C5 und ISO 27001: Warum Zertifikat und Testat nicht dasselbe sind

Ich saß in einem Gespräch mit einem potenziellen Kunden. Es ging um Informationssicherheit, Cloud-Dienste und den künftig benötigten Nachweis. Irgendwann sagte mein Gegenüber:

„Wissen Sie, wir müssen vermutlich ein C5-Zertifikat machen. Aber wir haben entschieden, wir machen eine ISO 27001. Ist einfacher für uns und ist unterm Strich ja eh dasselbe.“

An diesem Satz stimmt bemerkenswert wenig. Es gibt kein C5-Zertifikat im üblichen Sinne. Und eine ISO 27001-Zertifizierung ist nicht dasselbe wie eine C5-Prüfung. Beide haben viel miteinander zu tun – aber gerade deshalb sollte man sie nicht in einen Eimer werfen und kräftig umrühren.

Die kurze Antwort

ISO 27001 ist eine internationale Managementsystemnorm. Zertifiziert wird, dass ein Informationssicherheitsmanagementsystem innerhalb eines festgelegten Anwendungsbereichs die Anforderungen der Norm erfüllt.

C5:2020 ist ein Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik für Cloud-Dienste. Ein unabhängiger Wirtschaftsprüfer beurteilt das dienstleistungsbezogene interne Kontrollsystem des Cloud-Anbieters anhand der C5-Kriterien. Das Ergebnis ist ein Prüfungsbericht mit Prüfungsurteil – kein C5-Zertifikat des BSI.

Die handliche Kurzform lautet:

• ISO 27001: Wie steuert eine Organisation ihre Informationssicherheit innerhalb ihres ISMS-Scope?
• C5: Wie ist die Informationssicherheit eines bestimmten Cloud-Dienstes ausgestaltet, welche Kontrollen bestehen und was hat der Wirtschaftsprüfer dazu festgestellt?

Wer C5 liefern muss, kann deshalb nicht einfach eine ISO 27001-Zertifizierung auf den Tisch legen und sagen: „Ist im Wesentlichen dasselbe.“ Umgekehrt ersetzt ein C5-Bericht nicht automatisch die Zertifizierung eines vollständigen ISMS.

Was ist C5 überhaupt?

C5 steht für Cloud Computing Compliance Criteria Catalogue. Der aktuelle C5:2026-Kriterienkatalog des BSI richtet sich an Cloud-Anbieter, Prüfer und Kunden.

Er enthält Kriterien für die Informationssicherheit von Cloud-Diensten. Das können Infrastruktur-, Plattform- oder Softwaredienste sein – also IaaS, PaaS, SaaS und andere Cloud-Modelle. Entscheidend ist der konkret beschriebene Cloud-Dienst, nicht einfach die Tatsache, dass das anbietende Unternehmen irgendwo ein Rechenzentrum oder eine Webanwendung besitzt.

Die Kriterien verteilen sich auf 17 Bereiche. Dazu gehören:

• Organisation der Informationssicherheit,
• Sicherheitsrichtlinien und Arbeitsanweisungen,
• Personal und Asset Management,
• physische Sicherheit und Regelbetrieb,
• Identitäts- und Berechtigungsmanagement,
• Kryptografie und Kommunikationssicherheit,
• Portabilität und Interoperabilität,
• Entwicklung und Änderung von Informationssystemen,
• Lieferantensteuerung,
• Sicherheitsvorfälle und Business Continuity,
• Compliance und Ermittlungsanfragen staatlicher Stellen,
• Produktsicherheit.

C5 unterscheidet Basiskriterien und Zusatzkriterien. Die Basiskriterien bilden den Mindestumfang einer C5-Prüfung und sollen das Sicherheitsniveau abbilden, das ein Cloud-Dienst für Informationen mit normalem Schutzbedarf mindestens bieten sollte. Zusatzkriterien können bei höherem Schutzbedarf relevant werden.

Schon deshalb ist die Frage „Hat der Anbieter C5?“ zu grob. Interessant ist auch: Welcher Dienst wurde geprüft? Welche Version des C5 lag zugrunde? Welche Zusatzkriterien waren einbezogen? Und passt das Ergebnis überhaupt zu unserem Schutzbedarf?

Warum gibt es kein C5-Zertifikat?

Bei einer ISO 27001-Zertifizierung führt eine Zertifizierungsstelle ein Audit durch. Wenn die Voraussetzungen erfüllt sind, stellt sie ein Zertifikat für das ISMS und dessen dokumentierten Anwendungsbereich aus. Ein Zertifikat lässt sich vergleichsweise knapp betrachten: Norm, Organisation, Scope, Zertifizierungsstelle und Gültigkeit.

Bei C5 geht es um eine unabhängige Prüfung nach Wirtschaftsprüferstandards. Der Bericht enthält erheblich mehr als eine Urkunde für die Wand. Bei der üblichen Prüfung einer Erklärung gehören dazu unter anderem:

1. der Bericht des unabhängigen Wirtschaftsprüfers einschließlich Prüfungsurteil,
2. die Erklärung des Managements des Cloud-Anbieters,
3. die Systembeschreibung des Cloud-Dienstes,
4. die C5-Kriterien mit den zugeordneten Kontrollen,
5. die Prüfungshandlungen und einzelnen Prüfungsergebnisse.

Umgangssprachlich wird häufig von einem C5-Testat gesprochen. Der entscheidende Gegenstand ist aber der Bericht. Das BSI führt die Prüfung nicht selbst durch und unterhält auch keine zentrale Liste vermeintlich C5-zertifizierter Anbieter. In seinen Hinweisen zur Nutzung externer Cloud-Dienste stellt es ausdrücklich klar, dass es sich nicht um eine BSI-Zertifizierung handelt.

Wenn ein Anbieter auf seiner Website mit „C5-zertifiziert“ wirbt, lohnt sich deshalb die ausgesprochen unromantische Nachfrage: „Dürfen wir bitte den aktuellen Prüfbericht für genau den Dienst sehen, den wir einkaufen möchten?“

C5 Typ 1 und Typ 2: Der Unterschied ist nicht kosmetisch

Die beiden Berichtstypen beantworten unterschiedliche Fragen.

Typ 1 sagt vereinfacht: Die Kontrollen sind zu einem bestimmten Zeitpunkt vernünftig beschrieben, ausgestaltet und eingerichtet. Vergleichbar: Jemand hat ganz frisch den Führerschein gemacht.

Typ 2 fragt zusätzlich: Haben diese Kontrollen während des betrachteten Zeitraums auch tatsächlich wirksam funktioniert? Vergleichbar: Jemand kann richtig gut Auto fahren.

Das BSI hält eine Wirksamkeitsprüfung für erforderlich, um eine angemessene Aussagekraft über die Eignung des Kontrollsystems zu erzielen. Eine reine Angemessenheitsprüfung soll vor allem bei der Erstprüfung eines Cloud-Dienstes in Betracht kommen und nicht immer wieder hintereinander.

Ein Typ-1-Bericht ist deshalb nicht wertlos. Für einen neuen Dienst kann er ein sinnvoller Anfang sein. Wer jedoch einen etablierten Cloud-Dienst für wichtige Prozesse einsetzen möchte, wird wissen wollen, ob die Kontrollen nicht nur am Tag des Klassenfotos ordentlich aussahen.

Noch eine Achse: Erklärung oder direkte Prüfung

Typ 1 und Typ 2 werden gern mit einer zweiten Unterscheidung vermischt. C5 erlaubt sowohl die Prüfung einer Erklärung als auch eine direkte Prüfung.

Bei der Prüfung einer Erklärung erstellt der Cloud-Anbieter eine Systembeschreibung und erklärt, wie sein internes Kontrollsystem ausgestaltet ist. Der Wirtschaftsprüfer beurteilt diese Erklärung und die zugrunde liegenden Kontrollen.

Bei der direkten Prüfung erhebt der Wirtschaftsprüfer die relevanten Sachverhaltsinformationen selbst. Das kann insbesondere für Cloud-Anbieter hilfreich sein, deren dienstleistungsbezogenes internes Kontrollsystem noch nicht vollständig oder nicht ausreichend detailliert in einer Systembeschreibung dokumentiert ist.

Das ist unabhängig von Typ 1 oder Typ 2. Vereinfacht gesagt:

• Typ 1 oder Typ 2 beschreibt, ob ein Zeitpunkt oder zusätzlich die Wirksamkeit über einen Zeitraum betrachtet wird.
• Erklärungsprüfung oder direkte Prüfung beschreibt, auf welche Weise Prüfungsgegenstand und Sachverhaltsinformationen erhoben und berichtet werden.

Man kann also nicht aus dem Wort direkt folgern, dass es sich automatisch um Typ 2 handelt.

C5 und ISO 27001 im direkten Vergleich

Das erinnert ein wenig an unseren Vergleich von SOC 2 und ISO 27001: Auch dort steht auf der einen Seite ein zertifiziertes Managementsystem und auf der anderen ein detaillierter Prüfbericht über Kontrollen bei einem Dienstleistungsunternehmen. Die Kriterien und Prüfungsregeln sind andere, das Grundmissverständnis ist aber ähnlich.

ISO 27001 steckt im C5 bereits drin

Die beiden Ansätze sind nicht zufällig miteinander verwandt. Der C5-Katalog wurde unter anderem aus ISO/IEC 27001 abgeleitet. Das BSI veröffentlicht sogar eine eigene Referenztabelle von C5 zu ISO/IEC 27001:2022.

Noch deutlicher wird es im Kriterium OIS-01:

• Als Basiskriterium muss der Cloud-Anbieter ein ISMS nach ISO/IEC 27001 betreiben. Dessen Scope muss die Organisationseinheiten, Standorte und Verfahren zur Bereitstellung des Cloud-Dienstes umfassen.
• Als Zusatzkriterium wird eine gültige Zertifizierung dieses ISMS nach ISO/IEC 27001 oder auf Basis von IT-Grundschutz genannt.

Das ist eine ausgesprochen elegante Antwort auf die Kundenaussage aus dem Einstieg. ISO 27001 und C5 sind nicht dasselbe. Vielmehr kann ein funktionierendes ISMS nach ISO 27001 Bestandteil der C5-Grundlage sein. Das C5-Testat prüft darüber hinaus viele konkrete cloudbezogene Kriterien, Kontrollen und Transparenzangaben.

Eine ISO 27001-Zertifizierung kann die C5-Vorbereitung deshalb erheblich erleichtern. Sie ersetzt die C5-Prüfung aber genauso wenig, wie ein solides Fundament das fertige Haus ersetzt.

Und selbst das Fundament muss an der richtigen Stelle liegen: Der Scope der ISO 27001 muss die für den Cloud-Dienst relevanten Einheiten, Standorte und Verfahren tatsächlich umfassen. Ein Zertifikat für die Büroorganisation in Köln hilft wenig, wenn der geprüfte Cloud-Dienst ganz woanders entwickelt und betrieben wird.

Der Kunde bleibt mitverantwortlich

C5 räumt mit einer beliebten Cloud-Fantasie auf: „Wir haben es ausgelagert, also ist es nicht mehr unser Problem.“

Für ausgewählte Kriterien nennt der Katalog korrespondierende Kriterien für Kunden. Bei IaaS kann beispielsweise der Kunde für Patches und sichere Konfiguration seiner Betriebssysteme verantwortlich sein. Bei SaaS liegen dieselben Aufgaben möglicherweise stärker beim Anbieter. Das konkrete Modell entscheidet.

Ein guter C5-Bericht hilft deshalb nicht nur bei der Frage „Was macht der Anbieter?“, sondern auch bei der Frage „Was setzt dessen Kontrollsystem bei uns voraus?“

Diese Kundenkontrollen müssen in die eigene Auswahl und Steuerung von Cloud-Diensten einfließen. Sie gehören in Verantwortlichkeiten, technische Konfiguration, Betrieb und Nachweise. Ein Testat entfaltet keine magische Sicherheitswolke über einem falsch konfigurierten Mandanten.

Was ist mit Subdienstleistern?

Viele Cloud-Dienste stehen ihrerseits auf Infrastruktur anderer Anbieter. Ein SaaS-Anbieter betreibt vielleicht kein eigenes Rechenzentrum, sondern verwendet eine fremde Plattform oder Public Cloud.

C5 unterscheidet bei relevanten Subdienstleistern zwei Methoden:

• Bei der Inclusive-Methode werden deren relevantes Kontrollsystem und Kontrollen in die Beschreibung und Prüfung einbezogen.
• Bei der Carve-out-Methode werden die Leistungen des Subdienstleisters beschrieben, seine Kontrollen aber nicht mitgeprüft. Stattdessen werden insbesondere die Kontrollen betrachtet, mit denen der Cloud-Anbieter seinen Subdienstleister überwacht.

Das Wort Carve-out sollte beim Leser also nicht das beruhigende Gefühl auslösen, jetzt sei alles mitgeprüft worden. Es bedeutet eher: Hier wurde etwas aus dem unmittelbaren Prüfungsumfang herausgeschnitten; schauen Sie genau hin, wie die verbleibende Abhängigkeit behandelt wird.

Das passt unmittelbar zum Management der IKT-Lieferkette und zur laufenden Überwachung von Lieferanten. Welche Sicherheitsanforderungen vertraglich festgelegt werden müssen, behandeln wir außerdem in unserem Artikel zu Lieferantenvereinbarungen nach ISO 27001.

Wie liest man einen C5-Bericht praktisch?

Ein C5-Bericht ist kein sehr dick geratenes Zertifikat, bei dem man nur die erste Seite ansehen muss. Prüfen Sie mindestens:

1. Welcher Cloud-Dienst ist erfasst? Markenname, Servicevariante, Regionen und Systemgrenzen müssen zu Ihrer Nutzung passen.
2. Welche C5-Version liegt zugrunde? Ein Bericht ohne klar benannte Kriteriengrundlage ist schwer einzuordnen.
3. Typ 1 oder Typ 2? Bei Typ 2 zusätzlich den abgedeckten Zeitraum prüfen.
4. Welche Kriterien wurden einbezogen? Sind nur Basiskriterien oder auch relevante Zusatzkriterien enthalten?
5. Welche Abweichungen wurden festgestellt? Nicht nur das Prüfungsurteil lesen, sondern auch einzelne Ergebnisse und kompensierende Kontrollen.
6. Wie werden Subdienstleister behandelt? Inclusive oder Carve-out – und welche wesentlichen Abhängigkeiten bleiben?
7. Welche Kundenkontrollen werden vorausgesetzt? Wer muss diese bei Ihnen umsetzen und nachweisen?
8. Welche bedeutenden Änderungen oder Vorkommnisse gab es? Ein Typ-2-Bericht soll relevante Entwicklungen im Prüfungszeitraum sichtbar machen.
9. Passt der Schutzbedarf? Basiskriterien sind nicht automatisch für jede besonders schutzbedürftige Verarbeitung ausreichend.

Das BSI stellt hierfür einen eigenen Auswertungsleitfaden für C5-Berichte bereit. Wer Cloud-Risiken verantwortet, sollte den Bericht nicht ungelesen im Lieferantenordner ablegen.

Was sollte ein Cloud-Anbieter wählen?

Die Ausgangsfrage lautet nicht: „Was ist einfacher?“ Sie lautet: „Welchen Nachweis verlangen unsere Kunden und für welchen Dienst?“

Wenn Ausschreibungen, Kunden oder regulatorische Rahmenbedingungen ausdrücklich einen C5-Bericht fordern, wird eine ISO 27001-Zertifizierung allein diese Forderung normalerweise nicht erfüllen. Dann braucht es eine C5-Prüfung im verlangten Umfang.

Wenn zunächst ein belastbares Informationssicherheitsmanagement aufgebaut werden soll, ist ISO 27001 ein sehr sinnvolles Fundament. Prozesse für Risiken, interne Audits, Managementbewertung, Korrekturmaßnahmen, Lieferanten und kontinuierliche Verbesserung werden ohnehin gebraucht. Anschließend lässt sich gezielt ermitteln, welche C5-Kriterien, Systembeschreibungen und Nachweise noch fehlen.

Klären Sie außerdem, ob Ihr Angebot überhaupt ein Cloud-Dienst im maßgeblichen Sinne ist. Unser Artikel zur Frage „Sind Sie Cloud-Computing-Diensteanbieter?“ behandelt zwar einen anderen Rechtsrahmen, zeigt aber sehr anschaulich, warum nicht jedes Hostingangebot automatisch dieselbe Art von Cloud-Dienst ist.

Was ein Auditor sofort wissen möchte

Wer behauptet, ISO 27001 und C5 seien dasselbe, zeigt vor allem, dass der gewünschte Nachweis noch nicht verstanden wurde. Vor einem Projekt sollten mindestens diese Fragen beantwortet sein:

• Wer verlangt welchen Nachweis – und mit welchem Wortlaut?
• Für welche juristische Person und welchen Cloud-Dienst gilt die Forderung?
• Gibt es bereits ein ISMS, und deckt dessen Scope den Dienst vollständig ab?
• Wird ein Typ-1- oder Typ-2-Bericht erwartet?
• Sind Basiskriterien ausreichend oder werden Zusatzkriterien benötigt?
• Welche Systembeschreibung und Kontrollnachweise existieren bereits?
• Welche Subdienstleister und Kundenkontrollen sind relevant?
• Wer soll die C5-Prüfung durchführen, und besitzt das Team die erforderliche Qualifikation?

Erst danach lässt sich seriös über Aufwand, Reihenfolge und Synergien sprechen. Vorher vergleicht man keine zwei Projekte, sondern zwei Abkürzungen.

Interesse geweckt?

Sie möchten klären, ob Ihr Cloud-Dienst ISO 27001, einen C5-Bericht oder beides braucht – und wie sich die Vorarbeiten sinnvoll verbinden lassen? Sprechen Sie mit uns.