Penetrationstests im BSI-C5-Testat: Was Cloud-Anbieter nachweisen müssen

Wer ein C5-Testat für seinen Cloud-Dienst vorbereitet, stößt früher oder später auf die Frage, ob ein Penetrationstest eigentlich vorgeschrieben ist oder nur eine gute Idee. Beim BSI Cloud Computing Compliance Criteria Catalogue (C5) ist die Antwort eindeutig: Der Pentest ist ein ausdrückliches Pflicht-Kriterium mit klaren Vorgaben zu Frequenz und Prüferqualifikation. Er ist damit kein optionales Add-on, sondern Bestandteil des Nachweises, den der testierende Wirtschaftsprüfer sehen will. Dieser Beitrag zeigt, was der C5 konkret verlangt und worauf Cloud-Anbieter bei der Umsetzung achten müssen.

Der Pentest ist im C5 ein eigenes Kriterium

Der C5 lässt an dieser Stelle wenig Interpretationsspielraum. Im Kriterienbereich Betrieb (OPS) fordert er Penetrationstests als festes Kontrollziel. In der Fassung C5:2020 ist das das Kriterium OPS-19; in der im April 2026 veröffentlichten Neufassung C5:2026 wird es als OPS-22 geführt. Der Cloud-Anbieter muss nachweisen, dass sein Dienst regelmäßig durch Penetrationstests auf ausnutzbare Schwachstellen geprüft wird, und dieser Nachweis fließt direkt in das C5-Testat ein.

Wichtig ist die Einordnung des Testats selbst. Der C5 wird nicht als Zertifikat vergeben, sondern über ein Prüfungsurteil eines unabhängigen Wirtschaftsprüfers attestiert, in Deutschland nach dem Prüfungsstandard IDW PS 860, international nach ISAE 3000 (Revised). Man unterscheidet dabei ein Typ-1-Testat, das die Angemessenheit der Kontrollen zu einem Stichtag beurteilt, und ein Typ-2-Testat, das zusätzlich die Wirksamkeit der Kontrollen über einen Zeitraum prüft. Gerade beim Typ-2-Testat reicht es nicht, dass ein Pentest-Prozess auf dem Papier existiert. Der Prüfer will sehen, dass im Prüfzeitraum tatsächlich getestet wurde. Wie verbindlich das Typ-2-Testat inzwischen ist, zeigt das Gesundheitswesen: Für Cloud-Dienste, die Patientendaten verarbeiten, ist es seit Juli 2025 verpflichtend.

Frequenz: mindestens jährlich, halbjährlich bei hohem Schutzbedarf

Das Kriterium verlangt einen Penetrationstest mindestens jährlich sowie zusätzlich bei signifikanten Änderungen am Cloud-Dienst. Eine größere Architekturänderung, ein neuer exponierter Dienst oder ein wesentlicher Umbau der Infrastruktur löst also einen Test aus, unabhängig davon, wann zuletzt getestet wurde. Der Jahresrhythmus ist die Untergrenze, nicht die Regel für jede Situation.

Für Cloud-Dienste mit hohem Schutzbedarf verschärft sich die Anforderung deutlich. Dann ist mindestens halbjährlich zu testen, und zwar durch unabhängige externe Prüfer. Cloud-Anbieter sollten den Schutzbedarf ihres Dienstes daher früh realistisch einschätzen, denn er entscheidet unmittelbar über Testfrequenz und Prüferkonstellation. Wer erst kurz vor dem Testat merkt, dass sein Dienst als hoch schutzbedürftig gilt, steht vor einer Kadenz, die er im laufenden Jahr nicht mehr nachträglich herstellen kann.

Wer testen darf: Unabhängigkeit und Prüferqualifikation

Der C5 stellt nicht nur Anforderungen an das Ob und Wie oft, sondern auch an die Person des Prüfers. Als Beispielnachweise für die geforderte Qualifikation nennt der Katalog etwa den vom BSI zertifizierten IS-Penetrationstester oder eine CREST-Zertifizierung. Damit wird sichergestellt, dass der Test methodisch fundiert und nicht bloß ein oberflächlicher Scan ist.

Der zweite entscheidende Punkt ist die Unabhängigkeit. Interne Fachkräfte dürfen unterstützend mitwirken, die bei hohem Schutzbedarf geforderte externe Unabhängigkeit erfüllen sie aber nicht. Das ist die Stelle, an der viele Anbieter mit ihrem internen Betrieb an eine Grenze stoßen. Ein Test durch das eigene Security-Team mag den Basisfall abdecken, doch sobald der Dienst als hoch schutzbedürftig eingestuft ist, führt an einem unabhängigen externen Pentest kein Weg vorbei. In der Praxis empfiehlt sich der externe Test ohnehin, weil er dem Prüfer die Unabhängigkeit ohne Diskussion belegt.

Was der Prüfer sehen will: der Bericht

Ein Penetrationstest erfüllt das C5-Kriterium nicht schon dadurch, dass er stattgefunden hat. Entscheidend ist, dass seine Ergebnisse prüffest dokumentiert sind. Ein Bericht, der Schwachstellen nur auflistet, hilft dem Wirtschaftsprüfer wenig. Gefragt ist eine nachvollziehbare Methodik, eine Bewertung der gefundenen Schwachstellen nach Ausnutzbarkeit und vor allem ein dokumentierter Umgang mit den Befunden.

Denn der Prüfer schaut nicht nur auf den Test, sondern auf den geschlossenen Kreislauf dahinter. Wurden die identifizierten Schwachstellen behoben, und lässt sich das belegen? Wo eine Behebung nicht erfolgt ist, gibt es eine begründete und freigegebene Risikoakzeptanz? Ein Retest oder eine dokumentierte Nachverfolgung der Behebung ist deshalb oft genauso wichtig wie der eigentliche Test. Genau dieser Kreislauf aus Test, Bewertung, Behebung und Nachweis unterscheidet einen testattauglichen Penetrationstest von einem reinen Vulnerability Scan.

Was Cloud-Anbieter jetzt konkret tun sollten

Der Pentest sollte nicht als anlassbezogene Pflichtübung kurz vor dem Testat verstanden werden, sondern als geplanter, wiederkehrender Prozess. Wer ein C5-Testat anstrebt, sollte Frequenz, Scope und Prüferunabhängigkeit früh mit dem testierenden Wirtschaftsprüfer abstimmen, damit der Umfang der Tests zum angestrebten Schutzbedarf und zur Testatart passt. Diese Abstimmung vor dem Prüfzeitraum erspart die unangenehme Erkenntnis, dass ein durchgeführter Test im Nachhinein nicht ausreicht.

Ebenso wichtig ist ein sauber definierter Scope, der die tatsächlich testierte Systemgrenze des Cloud-Dienstes abdeckt. Externe Dienste, Verwaltungsschnittstellen und die zugrundeliegende Infrastruktur gehören in der Regel dazu. Und schließlich sollte der gesamte Zyklus aus Test, Behebung und Retest so dokumentiert werden, dass er im Prüfzeitraum lückenlos nachvollziehbar ist. Für Typ-2-Testate ist diese Lückenlosigkeit über die Zeit der eigentliche Prüfstein.

Fazit

Beim BSI C5 ist der Penetrationstest kein Kann, sondern ein Muss. Das Kriterium schreibt ihn ausdrücklich vor, verlangt mindestens jährliches, bei hohem Schutzbedarf halbjährliches Testen durch qualifizierte und unabhängige Prüfer und macht ihn zum Bestandteil des Testats. Wer ihn als wiederkehrenden, sauber dokumentierten Prozess mit belegter Behebung aufsetzt, statt als einmalige Momentaufnahme, erfüllt das Kriterium nicht nur formal, sondern verbessert die Sicherheit seines Cloud-Dienstes tatsächlich. Wenn Sie einen Cloud-Pentest für ein C5-Testat planen, lohnt sich die frühe Abstimmung von Scope, Frequenz und Prüferqualifikation.