Partner
CISA, Diplom-Kaufmann, ISO 27001 Auditor, IT-Auditor IDW, Zertifizierter Business Continuity Manager, Zertifizierter IT-Security-Auditor, Zertifizierter IT-Sicherheitsbeauftragter
Wenn eine ganze Cloud-Region vom Netz geht
- C5 schafft Sicherheit, ersetzt aber keine Resilienz
- „Multi-Availability Zones“ schützt nicht vor dem Ausfall einer ganzen Region
- Backups und Wiederanlauf bleiben Ihre Verantwortung
- § 393 SGB V regelt Compliance, nicht Verfügbarkeit
Jonas Buckel
Associate Partner
B.A. Wirtschaftsinformatik, Certified Information Systems Auditor (CISA), IT-Auditor IDW, Zertifizierter IT-Sicherheitsbeauftragter
Der Ausfall einer ganzen AWS-Region in Bahrain zeigt, dass selbst hochverfügbare Cloud-Infrastrukturen keine Garantie gegen Datenverlust bieten. Für Akteure im Gesundheitswesen rückt damit eine zentrale Frage in den Fokus: Reicht ein C5-Testat aus, um Risiken wirksam abzusichern? Der nachfolgende Beitrag zeigt, warum Compliance und Resilienz unterschiedliche Wege gehen, welche Anforderungen § 393 SGB V stellt und wie Sie mit belastbaren Backup- und Wiederanlaufstrategien Ihre Versorgungssicherheit stärken.
Was der AWS-Datenverlust in Bahrain für die Gesundheitswirtschaft bedeutet und warum ein C5-Testat nur einen Teil der Risiken absichert
Der Anlass: ein Präzedenzfall
Viele Risikoanalysen führen den vollständigen Ausfall einer Cloud-Region als theoretisches Restrisiko auf. Im September 2026 wurde daraus Realität.
Amazon Web Services (AWS) teilte über sein Statusportal mit, dass mehrere beschädigte Rechenzentrumsstandorte in Bahrain und Teilen der Vereinigten Arabischen Emirate nicht mehr in Betrieb gehen. Betroffen sind sämtliche Availability Zones der Region Bahrain sowie eine Zone in den Emiraten. Für Daten, die ausschließlich in den zerstörten Rechenzentren gespeichert waren, stellt AWS die Wiederherstellungsversuche ein und verweist auf die Sicherungskonzepte seiner Kunden.
Der Auslöser war weder ein Konfigurationsfehler noch ein Cyberangriff. Kriegseinwirkungen zerstörten physische Infrastruktur. Damit zeigt der Vorfall eine Realität, die in vielen Strategien bislang nur am Rand betrachtet wurde: Selbst die leistungsfähigste Cloud-Infrastruktur steht an einem konkreten Ort und bleibt von geopolitischen Entwicklungen abhängig.
Ein einziges Wort in der AWS-Mitteilung macht die Tragweite deutlich: ausschließlich. Wer seine Daten ausschließlich innerhalb der betroffenen Region gespeichert hatte, verlor sie. Wer frühzeitig einen zweiten Weg vorbereitet und Daten in einer geografisch entfernten Region gesichert hatte, konnte den Betrieb wieder aufnehmen.
Der Vorfall widerlegt drei Annahmen, die in vielen Cloud-Strategien unausgesprochen mitschwingen: Hyperscaler seien faktisch unverwundbar. Eine Mehrzonen-Architektur innerhalb einer Region genüge als Absicherung. Ein Sicherheitstestat garantiere zugleich in jedem Fall die Verfügbarkeit und Wiederanlauf.
Für die deutsche Gesundheitswirtschaft ist der Fall nicht deshalb relevant, weil Patientendaten in Bahrain lägen. Er ist relevant, weil er drei Annahmen widerlegt, die in vielen Auslagerungskonzepten stillschweigend mitlaufen:
- dass Hyperscaler-Infrastruktur faktisch unzerstörbar ist,
- dass Redundanz innerhalb einer Region genügt, und
- dass ein Sicherheitstestat auch Verfügbarkeit garantiert.
Es lohnt sich deshalb ein kritischer Blick auf die eigene Cloud-Strategie.
Der Rechtsrahmen
393 SGB V erlaubt Krankenhäusern, MVZ, Arztpraxen sowie Kranken- und Pflegekassen, Sozial- und Gesundheitsdaten in der Cloud zu verarbeiten. Voraussetzung ist, dass alle vier Bedingungen gleichzeitig erfüllt sind:
- Zulässiger Verarbeitungsort: Verarbeitung nur in Deutschland, der EU/EWR oder in Staaten mit Angemessenheitsbeschluss nach Art. 45 DSGVO. Standardvertragsklauseln oder BCR reichen hier nicht aus.
- Niederlassung in Deutschland: Die datenverarbeitende Stelle muss eine Inlandsniederlassung haben. Die genaue Auslegung dieses Begriffs ist bislang rechtlich nicht eindeutig geklärt.
- Angemessene technische und organisatorische Maßnahmen (TOM): Sicherheitsmaßnahmen müssen dem Stand der Technik entsprechen.
- Aktuelles C5-Testat: Die eingesetzten Cloud-Systeme benötigen ein gültiges C5-Testat; zudem müssen die im Prüfbericht genannten Kundenanforderungen umgesetzt werden.
Was das C5-Testat leistet und wo sein Weg endet
Der Vorfall in Bahrain macht eine häufige Fehleinschätzung sichtbar. Ein C5-Testat bestätigt nicht, dass Daten jederzeit verfügbar bleiben. Es bescheinigt vielmehr, dass definierte Sicherheitskontrollen in einem festgelegten Umfang und Zeitraum wirksam waren.
Das Testat zeigt nur einen Ausschnitt des Weges
Hier liegt das Missverständnis, das der Fall Bahrain schmerzhaft illustriert. Ein C5-Testat ist ein Prüfungsurteil eines Wirtschaftsprüfers über definierte Kontrollen, in einem definierten Umfang, für einen definierten Zeitraum. Es ist keine Verfügbarkeitszusage und keine Versicherung.Wer auf der Website eines Anbieters „C5-testiert” liest, kennt deshalb noch nicht den tatsächlichen Geltungsbereich.
Entscheidend bleibt die Frage, ob genau die eingesetzten Dienste und Regionen von der Prüfung erfasst wurden. Es muss daher durch den Anwender immer das gesamte C5-Testat gesichtet und bewertet werden – dies besteht aus einer Darstellung zur Prüfung inkl. Geltungsbereich, einer Systembeschreibung, einer Anwendbarkeitserklärung zu den C5-Kriterien sowie einer Beschreibung der durchgeführten Prüfungshandlungen und Ergebnisse pro C5-Kriterium. Nur so können potentielle Risiken durch den Anwender bewertet und darauf reagiert werden.
Das Testat des Hyperscalers ebnet nicht automatisch den Weg für die Anwendung
Viele Cloud-Kunden werden auf das C5-Testat des Infrastrukturanbieters. Für das eingesetzte SaaS-Produkt reicht das jedoch nicht aus: Das Testat des Hyperscalers deckt nicht die Anwendung ab. Es sagt nichts über die Sicherheit des SaaS-Produkts aus, das auf dieser Infrastruktur läuft.
Für den Cloud-Dienst, den ein SaaS-Anbieter gegenüber einem Leistungserbringer erbringt, ist ein eigenes Testat erforderlich; zusätzlich muss der Anbieter sicherstellen und nachweisen können, dass seine Subdienstleister die für ihre Schicht relevanten Anforderungen erfüllen.
Jeder Anbieter muss für seine eigene Leistungskette nachweisen, dass die relevanten Anforderungen erfüllt sind. Dazu gehören auch die eingebundenen Subdienstleister.
Die Kundenkriterien entscheiden über die letzte Wegstrecke
Besonders häufig geraten die korrespondierenden Kundenkriterien aus dem Blick.
Genau dort beschreibt der Prüfbericht, welche Aufgaben beim Kunden verbleiben. Dazu zählen regelmäßig Datensicherungen, Verschlüsselung, Identitätsmanagement und Wiederanlaufverfahren.
Der Verweis von AWS auf die eigenen Backups seiner Kunden verdeutlicht diese Verantwortung. Wer die geforderten Maßnahmen nicht nachweisbar umsetzt, erreicht das Ziel des § 393 SGB V nicht allein durch das Testat des Cloud-Anbieters.
Fazit: Compliance weist die Richtung. Resilienz sichert den Weg.
393 SGB V definiert klare Leitplanken für den Einsatz von Cloud-Lösungen im Gesundheitswesen. Die Vorschrift beantwortet, unter welchen Voraussetzungen Gesundheitsdaten in die Cloud dürfen. Sie beantwortet jedoch nicht die Frage, ob diese Daten in jeder Krisensituation verfügbar bleiben.
Compliance und Resilienz verfolgen unterschiedliche Ziele. Beide Wege laufen über weite Strecken parallel. Sie führen jedoch nicht automatisch zum selben Ergebnis.
Der Vorfall in Bahrain zeigt deshalb eine zentrale Erkenntnis: Wer Gesundheitsdaten in die Cloud verlagert, übernimmt auch Verantwortung für den Weg zurück. Nicht die Frage, ob ein Ausfall eintritt, sollte im Mittelpunkt stehen. Entscheidend ist, wie schnell und mit welchen Datenbeständen Ihr Unternehmen den Betrieb wieder aufnehmen kann.
Ein C5-Testat bildet dafür einen wichtigen Ausgangspunkt. Den entscheidenden Teil des Weges gestalten Sie jedoch selbst: mit belastbaren Backup-Konzepten, geografisch getrennten Wiederanlaufstrategien und einer regelmäßigen Überprüfung Ihrer Resilienz.
Wir begleiten Sie dabei, Ihre Cloud-Strategie nicht nur compliant, sondern auch widerstandsfähig auszurichten. Kontaktieren Sie uns, wenn Sie Ihre C5-Anforderungen, Backup-Konzepte oder Wiederanlaufstrategien auf den Prüfstand stellen möchten.
Aus dem Newsletter
„Gesundheits- und Sozialwirtschaft“ Hier Newsletter
abonnieren