Choosing a Service Format That Actually Fits

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) definiert mit seinen IT-Grundschutz-Kompendien und der Cloud-Computing-C5-Prüfung verbindliche Standards für den Betrieb privater Cloud-Infrastrukturen in Deutschland. Für B2B-Engineering-Firmen, die sensible Konstruktionsdaten und Kundeninformationen verarbeiten, ist die Einhaltung dieser Vorgaben nicht nur eine Frage der Compliance, sondern auch ein entscheidender Wettbewerbsvorteil.

Dieser Artikel analysiert die wichtigsten BSI-Vorgaben für private Cloud-Infrastrukturen und vergleicht sie mit internationalen Rahmenwerken wie ISO/IEC 27001. Im Fokus stehen die konkreten Anforderungen an Identitätsmanagement, Verschlüsselung und Protokollierung, die für Ingenieurbüros besonders relevant sind.

Kernanforderungen des BSI für Cloud-Infrastrukturen

Das BSI unterscheidet in seinem IT-Grundschutz-Kompendium zwischen verschiedenen Schutzbedarfen. Für eine private Cloud-Umgebung, die als Basis für Engineering-Workloads dient, sind mindestens die folgenden Bausteine aus dem Bereich „Cloud-Nutzung“ (CLOUD) zu berücksichtigen:

• Identitäts- und Berechtigungsmanagement (CLOUD.1.A1): Strikte Trennung von Administrations- und Nutzerrollen, Multi-Faktor-Authentifizierung für alle administrativen Zugänge.
• Verschlüsselung (CLOUD.1.A2): Einsatz von hardwaregestützten Verschlüsselungsmodulen (HSM) für ruhende Daten und TLS 1.3 für die Übertragung. Schlüsselmanagement nach BSI TR-02102.
• Protokollierung und Überwachung (CLOUD.1.A3): Zentrale Erfassung aller sicherheitsrelevanten Ereignisse mit Aufbewahrungsfrist von mindestens 12 Monaten. Integration in ein SIEM-System.
• Mandantenfähigkeit (CLOUD.1.A4): Logische und physische Trennung der Kundenumgebungen, insbesondere bei gemeinsam genutzten Ressourcen wie Storage und Netzwerk.
• Notfallvorsorge (CLOUD.1.A5): Nachweisliche Wiederherstellbarkeit der Infrastruktur innerhalb definierter RPO/RTO-Zeiten. Regelmäßige Tests des Notfallplans.

Vergleich mit ISO/IEC 27001

Während ISO/IEC 27001 ein generisches Managementsystem für Informationssicherheit definiert, gehen die BSI-Standards deutlich detaillierter auf die technischen und organisatorischen Maßnahmen für Cloud-Umgebungen ein. Die C5-Prüfung (Cloud Computing Compliance Criteria Catalogue) des BSI ist speziell auf die Anforderungen deutscher Behörden und regulierter Unternehmen zugeschnitten. Ein wesentlicher Unterschied liegt in der Behandlung von Datenstandorten: Das BSI fordert explizit, dass alle Daten innerhalb der EU oder des Europäischen Wirtschaftsraums verarbeitet werden, während ISO 27001 hier keine geografischen Einschränkungen vorsieht.

Für ein Ingenieurbüro, das Konstruktionsdaten deutscher Automobilzulieferer verarbeitet, ist die BSI-Konformität daher oft die strengere und praxisnähere Anforderung. Die Kombination aus ISO 27001-Zertifizierung und BSI-C5-Prüfung bietet die höchste Sicherheitsstufe für den deutschen Markt.

Handlungsempfehlungen für B2B-Engineering-Unternehmen

Die Umsetzung der BSI-Standards in einer privaten Cloud-Infrastruktur erfordert eine systematische Vorgehensweise. Folgende Schritte haben sich in der Praxis bewährt:

• Schutzbedarfsfeststellung: Identifizieren Sie, welche Daten und Prozesse in der Cloud laufen, und bewerten Sie deren Schutzbedarf nach BSI-Grundschutz (normal, hoch, sehr hoch).
• Auswahl geeigneter Bausteine: Wählen Sie aus dem IT-Grundschutz-Kompendium die relevanten Bausteine für Ihre Cloud-Umgebung aus. Für Engineering-Firmen sind dies neben CLOUD auch INFRA (Netzwerk), SYS (Server) und APP (Anwendungen).
• Implementierung der Maßnahmen: Setzen Sie die in den Bausteinen definierten Maßnahmen um. Achten Sie besonders auf die Dokumentation – das BSI legt großen Wert auf nachvollziehbare Prozesse.
• Interne Audits und Penetrationstests: Führen Sie regelmäßig interne Audits nach BSI-Vorgaben durch und lassen Sie die Infrastruktur mindestens einmal jährlich von einem zertifizierten Dienstleister penetrieren.
• Zertifizierung oder Selbstauskunft: Entscheiden Sie, ob Sie eine formelle BSI-C5-Prüfung anstreben oder eine Selbstauskunft nach BSI-Standard ausreichend ist. Für B2B-Kunden im öffentlichen Sektor ist die C5-Prüfung oft verpflichtend.