4. August 2026
Jahrelang konzentrierten sich Organisationen bei der Bewertung von Cloud-Dienstleistern vor allem auf eine Frage: Kann der Anbieter grundlegende Sicherheitszertifizierungen vorweisen? Fragen wie „Sind Sie nach ISO 27001 zertifiziert?" oder „Verfügen Sie über einen SOC 2 Report?" wurden zu festen Bestandteilen von Beschaffungsprozessen, Drittanbieter-Risikobewertungen und Sicherheitsfragebögen.
Doch mit zunehmender Komplexität der Cloud-Umgebungen hat sich die Diskussion rund um Vertrauen grundlegend gewandelt. Immer mehr Organisationen setzen auf Cloud-Plattformen, um regulierte Workloads, KI-gestützte Abläufe und geschäftskritische Prozesse zu unterstützen.
Heute stellen Kunden, Regulierungsbehörden und Beschaffungsteams tiefergehende Fragen:
Genau diese Fragen beantworten traditionelle Rahmenwerke wie ISO 27001 und SOC 2 nur teilweise. Das ist der Grund, warum BSI C5 sich rasch zu einem der bedeutendsten Cloud-Sicherheitsnachweise in Europa entwickelt hat.
Direkt zu:
Über Richtlinien hinaus: SOC 2
Warum Transparenz zur Sicherheitsanforderung geworden ist
Operative Resilienz als zentrales Element des Cloud-Vertrauens
Datensouveränität und behördlicher Zugriff: Themen auf Vorstandsebene
Warum Organisationen mehrere Rahmenwerke anstreben
ISO/IEC 27001 gehört nach wie vor zu den weltweit anerkanntesten Sicherheitsstandards. Das Framework bietet Organisationen eine strukturierte Grundlage für den Aufbau und die Pflege eines Informationssicherheits-Managementsystems (Information Security Management System – ISMS).
Im Kern konzentriert sich ISO 27001 auf Governance:
Für viele Organisationen ist ISO 27001 der grundlegende Nachweis dafür, dass Sicherheits-Governance vorhanden ist und systematisch gesteuert wird.
ISO 27001 wurde jedoch ursprünglich nicht speziell für Cloud-native Umgebungen konzipiert. Das Framework bietet zwar eine solide Governance-Grundlage, bewertet aber nicht eingehend, wie operative Cloud-Kontrollen in der Praxis funktionieren. Zudem fordert es keine umfassende, kundenseitige Transparenz über Cloud-Betriebsabläufe.
ISO 27001 gilt daher häufig als wichtiger Ausgangspunkt, nicht jedoch als vollständiges Cloud-Sicherheitsrahmenwerk für stark regulierte Umgebungen.
SOC 2 erweiterte die Diskussion, indem es eine stärkere Validierung operativer Kontrollen einführte.
Im Gegensatz zu ISO 27001 bewertet SOC 2 nicht nur, ob Kontrollen dokumentiert sind, sondern auch, ob sie dauerhaft wirksam funktionieren. SOC 2 Type II Reports prüfen:
Dieses Modell der operativen Prüfung machte SOC 2 besonders wertvoll für SaaS-Anbieter und Cloud-Plattformen im Unternehmensbereich.
SOC 2 entwickelte sich in vielen nordamerikanischen Technologiemärkten zum De-facto-Rahmenwerk für Sicherheitsnachweise, weil es Kunden belastbare Belege lieferte, dass Kontrollen in realen Betriebsumgebungen konsistent funktionieren.
Aus europäischer Perspektive der Cloud-Governance hinterlässt SOC 2 jedoch weiterhin wichtige Lücken.
SOC 2 ist bewusst flexibel und prinzipienbasiert gestaltet. Diese Flexibilität ist in bestimmten Kontexten vorteilhaft, bedeutet jedoch auch, dass das Framework keine detaillierten Anforderungen in folgenden Bereichen vorschreibt:
Mit zunehmendem regulatorischen Druck in Europa, insbesondere in Deutschland, begannen Organisationen, ein cloud-spezifischeres Modell für Sicherheitsnachweise zu suchen.
BSI C5 (Cloud Computing Compliance Controls Catalogue) wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelt, um den Anforderungen moderner Cloud-Umgebungen gerecht zu werden.
Im Gegensatz zu traditionellen Rahmenwerken wurde C5 von Grund auf für den Cloud-Betrieb konzipiert.
Sein Zweck besteht nicht darin, das Vorhandensein von Sicherheitsrichtlinien zu bestätigen, sondern zu ermitteln, ob ein Cloud-Anbieter operative Reife, Resilienz, Transparenz und Verantwortlichkeit in der Praxis nachweisen kann.
C5 verlangt von Anbietern den Nachweis folgender Anforderungen:
Dies stellt eine bedeutende Weiterentwicklung im Bereich Cloud-Sicherheitsnachweise dar.
Während ISO 27001 auf Governance und SOC 2 auf operative Kontrollen ausgerichtet ist, vereint BSI C5 beide Ansätze und ergänzt sie um umfangreiche Transparenz- und Souveränitätsanforderungen, die speziell für regulierte Cloud-Umgebungen konzipiert wurden.
Einer der bedeutendsten konzeptionellen Unterschiede zwischen BSI C5 und älteren Rahmenwerken besteht darin, dass Transparenz selbst zum Bestandteil des Sicherheitsmodells wird.
Gemäß C5 müssen Cloud-Anbieter Informationen offenlegen, die viele traditionelle Rahmenwerke als optional behandeln, darunter:
Dies spiegelt einen umfassenderen Wandel wider, der sich in ganz Europa vollzieht. Organisationen betrachten Cloud-Sicherheit nicht länger nur als Schutz vor unbefugtem Zugriff. Vertrauen in die Cloud bedeutet für sie zunehmend, nachvollziehen zu können, wie der Anbieter agiert, wie Entscheidungen getroffen werden und wie Risiken gesteuert werden.
Ein weiteres wesentliches Unterscheidungsmerkmal von C5 ist der Fokus auf operative Resilienz.
Das Framework legt besonderen Wert auf:
Dies ist besonders relevant in Branchen, in denen Ausfallzeiten oder operative Störungen regulatorische, finanzielle oder sicherheitsrelevante Folgen haben können.
Organisationen wollen zunehmend die Gewissheit, dass Cloud-Anbieter einen sicheren und zuverlässigen Betrieb auch unter Belastung aufrechterhalten können, und nicht nur, dass Sicherheitsrichtlinien auf dem Papier existieren.
Der vielleicht markanteste Aspekt von BSI C5 ist der explizite Umgang mit behördlichen Zugriffsanfragen.
Anbieter müssen formelle Verfahren für folgende Punkte nachweisen:
Dies spiegelt wachsende europäische Bedenken hinsichtlich folgender Themen wider:
Diese Themen sind besonders relevant für Finanzinstitute, Organisationen im Gesundheitswesen, Behörden des öffentlichen Sektors und Betreiber kritischer Infrastrukturen.
In der Praxis entscheiden sich reife Cloud-Anbieter selten für eines der Rahmenwerke ISO 27001, SOC 2 oder BSI C5.
Stattdessen ergänzen sich diese Rahmenwerke zunehmend:
Gemeinsam bieten sie Kunden eine mehrstufige Sicherheit, dass ein Anbieter sicher, operativ reif und in der Lage ist, stark regulierte Umgebungen zu unterstützen.
Wie in den Cloud-Sicherheits- und Vertrauensunterlagen von ABBYY dargelegt, richtet das Unternehmen sein Cloud-Governance-Modell an den BSI C5-Anforderungen aus. Dies ist Teil eines umfassenderen Engagements für operative Transparenz, unabhängig verifizierbare Sicherheitskontrollen und vertrauenswürdige Cloud-Automatisierung.
Das Governance-Framework von ABBYY umfasst:
ABBYY ist bestrebt, als Cloud-Anbieter zu agieren, bei dem Sicherheit an erster Stelle steht. Governance, operative Sorgfalt und Transparenz orientieren sich an den Kernprinzipien von BSI C5 und stärken so das Kundenvertrauen für regulierte Anwendungsfälle mit hohen Sicherheitsanforderungen.
ABBYYs Ausrichtung an diesen Erwartungen zeigt ein Betriebsmodell, das bewusst auf Umgebungen mit hohen Sicherheitsanforderungen ausgelegt ist. Durch die Integration von Governance, Risikodisziplin und revisionssicherer Transparenz in die Serviceerbringung ermöglicht ABBYY seinen Kunden, die Cloud-Einführung zu beschleunigen, ohne ihre Risikoexposition zu erhöhen.
ABBYY betrachtet Cloud-Sicherheit als architektonische Disziplin und nicht als nachträgliche operative Maßnahme. Governance-Strukturen sind darauf ausgelegt, Sicherheit direkt in die Serviceerbringung zu integrieren. Verantwortlichkeitsgrenzen sind transparent, und Abhängigkeiten werden offengelegt statt verschleiert. Dieses Modell fördert ein vorhersehbares Kontrollverhalten, eine entscheidende Anforderung für Organisationen, die regulatorischer Aufsicht unterliegen.
ABBYY gestaltet seine Cloud-Services mit Blick auf Kontinuität, da viele Automatisierungs-Workflows geschäftskritische Abläufe unterstützen, die keine Unterbrechung tolerieren. Operative Prozesse sind so strukturiert, dass sie Servicestabilität fördern und gleichzeitig schnelle, koordinierte Reaktionen ermöglichen, wenn Ereignisse eintreten.
ABBYY wendet disziplinierte Kontrollen in den Bereichen Authentifizierung, Autorisierung und Datenschutz an, um Kundenumgebungen vor unbefugtem Zugriff zu schützen. Diese Kontrollen entsprechen den Erwartungen, die typischerweise mit Sicherheitsprogrammen auf regulatorischem Niveau verbunden werden. Sie unterstützen Organisationen, die gegenüber Prüfern und Aufsichtsbehörden vertretbare Schutzstrategien nachweisen müssen.
ABBYY integriert Sicherheit über den gesamten Software-Lebenszyklus hinweg und gewährleistet gleichzeitig die Governance über externe Abhängigkeiten. Dieser duale Fokus trägt zur Reduzierung systemischer Risiken bei, ein zunehmend wichtiger Aspekt, da Supply-Chain-Angriffe an Häufigkeit und Raffinesse zunehmen.
ABBYY priorisiert einen verantwortungsvollen Umgang mit Daten durch strukturierte Prozesse zur Steuerung rechtmäßiger Zugriffsszenarien. Dies unterstützt die Souveränitätserwartungen, die in europäischen regulatorischen Umgebungen vorherrschen, und hilft Kunden, das Vertrauen in den Umgang mit sensiblen Informationen auch unter außergewöhnlichen Umständen zu wahren.
ABBYY betrachtet die Befähigung von Kunden als wesentlichen Bestandteil der gemeinsamen Sicherheitsverantwortung. Indem ABBYY Organisationen mit umsetzbaren Leitlinien und klaren Produktinformationen ausstattet, trägt es dazu bei, Sicherheit von einer theoretischen Fähigkeit in ein praktisches Ergebnis der Implementierung zu verwandeln.
ABBYY betrachtet unabhängige Validierung als einen der stärksten Indikatoren für operative Reife. Organisationen, die Cloud-Risiken bewerten, priorisieren zunehmend Anbieter, deren Kontrollen einer externen Prüfung standhalten, anstatt sich ausschließlich auf interne Aussagen zu verlassen.
Die Entwicklung von ISO 27001 über SOC 2 zu BSI C5 spiegelt einen umfassenderen Wandel in der Art und Weise wider, wie Organisationen Cloud-Vertrauen bewerten.
Die Branche entwickelt sich über statische Richtlinien-Compliance hinaus hin zu operativ verifizierbaren Nachweismodellen, die folgende Aspekte adressieren:
Für Organisationen in regulierten Branchen wird sich dieser Wandel in den kommenden Jahren voraussichtlich beschleunigen.
Für Cloud-Anbieter wird der Nachweis von Vertrauen zunehmend mehr erfordern als den bloßen Beweis, dass Kontrollen vorhanden sind. Es wird darum gehen, nachzuweisen, dass diese Kontrollen effektiv, transparent und verantwortungsbewusst innerhalb der Realitäten moderner Cloud-Ökosysteme funktionieren.
Andrew Pery
Experte für digitale Transformation und KI-Ethik-Evangelist bei ABBYY
Andrew Pery ist KI-Ethik-Evangelist beim Unternehmen für intelligente Automatisierung ABBYY. Seine Expertise umfasst Technologien der künstlichen Intelligenz (KI), Anwendungssoftware, Datenschutz und KI-Ethik. Er hat mehrere Arbeiten zum ethischen Einsatz von KI verfasst und präsentiert und ist derzeit Co-Autor eines Buches für die American Bar Association. Er besitzt einen Master of Laws mit Auszeichnung der Northwestern University Pritzker School of Law und ist zertifizierter Datenschutzfachmann (Certified Information Privacy Professional – CIPP/C, CIPP/E) sowie zertifizierter Informationsfachmann (Certified Information Professional – CIP/AIIM).
Vernetzen Sie sich mit Andrew auf LinkedIn.
