CRY · Kryptographie und Schlüsselmanagement
CRY-04 Schutz von Daten bei der Übertragung
Geändert gegenüber C5:2020 · vorher CRY-02
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Replaced requirement for strong encryption and authentication with requirement for state of the art encryption and authentication.
Added requirement regarding the protection of remote access communication.
Zusatzkriterium
Replaced requirement for strong encryption and authentication with requirement for state of the art encryption and authentication.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider has established procedures and technical measures for strong encryption and authentication for the transmission of data of cloud customers over public networks.
Zusatzkriterium
The Cloud Service Provider has established procedures and technical measures for strong encryption and authentication for the transmission of all data.
Ergänzende Information zu allen Unterkriterien
Bei der Übertragung von Daten mit einem normalen Schutzbedarf innerhalb der Infrastruktur des Cloud-Anbieters ist keine zwingende Verschlüsselung anzuwenden, soweit die Übertragung nicht über öffentliche Netze erfolgt. In diesem Fall kann die nicht-öffentliche Umgebung des Cloud-Anbieters grundsätzlich als vertrauenswürdig angesehen werden. Die Konfiguration des TLS-Protokolls sollte den Empfehlungen der aktuellen Version der Technischen Richtlinie TR-02102-2 'Kryptographische Verfahren: Empfehlungen und Schlüssellängen. Teil 2 - Verwendung von Transport Layer Security (TLS)' des BSI entsprechen. Cipher Suites sollten Perfect Forward Secrecy bereitstellen. Im Allgemeinen sollten Wildcard-Zertifikate nicht verwendet werden.
Basiskriterium
Der Cloud-Anbieter hat für das Übertragen von Cloud-Kundendaten und abgeleiteten Cloud-Dienstdaten über öffentliche Netze Verfahren und technische Sicherheitsmaßnahmen zur Verschlüsselung und Authentisierung nach dem Stand der Technik eingerichtet.
Beim Fernzugriff auf die Produktionsumgebung verwendet der Cloud-Anbieter kryptographische Mechanismen nach dem Stand der Technik, einschließlich der Authentisierung des Personals, um die Kommunikation zu schützen.
Zusatzkriterium
CRY-04.01AS
Zusatz, verschärft01BDer Cloud-Anbieter hat für das Übertragen aller Cloud-Dienstdaten, abgeleiteten Cloud-Dienstdaten, Cloud-Kundendaten und Kontodaten über öffentliche Netze Verfahren und technische Sicherheitsmaßnahmen zur Verschlüsselung und Authentisierung nach dem Stand der Technik eingerichtet.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen für diejenigen Teile des Cloud-Dienstes unter ihrer Verantwortung sicher, dass ihre Cloud-Kundendaten über verschlüsselte Verbindungen entsprechend dem jeweiligen Schutzbedarf übertragen werden.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen