Cloud Compliance heißt: Daten und Dienste in der Cloud so betreiben, dass sie die geltenden Sicherheits- und Datenschutzregeln nachweislich erfüllen. In Deutschland zählen 2026 vor allem fünf Vorgaben – die DSGVO, die Norm ISO/IEC 27001:2022, der BSI-Kriterienkatalog C5:2026, die NIS2-Richtlinie und (für Finanzunternehmen) DORA. Wer diese kennt und seine Maßnahmen sauber dokumentiert, ist rechtlich wie technisch auf der sicheren Seite.
Was Cloud Compliance konkret bedeutet
Compliance kommt aus dem Englischen und meint schlicht „Regeltreue“. Cloud Compliance ist also der Nachweis, dass dein Cloud-Betrieb – egal ob Microsoft 365, AWS, Google Cloud oder ein deutscher Anbieter – alle Gesetze, Normen und vertraglichen Vorgaben einhält, die für deine Daten gelten.
Das ist kein einmaliges Häkchen, sondern ein laufender Zustand. Ein typisches Beispiel: Du speicherst Kundendaten in einer Cloud. Die DSGVO verlangt einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter, eine Verschlüsselung der Daten und eine klare Regelung, wo die Server stehen. Fehlt nur einer dieser Bausteine, bist du nicht compliant – auch wenn technisch alles „läuft“.
Anzeige
Die wichtigsten Cloud-Standards 2026 im Überblick
Es gibt nicht den einen Cloud-Sicherheitsstandard, sondern ein Zusammenspiel mehrerer Regelwerke. Diese Tabelle ordnet die fünf wichtigsten ein:
| Standard | Art | Worum es geht |
|---|---|---|
| DSGVO | EU-Gesetz, verpflichtend | Schutz personenbezogener Daten; AVV, Verschlüsselung, Betroffenenrechte |
| ISO/IEC 27001:2022 | Internationale Norm, zertifizierbar | Aufbau eines Informationssicherheits-Managementsystems (ISMS) |
| BSI C5:2026 | Deutscher Kriterienkatalog | Mindestanforderungen speziell für Cloud-Anbieter, per Wirtschaftsprüfer-Testat belegt |
| NIS2 | EU-Richtlinie, verpflichtend | Cybersicherheit für „wichtige“ und „besonders wichtige“ Einrichtungen |
| DORA | EU-Verordnung (Finanzsektor) | IKT-Risikomanagement für Banken, Versicherer und deren Dienstleister |
ISMS steht für „Information Security Management System“ und beschreibt einfach den dokumentierten Prozess, mit dem ein Unternehmen seine IT-Sicherheit organisiert. Wer für die IHK-Prüfung lernt, sollte vor allem ISO 27001 und die DSGVO sicher zuordnen können – sie tauchen regelmäßig als Grundlagenfragen auf.
BSI C5:2026 – der deutsche Cloud-Standard neu aufgelegt
Der wohl wichtigste Stichtag der vergangenen Monate: Im April 2026 hat das BSI (Bundesamt für Sicherheit in der Informationstechnik) die dritte Generation seines Cloud-Katalogs veröffentlicht – den C5:2026. C5 steht für „Cloud Computing Compliance Criteria Catalogue“ und definiert, welche Mindestanforderungen ein professioneller Cloud-Dienst erfüllen muss.
Der neue Katalog umfasst 168 Kriterien in 17 Themenbereichen – davon 129 überarbeitete und 39 komplett neue. Erstmals adressiert das BSI dabei auch sehr aktuelle Technikfelder:
- Post-Quanten-Kryptografie – Verschlüsselung, die auch künftigen Quantencomputern standhält
- Confidential Computing – Daten bleiben sogar während der Verarbeitung im Arbeitsspeicher verschlüsselt
- Container-Management – Sicherheit von Docker-/Kubernetes-Umgebungen
Inhaltlich orientiert sich C5:2026 an der ISO/IEC 27001:2022, der CSA Cloud Controls Matrix v4 und der NIS2-Richtlinie. Wichtig zu wissen: Verbindlich für neue Typ-2-Prüfzeiträume wird die Fassung erst ab Juni 2027 – Anbieter haben also eine Übergangsfrist. Ein C5-Testat ist außerdem für Behörden de facto Pflicht und wird seit Januar 2025 auch im Finanzsektor als ergänzender DORA-Nachweis anerkannt.
Shared Responsibility: Wer haftet eigentlich?
Der häufigste Denkfehler bei Cloud Compliance: „Die Daten liegen beim Anbieter, also ist der auch verantwortlich.“ Falsch. Es gilt das Modell der geteilten Verantwortung (Shared Responsibility). Wie viel davon bei dir liegt, hängt vom Servicemodell ab:
| Modell | Anbieter verantwortet | Du verantwortest |
|---|---|---|
| IaaS | Rechenzentrum, Hardware, Virtualisierung | Betriebssystem, Patches, Anwendungen, Zugriffe |
| PaaS | zusätzlich Betriebssystem und Laufzeit | deine Anwendungen, Konfiguration, Daten |
| SaaS | komplette Infrastruktur und Software | Konfiguration, Benutzerrechte, Datenschutz |
IaaS, PaaS und SaaS stehen für Infrastructure-, Platform- und Software-as-a-Service. Selbst bei einer fertigen SaaS-Lösung wie Microsoft 365 bleibst du für Fehlkonfigurationen, schwache Passwörter und fehlende Mehr-Faktor-Anmeldung selbst haftbar. Genau hier scheitern in der Praxis die meisten Audits.
Cloud Compliance umsetzen – Schritt für Schritt
Für Einsteiger lässt sich der Weg in fünf nachvollziehbare Schritte gliedern:
- Bestandsaufnahme: Liste auf, welche Cloud-Dienste ihr nutzt und welche Daten dort liegen (besonders personenbezogene Daten).
- Verträge prüfen: Für jeden Dienst einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abschließen und den Serverstandort klären.
- Technik absichern: Verschlüsselung beim Transport (TLS) und im Ruhezustand (AES-256), Mehr-Faktor-Authentifizierung und ein sauberes Rechtekonzept aktivieren.
- Nachweise einsammeln: Von den Anbietern Zertifikate anfordern – ISO 27001, BSI C5 oder SOC 2 Type II decken einen Großteil der Anforderungen ab.
- Überwachen und melden: Fehlkonfigurationen mit CSPM- oder SIEM-Werkzeugen erkennen und Sicherheitsvorfälle fristgerecht melden – unter NIS2 gilt eine Erstmeldung binnen 24 Stunden.
Warum der ganze Aufwand?
Hinter den Standards steckt immer das gleiche Ziel: die drei klassischen Schutzziele der IT-Sicherheit – Vertraulichkeit, Integrität und Verfügbarkeit – auch dann zu sichern, wenn deine Daten auf fremden Servern liegen. Ein Verstoß ist selten ein reines Technikproblem: Bußgelder nach DSGVO können bis zu 4 % des weltweiten Jahresumsatzes betragen, dazu kommen Reputationsschäden und im NIS2-Bereich persönliche Haftung der Geschäftsführung.
Für dich als Praktiker oder Azubi heißt das vor allem eines: Cloud Compliance ist kein Papierkram der Rechtsabteilung, sondern eine handfeste technische Aufgabe. Wer Verschlüsselung, Zugriffskontrolle und Protokollierung sauber einrichtet, hat den größten Teil schon erledigt – der Rest ist Dokumentation.
Häufige Fragen
Was bedeutet Cloud Compliance?
Cloud Compliance ist der Nachweis, dass der Betrieb von Daten und Diensten in der Cloud alle geltenden Gesetze, Normen und vertraglichen Vorgaben einhält – etwa DSGVO, ISO 27001 und den BSI-Katalog C5.
Welche Cloud-Standards gelten 2026 in Deutschland?
Wichtig sind 2026 vor allem fünf: die DSGVO, die Norm ISO/IEC 27001:2022, der BSI-Kriterienkatalog C5:2026, die NIS2-Richtlinie und im Finanzsektor die EU-Verordnung DORA.
Was ist neu am BSI C5:2026?
Der im April 2026 veröffentlichte Katalog umfasst 168 Kriterien in 17 Themenbereichen. Erstmals dabei: Post-Quanten-Kryptografie, Confidential Computing und Container-Management. Verbindlich für neue Typ-2-Prüfungen ab Juni 2027.
Ist ISO 27001 für die Cloud Pflicht?
Direkt gesetzlich nicht, aber faktisch ja: NIS2 macht ISO 27001 für viele Unternehmen unverzichtbar. Seit dem 31.10.2025 sind zudem alle alten ISO-27001:2013-Zertifikate ungültig – es gilt die Fassung 2022.
Wer haftet bei Sicherheitslücken in der Cloud – Anbieter oder Kunde?
Beide, nach dem Shared-Responsibility-Modell. Der Anbieter sichert die Infrastruktur, du bist für Konfiguration, Benutzerrechte und Datenschutz verantwortlich – auch bei fertigen SaaS-Lösungen wie Microsoft 365.
