BSI C5, ISO/IEC 27001 und SOC 2 sind die drei Nachweise, auf die Unternehmen bei der Sicherheitsbewertung eines Cloud-ERP-Anbieters am häufigsten stoßen. Sie messen Ähnliches, sind aber technisch unterschiedlich: ISO/IEC 27001 ist eine echte Zertifizierung des Informationssicherheits-Managementsystems durch eine akkreditierte Zertifizierungsstelle. BSI C5 ist dagegen kein Zertifikat, sondern ein Prüfbericht (Testat) eines Wirtschaftsprüfers nach dem deutschen Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik. SOC 2 ist das US-amerikanische Gegenstück dazu, ebenfalls ein Prüfbericht, aber nach den Trust Services Criteria der AICPA. Keiner der drei Nachweise ist gesetzlich für Cloud-ERP-Anbieter vorgeschrieben – sie sind freiwillig, aber in Ausschreibungen und bei größeren Kunden zunehmend eine Grundvoraussetzung.
Warum Zertifizierungen bei Cloud-ERP überhaupt eine Rolle spielen
Ein Cloud-ERP-System verarbeitet in der Regel die sensibelsten Daten eines Unternehmens: Finanzbuchhaltung, Kundendaten, Lagerbestände, teils auch Personaldaten. Anders als beim On-Premise-Betrieb liegt die technische Infrastruktur beim Anbieter oder dessen Rechenzentrumspartner. Ein Zertifikat oder Testat ersetzt zwar keine eigene Risikoprüfung, es liefert aber eine von unabhängiger Seite geprüfte Grundlage dafür, welche Sicherheitsmaßnahmen der Anbieter tatsächlich umsetzt – statt sich nur auf dessen eigene Aussagen zu verlassen. Wer sich zusätzlich für die vertragliche Seite interessiert, findet Hintergründe dazu in den Artikeln zum Auftragsverarbeitungsvertrag bei ERP-Software und zur Haftungskette bei Subunternehmern im Cloud-ERP.
BSI C5 – der deutsche Prüfstandard für Cloud-Sicherheit
Der Cloud Computing Compliance Criteria Catalogue (C5) wird vom Bundesamt für Sicherheit in der Informationstechnik (BSI) herausgegeben. Die erste Fassung stammt aus dem Jahr 2016, eine grundlegende Überarbeitung folgte 2020. 2026 wurde mit C5:2026 eine erneute Überarbeitung veröffentlicht. Der neue Katalog umfasst nach übereinstimmenden Fachberichten 168 Kriterien in 17 Themengebieten (u. a. Verschlüsselung, Personal, physische Sicherheit) und führt neue Themenfelder wie Post-Quanten-Kryptografie, Confidential Computing und Container-Management ein. Für Prüfungen mit Stichtag beziehungsweise Prüfungszeitraum ab dem 1. Juni 2027 wird C5:2026 verbindlich.
Wichtig für die Einordnung: C5 ist keine Zertifizierung im eigentlichen Sinn, sondern ein Testat – ein von einem Wirtschaftsprüfer nach dem Prüfungsstandard ISAE 3000 erstellter Bericht. Es gibt zwei Ausprägungen: Ein Typ-1-Testat bestätigt, dass die beschriebenen Kontrollen zu einem bestimmten Stichtag so eingerichtet sind wie angegeben. Ein Typ-2-Testat geht weiter und bescheinigt, dass diese Kontrollen über einen definierten Prüfungszeitraum (meist sechs bis zwölf Monate) auch tatsächlich wirksam funktioniert haben. Ein C5-Testat richtet sich in erster Linie an den Cloud-Anbieter selbst, der damit seine Sicherheitsmaßnahmen nachweist – Kunden erhalten dadurch Transparenz, ohne den Bericht im Detail selbst prüfen zu müssen.
ISO/IEC 27001 – der internationale ISMS-Standard
ISO/IEC 27001 ist im Unterschied zu C5 eine echte Zertifizierung: Eine akkreditierte Zertifizierungsstelle prüft, ob ein Unternehmen ein normgerechtes Informationssicherheits-Managementsystem (ISMS) betreibt, und stellt bei Bestehen ein Zertifikat mit fester Gültigkeitsdauer aus (in der Regel drei Jahre, mit jährlichen Überwachungsaudits). Die aktuelle Fassung der Norm ist ISO/IEC 27001:2022. Laut dem jährlichen ISO Survey waren 2024 weltweit 96.709 ISO/IEC 27001-Zertifikate an rund 180.000 Standorte vergeben – ein Zuwachs von rund 104 Prozent gegenüber dem Vorjahr, was auch auf methodische Anpassungen der Erhebung zurückgeht. Für Deutschland liefert der ISO Survey keine gesondert ausgewiesene Zahl in frei zugänglichen Quellen – hier gilt: keine Angabe. ISO/IEC 27001 ist international das am breitesten anerkannte Managementsystem-Zertifikat und wird von vielen Einkaufsabteilungen außerhalb Deutschlands als Mindeststandard vorausgesetzt.
SOC 2 – der US-amerikanische Prüfbericht
SOC 2 (System and Organization Controls 2) ist ein Rahmenwerk des American Institute of Certified Public Accountants (AICPA). Geprüft wird gegen bis zu fünf sogenannte Trust Services Criteria: Security, Availability, Processing Integrity, Confidentiality und Privacy – wobei Security (Common Criteria) verpflichtend ist und die übrigen vier je nach Geschäftsmodell des Anbieters optional hinzukommen. Wie bei C5 gibt es auch bei SOC 2 zwei Berichtstypen: Type I bewertet die Eignung der Kontrollen zu einem Stichtag, Type II deren tatsächliche Wirksamkeit über einen Beobachtungszeitraum. SOC-2-Berichte sind in den USA Standard und werden auch von vielen internationalen SaaS-Anbietern vorgelegt, weil sie im englischsprachigen Raum am stärksten nachgefragt werden – eine direkte gesetzliche Verbindung zur DSGVO oder zu deutschem Recht besteht nicht.
BSI C5, ISO 27001 und SOC 2 im Überblick
- Herausgeber: BSI (C5, Deutschland) · akkreditierte Zertifizierungsstellen nach ISO/IEC 17021 (ISO 27001, international) · AICPA (SOC 2, USA)
- Art des Nachweises: Testat/Prüfbericht (C5) · Zertifikat (ISO 27001) · Prüfbericht (SOC 2)
- Prüfstandard: ISAE 3000 (C5 und SOC 2 im Kern vergleichbar) · ISO/IEC 27006 für die Zertifizierungsstelle (ISO 27001)
- Typische Gültigkeit/Reichweite: C5-Testat bezieht sich auf einen Stichtag oder Zeitraum und wird in der Regel jährlich erneuert · ISO-27001-Zertifikat gilt meist drei Jahre mit jährlichem Überwachungsaudit · SOC-2-Bericht deckt typischerweise einen 6- bis 12-Monats-Zeitraum ab und wird ebenfalls jährlich neu erstellt
- Regionaler Schwerpunkt: C5 vor allem bei deutschen Behörden, öffentlichen Ausschreibungen und BSI-nahen Branchen gefragt · ISO 27001 international am breitesten anerkannt · SOC 2 vor allem im US-Markt und bei global ausgerichteten SaaS-Anbietern verlangt
Worauf Sie bei der Anbieterauswahl konkret achten sollten
Ein Blick auf das Zertifikat oder Testat allein reicht nicht – entscheidend ist, was tatsächlich geprüft wurde:
- Fragen Sie nach dem Geltungsbereich (Scope) des Zertifikats: Deckt es die konkrete Cloud-ERP-Instanz ab, oder nur die allgemeine Unternehmens-IT des Anbieters?
- Bei C5 und SOC 2: Liegt ein Typ-2-/Type-II-Testat vor (Wirksamkeit über Zeitraum) oder nur ein Typ-1-/Type-I-Nachweis (Momentaufnahme)?
- Prüfen Sie das Ausstellungsdatum – Testate und Zertifikate sind zeitlich begrenzt gültig und müssen regelmäßig erneuert werden.
- Bei Subdienstleistern (z. B. dem Rechenzentrumsbetreiber hinter dem ERP-Anbieter): Gilt das Zertifikat auch für diese, oder nur für den ERP-Anbieter selbst?
- Zertifizierungen ersetzen keine eigene Prüfung der Datenschutz- und Serverstandort-Fragen oder der vertraglichen Haftungsregelungen.
Einen Überblick über Anbieter und deren Cloud-Modelle finden Sie im Anbieter-Verzeichnis; wer grundsätzlich zwischen Cloud- und On-Premise-Betrieb abwägt, findet weiterführende Einordnung im Artikel zu Cloud vs. On-Premise im Kostenvergleich und zu Private Cloud vs. Public Cloud ERP.
Das Wichtigste in Kürze
- ISO/IEC 27001 ist eine echte Zertifizierung des Informationssicherheits-Managementsystems, BSI C5 und SOC 2 sind Prüfberichte (Testate) nach dem Standard ISAE 3000.
- BSI C5:2026 umfasst laut Fachberichten 168 Kriterien in 17 Themengebieten und wird für Prüfungen ab 1. Juni 2027 verbindlich.
- Weltweit waren laut ISO Survey 2024 rund 96.709 ISO/IEC 27001-Zertifikate aktiv – für Deutschland liegt keine gesondert ausgewiesene frei zugängliche Zahl vor.
- SOC 2 prüft gegen bis zu fünf Trust-Services-Kriterien der AICPA; Security ist dabei immer Pflichtbestandteil.
- Bei allen drei Nachweisen zählt der konkrete Geltungsbereich und ob es sich um eine Stichtags- oder eine Zeitraumprüfung handelt – pauschale Werbeaussagen wie „zertifiziert“ sollten immer hinterfragt werden.
Häufige Fragen zu Cloud-ERP-Zertifizierungen
Ist BSI C5 gesetzlich vorgeschrieben?
Nein. BSI C5 ist ein freiwilliger Kriterienkatalog. In bestimmten öffentlichen Ausschreibungen und bei Behörden wird ein C5-Testat jedoch häufig vorausgesetzt oder stark bevorzugt.
Reicht ein ISO-27001-Zertifikat als Nachweis für DSGVO-Konformität?
Nein. ISO/IEC 27001 bescheinigt ein funktionierendes Informationssicherheits-Managementsystem, ist aber kein DSGVO-Compliance-Nachweis. Die DSGVO-Anforderungen werden separat geregelt, unter anderem über den Auftragsverarbeitungsvertrag.
Was ist der Unterschied zwischen Typ 1 und Typ 2 bei C5 und SOC 2?
Typ 1 bzw. Type I bescheinigt, dass Kontrollen zu einem Stichtag korrekt eingerichtet sind. Typ 2 bzw. Type II bestätigt zusätzlich, dass diese Kontrollen über einen längeren Zeitraum tatsächlich wirksam funktioniert haben.
Kann ein kleiner Cloud-ERP-Anbieter überhaupt C5 oder SOC 2 vorweisen?
Grundsätzlich ja, in der Praxis sind die Prüfkosten für ein vollständiges Testat jedoch spürbar, weshalb vor allem größere oder auf Enterprise-Kunden ausgerichtete Anbieter diese Nachweise führen. Kleinere Anbieter verweisen teils auf die Zertifizierungen ihres Rechenzentrumspartners (z. B. eines Hyperscalers).
Müssen alle drei Nachweise gleichzeitig vorliegen?
Nein. Je nach Zielmarkt des Anbieters reicht oft einer der drei aus. Für international tätige Unternehmen oder Konzernkunden ist es aber üblich, mehrere Nachweise parallel anzufragen.
Meine Einschätzung: Ein Zertifikat oder Testat ist ein guter erster Filter bei der Anbieterauswahl, aber kein Ersatz für eine eigene Prüfung. Wer bei einem Cloud-ERP-Anbieter anfragt, sollte sich nicht mit dem Hinweis „wir sind zertifiziert“ zufriedengeben, sondern konkret nach Geltungsbereich, Prüfungstyp und Ausstellungsdatum fragen – und im Zweifel den Bericht selbst oder zumindest eine Zusammenfassung davon anfordern.
