# OPS-05 Schutz vor Malware - Umsetzung

- Bereich: OPS – Regelbetrieb
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/ops-05/

## Basiskriterium

### OPS-05.01B

Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters, die zum Betrieb des Cloud-Dienstes in der Produktionsumgebung verwendet werden, werden gemäß den Richtlinien und Verfahren mit Malware-Schutz konfiguriert.

**Ergänzende Information (zu 01B, 02B, 02AS):**

Der Schutz vor Malware kann durch betriebssystemspezifische Schutzmechanismen oder explizite Schutzprogramme (z. B. zur signatur- und verhaltensbasierten Detektion und Entfernung von Malware) umgesetzt.

Betreibt der Cloud-Anbieter zur Bereitstellung des Cloud-Dienstes Schadsoftware-geschützte Container oder virtuelle Maschinen, sollte der Schadsoftware-Schutz containerspezifische Maßnahmen umfassen. Dies kann beispielsweise die Überwachung der Container-Images und der Container-Laufzeit sowie aufgrund des häufigen Startens und Stoppens der Container auch Echtzeit-Scans und -Überwachungsprozesse umfassen.

**Ergänzende Information:**

Für Endgeräte, die vom Personal des Cloud-Anbieters verwendet werden, wird die Anwendbarkeit dieses Unterkriteriums auf der Grundlage der gemäß AM-08 durchgeführten Risikobeurteilung bestimmt.

### OPS-05.02B

Soweit Schutzprogramme mit einer signatur- und/oder verhaltensbasierten Detektion und Entfernung von Malware eingerichtet sind, werden diese Schutzprogramme regelmäßig, mindestens täglich, mit den neuesten Malware-Definitionen aktualisiert, sobald diese verfügbar sind.

### OPS-05.03B

Der Cloud-Anbieter erstellt regelmäßige Berichte über die durchgeführten Überprüfungen der betriebenen Schutzprogramme, die von autorisierten Personen, Teams oder Gremien überprüft und analysiert werden.

## Zusatzkriterium

### OPS-05.02AS (Zusatz, verschärft 02B)

Soweit Schutzprogramme mit einer signatur- und/oder verhaltensbasierten Detektion und Entfernung von Malware eingerichtet sind, werden diese Schutzprogramme regelmäßig, mit der höchsten Häufigkeit, die der bzw. die Anbieter gegebenenfalls anbieten, mit den neuesten Malware-Definitionen aktualisiert, sobald diese verfügbar sind.

### OPS-05.01AC (Zusatz, erweiternd)

Richtlinien und Verfahren beschreiben die technischen Maßnahmen, die ergriffen werden, um die Managementkonsole (sowohl den Self-Service des Cloud-Kunden als auch die Cloud-Administration des Cloud-Anbieter) sicher zu konfigurieren und zu überwachen, um sie vor Malware zu schützen.

### OPS-05.02AC (Zusatz, erweiternd)

Die Konfiguration der Schutzmechanismen wird automatisch überwacht.

### OPS-05.03AC (Zusatz, erweiternd)

Abweichungen von den Vorgaben werden automatisch an das dafür sachverständige Personal berichtet, um diese umgehend einer Beurteilung zu unterziehen und erforderliche Maßnahmen einzuleiten.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass die Schichten des Cloud-Dienstes, für die sie verantwortlich sind, über Sicherheitsprodukte zur Detektion und Entfernung von Schadsoftware verfügen.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Modified requirement regarding the frequency of signature updates to whenever such updates are available, but at least daily.

Moved requirement regarding the creation of regular reports from the former OPS-04 additional criterion to this basic criterion.

**Zusatzkriterium:**

Removed original additional criterion of former OPS-05.

Added requirements from the former OPS-04 additional criterion regarding technical measures for configuring and monitoring the management console, and for updates being applied at the highest frequency offered by the vendor.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.