Eigener Server oder Rechenzentrum: die Entscheidung sachlich

In den meisten Betrieben fällt die Entscheidung nicht am Reißbrett, sondern unter Zeitdruck: Ein Gerät fällt aus, ein Wartungsvertrag endet, ein Anbieter stellt seine Software um. Dann liegen zwei Angebote auf dem Tisch, die sich auf den ersten Blick nicht vergleichen lassen, weil das eine eine einmalige Summe nennt und das andere einen Monatsbetrag. Der Vergleich beginnt deshalb nicht bei der Technik, sondern bei der Frage, welche Aufgaben nach der Entscheidung bei wem liegen.

Ein Server im eigenen Haus bedeutet: Sie besitzen das Gerät, Sie bestimmen über Aktualisierungen und Zeitpunkte, Sie kommen physisch heran — und Sie sind zuständig, wenn er am Freitagabend stehen bleibt. Ein Server im Rechenzentrum bedeutet: Ein Teil dieser Zuständigkeit wandert in einen Vertrag, dafür entsteht eine Grenze, an der zwei Organisationen aufeinandertreffen. Genau an dieser Grenze entstehen später die längsten Telefonate. Sie sauber zu ziehen ist wichtiger als jede Angabe zur Rechenleistung.

Hinzu kommt eine schlichte Personalfrage. In Betrieben mit zehn bis zweihundertfünfzig Beschäftigten — kleine und mittlere Unternehmen stellen rund 99 Prozent (Statistisches Bundesamt) aller Unternehmen in Deutschland — gibt es meist keine eigene IT-Abteilung, sondern eine Person, die sich zusätzlich zu ihrer eigentlichen Arbeit kümmert. Ob diese Person Server betreuen soll oder ihre Zeit besser in Abläufe steckt, ist eine betriebswirtschaftliche Entscheidung und keine technische.

Rechenzentren werben mit Verfügbarkeitswerten, die beeindruckend aussehen. Der Wert beschreibt jedoch fast immer nur die Infrastruktur des Anbieters — Strom, Kühlung, Netz, oft die virtuelle Maschine. Er beschreibt nicht Ihre Anwendung, nicht Ihre Datenbank, nicht Ihren Internetanschluss und nicht die Zeit, die vergeht, bis jemand bei Ihnen den Ausfall bemerkt. Für die Praxis ist deshalb nicht der Prozentwert entscheidend, sondern die Frage, worauf er sich bezieht und was passiert, wenn er nicht eingehalten wird.

Hilfreich ist, den Prozentwert in Stunden zu übersetzen. Erst dann wird sichtbar, ob eine Zusage zum Betrieb passt: Ein Handwerksbetrieb, der die Auftragsdaten morgens holt und abends zurückschreibt, verträgt einen anderen Ausfall als ein Versandlager, in dem jede Stunde Stillstand Pakete kostet. Die folgende Aufstellung übersetzt gängige Zusagen in Zeit.

Die Werte entstehen durch Umlage der Jahresstunden auf den zugesagten Anteil (Rechenbeispiel). Sie zeigen vor allem eines: Der Sprung von einer hohen auf eine noch höhere Zusage kostet Geld, bringt aber nur dann etwas, wenn auch alle anderen Glieder der Kette mithalten. Ein Betrieb mit einem einzigen Internetanschluss und ohne Ersatzweg erreicht die zugesagte Verfügbarkeit im Alltag ohnehin nicht — dann ist das Geld in einem zweiten Anschluss besser angelegt als in einer höheren Vertragsstufe.

Beim Server im eigenen Haus ist der Standort trivial zu beantworten, die Pflichten bleiben trotzdem bestehen: Zutrittsschutz zum Technikraum, Zugriffsrechte, Protokollierung, ein geprüftes Sicherungskonzept und ein Notfallplan. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt diese Bausteine im IT-Grundschutz ausführlich; sie gelten unabhängig davon, wer das Gerät besitzt. Der häufigste Irrtum lautet, ein Server im eigenen Haus sei automatisch sicherer. Er ist zunächst nur näher.

Bei Betrieb in einem fremden Rechenzentrum kommen vertragliche Punkte hinzu. Werden personenbezogene Daten verarbeitet, ist in aller Regel eine Vereinbarung zur Auftragsverarbeitung erforderlich, in der Zweck, Umfang, technische und organisatorische Maßnahmen sowie eingesetzte Unterauftragnehmer benannt sind. Der Serverstandort gehört schriftlich in den Vertrag, ebenso die Frage, ob im Wartungsfall aus einem Drittland heraus auf die Systeme zugegriffen werden kann — ein Fernzugriff zur Wartung ist datenschutzrechtlich relevant, auch wenn die Daten physisch in Europa liegen.

Praktisch bewährt hat sich, die Frage vom Datenbestand her zu stellen statt vom Anbieter: Welche Daten liegen in dieser Anwendung, wie schutzbedürftig sind sie, welche Aufbewahrungs- und Nachweispflichten gelten dafür? Personaldaten, Gesundheitsdaten und Konstruktionsunterlagen werden anders bewertet als ein gemeinsamer Terminkalender. Die rechtliche Bewertung im Einzelfall gehört in fachliche Hände; die Vorarbeit — eine Liste der Anwendungen samt Datenarten — kann jeder Betrieb selbst leisten und braucht sie ohnehin für die Prozessdokumentation.

Ein Betrieb betreibt selten ein System, sondern acht bis zwölf. Sie unterscheiden sich in Datenmenge, Antwortzeitanforderung, Zahl der externen Nutzer und Nachweispflicht. Eine einheitliche Antwort für alle wäre bequem, wäre aber für einen erheblichen Teil der Systeme falsch. Sinnvoll ist deshalb, jede Anwendung einzeln durch dasselbe Raster zu schicken.

Aus diesem Raster fällt regelmäßig ein gemischtes Bild heraus — und das ist kein Zeichen von Unentschlossenheit, sondern Ergebnis unterschiedlicher Anforderungen. Der Anteil der Betriebe, die Rechenleistung aus dem Netz nutzen, wächst europaweit: Die Europäische Kommission hat sich für die Digitale Dekade das Ziel gesetzt, dass bis 2030 rund 75 Prozent (Europäische Kommission) der Unternehmen in der EU Cloud-Dienste, Datenanalyse oder Künstliche Intelligenz einsetzen. Das heißt nicht, dass alles dorthin wandert, sondern dass beide Betriebsformen nebeneinander bestehen werden.

Die folgenden Punkte gehören schriftlich beantwortet, bevor unterschrieben wird — unabhängig davon, ob es um einen Mietvertrag für Rechenleistung, um eine Anwendung als Dienst oder um einen Wartungsvertrag für den eigenen Server geht. Mündliche Zusagen aus dem Verkaufsgespräch helfen bei einer Störung nicht weiter.

Wenn eine dieser Fragen im Gespräch ausweichend beantwortet wird, ist das bereits eine Information über den späteren Betrieb. Anbieter mit geordnetem Betrieb beantworten sie ohne Zögern, weil sie die Antworten für ihre eigene Organisation ohnehin dokumentiert haben.