe Zeitraumbetrachtung, ein anderer Kriterienkatalog.

EU-Hosting in Frankfurt. Die Daten liegen auf der Papermark-Cloud standardmäßig in der EU (Frankfurt, eu-central-1), verschlüsselt mit AES-256 im Ruhezustand und TLS bei der Übertragung. Damit sind die Fragen beantwortet, die der C5 in BC-01 zur Gerichtsbarkeit und zu den Lokationen stellt, und die Prüfung eines Drittlandtransfers nach Kapitel V DSGVO entfällt.

Vollständiger Deal-Workflow und Zugriffsanalytik.Vertraulichkeitsvereinbarung vor dem Zugriff, gestaffelte Freigabe je Interessent, strukturiertes Q&A, dynamische Wasserzeichen und ein exportierbares Audit-Log. Die seitengenaue Zugriffsanalytik ist zugleich der Nachweis, der im Streitfall zählt. Genau diese Funktionen prüft ein C5-Bericht nicht; sie liegen in der Anwendungsschicht, nicht in der geprüften Infrastruktur.

Transparente Preise. Free 0 Euro, Pro 24 Euro pro Monat, Business 59 Euro pro Monat (drei Team-Mitglieder, weitere Sitze 20 Euro), Data Rooms 99 Euro pro Monat (drei Team-Mitglieder, unbegrenzte Datenräume, weitere Sitze 33 Euro), Enterprise auf Anfrage. Bei Jahresabrechnung sind bis zu 35 Prozent Ersparnis möglich. Papermark positioniert sich als die führende europäische sichere Alternative.

Einschränkung: Papermark weist kein BSI-C5-Testat aus. Wo § 393 SGB V oder eine Beschaffung des Bundes ein C5-Testat verlangt, ist das ein Ausschlusskriterium, das sich nicht durch andere Nachweise ersetzen lässt.

Papermark-Profil ansehen

Besteht eine echte C5-Pflicht, ist das Anbieterfeld schmal. Unter den auf Datenräume spezialisierten deutschen Anbietern weist netfiles ein C5-Testat aus, ohne Typ und Berichtszeitraum zu veröffentlichen; beides sollte vor einer Entscheidung schriftlich abgefragt werden. Alternativ kann ein Betrieb auf eigener Infrastruktur in einer C5-testierten Umgebung in Betracht kommen, wobei das Testat dann die Infrastruktur betrifft und nicht die Anwendung.

Den gesamten Markt mit Feature- und Preis-Matrix stellt der Datenraum-Vergleich 2026 gegenüber. Wie die Nachweise eines einzelnen Anbieters im Detail zu bewerten sind, zeigt der Papermark-Sicherheitscheck.

20. Praxisbeispiel: die Rheinquell Kliniken prüfen einen Datenraum für einen Standortverkauf

Hinweis: Das folgende Beispiel ist frei erfunden. Unternehmen, Personen und Zahlen sind fiktiv und dienen ausschließlich der Veranschaulichung.

Die fiktive Rheinquell Kliniken gGmbH betreibt drei Häuser mit zusammen 640 Betten und will einen Standort an einen anderen Träger veräußern. Für die Due Diligence soll ein Datenraum eingerichtet werden. Die IT-Leitung setzt als Anforderung ein BSI-C5-Testat vom Typ 2, weil es sich um ein Krankenhaus handele. Die Justiziarin prüft das nach und kommt zu einem differenzierteren Ergebnis: § 393 SGB V verlangt ein C5-Testat für die Verarbeitung von Gesundheitsdaten im Cloud-Computing. Der Verkaufsdatenraum enthält aber Jahresabschlüsse, Grundbuchauszüge, Mietverträge, Personalstatistiken in aggregierter Form und Verträge mit Kostenträgern, keine Patientendaten. Sie legt deshalb zwei Anforderungen getrennt fest: Für das klinische Dokumentenarchiv, in dem Patientendaten liegen, bleibt es bei der C5-Anforderung mit Typ 2. Für den Verkaufsdatenraum gilt eine eigene, an den C5-Rahmenangaben orientierte Prüfliste: ISO/IEC 27001 mit vorgelegtem Geltungsbereich, SOC 2 Type II mit Berichtszeitraum, benannter Speicherort in der EU, Auftragsverarbeitungsvertrag, Unterauftragnehmer-Liste und eine schriftliche Auskunft zum Umgang mit behördlichen Auskunftsersuchen. Die Klinikgruppe entscheidet sich für einen Anbieter mit EU-Hosting in Frankfurt, dokumentiert die Antworten in der Auslagerungsakte und hält im Vertrag ein Prüfungsrecht sowie eine Ausstiegsregelung fest. Der Verkauf läuft über sieben Monate; für den späteren Nachweis genügt das exportierte Audit-Log.

21. Häufige Fehler im Umgang mit dem C5 und wie Sie sie vermeiden

Die folgenden fünf Fehler begegnen einem in Beschaffungsprozessen regelmäßig. Sie führen entweder dazu, dass ein Nachweis überschätzt wird, oder dazu, dass Anbieter ohne Grund ausgeschlossen werden.

Typ 1 für Typ 2 halten. Ein Typ-1-Testat sagt aus, dass Kontrollen zu einem Stichtag angemessen gestaltet waren, nicht, dass sie funktioniert haben. Weil beide Varianten als „C5-Testat" beworben werden dürfen, entsteht der Eindruck einer gleichwertigen Aussage. Fragen Sie den Typ ausdrücklich ab und verlangen Sie Typ 2, sobald ein Anbieter nicht mehr im ersten Prüfungsjahr steht.

Das Rechenzentrum mit dem Dienst verwechseln. Die Formulierung „gehostet in einem C5-testierten Rechenzentrum" bezieht sich auf die Infrastruktur, nicht auf die Anwendung. Das BSI stellt klar, dass ein Testat immer nur für Cloud-Dienste gilt, nie für den Anbieter selbst. Prüfen Sie, ob der von Ihnen genutzte Dienst im Bericht namentlich genannt ist.

C5 fordern, ohne ihn zu brauchen. Außerhalb von § 393 SGB V und der Bundesverwaltung besteht keine Pflicht. Wer C5 dennoch als Ausschlusskriterium setzt, verengt das Feld auf wenige große Plattformen, zahlt den Aufwand über den Preis mit und gewinnt für den konkreten Anwendungsfall häufig keinen zusätzlichen Schutz. Entscheiden Sie bewusst, statt reflexhaft alle verfügbaren Nachweise zu verlangen.

Die korrespondierenden Kontrollen ignorieren. Jeder C5-Bericht benennt Kontrollen, die der Anbieter beim Kunden voraussetzt. Werden sie nicht umgesetzt, greift das geprüfte Kontrollsystem an dieser Stelle nicht. Im Anwendungsbereich des § 393 SGB V ist ihre Umsetzung sogar ausdrücklich gefordert. Lesen Sie diesen Abschnitt der Systembeschreibung und leiten Sie daraus konkrete eigene Maßnahmen ab.

Das Testat abheften, ohne den Bericht zu lesen. Der Wert eines C5-Berichts liegt in den Feststellungen, nicht im Deckblatt. Eingeschränkte Prüfungsurteile, ausgeklammerte Subdienstleister, ausgeschlossene Kriterien und kurze Berichtszeiträume sind alle zulässig und alle im Bericht dokumentiert. Wer nur das Logo speichert, verzichtet genau auf die Information, für die der Katalog geschaffen wurde.

22. Glossar: die Begriffe rund um C5, Testate und Zertifikate

Rund um den C5 kursieren Begriffe aus der Wirtschaftsprüfung, der Normung und der IT-Sicherheit nebeneinander. Die folgenden Einträge ordnen sie so, wie sie in einem C5-Bericht und in Ausschreibungsunterlagen tatsächlich verwendet werden.

23. Methodik: worauf dieser Beitrag beruht und was er nicht leistet

Dieser Beitrag ist redaktionell erstellt und nicht durch Anbieter finanziert. Die Redaktion setzt kein Affiliate-Tracking ein. Die Einordnung der Anbieter folgt der allgemeinen Methodik dieses Verzeichnisses.

Die Angaben zum Kriterienkatalog beruhen auf den vom Bundesamt für Sicherheit in der Informationstechnik veröffentlichten Dokumenten zum C5:2020 und zum C5:2026 sowie auf der vom BSI gepflegten FAQ zum C5. Angaben zu Kriterienbereichen, Kriterienzahlen, Prüfungsstandards, Typ-Unterscheidung und Berichtsstruktur stammen aus diesen Quellen.

Rechtliche Angaben wurden gegen den Gesetzestext auf gesetze-im-internet.de in der zum Stand Juli 2026 abrufbaren Fassung geprüft, insbesondere § 393 SGB V und das BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes. Aussagen zu BaFin-Anforderungen beruhen auf der Aufsichtsmitteilung der BaFin zu Auslagerungen an Cloud-Anbieter und auf dem Text der Verordnung (EU) 2022/2554.

Angaben dazu, welche Anbieter ein C5-Testat halten, beruhen ausschließlich auf öffentlich zugänglichen Angaben der Anbieter selbst zum Stand Juli 2026. Wo Typ, Katalogfassung oder Berichtszeitraum nicht veröffentlicht sind, ist das ausdrücklich vermerkt. Anbieter, für die sich ein eigenes Testat für den Dienst nicht belegen ließ, werden nicht als C5-testiert bezeichnet, auch wenn dies in Sekundärquellen behauptet wird. Das BSI führt keine Liste testierter Dienste; eine vollständige Marktübersicht ist deshalb nicht möglich.

Dieser Beitrag ersetzt keine Rechtsberatung und keine Prüfungsleistung. Ob ein konkreter C5-Bericht für einen bestimmten Beschaffungsvorgang ausreicht, ob ein Geltungsbereich den eigenen Anwendungsfall abdeckt und wie mit einem eingeschränkten Prüfungsurteil umzugehen ist, sind Einzelfallfragen. Das fiktive Praxisbeispiel dient allein der Veranschaulichung.

Häufige Fragen zum BSI C5-Testat