# PSS-01 Leitlinien und Empfehlungen für Cloud-Kunden - Bereich: PSS – Produktsicherheit - Gegenüber C5:2020: geändert - Webseite: https://c5.patrickscheid.de/pss-01/ ## Basiskriterium ### PSS-01.01B Der Cloud-Anbieter veröffentlicht Leitlinien und Empfehlungen für Cloud-Kunden hinsichtlich der sicheren Nutzung des bereitgestellten Cloud-Dienstes. Die darin enthaltenen Informationen sollen den Cloud-Kunden bei der sicheren Konfiguration und Nutzung des Cloud-Dienstes sowie, soweit auf den Cloud-Dienst und den Verantwortungsbereich des Cloud-Kunden anwendbar, bei der Umsetzung korrespondierender Kontrollen des Cloud-Kunden unterstützen. **Ergänzende Information:** In einer Cloud-Umgebung werden Sicherheitsverantwortlichkeiten zwischen dem Cloud-Anbieter und dem Cloud-Kunden geteilt, wobei sie je nach Servicemodel — Infrastructure as a Service (IaaS), Platform as a Service (PaaS) oder Software as a Service (SaaS) — variieren. Leitlinien zu den korrespondierenden Kontrollen helfen Cloud-Kunden, ihre Rollen und Verantwortlichkeiten innerhalb des Shared Responsibility Model auch im Hinblick auf Sicherheits- und Betriebsmanagement zu verstehen (vgl. OIS-03). Durch das Angebot detaillierter Leitlinien werden Cloud-Kunden in die Lage versetzt, die erforderlichen Kontrollen zu verstehen und umzusetzen, die in ihren Verantwortungsbereich fallen. Der Detaillierungsgrad und der Umfang können je nach Art des bereitgestellten Cloud-Dienstes variieren. Beispiele für defensive Mechanismen sind Payload-Filterung, Traffic Shaping, Load Balancing, Load Shedding und DDoS-Abwehr. Beispiele für Mechanismen verteilter Weitverkehrsarchitekturen sind Fehlertoleranz durch Replikation, die Vermeidung lokalisierter Ausfälle und Katastrophen durch die Nutzung mehrerer Cloud-Regionen sowie die Verringerung der aufseiten der Cloud-Nutzer wahrgenommenen Latenz durch die geografische Verteilung von Dienstendpunkten. ### PSS-01.02B Die Art und der Umfang der Informationen in den Leitlinien und Empfehlungen für die sichere Nutzung des bereitgestellten Cloud-Dienstes richten sich nach den Bedürfnissen des sachverständigen Personals der Cloud-Kunden, die Informationssicherheitsanforderungen festlegen, umsetzen oder deren Umsetzung überprüfen (z. B. IT, Compliance, Interne Revision). Die Informationen in den Leitlinien und Empfehlungen für die sichere Nutzung des Cloud-Dienstes behandeln, soweit auf den Cloud-Dienst anwendbar, die folgenden Aspekte: 1. Verfahren für eine sichere Konfiguration; 2. Informationsquellen zu bekannten Schwachstellen und Aktualisierungsmechanismen; 3. Malware-Schutz für Container oder virtuelle Maschinen; 4. Mechanismen zur Fehlerbehandlung und Protokollierung; 5. Authentisierungsmechanismen; 6. Rahmenwerk für Rollen und Berechtigungen einschließlich Kombinationen, die zu einem erhöhten Risiko führen; 7. Dienste und Funktionen für die Administration des Cloud-Dienstes durch privilegierte Cloud-Nutzer; 8. Korrespondierende Kontrollen der Cloud-Kunden; 9. Verschlüsselungsmechanismen und -dienste; 10. Verhinderung von Datenabfluss; 11. Sichere Anwendungsentwicklung und sicherer Betrieb auf dem Cloud-Dienst; 12. Anweisungen zur Nutzung und Konfiguration defensiver Mechanismen; 13. Anweisungen zur Nutzung und Konfiguration von Mechanismen verteilter Weitverkehrsarchitekturen; 14. Methoden, die zur Trennung von Kundendaten verwendet werden (vgl. OPS-30 und OPS-31); 15. Wie Cybersicherheitsrisiken im Zusammenhang mit der Nutzung des Cloud-Dienstes durch geeignete Protokollierungs- und Überwachungsmechanismen adressiert werden können; und 16. Eingabe und Ausgabeschnittstellen, über die auf den Cloud-Dienst durch andere Cloud-Dienste oder IT-Systeme von Cloud-Kunden zugegriffen werden kann (vgl. PI-01). ### PSS-01.03B Der Cloud-Anbieter beschreibt in der Cloud-Nutzerdokumentation alle erforderlichen korrespondierenden Kontrollen der Cloud-Kunden und entsprechende Erläuterungen dazu, sodass der Cloud-Kunde über ausreichende Informationen für ein angemessenes Risikomanagement auf seiner Seite verfügt. ### PSS-01.04B Die oben genannten Informationen werden so gepflegt, dass sie auf den bereitgestellten Cloud-Dienst, in der für den produktiven Einsatz vorgesehenen Version, anwendbar sind. ## Zusatzkriterium ### PSS-01.01AC (Zusatz, erweiternd) Der Cloud-Anbieter informiert Cloud-Kunden zeitnah über geplante Änderungen am Cloud-Dienst, damit die betroffenen Cloud-Kunden mit organisatorischen und technischen Maßnahmen angemessen reagieren können, bevor die Änderungen wirksam werden. ## Korrespondierende Kriterien für Kunden Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Informationen des Cloud-Anbieters verwendet werden, um Richtlinien, Rahmenwerke und Maßnahmen für die sichere Konfiguration und Nutzung (gemäß ihrer eigenen Risikobeurteilung) des Cloud-Dienstes abzuleiten. Die Einhaltung dieser Richtlinien, Rahmenwerke und Maßnahmen wird überprüft. Änderungen an den Informationen werden zeitnah hinsichtlich ihrer Auswirkungen auf diese Dokumente bewertet und erforderliche Änderungen werden umgesetzt. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Excluded installation of the cloud service from and included implementation of complementary customer controls on the list of aspects in which the published information is supposed to assist. Extended the list of aspects to be covered by the published information by malware protection for containers or virtual machines, CUECs, encryption mechanisms and services, data leakage prevention, secure development and operation of applications, use and configuration of defensive mechanisms and wide-area distributed architecture mechanisms, methods used for data separation, logging and monitoring, as well as inbound and outbound interfaces. Added further specification for the information on CUECs to be provided. Bullet points are now sorted to ease discussions about specific list items. **Zusatzkriterium:** Additional criterion newly included. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.