|
IT-Grundschutz vs. ISO 27001 vs. BSI C5: Der Unterschied für Cloud-Entscheider
Key Takeaways
ISO 27001, IT-Grundschutz und BSI C5 sagen unterschiedlich viel über das tatsächliche Sicherheitsniveau eines Cloud-Anbieters aus. Entscheidend ist nicht nur, welches Zertifikat vorliegt, sondern was der Geltungsbereich abdeckt.
- ISO 27001: flexibler Rahmen, aber wenig vergleichbar
- IT-Grundschutz: konkrete, einzeln geprüfte Maßnahmen, höhere Vergleichbarkeit
- BSI C5: Cloud-spezifisches Testat statt Zertifikat, häufig in regulierten Branchen gefordert
- Bei der Anbieterwahl zählt: Aktualität und tatsächlicher Geltungsbereich des Nachweises prüfen
Inhaltsverzeichnis
Bei der Wahl eines Cloud- oder Hosting-Anbieters stößt man fast zwangsläufig auf das Wort „zertifiziert“. Ob auf Websites, in Angeboten oder in Vertriebsgesprächen. Was jedoch selten mitgeliefert wird: eine Erklärung, wofür das jeweilige Zertifikat eigentlich steht – und ob es für die eigenen Anforderungen überhaupt relevant ist.
Zertifizierungen im Bereich Informationssicherheit unterscheiden sich einerseits in der Prüftiefe, Aufwand und Aussagekraft. Andererseits sind auch die Geltungsbereiche (Scope) der Zertifikate und Testate jeweils anders. Dieser Artikel ordnet die drei Standards ein, die im deutschen Cloud- und Hosting-Markt am häufigsten auftauchen: ISO 27001, ISO 27001 auf Basis IT-Grundschutz und BSI C5.
Warum das Thema gerade jetzt relevant wird
Viele Unternehmen müssen ihre IT modernisieren und suchen nach skalierbaren und flexiblen Infrastrukturen. Jedoch müssen Anbieter in der Lieferkette geeignete Sicherheitsnachweise erbringen, die mit dem eigenen Informationssicherheits-Managementsystem (ISMS) kompatibel sind. Wer eine Cloud-Plattform wie Proxmox VE einsetzt, muss also nicht nur wissen, dass die Technologie sicher konfiguriert werden kann, sondern auch, ob der Betrieb dahinter das auch nachweislich ist.
ISO 27001: Der bekannteste, aber nicht der strengste Standard
ISO 27001 ist der international anerkannte Standard für ISMS. Er gibt zwar einen Rahmen vor – ein Unternehmen muss Risiken systematisch bewerten, Maßnahmen ableiten und regelmäßig überprüfen – aber wie diese Maßnahmen genau aussehen, bleibt dabei weitgehend offen. ISO 27001 ist prozessorientiert, nicht maßnahmenorientiert.
Das macht die Norm flexibel, aber auch schwerer vergleichbar. Zwei ISO-27001-zertifizierte Unternehmen können in der Praxis sehr unterschiedliche Sicherheitsniveaus haben, je nachdem, wie streng sie die eigene Risikobewertung ausgelegt haben.
ISO 27001 auf Basis IT-Grundschutz: Definierte Maßnahmen
Die ISO-27001-Zertifizierung auf Basis von IT-Grundschutz ist eine Ergänzung, die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelt wurde. Statt eines offenen Rahmens arbeitet IT-Grundschutz mit einem Baukastenprinzip: Für einzelne Bereiche – Rechenzentrum, Netzwerk, Anwendungen, Personal – existieren konkrete, vom BSI vordefinierte Maßnahmenkataloge. Jede Maßnahme wird im Audit einzeln geprüft und nachgewiesen.
Während der Interpretationsspielraum sinkt, steigt die Vergleichbarkeit. Für Kunden, Auditoren oder Aufsichtsbehörden ist ein IT-Grundschutz-Zertifikat leichter nachvollziehbar, weil klar definiert ist, was geprüft wurde.
BSI C5: Der Cloud-spezifische Kriterienkatalog
BSI C5 (Cloud Computing Compliance Criteria Catalogue) wurde speziell für Cloud-Dienste entwickelt und ergänzt die beiden anderen Standards um eine Cloud-typische Perspektive: Mandantentrennung, Verfügbarkeit, Datenübertragung, Transparenz gegenüber Kunden. Viele Auftraggeber aus regulierten Branchen fordern C5 explizit, gerade weil es auf die Besonderheiten von Cloud-Infrastrukturen zugeschnitten ist.
Hierbei handelt es sich übrigens nicht um ein Zertifikat, sondern ein Testat, da es sich um eine „Prüfung durch einen unabhängigen Wirtschaftsprüfer“ handelt (meist nach ISAE 3000), der bestätigt, dass die C5-Kontrollen tatsächlich wirksam umgesetzt sind; anders als bei einem Zertifikat wie ISO 27001, das eine Zertifizierungsstelle nach einem Managementsystem-Standard vergibt.
| Standard | Ansatz | Prüftiefe | Typische Zielgruppe |
|---|---|---|---|
| ISO 27001 | Prozessorientierter Rahmen, viel Interpretationsspielraum | Grundlegend, abhängig von Eigeninitiative des Anbieters | Breiter Markt, Einstieg in ein ISMS |
| ISO 27001 auf Basis IT-Grundschutz | Konkrete Maßnahmenkataloge nach BSI-Standard | Deutlich höher, Maßnahmen sind vordefiniert und werden einzeln geprüft | Hoher Schutzbedarf, öffentlicher Sektor, regulierte Branchen |
| BSI C5 | Cloud-spezifischer Kriterienkatalog des BSI | Fokussiert auf Cloud-Dienste, oft explizit gefordert | Cloud-Anbieter, deren Kunden Nachweispflichten haben |
Einen Überblick aller Zertifikate finden Sie hier >>
Was das für die Wahl eines Cloud-Anbieters bedeutet
Für Unternehmen, die eine Virtualisierungsplattform wie Proxmox VE oder VMware in einer externen Cloud-Umgebung betreiben wollen, ergeben sich daraus drei praktische Prüffragen:
- Welchen Zertifizierungsgrad hat der Anbieter tatsächlich? Ein allgemeiner Verweis auf „hohe Sicherheitsstandards“ ist kein Zertifikat.
- Wie aktuell ist das Zertifikat? IT-Grundschutz-Zertifikate sind zeitlich befristet und müssen turnusmäßig re-auditiert werden. Ein aktuelles Zertifikat signalisiert kontinuierliche Überprüfung statt einmaliger Einführung.
- Was genau deckt der Geltungsbereich ab? Der Scope lohnt einen genauen Blick, der auch für eigenen Audits relevant sein kann.
Fazit
Für den externen Cloud-Betrieb in sicherheitskritischen oder regulierten Kontexten ist die Kombination aus IT-Grundschutz-Zertifizierung und BSI C5 der derzeit belastbarste Nachweis, den ein Cloud-Anbieter in Deutschland vorweisen kann. Prüfen Sie dabei den Geltungsbereich jedes Zertifikats/Testats und priorisieren Sie: Genügt Ihnen ein zertifizierter Rechenzentrumsbetrieb oder wünschen Sie zusätzlich eine Testierung einzelner Cloud-Services im Rahmen eines C5-Testats?
Jetzt tiefer einsteigen
