ISO zertifiziertes Hosting im Vergleich

ISO Zertifizierungen bei Rechenzentren - was steckt dahinter und wie wichtig sind sie?

Das Bewusstsein für die wachsende Gefahr durch gezielte Attacken auf die elektronische Infrastruktur selbst neutraler Länder hat sich nicht zuletzt aufgrund des Angriffskriegs Russlands gegen die Ukraine deutlich entwickelt. Allerdings wurden zeitgleich neue Schwachstellen und Risiken identifiziert, die teilweise nicht einmal der minimalen Zertifizierung nach einem ISO Standard entsprechen - etwa weil keine effektiven Zugangskontrollen den Zutritt von Dritten in einen Serverraum unterbinden. Im eigenen Interesse iss es deshalb erforderlich, bei der Entscheidung für ein Rechenzentrum auf die Einhaltung der wichtigsten Normen zu achten.

Welche ISO-Normen sind für ein Rechenzentrum interessant?

Für ein Rechenzentrum und das Webhosting werden drei verschiedene europäische Richtlinien herangezogen:

• IS0 27001 als Sicherheitsstandard in IT-Infrastrukturen
• ISO 22237 beziehungsweise EN 50600, die ein Rechenzentrum kontrollieren
• ISO 50001, die lediglich die Zuverlässigkeit der Energieversorgung gewährleistet

Die allgemeine Norm für die Datensicherheit in Rechenanlagen, aber auch in der IT-Infrastruktur findet sich in dem EU-Sicherheitsstandard 27001 als "Norm für Informationssicherheit-Managementsysteme". Allerdings beschäftigt sich diese Vorschrift primär um technische Aspekte wie die Verschlüsselung sensibler Daten und definiert als ISO-Norm einen generellen Sicherheitsstandard, den kommerziellen Akteure im Internet für eine Zertifizierung als gewerblicher Teilnehmer einhalten müssen. Trotzdem werben viele Webhoster unter anderem mit diesen Zertifikaten, obwohl sie praktisch lediglich eine minimale Grundvoraussetzung darstellt.

Speziell an Rechenzentren richtet sich hingegen die deutlich unbekanntere ISO 22237 beziehungsweise ihr internationales Gegenstück EN 50600. Sie ist in mehrere Sparten unterteilt und umfasst unter anderem einen verbindlichen Sicherheitsstandard für die Sicherheitskonzepte, die Zuverlässigkeit der Stromversorgung, Klimakontrolle und redundante Anbindung an internationale IT-Gateways sowie weitere Maßnahmen wie Sicherung des Geländes und Zugriffskontrolle. Die Einstufung erfolgt in vier Kategorien von Verfügbarkeitsklasse 1 ohne redundante Strukturen bis zu 4 mit Fehlertoleranz und mehrere unabhängige Versorgungsoptionen.

Mitunter erwähnen Webhoster ebenfalls die Zertifizierung ISO 50001, die allerdings lediglich Struktur und den Aufbau des Energienetzes beschreibt und keine relevante Aussage über die Sicherheit und Zuverlässigkeit in einem Rechenzentrum oder das angebotene Webhosting trifft.

Wer ist für die Zertifizierung von einem Rechenzentrum verantwortlich?

Die Überprüfung und die Einhaltung der vorgegebenen Normen sind bisher nicht obligatorisch verpflichtend und liegen in einem freiwilligen Ermessen des Unternehmens. Noch problematischer gestaltet sich die Situation, weil ähnlich wie bei gewissen industriellen Schutzstandards - etwa IP6X gegen das Eindringen von Feuchtigkeit in elektronische Geräte - keine externe Prüfung vorgeschrieben ist. Praktisch kann sich ein Unternehmen dadurch die Zertifizierung für sein Rechenzentrum und Webhosting ohne jede äußere Kontrolle selbst ausstellen. Praktisch werden seriöse Anbieter selbstverständlich renommierte Institute wie den TÜV beauftragen - im Zweifelsfall empfiehlt es sich jedoch unbedingt, die Zertifikate und angegebene Details wie den Aussteller zu überprüfen.

Wie aussagekräftig sind ISO Zertifikate für das Webhosting oder ein Rechenzentrum?

Die Gebühren für die Überprüfung nach einem ISO-Sicherheitsstandrad müssen vollständig von dem verantwortlichen Rechenzentrum übernommen werden und schließen das Webhosting nicht grundsätzlich ein. Da es sich um speziell für kleine Webhoster hohe Ausgaben handelt, verzichten diese oft aus Kostengründen auf eine offizielle Zertifizierung, obwohl sie prinzipiell alle Bedingungen erfüllen. Darüber hinaus befindet sich die ISO-Norm 22237 aktuell (Stand Frühjahr 2023) noch in der Bearbeitung ist ausschließlich in Teile gültig.

Insgesamt sprechen Zertifizierungen nach ISO-Norm allerdings für einen Webhoster und symbolisieren, dass elementare Standards der Infrastruktur erfüllt sind. Sie sollten allerdings von unabhängigen Prüfstellen stammen und eine ausreichende Aussagekraft besitzen, aus der sich bestimmte und relevante Qualitäten eines Rechenzentrums ableiten lassen.