Mittelständische Unternehmen betreiben heute mehr geschäftskritische Software und verwalten größere, sensiblere Datenmengen als je zuvor. Gleichzeitig ist ein stabiler IT-Betrieb so elementar wie noch nie. Doch gerade der Mittelstand gerät immer stärker in den Blickwinkel von Cyberangreifern. Und auch physische Risiken durch Stromausfälle, Feuer oder unbefugten Zutritt werden oft unterschätzt. Wer Systeme und Daten bislang nebenbei mitverwaltet hat, möglicherweise mittels eines lokal betriebenen Servers im eigenen Hause, muss deshalb die Infrastruktur neu bewerten. Die Frage lautet längst nicht mehr nur „Wo liegen unsere Daten?”, sondern: Wo und wie laufen unsere Systeme auch zukünftig sicher, verfügbar und rechtskonform?
Im Wesentlichen stehen mittelständischen Unternehmen beim Hosting drei Modelle zur Verfügung: der Betrieb im eigenen Haus, das Hosting bei einem der großen Cloud-Anbieter (Hyperscaler) oder die Unterbringung eigener Server in einem spezialisierten, deutschen Rechenzentrum – bekannt als Hosting & Housing beziehungsweise Colocation. Eine daran andockende Variante ist Managed Hosting: Dabei werden die IT-Systeme und Daten in einem externen Rechenzentrum betrieben, doch der Anbieter stellt die Server bereit. Bei Bedarf übernimmt er zusätzlich Aufgaben wie Wartung, Updates und Überwachung. Bei einer Private Cloud wiederum stehen die Cloud-Ressourcen exklusiv einem Unternehmen zur Verfügung. Alle Wege haben spezifische Stärken, aber auch Risiken, die in der Praxis häufig unterschätzt werden.
Server im Keller: gewohnt, aber riskant
Der eigene Serverraum gilt vielen Mittelständlern noch immer als naheliegende Lösung: Die Hardware steht im Haus – meist im Keller – der Zugriff scheint einfach, Investitionen wirken überschaubar. Tatsächlich verbergen sich hier jedoch erhebliche Risiken. Serverräume in Bürogebäuden verfügen selten über redundante Stromversorgung, professionelle Kühlung oder belastbaren Brandschutz. Zutrittskontrollen sind oft rudimentär, eine unabhängige Überprüfung der Sicherheitsmaßnahmen findet in der Regel nicht statt. Hinzu kommt: Patch-Management, Firewall-Konfiguration, DDoS-Schutz und Notfallplanung laufen häufig als Nebenaufgabe einer ohnehin knapp besetzten IT-Abteilung – ein Umstand, der Angreifern regelmäßig Einfallstore öffnet. Das Risiko von Datenverlusten, Manipulationen und vollständigen Downtimes steigt erheblich. Wer dazu noch systemrelevante Software laufen hat – etwa produktionsrelevante Automationssoftware – unterliegt schnell äußerst geschäftskritischen Risiken.
Hyperscaler: leistungsstark, aber mit wachsenden Unsicherheiten
Am anderen Ende des Spektrums steht das Hosting bei globalen Cloud-Anbietern – sogenannten Hyperscalern. Diese Anbieter überzeugen mit enormer Skalierbarkeit, hoher Ausfallsicherheit und einem professionellen Sicherheitsniveau auf Infrastrukturebene. Doch gerade angesichts geopolitischer Spannungen – die derzeit so brisant sind wie selten zuvor – wachsen die Vorbehalte: Was genau passiert mit Daten, wenn die jeweilige Regierung die Kontrolle möchte? Der genaue physische Serverstandort lässt sich mitunter nur eingeschränkt nachvollziehen; ferner lassen sich für Kunden die tatsächlichen Datenzugriffs- und Verarbeitungsbedingungen nicht ohne Weiteres beurteilen. Die Verantwortung für die sichere Konfiguration von Anwendungen und Zugriffsrechten bleibt zudem beim Kunden – ein Bereich, in dem in der Praxis viele Sicherheitsvorfälle entstehen. Und auch wirtschaftlich zeigt sich ein Muster: Niedrige Einstiegskosten wecken Erwartungen, die sich durch unvorhersehbare Volumenkosten schnell relativieren.
Colocation, Managed Hosting und Private Cloud: Sicherheit durch professionelle Infrastruktur
Alternativ zu diesen beiden Polen positioniert sich das sogenannte Hosting & Housing beziehungsweise Colocation: Unternehmen betreiben weiterhin ihre eigene Hardware, stellen diese aber in einem zertifizierten, professionell betriebenen Rechenzentrum in Deutschland unter. Sie profitieren damit von redundanter Stromversorgung, geprüften Kühlsystemen, mehrstufigen Zutrittskontrollen und einer Netzanbindung, wie sie im eigenen Haus praktisch nicht wirtschaftlich darstellbar wäre – gleichzeitig behalten sie die volle Kontrolle über ihre Systeme und Daten. Auch Managed Hosting und Private Clouds bieten ein hohes Sicherheitsniveau, sofern der jeweilige Anbieter in geeignete Schutzmaßnahmen, Überwachung und den sicheren Betrieb seiner Infrastruktur investiert. Entscheidend sind hierbei die konkreten Sicherheitsstandards, klare Verantwortlichkeiten und die Kontrolle über Zugriffsrechte, Updates und Datenverarbeitung.
Hosting „made in Germany” oder in der EU
Der Standort Deutschland ist ein eigenständiges Sicherheitsargument: Rechenzentren hierzulande unterliegen einer Regulierung nach EU-Normen und müssen entsprechende Datenschutzstandards erfüllen – ein Gütesiegel „Made in Germany” beziehungsweise „Made in EU”, gewinnt gerade in Zeiten wachsender geopolitischer Unsicherheit an Bedeutung. Anders als bei internationalen Hyperscalern ist bei deutschen Rechenzentrumsbetreibern zudem in der Regel ein lokaler, persönlicher Zugang zur Infrastruktur möglich – ein Vorteil, der im Ernstfall über schnelle Intervention statt hilflosem Zusehen entscheidet. Da sich zertifizierte Rechenzentren regelmäßigen Audits unterziehen, lässt sich die Einhaltung von Sicherheits- und Compliance-Vorgaben zudem deutlich einfacher nachweisen als bei einem selbst betriebenen Serverraum oder einer Cloud-Umgebung mit unklarem Serverstandort. Nicht zuletzt punkten deutsche Betreiber häufig mit langfristig kalkulierbaren Kosten statt schwer planbarer Volumenabrechnung sowie mit einer regulatorisch erzwungenen Energieeffizienz, die in Branchen mit hohen ESG-Anforderungen zum handfesten Wettbewerbsvorteil wird.
„Viele mittelständische Unternehmen sind überrascht, wie groß die Sicherheitslücke im eigenen Serverraum tatsächlich ist. Colocation ist deshalb kein Luxusprodukt, sondern der wirtschaftlichste Weg, physische und digitale Sicherheit auf ein professionelles Niveau zu heben – ohne dass Unternehmen die Hoheit über ihre eigene Infrastruktur verlieren.“
– Jan Lange, Geschäftsführer TelemaxX Telekommunikation GmbH
Die Modelle im Überblick
| Kriterium | Eigener Serverraum | Hyperscaler-Cloud | Colocation im RZ |
| Physische Sicherheit | abhängig von Eigenaufwand, oft Schwachstelle | hoch, aber ohne Einblick von außen | zertifiziert, mehrfach abgesichert, auditierbar |
| Verfügbarkeit / Redundanz | meist keine echte Redundanz | sehr hoch, global verteilt | hoch, redundante Strom-/Kühl-/Netzanbindung |
| Cybersicherheit | Patchmanagement oft Nebenaufgabe der IT | Anbieter sichert Infrastruktur, Konfiguration bleibt Kundenaufgabe | physische Absicherung durch RZ, weitere IT-Sicherheitsleistungen abhängig vom Vertrag |
| Schutz vor DDoS-Angriffen | vollständig Aufgabe der eigenen IT, mit hohen Herausforderungen verbunden | grundsätzlich ja – allerdings unterscheiden sich Leistungsumfang, Schutzebenen und Kosten je nach Anbieter und Paket | viele RZs bieten DDoS-Schutz an – teilweise inklusive, teilweise als Zusatzleistung |
| Datenstandort / Compliance | vor Ort / abhängig vom Unternehmen | in Europa oder im US-amerikanischen Raum / Compliance-Instrumente vorhanden | klar in Deutschland/EU, auditierbar |
| Kontrolle über Infrastruktur | vollständig, aber unstrukturiert | eingeschränkt, Anbietervorgaben | hoch, eigene Hardware im geschützten Umfeld |
| Abhängigkeit vom Anbieter | keine, dafür Personalabhängigkeit | hoch (Vendor-Lock-in) | gering, Betreiberwechsel möglich |
| Kosten | vermeintlich günstig, jedoch versteckte Folgekosten; Energiekosten oft unterschätzt | flexibel, aber schwer planbar; oft steigend nach vermeintlich günstigem Einstieg | kalkulierbar, klare Vertragsstruktur |
Die zentrale Frage: Wo liegt das Risiko wirklich?
In der Praxis zeigt sich immer wieder: Unternehmen unterschätzen vor allem physische Risiken – Stromausfälle, unzureichender Brandschutz, mangelnde Zutrittskontrolle. Dabei beginnt Cybersicherheit bereits bei der physischen Infrastruktur. Ein Server, der ungeschützt in einem Bürogebäude steht, ist unabhängig von seiner Softwarekonfiguration angreifbar – und das gilt für das ERP-System genauso wie für die Kundendatenbank sowie die Betriebssoftware.
In puncto Software-Sicherheit gehören etwa Malware und Ransomware, Phishing, nicht eingespielte Sicherheitsupdates, veraltete Betriebssysteme und fehlerhafte Konfigurationen zu den Schwachstellen. Unzureichend abgesicherte Zugriffsrechte erleichtern zudem den Zugriff auf sensible Daten. Ferner ist auch die digitale Erreichbarkeit ein kritischer Faktor. DDoS-Angriffe können beispielsweise Webanwendungen, Kundenportale oder andere über das Internet erreichbare Dienste zeitweise lahmlegen. Während redundante Stromversorgung und Kühlung die technische Betriebsfähigkeit absichern, erfordert die Abwehr solcher Angriffe zusätzliche Maßnahmen auf Netzwerk- und Anwendungsebene.
Gerade im Mittelstand fehlt häufig die Zeit, alle Systeme kontinuierlich zu aktualisieren und zu überwachen. Ein professionell betriebenes Rechenzentrum löst diese Probleme nicht automatisch: Je nach Konstellation bleibt das Unternehmen für die Sicherheit der Betriebssysteme und Anwendungen verantwortlich. Doch stellen Rechenzentren oftmals bereits einen Firewall-Schutz bereit. Die Auslagerung der physischen Infrastruktur reduziert bestimmte Betriebsrisiken und überträgt die Verantwortung für deren Absicherung im vereinbarten Umfang auf einen spezialisierten Betreiber – ohne dass Unternehmen die Kontrolle über ihre eigenen Systeme und Daten aufgeben müssen. Ferner bieten ausgewählte Provider auch spezifischen Schutz gegen das Risiko von DDoS-Angriffen. Dem Mittelstand ist anzuraten, bei der Auswahl ihres Hosting-Partners auf solche Aspekte zu achten.
Fazit: Sicherheit beginnt bei der Standortfrage
Für viele mittelständische Unternehmen dürfte die Antwort weniger „Cloud oder Server” lauten als vielmehr: Wie und wo lässt sich die eigene Infrastruktur – von der Unternehmenssoftware bis zur Kundendatenbank – am sichersten betreiben? Colocation in einem deutschen Rechenzentrum bietet dabei einen Mittelweg, der professionelle physische Sicherheit, bessere Voraussetzungen für die Einhaltung regulatorischer Anforderungen und unternehmerische Kontrolle verbindet – ein Modell, das angesichts wachsender Bedrohungslage, geopolitischer Unsicherheit und schärferer Regulatorik für den Mittelstand zunehmend an Bedeutung gewinnt.
Über die Autoren
Jan Lange ist Geschäftsführer (CEO) und Jörg Mügge ist Chief Technicial Officer (CTO) bei der TelemaxX GmbH. Als Betreiber von vier Hochsicherheitsrechenzentren bietet die TelemaxX dem Mittelstand maßgeschneiderte Lösungen für Rechenzentrumsflächen, Housing und Managed Services. Das Unternehmen begleitet seine Kunden auch in puncto Cybersicherheit und NIS-2-Compliance. Mehr unter www.Telemaxx.de.
