Die ersten drei Quick Wins betrafen Ihre eigene Umgebung. Diese Woche schauen wir nach außen: auf die Anbieter, denen Sie Ihre Daten anvertrauen. Das wichtigste Werkzeug dafür ist das C5-Testat.
Was ein C5-Testat ist — und warum es zählt
Ein C5-Testat ist das Ergebnis einer Prüfung des Anbieters gegen den BSI-Kriterienkatalog, durchgeführt von einem unabhängigen Wirtschaftsprüfer. Es ist damit weit mehr wert als ein Marketing-Versprechen oder ein selbst vergebenes Sicherheitssiegel: Eine externe, fachkundige Instanz hat geprüft, ob die behaupteten Maßnahmen tatsächlich existieren und wirken.
Für Sie als Cloud-Nutzer ist das eines der wenigen belastbaren Instrumente, die Sicherheit eines Anbieters überhaupt zu beurteilen — ohne selbst ins Rechenzentrum reisen zu müssen. Lieferanten- und Lieferkettensicherheit ist in C5:2026 erstmals ein eigener, ausgebauter Themenbereich; das Einfordern von Nachweisen ist Ihr Teil davon.
Typ 1 oder Typ 2 — der entscheidende Unterschied
Es gibt zwei Arten von C5-Testaten:
- Typ 1 bescheinigt, dass die Sicherheitsmaßnahmen zu einem Stichtag angemessen gestaltet sind. Eine Momentaufnahme.
- Typ 2 bescheinigt, dass die Maßnahmen über einen Zeitraum (meist 6–12 Monate) hinweg auch wirksam funktioniert haben. Das ist der aussagekräftigere Nachweis.
Fragen Sie gezielt nach einem Typ-2-Testat — und idealerweise nach einem, das bereits den überarbeiteten Katalog C5:2026 zugrunde legt.
So machen Sie mit
- Gehen Sie Ihr Cloud-Inventar (Woche 1) durch und markieren Sie die Dienste, in denen vertrauliche oder personenbezogene Daten liegen.
- Fordern Sie für diese Dienste das aktuelle C5-Testat an — bei vielen großen Anbietern steht es im Trust-Center zum Download bereit, bei kleineren genügt eine kurze E-Mail.
- Achten Sie auf das Datum (ist es aktuell?), den Typ (möglichst Typ 2) und den Geltungsbereich (deckt es den von Ihnen genutzten Dienst ab — oder nur ein Nachbarprodukt?).
- Lesen Sie den Abschnitt zu Abweichungen und Einschränkungen — dort steht, was nicht sauber lief. Das ist die ehrlichste Seite des Berichts.
- Achten Sie auf die komplementären Kundenkontrollen (Complementary User Entity Controls): Hier listet der Anbieter auf, welche Maßnahmen Sie umsetzen müssen, damit seine Zusagen tragen.
Stolpersteine
- Das Deckblatt ist nicht der Bericht. „Wir sind C5-zertifiziert” auf einer Webseite sagt wenig. Verlangen Sie das eigentliche Dokument.
- Kein Testat? Auch eine Antwort. Wenn ein Anbieter kein Testat und keinen vergleichbaren Nachweis (ISO 27001, SOC 2) vorlegen kann, ist das ein Risikohinweis — gerade bei kritischen Daten.
- Die Kundenkontrollen sind Pflicht, kein Beiwerk. Genau diese Liste verbindet Quick Win 4 mit Woche 5.
Fazit
Sie müssen kein Wirtschaftsprüfer sein, um ein C5-Testat sinnvoll zu lesen. Datum, Typ, Geltungsbereich, Einschränkungen und Kundenkontrollen — fünf Blickwinkel, die Ihnen zeigen, wie ernst es ein Anbieter mit der Sicherheit meint. Nächsten Montag bringen wir Ihre und die Anbieter-Seite zusammen: Quick Win 5 dokumentiert die geteilte Verantwortung.
Sie möchten Ihre Anbieter-Testate strukturiert auswerten lassen? Kontaktieren Sie uns — wir prüfen mit Ihnen die für Sie relevanten Stellen.