Blog
Warum prüfen eigentlich Wirtschaftsprüfer die Cloud?
Wer in Deutschland eine Cloud an Behörden verkaufen will, braucht ein C5-Testat. Ausstellen dürfen es ausschließlich Wirtschaftsprüfer. Meine erste Reaktion darauf war: Ausgerechnet die Zunft, die sonst Rückstellungen abhakt, soll Kubernetes-Cluster beurteilen?
Nach etwas Recherche musste ich feststellen: Ganz so absurd ist es nicht. Geprüft wird das Kontrollsystem des Cloud-Dienstes. Und Kontrollen per Stichprobe über einen Zeitraum testen, das können Wirtschaftsprüfer seit Jahrzehnten. Außerdem müssen die Qualifikationen des Prüfteams im Testat stehen, etwa CISA, CISM oder CCSP. In der Praxis prüfen also IT-Auditoren, der Wirtschaftsprüfer unterschreibt.
So weit die Theorie. Der Haken steckt allerdings weiterhin im Geschäftsmodell. Der Anbieter beauftragt und bezahlt seinen Prüfer selbst, und kein unabhängiger Dritter schaut sich die Berichte an. Das BSI räumt diese Abhängigkeit in der eigenen FAQ erstaunlich offen ein und zieht daraus eine bemerkenswerte Konsequenz: Es hält sich komplett heraus. Keine Aufsicht über die Prüfungen, keine Kontrolle der Berichte, keine Liste testierter Dienste. Ein uneingeschränktes Prüfungsurteil bedeutet dabei ausdrücklich nicht, dass es keine Abweichungen gab. Und den Bericht selbst bekommt der Kunde nur, wenn er ihn sich vertraglich sichert.
Die Qualitätssicherung hat das BSI also elegant an den Kunden ausgelagert. Der darf einen dicken ISAE-Bericht auswerten, den ihm die Prüfungsgesellschaft mit freundlichem Haftungsausschluss überreicht. Im Bundesrechenzentrum mag das funktionieren. In der Kreisverwaltung wandert das Testat in die Vergabeakte, Vermerk: „C5 liegt vor.“ So wirkt das Siegel, das es offiziell gar nicht gibt, am Ende doch wie eines – nur ohne die Kontrolle, die ein Siegel normalerweise mitbringt.
Und der C5 ist erst die Grundlage. Seit April 2026 liegt mit dem C3A ein zweiter Katalog darauf, der Souveränität messen will. Was der leistet und wo er ausweicht, steht hier.