PSS-04 Fehlerbehandlungs- und Protokollierungsmechanismen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Added requirement for error handling and logging mechanisms to address identified security risks.
Rephrased requirement for the cloud service customer being able to activate the logging and configure its type and scope.
Added requirement regarding the scope of the management plane action logging.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
No change.
Wortlaut in C5:2020
Basiskriterium
The cloud service provided is equipped with error handling and logging mechanisms. These enable cloud users to obtain security-related information about the security status of the cloud service as well as the data, services or functions it provides.
The information is detailed enough to allow cloud users to check the following aspects, insofar as they are applicable to the cloud service:
- Which data, services or functions available to the cloud user within the cloud service, have been accessed by whom and when (Audit Logs);
- Malfunctions during processing of automatic or manual actions; and
- Changes to security-relevant configuration parameters, error handling and logging mechanisms, user authentication, action authorisation, cryptography, and communication security.
The logged information is protected from unauthorised access and modification and can be deleted by the Cloud Customer.
If the cloud customer is responsible for the activation or type and scope of logging, the Cloud Service Provider must provide appropriate logging capabilities.
Zusatzkriterium
Cloud users can retrieve security-related information via documented interfaces which are suitable for further processing this information as part of their Security Information and Event Management (SIEM).
Ergänzende Information zu allen Unterkriterien
Im Gegensatz zum Zusatz-Kriterium von OPS-15, das sowohl Systemkomponenten unter der Verantwortung des Cloud-Anbieters als auch Systemkomponenten unter der Verantwortung des Cloud-Kunden abdeckt, ist der Geltungsbereich dieses Kriteriums strikt auf Systemkomponenten beschränkt, die nur unter der Verantwortung des Cloud-Kunden stehen.
Der Umfang der Protokollierung hängt vom Cloud-Dienst ab. Daher kann es Cloud-Dienste geben, wie SaaS-Dienste, bei denen die Anzahl der Systemkomponenten unter der Verantwortung des Cloud-Kunden sehr begrenzt ist und auf die dieses Kriterium nicht anwendbar ist.
Basiskriterium
Der bereitgestellte Cloud-Dienst ist mit Fehlerbehandlungs- und Protokollierungsmechanismen für Systemkomponenten ausgestattet, die in den Verantwortungsbereich des Cloud-Kunden fallen. Diese ermöglichen es Cloud-Kunden, sicherheitsrelevante Informationen über den Sicherheitsstatus des Cloud-Dienstes sowie die von ihm bereitgestellten Daten, Dienste oder Funktionen zu erhalten.
Diese Mechanismen sind so gestaltet, dass sie identifizierte Sicherheitsrisiken im Zusammenhang mit der Nutzung des Cloud-Dienstes adressieren. Der Cloud-Anbieter identifiziert und dokumentiert diese Risiken im Voraus und stellt sicher, dass die implementierten Protokollierungsmechanismen relevante Ereignisse und Aktivitäten erfassen.
Die Informationen sind so detailliert, dass Cloud-Kunden damit die folgenden Aspekte prüfen können, soweit sie auf den Cloud-Dienst anwendbar sind:
- Auf welche Cloud-Kundendaten und abgeleitete Cloud-Dienstdaten, Dienste oder Funktionen, die dem Cloud-Kunden innerhalb des Cloud-Dienstes zur Verfügung stehen, von wem, wann und von wo zugegriffen wurde (Audit Logs);
- Störungen beim Verarbeiten von automatischen oder manuellen Aktionen; und
- Änderungen an sicherheitsrelevanten Konfigurationsparametern, Fehlerbehandlungs- und Protokollierungsmechanismen, Cloud-Nutzerauthentisierung, Aktionsautorisierung, Kryptographie und Kommunikationssicherheit.
Die protokollierten Informationen sind vor unautorisierten Zugriffen und unautorisierten Änderungen geschützt und können vom Cloud-Kunden gelöscht werden.
Ergänzende Information
Die Löschung der protokollierten Informationen durch den Cloud-Kunden kann beispielsweise dadurch umgesetzt werden, dass dem Cloud-Kunden ein Prozess zur Beantragung dieser Löschung bereitgestellt wird.
Soweit anwendbar, kann der Cloud-Kunde die Protokollierung aktivieren oder deaktivieren und den Umfang sowie den Detaillierungsgrad der Protokollierung steuern, die der Cloud-Dienst bereitstellt.
Die Protokollierung von Aktionen der Management-Ebene durch die Cloud-Kunden deckt alle relevanten Systeme und Systemkomponenten ab.
Zusatzkriterium
PSS-04.01AC
Zusatz, erweiterndCloud-Kunden können sicherheitsrelevante Informationen über dokumentierte Schnittstellen abrufen, die für die Weiterverarbeitung dieser Informationen im Rahmen ihres Security Information and Event Management (SIEM) geeignet sind.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Falls der Cloud-Dienst mit Fehlerbehandlungs- und Protokollierungsmechanismen ausgestattet ist, müssen Cloud-Kunden diese aktivieren und entsprechend festgelegten Anforderungen konfigurieren. Der Cloud-Kunde muss hierfür sein eigenes Informationssicherheitsmanagement einbeziehen.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen