Technikpartner
Teil von Wie wähle ich einen Technikpartner für IT und Infrastruktur aus?
Clouddienstleister nach BSI-Mindeststandard über alle Lebensphasen hinweg bewerten
So prüfen Sie Cloudanbieter in Planung, Beschaffung, Einsatz und Beendigung. Mit direkt nutzbarer Tabelle auf Basis des BSI-Mindeststandards und C5.
Das Wichtigste auf einen Blick
- Der BSI-Mindeststandard deckt Informationssicherheit, Transparenz und Prüfnachweise ab und unterscheidet Nutzung von Mitnutzung.
- Für private Unternehmen ist er ein Orientierungsrahmen. Nutzen Sie die vier Phasen der Anforderungen als eigene Checkliste.
- Entscheidend sind unabhängige Nachweise, insbesondere ein aktueller C5-Prüfbericht, sowie vertragliche Regeln zu Datenrückgabe und Löschung.
Was der Mindeststandard leistet
Das BSI definiert in der aktuellen Version 2.1 des Mindeststandards zur Nutzung externer Cloud-Dienste (Dezember 2022) sowohl formale als auch operative Anforderungen. Der Standard greift Informationssicherheit, Transparenz der Diensterbringung und den Nachweis durch geeignete Prüfungen auf. Mit dem NIS2-Umsetzungsgesetz wurde die Rechtsgrundlage am 06.12.2025 von § 8 BSIG auf § 44 BSIG umgestellt; die PDF-Fassung 2.1 trägt noch die ältere Angabe § 8. Für Unternehmen außerhalb der Bundesverwaltung ist er nicht gesetzlich verpflichtend, eignet sich aber als strukturiertes Prüfraster.
Ein zentraler Punkt ist die Unterscheidung zwischen Nutzung und Mitnutzung. Bei der Nutzung schließt Ihr Unternehmen selbst einen Vertrag mit dem Cloudanbieter. Bei der Mitnutzung greifen Mitarbeitende auf Dienste zu, ohne dass ein unmittelbares Vertragsverhältnis zur Institution besteht. Für beide Fälle fordert der Standard unterschiedlich tiefe Prüfungen.
Vier Lebensphasen als eigenes Prüfraster
Die folgenden vier Phasen stammen aus dem BSI-Mindeststandard. Sie eignen sich als Grundstruktur, um einen Anbieter systematisch zu prüfen. Die Tabelle nennt jeweils eine Kernsicherheitsanforderung und wo der Nachweis typischerweise zu finden ist.
| Lebensphase | Kernsicherheitsanforderung aus dem Standard | Wo Sie nachsehen |
|---|---|---|
| Planung | Eigene Cloud-Strategie, Sicherheitsrichtlinie und Risikoanalyse erstellen; dienstliche Daten kategorisieren. | Intern: Ihre Dokumente und Schutzbedarfsfeststellung |
| Beschaffung | Sicherheitsanforderungen in der Leistungsbeschreibung festschreiben; regelmäßige Sicherheitsnachweise verlangen; Unterauftragnehmer offenlegen. | Angebot, Vertragsentwurf, C5-Bericht |
| Einsatz | Cloud-Dienst ins eigene ISMS einbinden; Sicherheitsnachweise auswerten; jährlich Leistungsfähigkeit prüfen; falls angeboten, MFA für privilegierte Konten nutzen. | Ihr ISMS, Prüfberichte, Monitoring |
| Beendigung | Datenrückgabe prüfen und dokumentieren; Löschbestätigung für alle Daten inklusive Backups und Unterauftragnehmer einholen. | Übergabeprotokoll, Löschbestätigung |
Beschaffung: Nachweise trennen
Der Standard verlangt die Einforderung von Sicherheitsanforderungen bereits in der Leistungsbeschreibung. Dazu zählt auch die Auswertung von Anbieterangaben durch unabhängige Nachweise wie einen C5-Prüfbericht. Verlangen Sie, dass Zertifikate und Prüfberichte den gesamten Nutzungszeitraum lückenlos abdecken.
Ein C5-Bericht vom Typ 2 enthält eine Beschreibung der umgesetzten Kontrollen samt Prüfergebnissen. Er ist aussagekräftiger als ein reines Zertifikat. Prüfen Sie, ob der Bericht zu Ihrem konkreten Dienst passt und ob er von einer unabhängigen Prüfstelle erstellt wurde.
Häufige Fragen
Ist der BSI-Mindeststandard für mein Unternehmen Pflicht? Nein, er gilt unmittelbar für Einrichtungen der Bundesverwaltung. Private Unternehmen können ihn als Orientierungsrahmen nutzen, müssen aber prüfen, welche Anforderungen auf ihren Schutzbedarf übertragbar sind.
Was ist der Unterschied zwischen Nutzung und Mitnutzung? Bei der Nutzung beauftragt Ihre Einrichtung den Clouddienst direkt per Vertrag. Bei der Mitnutzung greifen Beschäftigte ohne unmittelbares Vertragsverhältnis der Einrichtung zum Anbieter zu. Für die Mitnutzung sind weniger Beschaffungsanforderungen, aber eigene Prüfpflichten vorgesehen.
Was gehört in die Beendigungsphase? Datenrückgabe in vereinbarter Form, dokumentierte Prüfung der Vollständigkeit sowie eine bestätigte Löschung aller dienstlichen Daten einschließlich Datensicherungen und gegebenenfalls Unterauftragnehmern.