Datensicherheit: Warum deutsche Rechenzentren den Unterschied machen

Es gibt Gespräche, die in jeder IT-Abteilung regelmäßig stattfinden. Eines davon geht ungefähr so: "Können wir das nicht einfach bei AWS machen?" Und dann kommt jemand aus der Rechtsabteilung um die Ecke und fragt: "Wo stehen die Server?" Ab diesem Punkt wird es kompliziert. Oder auch nicht, wenn Sie von vornherein auf deutsche Rechenzentren setzen.

Das regulatorische Labyrinth

Deutschland hat eines der strengsten Datenschutzregime der Welt. Die DSGVO ist dabei nur die Basis. Darauf stapeln sich branchenspezifische Regulierungen wie BAIT (Banken), KAIT (Kapitalverwaltungsgesellschaften), VAIT (Versicherungen) und MaRisk. Dazu kommen technische Standards wie ISO 27001, BSI C5 und der BSI IT-Grundschutz. Wer in einer regulierten Branche arbeitet, kennt die Freude, wenn der Auditor fragt: "Können Sie nachweisen, dass keine personenbezogenen Daten Deutschland verlassen?"

Mit einem deutschen Rechenzentrum ist die Antwort ein entspanntes "Ja". Mit einem US-Hyperscaler beginnt eine längere Diskussion über Standard Contractual Clauses, Transfer Impact Assessments und die Frage, ob der US CLOUD Act theoretisch einen Zugriff ermöglichen könnte. Spoiler: Er könnte.

CLOUD Act vs. DSGVO: Ein ungelöster Konflikt

Der US CLOUD Act von 2018 erlaubt es US-Behörden, von US-Unternehmen die Herausgabe von Daten zu verlangen, unabhängig davon, wo diese Daten physisch gespeichert sind. Das steht in direktem Widerspruch zur DSGVO, die eine Übermittlung personenbezogener Daten an Drittländer nur unter bestimmten Bedingungen erlaubt.

AWS, Azure und Google Cloud sind US-Unternehmen. Selbst wenn die Server in Frankfurt stehen, unterliegen die Betreiberunternehmen dem US-Recht. Das ist kein theoretisches Risiko. Es gab bereits Fälle, in denen US-Behörden Daten von europäischen Servern angefordert haben.

Ein deutscher Cloud-Anbieter, der nicht zu einem US-Konzern gehört, hat dieses Problem schlicht nicht. Deutsche Unternehmen unterliegen deutschem Recht. Punkt.

Was ISO 27001 und BSI C5 konkret bedeuten

Zertifizierungen sind mehr als Logos auf einer Website. Sie stehen für überprüfte Prozesse, dokumentierte Verantwortlichkeiten und regelmäßige Audits.

ISO 27001 definiert Anforderungen an ein Informationssicherheits-Managementsystem (ISMS). Wer zertifiziert ist, hat nachweislich Prozesse für Risikobewertung, Zugriffskontrolle, Incident Management und Business Continuity implementiert. Die Zertifizierung wird jährlich durch externe Auditoren überprüft.

BSI C5 (Cloud Computing Compliance Criteria Catalogue) geht noch weiter. Dieser vom Bundesamt für Sicherheit in der Informationstechnik entwickelte Standard definiert über 100 Kriterien speziell für Cloud-Dienste. Von der physischen Sicherheit des Rechenzentrums über Verschlüsselungsstandards bis hin zu Löschkonzepten für Kundendaten: BSI C5 lässt keine Lücke.

Für Unternehmen, die mit Behörden zusammenarbeiten oder in regulierten Branchen tätig sind, ist BSI C5 oft eine Mindestanforderung. Nicht alle Cloud-Anbieter erfüllen diese Kriterien.

Physische Sicherheit: Mehr als ein Zaun

Ein Rechenzentrum ist nur so sicher wie sein physischer Schutz. Deutsche Rechenzentren der höheren Tier-Klassen bieten mehrschichtige Sicherheitskonzepte:

Zutrittskontrolle mit biometrischen Systemen, Vereinzelungsschleusen und Videoüberwachung rund um die Uhr. Kein Zutritt ohne Voranmeldung, Identitätsprüfung und Begleitung. Jeder Zugang wird protokolliert.

Redundante Stromversorgung über unabhängige Einspeisungen, USV-Anlagen und Dieselgeneratoren. Ein Stromausfall im öffentlichen Netz führt nicht zum Ausfall des Rechenzentrums. Die Überbrückungszeit liegt typischerweise bei 72 Stunden und mehr.

Klimatisierung mit redundanten Kühlsystemen, die auch bei Ausfall einer Komponente die Betriebstemperatur halten. Hotspot-Monitoring überwacht die Temperatur an jedem einzelnen Rack.

Brandschutz mit Gaslöschanlagen, die einen Brand löschen, ohne die Hardware zu beschädigen. Brandfrühesterkennung über Rauchansaugsysteme erkennt Brände, bevor sie entstehen.

Netzwerkanbindung: Der unterschätzte Faktor

Latenz ist für viele Applikationen kritisch. Wenn Ihre Daten in einem deutschen Rechenzentrum liegen und Ihre Nutzer in Deutschland sitzen, sind Latenzen unter 10 Millisekunden die Norm. Bei einem Rechenzentrum in Virginia oder Oregon sehen die Zahlen anders aus.

Deutsche Rechenzentren sind typischerweise an den großen Internet-Knoten wie DE-CIX in Frankfurt angebunden, dem nach Datenvolumen größten Internet-Austauschpunkt der Welt. Das bedeutet hervorragende Konnektivität zu allen relevanten Netzwerken, Carriern und Cloud-Diensten.

Datensouveränität als Geschäftsvorteil

Datensouveränität ist nicht nur ein Compliance-Thema. Sie kann ein aktiver Geschäftsvorteil sein. Wenn Sie Ihren Kunden garantieren können, dass deren Daten in deutschen Rechenzentren liegen, von einem deutschen Unternehmen betrieben und nach deutschen Standards geschützt werden, dann ist das ein Verkaufsargument. Gerade im B2B-Bereich, wo Einkaufsabteilungen zunehmend Nachweise über Datensicherheit und Compliance verlangen.

Wir sehen das bei unseren eigenen Kunden: Mittelständische Softwarehäuser, die ihre SaaS-Lösung bei uns hosten, nutzen "Daten in Deutschland" aktiv als Differenzierungsmerkmal gegenüber Wettbewerbern, die auf US-Cloud-Infrastruktur setzen. Besonders im Gesundheitswesen, bei Rechtsanwaltskanzleien und im Finanzsektor öffnet das Türen.

Die Kosten-Frage

"Deutsche Rechenzentren sind teurer als die großen Hyperscaler." Diese Aussage stimmt pauschal nicht. Für bestimmte Workloads sind AWS und Azure günstiger, vor allem wenn Sie deren Managed Services intensiv nutzen. Für andere Workloads, besonders für konstante Basislasten, können deutsche Anbieter deutlich günstiger sein, weil Sie nicht für Features und Regionen bezahlen, die Sie nie nutzen.

Rechnen Sie die Kosten für Compliance-Nachweise, Rechtsberatung zu Datenübermittlung in Drittländer und das Risiko einer DSGVO-Bußgeldverfahrens gegen, sieht die Rechnung noch anders aus. Ein Bußgeld von bis zu 4% des weltweiten Jahresumsatzes relativiert jeden Preisunterschied bei den Hosting-Kosten.

Worauf Sie bei der Anbieterwahl achten sollten

Nicht jedes deutsche Rechenzentrum ist automatisch gut. Achten Sie auf:

• Zertifizierungen: ISO 27001 sollte Minimum sein, BSI C5 ideal
• Eigene Infrastruktur: Betreibt der Anbieter eigene Hardware oder ist er nur Reseller?
• Transparenz: Werden Unterauftragnehmer offengelegt? Gibt es ein TOMs-Dokument?
• Support: Deutschsprachiger Support mit definierten SLAs, nicht ein Ticketsystem in einer anderen Zeitzone
• Vertragsbedingungen: Deutsches Recht, deutscher Gerichtsstand, klare Regelungen zu Datenlöschung

Sie suchen einen Cloud-Anbieter, bei dem Datensicherheit nicht nur ein Marketing-Versprechen ist? focusnet betreibt eigene Infrastruktur in deutschen Rechenzentren, ist ISO 27001-zertifiziert und bietet Managed Kubernetes, S3 Storage und IaaS mit voller DSGVO-Konformität. Mehr erfahren