Was ist ein Rechenzentrum?

Einfach erklärt

Ein Rechenzentrum ist ein Gebäude, das für den Betrieb von Servern gebaut ist. Dort stehen viele Rechner in Schränken, versorgt mit Strom, Kühlung und schnellen Internetleitungen. Fällt der Strom aus, überbrücken in der Regel Batterien die ersten Minuten, danach übernehmen Notstromaggregate. Zutritt haben nur angemeldete Personen. Brandmelder und Kameras überwachen die Räume.

Ihre Website, Ihr Mailpostfach und Ihre Cloud-Ablage liegen fast immer in einem solchen Gebäude, bei einem Anbieter, dem es gehört oder der dort Flächen mietet.

Was ein Zertifikat des Betreibers bedeutet

Viele Rechenzentren werben mit einem Zertifikat nach ISO/IEC 27001. Das ist eine internationale Norm für den geordneten Umgang mit Informationssicherheit. Das Zertifikat bestätigt: Der Betreiber hat für einen festgelegten Bereich, etwa Gebäude, Zutritt, Stromversorgung und den eigenen Betrieb, ein System, mit dem er Sicherheitsrisiken erkennt und behandelt. Unabhängige Prüfer kontrollieren das jedes Jahr.

Das Zertifikat gehört dem Betreiber. Es gilt nicht für die Firmen, die dort Server mieten, und nicht für die Software auf diesen Servern. Wie gut Ihre Anwendung eingerichtet ist, wer Updates einspielt und ob Backups funktionieren, ist damit nicht geprüft.

Was Sie fragen können

• In welchem Land und an welchem Standort stehen die Server?
• Für welchen Bereich gilt das Zertifikat und bis wann?
• Gibt es ein zweites Rechenzentrum für Backups?
• Wer kümmert sich um die Anwendung selbst?

Einordnung: Ein gutes Rechenzentrum schützt vor Feuer, Stromausfall und Einbruch. Gegen schwache Passwörter, fehlende Updates oder eine falsch eingerichtete Anwendung hilft es nicht.

Infrastruktur

Der BSI-Baustein INF.2 „Rechenzentrum sowie Serverraum“ zählt zum Rechenzentrum neben dem IT-Betriebsbereich alle Supportbereiche wie Strom- und Kälteversorgung, Löschtechnik und Sicherheitstechnik. Die Basis-Anforderungen reichen von Brandabschnitten über USV, Notabschaltung und Zutrittskontrolle bis zur automatischen Überwachung der Infrastruktur. Für Planung und Bewertung gibt es in Europa die Normenreihe EN 50600 mit vier Verfügbarkeitsklassen, vom Einzelpfad (Klasse 1) bis zum fehlertoleranten Mehrpfad (Klasse 4). Redundanz wird oft als N+1 (eine Komponente mehr als nötig) oder 2N (alles doppelt) angegeben.

Was ein ISO-27001-Zertifikat abdeckt

ISO/IEC 27001:2022 beschreibt Anforderungen an ein Informationssicherheits-Managementsystem (ISMS). Zertifiziert wird nicht ein Gebäude oder Produkt, sondern das ISMS einer Organisation in einem festgelegten Geltungsbereich (Abschnitt 4.3). Welche der 93 Maßnahmen aus Anhang A umgesetzt oder begründet ausgeschlossen sind, steht in der Erklärung zur Anwendbarkeit (Statement of Applicability, 6.1.3 d). ISO selbst stellt keine Zertifikate aus. Das tun akkreditierte Zertifizierungsstellen, in Deutschland akkreditiert durch die DAkkS. Das BSI vergibt eigene Zertifikate nach ISO 27001 auf der Basis von IT-Grundschutz. Ein Zertifikat läuft drei Jahre, dazwischen finden jährliche Überwachungsaudits statt. Zertifikate nach der Fassung von 2013 sind seit dem 31. Oktober 2025 ungültig.

Inhaber:          Beispiel Rechenzentrum GmbH
Norm:             ISO/IEC 27001:2022
Geltungsbereich:  Betrieb der Rechenzentrumsinfrastruktur (Strom, Klima,
                  physische Sicherheit, Colocation) am Standort Frankfurt
Gültig bis:       2028-03-31

Nicht abgedeckt sind in einem solchen Fall Betriebssysteme und Anwendungen der Kunden, deren Konfiguration, Updates und Backups, die Prozesse eines IT-Dienstleisters, der dort Server betreibt, und Standorte außerhalb des Geltungsbereichs.

Typische Fehler

• Zertifikat des Betreibers als eigenes ausgegeben. Wer Server in einem zertifizierten Rechenzentrum mietet, ist dadurch nicht selbst zertifiziert. Richtig ist die Zuordnung: „Das Rechenzentrum des Betreibers ist nach ISO/IEC 27001 zertifiziert.“
• Geltungsbereich nicht gelesen. Das Zertifikat gilt für einen Standort, der Server steht an einem anderen.
• Fassung und Datum nicht geprüft. Ein Zertifikat nach ISO/IEC 27001:2013 oder mit abgelaufenem Datum belegt nichts mehr.
• Gebäude mit Betrieb verwechselt. Doppelte Stromversorgung schützt nicht vor einer gelöschten Datenbank.

Prüfen

Das Zertifikat beim Betreiber anfordern und Inhaber, Norm mit Fassung, Geltungsbereich mit Standorten, Gültigkeit und ausstellende Stelle prüfen. Ob die Stelle akkreditiert ist, zeigt die Datenbank der DAkkS. Zertifikate nach ISO 27001 auf der Basis von IT-Grundschutz listet das BSI auf seiner Website.