BSI-Mindeststandard als Auswahlkriterium für Clouddienste in Deutschland

Das Wichtigste auf einen Blick

• Wer Technikpartner auswählen will, kommt am BSI-Mindeststandard für Clouddienste nicht mehr vorbei.
• Das BSI fordert Nachweise zu Sicherheitsmanagement, Verschlüsselung, Verfügbarkeit und Incident-Prozessen.
• Zertifikate wie ISO 27001 oder C5-Testate ersetzen keine eigene Prüfung der Sicherheitsanforderungen.
• Bei personenbezogenen Daten greifen BDSG und Auftragsverarbeitung nach Artikel 28 DSGVO zusätzlich.
• Netzwerk- und Telekommunikationsdienste unterliegen der Regulierung durch die Bundesnetzagentur.
• Eine Bewertungsmatrix mit Gewichtung macht Anbieter vergleichbar und dokumentiert die Auswahl.

Warum der BSI-Mindeststandard als Auswahlkriterium dient

Clouddienste sind für viele Unternehmen zur Standardinfrastruktur geworden. Wer Buchhaltung, CRM oder Entwicklungsplattformen auslagert, gibt Kontrolle über Daten und Verfügbarkeit ab. Genau dort setzt der BSI-Mindeststandard an.

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt darin, welche Sicherheitsanforderungen ein Anbieter erfüllen muss, damit ein Auftraggeber von einem angemessenen Schutzniveau ausgehen kann. Der Mindeststandard ist kein Gesetz, aber er gilt als anerkannter Maßstab.

Für Einkäufer hat das einen praktischen Nutzen. Statt bei jedem Anbieter dieselben Fragen neu zu stellen, lässt sich ein Kriterienkatalog hinterlegen, der auf den BSI-Anforderungen aufbaut. Angebote werden dadurch vergleichbar.

Hinzu kommt der Haftungsaspekt. Bei einem Sicherheitsvorfall prüfen Aufsichtsbehörden, ob der Auftraggeber seinen Dienstleister sorgfältig ausgewählt hat. Wer die Auswahl nach dokumentierten Sicherheitsanforderungen belegt, steht besser da.

Der BSI-Mindeststandard für Cloud-Computing bündelt diese Anforderungen und ist der Ausgangspunkt jeder Bewertung.

Was der Mindeststandard nicht leistet

Er ersetzt keine Risikoanalyse des eigenen Hauses. Ein Anbieter kann alle Kriterien erfüllen und trotzdem nicht zu einem speziellen Anwendungsfall passen.

Er sagt auch nichts über die Qualität des Supports oder über Vertragskonditionen. Sicherheit ist ein Auswahlkriterium unter mehreren, nicht das einzige.

Cloud-Computing: Anforderungen des BSI im Überblick

Der Mindeststandard gliedert die Anforderungen in mehrere Bereiche. Für die Bewertung von Cloud- und IT-Dienstleistern sind vor allem fünf Blöcke relevant.

Sicherheitsmanagement und Organisation

Der Anbieter muss ein dokumentiertes Informationssicherheitsmanagementsystem betreiben. Dazu gehören Verantwortlichkeiten, Richtlinien und regelmäßige Überprüfungen. Ein Sicherheitsbeauftragter mit ausreichenden Befugnissen ist Pflicht.

Für Auftraggeber heißt das: Sie sollten sich die Organisationsstruktur des Sicherheitsmanagements zeigen lassen, nicht nur ein Zertifikat.

Verschlüsselung und Schlüsselverwaltung

Daten müssen auf dem Transportweg und im Speicher verschlüsselt werden. Entscheidend ist, wer die Schlüssel verwaltet. Liegen sie ausschließlich beim Anbieter, bleibt ein Risiko.

Wer sensible Daten verarbeitet, sollte klären, ob eigene Schlüssel möglich sind. Diese Frage trennt einfache Speicherdienste von professionellen Angeboten.

Verfügbarkeit und Betrieb

Der Mindeststandard verlangt Angaben zu Verfügbarkeitszielen, Wartungsfenstern und Notfallplänen. Redundanz über mehrere Standorte ist bei kritischen Diensten zu belegen.

Für deutsche Kunden ist die Frage nach den Rechenzentrumsstandorten zentral. Viele Anbieter betreiben Standorte in Nordrhein-Westfalen, Hessen oder Bayern, andere nur im Ausland.

Trennung von Kundendaten

Mandantenfähige Systeme müssen Daten verschiedener Kunden zuverlässig trennen. Der Anbieter muss dokumentieren, wie das technisch und organisatorisch geschieht.

Incident-Management

Der Anbieter braucht Prozesse für Erkennung, Meldung und Nachbereitung von Sicherheitsvorfällen. Meldepflichten gegenüber dem Kunden müssen vertraglich geregelt sein, mit Fristen.

Ein Praxisbeispiel: Ein Maschinenbauer aus Baden-Württemberg verlangt in seiner Ausschreibung eine Meldung innerhalb von 24 Stunden. Anbieter ohne dokumentierten Incident-Prozess fallen im ersten Schritt heraus.

Nachweise und Zertifizierungen für Cloud- und IT-Dienstleister

Zertifikate sind kein Selbstzweck. Sie belegen, dass ein unabhängiger Dritter die Angaben des Anbieters geprüft hat. Für die Auswahl zählen vor allem diese Nachweise.

Nachweis	Prüfgegenstand	Aussagekraft für Clouddienste
ISO/IEC 27001	Managementsystem für Informationssicherheit	Grundlage, aber ohne cloud-spezifische Prüftiefe
C5-Testat	Cloud-spezifische Sicherheitsanforderungen des BSI	Hohe Aussagekraft, abhängig vom Prüfumfang
SOC 2 Typ II	Sicherheit, Verfügbarkeit, Vertraulichkeit	International verbreitet, Prüfkriterien teils abweichend
ISO/IEC 27017	Sicherheitskontrollen für Clouddienste	Ergänzung zu ISO 27001
ISO/IEC 27018	Schutz personenbezogener Daten in der Cloud	Relevant bei Kundendaten
TSI/Testate nach TR-03161	Anforderungen an Vertrauensdienste	Nur für spezielle Dienstanbieter

C5-Testate richtig lesen

Der C5-Kriterienkatalog des BSI beschreibt Anforderungen an Cloud-Anbieter und lässt sich unabhängig prüfen. Das Ergebnis ist ein Testat, kein Zertifikat im engeren Sinn.

Entscheidend ist der Prüfumfang. Ein Testat über einzelne Dienste sagt nichts über das gesamte Portfolio. Einkäufer sollten den Prüfbericht anfordern, nicht nur das Deckblatt.

Nachweise für Clouddienste im Vergabeverfahren

Öffentliche Auftraggeber verlangen häufig Eignungsnachweise nach VgV und VOL/B. Sicherheitszertifikate können dort als Nachweis der Fachkunde dienen.

Private Auftraggeber sind freier, sollten aber dieselbe Sorgfalt anwenden. Der Aufwand für eine strukturierte Nachweiserhebung ist geringer als der Schaden eines Vorfalls.

Der DIHK-Leitfaden zu Cybersicherheit fasst zusammen, welche Maßnahmen Betriebe jeder Größe umsetzen sollten.

Wo Nachweise zu finden sind

Industrie- und Handelskammern führen Verzeichnisse von Sachverständigen und Dienstleistern. Handwerkskammern dokumentieren Betriebsrollen und Eintragungen.

Der Bundesanzeiger veröffentlicht Ausschreibungen und Bekanntmachungen. Wer regelmäßig einkauft, findet dort Hinweise auf Anbieter, die bereits mit öffentlichen Stellen arbeiten.

Technikpartner auswählen: Bewertung nach Sicherheitsstandards

Die Auswahl folgt einem festen Ablauf. Wer ihn einmal aufsetzt, kann ihn für jeden Anbieter wiederholen.

1. Bedarf und Schutzbedarf festlegen: Welche Daten verarbeitet der Dienst, wie kritisch ist der Ausfall?
2. Mindestanforderungen aus dem BSI-Mindeststandard ableiten und gewichten.
3. Anbieterlonglist erstellen, etwa über IHK-Verzeichnisse oder den Bundesanzeiger.
4. Nachweise anfordern: Zertifikate, Testate, Prüfberichte, Referenzen.
5. Bewertungsmatrix ausfüllen und Punktzahlen dokumentieren.
6. Vertragliche Regelungen prüfen, insbesondere Meldepflichten und Exit-Klauseln.
7. Entscheidung begründen und die Unterlagen revisionssicher ablegen.

Gewichtung statt Checkliste

Eine reine Ja-Nein-Liste führt zu Fehlentscheidungen. Ein Anbieter ohne C5-Testat kann für unkritische Anwendungen geeignet sein.

Sinnvoll ist eine Gewichtung: Sicherheitsmanagement und Verfügbarkeit zählen bei kritischen Diensten stärker, Preis und Support bei unkritischen.

Subunternehmer mitprüfen

Viele Clouddienste nutzen weitere Dienstleister, etwa für Rechenzentren oder Support. Diese Subunternehmer müssen in die Bewertung einbezogen werden.

Lassen Sie sich eine aktuelle Liste der Unterauftragnehmer geben. Änderungen sollten mitgeteilt werden müssen.

Standortfragen klären

Für viele Unternehmen ist entscheidend, wo die Daten liegen. Rechenzentren in Deutschland erleichtern die Aufsicht, sind aber kein Garant für Rechtssicherheit.

Bei Anbietern mit Standorten in Sachsen, Niedersachsen oder Hamburg gelten deutsche Vorschriften unmittelbar. Bei ausländischen Standorten braucht es zusätzliche Prüfungen.

Datenschutz und Auftragsverarbeitung nach BDSG

Sobald personenbezogene Daten verarbeitet werden, greift das Bundesdatenschutzgesetz. Es ergänzt die DSGVO und regelt nationale Besonderheiten.

Die Regelungen des BDSG betreffen auch die Auswahl von Dienstleistern. Wer einen Auftragsverarbeiter einsetzt, bleibt für die Rechtmäßigkeit verantwortlich.

Pflichten des Auftraggebers

Vor der Beauftragung ist ein Vertrag zur Auftragsverarbeitung zu schließen. Er muss Gegenstand, Dauer, Zweck und Umfang der Verarbeitung festlegen.

Der Auftraggeber muss sich vom Datenschutzniveau des Dienstleisters überzeugen. Dazu gehören technische und organisatorische Maßnahmen, dokumentiert und überprüfbar.

Pflichten des Auftragnehmers

Der Dienstleister darf Daten nur auf Weisung verarbeiten. Er muss Vertraulichkeit sichern, Subunternehmer nur mit Genehmigung einsetzen und bei Verstößen melden.

Nach Ende des Vertrags sind die Daten zu löschen oder zurückzugeben. Diese Klausel fehlt in vielen Verträgen oder ist unklar formuliert.

Kontrollrechte nutzen

Der Auftraggeber hat ein Weisungs- und Kontrollrecht. In der Praxis reicht es, sich regelmäßig Berichte und Testate vorlegen zu lassen.

Wer die Kontrolle nie ausübt, kann sich im Streitfall schlecht auf sorgfältige Auswahl berufen.

Verbindung zum BSI-Mindeststandard

Datenschutz und Informationssicherheit überschneiden sich. Der BSI-Mindeststandard liefert die technische Basis, das BDSG die rechtlichen Pflichten.

Beide Prüfungen lassen sich in einer Bewertungsmatrix zusammenführen. Das spart Zeit und vermeidet Widersprüche in den Anforderungen.

Regulierung von Netzwerkdiensten durch die Bundesnetzagentur

Nicht jeder Clouddienst ist reiner IT-Dienst. Sobald Telekommunikations- oder Netzwerkdienste hinzukommen, greift das Telekommunikationsgesetz.

Die Vorgaben des TKG regeln unter anderem Meldepflichten, Sicherheitsanforderungen und die Aufsicht durch die Bundesnetzagentur.

Wann die Bundesnetzagentur zuständig ist

Anbieter von Telekommunikationsdiensten müssen sich bei der Bundesnetzagentur melden. Sie unterliegen Pflichten zu Netzsicherheit und Störungsmeldungen.

Für Einkäufer ist relevant, ob ein Anbieter diese Pflichten erfüllt. Fehlende Meldungen können auf organisatorische Lücken hinweisen.

Sicherheitsanforderungen nach TKG

Das Gesetz verlangt angemessene technische und organisatorische Maßnahmen. Bei Sicherheitsvorfällen sind Meldungen an die Bundesnetzagentur vorgeschrieben.

Diese Meldungen sind ein Indikator für die Reife der Sicherheitsorganisation eines Anbieters.

Abgrenzung zum Clouddienst

Viele Clouddienste enthalten Netzwerkkomponenten wie VPN-Zugänge oder dedizierte Leitungen. Dann gelten beide Regelwerke nebeneinander.

Klären Sie im Vertrag, welcher Teil der Leistung welchem Regelwerk unterliegt. Das erleichtert die Bewertung und die Haftungszuordnung.

Praktische Bewertungsmatrix für Unternehmen

Die Matrix macht Angebote vergleichbar. Sie sollte vor der Ausschreibung festgelegt und nicht nachträglich angepasst werden.

Kriterium	Gewichtung	Nachweis
Informationssicherheitsmanagement	20 %	ISO 27001, Sicherheitsrichtlinien
Cloud-spezifische Prüfung	20 %	C5-Testat, Prüfbericht
Verschlüsselung und Schlüsselverwaltung	15 %	Technische Dokumentation
Verfügbarkeit und Redundanz	15 %	SLA, Standortkonzept
Incident-Management	10 %	Prozessbeschreibung, Meldepflichten
Auftragsverarbeitung nach BDSG	10 %	AV-Vertrag, TOM-Dokumentation
Regulatorische Pflichten nach TKG	5 %	Meldestatus, Nachweise
Subunternehmer und Standorte	5 %	Liste der Unterauftragnehmer

Checkliste für die Anbieterprüfung

• Sicherheitsrichtlinien und Organigramm des Sicherheitsmanagements liegen vor.
• Gültiges Zertifikat oder Testat mit aktuellem Prüfbericht ist eingesehen.
• Verschlüsselung auf Transportweg und im Speicher ist dokumentiert.
• Verfügbarkeitsziele und Wartungsfenster sind vertraglich fixiert.
• Incident-Prozess mit Meldefristen ist beschrieben.
• Vertrag zur Auftragsverarbeitung ist abgestimmt und unterschrieben.
• Liste der Subunternehmer und Rechenzentrumsstandorte liegt vor.
• Exit-Szenario mit Datenrückgabe und Löschung ist geregelt.

Punkte vergeben und dokumentieren

Bewerten Sie jedes Kriterium auf einer Skala von null bis fünf. Multiplizieren Sie mit der Gewichtung und summieren Sie.

Legen Sie vorab eine Mindestschwelle fest. Anbieter darunter werden nicht weiter betrachtet, unabhängig vom Preis.

Typische Fehler vermeiden

Häufig wird nur das Zertifikat geprüft, nicht der Prüfumfang. Ebenso oft fehlen Angaben zu Subunternehmern und Standorten.

Ein weiterer Fehler ist die fehlende Dokumentation. Ohne schriftliche Begründung lässt sich die Auswahl im Nachhinein nicht verteidigen.

Aufwand im Verhältnis zum Risiko

Für unkritische Dienste reicht eine verkürzte Prüfung mit wenigen Kriterien. Bei kritischen Diensten ist die vollständige Matrix angemessen.

Diese Abstufung verhindert, dass jede Ausschreibung zum Großprojekt wird.

Häufige Fragen

Ist der BSI-Mindeststandard verpflichtend? Nein, er ist kein Gesetz, sondern ein anerkannter Maßstab. Bei öffentlichen Aufträgen und in regulierten Branchen wird er faktisch häufig verlangt.

Reicht ein ISO-27001-Zertifikat für die Auswahl aus? Es ist ein guter Einstieg, deckt aber cloud-spezifische Fragen nicht ab. Ein C5-Testat oder ein vergleichbarer Prüfbericht ergänzt es sinnvoll.

Wann brauche ich einen Vertrag zur Auftragsverarbeitung? Immer, wenn ein Dienstleister personenbezogene Daten verarbeitet. Die Pflicht ergibt sich aus dem BDSG und der DSGVO.

Was prüft die Bundesnetzagentur bei Netzwerkdiensten? Sie beaufsichtigt Telekommunikationsdienste, verlangt Meldungen und prüft Sicherheitsanforderungen nach dem TKG.

Wie oft sollte ich Anbieter neu bewerten? Mindestens einmal jährlich und bei jeder wesentlichen Änderung, etwa neuen Subunternehmern oder Standorten.

Was tun, wenn ein Anbieter Nachweise verweigert? Dann fehlt die Grundlage für eine belastbare Bewertung. In der Regel sollte der Anbieter aus dem Verfahren ausscheiden.