PSS-01 Leitlinien und Empfehlungen für Cloud-Kunden
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Excluded installation of the cloud service from and included implementation of complementary customer controls on the list of aspects in which the published information is supposed to assist.
Extended the list of aspects to be covered by the published information by malware protection for containers or virtual machines, CUECs, encryption mechanisms and services, data leakage prevention, secure development and operation of applications, use and configuration of defensive mechanisms and wide-area distributed architecture mechanisms, methods used for data separation, logging and monitoring, as well as inbound and outbound interfaces.
Added further specification for the information on CUECs to be provided.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Additional criterion newly included.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider provides cloud customers with guidelines and recommendations for the secure use of the cloud service provided. The information contained therein is intended to assist the cloud customer in the secure configuration, installation and use of the cloud service, to the extent applicable to the cloud service and the responsibility of the cloud user.
The type and scope of the information provided will be based on the needs of subject matter experts of the cloud customers who set information security requirements, implement them or verify the implementation (e.g. IT, Compliance, Internal Audit). The information in the guidelines and recommendations for the secure use of the cloud service address the following aspects, where applicable to the cloud service:
- Instructions for secure configuration;
- Information sources on known vulnerabilities and update mechanisms;
- Error handling and logging mechanisms;
- Authentication mechanisms;
- Roles and rights concept including combinations that result in an
elevated risk; and
- Services and functions for administration of the cloud service by privileged users.
The information is maintained so that it is applicable to the cloud service provided in the version intended for productive use.
Basiskriterium
Der Cloud-Anbieter veröffentlicht Leitlinien und Empfehlungen für Cloud-Kunden hinsichtlich der sicheren Nutzung des bereitgestellten Cloud-Dienstes. Die darin enthaltenen Informationen sollen den Cloud-Kunden bei der sicheren Konfiguration und Nutzung des Cloud-Dienstes sowie, soweit auf den Cloud-Dienst und den Verantwortungsbereich des Cloud-Kunden anwendbar, bei der Umsetzung korrespondierender Kontrollen des Cloud-Kunden unterstützen.
Ergänzende Information
In einer Cloud-Umgebung werden Sicherheitsverantwortlichkeiten zwischen dem Cloud-Anbieter und dem Cloud-Kunden geteilt, wobei sie je nach Servicemodel — Infrastructure as a Service (IaaS), Platform as a Service (PaaS) oder Software as a Service (SaaS) — variieren. Leitlinien zu den korrespondierenden Kontrollen helfen Cloud-Kunden, ihre Rollen und Verantwortlichkeiten innerhalb des Shared Responsibility Model auch im Hinblick auf Sicherheits- und Betriebsmanagement zu verstehen (vgl. OIS-03). Durch das Angebot detaillierter Leitlinien werden Cloud-Kunden in die Lage versetzt, die erforderlichen Kontrollen zu verstehen und umzusetzen, die in ihren Verantwortungsbereich fallen. Der Detaillierungsgrad und der Umfang können je nach Art des bereitgestellten Cloud-Dienstes variieren.
Beispiele für defensive Mechanismen sind Payload-Filterung, Traffic Shaping, Load Balancing, Load Shedding und DDoS-Abwehr.
Beispiele für Mechanismen verteilter Weitverkehrsarchitekturen sind Fehlertoleranz durch Replikation, die Vermeidung lokalisierter Ausfälle und Katastrophen durch die Nutzung mehrerer Cloud-Regionen sowie die Verringerung der aufseiten der Cloud-Nutzer wahrgenommenen Latenz durch die geografische Verteilung von Dienstendpunkten.
Die Art und der Umfang der Informationen in den Leitlinien und Empfehlungen für die sichere Nutzung des bereitgestellten Cloud-Dienstes richten sich nach den Bedürfnissen des sachverständigen Personals der Cloud-Kunden, die Informationssicherheitsanforderungen festlegen, umsetzen oder deren Umsetzung überprüfen (z. B. IT, Compliance, Interne Revision). Die Informationen in den Leitlinien und Empfehlungen für die sichere Nutzung des Cloud-Dienstes behandeln, soweit auf den Cloud-Dienst anwendbar, die folgenden Aspekte:
- Verfahren für eine sichere Konfiguration;
- Informationsquellen zu bekannten Schwachstellen und Aktualisierungsmechanismen;
- Malware-Schutz für Container oder virtuelle Maschinen;
- Mechanismen zur Fehlerbehandlung und Protokollierung;
- Authentisierungsmechanismen;
- Rahmenwerk für Rollen und Berechtigungen einschließlich Kombinationen, die zu einem erhöhten Risiko führen;
- Dienste und Funktionen für die Administration des Cloud-Dienstes durch privilegierte Cloud-Nutzer;
- Korrespondierende Kontrollen der Cloud-Kunden;
- Verschlüsselungsmechanismen und -dienste;
- Verhinderung von Datenabfluss;
- Sichere Anwendungsentwicklung und sicherer Betrieb auf dem Cloud-Dienst;
- Anweisungen zur Nutzung und Konfiguration defensiver Mechanismen;
- Anweisungen zur Nutzung und Konfiguration von Mechanismen verteilter Weitverkehrsarchitekturen;
- Methoden, die zur Trennung von Kundendaten verwendet werden (vgl. OPS-30 und OPS-31);
- Wie Cybersicherheitsrisiken im Zusammenhang mit der Nutzung des Cloud-Dienstes durch geeignete Protokollierungs- und Überwachungsmechanismen adressiert werden können; und
- Eingabe und Ausgabeschnittstellen, über die auf den Cloud-Dienst durch andere Cloud-Dienste oder IT-Systeme von Cloud-Kunden zugegriffen werden kann (vgl. PI-01).
Der Cloud-Anbieter beschreibt in der Cloud-Nutzerdokumentation alle erforderlichen korrespondierenden Kontrollen der Cloud-Kunden und entsprechende Erläuterungen dazu, sodass der Cloud-Kunde über ausreichende Informationen für ein angemessenes Risikomanagement auf seiner Seite verfügt.
Die oben genannten Informationen werden so gepflegt, dass sie auf den bereitgestellten Cloud-Dienst, in der für den produktiven Einsatz vorgesehenen Version, anwendbar sind.
Zusatzkriterium
PSS-01.01AC
Zusatz, erweiterndDer Cloud-Anbieter informiert Cloud-Kunden zeitnah über geplante Änderungen am Cloud-Dienst, damit die betroffenen Cloud-Kunden mit organisatorischen und technischen Maßnahmen angemessen reagieren können, bevor die Änderungen wirksam werden.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Informationen des Cloud-Anbieters verwendet werden, um Richtlinien, Rahmenwerke und Maßnahmen für die sichere Konfiguration und Nutzung (gemäß ihrer eigenen Risikobeurteilung) des Cloud-Dienstes abzuleiten. Die Einhaltung dieser Richtlinien, Rahmenwerke und Maßnahmen wird überprüft. Änderungen an den Informationen werden zeitnah hinsichtlich ihrer Auswirkungen auf diese Dokumente bewertet und erforderliche Änderungen werden umgesetzt.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen