OPS-05 Schutz vor Malware - Umsetzung
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Modified requirement regarding the frequency of signature updates to whenever such updates are available, but at least daily.
Moved requirement regarding the creation of regular reports from the former OPS-04 additional criterion to this basic criterion.
Zusatzkriterium
Removed original additional criterion of former OPS-05.
Added requirements from the former OPS-04 additional criterion regarding technical measures for configuring and monitoring the management console, and for updates being applied at the highest frequency offered by the vendor.
Wortlaut in C5:2020
Basiskriterium
System components under the Cloud Service Provider's responsibility that are used to deploy the cloud service in the production environment are configured with malware protection according to the policies and instructions. If protection programs are set up with signature and behaviour-based malware detection and removal, these protection programs are updated at least daily.
Zusatzkriterium
The configuration of the protection mechanisms is monitored automatically. Deviations from the specifications are automatically reported to the responsible authorities so that they can be immediately assessed and the necessary measures taken.
Basiskriterium
Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters, die zum Betrieb des Cloud-Dienstes in der Produktionsumgebung verwendet werden, werden gemäß den Richtlinien und Verfahren mit Malware-Schutz konfiguriert.
Ergänzende Information
Der Schutz vor Malware kann durch betriebssystemspezifische Schutzmechanismen oder explizite Schutzprogramme (z. B. zur signatur- und verhaltensbasierten Detektion und Entfernung von Malware) umgesetzt.
Betreibt der Cloud-Anbieter zur Bereitstellung des Cloud-Dienstes Schadsoftware-geschützte Container oder virtuelle Maschinen, sollte der Schadsoftware-Schutz containerspezifische Maßnahmen umfassen. Dies kann beispielsweise die Überwachung der Container-Images und der Container-Laufzeit sowie aufgrund des häufigen Startens und Stoppens der Container auch Echtzeit-Scans und -Überwachungsprozesse umfassen.
Ergänzende Information
Für Endgeräte, die vom Personal des Cloud-Anbieters verwendet werden, wird die Anwendbarkeit dieses Unterkriteriums auf der Grundlage der gemäß AM-08 durchgeführten Risikobeurteilung bestimmt.
Soweit Schutzprogramme mit einer signatur- und/oder verhaltensbasierten Detektion und Entfernung von Malware eingerichtet sind, werden diese Schutzprogramme regelmäßig, mindestens täglich, mit den neuesten Malware-Definitionen aktualisiert, sobald diese verfügbar sind.
Ergänzende Information
Der Schutz vor Malware kann durch betriebssystemspezifische Schutzmechanismen oder explizite Schutzprogramme (z. B. zur signatur- und verhaltensbasierten Detektion und Entfernung von Malware) umgesetzt.
Betreibt der Cloud-Anbieter zur Bereitstellung des Cloud-Dienstes Schadsoftware-geschützte Container oder virtuelle Maschinen, sollte der Schadsoftware-Schutz containerspezifische Maßnahmen umfassen. Dies kann beispielsweise die Überwachung der Container-Images und der Container-Laufzeit sowie aufgrund des häufigen Startens und Stoppens der Container auch Echtzeit-Scans und -Überwachungsprozesse umfassen.
Der Cloud-Anbieter erstellt regelmäßige Berichte über die durchgeführten Überprüfungen der betriebenen Schutzprogramme, die von autorisierten Personen, Teams oder Gremien überprüft und analysiert werden.
Zusatzkriterium
OPS-05.02AS
Zusatz, verschärft02BSoweit Schutzprogramme mit einer signatur- und/oder verhaltensbasierten Detektion und Entfernung von Malware eingerichtet sind, werden diese Schutzprogramme regelmäßig, mit der höchsten Häufigkeit, die der bzw. die Anbieter gegebenenfalls anbieten, mit den neuesten Malware-Definitionen aktualisiert, sobald diese verfügbar sind.
Ergänzende Information
Der Schutz vor Malware kann durch betriebssystemspezifische Schutzmechanismen oder explizite Schutzprogramme (z. B. zur signatur- und verhaltensbasierten Detektion und Entfernung von Malware) umgesetzt.
Betreibt der Cloud-Anbieter zur Bereitstellung des Cloud-Dienstes Schadsoftware-geschützte Container oder virtuelle Maschinen, sollte der Schadsoftware-Schutz containerspezifische Maßnahmen umfassen. Dies kann beispielsweise die Überwachung der Container-Images und der Container-Laufzeit sowie aufgrund des häufigen Startens und Stoppens der Container auch Echtzeit-Scans und -Überwachungsprozesse umfassen.
OPS-05.01AC
Zusatz, erweiterndRichtlinien und Verfahren beschreiben die technischen Maßnahmen, die ergriffen werden, um die Managementkonsole (sowohl den Self-Service des Cloud-Kunden als auch die Cloud-Administration des Cloud-Anbieter) sicher zu konfigurieren und zu überwachen, um sie vor Malware zu schützen.
OPS-05.02AC
Zusatz, erweiterndDie Konfiguration der Schutzmechanismen wird automatisch überwacht.
OPS-05.03AC
Zusatz, erweiterndAbweichungen von den Vorgaben werden automatisch an das dafür sachverständige Personal berichtet, um diese umgehend einer Beurteilung zu unterziehen und erforderliche Maßnahmen einzuleiten.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass die Schichten des Cloud-Dienstes, für die sie verantwortlich sind, über Sicherheitsprodukte zur Detektion und Entfernung von Schadsoftware verfügen.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen