Wir haben kein C5-Testat. Wir werden auf absehbare Zeit keines haben. Wer diesen Beitrag liest, sollte wissen, dass hier ein Anbieter über ein Kriterium schreibt, an dem er selbst scheitert – und das entsprechend gewichten.
Deshalb steht der Interessenkonflikt oben und nicht unten, und deshalb beginnt der Beitrag mit dem, was für den Katalog spricht.
Ein Kriterienkatalog beschreibt Eigenschaften. Ein Eignungskriterium schließt aus. Zwischen beidem liegt ein Unterschied, der in Vergabeunterlagen regelmäßig verschwindet – und mit ihm der halbe Bewerberkreis.
Was C5 ist – und was es nicht ist
Der Cloud Computing Compliance Criteria Catalogue des Bundesamts für Sicherheit in der Informationstechnik, kurz C5, ist ein Anforderungskatalog für Cloud-Dienste. Die aktuelle Fassung stammt aus dem Jahr 2020. Er beschreibt Anforderungen von der Organisation der Informationssicherheit über physische Sicherheit, Identitätsverwaltung und Kryptografie bis zum Umgang mit Sicherheitsvorfällen.
Drei Eigenschaften werden in Ausschreibungen fast immer durcheinandergebracht:
| Häufige Annahme | Tatsächlich |
|---|---|
| „Das BSI zertifiziert nach C5“ | Das BSI veröffentlicht den Katalog. Geprüft und testiert wird von einer Wirtschaftsprüfungsgesellschaft, nicht vom BSI. |
| „Ein C5-Testat ist ein Zertifikat“ | Es ist ein Prüfungsbericht mit Vermerk, ausgestellt nach den Standards für Prüfungen bei Dienstleistungsunternehmen. Er hat einen Adressaten, einen Umfang und einen Zeitbezug – und er will gelesen werden. |
| „Testat ist Testat“ | Typ 1 bescheinigt die Angemessenheit der beschriebenen Maßnahmen zu einem Stichtag. Typ 2 bescheinigt ihre Wirksamkeit über einen Zeitraum. Der Unterschied ist erheblich, und in Ausschreibungen steht oft keiner von beiden. |
Was für den Katalog spricht
Ziemlich viel, und das soll hier nicht kleingeredet werden.
Die Kriterien sind fachlich vernünftig und lesbar. Besonders brauchbar sind die Umgebungsparameter: Angaben zum Gerichtsstand, zum Ort der Datenverarbeitung, zu den Ermittlungsbefugnissen, denen der Anbieter unterliegt, und zur Offenlegung gegenüber staatlichen Stellen. Das sind genau die Angaben, die eine Behörde sonst mühsam einzeln erfragt – und ein deutscher Anbieter kann sie in aller Regel besser beantworten als ein Konzern mit Muttergesellschaft im Ausland.
Und ein Testat spart Arbeit. Eine Kommune mit einer halben Stelle für IT-Sicherheit kann keinen Anbieter selbst prüfen. Ein Prüfungsbericht ist für sie kein Formalismus, sondern eine Ersparnis und eine Absicherung der eigenen Entscheidung. Wer das als bloße Bequemlichkeit abtut, hat nie in einer solchen Verwaltung gearbeitet.
Der Umschlagpunkt: Anforderung oder Eignung
Der Ärger beginnt nicht beim Katalog, sondern an der Stelle, an der er in die Unterlagen wandert. Eignungskriterien wirken vor der Angebotswertung: Wer sie nicht erfüllt, wird ausgeschlossen, und sein Angebot wird nicht gelesen. Ein Zuschlagskriterium dagegen wird bepunktet und gegen andere Punkte abgewogen.
Steht „C5-Testat Typ 2“ unter Eignung, hat das drei Wirkungen, die mit Sicherheit nichts zu tun haben:
- Die Prüfkosten sind weitgehend fix. Ein Prüfungsverfahren kostet ungefähr dasselbe, ob der Anbieter zehn oder zehn Millionen Kunden hat. Für den einen sind es Betriebskosten im Rauschen, für den anderen ein Investitionsvorhaben. Eine Zahl nennen wir hier nicht: Angebote und Umfänge unterscheiden sich stark, und eine erfundene Hausnummer wäre genau die Art Zahl, die dieses Portal anderen vorwirft.
- Typ 2 verlangt einen Beobachtungszeitraum. Über einen Zeitraum lässt sich nur berichten, wenn er vergangen ist. Ein Anbieter, der seinen Dienst gerade in Betrieb nimmt, kann diese Anforderung nicht erfüllen – nicht schlecht, sondern gar nicht. Das Kriterium schließt eine ganze Klasse von Bewerbern aus, und zwar unabhängig davon, wie sie arbeiten.
- Es prüft das Papier, nicht die Sache. Ein Testat sagt aus, dass ein Prüfer festgestellte Maßnahmen für angemessen oder wirksam hält – bezogen auf einen beschriebenen Umfang. Welcher Umfang das ist, steht im Bericht. Wer nur das Vorhandensein abhakt, hat die Frage „gilt das auch für den Teil, den wir einkaufen“ nicht gestellt.
Niemand schreibt C5 in Unterlagen, um kleine Anbieter loszuwerden. Es steht dort, weil es in einer Vorlage stand, weil es in der Nachbarkommune auch so gemacht wurde und weil es die eigene Entscheidung begründbar macht. Das ist nachvollziehbar.
Die Wirkung hängt aber nicht an der Absicht. Ein Kriterium, das nur von Unternehmen ab einer bestimmten Größe erfüllt werden kann, wirkt wie eine Marktzugangsschranke, auch wenn es als Sicherheitsanforderung gemeint war.
Was das Vergaberecht dazu bereithält
Drei Gedanken, die in dieselbe Richtung zeigen – ohne dass wir behaupten, damit sei ein Einzelfall entschieden.
- Verbindung, Verhältnismäßigkeit – und seit Juli 2026 der Auftragswert Eignungskriterien und geforderte Eignungsnachweise müssen mit dem Auftragsgegenstand in Verbindung und zu diesem sowie dem Auftragswert in einem angemessenen Verhältnis stehen (§ 122 Abs. 4 GWB). Die Nennung des Auftragswerts ist neu: Sie kam mit dem Gesetz zur Beschleunigung der Vergabe öffentlicher Aufträge zum 1. Juli 2026 hinein, ausdrücklich um die Belastung bei Aufträgen mit niedrigem Wert klein zu halten. Ein Testat über den gesamten Betrieb eines Anbieters schießt über den Gegenstand eines kleinen Auftrags damit erkennbar hinaus.
- Eigenerklärung ist die Regel, nicht die Ausnahme Der Nachweis der Eignung soll durch Eigenerklärungen erfolgen (§ 122 Abs. 3 GWB); weitergehende Unterlagen sollen erst von aussichtsreichen Bewerbern verlangt werden. Ein Testat als Eignungsvoraussetzung dreht diese Reihenfolge um – es verlangt das schwerste Dokument von allen, bevor irgendjemand gelesen wurde.
- Mittelständische Interessen und der Losgrundsatz Mittelständische Interessen sind bei der Vergabe vornehmlich zu berücksichtigen (§ 97 Abs. 4 GWB). Die Pflicht zur Aufteilung in Teil- und Fachlose steht seit dem 1. Juli 2026 nicht mehr dort, sondern im neuen § 97a GWB. Ein Kriterium, das strukturell nur Große erfüllen können, arbeitet beiden Vorgaben entgegen.
- Gleichwertige Nachweise Verlangt der Auftraggeber Bescheinigungen über die Einhaltung von Qualitätssicherungsnormen, muss er auch andere Unterlagen über gleichwertige Maßnahmen anerkennen, wenn ein Unternehmen aus nicht zu vertretenden Gründen keinen Zugang zu der Bescheinigung hatte (§ 49 VgV). Ob ein C5-Testat unter diese Vorschrift fällt, ist eine Auslegungsfrage; der dahinterstehende Gedanke – ein Nachweis darf den Zugang nicht versperren, wenn die Sache gleichwertig belegbar ist – trägt aber auch darüber hinaus.
Was stattdessen in die Unterlagen gehört
Die brauchbare Umformung lautet: die Eigenschaft abfragen, nicht das Papier. Fast alles, was ein Testat belegen soll, lässt sich auch als konkrete Angabe verlangen – überprüfbar, und für einen Anbieter mit eigener Anlage in einer Stunde zu beantworten.
| Statt | Besser |
|---|---|
| „Nachweis BSI C5“ | Ort der Verarbeitung mit Anschrift; Betreiber der Maschinen; Angabe, ob eine Muttergesellschaft in einem Drittland besteht |
| „Zertifiziertes Löschkonzept“ | Wie lange existiert eine Eingabe, wo, und wodurch wird sie gelöscht? Fristen in Stunden oder Tagen, nicht in Absichten |
| „Nachgewiesene Netzwerksicherheit“ | Beschreibung des ausgehenden Verkehrs der verarbeitenden Systeme und Liste der freigeschalteten Ausnahmen |
| „Zugriffsschutz nach Stand der Technik“ | Wer greift zu, aus welchem Land, unter welcher Kontrolle, und wie wird das protokolliert? |
| „Zertifizierte Unterauftragsverarbeiter“ | Liste mit Firma, Sitz, Verarbeitungsort und Aufgabe – plus Verfahren für Änderungen |
Dazu kommt ein Recht, das ohnehin besteht und selten genutzt wird: Nach Art. 28 Abs. 3 lit. h DSGVO hat der Verantwortliche einen Anspruch auf Überprüfungen einschließlich Inspektionen. Wer eine Anlage betreibt, die er beschreiben kann, hat damit kein Problem. Wer keine hat, bekommt eines.
Und wenn das Testat wirklich gebraucht wird?
Dann gehört es in die Unterlagen – nur an eine andere Stelle. Als Zuschlagskriterium wird ein vorhandenes Testat bepunktet und gegen andere Punkte abgewogen. Ein Anbieter mit Testat gewinnt Punkte, ein Anbieter ohne kann sie über andere Kriterien aufholen oder eben nicht. Beides ist eine Wertung, und keiner wird ungelesen ausgeschlossen.
Es gibt Fälle, in denen der Ausschluss richtig ist: Verfahren mit besonders schutzwürdigen Daten, Verarbeitungen mit hohem Risiko, Vorgaben aus einem übergeordneten Regelwerk. Dann ist die Antwort auf diesen Beitrag: Ja, und zwar aus gutem Grund. Der Punkt ist nicht, dass C5 nie ein Eignungskriterium sein darf. Der Punkt ist, dass es das nicht nebenbei werden sollte, weil es in der Vorlage stand.
Die unbequeme Kehrseite
Wer auf ein Testat verzichtet, muss selbst prüfen. Das ist Arbeit, sie braucht Fachkunde, und sie ist im Zweifel zu verantworten. Eine Verwaltung, die das nicht leisten kann, entscheidet sich mit gutem Grund für den Weg, der ihr die Prüfung abnimmt – auch wenn er den Bewerberkreis verengt.
Der Ausweg ist keine Haltungsfrage, sondern eine Zwischenstufe: fünf konkrete Fragen statt eines Zertifikats, schriftlich beantwortet, zur Akte. Das ist mehr Arbeit als ein Häkchen und viel weniger als eine eigene Prüfung – und es ist der einzige Weg, auf dem ein kleiner Anbieter überhaupt eine Gelegenheit bekommt, seine Eigenschaften zu zeigen.
Welche fünf Fragen das aus unserer Sicht sind, steht unter KI für Behörden; die drei Fragen zur Herkunft eines Angebots im Beitrag „Läuft in Europa“. Was wir selbst nicht vorweisen können, steht auf der Seite Über uns – dort, wo es hingehört, und nicht im Kleingedruckten.
Dieser Beitrag beschreibt, wie wir die Vorschriften verstehen. Eine Rechtsberatung im Einzelfall ist er nicht und darf er nicht sein – erst recht nicht im Vergaberecht, wo es auf Schwellenwert, Verfahrensart und Auftragsgegenstand ankommt. Für die Gestaltung von Vergabeunterlagen brauchen Sie vergaberechtliche Beratung, für die Bewertung Ihrer Verarbeitung Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten.