Ein hochverfügbares Rechenzentrum soll die benötigten IT-Dienste auch bei Wartung, Störungen und bestimmten Ausfällen verlässlich unterstützen. Ob es dafür geeignet ist, lässt sich nicht allein an der Zahl seiner Generatoren oder einem Klassennamen erkennen. Entscheidend sind die Anforderungen des Geschäftsprozesses, die gesamte technische Kette und die Fähigkeit des Betriebs, Störungen zu erkennen und zu beherrschen. Auch ein aufwendiges Gebäude kann eine schlecht abgesicherte Anwendung nicht zuverlässig machen.
Für die Bewertung stellt das BSI verschiedene Hilfen bereit, darunter den HV-Benchmark kompakt. Davon zu unterscheiden sind die Tier-Klassen des Uptime Institute, vertragliche Verfügbarkeitszusagen und gesetzliche Pflichten. Die BSI-Richtlinie TR-03183 betrifft dagegen Anforderungen an Hersteller und Produkte im Kontext des Cyber Resilience Act. Sie ist kein allgemeiner Hochverfügbarkeitsstandard für Rechenzentren. Dieser Leitfaden ordnet die passenden Instrumente ein und zeigt, welche Nachweise Betreiber und Kunden benötigen.
Mit dem benötigten Dienst beginnen
Definieren Sie zunächst, welche Leistung verfügbar bleiben muss. Bei einem Fachverfahren kann es um das Lesen bestehender Akten, das Erfassen neuer Vorgänge oder die Durchführung zeitkritischer Entscheidungen gehen. Diese Funktionen können unterschiedliche Ausfallfolgen haben. Eine pauschale Vorgabe für das gesamte Unternehmen verschleiert häufig, welche Teile besonders geschützt und welche vorübergehend durch andere Verfahren ersetzt werden können.
Untersuchen Sie dann die Abhängigkeiten. Eine verfügbare Anwendung hilft wenig, wenn die Anmeldung, die Namensauflösung oder eine notwendige externe Schnittstelle ausfällt. Auch Netzanschluss, Berechtigungsverwaltung und unterstützende Dienstleister gehören in die Betrachtung. Die Risikoanalyse nach BSI 200-3 kann helfen, relevante Gefährdungen und Schutzbedarf nachvollziehbar zu bewerten. Daraus entsteht die Grundlage für technische und vertragliche Anforderungen.
Legen Sie außerdem fest, welche Folgen eine Unterbrechung für Menschen hat. Bei personenbezogenen Daten geht es nicht ausschließlich um wirtschaftlichen Schaden des Unternehmens. Fehlende Informationen können beispielsweise eine notwendige Behandlung oder eine fristgebundene Entscheidung beeinträchtigen. Diese Folgen bestimmen mit, welches Sicherheitsniveau angemessen ist. Ein Dienst mit wenigen Nutzern kann deshalb einen hohen Schutzbedarf haben, obwohl seine Infrastruktur vergleichsweise klein ist.
Ausfallzeit und Datenverlust getrennt planen
Die angestrebte Wiederanlaufzeit beschreibt, wie schnell eine Leistung nach einer Störung wieder bereitstehen soll. Daneben steht die Frage, welcher Datenstand wiederhergestellt werden muss und wie viel zwischenzeitliche Änderung verloren gehen darf. Häufig werden dafür die Begriffe RTO und RPO verwendet. Beide Größen müssen zum Geschäftsprozess passen und dürfen nicht nur als technische Kennzahlen in einem Vertrag stehen.
Ein hypothetisches Beispiel macht den Unterschied sichtbar: Eine Organisation kann ihr Terminportal innerhalb einer Stunde wieder starten, verfügt aber nur über eine Sicherung vom Vorabend. Das Wiederanlaufziel kann damit erreicht sein, während neue Termine fehlen. Wenn diese Termine nicht anderweitig rekonstruiert werden können, ist die Leistung trotz schneller technischer Rückkehr unvollständig. Die Verantwortlichen müssen entscheiden, welcher Datenverlust vertretbar ist und wie er vermieden wird.
Planen Sie auch den Übergang in einen eingeschränkten Betrieb. Ein zuvor beschriebenes Ersatzverfahren kann Zeit überbrücken, muss aber selbst funktionieren und datenschutzgerecht sein. Ein ausgedruckter Notfallplan bringt wenig, wenn erforderliche Kontakte darin veraltet sind oder die zuständigen Personen keinen Zugang zu Ersatzmitteln haben. Die Planung sollte deshalb organisatorische Übergaben und die spätere Rückführung in den Normalbetrieb einschließen.
Was der BSI-HV-Benchmark tatsächlich leistet
Der HV-Benchmark kompakt des BSI ist ein Bewertungsschema für das Informationssicherheitsniveau von IT-Dienstleistungen und Rechenzentren. Die aktuelle Übersichtsseite nennt Version 5.01 und 34 Indikatoren. Das Instrument arbeitet mit Reifegraden und ermöglicht eine strukturierte Einschätzung. Es ist daher mehr als eine reine Kennzahl zur Stromversorgung, aber kein pauschales Versprechen ununterbrochener Verfügbarkeit.
Das BSI unterscheidet außerdem den umfassenderen HV-Benchmark vom auf Informationssicherheit fokussierten kompakten Verfahren. Betreiber können die Instrumente für Selbsteinschätzungen verwenden; institutionelle Kunden können sie bei der Auswahl von Dienstleistern unterstützen. Wichtig ist, welche Bereiche tatsächlich bewertet wurden, welche Sollwerte gelten und auf welchen Belegen die Antworten beruhen. Eine ausgefüllte Tabelle allein beweist keine belastbare Umsetzung.
Für Einrichtungen des Bundes bestehen besondere Mindestwerte und ein entsprechender verpflichtender Mindeststandard. Diese Bundesvorgaben dürfen nicht ohne weitere Rechtsgrundlage als allgemein verbindliche Mindestanforderungen für jedes private Rechenzentrum dargestellt werden. Die IT-Grundschutz-Methodik bietet einen weiteren Sicherheitsrahmen, dessen konkrete Anwendung und Verbindlichkeit ebenfalls vom jeweiligen Kontext abhängen.
Die aktuelle BSI-Seite beschreibt Version 5.01 als redaktionell überarbeitete Fassung ohne inhaltliche Änderungen gegenüber der Vorgängerversion. Wer ältere Bewertungen fortschreibt, sollte trotzdem die verwendete Version und eigene Sollwerte festhalten. Nur so lässt sich nachvollziehen, ob ein veränderter Ergebniswert auf einer realen Verbesserung, einer anderen Bewertung oder einer geänderten Abgrenzung beruht. Ein isolierter Gesamtwert kann diese Unterschiede verdecken.
Tier-Klassen sind ein anderes Bewertungssystem
Die Tier-Klassifikation des Uptime Institute unterscheidet vier Stufen für die Infrastruktur eines Rechenzentrums. Tier I beschreibt grundlegende Kapazität, Tier II zusätzliche redundante Kapazitätskomponenten, Tier III Wartbarkeit ohne Unterbrechung des IT-Betriebs und Tier IV zusätzliche Fehlertoleranz. Diese Begriffe beschreiben unterschiedliche Eigenschaften. Sie bilden keine automatische Übersetzung von BSI-Indikatoren oder beliebig benannten Verfügbarkeitsklassen.
Insbesondere ist wartbare Redundanz nicht dasselbe wie Schutz vor jedem ungeplanten Fehler. Uptime erläutert, dass eine Tier-III-Infrastruktur weiterhin beispielsweise durch einen Gerätefehler oder Bedienfehler beeinträchtigt werden kann. Die Aussage, ein solches Rechenzentrum könne generell nicht ausfallen, wäre deshalb falsch. Auch die höhere Stufe ersetzt weder angemessene Betriebsabläufe noch die Absicherung der darin betriebenen Anwendung.
Prüfen Sie bei einem Nachweis, was genau zertifiziert wurde. Uptime unterscheidet unter anderem die Bewertung von Planungsunterlagen und die errichtete Anlage. Ein Planungsnachweis ist daher nicht identisch mit einer Bestätigung der fertig gebauten Infrastruktur. Die Darstellung der Zertifizierungsstufen durch Uptime hilft, solche Angaben in Angeboten richtig zu lesen und den konkreten Standort zuzuordnen.
Leiten Sie aus einem Tier-Namen keine garantierte Jahresverfügbarkeit Ihrer eigenen Anwendung ab. Vertragsumfang, Messpunkt, ausgeschlossene Wartungen und externe Abhängigkeiten bestimmen die Bedeutung einer Zusage. Eine Website kann etwa weiterhin ausfallen, obwohl Strom und Kühlung des Gebäudes funktionieren. Vergleichen Sie Angebote deshalb anhand derselben Leistung und Messmethode, nicht nur anhand prominenter Klassennamen.
Redundanz über die gesamte Kette prüfen
N+1 bedeutet vereinfacht, dass zur benötigten Kapazität eine zusätzliche Einheit vorgesehen ist. Das kann den Ausfall einer Komponente auffangen, beweist aber noch keine unabhängigen Versorgungswege. Zwei Netzteile helfen beispielsweise nur begrenzt, wenn beide an demselben fehleranfälligen Strompfad hängen. Untersuchen Sie daher nicht nur die Anzahl der Geräte, sondern auch gemeinsame Steuerungen, Verbindungen und Wartungspunkte.
Eine doppelte Auslegung kann ebenfalls gemeinsame Fehlerursachen haben. Zwei Systeme können vom gleichen Bedienfehler, derselben fehlerhaften Aktualisierung oder derselben Überschwemmung betroffen sein. Räumliche und technische Trennung müssen zur angenommenen Gefährdung passen. Ein zweiter Standort im gleichen Risikogebiet oder mit derselben kritischen Netzanbindung ist nicht automatisch eine unabhängige Ausweichmöglichkeit.
Zur Stromversorgung gehören neben der Überbrückung kurzer Unterbrechungen auch längere Ausfallszenarien. Die passende Auslegung hängt von Last, Wiederanlauf, verfügbarer Nachversorgung und den betrachteten Störungen ab. Pauschale Aussagen, jedes Rechenzentrum müsse genau fünfzehn Minuten USV-Laufzeit oder zweiundsiebzig Stunden Kraftstoff vorhalten, ersetzen diese Planung nicht. Besondere verbindliche Vorgaben können sich aus anwendbaren Standards, Verträgen oder sektoralen Regeln ergeben und müssen konkret geprüft werden.
Für Kühlung gilt dieselbe Betrachtung der Abhängigkeiten. Ersatzkapazität muss unter den vorgesehenen Last- und Umgebungsbedingungen wirksam sein. Wartungszustände können die Reserven reduzieren. Halten Sie deshalb fest, wie Betrieb und Überwachung reagieren, wenn eine Komponente bereits außer Betrieb ist und eine weitere Störung auftritt. Die nominelle Maximalleistung auf einem Datenblatt beschreibt diesen Zustand häufig nicht.
Sicherungen und Wiederherstellung ergänzen Hochverfügbarkeit
Replikation kann aktuelle Änderungen schnell auf ein zweites System übertragen. Das ist hilfreich für den Weiterbetrieb, kann aber auch versehentlich gelöschte oder manipulierte Daten weitergeben. Eine solche zweite Kopie ist deshalb nicht automatisch eine unabhängige Sicherung. Das Konzept muss beschreiben, wie ein vertrauenswürdiger früherer Datenstand wiedergewonnen und gegen dieselbe Ursache geschützt wird.
Der Leitfaden zu Backups und Wiederherstellung vertieft diese Aufgabe. Für die Rechenzentrumsbewertung ist besonders relevant, wer Sicherungen erstellt, wer ihre Wiederherstellung auslösen darf und welche Voraussetzungen dafür benötigt werden. Verschlüsselte Sicherungen sind nicht nutzbar, wenn die notwendigen Schlüssel nur im ausgefallenen System liegen. Auch Anleitungen und Zugänge müssen im Störungsfall verfügbar sein.
Überprüfen Sie die Wiederherstellung nicht nur anhand eines erfolgreichen technischen Rücklesens. Die fachlich zuständige Person muss feststellen können, ob Datenbestand, Berechtigungen und abhängige Funktionen wieder sinnvoll zusammenpassen. Eine Datenbank kann technisch starten, während referenzierte Dokumente fehlen. Dokumentieren Sie deshalb den geprüften Umfang und die verbleibenden Grenzen jeder Übung, statt aus einem Einzeltest eine umfassende Wiederherstellungsgarantie abzuleiten.
Betrieb und Wartung sind Teil der Verfügbarkeit
Fehlertolerante Technik benötigt klare Zuständigkeiten. Wer darf Umschaltungen vornehmen, wer kontrolliert Änderungen und wer entscheidet bei ungewöhnlichen Messwerten? Verfahren sollten auch unter Zeitdruck verständlich bleiben. Ein ausführliches Handbuch ersetzt keine praktische Einweisung, wenn die zuständige Person die betreffende Handlung noch nie durchgeführt hat. Zugleich müssen gefährliche Eingriffe gegen versehentliche oder unbefugte Ausführung abgesichert werden.
Wartungsarbeiten brauchen eine Betrachtung des vorübergehend veränderten Risikos. Informieren Sie betroffene Dienstverantwortliche über reduzierte Reserven und koordinieren Sie parallele Arbeiten. Zwei einzeln vertretbare Wartungen können zusammen einen kritischen Pfad unterbrechen. Eine nachvollziehbare Freigabe und Übergabe hilft, solche Wechselwirkungen zu erkennen. Aufzeichnungen sollten auch zeigen, ob nach Abschluss wieder der vorgesehene Normalzustand hergestellt wurde.
Der Leitfaden zum betrieblichen Notfallmanagement ergänzt diese technischen Fragen um Führungs- und Wiederanlaufprozesse. Legen Sie dort insbesondere fest, wie bei Ausfall üblicher Kommunikationsmittel gearbeitet wird. Die Kontaktdaten eines Dienstleisters sollten nicht ausschließlich in derselben Anwendung gespeichert sein, deren Ausfall den Kontakt gerade erforderlich macht. Solche organisatorischen Abhängigkeiten werden in reinen Ausstattungsvergleichen leicht übersehen.
DSGVO und BSIG setzen unterschiedliche rechtliche Maßstäbe
Artikel 32 DSGVO nennt Verfügbarkeit, Belastbarkeit und die Fähigkeit, Zugang zu personenbezogenen Daten nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Das erforderliche Niveau folgt aus der konkreten Verarbeitung und ihren Risiken. Die Vorschrift schreibt nicht jedem Verantwortlichen eine bestimmte Tier-Stufe vor. Auch ein externer Hostingvertrag entbindet ihn nicht davon, geeignete Dienstleister auszuwählen und eigene Konfigurationen zu beherrschen.
Das geltende BSIG enthält für betroffene Einrichtungen weitere Risikomanagementanforderungen. § 30 erfasst unter anderem Betriebsaufrechterhaltung und Wiederherstellung; § 31 enthält besondere Regeln für Betreiber kritischer Anlagen. Ein Rechenzentrumsbetreiber muss seine konkrete Einordnung und gegebenenfalls vorrangige europäische Anforderungen prüfen. Die deutsche NIS2-Einordnung unterstützt diese Prüfung. Eine pauschale Behauptung, jedes KRITIS-Rechenzentrum brauche gesetzlich mindestens Tier III, ist daraus nicht abzuleiten.
Bei Cloudleistungen kann ein C5-Prüfbericht zusätzliche Informationen liefern. Der Überblick zu den BSI-C5-Kriterien erklärt diesen Rahmen. Achten Sie auf geprüfte Leistung, Zeitraum, Abweichungen und kundenseitige Voraussetzungen. Ein Bericht über einen anderen Dienst oder über einen früheren Betriebszustand beantwortet die aktuelle Verfügbarkeitsfrage nicht vollständig. Auch C5 und Tier-Klassifikation haben unterschiedliche Gegenstände.
Energiepflichten gesondert in die Planung aufnehmen
Das Energieeffizienzgesetz regelt zusätzliche Anforderungen für Rechenzentren. Seine Begriffsbestimmung knüpft grundsätzlich an eine nicht redundante elektrische Nennanschlussleistung ab 300 Kilowatt an und enthält eine Ausnahme für bestimmte Netzknoten. Betreiber von Informationstechnik innerhalb eines Rechenzentrums werden wiederum gesondert definiert. Deshalb ist eine einzige pauschale Schwelle von 500 Kilowatt für alle Pflichten unzutreffend.
§ 11 unterscheidet nach dem Zeitpunkt der Betriebsaufnahme. Für Anlagen vor dem 1. Juli 2026 gelten die dort vorgesehenen PUE-Grenzen von höchstens 1,5 ab Juli 2027 und höchstens 1,3 ab Juli 2030. Für Anlagen ab Juli 2026 sieht die Vorschrift grundsätzlich höchstens 1,2 sowie Anforderungen an wiederverwendete Energie vor, mit einer zweijährigen Anlaufregel und besonderen Ausnahmen für die Wiederverwendung. Diese künftigen und bedingten Vorgaben dürfen nicht als bereits identische Pflicht für alle Bestandsanlagen dargestellt werden.
§ 12 regelt Energie- oder Umweltmanagementsysteme und unterscheidet die Einrichtung eines Systems von seiner Validierung oder Zertifizierung. Für die Zertifizierungspflicht gelten unterschiedliche Schwellen, unter anderem für Rechenzentren ab einem Megawatt, bestimmte öffentliche Rechenzentren ab 300 Kilowatt und Betreiber von Informationstechnik ab 500 Kilowatt. Hinzu kommen besondere öffentliche Konstellationen und gesetzliche Ausnahmen. Prüfen Sie die genaue Betreiberrolle, statt die Werte beliebig auf das gesamte Gebäude zu übertragen.
Die jährliche Informationspflicht nach § 13 betrifft die Veröffentlichung und Übermittlung bestimmter Angaben an den Bund; § 14 regelt das Energieeffizienzregister. Das ist keine allgemeine jährliche Verfügbarkeitsmeldung an das BSI. Energieeffizienz und Ausfallsicherheit müssen gemeinsam geplant werden, bleiben aber unterschiedliche Anforderungen. Eine günstige PUE beweist weder sichere Wiederherstellung noch ausreichende Redundanz für den vereinbarten Dienst.
Beschaffung anhand überprüfbarer Nachweise abschließen
Fordern Sie im Auswahlverfahren die Unterlagen an, die Ihre konkreten Anforderungen beantworten: Standort- und Leistungsumfang, relevante Prüfberichte, dokumentierte Wiederherstellungsleistungen und die Aufteilung der Zuständigkeiten. Lassen Sie erläutern, welche Leistung im Wartungsfall eingeschränkt wird und welche Mitwirkung vom Kunden erwartet wird. Ein vertragliches Ziel ist nur belastbar, wenn beide Seiten seine technischen und organisatorischen Voraussetzungen kennen.
Bei einer Verfügbarkeitszusage sollten Messbeginn, Messende und Ausnahmen eindeutig sein. Klären Sie beispielsweise, ob eine ausgefallene Anmeldung als Dienstausfall zählt und wie Teilstörungen behandelt werden. Vereinbarte Gutschriften gleichen nicht automatisch die Folgen für betroffene Personen oder unterbrochene Geschäftsprozesse aus. Sie ersetzen daher keine angemessene Auswahl und Absicherung des Dienstes.
Ein hypothetischer Anbieterwechsel zeigt eine weitere Abhängigkeit: Die neuen Server sind einsatzbereit, aber der bisherige Anbieter muss noch Daten exportieren und eine Netzverbindung umstellen. Wenn diese Schritte nicht abgestimmt sind, entsteht trotz redundanter Zielinfrastruktur eine vermeidbare Unterbrechung. Vereinbaren Sie deshalb, welcher Datenstand übergeben wird, wer seine Vollständigkeit prüft und wann der alte Dienst beendet werden darf. Die Möglichkeit zur Rückkehr auf einen funktionierenden Zustand sollte zum geplanten Ablauf passen. Auch hier braucht es eine Unterscheidung zwischen technischer Erreichbarkeit und fachlich nutzbaren Daten. Eine erfolgreiche Anmeldung am neuen Standort beweist noch nicht, dass alle Dokumente, Berechtigungen und Hintergrundaufträge richtig übernommen wurden. Der Übergang muss die benötigte Leistung als Ganzes berücksichtigen.
Nach der Auswahl braucht es einen überprüfbaren Betriebsübergang. Kontrollieren Sie, ob vereinbarte Zugänge, Kontaktwege und Wiederherstellungsinformationen tatsächlich vorhanden sind. Halten Sie offene Punkte und verantwortliche Personen fest. Bei späteren Änderungen an Standort, Architektur oder Dienstumfang ist die ursprüngliche Bewertung erneut zu prüfen. Hochverfügbarkeit entsteht aus diesem fortlaufenden Zusammenspiel von Anforderungen, Technik, Betrieb und überprüfbaren Nachweisen.