COS · Kommunikationssicherheit
COS-06 Trennung des Datenverkehrs in gemeinsam genutzten Netzumgebungen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
No change.
Zusatzkriterium
Removed reference to strong encryption, instead refer to state of the art encryption. Further removed the reference to the BSI TR-02102.
Wortlaut in C5:2020
Basiskriterium
Data traffic of cloud customers in jointly used network environments is segregated on network level according to a documented concept to ensure the confidentiality and integrity of the data transmitted.
Zusatzkriterium
In the case of IaaS/PaaS, the secure segregation is ensured by physically separated networks or by means of strongly encrypted VLANs. For the definition of strong encryption, the BSI Technical Guideline TR-02102 must be considered.
Ergänzende Information zu allen Unterkriterien
Wenn der Cloud-Anbieter keine gemeinsam genutzten Netzumgebungen für Cloud-Kunden verwendet und stattdessen eine physische Trennung nutzt, ist das Basiskriterium nicht anwendbar.
Soweit Angemessenheit und Wirksamkeit der logischen Segmentierung nicht mit hinreichender Sicherheit beurteilt werden können (z. B. aufgrund einer komplexen Implementierung), kann der Nachweis auch über Prüfungsergebnisse sachverständiger Dritter erfolgen (z. B. Sicherheitsaudit zur Validierung des Rahmenwerks). Die Trennung gespeicherter und verarbeiteter Cloud-Kundendaten ist Gegenstand der Kriterien OPS-30 und OPS-31. Nach erfolgreicher Authentisierung über einen ungesicherten Kommunikationskanal (HTTP) soll auf einen gesicherten Kommunikationskanal (HTTPS) gewechselt werden.
Bei IaaS/PaaS wird die sichere Trennung durch physisch getrennte Netze oder durch eine Verschlüsselung der Netze sichergestellt, die dem Stand der Technik entspricht. Für die Definition einer Verschlüsselung nach dem Stand der Technik sollte die Technische Richtlinie TR-02102 des BSI berücksichtigt werden (vgl. CRY-01).
Basiskriterium
Der Datenverkehr der Cloud-Kunden in gemeinsam genutzten Netzumgebungen wird auf Netzebene gemäß eines dokumentierten Rahmenwerks getrennt, um die Vertraulichkeit und Integrität der übertragenen Daten sicherzustellen.
Zusatzkriterium
COS-06.01AC
Zusatz, erweiterndIm Falle von IaaS/PaaS wird die sichere Trennung durch physisch getrennte Netze oder durch Verschlüsselung nach dem Stand der Technik in Kombination mit logischer Netztrennung oder -Kapselung sichergestellt.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen für diejenigen Teile des Cloud-Dienstes in ihrer Verantwortung sicher, dass virtuelle Netze gemäß ihren Netzsicherheitsanforderungen konzipiert, konfiguriert und dokumentiert werden (z. B. logische Segmentierung von Organisationseinheiten).
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen