# OPS-34 Container-Management - Richtlinien und Verfahren

- Bereich: OPS – Regelbetrieb
- Gegenüber C5:2020: neu in C5:2026
- Webseite: https://c5.patrickscheid.de/ops-34/

## Basiskriterium

### OPS-34.01B

Richtlinien und Verfahren mit technischen und organisatorischen Maßnahmen zur Planung und Verwaltung von Containern werden gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt. Diese Richtlinien und Verfahren enthalten Vorgaben für den gesamten Container-Lebenszyklus, die mindestens folgende Aspekte betreffen:

1. Image-Erstellung, -Test und -Validierung;
2. Image-Aufbewahrung und -Abruf;
3. Containerbereitstellung und -verwaltung;
4. Containerbetrieb; und
5. Außerbetriebnahme von Images und Containern.

### OPS-34.02B

Die Richtlinien und Verfahren beschreiben Maßnahmen entlang des Lebenszyklus von Containern und adressieren mindestens folgende Aspekte:

1. Container werden nach einem dokumentierten Prozess inventarisiert (vgl. AM-02, AM-03, AM-09);
2. Der Bedarf an Malware-Schutz wird beurteilt und ggf. sichergestellt (vgl. OPS-05);
3. Die Protokollierung und Überwachung von Ereignissen erfolgt entlang des Container-Lebenszyklus und wird gemäß einem definierten Protokollierungsrahmenwerks durchgeführt (vgl. OPS-10, OPS-12);
4. Cloud-Kundendaten werden auf der Grundlage einer Risikobeurteilung getrennt (vgl. OPS-30);
5. Der Zugriff auf den Container-Host sollte gemäß einem Rollen- und Rechterahmenwerk und einer Richtlinie zur Verwaltung des Zugriffs und der Zugriffsberechtigungen erfolgen (vgl. IAM-01, IAM-06);
6. Auf Containern gespeicherte Daten und Daten im Transport sollten vom Anbieter soweit möglich gemäß der Verschlüsselungsrichtlinie (vgl. CRY-01) verschlüsselt werden;
7. Maßnahmen zur Gewährleistung der Netzsicherheit werden festgelegt. Dazu gehören beispielsweise Maßnahmen zur Detektion von Netzanomalien (vgl. COS-01 und COS-03) wie unerwartete Datenflüsse innerhalb des Netzes oder unerwünschte Zugriffsversuche;
8. Änderungen an Containern und Images erfolgen nach einem geregelten Prozess (vgl. DEV-03); und
9. Härtungsprozesse werden nach allgemeinen Branchenstandards durchgeführt, um sicherzustellen, dass keine unnötigen Systemdienste ausgeführt werden (vgl. PSS-11).

## Zusatzkriterium

### OPS-34.01AC (Zusatz, erweiternd)

Darüber hinaus beschreiben die Richtlinien und Verfahren Maßnahmen entlang des Lebenszyklus von Containern, die mindestens folgende Aspekte adressieren:

1. Container-Images werden kryptographisch signiert und der Signaturschlüssel sicher gespeichert (vgl. CRY-10), um ihre Authentizität und Integrität sicherzustellen;
2. Das Containerverhalten wird mithilfe von Laufzeitsicherheitskontrollen überwacht und eingeschränkt; und
3. Softwareprodukte, die für die Bereitstellung von Container-Images verwendet werden, werden, soweit möglich, regelmäßig auf bekannte Schwachstellen oder schädliche Komponenten in Container-Images und Abhängigkeiten überprüft.

**Ergänzende Information:**

Im Falle von Drittanbieter- und Open-Source-Softwareprodukten, die für die Bereitstellung von Container-Images verwendet werden, entsprechen die Scanverfahren den in DEV-14 definierten Richtlinien und Verfahren.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.