C5-Themengebiet PS: physische Sicherheit mit Rechenzentrumsbetreibern aufteilen

Diese Seite behandelt das Themengebiet PS (Physische Sicherheit) des C5:2026, Abschnitt 5.5 des Katalogs. Wie Kriterien und Unterkriterien grundsätzlich aufgebaut sind, erklärt die Seite C5-Kriterienkatalog. Sie betreiben das Rechenzentrum selbst und bieten IaaS oder Colocation an? Die Sicht des Betreibers zeigt die Seite Rechenzentrum und Hosting; hier geht es um Anbieter, die Flächen mieten oder eine Plattform nutzen.

Worum geht es im Themengebiet PS?

PS schützt die Gebäude und Räume, in denen der Dienst läuft. Der Katalog nennt als Ziel, unberechtigten physischen Zutritt zu verhindern und vor Diebstahl, Schaden, Verlust und Ausfall des Betriebs zu schützen (Abschnitt 5.5). Die Kriterien verlangen konkrete Werte: mindestens zwei Standorte mit hinreichendem Abstand (PS-02.01B), Bauelemente, die einem Einbruchsversuch zusammen mindestens zehn Minuten standhalten (PS-03.03B), Sperrung von Zutrittsberechtigungen nach zwei Monaten ohne Nutzung (PS-04.01B), Brandabschnitte mit mindestens 90 Minuten Feuerwiderstand oder gleichwertige Maßnahmen (PS-05.02B), Redundanz N+1 in Strom- und Kälteversorgung und jährlich getestete USV und Netzersatzanlagen (PS-06.01B).

Das Gebiet umfasst acht Kriterien, PS-01 bis PS-08, mit 28 Basis-Unterkriterien, 2 verschärfenden und 10 erweiternden Zusatz-Unterkriterien. Neu gegenüber C5:2020 ist laut Änderungshistorie PS-08 zur Sicherheit von Arbeitsplätzen. PS-01 bis PS-07 gelten für Rechenzentren und Serverräume, in denen Kundendaten verarbeitet werden, einschließlich der Standorte für Datensicherung und Redundanz und der technischen Versorgung. Büros und Serverräume, in denen keine Kundendaten verarbeitet oder gespeichert werden, fallen nach den ergänzenden Informationen zu PS-01 unter PS-08.

Ausgangssituation: eigene Server in Colocation, Sicherungen beim Hyperscaler

Fiktives Beispiel, kein Kunde. Ein Anbieter betreibt eine Plattform, mit der Rettungsdienste ihre Einsätze dokumentieren und an die aufnehmenden Kliniken übermitteln. Die Produktion läuft auf eigenen Servern in gemieteten, abschließbaren Rack-Käfigen in zwei Colocation-Rechenzentren in verschiedenen Städten in Deutschland, die Sicherungen liegen verschlüsselt im Objektspeicher eines großen Cloud-Anbieters. Im Büro steht ein kleiner Serverraum mit Test- und Entwicklungssystemen. Ein Landkreis verlangt einen C5-Typ-2-Bericht.

So sieht es vor dem Projekt aus:

• Beide Rechenzentrumsbetreiber haben ISO-27001-Zertifikate; ihre Prüfberichte hat niemand angefordert.
• Für die Käfige führt jeder Betreiber eine Liste der Personen mit Zutritt. Darin stehen auch ein ausgeschiedener Administrator und ein Dienstleister, der seit einem Jahr nicht mehr vor Ort war.
• Das Umschalten zwischen den beiden Standorten wurde beim Aufbau einmal getestet, seitdem nicht mehr.
• Für Fehleranalysen werden gelegentlich Auszüge echter Einsatzdaten auf die Testsysteme im Büro kopiert.

Wer ist wofür verantwortlich: Anbieter, Plattform, Kunde?

Laut Abschnitt 3.4.6 ist bei Rechenzentren, die Dritte betreiben, grundsätzlich davon auszugehen, dass ein Verhältnis zu einem Subdienstleister (Subservice-Organisation) besteht, insbesondere für die Kriterien der physischen Sicherheit. Das gilt für Colocation ebenso wie für die Infrastruktur eines Hyperscalers; die ergänzenden Informationen zu PS-01.05B nennen Serverhousing, Colocation und IaaS ausdrücklich als Beispiele für Räumlichkeiten, die Dritte betreiben. Reine Colocation ist nach unserer Einordnung selbst kein Cloud-Dienst, weil die Definition im Katalog die Bereitstellung nach dem Selbstbedienungsprinzip verlangt (Abschnitt 1.2); nach der BSI-FAQ kann über etwas, das kein Cloud-Dienst ist, keine eigene C5-Prüfung erfolgen, es kann aber in der Prüfung eines Cloud-Dienstes mitbetrachtet werden. Für Sie als Mieter heißt das: Der Betreiber setzt die Gebäudekontrollen um, Sie beschreiben und überwachen sie als korrespondierende Kontrollen der Subservice-Organisation (CSOC), also die Kontrollen, die Sie beim Subdienstleister voraussetzen; Hardware und Betrieb der Server im Käfig liegen bei Ihnen. Der Anbieter wählt, ob er die Kontrollen des Subdienstleisters mitprüfen lässt (Inclusive) oder ausklammert (Carve-out); die Grundlagen dazu stehen auf der Seite C5-Scope. Unsere Einordnung für das Beispiel:

Inbetriebnahme, Lagerung, Transport und Außerbetriebnahme der eigenen Server im Käfig regelt das Themengebiet AM (AM-06, AM-07, AM-10, AM-11). Die korrespondierenden Kontrollen der Subservice-Organisation (CSOC; PS-01.05B spricht von komplementären Kontrollen der Subservice-Organisationen) sind Kontrollen, die der Anbieter bei der Gestaltung seines Kontrollsystems beim Subdienstleister voraussetzt. Der Prüfer prüft sie beim Carve-out nicht selbst, nur ob die Annahmen in der Systembeschreibung sachgerecht dargestellt sind. Der Anbieter bleibt nach 3.4.6 verantwortlich und überwacht die Subdienstleister nach SSO, insbesondere SSO-05.

Verantwortungsmatrix: welches Kriterium bei wem liegt

Die Tabelle oben zeigt die Grenze grob. Für die Systembeschreibung und die Überwachung brauchen Sie die Zuordnung je Kriterium. So haben wir sie für das Beispiel aufgestellt; „Anbieter“ heißt, die Kontrolle ist Teil Ihres eigenen Kontrollsystems und wird auch beim Carve-out geprüft, „CSOC“ heißt, Sie setzen sie beim Betreiber voraus und überwachen sie.

Drei Dinge zeigt die Matrix. Erstens bleibt PS-01 auch beim Carve-out beim Anbieter: PS-01.05B verlangt, im Dokument die erwarteten CSOC und die Maßnahmen zu ihrer Überwachung zu beschreiben, PS-01.06B die Überprüfung ihrer Umsetzung. Zweitens ist das Redundanzmodell eine Architekturentscheidung des Anbieters. Eine Architektur, die den Dienst gleichzeitig aus mehr als zwei Standorten erbringt, kann nach den ergänzenden Informationen zu PS-02 eine alternative Erfüllung darstellen; ob zwei Zonen einer Hyperscaler-Region die Anforderung an Standorte mit hinreichendem Abstand erfüllen, sollten Sie anhand der Angaben der Plattform bewerten und begründen. Als Maßstab helfen die Definitionen in Abschnitt 1.2 (eine Zone umfasst mindestens zwei Standorte in räumlicher Nähe, jeder Standort gehört genau einer Zone an) und die ergänzenden Informationen zu PS-02: Der Abstand richtet sich nach der Bewertung elementarer Gefährdungen am Standort, sehr großräumige Ereignisse wie Hochwasser oder Erdbeben bleiben dabei unberücksichtigt. Drittens bleibt die Vergabe der Zutrittsberechtigungen für das eigene Personal Ihre Aufgabe, auch wenn der Betreiber das System betreibt.

Ein Sonderfall ist das Büro: Werden dort Kundendaten verarbeitet oder gespeichert, wie bei den kopierten Einsatzdaten im Beispiel, gelten für den Serverraum PS-01 bis PS-07; PS-08 sieht der Katalog nach den ergänzenden Informationen zu PS-01 für Räume vor, in denen keine Kundendaten verarbeitet oder gespeichert werden. Wir empfehlen, echte Kundendaten von den Testsystemen fernzuhalten; DEV-07.03B verlangt für Kundendaten in Tests ohnehin eine Genehmigung und Anonymisierung (siehe DEV).

Beispiel-Kontrollbeschreibung zu PS-01

Unsere Beispiel-Kontrolle für den Anbieter oben (eigene Formulierung, kein Katalogtext):

Wie Sie die Berichte der Subdienstleister insgesamt auswerten und im Inventar festhalten, zeigt die Seite Subdienstleisterinventar. Wichtig für Typ 2: Die Auswertung muss im Prüfungszeitraum stattgefunden haben, und der Bericht des Betreibers sollte einen Zeitraum abdecken, der zu Ihrem passt.

Welche Nachweise der Prüfer sehen will

Beim Carve-out sieht der Prüfer die Gebäudekontrollen nicht selbst. Er will aber die Kontrollen sehen, die beim Anbieter bleiben. Beispiele aus unserem Szenario:

Ein Nachweisregister ordnet jedem Unterkriterium seinen Nachweis zu; wie Sie es führen, zeigt die Seite Nachweise und Dokumentation.

Mögliche Lücken: Ursache, Wirkung, Abhilfe

Die folgenden Lücken ergeben sich aus dem Wortlaut der Kriterien und dem Szenario oben. Ist ein einziges Unterkriterium nicht erfüllt, gilt das Kriterium als nicht erfüllt, und der Prüfer berichtet die Abweichung (Abschnitte 3.4.12 und 3.4.13).

Alle Kriterien des Themengebiets PS

Titel nach der deutschen Fassung 1.1.0, Zählung der Unterkriterien nach Abschnitt 5 (B = Basis, AS = verschärfend, AC = erweiternd). Die Spalte „Worum es geht“ ist unsere eigene Kurzbeschreibung, kein Katalogtext; verbindlich ist der Wortlaut der Kriterien im Katalog.

Die Zusatzkriterien richten sich vor allem an Betreiber von Rechenzentren, etwa PS-01.02AC (autarker Betrieb eines Standorts für mindestens 72 Stunden bei Ausfall der externen Stromversorgung), PS-02.01AS (mehr als zwei Standorte, sodass bei Ausfall zweier Standorte ein dritter bleibt) und PS-03.01AC (ständig anwesendes Sicherheitspersonal, Videoüberwachung und Einbruchmeldeanlagen). Verlangt ein Kunde sie, betreffen sie bei fremd betriebenen Rechenzentren vor allem Ihre CSOC.

Bezug zu ISO/IEC 27001:2022 Anhang A

Die folgende Zuordnung ist unsere eigene, nicht amtliche Einordnung nach Thema. Das BSI hat für C5:2026 noch keine Kreuzreferenz veröffentlicht, und auch eine amtliche Tabelle zeigt nach dem Katalog nur thematische Nähe, keine Erfüllung (Abschnitt 3.3). Die Kurzbezeichnungen sind unsere, keine Titel aus der Norm. Was Sie aus einem zertifizierten ISMS insgesamt wiederverwenden können, steht auf der Seite C5 und ISO 27001.