Das XaaS-Prinzip hat es längst zum Normalfall gemacht: Unternehmen lagern ihre Website, ihr Kundenportal, ihren Onlineshop oder ihre Buchungsplattform häufig an einen spezialisierten Dienstleister aus. Im Alltag zählt dabei vor allem, dass der Service zuverlässig funktioniert, skalierbar ist und dem Auftraggeber viel Arbeit abnimmt. Allerdings wird häufig erst bei einer Störung oder einem Sicherheitsvorfall sichtbar, wie viele weitere Parteien am Betrieb beteiligt sind.

Das ist nicht zwangsläufig ein Nachteil. Spezialisierte Partner können auch hier Kompetenzen bündeln und den eigenen IT-Betrieb entlasten. Problematisch wird die Arbeitsteilung erst, wenn Verantwortlichkeiten unklar bleiben. Dann lassen sich Sicherheit, Compliance, Geschäftskontinuität und Kostenkontrolle nur schwer belastbar bewerten.

Prüfen Sie die Rollen hinter dem Angebot

Hinter einem Managed Service können verschiedene Parteien stehen:

• Softwareanbierter
• Hardwareeigentümer
• Rechenzentrumsbetreiber
• Mehrere Netzprovider
• Vor-Ort-Service

Manche Unternehmen übernehmen mehrere dieser Rollen selbst. Andere greifen vollständig auf externe Cloud-Ressourcen zurück. Trennen Sie deshalb zwei Fragen voneinander:

Wer verkauft Ihnen den Service? Und wer kann technisch oder administrativ auf Ihre Systeme zugreifen?

Auch der physische Standort beantwortet das nicht zwangsläufig vollständig. Ein Server kann etwa in Braunschweig stehen, während zentrale Betriebsfunktionen aus einem anderen Rechtsraum erbracht werden.

Werden personenbezogene Daten verarbeitet, gewinnt die Dienstleisterkette zusätzlich an rechtlicher Bedeutung. Der Europäische Datenschutzausschuss betont, dass Verantwortliche Informationen über die Identität sämtlicher eingesetzter Auftrags- und Unterauftragsverarbeiter verfügbar haben sollten. Verlassen Sie sich daher nicht allein auf den bekannten Markennamen Ihres Vertragspartners.

Achten Sie darauf, wie offen der Anbieter informiert

Ein anschauliches Beispiel für ordentliche Transparenz liefert HostPress. Der Managed-WordPress-Anbieter beschreibt in einem Einblick in sein Frankfurter Rechenzentrumsmodell, warum er auf eigene Hardware setzt und nicht lediglich Ressourcen eines Hyperscalers weiterverkauft.

Zudem legt das Unternehmen die Aufgabenverteilung offen:

• Die Systeme stehen an einem NTT-Rechenzentrumsstandort in Frankfurt;
• der Infrastrukturpartner IP Projects kümmert sich laut Darstellung um Hardware, Netzwerk, Stromversorgung und Arbeiten am Standort,
• während HostPress den eigentlichen Hostingservice verantwortet.

Der Beitrag beschreibt außerdem eine A/B-Stromversorgung, doppelte Netzwerkanschlüsse, einen getrennten Out-of-Band-Zugang und vor Ort bevorratete Ersatzteile. Kurzum: Damit werden nicht nur ein Standort und oberflächliche Details genannt. Interessenten erhalten auch einen Einblick in technische Vorkehrungen und betriebliche Zuständigkeiten.

Genau diese Offenheit ist für Ihre Providerprüfung wertvoll. Eigene Hardware und kurze Wege zum technischen Team können Abhängigkeiten reduzieren. Sie ersetzen jedoch weder vertragliche Zusagen noch Ihre Bewertung der gesamten Lieferkette.

Diese Fragen sollten Sie Ihrem Provider stellen

Marketingbegriffe wie „souverän", „hochverfügbar", „DSGVO-konform" oder „Made in Germany" sind zwar beliebt, aber keine einheitlichen technischen Standards. Lassen Sie sich deshalb nicht nur Eigenschaften zusichern, sondern verlangen Sie konkrete Antworten und belastbare Nachweise:

• Wem gehören Server, Speichersysteme, Firewalls und Netzwerkkomponenten?
• Wer betreibt Gebäude, Stromversorgung und physische Sicherheit?
• Welche Unternehmen besitzen administrative oder physische Zugriffsrechte?
• Welche Unterauftragnehmer werden für Betrieb und Support eingesetzt?
• In welchen Ländern erfolgen Administration, Datensicherung, Überwachung und Support?
• Welche Prüfberichte, Testate oder Zertifizierungen liegen für den Service vor?
• Welche Reaktions- und Wiederherstellungszeiten sind vertraglich zugesichert?
• Wie können Sie Daten, Konfigurationen und Anwendungen zu einem anderen Anbieter übertragen?

Wichtig: Akzeptieren Sie außerdem nicht, dass sich die Antworten über Präsentationen und Verkaufsgespräche verteilen. Sie gehören in Verträge, Leistungsbeschreibungen, Auftragsverarbeitungsvereinbarungen und überprüfbare Betriebsdokumentationen.

Setzen Sie Standort nicht automatisch mit Souveränität gleich

Ja, ein deutscher Rechenzentrumsstandort kann kurze Datenwege ermöglichen und für bestimmte regulatorische oder betriebliche Anforderungen relevant sein.

Nein, ein deutscher Rechenzentrumsstandort beweist für sich genommen aber noch keine umfassende Datensouveränität.

Betrachten Sie deshalb mindestens vier Kontrollebenen:

• Rechtliche Kontrolle über Daten und Vertragspartner

• Technische Kontrolle über Infrastruktur und Zugänge

• Operative Kontrolle über Wartung und Störungsbehebung

• Wirtschaftliche Kontrolle durch Wechselmöglichkeiten und tragfähige Kosten

Bedenken Sie außerdem: Auch eigene Server machen einen Anbieter nicht autark. Prozessoren, Betriebssysteme, Netzwerkkomponenten und Sicherheitsupdates stammen weiterhin aus internationalen Lieferketten. Bewerten Sie Souveränität deshalb nicht als völlige Unabhängigkeit, sondern als Fähigkeit, bestehende Abhängigkeiten zu erkennen und trotzdem handlungsfähig zu bleiben.

Prüfen Sie die gesamte Redundanzkette

Zwei Netzteile allein machen noch keinen hochverfügbaren Service. Verfolgen Sie bei Ihrer Prüfung jeden kritischen Pfad vom Server bis zur externen Anbindung. Das Bundesamt für Sicherheit in der Informationstechnik zählt zum Rechenzentrum nicht nur den IT-Betriebsbereich, sondern auch technische Supportbereiche wie Stromversorgung, Kühlung, Löschtechnik und Gebäudesicherheit.

Folgende Punkte gehören daher auf Ihre Prüfliste:

• Unterbrechungsfreie Stromversorgung und Netzersatzanlagen
• Getrennte Netzwerkpfade und externe Carrier
• Kühlung, Brandschutz und physischer Zutritt
• Monitoring und unabhängige Managementzugänge
• Ersatzteile und verfügbare Techniker am Standort
• Backups und gegebenenfalls räumlich getrennte Wiederanlaufmöglichkeiten

Schauen Sie außerdem genau auf die Formulierungen im Service Level Agreement. Eine "schnelle Reaktion" bedeutet nur, dass sich jemand mit dem Vorfall befasst. Sie sagt aber noch nicht, wann Ihr Service tatsächlich wiederhergestellt ist. Lassen Sie Reaktions- und Wiederherstellungszeit deshalb getrennt definieren.

Für Cloud-Angebote können Prüfberichte nach dem BSI-Kriterienkatalog C5 zusätzliche Transparenz schaffen. Der Katalog soll unter anderem sichtbar machen, wie sicherheitskritische Aufgaben zwischen Anbieter und Kunde verteilt sind. Er ersetzt allerdings nicht die individuelle Prüfung Ihres Workloads.

Last, but not least: Planen Sie den Exit bereits vor Vertragsabschluss

Eine Infrastruktur bleibt nur dann beherrschbar, wenn Sie diese wieder verlassen können. Gleichsam ist Vendor Lock-in keinesfalls nur ein Schreckgespenst. Klären Sie deshalb vor Vertragsabschluss, in welchen Formaten Ihre Daten exportiert werden, wie lange eine Migration dauert, welche Unterstützung der bisherige Anbieter leistet und welche Kosten dabei entstehen.

Zu einem belastbaren Exit gehören außerdem aktuelle Backups, dokumentierte Konfigurationen, kontrollierte DNS-Zugänge und ein geregelter Entzug von Berechtigungen. Lassen Sie sich nach Abschluss der Migration auch die Löschung verbliebener Kopien nachweisen.

Fragen Sie somit nicht nur: „Wo stehen unsere Daten?" Ebenso wichtig ist, wer Hardware und Betrieb kontrolliert, welche weiteren Unternehmen beteiligt sind, welche Rechtsräume greifen und wie schnell Sie bei Problemen selbst handeln können.

Erst, wenn Sie die Infrastruktur hinter Ihrem Hoster detailliert kennen, kaufen Sie eine überprüfbare und somit transparente Leistung.