So nutzen Sie die Hosting-Anbieter-Checkliste in der IT-Lieferantenbewertung
Wenn Sie einen Managed-Hosting-Anbieter auswählen, stellen Sie allen Anbietern dieselben Fragen und verlangen schriftliche Antworten mit Belegen. So werden Angebote vergleichbar, und Ihre Lieferantenbewertung bleibt dokumentiert. Verteilen Sie die Prüfgruppen an Einkauf, Informationssicherheit, Datenschutz und IT-Betrieb, und übernehmen Sie entscheidende Zusagen in den Vertrag.
Die 42 Fragen an Hosting-Anbieter sind fortlaufend nummeriert, damit Sie im Angebotsvergleich auf einzelne Punkte verweisen können. Unter jeder Frage steht, worauf Sie bei der Antwort achten. Jede Antwort ordnen Sie einer von drei Stufen zu:
| Stufe | Woran Sie sie erkennen |
|---|---|
| Belegt | Ein Dokument liegt vor, etwa ein Zertifikat mit Geltungsbereich, ein Vertragsmuster oder ein Testprotokoll. |
| Zugesagt | Die Aussage steht verbindlich im Angebot oder im Vertragsentwurf. |
| Angegeben | Die Aussage steht nur auf einer Website oder in einer Präsentation oder fiel mündlich. Fordern Sie einen Beleg an. |
Drucken Sie die Liste über die Druckfunktion Ihres Browsers oder die Schaltfläche „Checkliste drucken“. Im Ausdruck entfallen Navigation und Schaltflächen; unter jeder Frage bleiben zwei Linien für die Antwort des Anbieters, und keine Frage wird über einen Seitenumbruch getrennt. Weitere Ratgeber finden Sie im Bereich Wissen. Unsere eigenen Antworten stehen am Ende der Liste und auf der Seite Sicherheit & Compliance.
Standort und Recht: Rechenzentrum, Vertragsrecht, Gerichtsstand
Klären Sie mit jedem Hosting-Anbieter zuerst, in welchen Rechenzentren Ihre Systeme und Backups laufen, wer sie betreibt und welches Recht für den Vertrag gilt. Ein Land allein reicht als Antwort nicht: Risikoanalyse, Datenschutz und Notfallplanung brauchen Betreiber, Ort und Rolle jedes Standorts.
In welchen Rechenzentren laufen Systeme und Backups, und wer betreibt sie?
Betreiber und Ort je Standort, auf Wunsch mit Adresse im Vertrag, einschließlich Backup- und Ausweichstandorten.
Welche Rolle hat jeder Standort?
Produktion, Backup oder Ausweichbetrieb, und was beim Ausfall eines ganzen Rechenzentrums geschieht.
Welches Recht gilt für Vertrag, SLA und AV-Vertrag, und wo ist der Gerichtsstand?
Ein einheitliches Recht für alle Vertragsteile und ein Gerichtsstand in Ihrem Rechtsraum.
Darf der Anbieter den Standort ohne Ihre Zustimmung wechseln?
Vorherige Information und ein Widerspruchs- oder Kündigungsrecht.
Vertrag und SLA: Verfügbarkeit, Reaktionszeiten, Service Credits
Ein Prozentwert im Service Level Agreement (SLA) eines Hosting-Anbieters sagt wenig, solange offen ist, wo gemessen wird, welcher Zeitraum gilt und welche Ausfälle nicht zählen. Fordern Sie Definition, Messmethode und Rechtsfolgen bei Verstößen schriftlich an, dazu Reaktionszeiten je Priorität, Laufzeit und Kündigungsfristen.
Wie ist Verfügbarkeit definiert, und wo wird sie gemessen?
Messpunkt, Bezugszeitraum (Monat oder Jahr) und Umgang mit geplanter Wartung. Wie stark das den Wert verändert, zeigt der Ratgeber Verfügbarkeit berechnen.
Welche Reaktions- und Wiederherstellungszeiten gelten je Priorität?
Getrennte Zielzeiten, eindeutig definierte Prioritätsstufen und die Servicezeiten, in denen die Fristen laufen.
Was geschieht, wenn der Anbieter Zusagen verfehlt?
Service Credits oder andere Rechtsfolgen, ihre Höhe und ob Gutschriften automatisch erfolgen.
Welche Laufzeit, Kündigungsfristen und Preisregeln gelten?
Mindestlaufzeit, Verlängerung, Preisanpassungen, Einrichtungsgebühren und Leistungen, die nicht im Preis enthalten sind.
Wie weist der Anbieter die vereinbarten Werte nach?
Regelmäßige Berichte zu Verfügbarkeit und Vorfällen, gemessen wie im SLA definiert.
Datenschutz: AV-Vertrag, Unterauftragsverarbeiter, Drittländer
Verarbeitet ein Anbieter personenbezogene Daten in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung, kurz AV-Vertrag. Prüfen Sie außerdem, welche weiteren Dienstleister beteiligt sind und ob Daten ein Drittland erreichen, auch über Hilfsdienste wie Fernwartung, Ticketsystem oder Monitoring.
Liegt ein AV-Vertrag nach Art. 28 DSGVO vor, und können Sie ihn vorab prüfen?
Die Mindestinhalte nach Art. 28 Abs. 3 DSGVO, etwa die Verarbeitung nur auf dokumentierte Weisung und Ihr Recht auf Überprüfungen einschließlich Inspektionen.
Welche Unterauftragsverarbeiter setzt der Anbieter ein?
Eine vollständige Liste mit Leistung und Ort. Nach Art. 28 Abs. 2 DSGVO braucht der Anbieter Ihre vorherige schriftliche Genehmigung; bei einer allgemeinen Genehmigung informiert er Sie über geplante Änderungen, damit Sie widersprechen können.
Erreichen Daten ein Drittland, auch über Hilfsdienste?
Neben den Rechenzentren auch E-Mail, Ticketsystem, Fernwartung und Monitoring. Für Übermittlungen in ein Drittland gelten die Art. 44 ff. DSGVO.
Für welche Daten gilt die Standortzusage?
Daten auf den Systemen, Backups, Protokolle und Kontaktdaten können unterschiedlich behandelt werden.
Nachweise: Wessen Zertifikat gilt für welchen Bereich?
Ein Zertifikat belegt nur, was in seinem Geltungsbereich steht. Das Zertifikat eines Rechenzentrumsbetreibers, etwa nach ISO/IEC 27001, gilt für dessen Organisation und den dort genannten Geltungsbereich, typischerweise Gebäude, Strom, Kühlung und Zutritt. Den Betrieb Ihrer Systeme durch den Hosting-Anbieter erfasst es nicht. Prüfen Sie bei jedem Zertifikat Inhaber, Geltungsbereich und Gültigkeit.
Auf welche Organisation ist das Zertifikat ausgestellt?
Soll es den Betrieb Ihres Vertragspartners belegen, muss dessen Name darauf stehen.
Welchen Geltungsbereich nennt das Zertifikat?
Erfasste Standorte, Leistungen und Prozesse; über andere sagt es nichts aus.
Ist das Zertifikat gültig, und wer hat es ausgestellt?
Gültigkeitsdatum und Zertifizierungsstelle, belegt durch das Dokument selbst, nicht durch ein Logo.
Welche Nachweise gibt es für den eigenen Betrieb des Anbieters?
Ein eigenes Zertifikat, ein Testat oder Prüfbericht, sonst Protokolle und Berichte aus dem laufenden Betrieb.
Betrieb: Monitoring, Rufbereitschaft, Eskalation, Vertretung
Für den Betrieb kritischer Systeme zählt, wer beim Anbieter nachts und am Wochenende reagiert und wie verbindlich das geregelt ist. Fragen Sie nach Umfang des Monitorings, Besetzung der Rufbereitschaft, Eskalationswegen und Dokumentation von Vorfällen. Bei kleineren Anbietern ist die Vertretungsregelung eine Kernfrage.
Was wird überwacht, und aus welcher Sicht?
Alle Ebenen von der Hardware bis zur Anwendung, mit Health-Checks aus Nutzersicht.
Wer reagiert außerhalb der Geschäftszeiten auf Alarme?
Rufbereitschaft rund um die Uhr, auch an Feiertagen, mit beschriebener Alarmierungskette und der Zahl der Personen, die sie tragen.
Wie ist die Vertretung bei Urlaub und Krankheit geregelt?
Eine benannte Vertretung mit Zugang zu Dokumentation und Systemen.
Wie laufen Eskalation und Information bei einem Vorfall?
Eskalationsstufen, feste Ansprechpartner, eine Frist für die erste Information an Sie und ein schriftlicher Nachbericht.
Sicherheit: Patches, Härtung, Zugriffe, Verschlüsselung
Lassen Sie sich die Maßnahmen, mit denen der Anbieter Ihre Plattform schützt, mit Fristen, Verfahren und Zuständigkeiten nennen. Allgemeine Aussagen wie „nach aktuellem Stand gehärtet“ helfen Ihrer Risikoanalyse wenig. Zieht der Anbieter einen Standard heran, fragen Sie nach dessen Bezeichnung und Umfang.
In welchen Fristen spielt der Anbieter Sicherheits-Patches ein?
Fristen je Schweregrad, ein Verfahren für kritische Lücken und Übergangsmaßnahmen bis zum Patch.
Nach welchem Standard werden die Systeme gehärtet?
Die Bezeichnung des Standards oder konkrete Maßnahmen wie minimale Dienste, restriktive Firewalls und Netztrennung.
Wie sind privilegierte Zugänge abgesichert?
Multi-Faktor-Authentifizierung, persönliche Konten, Protokollierung administrativer Zugriffe und Rechteentzug beim Ausscheiden von Personal.
Welche Daten werden verschlüsselt, und wer verwaltet die Schlüssel?
Übertragung und Speicherung, getrennt für Produktivdaten und Backups, samt Schlüsselverwaltung.
Backup: Trennung, Aufbewahrung, Restore-Tests, Schutz vor Löschung
Ein Backup schützt nur, wenn es vom Produktivsystem getrennt liegt, lange genug aufbewahrt wird und sich nachweislich zurückspielen lässt. Replikation im Cluster ersetzt es nicht, denn sie überträgt Löschungen, Fehler und von Schadsoftware verschlüsselte Daten ebenso wie gültige Änderungen. Fragen Sie nach Technik, Rhythmus und Belegen.
Wo liegen die Backups, und wie sind sie vom Produktivsystem getrennt?
Eigene Systeme, eigene Zugangsdaten und ein zweiter Standort.
Wie oft wird gesichert, und wie lange wird aufbewahrt?
Ein Intervall passend zu Ihrem tolerierbaren Datenverlust (RPO, Recovery Point Objective) und Aufbewahrungsfristen nach Ihren Vorgaben.
Wie oft wird die Wiederherstellung getestet, und erhalten Sie das Ergebnis?
Restore-Tests in festem Rhythmus, mit Protokoll und gemessener Dauer bis zur Wiederherstellung.
Sind die Backups gegen Löschen und Verändern geschützt?
Unveränderbare oder vom Netz getrennte Kopien und gesonderte Zugangsdaten, damit ein Angreifer mit Administratorrechten sie nicht löschen kann.
Failover-Tests: geprobt, protokolliert, wiederholt
Ob eine hochverfügbare Architektur einen Ausfall übersteht, zeigt erst der Test. Fragen Sie, ob der Anbieter Ausfälle vor der Inbetriebnahme und danach regelmäßig probt und Ihnen das Ergebnis schriftlich gibt. Ein Protokoll mit gemessenen Zeiten wiegt in der Lieferantenbewertung mehr als jede Architekturbeschreibung.
Wird der Failover vor der Inbetriebnahme getestet?
Ausfall eines Nodes, einer Netzverbindung und eines Storage-Pfads, protokolliert vor der Abnahme.
Wie oft wird im laufenden Betrieb getestet?
Ein vereinbarter Rhythmus, bei dem Sie Zeitpunkt und Szenario mitbestimmen.
Was steht im Testprotokoll?
Szenario, gemessene Umschalt- und Wiederanlaufzeiten, Abweichungen und Maßnahmen. Warum ein Cluster dabei Quorum und Fencing braucht, erklärt der Ratgeber Split-Brain, Quorum und Fencing.
Gibt es Notfallpläne für Szenarien über den automatischen Failover hinaus?
Pläne etwa für den Ausfall eines Rechenzentrums oder für Datenverlust, mit Zuständigkeiten und Datum des letzten Tests.
Dokumentation: was Sie erhalten und wem sie gehört
Die Dokumentation entscheidet, ob Sie im Notfall, im Audit und beim Anbieterwechsel handlungsfähig sind. Klären Sie vor Vertragsschluss, welche Unterlagen Sie erhalten, wie aktuell sie bleiben und ob sie Ihnen gehören. Liegt das Wissen über Ihre Umgebung nur beim Anbieter, wird jeder Wechsel langsam und teuer.
Welche Dokumentation erhalten Sie, und in welcher Form?
Architektur, Konfiguration, Zugänge und Notfallpläne, schriftlich und lesbar ohne Werkzeuge des Anbieters.
Gehört Ihnen die Dokumentation vertraglich?
Eigentum oder ein uneingeschränktes Nutzungsrecht, auch nach Vertragsende.
Wie wird die Dokumentation aktuell gehalten?
Aktualisierung nach jeder Änderung, versionierte Konfiguration und ein erkennbarer Stand.
Exit-Strategie beim Hosting: Datenrückgabe, Format, Löschnachweis
Eine Exit-Regelung legt fest, wie Sie Daten und Systeme zurückerhalten, wenn der Vertrag endet. Für personenbezogene Daten verlangt Art. 28 Abs. 3 Buchst. g DSGVO, dass der AV-Vertrag Löschung oder Rückgabe nach Ihrer Wahl regelt. Format, Fristen und die Unterstützung beim Umzug vereinbaren Sie zusätzlich im Vertrag.
In welchem Format und in welcher Frist erhalten Sie Ihre Daten zurück?
Offene, dokumentierte Formate für Daten, virtuelle Maschinen und Konfiguration, mit fester Frist nach Vertragsende.
Wie unterstützt der Anbieter den Wechsel, und was kostet das?
Umfang, Dauer und Preis der Mitwirkung, etwa für Parallelbetrieb und Datenübergabe.
Wie wird die Löschung nachgewiesen?
Ein schriftlicher Löschnachweis für Produktivdaten und Backups, soweit keine Aufbewahrungspflicht besteht.
Lieferkette: IT-Dienstleister und ihre Zulieferer bewerten
Ihr Hosting-Anbieter ist Teil Ihrer Lieferkette und bindet selbst weitere Dienstleister ein, etwa Rechenzentrumsbetreiber, Netz-Provider sowie Software- und Support-Anbieter. Eine Schwachstelle bei einem dieser Beteiligten kann Ihre Systeme ebenso betreffen wie eine beim Anbieter selbst. Fragen Sie deshalb, wen der Anbieter einsetzt, wie er diese Dienstleister steuert und wie schnell er Sie über Vorfälle informiert.
Bewahren Sie die schriftlichen Antworten zusammen mit Ihrer Bewertung auf. So belegen Sie Ihre Auswahl später nachvollziehbar, etwa in Audits Ihrer Informationssicherheit oder bei Prüfungen nach den Sicherheitsanforderungen Ihrer Branche.
Welche Dienstleister setzt der Anbieter selbst ein?
Rechenzentrumsbetreiber, Netz-Provider, Backup-Ziele sowie Software- und Support-Anbieter.
Wie bewertet und überwacht der Anbieter seine eigenen Dienstleister?
Ein beschriebenes Verfahren mit Sicherheitsanforderungen in den Verträgen, regelmäßiger Überprüfung und Nachweisen, die der Anbieter von seinen Dienstleistern verlangt.
In welcher Frist informiert Sie der Anbieter über Sicherheitsvorfälle, und welche Prüfrechte haben Sie?
Eine vertragliche Frist, die zu Ihren eigenen Meldewegen und Meldefristen passt, sowie Auditrechte; für personenbezogene Daten verlangt Art. 28 Abs. 3 Buchst. h DSGVO, dass der Anbieter Überprüfungen ermöglicht.
Wie wir diese Fragen beantworten
Die Checkliste gilt auch für managed-cluster.net. Unsere Antworten stehen auf der Seite Sicherheit & Compliance: Datenstandort, AV-Vertrag, Maßnahmen im Betrieb und die Unterlagen, die Sie von uns erhalten. Nach der Bewertung oben sind das Angaben einer Website; verbindlich ist, was im Betriebsvertrag steht. Die Liste ist bewusst neutral und enthält auch Kriterien, zu denen wir heute keine Angaben veröffentlichen.
Das Rechenzentrum FRA01 ist laut Betreiber Maincubes nach ISO/IEC 27001 und ISO 9001 zertifiziert. Diese Zertifikate gelten für das Rechenzentrum, nicht für unseren Betrieb; Details nennt die Seite Zertifikate des Rechenzentrumsbetreibers. Verfügbarkeitsziel, Reaktionszeiten nach Prioritätsstufen und Wiederanlaufziele legen wir gemeinsam im Betriebsvertrag fest. Welche Aufgaben wir im Betrieb übernehmen und welche bei Ihnen bleiben, fasst die Übersicht zur Verantwortung zusammen.
Dazu macht diese Website keine Angaben
- Standort und Recht: Betreiber des Zweitstandorts NBG01, Gerichtsstand, Ihre Rechte bei einem Wechsel des Rechenzentrums durch uns
- Vertrag und SLA: Messdefinition der Verfügbarkeit, Laufzeiten und Kündigungsfristen, Einrichtungsgebühren, Service Credits
- Datenschutz: Liste der Unterauftragsverarbeiter, Drittlandbezug von Hilfsdiensten im Betrieb wie E-Mail, Ticketsystem und Fernwartung
- Nachweise: Gültigkeit der Zertifikate des Rechenzentrums, eine eigene Zertifizierung unseres Betriebs
- Betrieb: Zahl der Personen in der Rufbereitschaft und ihre Vertretungsregelung
- Sicherheit: Patch-Fristen je Schweregrad, Multi-Faktor-Authentifizierung für privilegierte Zugänge, Verschlüsselung gespeicherter Daten
- Backup: Sicherungsintervall, Dauer der Aufbewahrung, Rhythmus der Restore-Tests, Unveränderbarkeit der Backups
- Exit: Frist und Format der Datenrückgabe, Unterstützung und Kosten beim Anbieterwechsel, Löschnachweis
- Lieferkette: wie wir unsere eigenen Dienstleister bewerten und überwachen, Fristen für die Information über Sicherheitsvorfälle, Auditrechte über die Überprüfungen nach Art. 28 DSGVO hinaus
Stellen Sie uns diese Fragen wie jedem Anbieter. Sprechen Sie uns auf Ihre Anforderungen an; wir sagen Ihnen offen, was wir heute belegen können.
So setzen wir das um
Sicherheit & Compliance bei managed-cluster.net
Drei Ebenen mit getrennter Verantwortung: das Rechenzentrum beim Betreiber, der Betrieb der Plattform bei uns, Anwendung und Daten bei Ihnen.
Drei Ebenen der Verantwortung