Ein Audit ist nur so gut wie die Nachweise, die man vorlegt. Ein Ordner voller Screenshots überzeugt keinen BSI-C5-Prüfer – ein signiertes, kryptografisch verifizierbares Evidenzbündel schon. Die SecTepe-Plattform (SecTepe.Comm) erzeugt genau das: monatlich, automatisiert und mit belegtem Datenstandort.
Monatlich signierte Evidenzbündel
Jeden Monat wird ein Cosign-signiertes Evidenzbündel erzeugt und in einem Object-Lock-Bucket im COMPLIANCE-Modus (35 Tage) abgelegt – manipulationssicher verwahrt. Ein Export-Skript baut das Bündel, ein Verify-Skript prüft es (SHA-256 plus keyless Cosign). Der Prüfer kann also nicht nur den Inhalt sehen, sondern auch belegen, dass er seit der Erzeugung unverändert ist.
Was in das Bündel gehört
Die Inhalte mappen direkt auf C5:2020-Kriterien und umfassen unter anderem:
- C5- und ISO-27001-SoA, Risikoregister, Asset-Inventar und CAPA,
- Verarbeitungsverzeichnis, AV-Verträge, Lieferanten- und Sub-Prozessor-Register,
- Datenstandort-Attestation und internes Audit-Log,
- alle 24 schriftlichen Richtlinien, Konfigurations-Baselines (kube-bench, lynis, trivy, pgaudit),
- SBOM-Sammlung, Pentest-Reports sowie Live-Zustand von Kyverno-PolicyReports, NetworkPolicies und Velero.
Datenstandort-Attestation: wo die Daten wirklich liegen
Ergänzend gibt es eine schriftliche Datenstandort-Attestation (C5:2020 BC-01..04, DSGVO Art. 44 ff.): Alle Plattformdaten liegen in Frankfurt (IONOS DC FRA-1), Backup-Replikate in Berlin (DC BER-1) – jede Zeile mit einer Konfigurationsdatei als Beleg. Ein eigener Abschnitt behandelt Rechtsraum und CLOUD-Act: anwendbares Recht Deutschland, keine US-Sub-Prozessoren für personenbezogene Plattformdaten; optionale US-Anbieter nur bei ausdrücklicher Aktivierung durch den Mandanten, abgesichert über SCCs und Schrems-II-TIA.
Der Weg zum C5-Testat
Das C5-Prüfschema (IDW PS 951 / ISAE 3402) sieht zuerst ein Typ-1-Testat vor, nach sechs Monaten operativer Evidenz dann Typ 2. C5:2020 umfasst 17 Bereiche mit 121 Basis- und Zusatzkriterien und ist komplementär zu ISO 27001:2022 – kein Ersatz. Genau diese Souveränitäts- und Nachweis-Disziplin zieht sich durch die gesamte Plattform, von der Supply-Chain-Härtung bis zur EU-nativen GRC-Arbeit in SecTepe.Core.
Fazit
Monatliche, signierte Evidenzbündel und eine belegte Datenstandort-Attestation machen die BSI-C5-Auditfähigkeit von einer Absichtserklärung zu einer verifizierbaren Tatsache. Für Kunden mit KRITIS-, Behörden- oder Souveränitätsanforderungen ist das der Unterschied zwischen „wir sind sicher" und „wir können es beweisen".