Cloud-ERP: Wer sichert meine Daten und wie komme ich an sie?

Ein Cloud-ERP verteilt die Verantwortung für die Daten auf zwei Seiten. Der Anbieter betreibt die Infrastruktur und sichert, was sein Betrieb umfasst. Ihre Buchungen, Stammdaten und Dokumente gehören nur dann dazu, wenn der Vertrag sie einschließt. Der Kriterienkatalog C5 des Bundesamts für Sicherheit in der Informationstechnik (BSI) macht diese Grenze sichtbar und gibt die Fragen vor, mit denen Sie sie prüfen.

Wer welche Daten sichert

Der C5 ist der Cloud Computing Compliance Criteria Catalogue des BSI, ein Kriterienkatalog mit Mindestanforderungen an sicheres Cloud Computing. Nach der FAQ des BSI hat er für Anbieter und Kunden einen empfehlenden Charakter; einzelne Regulierungen können die Erfüllung seiner Kriterien verlangen, und die BSI-FAQ nennt dafür Behörden und regulierte Sektoren, in Deutschland etwa den Gesundheitssektor. Klären Sie deshalb für Ihren Fall, ob ein solcher Nachweis verlangt wird. Das BSI führt die Prüfung nicht selbst durch: Der Anbieter beauftragt einen Wirtschaftsprüfer, das BSI ist an der Auswahl und der Prüfung nicht beteiligt und wertet die Berichte nicht aus. Den Prüfbericht fordern Sie daher beim Anbieter an und werten ihn mit dem Auswertungsleitfaden des BSI aus; nach der BSI-FAQ haben Sie keinen Anspruch auf den vollständigen Bericht, die Weitergabe liegt beim Anbieter. Die Übersichtsseite des BSI sieht vor, den Bericht initial und dann jährlich anzufordern und auszuwerten (Stand Oktober 2026).

Die Kriterien OPS-06 bis OPS-09 regeln die Datensicherung. OPS-06 verlangt als Basiskriterium, dass Umfang und Häufigkeit der Sicherung sowie die Dauer der Aufbewahrung mit den vertraglichen Vereinbarungen und den Vorgaben für Recovery Time Objective (RTO) und Recovery Point Objective (RPO) übereinstimmen. Für die Ausgangsfrage entscheidend ist die Anwendbarkeit. In C5:2020 steht die Regel in den ergänzenden Informationen zu OPS-07, OPS-08 und OPS-09: Ist die Datensicherung nicht Bestandteil des zwischen Anbieter und Kunde geschlossenen Vertrags, ist das jeweilige Kriterium nicht anwendbar, und der Anbieter muss das in der Systembeschreibung darlegen. C5:2026 unterscheidet zwei Fälle: Bei OPS-06 und OPS-07 gilt das Kriterium nicht für die Kundendaten, wenn deren Sicherung nicht Vertragsbestandteil ist, wohl aber für abgeleitete Dienstdaten und Anbieterdaten; OPS-08 und OPS-09 entfallen dagegen ganz, wenn keine Datensicherung vertraglich vereinbart ist, und ihre Basiskriterien erfassen Kundendaten und abgeleitete Dienstdaten nur, sofern sie vertraglich vereinbart sind. Nach der Erläuterung des Katalogs liegt die Sicherung der Kundendaten bei IaaS und PaaS grundsätzlich beim Kunden; bei SaaS sind Sie auf die Exportfunktionen des Anbieters angewiesen (PI-02).

Der Katalog betrifft damit zwei verschiedene Dinge zugleich: die Verfügbarkeit des Dienstes und die Rückspielbarkeit Ihrer Daten. Aus einer Verfügbarkeitszusage in Prozent folgt nicht, wie viel Datenverlust Sie tragen. Diese Zahl steht im RPO, die Dauer des Zurückspielens im RTO.

Der Katalog trennt Basiskriterien und Zusatzkriterien. Ein Testat belegt nach der BSI-FAQ, dass mindestens alle Basiskriterien geprüft wurden; die Zusatzkriterien kann der Anbieter zusätzlich in die Prüfung aufnehmen, und sie sind als Ansatzpunkt für Kunden mit höherem Schutzbedarf gedacht. Für die Datensicherung folgt daraus: Das Testen der Wiederherstellung und die Überwachung der Sicherungsläufe sind Basiskriterien (OPS-07, OPS-08). Die Protokolle im Self-Service-Portal (OPS-07) und die Mitteilung der Testergebnisse auf Kundenwunsch (OPS-08) sind Zusatzkriterien; ein Testat über die Basiskriterien deckt sie nicht ab. Prüfen Sie im Bericht, ob sie dort aufgeführt sind.

Die Fragen an den Vertrag

Die Tabelle ordnet jeder Frage das C5-Kriterium zu, aus dem sie sich ergibt. Lassen Sie sich die Antworten schriftlich geben, mit Datum, und heften Sie sie zum Vertrag. Fehlt eine Angabe, ist das ein offener Punkt, keine Kleinigkeit.

Frage an den Anbieter	Warum sie entscheidet	Was die Antwort enthalten muss (Kriterium)
Schließt der Vertrag die Sicherung meiner Daten ein?	Ist die Sicherung der Kundendaten nicht Vertragsbestandteil, gilt das Sicherungskriterium dafür nicht	ausdrückliche Nennung der Kundendaten in Vertrag und Systembeschreibung (C5:2020 OPS-07 bis OPS-09; C5:2026 OPS-06 und OPS-07)
Welche Daten, wie oft, und wie weit zurück?	Umfang, Häufigkeit und Aufbewahrungsdauer bestimmen, welchen Stand Sie wiederbekommen	Angabe je Datenart, Intervall und Zahl der aufbewahrten Stände (OPS-06, Basiskriterium)
Welchen Datenverlust und welche Wiederherstellungszeit darf ich erwarten?	Aus Verfügbarkeit in Prozent folgen weder RPO noch RTO	Werte für RPO und RTO je Dienst (OPS-06, OPS-08, Basiskriterien)
Werden Wiederherstellungen getestet, mindestens jährlich?	Ein ungetesteter Stand ist kein Nachweis	Zusage des Anbieters zum Testintervall (OPS-08, Basiskriterium)
Erfahre ich das Ergebnis dieser Tests?	Die Mitteilung der Ergebnisse ist im Katalog eine Zusatzleistung und nicht Teil eines Testats über die Basiskriterien	Zusage, das Ergebnis auf Wunsch mitzuteilen (OPS-08, Zusatzkriterium)
Kann ich eine Wiederherstellung selbst auslösen, oder beantrage ich sie?	Der Weg zur Rücksicherung bestimmt die Ausfallzeit	wer wiederherstellen darf und über welchen Weg (OPS-06, Basiskriterium)
Sehe ich den Erfolg der Sicherungsläufe selbst?	Der Anbieter muss die Sicherungsläufe überwachen und Störungen zeitnah beheben (Basiskriterium); ohne Einsicht können Sie den Erfolg nicht selbst prüfen, die Einsicht ist eine Zusatzleistung	Protokolle oder zusammengefasste Ergebnisse im Self-Service-Portal (OPS-07, Zusatzkriterium)
In welchem Format und über welche Schnittstellen erhalte ich meine Daten?	Bei SaaS hängen Sie an den Exportfunktionen des Anbieters	Format, dokumentierte Schnittstelle, Weg der Extraktion (PI-01, PI-02)
Wie lange nach Vertragsende kann ich exportieren, und wann werden die Daten gelöscht?	Der Vertrag muss Frist und Löschzeitpunkt festlegen	Frist für die Bereitstellung, Zeitpunkt der Sperre, Löschung samt Datensicherung (PI-02, PI-03)
Welche C5-Version, welcher Prüfzeitraum und welcher Geltungsbereich?	Ein Bericht gilt nur für die geprüften Dienste, Regionen und Zeiträume; welche Katalogversion anzuwenden ist, folgt aus der Übergangsregel	Version nach der Übergangsregel (C5:2026 Abschnitt 3.5), Prüfzeitraum, geprüfte Dienste und Regionen (C5-Übersicht, C5-FAQ)

Zur Formatszeile nennt der Katalog eine Erwartung: Vom Kunden erzeugte Daten sollen im selben Format verfügbar sein, in dem sie im Dienst gespeichert sind, und andere Bestandteile wie Protokolldateien in einem Standardformat wie CSV, JSON oder XML (PI-02).

So sieht das im Alltag aus

Beispielrechnung mit erfundenen Zahlen. Ein Händler erfasst 180 Vorgänge je Arbeitstag. Angenommen, der Anbieter sichert nach eigenen Angaben einmal täglich um 22:00 Uhr, und der Vertrag sagt einen maximalen Datenverlust (RPO) von 24 Stunden zu. Fällt das ERP um 15:00 Uhr aus, ist der letzte gesicherte Stand 17 Stunden alt. Verteilt man die 180 Vorgänge gleichmäßig über 24 Stunden, fehlen bis zu 180 ÷ 24 × 17 ≈ 128 Vorgänge. Die Zusage von 24 Stunden wäre damit eingehalten — für einen Betrieb, der höchstens vier Stunden verlieren will, aber zu groß. Nennt der Vertrag weder RPO noch Sicherungszeitpunkt, ist der Datenverlust offen: Der Sicherungsrhythmus allein sagt nicht, wie viel Datenverlust vertraglich zugesagt ist. Fordern Sie beide Angaben nach; OPS-06 verlangt, dass Sicherungsumfang und -häufigkeit zu den vertraglichen Vereinbarungen und den Vorgaben für RTO und RPO passen.

Daraus folgt die Entscheidung über eine eigene Kopie. Sie ist kein Automatismus, sondern das Ergebnis dieses Vergleichs (redaktionelle Einschätzung): Reichen RPO und RTO des Vertrags für Ihren Betrieb, und sind Format, Frist und Löschzeitpunkt geklärt, deckt die Anbietersicherung den laufenden Betrieb ab. Brauchen Sie einen kleineren Datenverlust, ein Ausgabeformat, das Ihre Auswertung liest, oder Daten über das Vertragsende hinaus, planen Sie zusätzlich eine eigene Kopie. Nutzen Sie dafür einen Online-Speicher, sieht die Standard-Anforderung CON.3.A9 des BSI-IT-Grundschutzes vor, Ort der Datenspeicherung, Dienstgüte, Authentisierung sowie Verschlüsselung auf dem Speicher und beim Transport vertraglich zu regeln; das IT-Grundschutz-Kompendium ist eine Empfehlung des BSI und bindet, soweit Gesetz oder Vertrag darauf verweisen. Enthält Ihr ERP personenbezogene Daten, enthält auch die eigene Kopie sie; klären Sie vorher mit Ihrer Datenschutzbeauftragten, auf welchem Weg Sie sie ziehen und wie lange Sie sie behalten.

Typische Fehler

• Den Bericht lesen, ohne Version, Prüfzeitraum und Geltungsbereich zu prüfen: Ein Testat gilt nur für die geprüften Dienste und Regionen sowie für den Prüfzeitraum, und welche Katalogversion anzuwenden ist, folgt aus der Übergangsregel in C5:2026 Abschnitt 3.5; ein Bericht über ein anderes Produkt belegt nichts für Ihres.
• Die Verfügbarkeit in Prozent als Maß für die Datensicherung nehmen: Aus ihr folgen weder RPO noch RTO.
• Den Export nie ausprobieren: Die Schnittstelle ist nach PI-01 dokumentiert, aber niemand hat geprüft, ob sich der Export öffnen und vollständig einlesen lässt.
• Einen Snapshot für eine Sicherung halten: Nach OPS-06 ersetzen Snapshots kein Backup; sie können nur Teil der Strategie sein, wenn sie außerhalb des ursprünglichen Speicherorts liegen.
• Aus dem Testat auf Zusatzleistungen schließen: Die Protokolle im Self-Service-Portal (OPS-07) und die Mitteilung der Testergebnisse (OPS-08) sind Zusatzkriterien; ein Testat über die Basiskriterien belegt sie nicht.
• Das Vertragsende nicht planen: Der Zeitpunkt, ab dem die Daten unzugänglich und gelöscht werden, gehört in den Vertrag (PI-02); danach ist der Export weg.
• Die Löschung ohne Nachweis abnehmen: Nach C5:2020 umfasst die Löschung Daten, Metadaten und die Datensicherung; C5:2026 verlangt eine Dokumentation, die einen Löschungsnachweis erlaubt (PI-03).

So gehen Sie vor

1. Schicken Sie den Fragenkatalog aus der Tabelle an den Anbieter und lassen Sie ihn schriftlich beantworten; heften Sie die Antwort mit Datum ab.
2. Fordern Sie den passenden C5-Bericht an und prüfen Sie Version, Prüfzeitraum und Geltungsbereich; klären Sie dabei, ob der Bericht über die Basiskriterien hinaus die für Sie wichtigen Zusatzkriterien erfasst, und erneuern Sie ihn jährlich, wie es die BSI-Übersichtsseite vorsieht.
3. Stellen Sie RPO und RTO des Vertrags gegen die Werte, die Ihr Betrieb trägt. Wie Sie sie aus Ausfallkosten ableiten: RTO, RPO und Ausfallkosten.
4. Ziehen Sie einmal eine eigene Kopie, öffnen Sie sie und vergleichen Sie sie mit dem Produktivstand; messen Sie die Dauer und notieren Sie den Termin, bis zu dem Sie am Vertragsende exportieren müssen. Wie eine Sicherung aufgebaut und getestet wird: Sicherungsplan fürs ERP und Restore-Test fürs ERP.
5. Dokumentieren Sie die Entscheidung: welche Daten beim Anbieter liegen, welche Kopie Sie selbst halten, wer im Notfall zurückspielt und bis wann.
6. Behalten Sie die Katalogversion im Blick: Nach der Übergangsregel in C5:2026 Abschnitt 3.5 ist C5:2026 anzuwenden, wenn ein Bericht mit festgelegtem Stichtag (Typ 1) diesen am oder nach dem 1. Juni 2027 hat oder ein Bericht mit festgelegtem Zeitraum (Typ 2) einen Prüfzeitraum hat, der am oder nach dem 1. Juni 2027 beginnt; eine frühere Anwendung ist zulässig. Beginnt ein Typ-2-Prüfzeitraum vor dem 1. Juni 2027 und endet danach, sollte der Auftrag ausschließlich C5:2020 umfassen.