{"id":1058,"date":"2026-04-08T16:20:30","date_gmt":"2026-04-08T14:20:30","guid":{"rendered":"https:\/\/www.g-lorenzen.de\/?p=1058"},"modified":"2026-04-08T16:20:37","modified_gmt":"2026-04-08T14:20:37","slug":"bsi-c52020-vs-c52026-evolution-der-cloud-sicherheitsstandards","status":"publish","type":"post","link":"https:\/\/www.g-lorenzen.de\/index.php\/2026\/04\/08\/bsi-c52020-vs-c52026-evolution-der-cloud-sicherheitsstandards\/","title":{"rendered":"BSI C5:2020 vs. C5:2026 \u2013 Evolution der Cloud-Sicherheitsstandards"},"content":{"rendered":"
1. Kontext und Hintergrund der Aktualisierung<\/b><\/div>\n
Mit der Ver\u00f6ffentlichung des Cloud Computing Compliance Criteria Catalogue (C5) in der Version 2026 hat das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) den ma\u00dfgeblichen Pr\u00fcfstandard grundlegend modernisiert. Der C5:2026 l\u00f6st die bisherige Fassung C5:2020 vollst\u00e4ndig ab und etabliert einen aktualisierten Anforderungsrahmen, der als deutsche Interpretation des EU-Cloud-Certification-Schemas (EUCS) fungiert. Damit wird die nationale Zertifizierungspraxis in den europ\u00e4ischen Kontext \u00fcberf\u00fchrt, was die Interoperabilit\u00e4t und Konformit\u00e4t im EU-Binnenmarkt st\u00e4rkt.<\/span><\/div>\n
F\u00fcr Cloud-Service-Anbieter (CSP) ist der \u00dcbergang zwingend, da der C5 in zahlreichen regulierten Branchen als Voraussetzung f\u00fcr die Marktf\u00e4higkeit gilt. Basierend auf der aktuellen Rechtslage ist der Standard f\u00fcr folgende Sektoren von kritischer Bedeutung:<\/span><\/div>\n
    \n
  • Gesundheitswesen:<\/b>\u00a0F\u00fcr das digitale deutsche Gesundheitswesen ist eine Typ-2-Zertifizierung (Angemessenheits- und Wirksamkeitspr\u00fcfung \u00fcber einen Zeitraum) zwingend vorgeschrieben.<\/span><\/li>\n
  • Finanzdienstleistungen und Bankensektor:<\/b>\u00a0Ma\u00dfgeblicher Standard zur Erf\u00fcllung aufsichtsrechtlicher Anforderungen an das Outsourcing.<\/span><\/li>\n
  • \u00d6ffentliche Verwaltung:<\/b>\u00a0Verbindliche Grundlage f\u00fcr staatliche Stellen und hoheitliche Aufgaben, beispielsweise bei der Verarbeitung von biometrischen Daten (Passbildern).<\/span><\/li>\n
  • Regulierte IT-Dienstleister:<\/b>\u00a0Verpflichtender Nachweis der Informationssicherheit gegen\u00fcber Kunden aus kritischen Infrastrukturen (KRITIS).<\/span><\/li>\n<\/ul>\n
    2. Strukturelle Neuerungen: Maschinenlesbarkeit und Hierarchie<\/b><\/div>\n
    Die \u00dcberarbeitung des Katalogs zielt prim\u00e4r auf eine signifikante Erh\u00f6hung der Kontrolltiefe und Pr\u00fcfungsrelevanz ab. Durch die Optimierung der strukturellen Hierarchie wird die Pr\u00fcfungseffizienz gesteigert und die Vergleichbarkeit von Attestierungen verbessert.<\/span><\/div>\n
    Die wesentlichen strukturellen Vorteile umfassen:<\/span><\/div>\n
      \n
    1. Standardisierung des Begriffsapparats:<\/b>\u00a0Durch pr\u00e4zise Definitionen von Zonen, Partitionen und Standorten (Locations) wird eine\u00a0<\/span>Reduktion von Pr\u00fcfungsdissens<\/b>\u00a0erreicht, da Interpretationsspielr\u00e4ume zwischen Pr\u00fcfer und Anbieter minimiert werden.<\/span><\/li>\n
    2. Differenzierte Kriterienhierarchie:<\/b>\u00a0Die Einf\u00fchrung von Unterkriterien sowie versch\u00e4rfenden und erg\u00e4nzenden Zusatzkriterien erm\u00f6glicht eine\u00a0<\/span>pr\u00e4zise Steuerung der Kontrollziele<\/b>\u00a0je nach Schutzbedarfsniveau.<\/span><\/li>\n
    3. Vorbereitung automatisierter Pr\u00fcfprozesse:<\/b>\u00a0Das BSI hat angek\u00fcndigt, den Katalog in K\u00fcrze in einem\u00a0<\/span>maschinenlesbaren Format<\/b>\u00a0bereitzustellen. Dies ist die notwendige Voraussetzung f\u00fcr die zuk\u00fcnftige Automatisierung von Audit-Workflows und Continuous Compliance Monitoring.<\/span><\/li>\n<\/ol>\n
      3. Transparenz und rechtliche Rahmenbedingungen<\/b><\/div>\n
      Ein Kernaspekt der Version 2026 ist die versch\u00e4rfte Transparenzpflicht hinsichtlich der rechtlichen Rahmenbedingungen. Dies betrifft insbesondere die Expositionsrisiken gegen\u00fcber extraterritorialen Gesetzen.<\/span><\/div>\n\n\n\n\n\n\n\n\n\n
      \n
      Gefordertes Merkmal<\/span><\/div>\n<\/th>\n
      		\n
      Anforderung an den Cloud-Service-Anbieter<\/span><\/div>\n<\/th>\n<\/tr>\n
      \n
      Rechtslage des Anbieters<\/b><\/div>\n<\/td>\n
      		\n
      Detaillierte Offenlegung des Prim\u00e4rrechtsraums, dem der Anbieter unterliegt.<\/span><\/div>\n<\/td>\n<\/tr>\n
      \n
      Konzernmutter-Recht<\/b><\/div>\n<\/td>\n
      		\n
      Transparenz \u00fcber Rechtsunterlagen und Zugriffspflichten, die sich aus dem Sitzland der Konzernmutter ergeben.<\/span><\/div>\n<\/td>\n<\/tr>\n
      \n
      Datenstandorte<\/b><\/div>\n<\/td>\n
      		\n
      Spezifische Angabe der physischen Standorte (Locations) f\u00fcr Speicherung und Verarbeitung.<\/span><\/div>\n<\/td>\n<\/tr>\n
      \n
      Infrastruktur-Logik<\/b><\/div>\n<\/td>\n
      		\n
      Technische Definition der Zonen-Einteilung und logischen Partitionierung der Umgebung.<\/span><\/div>\n<\/td>\n<\/tr>\n
      \n
      Beh\u00f6rdenabfragen<\/b><\/div>\n<\/td>\n
      		\n
      Verbindliche Dokumentation \u00fcber den Umgang mit und die Beantwortung von beh\u00f6rdlichen Datenabfragen.<\/span><\/div>\n<\/td>\n<\/tr>\n
      \n
      Pr\u00fcfungsmodus<\/b><\/div>\n<\/td>\n
      		\n
      Nachweis einer Typ-2-Attestierung (insbesondere f\u00fcr den Gesundheitssektor obligatorisch).<\/span><\/div>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
      4. Technischer Fokus I: Post-Quanten-Kryptografie (PQK)<\/b><\/div>\n
      Angesichts der rasanten Entwicklung im Bereich des Quantum Computings adressiert der C5:2026 in Kapitel 5.8 pr\u00e4ventive Ma\u00dfnahmen gegen zuk\u00fcnftige Entschl\u00fcsselungsszenarien („Store Now, Decrypt Later“).<\/span><\/div>\n
      Die zentrale Anforderung ist die Etablierung von Krypto-Agilit\u00e4t durch den Einsatz von Hybridverfahren. Hierbei werden klassische kryptografische Algorithmen (z. B. ECC oder RSA) mit quantenresistenten Algorithmen kombiniert. Ziel dieser H\u00e4rtung ist es, die Vertraulichkeit der Daten auch dann zu wahren, wenn herk\u00f6mmliche Verfahren absehbar durch Quantencomputer gebrochen werden, w\u00e4hrend gleichzeitig die Abw\u00e4rtskompatibilit\u00e4t und aktuelle Sicherheitsstandards gewahrt bleiben.<\/span><\/div>\n
      5. Technischer Fokus II: Container-Management und Betriebssicherheit<\/b><\/div>\n
      Im Bereich der Betriebssicherheit markiert der C5:2026 einen Paradigmenwechsel in der Detailtiefe technischer Kontrollen, w\u00e4hrend bew\u00e4hrte Konzepte wie das Incident Management fortgef\u00fchrt werden.<\/span><\/div>\n
      In der Version C5:2020 wurden moderne Virtualisierungstechniken lediglich \u00fcber generische Kontrollziele abgedeckt. Die Anforderungen blieben auf einer abstrakten Ebene, was in der Pr\u00fcfungspraxis oft zu uneinheitlichen Sicherheitsniveaus bei Container-Infrastrukturen f\u00fchrte.<\/span><\/div>\n
      Der C5:2026 f\u00fchrt hingegen spezifische technische Anforderungen an die Container-Isolierung, die Image-Integrit\u00e4t und die Absicherung der Orchestrierungsschicht (z. B. Kubernetes) ein. Diese signifikante Erh\u00f6hung der Kontrolltiefe verlangt von CSPs dedizierte Nachweise \u00fcber die H\u00e4rtung von Container-Runtimes und die Absicherung der CI\/CD-Pipelines f\u00fcr die Image-Bereitstellung.<\/span><\/div>\n
      6. Zusammenfassender technischer Vergleich<\/b><\/div>\n
      Der C5:2026 transformiert den Standard von einem nationalen Anforderungskatalog zu einem europ\u00e4isch kompatiblen, technisch hochspezialisierten Framework.<\/span><\/div>\n\n\n\n\n\n\n\n\n\n
      \n
      Merkmal<\/span><\/div>\n<\/th>\n
      		\n
      C5:2020 (Status Quo)<\/span><\/div>\n<\/th>\n
      		\n
      C5:2026 (Neuerung\/Pr\u00e4zisierung)<\/span><\/div>\n<\/th>\n<\/tr>\n
      \n
      Struktur<\/b><\/div>\n<\/td>\n
      		\n
      Statische, flache Kriterienliste<\/span><\/div>\n<\/td>\n
      		\n
      Hierarchisch (Unterkriterien & Zusatzkriterien)<\/span><\/div>\n<\/td>\n<\/tr>\n
      \n
      Automatisierung<\/b><\/div>\n<\/td>\n
      		\n
      Dokumentenbasiert \/ Manuell<\/span><\/div>\n<\/td>\n
      		\n
      Maschinenlesbarkeit angek\u00fcndigt (Automatisierungspotenzial)<\/span><\/div>\n<\/td>\n<\/tr>\n
      \n
      Kryptografie<\/b><\/div>\n<\/td>\n
      		\n
      Fokus auf Stand der Technik (klassisch)<\/span><\/div>\n<\/td>\n
      		\n
      Fokus auf Krypto-Agilit\u00e4t und Hybrid-PQK<\/span><\/div>\n<\/td>\n<\/tr>\n
      \n
      Container-Sicherheit<\/b><\/div>\n<\/td>\n
      		\n
      Generische Kontrollziele<\/span><\/div>\n<\/td>\n
      		\n
      Spezifische Anforderungen an Orchestrierung & Isolation<\/span><\/div>\n<\/td>\n<\/tr>\n
      \n
      EU-Harmonisierung<\/b><\/div>\n<\/td>\n
      		\n
      Nationaler Alleingang des BSI<\/span><\/div>\n<\/td>\n
      		\n
      Deutsche Interpretation des EUCS (Interoperabilit\u00e4t)<\/span><\/div>\n<\/td>\n<\/tr>\n
      \n
      Transparenz<\/b><\/div>\n<\/td>\n
      		\n
      Fokus auf Datenstandort<\/span><\/div>\n<\/td>\n
      		\n
      Fokus auf Konzernrecht und Beh\u00f6rdenanfragen<\/span><\/div>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
      Ausblick: Das BSI hat angek\u00fcndigt, das Framework in K\u00fcrze um dedizierte Souver\u00e4nit\u00e4tskriterien zu erweitern. Diese werden \u00fcber die rein technischen Sicherheitsanforderungen hinausgehen und die digitale Souver\u00e4nit\u00e4t von Cloud-Nutzern in Deutschland weiter st\u00e4rken.<\/span><\/div>\n","protected":false},"excerpt":{"rendered":"

      1. Kontext und Hintergrund der Aktualisierung Mit der Ver\u00f6ffentlichung des Cloud Computing Compliance Criteria Catalogue…<\/p>\n","protected":false},"author":1,"featured_media":701,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1,4],"tags":[],"class_list":["post-1058","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-allgemein","category-it-audit"],"_links":{"self":[{"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/posts\/1058","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/comments?post=1058"}],"version-history":[{"count":1,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/posts\/1058\/revisions"}],"predecessor-version":[{"id":1059,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/posts\/1058\/revisions\/1059"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/media\/701"}],"wp:attachment":[{"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/media?parent=1058"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/categories?post=1058"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/tags?post=1058"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}