C5-Testat des BSI für Dropbox Business und Dropbox Education

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Dropbox ein Testat nach dem von der Behörde entworfenen Anforderungskatalog “Cloud Computing Compliance Controls Catalogue” (C5) ausgestellt. Im Gegensatz zu anderen Sicherheitsstandards bezieht der Anforderungskatalog C5 auch die sogenannten Umfeldparameter ein. Er gibt damit auch Auskunft über Datenlokation, Diensterbringung, Gerichtsstandort, Zertifizierungen sowie Ermittlungs- und Offenbarungspflichten gegenüber staatlichen Stellen.

Damit will das BSI Unternehmen bei der Entscheidung helfen, ob Cloud-Dienste den gesetzlichen Vorschriften, den eigenen Richtlinien oder der Gefährdungslage bezüglich Wirtschaftsspionage entsprechen. Die Testierung nach BSI C5 gilt für Dropbox Business und Dropbox Education. Neu- und Bestandskunden können auf Anfrage ab sofort Einsicht in das Testat nehmen.

“Der C5-Katalog des BSI ist die Grundlage für mehr Sicherheit beim Cloud Computing. Wir freuen uns, dass der C5-Anforderungskatalog des BSI von immer mehr Cloud-Anbietern als etablierter Sicherheitsstandard anerkannt wird. Cyber-Sicherheit ist eine notwendige Voraussetzung der Digitalisierung, bei der für viele Unternehmen die sichere Auslagerung von Daten in die Cloud ein wichtiger Baustein ist”, erklärt Arne Schönbohm, Präsident des BSI, in einer Pressemitteilung.

Das BSI hat den Standard C5 im Februar 2016 veröffentlicht. Der erste international agierende Anbieter, der ein Testat nach dem C5-Katalog erhalten hat, war im Dezember 2016 Amazon Web Services. Es wurde damals für das neue AWS-Rechenzentrum in Frankfurt verliehen. Im August 2017 hat es dann auch Microsoft für seine Microsoft Cloud Deutschland erhalten.

Für seine Angebote im Rahmen der “Microsoft Cloud Deutschland” hat der Konzern mit dem Konzept des Datentreuhänders, dessen Rolle in Deutschland T-Systems übernimmt, einen etwas umständlichen, aber aus seiner Sicht wohl notwendigen Weg gewählt, um seine Cloud-Dienste auch deutschen und europäischen Kunden rechtssicher anbieten zu können. Andere Anbieter sehen in dem Modell für sich und ihre Kunden keinen Mehrwert und keine Notwendigkeit, ähnliche Konstrukte aufzusetzen.