TL;DR

• BSI C5 (Cloud Computing Compliance Criteria Catalogue) ist der deutsche Standard fuer Cloud-Security -- relevant fuer alle Unternehmen, die Cloud-Dienste nutzen oder anbieten, und verpflichtend fuer KRITIS-Betreiber und oeffentliche Auftraggeber
• ISO 27001 zertifiziert das Informationssicherheits-Managementsystem (ISMS) -- nicht die Technik direkt, sondern die Prozesse, mit denen Technik betrieben wird
• KRITIS-Betreiber benoetigen in der Regel beides: ISO 27001 als Basis-ISMS und BSI C5 fuer die Cloud-spezifischen Kontrollen
• Control Mapping zwischen ISO 27001 Annex A, BSI C5 und Kubernetes-Konfigurationen reduziert Doppelarbeit und schafft einen einheitlichen Compliance-Rahmen
• Automatisierte Nachweisfuehrung mit Policy-as-Code, Audit-Logging und regelmaeessigem Evidence Collection spart 60-80% des manuellen Audit-Aufwands

Kubernetes BSI C5 und ISO 27001: Der Weg zur Zertifizierung

Deutsche Unternehmen, die Kubernetes in regulierten Umgebungen betreiben, stehen vor einer doppelten Herausforderung: Einerseits muessen die technischen Sicherheitsanforderungen erfuellt werden, andererseits muss die Erfuellung nachweisbar dokumentiert sein. Zwei Standards dominieren diese Landschaft: BSI C5 und ISO 27001.

Dieser Artikel zeigt, wie die Controls beider Standards auf Kubernetes-Konfigurationen abgebildet werden, welche Nachweise Auditoren erwarten und wie die Vorbereitung systematisch ablaufen sollte.

Fuer die technische Umsetzung der Security-Anforderungen verweisen wir auf den Security Hardening Guide. Fuer KRITIS-spezifische Anforderungen und IT-SiG 2.0 auf den KRITIS-Leitfaden.

BSI C5 vs. ISO 27001: Was ist was?

BSI C5 (Cloud Computing Compliance Criteria Catalogue)

BSI C5 wurde vom Bundesamt fuer Sicherheit in der Informationstechnik entwickelt und definiert 121 Kontrollen in 17 Bereichen, die Cloud-Dienste erfuellen muessen. Es gibt zwei Attestierungsstufen:

• Typ 1: Prueft, ob die Kontrollen zu einem Stichtag implementiert sind
• Typ 2: Prueft, ob die Kontrollen ueber einen Zeitraum (6-12 Monate) wirksam waren

BSI C5 ist kein Gesetz, aber de facto verpflichtend fuer:

• Oeffentliche Auftraggeber (EVB-IT Cloud Vertrag verweist auf C5)
• KRITIS-Betreiber (BSI empfiehlt C5 als Nachweis)
• Unternehmen, die Cloud-Dienste an regulierte Branchen verkaufen

ISO 27001

ISO 27001 zertifiziert ein Informationssicherheits-Managementsystem (ISMS). Der Standard definiert nicht, welche technischen Massnahmen umzusetzen sind, sondern wie ein Unternehmen systematisch mit Informationssicherheit umgeht. Annex A enthaelt 93 Kontrollen (seit ISO 27001:2022), die als Referenz dienen.

Zusammenspiel der Standards

Control Mapping: BSI C5 und ISO 27001 auf Kubernetes

Das folgende Mapping zeigt, welche Controls aus BSI C5 und ISO 27001 direkt in Kubernetes-Konfigurationen umgesetzt werden koennen. Die Nummerierung folgt BSI C5:2020 und ISO 27001:2022.

Identitaets- und Zugriffsmanagement

Beispiel: RBAC-Konfiguration fuer BSI C5 IDM-01 und ISO 27001 A.5.15

# Least-Privilege RBAC: Entwickler duerfen nur in ihrem Namespace arbeiten
# Erfuellt: BSI C5 IDM-01, IDM-05 / ISO 27001 A.5.15, A.8.2
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: entwickler-produktion
  namespace: app-produktion
  labels:
    compliance/bsi-c5: "IDM-01"
    compliance/iso27001: "A.5.15"
  annotations:
    compliance/beschreibung: "Least-Privilege Zugriff fuer Entwickler"
    compliance/verantwortlich: "platform-team@unternehmen.de"
    compliance/letzte-pruefung: "2026-02-01"
rules:
  - apiGroups: ["apps"]
    resources: ["deployments"]
    verbs: ["get", "list", "watch", "update", "patch"]
  - apiGroups: [""]
    resources: ["pods", "pods/log", "services", "configmaps"]
    verbs: ["get", "list", "watch"]
  - apiGroups: [""]
    resources: ["secrets"]
    verbs: []  # Kein Zugriff auf Secrets
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: entwickler-produktion-binding
  namespace: app-produktion
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: entwickler-produktion
subjects:
  - kind: Group
    name: "dev-team-alpha"
    apiGroup: rbac.authorization.k8s.io

Kryptographie und Schluesselmanagement

Kommunikationssicherheit und Netzwerk

Audit-Logging: Der wichtigste Nachweis

Sowohl BSI C5 als auch ISO 27001 verlangen umfassende Protokollierung. In Kubernetes ist das API Server Audit Log die zentrale Quelle.

Audit Policy fuer BSI C5 und ISO 27001

# Kubernetes API Server Audit Policy
# Erfuellt: BSI C5 IDM-08, SIM-03 / ISO 27001 A.8.15, A.8.17
apiVersion: audit.k8s.io/v1
kind: Policy
rules:
  # Authentifizierungsversuche vollstaendig loggen (BSI C5 IDM-08)
  - level: RequestResponse
    users: ["system:anonymous"]
    verbs: ["*"]

  # RBAC-Aenderungen vollstaendig loggen (BSI C5 IDM-01, IDM-05)
  - level: RequestResponse
    resources:
      - group: "rbac.authorization.k8s.io"
        resources: ["clusterroles", "clusterrolebindings", "roles", "rolebindings"]

  # Secret-Zugriffe loggen (BSI C5 CRY-02)
  - level: Metadata
    resources:
      - group: ""
        resources: ["secrets"]

  # Namespace-Aenderungen loggen
  - level: RequestResponse
    resources:
      - group: ""
        resources: ["namespaces"]
    verbs: ["create", "delete", "update", "patch"]

  # Pod-Erstellung und -Loeschung loggen (BSI C5 RB-05)
  - level: RequestResponse
    resources:
      - group: ""
        resources: ["pods"]
    verbs: ["create", "delete"]
    namespaces: ["produktion"]

  # Alles andere auf Metadata-Ebene
  - level: Metadata
    omitStages:
      - RequestReceived

Log-Retention nach BSI C5 und ISO 27001

Fuer KRITIS-Betreiber gilt: Die 7-Jahres-Retention ist eine Empfehlung des BSI, die in der Praxis von Pruefern erwartet wird. Planen Sie den Storage entsprechend.

Evidence Collection: Automatisierte Nachweisfuehrung

Der groesste Zeitfresser bei Audits ist nicht die Technik, sondern das Zusammensuchen der Nachweise. Automatisierung spart hier Wochen an Arbeit.

Automatisierte Evidence Collection pro Quartal

#!/bin/bash
# evidence-collection.sh
# Automatisierte Sammlung von Audit-Nachweisen fuer BSI C5 und ISO 27001
# Ausfuehren: Monatlich per CronJob oder CI/CD Pipeline

EVIDENCE_DIR="evidence/$(date +%Y-%m)"
mkdir -p "$EVIDENCE_DIR"

echo "=== Evidence Collection $(date +%Y-%m-%d) ==="

# IDM-01 / A.5.15: RBAC-Konfiguration exportieren
echo "Sammle RBAC-Nachweise..."
kubectl get clusterroles -o yaml > "$EVIDENCE_DIR/clusterroles.yaml"
kubectl get clusterrolebindings -o yaml > "$EVIDENCE_DIR/clusterrolebindings.yaml"
kubectl get roles -A -o yaml > "$EVIDENCE_DIR/roles.yaml"
kubectl get rolebindings -A -o yaml > "$EVIDENCE_DIR/rolebindings.yaml"

# IDM-05: Privilegierte ServiceAccounts identifizieren
echo "Pruefe privilegierte ServiceAccounts..."
kubectl get clusterrolebindings -o json | \
  jq '[.items[] | select(.roleRef.name == "cluster-admin") |
  {name: .metadata.name, subjects: .subjects}]' \
  > "$EVIDENCE_DIR/cluster-admin-bindings.json"

# COS-01 / A.8.22: NetworkPolicies dokumentieren
echo "Sammle NetworkPolicy-Nachweise..."
kubectl get networkpolicies -A -o yaml > "$EVIDENCE_DIR/networkpolicies.yaml"

# Namespaces ohne NetworkPolicy identifizieren
echo "Pruefe Namespaces ohne NetworkPolicy..."
for NS in $(kubectl get ns -o jsonpath='{.items[*].metadata.name}'); do
  COUNT=$(kubectl get networkpolicy -n "$NS" --no-headers 2>/dev/null | wc -l)
  if [ "$COUNT" -eq 0 ]; then
    echo "WARNUNG: Namespace $NS hat keine NetworkPolicy" >> "$EVIDENCE_DIR/missing-netpol.txt"
  fi
done

# Policy Compliance: Kyverno/OPA Reports exportieren
echo "Exportiere Policy Reports..."
kubectl get polr -A -o json > "$EVIDENCE_DIR/policy-reports.json" 2>/dev/null
kubectl get constraints -o json > "$EVIDENCE_DIR/opa-constraints.json" 2>/dev/null

# Pod Security: Laufende Pods mit Violations pruefen
echo "Pruefe Pod Security..."
kubectl get pods -A -o json | \
  jq '[.items[] | select(
    .spec.containers[].securityContext.privileged == true or
    .spec.containers[].securityContext.runAsUser == 0
  ) | {namespace: .metadata.namespace, name: .metadata.name}]' \
  > "$EVIDENCE_DIR/privileged-pods.json"

# Ergebnis-Zusammenfassung
echo ""
echo "=== Zusammenfassung ==="
echo "Evidence gespeichert in: $EVIDENCE_DIR"
echo "Cluster-Admin-Bindings: $(jq length "$EVIDENCE_DIR/cluster-admin-bindings.json")"
echo "Namespaces ohne NetworkPolicy: $(wc -l < "$EVIDENCE_DIR/missing-netpol.txt" 2>/dev/null || echo 0)"
echo "Privilegierte Pods: $(jq length "$EVIDENCE_DIR/privileged-pods.json")"

Der Weg zur BSI C5 Attestierung

Voraussetzungen

Bevor Sie die BSI C5 Attestierung angehen, sollten folgende Grundlagen stehen:

1. ISMS vorhanden: Idealerweise ISO 27001 zertifiziert oder mindestens ein dokumentiertes Sicherheitskonzept
2. Kubernetes-Security-Baseline: Security Hardening umgesetzt, RBAC konfiguriert, NetworkPolicies aktiv
3. Audit-Logging: API Server Audit Policy konfiguriert, Logs zentral gesammelt
4. Policy Enforcement: OPA/Gatekeeper oder Kyverno deployed, Basis-Policies aktiv

Timeline fuer den Mittelstand

Kosten (realistisch fuer Mittelstand)

Der Weg zur ISO 27001 Zertifizierung

ISO 27001 Annex A Kontrollen mit Kubernetes-Bezug

Von den 93 Annex-A-Kontrollen der ISO 27001:2022 haben ca. 25-30 einen direkten Bezug zur Kubernetes-Infrastruktur:

Besonders relevante technische Kontrollen

KRITIS: Wenn beide Standards zusammenkommen

KRITIS-Betreiber stehen vor der umfassendsten Anforderungslage. Das IT-Sicherheitsgesetz 2.0 und die NIS2-Richtlinie verlangen:

• Ein zertifiziertes ISMS (typischerweise ISO 27001)
• Branchenspezifische Sicherheitsstandards (B3S)
• Systeme zur Angriffserkennung (SzA) -- pruefbar durch BSI
• Meldepflichten bei Sicherheitsvorfaellen

KRITIS-Compliance-Matrix fuer Kubernetes

Haeufige Audit-Findings in Kubernetes-Umgebungen

Aus der Praxis: Diese Findings tauchen in BSI C5 und ISO 27001 Audits regelmaessig auf.

Audit-Vorbereitung: Was Pruefer sehen wollen

Dokumentation (vor dem Audit bereitstellen)

1. Sicherheitskonzept: Beschreibung der Kubernetes-Architektur, Sicherheitsmassnahmen, Verantwortlichkeiten
2. RBAC-Matrix: Wer hat welche Rechte, warum, und wann wurde das zuletzt geprueft
3. Netzwerkdiagramm: Cluster-Topologie, Netzwerksegmentierung, Traffic-Flows
4. Risikobewertung: Identifizierte Risiken, Bewertung, Massnahmen
5. Incident-Response-Plan: Prozess bei Sicherheitsvorfaellen, Verantwortlichkeiten, Meldewege
6. Change-Management: Wie werden Aenderungen an der Infrastruktur genehmigt und dokumentiert

Technische Nachweise (waehrend des Audits zeigen)

• Policy Reports (Kyverno/OPA): Beleg fuer automatisierte Compliance-Pruefung
• Audit Log Samples: API Server Logs mit RBAC-Aenderungen, Secret-Zugriffen
• Vulnerability Scan Reports: Trivy/Grype Reports fuer laufende Images
• Backup-Restore-Protokolle: Nachweis, dass Backups funktionieren
• Penetration Test Ergebnisse: Wenn vorhanden, stark audit-foerderlich

Fuer eine detaillierte Audit-Checkliste speziell fuer NIS2-Audits oder zur DSGVO-Compliance in Kubernetes verweisen wir auf die jeweiligen Spezialartikel.

Zusammenspiel mit Monitoring und Observability

Ein funktionierender Monitoring-Stack ist fuer BSI C5 und ISO 27001 nicht optional. Auditoren erwarten:

• Echtzeit-Alerting bei sicherheitsrelevanten Events (fehlgeschlagene Authentifizierungen, Policy Violations, ungewoehnliche API-Zugriffe)
• Dashboard-Zugriff fuer das Security-Team (nicht nur fuer Ops)
• Historische Daten fuer die Nachvollziehbarkeit von Incidents
• SLA-Monitoring fuer Verfuegbarkeitsanforderungen (besonders bei KRITIS)

Fazit

BSI C5 und ISO 27001 sind keine abstrakten Papiertigerscheinungen. Fuer Kubernetes-Umgebungen lassen sich die meisten Kontrollen in konkrete technische Massnahmen uebersetzen: RBAC, NetworkPolicies, Audit Logging, Encryption, Policy Enforcement.

Der Schluessel zum erfolgreichen Audit liegt nicht in perfekter Technik allein, sondern in der Kombination aus technischen Massnahmen und nachweisbarer Dokumentation. Automatisierte Evidence Collection, Policy-as-Code und versionierte Konfigurationen in Git sind die staerksten Werkzeuge, die Sie haben.

Starten Sie mit der Gap-Analyse. Identifizieren Sie die groessten Luecken. Priorisieren Sie nach Risiko und Audit-Relevanz. Und beginnen Sie mit der automatisierten Nachweisfuehrung -- sie spart bei jedem weiteren Audit Wochen an Arbeit.

Fuer Unternehmen, die beide Zertifizierungen gleichzeitig anstreben: Nutzen Sie das Control Mapping. Viele Massnahmen erfuellen Anforderungen aus beiden Standards gleichzeitig. Ein integrierter Ansatz ist erheblich effizienter als zwei separate Projekte.