GC-05 Angaben zum Umgang mit Untersuchungsanfragen von staatlichen Stellen
Anforderung
Der Cloud-Anbieter macht in der Systembeschreibung des für die Entwicklung und den Betrieb des Cloud-Dienstes relevanten internen Kontrollsystems des Cloud-Anbieters nachvollziehbare und transparente Angaben wie Untersuchungsanfragen von staatlichen Stellen auf Zugriff auf oder Offenlegung von Cloud-Kundendaten behandelt werden. Die Angaben umfassen folgende Aspekte:
- Verfahren zur Verifizierung der Rechtsgrundlage solcher Anfragen;
- Verfahren zur Information und Einbindung der betroffenen Cloud-Kunden bei Erhalt solcher Anfragen;
- Widerspruchsmöglichkeiten der betroffenen Cloud-Kunden;
- Ob der Cloud-Anbieter Cloud-Kundendaten oder abgeleitete Cloud-Dienstdaten unverschlüsselt speichert;
- Ob der Cloud-Anbieter bei Cloud-Kundendaten oder abgeleiteten Cloud-Dienstdaten im Falle solcher Anfragen die Möglichkeit zur Entschlüsselung hat und wie er diese für den Zugriff oder die Offenbarung anwendet;
- Die Anzahl der Untersuchungsanfragen zu Cloud-Kundendaten oder abgeleiteten Cloud-Dienstdaten und die Länder, aus denen diese Anfragen stammen; und
- Wie oft diese Anfragen dazu führten, dass der Cloud-Anbieter Cloud-Kundendaten oder abgeleitete Cloud-Dienstdaten an die Regierungsbehörde weitergab.
Der Umfang der Angaben orientiert sich am Bedarf sachverständigen Personals der Cloud-Kunden, die Vorgaben zur Informationssicherheit machen, diese umsetzen oder die Umsetzung überprüfen und die Eignung des Cloud-Dienstes aus rechtlicher und regulatorischer Sicht beurteilen (bspw. IT, Compliance, Interne Revision).
Zusätzliche Angaben zu den technischen Verfahren für die Datenoffenlegung sind gemäß INQ-04 mit den Cloud-Kunden zu kommunizieren. Falls die Systembeschreibung des für die Entwicklung und den Betrieb des Cloud-Dienstes relevanten internen Kontrollsystems des Cloud-Anbieters mehrere Cloud-Dienste behandelt, sind Unterschiede in den technischen Verfahren zwischen den einzelnen Diensten innerhalb der bereitgestellten Angaben zu erläutern.
Hinweis
Die Rechtsgrundlage, auf der diese staatlichen Stellen beruhen (z. B. Strafverfolgungsbehörden, Nachrichtendienste), kann von Land zu Land unterschiedlich sein. Insbesondere ist die anwendbare Gerichtsbarkeit an den Standorten zu berücksichtigen, an denen Cloud-Kundendaten und abgeleitete Cloud-Dienstdaten verarbeitet, gespeichert und gesichert werden.
In Deutschland werden solche Befugnisse durch die Gesetze des Bundeskriminalamts (oder die Gesetze der jeweiligen Landesämter), verschiedene Verfahrensordnungen für Gerichte und die Gesetze für Nachrichtendienste (BNDG, BVerfSchG, jeweilige Gesetze über die Verfassungsschutzämter der Bundesländer, MADG) sowie das G10-Gesetz geregelt.
Weitere innerhalb der EU geltende Regelungen sind z. B. das Budapester Übereinkommen über Computerkriminalität (ETS Nr. 185), sowie die EU-Richtlinien 2023/1543 und 2023/1544 zur Schaffung eines Rechtsrahmens für die Erlangung und Sicherung elektronischer Beweismittel in Strafverfahren in den Mitgliedstaaten der EU.
In anderen Ländern sind andere Gesetze einschlägig und dem Cloud-Kunden ggf. nur vereinzelt aus den Medien bekannt, z. B. der CLOUD Act ('Clarifying Lawful Overseas Use of Data Act') aus den USA oder das Cyber Security Law der Volkrepublik China. In Verbindung mit den anderen Informationen zum Cloud-Dienst soll es dem Kunden möglich sein, mit diesen Informationen eine Risikoabschätzung der eigenen Betroffenheit vorzunehmen.
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen