Rechenzentrum statt Serverraum: Warum Industrieunternehmen ihre IT auslagern

Der Serverraum im Keller hat ausgedient. Immer mehr Industriebetriebe verlagern ihre IT in professionelle Rechenzentren und merken dabei schnell: Die Verantwortung für den Datenschutz zieht nicht mit um. Sie bleibt im eigenen Haus.

Lange war der eigene Serverraum gesetzt. Wer ERP, Maschinendaten und Mailserver betrieb, stellte die Hardware eben selbst ins Haus. Diese Rechnung geht heute oft nicht mehr auf, weil die Anforderungen an Verfügbarkeit und Nachweisführung schneller steigen, als ein mittelständisches IT-Team mitwachsen kann. Unternehmen, die Server online mieten, entscheiden sich bewusst für externe Lösungen, weil sie dort Ausfallsicherheit und zertifizierte Sicherheitsmaßnahmen einkaufen, die sie selbst kaum darstellen könnten. Nur: Für Datenschutz und Governance haften sie trotzdem weiter.

Warum die Auslagerung von IT für Industriebetriebe relevant ist

Produzierende Unternehmen kommen mit eigenen Ressourcen immer schwerer hinterher. Ein Serverraum auf aktuellem Stand bindet Kapital, verlangt Spezialwissen und veraltet trotzdem alle paar Jahre.

Im Rechenzentrum kaufen Betriebe stattdessen Kapazität ein, die sich bei Bedarf hoch- und runterfahren lässt. Die Hardware ist aktuell, der Betrieb liegt bei Leuten, die nichts anderes machen, und das interne Team kommt wieder zu seiner eigentlichen Arbeit. Auch beim Stromverbrauch rechnet sich der Umzug häufig, weil große Rechenzentren ihre Kühlung deutlich effizienter fahren als ein notdürftig klimatisierter Kellerraum.

Dazu kommt die Sicherheitslage. Angriffe auf Industrieunternehmen richten sich nicht nach Bürozeiten, sie brauchen jemanden, der nachts um drei reagiert. Ein professionelles Rechenzentrum hält dafür eigene Security-Teams vor, die rund um die Uhr überwachen. Ein mittelständischer Maschinenbauer müsste diese Schicht komplett neu aufbauen, mit Personal, das am Markt kaum zu bekommen ist.

Der dritte Punkt ist schlicht Planbarkeit. Feste monatliche Gebühren ersetzen die Ausgaben, die sonst unvorhersehbar hereinkommen: der ausgefallene RAID-Controller, die fällige Lizenzrunde, der Notfalleinsatz am Samstag. Für die Geschäftsführung wird das IT-Budget damit zu einer Zahl, die sich vorher benennen lässt.

Und dann ist da Industrie 4.0. Vernetzte Anlagen produzieren Datenmengen, die ein alter Serverraum nicht mehr sinnvoll verarbeitet. Wer Maschinendaten in Echtzeit auswerten oder IoT-Geräte an eine Cloud-Plattform anbinden will, braucht Bandbreite und Rechenleistung, die extern einfach schon da ist. Das macht Betriebe beweglicher: Eine neue Anwendung lässt sich testen, ohne vorher einen Serverschrank zu bestellen.

Sensible Unternehmensdaten und Compliance als zentrale Herausforderung

Sensible Daten sind nicht nur Personaldaten. Konstruktionszeichnungen, Rezepturen und Kalkulationen gehören genauso dazu und sind für einen Wettbewerber oft deutlich interessanter. Ob diese Daten im eigenen Keller oder im Rechenzentrum liegen, ändert an den Pflichten nichts.

Im ersten Schritt muss der Betrieb wissen, was er überhaupt hat. Eine saubere Datenklassifizierung klingt nach Bürokratie, erspart aber später die Diskussion, welches System welches Schutzniveau braucht. Darauf setzen interne Audits auf, die zeigen, wo es tatsächlich hakt. Neben der DSGVO greifen je nach Branche weitere Vorgaben, etwa aus dem Lieferkettenrecht oder von Großkunden, die ihre eigenen Sicherheitsanforderungen einfach durchreichen.

Heikel wird es, sobald Daten Ländergrenzen überqueren. Für Transfers in Drittstaaten braucht es Standardvertragsklauseln oder Binding Corporate Rules, und zwar dokumentiert, nicht als Absichtserklärung. Das Verzeichnis der Verarbeitungstätigkeiten muss externe Dienstleister mit abbilden. Wer das erst zusammensucht, wenn eine Betroffenenanfrage eingeht, hat bereits ein Problem, denn die Frist läuft ab Eingang.

Den Rahmen liefert ein Datenschutz-Managementsystem. Dazu gehört ein Datenschutzbeauftragter, der nicht nur intern prüft, sondern auch die Schnittstelle zum Rechenzentrum betreut. Bei riskanten Verarbeitungen ist eine Datenschutz-Folgenabschätzung Pflicht. Und beim Anbieter selbst lohnt der genaue Blick: Welche technischen und organisatorischen Maßnahmen setzt er wirklich um, und passen sie zum eigenen Schutzniveau? Dokumentierte Rechtsgrundlagen und Löschfristen zahlen sich spätestens dann aus, wenn jemand Auskunft verlangt. Ähnlich streng sind die Anforderungen bei der revisionssicheren Archivierung steuerrelevanter Unterlagen.

Was dabei gern untergeht: Der größte Risikofaktor sitzt im eigenen Haus. Regelmäßige Schulungen bringen nüchtern betrachtet mehr als manche technische Maßnahme, weil die meisten Datenschutzvorfälle mit einem Fehlgriff anfangen und nicht mit einem Angriff.

Auswahl und Steuerung externer IT-Dienstleister

Der Vertrag entscheidet, wie viel Kontrolle am Ende übrig bleibt. Darin muss stehen, wie Daten verarbeitet, gespeichert und gelöscht werden, welche Subunternehmer der Anbieter einsetzen darf und in welcher Frist er Sicherheitsvorfälle meldet. Wer das offen lässt, verhandelt im Ernstfall unter Druck.

Bei der Auswahl helfen Nachweise, keine Hochglanzbroschüren. Ein Zertifikat nach ISO 27001 ist ein Anfang, aussagekräftiger sind aktuelle Auditberichte und die Ergebnisse von Penetrationstests. Ein Anbieter, der diese Unterlagen nicht herausrücken will, hat die Frage damit auch beantwortet.

Service Level Agreements gehören konkret formuliert: Verfügbarkeit in Prozent, Reaktionszeiten nach Störungsklasse, Performance-Zusagen mit messbarem Bezug. Genauso wichtig und oft vergessen ist der Ausstieg. Wie kommen die Daten wieder heraus, in welchem Format, in welcher Zeit? Eine Exit-Strategie schreibt man, solange das Verhältnis noch gut ist.

Zwei Dinge lohnen zusätzlich. Erstens ein vertraglich verankertes Recht auf Vor-Ort-Besichtigung, weil ein Rundgang durch die Halle mehr zeigt als jedes Zertifikat. Zweitens ein Eskalationsplan mit Namen und Telefonnummern auf beiden Seiten. Im Störfall will niemand erst herausfinden, wen er anrufen muss.

Schlüsselfaktoren für eine sichere IT-Auslagerung

Technisch stehen drei Dinge im Zentrum: Verschlüsselung bei Übertragung und Speicherung, ein sauberes Identitäts- und Zugriffsmanagement sowie ein Backup-Konzept, das diesen Namen verdient. Beim Zugriff lohnt besonders die Pflege. Berechtigungen wachsen über Jahre mit, und irgendwann kommt ein längst ausgeschiedener Werkstudent noch an die Konstruktionsdaten.

Backups gehören an mehrere, geografisch getrennte Standorte. Entscheidend ist aber nicht das Backup, sondern die Wiederherstellung. Ein Notfallplan, der nie getestet wurde, ist eine Vermutung. Wer einmal im Jahr eine vollständige Wiederherstellung durchspielt, weiß vorher, wie lange sie dauert, statt es im Ernstfall zu lernen.

Organisatorisch zählt dasselbe: klare Zuständigkeiten, dokumentierte Abläufe, geübte Notfälle. Und die Abstimmung mit dem Rechenzentrum hört nach dem Umzug nicht auf. Bedrohungen ändern sich, Verträge und Maßnahmen sollten das auch.

Unterm Strich lässt sich der Betrieb auslagern, die Verantwortung nicht. Wer das von Anfang an einplant, holt aus dem Rechenzentrum tatsächlich das heraus, was es verspricht.