# INQ-04 Kommunikation technischer Verfahren zur Datenoffenlegung bei behördlichen Auskunfts- und Herausgabeverlangen

- Bereich: INQ – Umgang mit behördlichen Auskunfts- und Herausgabeverlangen
- Gegenüber C5:2020: neu in C5:2026
- Webseite: https://c5.patrickscheid.de/inq-04/

**Ergänzende Information:**

Das Kriterium ist auf Cloud-Kundendaten beschränkt. Der Cloud-Anbieter hat typischerweise Zugriff auf andere Datentypen wie abgeleitete Cloud-Dienstdaten und Kontodaten, sodass eine Ausweitung des Kriteriums auf diese anderen Datentypen möglicherweise nicht zu nützlichen Informationen für das Risikomanagement der Cloud-Kunden führt. Technische Fähigkeiten und Beschränkungen beim Zugriff auf Cloud-Kundendaten umfassen Aspekte wie:

1. Ob die Cloud-Kunden ihre Cloud-Kundendaten unverschlüsselt speichern;
2. Ob der Cloud-Anbieter Cloud-Kundendaten bei der Speicherung und Übertragung verschlüsselt;
3. Ob der Cloud-Anbieter die Fähigkeit hat, Cloud-Kundendaten im Falle solcher behördlichen Auskunfts- und Herausgabeverlangen zu entschlüsseln, und wie diese Fähigkeit zum Zugriff oder zur Offenlegung genutzt wird;
4. Aufbewahrungsfristen für abgeleitete Cloud-Dienstdaten in Bezug zum Cloud-Kunden und ob solche Daten in verschlüsselter Form gespeichert werden;
5. Möglichkeiten zur Entschlüsselung von Cloud-Kundendaten oder zur Extraktion von Cloud-Kundendaten während des Entschlüsselungsprozesses;
6. Offenlegung von Benutzeridentitäten und Anmeldedaten; und
7. Weitere Maßnahmen, die geschaffen wurden oder genutzt werden können, um Cloud-Kundendaten offenzulegen.

## Basiskriterium

### INQ-04.01B

Der Cloud-Anbieter dokumentiert die technischen Verfahren je Dienst und sonstige technische Informationen bezüglich der Bereitstellung oder Offenlegung von Cloud-Kundendaten als Reaktion auf gültige behördliche Auskunfts- und Herausgabeverlangen und stellt sie den Cloud-Kunden zur Verfügung.

### INQ-04.02B

Art und Umfang der den Cloud-Kunden bereitgestellten Informationen richten sich nach den Bedürfnissen ihres sachverständigen Personals zur Bewertung von Risiken für die Vertraulichkeit der Cloud-Kundendaten. Mindestens werden die folgenden Aspekte behandelt:

1. Der Prozess für die Bereitstellung und Offenlegung von Cloud-Kundendaten als Reaktion auf berechtigte behördliche Auskunfts- und Herausgabeverlangen;
2. Die technischen Fähigkeiten und Beschränkungen des Cloud-Anbieters hinsichtlich der Offenlegung von Cloud-Kundendaten;
3. Protokollierungsmechanismen, die implementiert wurden, um Zugriffe für die Offenlegung von Cloud-Kundendaten aufzuzeichnen;
4. Zugriffsmöglichkeiten für Cloud-Kunden zur Einsicht in solche Protokolle;
5. Methoden und technische Verfahren je Dienst für den Zugriff auf und die Offenlegung von Cloud-Kundendaten; und
6. Gesetze, Vorschriften oder andere rechtliche Mittel und ihre Anwendbarkeit in Bezug auf die Fähigkeit des Cloud-Anbieters, seine Cloud-Kunden über die Bereitstellung und Offenlegung von Cloud-Kundendaten zu informieren.

### INQ-04.03B

Das vorgenannte Dokument wird in Übereinstimmung mit SP-01 gepflegt und an den Leitlinien des Cloud-Anbieters zur Minimierung des Zugriffs auf Cloud-Kundendaten (vgl. DEV-01) ausgerichtet, um seine Relevanz und Genauigkeit für Cloud-Kunden sicherzustellen.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie eine potenzielle Offenlegung ihrer Cloud-Kundendaten minimieren. Entsprechend dem Schutzbedarf der Cloud-Kundendaten treffen die Cloud-Kunden die Entscheidung, ob der jeweilige Cloud-Dienst genutzt werden kann oder ob das Risiko einer Offenlegung zu hoch ist.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.