Technikpartner auswählen: BSI-Mindeststandard für Clouddienste

Das Wichtigste auf einen Blick

Warum der BSI-Mindeststandard als Auswahlkriterium dient

Clouddienste sind für viele Unternehmen zur Standardinfrastruktur geworden. Wer Buchhaltung, CRM oder Entwicklungsplattformen auslagert, gibt Kontrolle über Daten und Verfügbarkeit ab. Genau dort setzt der BSI-Mindeststandard an.

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt darin, welche Sicherheitsanforderungen ein Anbieter erfüllen muss, damit ein Auftraggeber von einem angemessenen Schutzniveau ausgehen kann. Der Mindeststandard ist kein Gesetz, aber er gilt als anerkannter Maßstab.

Das Dokument trägt den vollständigen Titel „Mindeststandard des BSI zur Nutzung von Cloud-Computing-Diensten“ und ist auf den Seiten des BSI veröffentlicht. Rechtlich steht es im Umfeld von § 8a des BSI-Gesetzes (BSIG), das Betreiber kritischer Infrastrukturen zum Stand der Technik verpflichtet; für Unternehmen im besonderen öffentlichen Interesse sieht § 8b BSIG zusätzlich Meldepflichten an das BSI vor. Die EU-Richtlinie NIS2 erweitert den betroffenen Unternehmenskreis.

Für Einkäufer hat das einen praktischen Nutzen. Statt bei jedem Anbieter dieselben Fragen neu zu stellen, lässt sich ein Kriterienkatalog hinterlegen, der auf den BSI-Anforderungen aufbaut. Angebote werden dadurch vergleichbar.

Hinzu kommt der Haftungsaspekt. Bei einem Sicherheitsvorfall prüfen Aufsichtsbehörden, ob der Auftraggeber seinen Dienstleister sorgfältig ausgewählt hat. Wer die Auswahl nach dokumentierten Sicherheitsanforderungen belegt, steht besser da.

Der BSI-Mindeststandard für Cloud-Computing bündelt diese Anforderungen und ist der Ausgangspunkt jeder Bewertung.

Was der Mindeststandard nicht leistet

Er ersetzt keine Risikoanalyse des eigenen Hauses. Ein Anbieter kann alle Kriterien erfüllen und trotzdem nicht zu einem speziellen Anwendungsfall passen.

Er sagt auch nichts über die Qualität des Supports oder über Vertragskonditionen. Sicherheit ist ein Auswahlkriterium unter mehreren, nicht das einzige.

Cloud-Computing: Anforderungen des BSI im Überblick

Der Mindeststandard und der C5-Kriterienkatalog gliedern die Anforderungen in mehrere Bereiche. Für die Bewertung von Cloud- und IT-Dienstleistern lassen sich daraus fünf Prüfblöcke ableiten, die in jeder Anbieterbewertung abgefragt werden sollten.

Sicherheitsmanagement und Organisation

Der Anbieter muss ein dokumentiertes Informationssicherheitsmanagementsystem betreiben. Dazu gehören Verantwortlichkeiten, Richtlinien und regelmäßige Überprüfungen. Ein Sicherheitsbeauftragter mit ausreichenden Befugnissen ist Pflicht.

Für Auftraggeber heißt das: Sie sollten sich die Organisationsstruktur des Sicherheitsmanagements zeigen lassen, nicht nur ein Zertifikat.

Verschlüsselung und Schlüsselverwaltung

Daten müssen auf dem Transportweg und im Speicher verschlüsselt werden. Entscheidend ist, wer die Schlüssel verwaltet. Liegen sie ausschließlich beim Anbieter, bleibt ein Risiko.

Wer sensible Daten verarbeitet, sollte klären, ob eigene Schlüssel möglich sind. Diese Frage trennt einfache Speicherdienste von professionellen Angeboten.

Verfügbarkeit und Betrieb

Der Mindeststandard verlangt Angaben zu Verfügbarkeitszielen, Wartungsfenstern und Notfallplänen. Redundanz über mehrere Standorte ist bei kritischen Diensten zu belegen.

Für deutsche Kunden ist die Frage nach den Rechenzentrumsstandorten zentral. Große Anbieter betreiben eigene Regionen in Deutschland, etwa Amazon Web Services mit der Region Frankfurt, Microsoft mit Germany West Central und Google Cloud mit der Region Frankfurt. Deutsche Anbieter wie IONOS, die Open Telekom Cloud der Deutschen Telekom oder StackIT werben zusätzlich mit Rechenzentren ausschließlich in Deutschland.

Trennung von Kundendaten

Mandantenfähige Systeme müssen Daten verschiedener Kunden zuverlässig trennen. Der Anbieter muss dokumentieren, wie das technisch und organisatorisch geschieht.

Incident-Management

Der Anbieter braucht Prozesse für Erkennung, Meldung und Nachbereitung von Sicherheitsvorfällen. Meldepflichten gegenüber dem Kunden müssen vertraglich geregelt sein, mit Fristen.

Ein Praxisbeispiel: Ein Maschinenbauer aus Baden-Württemberg verlangt in seiner Ausschreibung eine Meldung innerhalb von 24 Stunden. Anbieter ohne dokumentierten Incident-Prozess fallen im ersten Schritt heraus.

Nachweise und Zertifizierungen für Cloud- und IT-Dienstleister

Zertifikate sind kein Selbstzweck. Sie belegen, dass ein unabhängiger Dritter die Angaben des Anbieters geprüft hat. Für die Auswahl zählen vor allem diese Nachweise.

Für Clouddienste sind zwei Ergänzungen zur ISO 27001 einschlägig: ISO/IEC 27017 beschreibt zusätzliche Sicherheitsmaßnahmen für Cloud-Dienste, ISO/IEC 27018 den Schutz personenbezogener Daten in öffentlichen Clouds. Beide bauen auf ISO 27001 auf, ersetzen aber kein C5-Testat.

C5-Testate richtig lesen

Der C5-Kriterienkatalog des BSI beschreibt Anforderungen an Cloud-Anbieter und lässt sich unabhängig prüfen. Das Ergebnis ist ein Testat, kein Zertifikat im engeren Sinn.

Unterschieden werden zwei Testatstypen: Ein C5-Testat Typ 1 bescheinigt, dass die beschriebenen Maßnahmen angemessen aufgesetzt sind. Typ 2 weist zusätzlich nach, dass diese Maßnahmen über einen Zeitraum wirksam waren. Für die Auswahl ist Typ 2 die belastbarere Grundlage.

Entscheidend ist der Prüfumfang. Ein Testat über einzelne Dienste sagt nichts über das gesamte Portfolio. Einkäufer sollten den Prüfbericht anfordern, nicht nur das Deckblatt.

Nachweise für Clouddienste im Vergabeverfahren

Öffentliche Auftraggeber können Eignungsnachweise nach VgV und VOL/B verlangen; ein C5-Testat mit benanntem Prüfumfang dient dort als Nachweis der Fachkunde im Bereich Informationssicherheit. Formulieren Sie in der Leistungsbeschreibung konkret, welcher Testatstyp und welcher Prüfumfang verlangt werden – allgemeine Zusagen zu „hoher Sicherheit“ sind nicht überprüfbar.

Private Auftraggeber sind freier, sollten aber dieselbe Sorgfalt anwenden. Der Aufwand für eine strukturierte Nachweiserhebung ist geringer als der Schaden eines Vorfalls.

Der DIHK-Leitfaden zu Cybersicherheit fasst zusammen, welche Maßnahmen Betriebe jeder Größe umsetzen sollten.

Wo Nachweise zu finden sind

Die belastbarsten Nachweise sind die Prüfberichte selbst. C5-Testate und ISO-Zertifikate werden von unabhängigen Prüfstellen ausgestellt und enthalten Prüfumfang, Prüfzeitraum und Prüfmaßstab. Fordern Sie diese Unterlagen direkt beim Anbieter an, statt nur die Deckblätter zu sammeln.

Den Mindeststandard und den C5-Kriterienkatalog veröffentlicht das BSI auf seinen Seiten, sodass Auftraggeber die Anforderungen im Original nachlesen und mit den Anbieterangaben abgleichen können. Ein Anbieter, der den zugehörigen Testatbericht nicht vorlegt, erfüllt die Nachweispflicht nicht.

Technikpartner auswählen: Bewertung nach Sicherheitsstandards

Die Auswahl folgt einem festen Ablauf. Wer ihn einmal aufsetzt, kann ihn für jeden Anbieter wiederholen.

Gewichtung statt Checkliste

Eine reine Ja-Nein-Liste führt zu Fehlentscheidungen. Ein Anbieter ohne C5-Testat kann für unkritische Anwendungen geeignet sein.

Sinnvoll ist eine Gewichtung: Sicherheitsmanagement und Verfügbarkeit zählen bei kritischen Diensten stärker, Preis und Support bei unkritischen.

Subunternehmer mitprüfen

Viele Clouddienste nutzen weitere Dienstleister, etwa für Rechenzentren oder Support. Diese Subunternehmer müssen in die Bewertung einbezogen werden.

Lassen Sie sich eine aktuelle Liste der Unterauftragnehmer geben. Änderungen sollten mitgeteilt werden müssen.

Standortfragen klären

Für viele Unternehmen ist entscheidend, wo die Daten liegen. Rechenzentren in Deutschland erleichtern die Aufsicht, sind aber kein Garant für Rechtssicherheit.

Bei Standorten außerhalb der EU braucht es zusätzliche Prüfungen, etwa zu möglichen Auskunftsansprüchen ausländischer Behörden und zur Frage, wer im Streitfall Rechtsschutz gewährt.

Datenschutz und Auftragsverarbeitung nach BDSG

Sobald personenbezogene Daten verarbeitet werden, greift das Bundesdatenschutzgesetz. Es ergänzt die DSGVO und regelt nationale Besonderheiten.

Die Regelungen des BDSG betreffen auch die Auswahl von Dienstleistern. Wer einen Auftragsverarbeiter einsetzt, bleibt für die Rechtmäßigkeit verantwortlich.

Pflichten des Auftraggebers

Vor der Beauftragung ist ein Vertrag zur Auftragsverarbeitung zu schließen. Er muss Gegenstand, Dauer, Zweck und Umfang der Verarbeitung festlegen.

Der Auftraggeber muss sich vom Datenschutzniveau des Dienstleisters überzeugen. Dazu gehören technische und organisatorische Maßnahmen, dokumentiert und überprüfbar.

Pflichten des Auftragnehmers

Der Dienstleister darf Daten nur auf Weisung verarbeiten. Er muss Vertraulichkeit sichern, Subunternehmer nur mit Genehmigung einsetzen und bei Verstößen melden.

Nach Ende des Vertrags sind die Daten zu löschen oder zurückzugeben. Diese Klausel fehlt in vielen Verträgen oder ist unklar formuliert.

Kontrollrechte nutzen

Der Auftraggeber hat ein Weisungs- und Kontrollrecht. In der Praxis reicht es, sich regelmäßig Berichte und Testate vorlegen zu lassen.

Wer die Kontrolle nie ausübt, kann sich im Streitfall schlecht auf sorgfältige Auswahl berufen.

Verbindung zum BSI-Mindeststandard

Datenschutz und Informationssicherheit überschneiden sich. Der BSI-Mindeststandard liefert die technische Basis, das BDSG die rechtlichen Pflichten. Ein C5-Testat Typ 2 und der zugehörige Prüfbericht sind die Nachweise, mit denen sich die nach Artikel 28 DSGVO geforderten technischen und organisatorischen Maßnahmen gegenüber der Aufsicht belegen lassen.

Beide Prüfungen lassen sich in einer Bewertungsmatrix zusammenführen. Das spart Zeit und vermeidet Widersprüche in den Anforderungen.

Regulierung von Netzwerkdiensten durch die Bundesnetzagentur

Nicht jeder Clouddienst ist reiner IT-Dienst. Sobald Telekommunikations- oder Netzwerkdienste hinzukommen, greift das Telekommunikationsgesetz.

Die Vorgaben des TKG regeln unter anderem Meldepflichten, Sicherheitsanforderungen und die Aufsicht durch die Bundesnetzagentur.

Wann die Bundesnetzagentur zuständig ist

Anbieter von Telekommunikationsdiensten müssen sich bei der Bundesnetzagentur melden. Sie unterliegen Pflichten zu Netzsicherheit und Störungsmeldungen.

Für Einkäufer ist relevant, ob ein Anbieter diese Pflichten erfüllt. Fehlende Meldungen können auf organisatorische Lücken hinweisen.

Sicherheitsanforderungen nach TKG

Das Gesetz verlangt angemessene technische und organisatorische Maßnahmen. Bei Sicherheitsvorfällen sind Meldungen an die Bundesnetzagentur vorgeschrieben.

Diese Meldungen sind ein Indikator für die Reife der Sicherheitsorganisation eines Anbieters.

Abgrenzung zum Clouddienst

Viele Clouddienste enthalten Netzwerkkomponenten wie VPN-Zugänge oder dedizierte Leitungen. Dann gelten beide Regelwerke nebeneinander.

Klären Sie im Vertrag, welcher Teil der Leistung welchem Regelwerk unterliegt. Das erleichtert die Bewertung und die Haftungszuordnung.

Praktische Bewertungsmatrix für Unternehmen

Die Matrix macht Angebote vergleichbar. Sie sollte vor der Ausschreibung festgelegt und nicht nachträglich angepasst werden.

| Kriterium | Gewichtung | Nachweis | | Informationssicherheitsmanagement | 20 % | ISO 27001, Sicherheitsrichtlinien | | Cloud-spezifische Prüfung | 20 % | C5-Testat, Prüfbericht | | Verschlüsselung und Schlüsselverwaltung | 15 % | Technische Dokumentation | | Verfügbarkeit und Redundanz | 15 % | SLA, Standortkonzept | | Incident-Management | 10 % | Prozessbeschreibung, Meldepflichten | | Auftragsverarbeitung nach BDSG | 10 % | AV-Vertrag, TOM-Dokumentation | | Regulatorische Pflichten nach TKG | 5 % | Meldestatus, Nachweise | | Subunternehmer und Standorte | 5 % | Liste der Unterauftragnehmer |

Checkliste für die Anbieterprüfung

Punkte vergeben und dokumentieren

Bewerten Sie jedes Kriterium auf einer Skala von null bis fünf. Multiplizieren Sie mit der Gewichtung und summieren Sie.

Legen Sie vorab eine Mindestschwelle fest. Anbieter darunter werden nicht weiter betrachtet, unabhängig vom Preis.

Typische Fehler vermeiden

Häufig wird nur das Zertifikat geprüft, nicht der Prüfumfang. Ebenso oft fehlen Angaben zu Subunternehmern und Standorten.

Ein weiterer Fehler ist die fehlende Dokumentation. Ohne schriftliche Begründung lässt sich die Auswahl im Nachhinein nicht verteidigen.

Aufwand im Verhältnis zum Risiko

Für unkritische Dienste reicht eine verkürzte Prüfung mit wenigen Kriterien. Bei kritischen Diensten ist die vollständige Matrix angemessen.

Diese Abstufung verhindert, dass jede Ausschreibung zum Großprojekt wird.

Häufige Fragen