# INQ-01 Juristische Bewertung von behördlichen Auskunfts- und Herausgabeverlangen

- Bereich: INQ – Umgang mit behördlichen Auskunfts- und Herausgabeverlangen
- Gegenüber C5:2020: geändert (vorher INQ-01, INQ-03)
- Webseite: https://c5.patrickscheid.de/inq-01/

## Basiskriterium

### INQ-01.01B

Behördliche Auskunfts- und Herausgabeverlangen nach Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten und Kontodaten unterliegen einer dokumentierten juristischen Bewertung durch sachverständiges Personal des Cloud-Anbieters. Die Bewertung bestimmt, ob die Regierungsbehörde über eine anwendbare und rechtsgültige Rechtsgrundlage verfügt und welche weiteren Schritte für das vorliegende behördliche Auskunfts- und Herausgabeverlangen zu unternehmen sind.

**Ergänzende Information:**

Zu Nachweiszwecken bilden alle behördlichen Auskunfts- und Herausgabeverlangen, die im festgelegten Zeitraum vollständig bearbeitet wurden, die Grundgesamtheit für die Prüfung der Wirksamkeit der Kontrollen im Betrieb zur Erfüllung der Kriterien in dieser Domäne. Alle behördlichen Auskunfts- und Herausgabeverlangen sind in die Grundgesamtheit einzubeziehen, unabhängig davon, ob sie zur Offenlegung von Cloud-Kundendaten oder abgeleiteten Cloud-Dienstdaten geführt haben.

### INQ-01.02B

Der Zugriff auf oder die Offenlegung von Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten oder Kontodaten als Reaktion auf behördliche Auskunfts- und Herausgabeverlangen ist nur zulässig, wenn der Cloud-Anbieter eine juristische Beurteilung durchgeführt hat. Diese Beurteilung muss bestätigen, dass eine anwendbare und gültige Rechtsgrundlage vorliegt und dass dem behördlichen Auskunfts- und Herausgabeverlangen auf Grundlage dieser stattgegeben werden muss.

**Ergänzende Information:**

Die Offenlegung von Cloud-Kundendaten an Regierungsbehörden kann die Herausgabe von Verschlüsselungsschlüsseln einschließen. In diesem Fall gilt auch das Verfahren gemäß der INQ-Kriterien. Insbesondere ist mit Verweis auf INQ-03 darauf zu achten, dass durch die Herausgabe eines Schlüssels keine anderen Cloud-Kundendaten beeinträchtigt werden.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass Art und Umfang der behördlichen Auskunfts- und Herausgabeverlangen sowie die damit verbundene Offenlegung ihrer eigenen Daten in ihrem eigenen Risikomanagement behandelt wurden und dass die Nutzung des Cloud-Dienstes nur aufgenommen oder fortgeführt wird, wenn dieses Risiko als akzeptabel eingestuft wurde.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Merged the former INQ-01 and INQ-03 into one criterion.

Specified which data types the criterion applies to.

Otherwise, linguistic adaptation without changes in content.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.