Wie liest man einen C5-Prüfbericht?

Der Cloudanbieter schickt auf Nachfrage ein PDF. Viele Seiten, ordentliches Deckblatt, Prüfgesellschaft darunter. Im Einkauf fällt der Satz: „C5 ist also vorhanden. Dann können wir den Haken setzen.“ Genau dort wird ein nützlicher Prüfbericht zum dekorativen Türstopper.

Ein C5-Bericht ist kein binäres Zertifikat mit Ja oder Nein. Er beschreibt einen konkreten Cloud-Dienst, ein konkretes Kontrollsystem, einen Stichtag oder Zeitraum und die dabei festgestellten Ergebnisse. Wer nur das Deckblatt prüft, weiß ungefähr so viel wie jemand, der beim Gebrauchtwagen ausschließlich kontrolliert, ob eine TÜV-Plakette rund ist.

Die kurze Antwort

Lesen Sie einen C5-Prüfbericht von außen nach innen: erst Dienst und C5-Scope, dann Version, Berichtsart und Zeitraum, anschließend Prüfungsurteil und Abweichungen. Danach kommen Systembeschreibung, Subdienstleister, korrespondierende Kundenkontrollen und die allgemeinen Rahmenbedingungen des Dienstes.

Die entscheidende Frage lautet nicht „Hat der Anbieter C5?“, sondern: „Was sagt dieser Bericht über den Dienst aus, den wir tatsächlich einkaufen – und welche Risiken sowie Aufgaben bleiben bei uns?“

Der Bericht in neun Bauteilen

Nach dem aktuellen C5:2026 des BSI enthält ein Prüfbericht mehrere Teile mit unterschiedlichen Absendern und unterschiedlicher Aussagekraft. Das ist wichtig: Nicht jeder Absatz wurde vom Prüfer mit derselben Tiefe geprüft.

Bei einem direkten Prüfungsauftrag kann die Gliederung abweichen, weil keine vom Anbieter erstellte Systembeschreibung und Managementerklärung zugrunde liegen. Der Prüfer muss das System dann selbst in den wesentlichen Aspekten darstellen. Für Ihre Bewertung zählt daher nicht die Seitenzahl, sondern die Funktion des jeweiligen Abschnitts.

Der Zehn-Minuten-Schnellcheck

Niemand muss beim ersten Öffnen vorne anfangen und sich tapfer bis zum Anhang durchblättern. Für die erste Einordnung reichen sechs Suchbewegungen.

1. Passt der Dienst?

Vergleichen Sie den im Bericht genannten Dienst mit Angebot, Vertrag und technischer Architektur. Ein Bericht für die europäische Enterprise-Plattform hilft wenig, wenn Sie die globale Standardinstanz kaufen. Ebenso wenig deckt ein IaaS-Bericht automatisch die darauf betriebene SaaS-Anwendung ab.

2. Welche C5-Version gilt?

Schauen Sie nach, ob C5:2020 oder C5:2026 verwendet wurde. Die Version beeinflusst den Kriterienbestand und damit die Aussage. Ab dem 1. Juni 2027 ist C5:2026 für neue Stichtage beziehungsweise beginnende Prüfzeiträume anzuwenden; eine frühere Anwendung ist erlaubt.

3. Typ 1 oder Typ 2?

Ein Typ-1-Bericht betrachtet einen Stichtag und ist nach C5:2026 nur für Erstprüfungen vorgesehen. Typ 2 betrachtet zusätzlich die Wirksamkeit über einen Zeitraum. Was das praktisch bedeutet, erklärt unser Artikel zum Unterschied zwischen C5 Typ 1 und Typ 2. Für den Schnellcheck notieren Sie Art, Stichtag beziehungsweise Zeitraum und Ausstellungsdatum.

4. Ist das Prüfungsurteil verändert?

Springen Sie zum Prüfungsurteil. Ist es ohne Modifizierung oder nennt es Einschränkungen und Gründe? C5:2026 verlangt eine Modifizierung unter anderem dann, wenn die Systembeschreibung wesentlich nicht angemessen ist, Kriterien nicht vollständig erfüllt sind, Kontrollen nicht geeignet gestaltet oder bei Typ 2 nicht wirksam waren oder ausreichende Nachweise fehlen.

5. Welche Abweichungen stehen im Detail?

Suchen Sie nicht nur nach einer Zusammenfassung. Die Kriterienliste zeigt Prüfungshandlungen und Ergebnisse. C5:2026 erlaubt bei unauffälligem Ergebnis die knappe Aussage, dass keine Abweichung festgestellt wurde. Bei Abweichungen sollen Art und Anzahl sichtbar werden – sogar dann, wenn das Kriterium insgesamt noch als erreicht beurteilt wird.

6. Was liegt außerhalb des Anbieters?

Markieren Sie Subdienstleister und korrespondierende Kriterien für Kunden. Beides kann die Sicherheitskette entscheidend beeinflussen. Der Prüfbericht nimmt Ihrer Organisation diese Aufgaben nicht ab.

Damit haben Sie in zehn Minuten noch keine Risikobewertung, aber Sie wissen, ob eine ernsthafte Detailprüfung lohnt oder schon die Passform fehlt.

Das Prüfungsurteil richtig einordnen

Das Prüfungsurteil ist der wichtigste Einstieg, aber nicht das Ende der Lektüre. Es bezieht sich auf den beschriebenen Scope und die anwendbaren Kriterien. Ein nicht modifiziertes Urteil bedeutet nicht, dass es keinerlei einzelne Feststellung gab, nie ein Sicherheitsvorfall auftrat oder der Dienst für jeden Einsatzzweck geeignet ist.

Lesen Sie genau, worüber der Prüfer Sicherheit vermittelt:

• Wird die Systembeschreibung in wesentlichen Belangen als angemessen dargestellt beurteilt?
• Sind die Kontrollen so gestaltet, dass sie bei wirksamer Ausführung die Kriterien mit hinreichender Sicherheit erfüllen können?
• Wurde bei Typ 2 zusätzlich die wirksame Ausführung im Zeitraum beurteilt?
• Gibt es ergänzende Kontrollen bei Kunden oder Subdienstleistern, auf deren Funktion das Gesamtergebnis angewiesen ist?

Das ist mit einer ISO 27001-Zertifizierung nicht identisch. Ein vorhandenes ISMS ist ein gutes Reifezeichen, doch ein C5-Prüfbericht macht dienstbezogene Kontrollen und konkrete Prüfungsergebnisse sichtbar. Die Unterschiede ordnen wir im Beitrag C5 und ISO 27001 im Vergleich ein.

Abweichungen: klein gedruckt, groß gedacht

Eine Abweichung ist weder automatisch eine Katastrophe noch automatisch belanglos. Entscheidend sind Kontext und Muster.

Prüfen Sie bei jeder relevanten Feststellung fünf Punkte:

1. Welches Kriterium ist betroffen? Ein verspäteter Schulungsnachweis hat meist eine andere Risikowirkung als unwirksame privilegierte Zugriffskontrollen.
2. Was genau ist passiert? War eine von vielen Stichproben auffällig oder versagte eine Kontrolle systematisch?
3. Welcher Zeitraum und welche Systeme sind betroffen? Ein eng begrenzter Einzelfall ist anders zu bewerten als eine monatelange Lücke im gesamten Dienst.
4. Gab es kompensierende Kontrollen? Andere wirksame Maßnahmen können dasselbe Risiko auffangen. Der Bericht sollte die Beurteilung des Prüfers erkennen lassen.
5. Was sagt der Anbieter dazu? Ursachenanalyse, Korrekturmaßnahme und Termin sind nützlich. Achten Sie aber auf die Kennzeichnung: Solche Stellungnahmen können zusätzliche Anbieterinformationen sein, zu denen der Prüfer kein eigenes Urteil abgibt.

Besonders aufschlussreich sind Wiederholungen. Taucht eine Abweichung aus einem früheren Bericht erneut auf, muss der Anbieter nach C5:2026 erklären, warum Korrektur- und Vorbeugemaßnahmen noch nicht wirksam waren. Ein einzelner Fleck ist ein Befund. Eine Fleckensammlung kann ein Muster sein.

Die Systembeschreibung ist die Landkarte

Die Systembeschreibung erklärt, was der Anbieter eigentlich geprüft haben will. Dort sollten unter anderem Art und Umfang des Dienstes, Systemkomponenten, Kontrollumgebung, Risikobewertung, Kontrollaktivitäten, Informationswege, Überwachung und der Umgang mit bedeutenden Ausnahmen beschrieben sein.

Vergleichen Sie diese Landkarte mit Ihrer Nutzung:

• Stimmen Produktname, Betriebsmodell, Region und relevante Optionen?
• Sind Entwicklungs- und Betriebsprozesse enthalten?
• Welche Datenarten und Schnittstellen werden betrachtet?
• Welche wesentlichen Änderungen gab es während eines Typ-2-Zeitraums?
• Werden bedeutende Ereignisse wie gravierende Ausfälle oder unbefugte Zugriffe transparent eingeordnet?

Der letzte Punkt ist kein Ereignisticker. Die Beschreibung soll genügend Transparenz liefern, ohne Angriffsflächen offenzulegen. Wenn ein Anbieter aber eine für Ihre Nutzung zentrale Architekturkomponente nur mit Nebel umgibt, ist eine Rückfrage fällig.

AWS, Azure und andere Subdienstleister

Viele Cloud-Dienste stehen auf Infrastruktur anderer Anbieter. C5:2026 verlangt, relevante Subdienstleister samt Leistung, Verarbeitungs- und Speicherland, Abhängigkeit, erwarteten Kontrollen und Überwachung durch den Cloudanbieter zu beschreiben.

Entscheidend ist die verwendete Methode. Bei der inklusiven Methode werden relevante Kontrollen der Subdienstorganisation in die Darstellung und Prüfung einbezogen. Bei der Carve-out-Methode werden diese Kontrollen aus der unmittelbaren Prüfung herausgenommen und als erwartete ergänzende Kontrollen beschrieben. Carve-out bedeutet nicht, dass der Cloudanbieter die Verantwortung gleich mit herausschneiden darf: Er muss den Subdienstleister überwachen und bleibt für die Erfüllung der anwendbaren C5-Kriterien letztlich verantwortlich.

Fragen Sie daher:

• Welche Subdienstleister sind für unseren Dienst tatsächlich relevant?
• Welche Methode wurde je Subdienstleister verwendet?
• Welche Kontrollen liegen dort und wie wurden sie abgesichert?
• Wie bewertet der Anbieter seine Abhängigkeit und mögliche Wechseloptionen?
• Passen Länder und Datenflüsse zu unseren Anforderungen?

Das Thema ist groß genug für einen eigenen Artikel. Für die Berichtsbewertung genügt zunächst: Eine bekannte Hyperscaler-Marke ist kein Ersatz für eine nachvollziehbare Kontrollkette.

Kundenpflichten: der Teil mit Ihrem Namen darauf

Korrespondierende Kundenkontrollen beschreiben Annahmen, die der Cloudanbieter bei der Gestaltung seiner Kontrollen macht. Typische Beispiele sind die sichere Verwaltung eigener Benutzer, starke Authentisierung, korrekte Konfiguration, Prüfung von Protokollen oder rechtzeitige Meldung eigener Vorfälle.

Der Prüfer beurteilt normalerweise nicht, ob Ihre Organisation diese Kontrollen tatsächlich umgesetzt hat. Trotzdem können die C5-Kriterien nur gemeinsam erfüllt werden. Überführen Sie deshalb jede relevante Kundenkontrolle in einen internen Besitzer, einen Prozess und einen Nachweis. Sonst besitzen Sie einen guten Bericht über die Hälfte einer Brücke.

Eine einfache Bewertungsmatrix

Für Einkauf und Informationssicherheit hat sich eine kompakte Entscheidungstabelle bewährt:

Diese Matrix ersetzt keine Risikobewertung. Sie verhindert aber, dass ein C5-Bericht allein wegen seines Gewichts gewinnt.

Häufige Lesefehler

Der erste Fehler ist die Gleichsetzung von Bericht und Zertifikat. Der zweite ist die Annahme, ein Bericht des Infrastrukturbetreibers decke automatisch jede darauf laufende Anwendung ab. Der dritte ist das Weglächeln einzelner Abweichungen ohne Blick auf Häufigkeit, Ursache und Risikowirkung.

Ebenfalls beliebt: nur den aktuellen Bericht anzufordern und die zeitliche Lücke bis zum nächsten Bericht zu ignorieren. Bei laufender Nutzung sollte der Anbieter erklären können, wie er bedeutende Änderungen und Ereignisse zwischen Berichten kommuniziert. Und schließlich gehört die C5-Auswertung nicht allein in den Einkauf. Informationssicherheit, Technik, Datenschutz, Fachbereich und Vertragsverantwortliche sehen jeweils andere Risiken.