# COS-06 Trennung des Datenverkehrs in gemeinsam genutzten Netzumgebungen

- Bereich: COS – Kommunikationssicherheit
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/cos-06/

**Ergänzende Information:**

Wenn der Cloud-Anbieter keine gemeinsam genutzten Netzumgebungen für Cloud-Kunden verwendet und stattdessen eine physische Trennung nutzt, ist das Basiskriterium nicht anwendbar.

Soweit Angemessenheit und Wirksamkeit der logischen Segmentierung nicht mit hinreichender Sicherheit beurteilt werden können (z. B. aufgrund einer komplexen Implementierung), kann der Nachweis auch über Prüfungsergebnisse sachverständiger Dritter erfolgen (z. B. Sicherheitsaudit zur Validierung des Rahmenwerks). Die Trennung gespeicherter und verarbeiteter Cloud-Kundendaten ist Gegenstand der Kriterien OPS-30 und OPS-31. Nach erfolgreicher Authentisierung über einen ungesicherten Kommunikationskanal (HTTP) soll auf einen gesicherten Kommunikationskanal (HTTPS) gewechselt werden.

Bei IaaS/PaaS wird die sichere Trennung durch physisch getrennte Netze oder durch eine Verschlüsselung der Netze sichergestellt, die dem Stand der Technik entspricht. Für die Definition einer Verschlüsselung nach dem Stand der Technik sollte die Technische Richtlinie TR-02102 des BSI berücksichtigt werden (vgl. CRY-01).

## Basiskriterium

### COS-06.01B

Der Datenverkehr der Cloud-Kunden in gemeinsam genutzten Netzumgebungen wird auf Netzebene gemäß eines dokumentierten Rahmenwerks getrennt, um die Vertraulichkeit und Integrität der übertragenen Daten sicherzustellen.

## Zusatzkriterium

### COS-06.01AC (Zusatz, erweiternd)

Im Falle von IaaS/PaaS wird die sichere Trennung durch physisch getrennte Netze oder durch Verschlüsselung nach dem Stand der Technik in Kombination mit logischer Netztrennung oder -Kapselung sichergestellt.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen für diejenigen Teile des Cloud-Dienstes in ihrer Verantwortung sicher, dass virtuelle Netze gemäß ihren Netzsicherheitsanforderungen konzipiert, konfiguriert und dokumentiert werden (z. B. logische Segmentierung von Organisationseinheiten).

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

No change.

**Zusatzkriterium:**

Removed reference to strong encryption, instead refer to state of the art encryption. Further removed the reference to the BSI TR-02102.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.