# PI-01 Sicherheit von Eingabe- und Ausgabeschnittstellen - Bereich: PI – Portabilität und Interoperabilität - Gegenüber C5:2020: geändert - Webseite: https://c5.patrickscheid.de/pi-01/ **Ergänzende Information:** In diesem Kontext ist eine Schnittstelle ein Systemzugangspunkt oder eine Bibliotheksfunktion mit einer wohldefinierten Syntax. Sie umfasst dokumentierte Methoden, die es Cloud-Kunden ermöglichen, sicher auf den Cloud-Dienst zuzugreifen und mit ihm zu interagieren, wodurch der Austausch von Daten ermöglicht wird. Diese Schnittstellen und ihre Dokumentation sollten ausreichende Informationen über den Cloud-Dienst enthalten, um die Entwicklung von Software zu ermöglichen, die zum Zweck der Datenportabilität und Interoperabilität mit ihm kommuniziert. Der Cloud-Anbieter ist jedoch nicht verpflichtet, zu diesem Zweck neue Technologien zu entwickeln oder Informationen weiterzugeben, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen. Während diese Schnittstellen die Mittel zur Kommunikation mit dem Cloud-Dienst bereitstellen, bedeuten sie nicht, dass Cloud-Kunden ihre kundenspezifischen Systeme direkt anschließen können, als wären diese nativ integriert. Stattdessen können Cloud-Kunden ihre Systeme konfigurieren, indem sie Methoden wie API-Aufrufe verwenden und die vom Cloud-Anbieter bereitgestellten festgelegten Protokolle und Datenformate einhalten. Um eine nahtlose und sichere Kommunikation zwischen Schnittstellen sicherzustellen, verwendet der Cloud-Anbieter branchenübliche API-Protokolle und implementiert dem Stand der Technik entsprechende Transportschichtsicherheit. Der Cloud-Anbieter unterstützt plattformübergreifende Informationsverarbeitung durch den Einsatz von Containerisierungstechnologien und Cloud-Anbieter-agnostischen Entwicklungs-Frameworks. Infrastructure as Code Verfahren werden übernommen, um die Bereitstellung von Infrastruktur zu standardisieren. Gemeinsame Richtlinien zur Datennutzung werden definiert und durchgesetzt, um einen konsistenten und sicheren Zugriff auf Cloud-Kundendaten sowie deren Nutzung und Weitergabe sicherzustellen. Nach Vertragsbeendigung unterstützt der Cloud-Anbieter Cloud-Kunden beim Export und bei der Übertragung ihrer Cloud-Kundendaten, z. B. durch die Bereitstellung technischer Dokumentation und von Datenexportwerkzeugen. ## Basiskriterium ### PI-01.01B Für die Eingabe- und Ausgabeschnittstellen, über die auf den Cloud-Dienst durch andere Cloud-Dienste oder IT-Systeme von Cloud-Kunden zugegriffen werden kann, entwirft, implementiert und pflegt der Cloud-Anbieter Kontrollen hinsichtlich der folgenden Aspekte: 1. Die Verwendung standardisierter Kommunikationsprotokolle für Interaktionen zwischen verschiedenen Anwendungsschnittstellen, um die Vertraulichkeit und Integrität der übertragenen Informationen entsprechend ihrem Schutzbedarf sowie die angemessene Authentisierung des Nutzers sicherzustellen; 2. Die Verwendung von Verschlüsselung gemäß CRY-02 bei Kommunikation über nicht vertrauenswürdige Netze; 3. Die Verwendung standardisierter Datenformate und gemeinsamer Standards der Datenverarbeitung, um die Interoperabilität der Informationsverarbeitung zu erleichtern; 4. Die Implementierung von Mechanismen zur Validierung der Datenintegrität und zur Etablierung von Sicherungs- und Wiederherstellungsprozessen, um Datensicherheit und Zuverlässigkeit während Austausch, Nutzung und Übertragung sicherzustellen; und 5. Die Bereitstellung aktueller Informationen über die verfügbaren Kommunikationsprotokolle sowie die anwendbaren Datenformate und Standards der Datenverarbeitung. ### PI-01.02B Der Cloud-Anbieter stellt dem Cloud-Kunden geeignete technische Mittel zur Extraktion von Cloud-Kundendaten gemäß dem vorherigen Unterkriterium zur Verfügung. Soweit Datenvolumen, Format oder Architektur eine kundenseitige Extraktion nicht praktikabel machen, stellt der Cloud-Anbieter dem Cloud-Kunden angemessene Extraktionsdienste zur Verfügung. ## Zusatzkriterium ### PI-01.01AC (Zusatz, erweiternd) Der Cloud-Anbieter richtet eine Anwendungs-Firewall ein, um die über öffentliche Netze erreichbaren Administrationsschnittstellen für Cloud-Kunden zu schützen. ### PI-01.02AC (Zusatz, erweiternd) Der Cloud-Dienst stellt Cloud-Kunden Schnittstellen für kundenspezifische Identitätsanbieter zur Verfügung, um die Authentisierungsinformationen von Nutzern unter der Verantwortung des Cloud-Kunden zu verwalten. Diese Schnittstellen werden von einem standardisierten Protokoll begleitet, um die Kommunikation zwischen dem Cloud-Dienst und dem externen Identitätsanbieter zu erleichtern. ### PI-01.03AC (Zusatz, erweiternd) Die Schnittstellen sind klar dokumentiert, um sachverständigem Personal des Cloud-Kunden die Integration ihres Identitätsanbieters mit dem Cloud-Dienst zu ermöglichen. ## Korrespondierende Kriterien für Kunden Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die bereitgestellten Schnittstellen (und deren Sicherheit) durch geeignete Prüfungen vor Beginn der Nutzung des Cloud-Dienstes und jedes Mal, wenn die Schnittstellen geändert werden, für ihren Schutzbedarf angemessen sind. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Moved requirement regarding the documentation of inbound and outbound interfaces to PSS-01 to focus this criterion on the implementation of the interfaces. Extended requirements for the interfaces by the use of standardised data formats and common data processing standards, the implementation of mechanisms to validate data integrity and establish backup and recovery processes, and the provision of up-to-date information about the available communication protocols. Added requirement regarding the provision of technical means for extracting cloud service customer data. **Zusatzkriterium:** Additional criterion newly included. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.