INQ · Umgang mit behördlichen Auskunfts- und Herausgabeverlangen
INQ-01 Juristische Bewertung von behördlichen Auskunfts- und Herausgabeverlangen
Geändert gegenüber C5:2020 · vorher INQ-01 und INQ-03
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Merged the former INQ-01 and INQ-03 into one criterion.
Specified which data types the criterion applies to.
Otherwise, linguistic adaptation without changes in content.
Wortlaut in C5:2020
Basiskriterium
Investigation requests from government agencies are subjected to a legal assessment by subject matter experts of the Cloud Service Provider. The assessment determines whether the government agency has an applicable and legally valid legal basis and what further steps need to be taken.
Access to or disclosure of cloud customer data in connection with government investigation requests is subject to the proviso that the Cloud Service Provider's legal assessment has shown that an applicable and valid legal basis exists and that the investigation request must be granted on that basis.
Basiskriterium
Behördliche Auskunfts- und Herausgabeverlangen nach Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten und Kontodaten unterliegen einer dokumentierten juristischen Bewertung durch sachverständiges Personal des Cloud-Anbieters. Die Bewertung bestimmt, ob die Regierungsbehörde über eine anwendbare und rechtsgültige Rechtsgrundlage verfügt und welche weiteren Schritte für das vorliegende behördliche Auskunfts- und Herausgabeverlangen zu unternehmen sind.
Ergänzende Information
Zu Nachweiszwecken bilden alle behördlichen Auskunfts- und Herausgabeverlangen, die im festgelegten Zeitraum vollständig bearbeitet wurden, die Grundgesamtheit für die Prüfung der Wirksamkeit der Kontrollen im Betrieb zur Erfüllung der Kriterien in dieser Domäne. Alle behördlichen Auskunfts- und Herausgabeverlangen sind in die Grundgesamtheit einzubeziehen, unabhängig davon, ob sie zur Offenlegung von Cloud-Kundendaten oder abgeleiteten Cloud-Dienstdaten geführt haben.
Der Zugriff auf oder die Offenlegung von Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten oder Kontodaten als Reaktion auf behördliche Auskunfts- und Herausgabeverlangen ist nur zulässig, wenn der Cloud-Anbieter eine juristische Beurteilung durchgeführt hat. Diese Beurteilung muss bestätigen, dass eine anwendbare und gültige Rechtsgrundlage vorliegt und dass dem behördlichen Auskunfts- und Herausgabeverlangen auf Grundlage dieser stattgegeben werden muss.
Ergänzende Information
Die Offenlegung von Cloud-Kundendaten an Regierungsbehörden kann die Herausgabe von Verschlüsselungsschlüsseln einschließen. In diesem Fall gilt auch das Verfahren gemäß der INQ-Kriterien. Insbesondere ist mit Verweis auf INQ-03 darauf zu achten, dass durch die Herausgabe eines Schlüssels keine anderen Cloud-Kundendaten beeinträchtigt werden.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass Art und Umfang der behördlichen Auskunfts- und Herausgabeverlangen sowie die damit verbundene Offenlegung ihrer eigenen Daten in ihrem eigenen Risikomanagement behandelt wurden und dass die Nutzung des Cloud-Dienstes nur aufgenommen oder fortgeführt wird, wenn dieses Risiko als akzeptabel eingestuft wurde.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen