CRY · Kryptographie und Schlüsselmanagement
CRY-05 Verschlüsselung von sensiblen Daten bei der Speicherung
Geändert gegenüber C5:2020 · vorher CRY-03
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Rephrased requirements regarding keys being only accessible by the cloud service customer (formerly: being only known by the customer).
Added requirement regarding the notification of cloud service customers in case of security relevant changes.
Added requirement regulating the use of master keys.
Zusatzkriterium
Replaced former additional requirement with new additional requirement regarding the prevention of cloud service customer data recovery through encryption.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider has established procedures and technical safeguards to encrypt cloud customers' data during storage. The private keys used for encryption are known only to the cloud customer in accordance with applicable legal and regulatory obligations and requirements. Exceptions follow a specified procedure. The procedures for the use of private keys, including any exceptions, must be contractually agreed with the cloud customer.
Zusatzkriterium
The private keys used for encryption are known to the customer exclusively and without exception in accordance with applicable legal and regulatory obligations and requirements.
Basiskriterium
Der Cloud-Anbieter hat Verfahren und technische Maßnahmen zur Verschlüsselung von Cloud-Kundendaten bei der Speicherung (d. h. im Ruhezustand) eingerichtet.
Im Allgemeinen sind die privaten Schlüssel (für asymmetrische Algorithmen) oder geheimen Schlüssel (für symmetrische Algorithmen), die für die Verschlüsselung verwendet werden, in Übereinstimmung mit geltenden rechtlichen und regulatorischen Verpflichtungen und Anforderungen, nur für den Cloud-Kunden zugänglich. Wenn der Cloud-Anbieter aufgrund der Art des Cloud-Dienstes auf die privaten oder geheimen Schlüssel des Cloud-Kunden zugreifen muss, um den Cloud-Dienst bereitzustellen, erfolgt dieser Zugriff gemäß IAM-07. Ausnahmen folgen einem festgelegten Verfahren.
Ergänzende Information
Die Anforderung 'nur für den Cloud-Kunden zugänglich' bedeutet, dass Verschlüsselungsschlüssel ausschließlich im Wissen und unter der Kontrolle des Eigentümers (d. h. des Cloud-Kunden) verbleiben. Dies kann durch die Implementierung eines sicheren Schlüsselmanagementsystems adressiert werden. Wenn ein Schlüsselmanagementsystem verwendet wird, müssen die Schlüssel vor einer Nutzung geschützt werden, die nicht ausdrücklich vom Eigentümer des Schlüssels autorisiert wurde, und sie müssen im Klartext unzugänglich bleiben.
Dieses Kriterium gilt nicht für Daten, die aus funktionalen Gründen für die Bereitstellung des Cloud-Dienstes nicht verschlüsselt werden können.
Ergänzende Information
Szenarien, in denen der Cloud-Anbieter auf die geheimen oder privaten Schlüssel des Cloud-Kunden zugreifen muss, umfassen unter anderem die Nutzung von vom Cloud-Anbieter verwalteten Schlüsseln in einem SaaS-Dienst.
Ergänzende Information
Gilt auch für 05B
Die Nutzung eines Master-Schlüssels durch den Cloud-Anbieter kann eine Ausnahme von der Anforderung darstellen, dass Schlüssel nur für die Cloud-Kunden zugänglich sind.
Die Verfahren für die Verwendung privater Schlüssel, inklusive gegebenenfalls bestehender Ausnahmen, werden mit dem Cloud-Kunden abgestimmt.
Ergänzende Information
Die Anforderung 'nur für den Cloud-Kunden zugänglich' bedeutet, dass Verschlüsselungsschlüssel ausschließlich im Wissen und unter der Kontrolle des Eigentümers (d. h. des Cloud-Kunden) verbleiben. Dies kann durch die Implementierung eines sicheren Schlüsselmanagementsystems adressiert werden. Wenn ein Schlüsselmanagementsystem verwendet wird, müssen die Schlüssel vor einer Nutzung geschützt werden, die nicht ausdrücklich vom Eigentümer des Schlüssels autorisiert wurde, und sie müssen im Klartext unzugänglich bleiben.
Dieses Kriterium gilt nicht für Daten, die aus funktionalen Gründen für die Bereitstellung des Cloud-Dienstes nicht verschlüsselt werden können.
Wenn Änderungen dieser Verfahren und technischen Sicherheitsmaßnahmen die Vertraulichkeit der Cloud-Kundendaten beeinträchtigen können, kommuniziert der Cloud-Anbieter diese Änderungen an die Cloud-Kunden.
Ergänzende Information
Die Anforderung 'nur für den Cloud-Kunden zugänglich' bedeutet, dass Verschlüsselungsschlüssel ausschließlich im Wissen und unter der Kontrolle des Eigentümers (d. h. des Cloud-Kunden) verbleiben. Dies kann durch die Implementierung eines sicheren Schlüsselmanagementsystems adressiert werden. Wenn ein Schlüsselmanagementsystem verwendet wird, müssen die Schlüssel vor einer Nutzung geschützt werden, die nicht ausdrücklich vom Eigentümer des Schlüssels autorisiert wurde, und sie müssen im Klartext unzugänglich bleiben.
Dieses Kriterium gilt nicht für Daten, die aus funktionalen Gründen für die Bereitstellung des Cloud-Dienstes nicht verschlüsselt werden können.
Wenn der Cloud-Anbieter einen Master-Schlüssel verwendet, testet der Cloud-Anbieter regelmäßig die Eignung des Designs und die betriebliche Wirksamkeit der jeweiligen Kontrollen zum Schutze des Master-Keys.
Ergänzende Information
Gilt auch für 02B
Die Nutzung eines Master-Schlüssels durch den Cloud-Anbieter kann eine Ausnahme von der Anforderung darstellen, dass Schlüssel nur für die Cloud-Kunden zugänglich sind.
Zusatzkriterium
CRY-05.01AC
Zusatz, erweiterndDer Cloud-Anbieter stellt sicher, dass sichere Verschlüsselungsmechanismen vorhanden sind, um die Wiederherstellung von Cloud-Kundendaten zu verhindern, wenn Ressourcen neu zugewiesen oder physische Medien wiedereingesetzt werden.
Ergänzende Information
Die Anforderung 'nur für den Cloud-Kunden zugänglich' bedeutet, dass Verschlüsselungsschlüssel ausschließlich im Wissen und unter der Kontrolle des Eigentümers (d. h. des Cloud-Kunden) verbleiben. Dies kann durch die Implementierung eines sicheren Schlüsselmanagementsystems adressiert werden. Wenn ein Schlüsselmanagementsystem verwendet wird, müssen die Schlüssel vor einer Nutzung geschützt werden, die nicht ausdrücklich vom Eigentümer des Schlüssels autorisiert wurde, und sie müssen im Klartext unzugänglich bleiben.
Dieses Kriterium gilt nicht für Daten, die aus funktionalen Gründen für die Bereitstellung des Cloud-Dienstes nicht verschlüsselt werden können.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen für diejenigen Teile des Cloud-Dienstes unter ihrer Verantwortung (z. B. virtuelle Maschinen innerhalb einer IaaS-Lösung) sicher, dass ihre Cloud-Kundendaten während der Speicherung entsprechend dem jeweiligen Schutzbedarf verschlüsselt sind.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen