C5-Testat: Nachweise für Cloud-Dienste vorbereiten

Ein Cloud-Kunde möchte wissen, welche Schutzmaßnahmen der Anbieter betreibt und welche in seiner eigenen Verantwortung bleiben. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlicht den Kriterienkatalog Cloud Computing C5 (Cloud Computing Compliance Criteria Catalogue) als strukturierte Grundlage für die Prüfung dieser Zusicherungen. Für einen CTO bedeutet Vorbereitung, die Dienstgrenze, die Umsetzung der Maßnahmen und die betrieblichen Aufzeichnungen prüfbar zu machen, nicht bloß Richtlinien zusammenzustellen.

C5 ist ein Kriterienkatalog für eine unabhängige Testierung, keine Zertifizierung nach dem Vorbild von ISO. Die C5-Dokumentation des BSI ist die maßgebliche Referenz. Stimmen Sie zunächst die anwendbare Ausgabe, das Prüfungsziel und den Prüfungsumfang mit dem unabhängigen Prüfer ab.

Genau festlegen, welchen Dienst der Bericht abdeckt

Beschreiben Sie den Cloud-Dienst, die Betriebsstandorte, die organisatorischen Grenzen und die Abhängigkeiten. Ein Bericht über einen Dienst deckt nicht automatisch jedes Produkt unter derselben Marke ab. Benennen Sie Produktivkomponenten, Verwaltungsschnittstellen, Supportbetrieb und externe Dienste, die die Zusicherungen beeinflussen können.

Die Systembeschreibung sollte es einer außenstehenden Person ermöglichen zu verstehen, wie Kundendaten in den Dienst gelangen, sich darin bewegen und ihn verlassen. Nehmen Sie Administrationswege, Bereitstellungsprozesse, Sicherheitsmonitoring, Backups und die Aufteilung der Verantwortlichkeiten zwischen Teams auf. Erläutern Sie relevante Merkmale des Dienstes und Betriebsbedingungen, statt Erläuterungen durch Architekturdiagramme zu ersetzen.

Klären Sie diese Fragen zum Geltungsbereich, bevor Sie Nachweise sammeln:

• Welche Produkte, Regionen und Umgebungen sind einbezogen?
• Welche Teams administrieren die Produktion oder können auf Kundeninformationen zugreifen?
• Welche zugrunde liegenden Anbieter unterstützen den Dienst, und wie werden deren Kontrollen behandelt?
• Welche Konfigurationen und Sicherheitsaufgaben verbleiben bei den Kunden?
• Welche wesentlichen Änderungen gab es im Prüfungszeitraum, oder welche sind geplant?

Geben Sie Ausschlüssen eine ausdrückliche Begründung. Wird eine Altumgebung ausgeschlossen, stellen Sie sicher, dass Aussagen gegenüber Kunden nicht den Eindruck erwecken, sie sei abgedeckt. Das Arbeitsergebnis ist eine versionierte Systembeschreibung, gestützt durch Aufzeichnungen zu Architektur, Abhängigkeiten und Verantwortlichkeiten.

Den Berichtstyp wählen, bevor der Nachweiskalender festgelegt wird

C5-Zusicherungen werden in der Regel in einem Testat des Prüfers ausgedrückt. Typ 1 betrifft Angemessenheit und Implementierung der Kontrollen zu einem Stichtag. Typ 2 prüft zusätzlich die Wirksamkeit im Betrieb über einen festgelegten Zeitraum.

Typ 1 kann ein nützlicher Meilenstein beim Aufbau einer Kontrollumgebung sein, beantwortet aber nicht dieselbe Frage wie Typ 2. Klären Sie, was Kunden tatsächlich verlangen, bevor Sie sich für einen Zwischenbericht entscheiden.

Stimmen Sie Zeitraum und Nachweiserwartungen mit dem Prüfer ab. Gehen Sie nicht von einer allgemeingültigen Länge des Betrachtungszeitraums aus. Ein kurz vor Ende eines Zeitraums verfasstes Verfahren kann nicht belegen, dass die Kontrolle zuvor wirksam war. Ebenso tilgt ein erfolgreicher aktueller Test kein historisches Versagen.

Nachweise entlang von Verantwortung und Ausführung aufbauen

Als praktische Vorbereitungsmethode: Erstellen Sie ein Nachweisregister, das jedes anwendbare Kriterium mit der umgesetzten Kontrolle, der verantwortlichen Person, der Dienstgrenze, der Nachweisquelle, der Prüfhäufigkeit und offenen Lücken verknüpft. Dokumentieren Sie Entscheidungen zur Anwendbarkeit und ihre Begründung; markieren Sie ein Kriterium nicht als irrelevant, nur weil die Umsetzung schwierig wäre.

Trennen Sie drei Fragen: was geschehen soll, was umgesetzt ist und was tatsächlich geschehen ist. Eine Richtlinie beantwortet die erste. Konfigurationsaufzeichnungen können die zweite stützen. Tickets, Protokolle, Freigaben und Testergebnisse stützen die dritte.

Dies sind praktische Beispiele, keine vollständige C5-Checkliste. Bestimmen Sie die erforderliche Abdeckung anhand des vereinbarten Katalogs und Geltungsbereichs, einschließlich organisatorischer, personeller, physischer und technischer Kontrollen.

Nachweise reproduzierbar machen

Bewahren Sie für jeden Export oder Screenshot Quellsystem, Erfassungsdatum, relevanten Zeitraum, Filter und die erfassende Person auf. Erläutern Sie, ob er die vollständige Grundgesamtheit oder ein ausgewähltes Element darstellt. Prüfer müssen die Grundgesamtheit verstehen, aus der sie Stichproben ziehen; ein Ordner mit nur erfolgreichen Beispielen reicht nicht aus.

Bevorzugen Sie Aufzeichnungen, die Akteur, Zeitstempel, Aktion und Ergebnis enthalten. Schützen Sie Nachweise vor unbefugter Veränderung und vermeiden Sie eine unnötige Offenlegung von Kundendaten. Wo Schwärzungen nötig sind, erhalten Sie genug Kontext, damit die prüfende Person versteht, was die Aufzeichnung belegt.

Übernommene Kontrollen von verbleibenden Pflichten trennen

Die Zusicherungen eines Infrastrukturanbieters können physische Sicherheit oder Kontrollen der zugrunde liegenden Plattform stützen. Sie belegen nicht, dass die Mandantenautorisierung Ihrer Anwendung funktioniert. Dokumentieren Sie die Abhängigkeit, den Geltungsbereich des relevanten Berichts, den Zeitraum, Ausnahmen und die Verantwortlichkeiten, die Ihr Team weiterhin erfüllen muss.

Auch komplementäre Kundenkontrollen brauchen praxistaugliche Formulierungen. „Der Kunde ist für die Sicherheit verantwortlich“ ist zu weit gefasst. Benennen Sie Aufgaben wie die Verwaltung der Benutzer im Mandanten, die Konfiguration der Identitätsföderation oder die Überprüfung kundenseitig kontrollierter Zugriffsrichtlinien. Halten Sie diese Verantwortlichkeiten in Systembeschreibung, Dienstdokumentation und vertraglichen Regelungen konsistent.

Die Vorbereitung als Engineering-Programm führen

Beginnen Sie mit einer Gap-Analyse gegen die vereinbarten Kriterien. Unterscheiden Sie fehlende Umsetzung von fehlenden Nachweisen: Beides erfordert unterschiedliche Abhilfe. Eine undokumentierte Überprüfung erfordert womöglich bessere Aufzeichnungen; eine Zugriffsüberprüfung, die nie stattgefunden hat, erfordert eine betriebliche Kontrolle.

Weisen Sie jeder Lücke eine verantwortliche Person, eine Behebungsmaßnahme, Abhängigkeiten und ein Zieldatum zu. Priorisieren Sie Probleme, die Mandantentrennung, privilegierte Zugriffe, Produktivänderungen, Vorfallreaktion und Wiederherstellbarkeit betreffen, nach den Risiken des Dienstes und nicht nur nach den einfachsten Dokumentationsaufgaben.

Prüfen Sie vor Beginn des Typ-2-Zeitraums, ob wiederkehrende Kontrollen praktikable Zeitpläne und dauerhafte Aufzeichnungen haben. Klären Sie, wer sie bei Abwesenheit oder Personalwechsel durchführt. Stellen Sie bei ereignisgesteuerten Kontrollen, etwa der Beendigung von Konten, sicher, dass die auslösende Grundgesamtheit ermittelt werden kann.

Führen Sie einen Bereitschafts-Walkthrough mit repräsentativen Nachweisen durch. Verfolgen Sie eine Änderung von der Anfrage bis zur Bereitstellung, einen ausscheidenden Administrator bis zum Entzug der Rechte und eine Wiederherstellungsübung bis zur Korrekturmaßnahme. So zeigen sich gebrochene Übergaben, die eine Richtlinienprüfung übersehen kann.

Führen Sie während der Prüfung ein Register der Anfragen mit Verantwortlichen und Antwortstatus. Halten Sie die Originalaufzeichnungen verfügbar, erläutern Sie Abweichungen offen und verfolgen Sie die Behebung getrennt von historischen Nachweisen. Schreiben Sie alte Aufzeichnungen nicht um, damit sie konform aussehen. Der Prüfer bestimmt, wie sich Befunde auf die Prüfung und das Urteil auswirken.

Praxisbeispiel: eine verwaltete Anwendung auf externer Infrastruktur

Angenommen, zur Veranschaulichung, ein Anbieter betreibt eine mandantenfähige Anwendung in einer Region, nutzt einen externen Infrastrukturanbieter und strebt ein Typ-2-Testat an. Sein Team kontrolliert Anwendungsreleases, Mandantenberechtigungen, die Produktivadministration und die Wiederherstellungsverfahren.

Die Beschreibung des Geltungsbereichs benennt Anwendung, Datenbank, Management-Plane, Support-Werkzeuge und die Infrastrukturabhängigkeit. Sie erläutert, welche zugrunde liegenden Kontrollen übernommen werden und welche beim Anwendungsanbieter verbleiben.

Für die Mandantentrennung dokumentiert das Team sein Autorisierungsdesign, automatisierte Negativtests, Befunde aus Sicherheitstests und Release-Freigaben. Es bewahrt außerdem Änderungsaufzeichnungen auf, die zeigen, wann sich die Autorisierungslogik geändert hat. Der Infrastrukturbericht ist ein stützender Nachweis zur Abhängigkeit, kein Beleg für die Isolation der Anwendung.

Für privilegierte Zugriffe bewahrt das Team die Grundgesamtheit der Administratoren, Freigaben von Berechtigungen, Prüfentscheidungen und Entzugsnachweise auf. Angenommen, eine Überprüfung entdeckt ein ungenutztes Supportkonto. Das Team dokumentiert die Entdeckung, den Entzug, die Bewertung der Exposition und die vorbeugende Maßnahme. Das ist glaubwürdiger, als nur die bereinigte Kontenliste vorzulegen.

Für die Wiederherstellung bewahrt es ein Ergebnis eines Wiederherstellungstests auf, das zeigt, was wiederhergestellt wurde, wie lange es dauerte, welche Integritätsprüfungen der Daten erfolgten und welche Einschränkungen offen sind. Ein konfigurierter Backup-Job allein belegt keine Wiederherstellbarkeit. Jeder Nachweissatz hat eine verantwortliche Person und einen festgelegten Zeitraum, sodass der Prüfer die Aufzeichnungen mit der geprüften Kontrolle verbinden kann.

Nachweisarbeit wiederverwenden, ohne Gleichwertigkeit zu behaupten

ISO/IEC 27001 betrifft ein Informationssicherheitsmanagementsystem mit festgelegtem Geltungsbereich. SOC 2 ist ein Prüfbericht mit eigenen Kriterien und eigenem Berichtskontext. C5 konzentriert sich auf Zusicherungen für Cloud-Dienste nach dem BSI-Katalog.

Vorhandene Risikobeurteilungen, Zugriffskontrollen, Vorfallverfahren und Betriebsaufzeichnungen können mehr als ein Programm stützen. Verwenden Sie sie über versions- und geltungsbereichsspezifische Zuordnungen wieder und prüfen Sie dann Unterschiede bei Anforderungen und Berichterstattung. Eine gemeinsame Kontrolle bedeutet keine automatische Gleichwertigkeit zwischen Frameworks.

Wählen Sie das Portfolio an Nachweisen anhand tatsächlicher Kundenanforderungen und Risiken des Dienstes. C5 ist nicht für jeden Cloud-Anbieter verpflichtend; Ausschreibungs-, Vertrags- oder anwendbare Branchenanforderungen bedürfen einer gesonderten Prüfung. Weder ein C5-Testat noch ein anderes Nachweisdokument belegt für sich genommen die Einhaltung von DSGVO oder NIS2.

Den Bericht für Kundenentscheidungen aufbereiten

Kunden brauchen die Systembeschreibung, den Stichtag oder Zeitraum, das tatsächliche Urteil, Ausnahmen und die Verantwortungsgrenzen, nicht nur die Bezeichnung des Berichts. Achten Sie bei der Weitergabe von Berichten auf vertragliche Vertraulichkeit und liefern Sie Kontext für die Bewertung durch den Kunden.

Erläutern Sie den Stand der Behebung, ohne den Eindruck zu erwecken, spätere Korrekturen änderten das historische Urteil. Liegt der Berichtszeitraum vor einer größeren Architekturänderung, benennen Sie diese Einschränkung. Vereinbaren Sie wiederkehrende Prüfungen anhand der Kundenerwartungen und betrieblicher Änderungen, statt ein Testat als zeitlos gültigen Nachweis zu behandeln.

Secani hilft Teams, die Umsetzung von Kontrollen und Nachweise mit geprüften Anforderungen zu verknüpfen. Modellieren Sie den Dienst und seine Abhängigkeiten, weisen Sie Verantwortliche und Prüfende zu, hängen Sie stützende Aufzeichnungen an und verwandeln Sie Nachweislücken in Aufgaben. Halten Sie die menschliche Freigabe von Zuordnungen und Schlussfolgerungen ausdrücklich. Das Modell zur Audit-Readiness hilft, Geltungsbereich und Verantwortung hinter jeder Aussage zu bewahren.

Fragen, die vor der ersten Prüfung zu klären sind

Stellt das BSI den Bericht aus?

Das BSI veröffentlicht den Katalog. Ein unabhängiger Prüfer führt die Prüfung durch und stellt das Testat aus; klären Sie den anwendbaren Prüfungsrahmen und die Auftragsbedingungen mit diesem Prüfer.

Was, wenn kein echter Vorfall eingetreten ist?

Erfinden Sie keine Vorfallaufzeichnung. Bewahren Sie Nachweise auf, dass der Prozess umgesetzt und gegebenenfalls geübt wurde. Stimmen Sie mit dem Prüfer ab, wie sich das Ausbleiben von Ereignissen auf die Prüfung auswirkt.

Was sollte das Team als Nächstes tun?

Nehmen Sie einen repräsentativen Produktivdienst und erstellen Sie dessen Beschreibung des Geltungsbereichs, Verantwortungsmatrix und Nachweisregister. Besprechen Sie diese drei Arbeitsergebnisse mit dem vorgesehenen Prüfer, bevor Sie ein umfangreiches Nachweispaket zusammenstellen.