# CRY-08 Ausstellung von Public-Key-Zertifikaten

- Bereich: CRY – Kryptographie und Schlüsselmanagement
- Gegenüber C5:2020: geändert (vorher CRY-04)
- Webseite: https://c5.patrickscheid.de/cry-08/

## Basiskriterium

### CRY-08.01B

Der Cloud-Anbieter hat Verfahren dokumentiert und umgesetzt, um Public-Key-Zertifikate sicher auszustellen, einzuholen und dabei die Integrität und Authentizität kryptographischer Schlüssel sicherzustellen. Diese Verfahren umfassen:

1. Überprüfung der Identität vor der Ausstellung von Public-Key-Zertifikaten, die vom Cloud-Anbieter oder in seinem Auftrag für seine eigenen Systemkomponenten oder sein Personal ausgestellt werden, um sicherzustellen, dass sie legitimen Entitäten gewährt werden;
2. Sichere Methoden für die Ausstellung von Zertifikaten, die vom Cloud-Anbieter oder in seinem Auftrag für seine eigenen Systemkomponenten oder sein Personal ausgestellt werden, um unbefugten Zugriff zu verhindern; und
3. Verfahren zur Einholung von Public-Key-Zertifikaten von vertrauenswürdigen Zertifizierungsstellen, um die Authentizität der vom Cloud-Anbieter verwendeten Zertifikate sicherzustellen.

**Ergänzende Information:**

Die ersten beiden Aufzählungspunkte gelten für Zertifikate, die vom Cloud-Anbieter oder in seinem Auftrag für seine eigenen Systemkomponenten und sein Personal ausgestellt werden. Wenn der Cloud-Anbieter Zertifizierungsstellendienste für Cloud-Kunden anbietet, gilt das Prinzip der geteilten Verantwortung, d. h. der Cloud-Anbieter sollte sicherstellen, dass der Cloud-Dienst angemessene technische Maßnahmen bereitstellt, damit Cloud-Kunden eine angemessene Identitätsprüfung durchführen können (vgl. auch die korrespondierenden Kontrollen der Cloud-Kunden).

Der dritte Aufzählungspunkt gilt für Zertifikate, die der Cloud-Anbieter von externen Zertifizierungsstellen zur Verwendung in seinen eigenen Cloud-Dienst und Systemkomponenten einholt. Der Cloud-Anbieter sollte sicherstellen, dass Zertifikate nur von vertrauenswürdigen Zertifizierungsstellen eingeholt werden und dass die Authentizität erhaltener Zertifikate vor der Nutzung verifiziert wird. Dieses Kriterium erstreckt sich nicht notwendigerweise auf Zertifikate, die Cloud-Kunden von externen Zertifizierungsstellen für ihre eigenen Zwecke einholen; die Auswahl und Validierung externer Zertifizierungsstellen durch Cloud-Kunden fällt im Modell der geteilten Verantwortung in den Verantwortungsbereich der Cloud-Kunden.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass dort, wo sie vom Cloud-Anbieter bereitgestellte Zertifizierungsstellendienste nutzen, dem ausgestellten Zertifikat angemessene Identitätsprüfungsverfahren umgesetzt werden und die vom Cloud-Dienst bereitgestellten technischen Kontrollen so konfiguriert sind, dass sie die Identitätsprüfung ermöglichen und durchsetzen. Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass dort, wo sie Zertifikate von externen Zertifizierungsstellen für ihre eigene Nutzung beschaffen, Verfahren zur Auswahl vertrauenswürdiger Zertifizierungsstellen und zur Validierung der Authentizität beschaffter Zertifikate festgelegt sind.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Dissolved the former key management criterion and moved public-key certificate issuance into its own criterion with extended requirements.

**Zusatzkriterium:**

Dissolved the former key management criterion and moved public-key certificate issuance into its own criterion, to which the former key management additional criterion does not apply.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.