BSI Hochverfügbarkeit Rechenzentrum: TR-03183

In einem Satz. Der BSI-Standard für Hochverfügbarkeit in Rechenzentren kombiniert TIER-Klassifikation (Uptime Institute, I-IV), eigene Verfügbarkeitsklassen (VK0-VK5) und konkrete Anforderungen an Strom, Klima, Brandschutz, Zutritt — verbindlich für KRITIS-Betreiber, faktisch Standard für jeden DSGVO Art. 32-konformen Betrieb.

Verfügbarkeit ist Bestandteil der Sicherheitsanforderungen aus Art. 32 DSGVO. Für Cloud-Rechenzentren ergänzt der BSI-C5-Kriterienkatalog für Cloud Computing die Verfügbarkeitsanforderungen. Siehe auch BSI-Grundschutz und DSGVO Art. 32.

Wichtige Punkte

• Verfügbarkeitsklassen VK0 (keine HV) bis VK5 (Desaster-Toleranz).
• TIER-Klassifikation parallel: TIER I (99,671%) bis TIER IV (99,995%).
• Redundanz N, N+1, 2N, 2N+1.
• KRITIS-Betreiber: mindestens TIER III.
• Energieeffizienz nach EnEfG 2024 zusätzlich Pflicht.

1. Verfügbarkeitsklassen BSI

VK	Bedeutung	Beispiel
VK0	Keine HV-Maßnahmen	Testumgebung
VK1	Standardverfügbarkeit	Büro-IT
VK2	Erhöhte Verfügbarkeit	Standard-Produktion
VK3	Hochverfügbar	Banken, Krankenhäuser
VK4	Höchstverfügbar	KRITIS
VK5	Desaster-tolerant	Notfallleitstellen

2. TIER-Stufen (Uptime Institute)

TIER	Uptime/Jahr	Downtime/Jahr	Beschreibung
I	99,671%	28,8h	Basis
II	99,741%	22h	+ Redundanz Komponenten
III	99,982%	1,6h	Concurrently maintainable
IV	99,995%	26 Minuten	Fault tolerant

3. Redundanzkonzepte

• N: minimal nötig, keine Redundanz.
• N+1: ein zusätzliches Element.
• 2N: vollständige Redundanz aller Komponenten.
• 2N+1: zusätzliches Redundanzelement.

KRITIS-Standard: mindestens 2N für USV, Klima, Netzwerk.

4. Stromversorgung

• Zwei Mittelspannungszuführungen aus verschiedenen Umspannwerken (TIER III+).
• USV-Systeme N+1 oder 2N, Überbrückung mindestens 15 Minuten.
• Netzersatzanlagen (Diesel), Tank für 72h Volllast.
• Wartung ohne Unterbrechung der IT-Last.

5. Klimatisierung

• Redundanz N+1 oder 2N.
• Cold-Aisle/Hot-Aisle Containment.
• PUE-Ziel < 1,5 (Energy Efficiency Act 2024).
• Freie Kühlung in deutschen Klimazonen sinnvoll bis ca. 70% des Jahres.

6. Brandschutz

• Frühestmögliche Detektion (Ansaugrauchmelder, VESDA).
• Inertgas-Löschanlage (Argonit, Novec 1230).
• Brandabschnittsbildung nach DIN 4102 / EN 1047-2.
• Datensicherungssystem in eigenem Brandabschnitt.

7. Zutrittsschutz

• Mehrstufige Sicherheitsbereiche (Außen, Sicherheits-, Hochsicherheitsbereich).
• Zwei-Faktor-Zutritt (Karte + Biometrie oder PIN).
• Videoüberwachung mit Speicherung 90 Tage (DSGVO-konform).
• Vereinzelung (Schleusen) für Hochsicherheitsbereiche.

8. EnEfG-Pflichten 2024

Energieeffizienzgesetz: Rechenzentren > 500 kW müssen PUE-Werte, Wärmenutzung und erneuerbare Energien dokumentieren. Berichtspflicht an BSI ab 2025.

9. Standortauswahl

• Außerhalb 100-jähriger Hochwasserzone.
• Keine Einflugschneise.
• Stabile Stromversorgung (Nähe Umspannwerk).
• Mindestabstand Industrieanlagen.

10. KRITIS-Anforderungen

§ 8a BSIG verlangt für KRITIS-Rechenzentren mindestens TIER III, jährliche Audits, Pentests sowie Notfallpläne nach BSI 200-4. NIS2-Umsetzung erweitert Anforderungen für wesentliche Einrichtungen.

11. Tool-Unterstützung

Legiscope dokumentiert Verfügbarkeitsanforderungen in Schutzbedarfsmatrix und verknüpft mit Art. 32-Maßnahmen.

11. Konkrete Implementierungsschritte

1. Bestandsaufnahme der betroffenen Systeme und Datenflüsse (CMDB, Netzplan).
2. Schutzbedarfsfeststellung nach BSI-Standard 200-2 (normal/hoch/sehr hoch).
3. Risikoanalyse mit Bedrohungskatalog des IT-Grundschutz-Kompendiums.
4. Maßnahmenkatalog ableiten aus den relevanten Bausteinen.
5. Pilotierung auf ausgewähltem Subsystem, Lessons Learned dokumentieren.
6. Rollout mit Rollbackplan, Change-Management, Schulungen.
7. Monitoring über SIEM, regelmäßige Vulnerability-Scans.
8. Wirksamkeitsprüfung über interne Audits und Pentests, mindestens jährlich.
9. Dokumentation im ISMS-Tool (verinice., AdaptiveGRC, Compliance Aspekte).
10. Re-Zertifizierung spätestens alle drei Jahre.

12. Tool-Empfehlungen (Open-Source und kommerziell)

Bereich	Open-Source	Kommerziell
ISMS	verinice., OpenVAS	RSA Archer, ServiceNow GRC
SIEM	Wazuh, Graylog, ELK	Splunk, Microsoft Sentinel, IBM QRadar
Pentest	Kali Linux, Metasploit Framework	Burp Suite Pro, Cobalt Strike
Vulnerability-Scan	OpenVAS, Nuclei	Tenable Nessus, Qualys VMDR
Endpoint Detection	Wazuh, OSSEC	CrowdStrike Falcon, SentinelOne
Backup	Bacula, Restic	Veeam, Rubrik

Open-Source-Stacks sind für KMU oft ausreichend, erfordern aber qualifizierte Administration. Kommerzielle Lösungen liefern Support, Hardening-Defaults und Compliance-Reports out-of-the-box.

13. Voraussetzungen und Vorwissen

Für die Umsetzung empfiehlt der BSI mindestens: ISO 27001 Foundation oder BSI IT-Grundschutz-Praktiker-Zertifizierung, praktische Erfahrung mit Netzwerktechnik und Linux/Windows-Administration, Verständnis von Identitäts- und Zugriffsmanagement (IAM), Kenntnisse in Kryptographie nach BSI TR-02102. Für Audits zusätzlich ISO 27001 Lead Auditor oder BSI-zertifizierter Auditor. Mittlere Projekte erfordern ein Team aus DSB, ISB, Netzwerk-Admin und Anwendungsverantwortlichem.

14. ROI-Metriken und Kennzahlen

Typische Kennzahlen zur Erfolgskontrolle:

• Mean Time to Detect (MTTD): Ziel < 24 Stunden, ohne SIEM oft > 200 Tage (IBM Cost of a Data Breach Report).
• Mean Time to Respond (MTTR): Ziel < 4 Stunden für kritische Vorfälle.
• Patch-Compliance-Quote: Ziel > 95 % binnen 30 Tagen nach CVE-Veröffentlichung.
• Schulungsquote: 100 % aller Mitarbeitenden pro Jahr (E-Learning + Phishing-Tests).
• Audit-Befund-Schließung: Critical-Findings binnen 30 Tagen, High binnen 90 Tagen.
• Backup-Wiederherstellungstest: mindestens quartalsweise, RTO/RPO dokumentiert.

Ein durchschnittlicher Datenpannen-Vorfall kostet laut Bitkom-Studie 2024 in Deutschland 4,3 Mio. €. Investitionen in präventive Maßnahmen amortisieren sich typisch nach 18-30 Monaten.

15. Häufige Pitfalls

• Maßnahmen werden eingeführt, aber nicht in Betrieb gehalten (kein Lifecycle-Management).
• Fehlende Asset-Management-Disziplin — Schatten-IT bleibt unberücksichtigt.
• Verlassen auf Standard-Hardening ohne unternehmensspezifische Risikoanalyse.
• Keine Awareness-Schulungen für nicht-technische Mitarbeitende.
• Verträge mit Cloud-Anbietern ohne Sicherheits-SLA und Audit-Recht.
• Pentests ohne Re-Test nach Befundbehebung — Mängel bleiben offen.
• Logmanagement ohne Aufbewahrungspflicht-Konformität (DSGVO Art. 5 Abs. 1 lit. e).

16. Integration mit ISO 27001 und NIS2

ISO 27001:2022 und BSI-Grundschutz sind weitgehend kompatibel; eine Mapping-Tabelle des BSI ordnet die ISO-Controls (Annex A) den Grundschutz-Bausteinen zu. Doppelzertifizierungen sind möglich und reduzieren Audit-Aufwand um ca. 30 %. Für NIS2 Deutschland-pflichtige Einrichtungen (KRITIS, wesentliche/wichtige Einrichtungen nach § 28 NIS2UmsuCG) gilt: BSI-Grundschutz wird als geeigneter Sicherheitsstandard akzeptiert, ISO 27001 ebenso. Wer beides hat, deckt zugleich DORA-Anforderungen (für Finanzinstitute) und DSGVO Art. 32 Sicherheit ab.

17. Vergleich BSI vs ANSSI vs NIST

Aspekt	BSI (DE)	ANSSI (FR)	NIST (US)
Ansatz	Bausteinbasiert (modular)	Risikobasiert (EBIOS)	Funktion-basiert (CSF 2.0)
Hauptstandard	IT-Grundschutz / 200-2	PSSI-E, EBIOS RM	NIST CSF, SP 800-53
Zertifizierung	ISO 27001 auf Basis Grundschutz	LSTI, SecNumCloud	FedRAMP, FISMA
Cloud-Bewertung	C5 (Cloud Computing Compliance Criteria Catalogue)	SecNumCloud	FedRAMP High/Moderate
Pflichtkraft	KRITIS-Verordnung, NIS2UmsuCG	LPM, NIS2-Transposition	FISMA, Executive Orders

In multinationalen Konzernen wird häufig NIST CSF als Mantel verwendet, mit BSI-Grundschutz für DE-Tochterunternehmen und SecNumCloud für FR-Cloudnutzung.

18. Amtliche Quellen und Rechtsgrundlagen

• BSI — Bundesamt für Sicherheit in der Informationstechnik mit dem IT-Grundschutz-Kompendium (Baustein INF.2 Rechenzentrum) und den Kriterien für hochverfügbare Rechenzentren (HV-Kompendium).
• Datenschutz-Grundverordnung (EU) 2016/679 — EUR-Lex, Art. 32 (Sicherheit der Verarbeitung) verlangt ausdrücklich die “Verfügbarkeit und Belastbarkeit der Systeme”.
• Energieeffizienzgesetz (EnEfG) — gesetze-im-internet.de, maßgeblich für PUE-Grenzwerte und Berichtspflichten von Rechenzentren.

Wichtig für die rechtliche Einordnung: Der BSI-Verfügbarkeitsklassen-Ansatz ist kein Selbstzweck, sondern die technische Konkretisierung der Verfügbarkeits-Anforderung aus Art. 32 Abs. 1 lit. b DSGVO. Eine Aufsichtsbehörde bewertet im Schadensfall, ob die gewählte Verfügbarkeitsklasse zum Schutzbedarf der verarbeiteten Daten passt — ein VK1-Setup für Patientendaten wäre angreifbar. Umgekehrt schuldet ein Standard-Bürobetrieb keine KRITIS-Redundanz. Die Angemessenheit ist immer risikoproportional zu bestimmen und zu dokumentieren.

Fazit

Hochverfügbarkeit ist Bestandteil der DSGVO-Sicherheit. Wer KRITIS-Pflichten hat, kommt nicht unter TIER III; wer Patientendaten oder Finanzdaten verarbeitet, sollte ebenfalls dort starten.

FAQ

Welche TIER-Stufe muss ein KRITIS-Rechenzentrum erfüllen?

Mindestens TIER III nach Uptime Institute, faktisch ist TIER III+ (mit 2N-Komponenten) Standard.

Was bedeutet 2N+1?

Vollständige Redundanz aller Komponenten plus ein zusätzliches Reserveelement — Maximalstandard.

Was ist PUE?

Power Usage Effectiveness — Verhältnis Gesamtenergie zu IT-Energie. Ziel < 1,5; EnEfG 2024 verschärft Anforderungen.

Wie lange müssen Notstromaggregate laufen?

Standard: 72 Stunden Volllast nach BSI, Diesel-Tank entsprechend dimensioniert.

Was kostet ein TIER III-Rechenzentrum?

Bau ca. 8.000-12.000 € pro m² Whitespace plus IT-Infrastruktur, Gesamtkosten typisch 10-30 Mio. € für mittleres RZ.

Wie integriere ich BSI-Grundschutz mit bestehender ISO 27001?

Mapping-Tabellen des BSI zeigen Äquivalenzen zwischen Annex A und Grundschutz-Bausteinen. Praxis: Ein ISMS-Dokument für beide Standards, Audit kombiniert, Zertifizierungsaufwand sinkt um ca. 30 %. Voraussetzung ist ein zentrales ISMS-Tool wie verinice. mit beiden Profilen. Für die Re-Zertifizierung alle drei Jahre reicht ein gemeinsames Audit-Team.

Welche Kosten entstehen für die Erstimplementierung?

Für ein mittleres Unternehmen (250-500 Mitarbeitende): externe Beratung 80.000-180.000 €, Tooling 15.000-60.000 €/Jahr, interne Personalkosten 1-2 FTE über 12 Monate, Audit-Kosten 25.000-50.000 €. Gesamtprojekt typisch 250.000-450.000 € in Jahr 1, danach jährlich 60.000-120.000 € Betrieb. ROI über reduzierte Vorfallskosten und Versicherungsprämienrabatte (typisch 10-20 % bei Cyber-Versicherungen).

Wie verhält sich BSI-Grundschutz zu NIS2?

Die NIS2 Deutschland-Umsetzung (NIS2UmsuCG) akzeptiert BSI-Grundschutz und ISO 27001 als geeignete Sicherheitsstandards. KRITIS-Betreiber und wesentliche Einrichtungen müssen alle zwei Jahre den Nachweis erbringen. Wer bereits zertifiziert ist, hat den Compliance-Nachweis für NIS2 weitgehend erbracht.

Welche BSI-Technische-Richtlinien sind besonders relevant?

BSI TR-02102 (Kryptographische Verfahren), TR-03116 (eHealth-Sicherheit), TR-03161 (Anforderungen mobile Anwendungen), TR-03145 (Sichere CA-Betriebsprozesse), TR-03150 (Sichere Verarbeitung in der elektronischen Patientenakte). Für Cloud-Nutzung zusätzlich der C5-Katalog (Cloud Computing Compliance Criteria Catalogue) in Version C5:2020.