Hosting für den Onlineshop: Anforderungen und Betriebsmodelle

Ein Shop verkauft nur, solange der Server antwortet; nach einem Datenverlust entscheidet die Sicherung darüber, wie viele Bestellungen und Kundendaten wieder da sind. Beide Größen lassen sich als Zahl vereinbaren. Der Artikel ordnet die Betriebsmodelle, gibt eine Anforderungsliste nach Shop-Größe und nennt die Stellen, an denen die Zusagen im Vertrag stehen; Anbieter nennt er nicht.

Worauf es ankommt

Vier Begriffe genügen für die Anforderung an ein Shop-Hosting. Drei davon stehen im Glossar des BSI-Standards 200-4: die maximal tolerierbare Ausfallzeit, die Wiederanlaufzeit und der maximal zulässige Datenverlust.

• Verfügbarkeit: Anteil der Zeit, in der der Shop erreichbar ist, als Prozentwert für einen Bezugszeitraum.
• Ausfallzeit: Zeitspanne, in der der Shop nicht erreichbar ist; Ihr Ziel leiten Sie aus der gerade noch tolerierbaren Ausfallzeit ab.
• Wiederanlaufzeit (Recovery Time Objective, RTO): nach dem Glossar des BSI-Standards 200-4 der Zeitraum vom Ausrufen des Notfalls bis zur geforderten Inbetriebnahme der Notfall-Lösung.
• Maximal zulässiger Datenverlust (Recovery Point Objective, RPO): nach dem Glossar der Wert für das Alter, das verfügbare Daten maximal haben dürfen, damit zeitkritische Geschäfte nach einer Unterbrechung weiterlaufen; angegeben wird er in der Regel als geforderter Datensicherungszyklus.

Der BSI-Standard 200-2 ordnet die maximal tolerierbare Ausfallzeit drei Schutzbedarfskategorien zu: 24 bis 72 Stunden bei „normal“, eine bis 24 Stunden bei „hoch“ und weniger als eine Stunde bei „sehr hoch“. Die Grenzen gelten im Schadensszenario der beeinträchtigten Aufgabenerfüllung und sind an die eigenen Gegebenheiten anzupassen. IT-Grundschutz und BSI-Standards binden von sich aus niemanden: Sie sind nach der Darstellung des BSI Methode, Anleitung und Empfehlung; sie wirken, wo Gesetz oder Vertrag auf sie verweisen.

Welche Betriebsmodelle es gibt

Die Tabelle zeigt die vier Modelle, die die Hilfestellung des UP KRITIS (Version 2.0 vom 7. November 2023, Abschnitt 2.1) unterscheidet, und was in jedem Modell bei Ihnen bleibt.

Betriebsmodell	Was der Anbieter bereitstellt	Was bei Ihnen bleibt	Prüffrage im Vertrag
Shopplattform als Dienst (SaaS)	komplette Anwendung samt Infrastruktur und Plattform	Datenexport, eigene Sicherung, Anbindung an die Warenwirtschaft	Welche Ausfallzeiten, Sicherungszyklen und Wiederherstellungszeiten sind zugesagt?
Plattform als Dienst (PaaS)	Infrastruktur und standardisierte Schnittstellen, kein Zugriff auf Betriebssystem und Hardware	Ihre Anwendung und ihr Betrieb auf der Plattform	Wer sichert Plattform und Daten, und wer spielt sie zurück?
Infrastruktur als Dienst (IaaS)	Rechenleistung, Arbeitsspeicher und Datenspeicher; Kontrolle ab dem Betriebssystem liegt bei Ihnen	Betriebssystem, Anwendungen, Sicherung, Wiederanlaufplan	Welche Zusagen gelten für Netz, Speicher und Ersatzressourcen?
Eigener Server im Haus (On-Premises)	nichts, die Installation liegt vor Ort	Hardware, Netz, Strom, Kühlung, Ersatzteile, Standortschutz	—

Für die Vertragsprüfung zählt nicht der Name des Modells, sondern die Aufgabenverteilung: In jedem Modell müssen Sicherung, Wiederherstellung und Sicherheitsaktualisierungen einer Seite zugeordnet sein. Zwischen IaaS und On-Premises liegen Vertragsformen, in denen der Anbieter zusätzlich das Betriebssystem oder die Anwendung betreut; den Umfang nennt der Vertrag. Welches Modell zu Aufwand und Kontrolle passt, vergleicht SaaS-Shop oder Self-Hosting, die laufenden Kosten ordnet Was kostet ein Onlineshop? ein.

Anforderungsliste nach Shop-Größe

Die Zielwerte sind eine redaktionelle Empfehlung mit erfundenen Beispielannahmen zur Shop-Größe, kein gesetzlicher Maßstab. Ersetzen Sie die erste Spalte durch Ihre eigenen Zahlen und tragen Sie die Zusage Ihres Anbieters daneben ein.

Shop-Größe (Beispielannahme)	Verfügbarkeit (Zielwert: redaktionelle Empfehlung)	Ausfallbudget je 30-Tage-Monat	RTO	RPO	Sicherung
Start und kleiner Shop: bis 50 Bestellungen je Tag, eine Person im Betrieb	99,5 %	3 Stunden 36 Minuten	4 Stunden	24 Stunden	tägliche Vollsicherung, räumlich getrennt vom Server aufbewahrt
Wachsender Shop: bis 500 Bestellungen je Tag, mehrere Mitarbeitende, Warenwirtschaft angebunden	99,9 %	43 Minuten	1 Stunde	1 Stunde	Sicherung mindestens stündlich, zusätzlich Tagesstände
Umsatzstarker Shop: mehr als 500 Bestellungen je Tag oder an einen Marktplatz gebunden	99,95 %	22 Minuten	15 Minuten	15 Minuten	fortlaufende Sicherung mit Wiederherstellung auf einen Zeitpunkt

Zu jeder Zeile gehören drei Punkte ohne Zahl: Messmethode samt Bezugszeitraum, Behandlung geplanter Wartungsfenster und der Nachweis, dass eine Wiederherstellung schon einmal geübt wurde. Der IT-Grundschutz verlangt von seinen Anwendern, dass Art, Häufigkeit und Zeitpunkte der Datensicherung festgelegt sind (CON.3.A2), dass der Sicherungsplan Aufbewahrungsdauer und Reihenfolge der Wiederherstellung nennt (CON.3.A4) und dass regelmäßig getestet wird, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können (CON.3.A15). Eine RAID-Spiegelung ist keine Datensicherung, weil die gespiegelten Daten gleichzeitig verändert werden (CON.3).

So rechnen Sie das Ausfallbudget aus

Ein Prozentwert wird greifbar, wenn Sie ihn in Minuten umrechnen. Ein Monat mit 30 Tagen hat 43.200 Minuten (30 × 24 × 60).

Verfügbarkeit	Ausfallzeit je 30-Tage-Monat	Ausfallzeit je Kalenderjahr
99,5 %	216 Minuten (3 Stunden 36 Minuten)	rund 44 Stunden
99,9 %	43 Minuten	rund 8,8 Stunden
99,95 %	22 Minuten	rund 4,4 Stunden

Beispielrechnung mit erfundenen Zahlen: Ein Shop erhält 1.000 Bestellungen am Tag, der durchschnittliche Warenkorb liegt bei 45 Euro. Gleichmäßig über 24 Stunden verteilt sind das 0,69 Bestellungen je Minute (1.000 ÷ 1.440). In den 43 Minuten, die bei 99,9 Prozent zulässig sind, wären das rund 30 Bestellungen und rund 1.340 Euro Warenwert (30 × 45 Euro). Bestellungen laufen nicht gleichmäßig auf; die Rechnung zeigt die Größenordnung, nicht eine Prognose. Eine Vorschrift, die für Onlineshops eine Mindestverfügbarkeit festlegt, haben wir in den geöffneten Quellen (DSGVO, DSG, BSI-Standards) nicht gefunden; maßgeblich ist die Ausfallzeit, die Ihr Betrieb verkraftet.

Typische Fehler

• Prozent ohne Messmethode. Eine Zusage von 99,9 Prozent ohne Bezugszeitraum, Messstelle und Aussage zu Wartungsfenstern lässt sich nicht überprüfen.
• Sicherung ohne Wiederherstellungstest. Nach CON.3.A15 muss regelmäßig getestet werden, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können; ohne Test bleibt die Zusage eine Annahme.
• Sicherung am selben Ort. Sicherungsmedien sollen nach CON.3.A12 räumlich getrennt von den gesicherten Systemen aufbewahrt werden.
• Zertifikat ohne Geltungsbereich. Nach OPS.2.2.A13 soll geprüft werden, ob der Geltungsbereich eines Nachweises die genutzten Dienste erfasst.
• Ausstieg nicht geübt. Der IT-Grundschutz empfiehlt Portabilitätstests und vertragliche Vorgaben für einen Anbieterwechsel (OPS.2.2.A15).

Was in Deutschland, Österreich und der Schweiz gilt

Verarbeitet der Hoster personenbezogene Daten Ihres Shops, etwa Bestell- und Adressdaten, ist er Auftragsverarbeiter. In Deutschland und Österreich braucht diese Verarbeitung einen Vertrag nach Art. 28 Abs. 3 DSGVO, der die Bindung an dokumentierte Weisungen, Maßnahmen nach Art. 32 und die Löschung oder Rückgabe der Daten nach dem Ende der Leistung regelt. Art. 32 Abs. 1 Buchst. b und c DSGVO verlangt Maßnahmen, welche die Verfügbarkeit und Belastbarkeit der Systeme sichern und die Verfügbarkeit der Daten nach einem Zwischenfall rasch wiederherstellen. Eine Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde, sofern sie voraussichtlich zu einem Risiko führt; der Auftragsverarbeiter meldet sie ihm unverzüglich (Art. 33 Abs. 1 und 2 DSGVO). Die Verordnung wird seit 25. Mai 2018 angewendet (Art. 99 Abs. 2 DSGVO).

In der Schweiz gewährleisten Verantwortlicher und Auftragsbearbeiter mit geeigneten technischen und organisatorischen Massnahmen eine dem Risiko angemessene Datensicherheit (Art. 8 Abs. 1 DSG). Der Verantwortliche muss sich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann (Art. 9 Abs. 2 DSG). Eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko führt, meldet er dem EDÖB so rasch als möglich (Art. 24 Abs. 1 DSG). Es gilt die Fassung vom 25. September 2020, Stand am 7. Juli 2025. Die DSGVO kann daneben auch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter erfassen, der betroffenen Personen in der Union Waren oder Dienstleistungen anbietet (Art. 3 Abs. 2 Buchst. a DSGVO); ein Schweizer Hoster, der in die EU verkauft, kann also beiden Regelungen unterliegen. Einzelheiten zu Vertrag und Standortwahl behandelt Datenschutz bei der Shopsystem-Auswahl.

Welche Nachweise Sie verlangen können

Ein Zertifikat ist ein Nachweis, den Sie im Vertrag verlangen können; ein Erfordernis eines bestimmten Zertifikats findet sich in den geöffneten Quellen (DSGVO, DSG, IT-Grundschutz) nicht. Die DSGVO lässt genehmigte Verhaltensregeln und ein genehmigtes Zertifizierungsverfahren als Nachweis hinreichender Garantien zu (Art. 28 Abs. 5 DSGVO).

• C5: Der Kriterienkatalog spezifiziert Mindestanforderungen an sicheres Cloud Computing und richtet sich an professionelle Cloud-Anbieter, deren Prüfer und Kunden; die Erfüllung testieren Wirtschaftsprüfer. Aktuell ist C5:2026 in Version 1.1.0 vom 11. August 2026.
• ISO/IEC 27001: Die Ausgabe 2022 der Norm war eine der Grundlagen des C5:2026. Nach dem Kriterium OIS-01.01AC stellen akkreditierte Zertifizierungsstellen die Zertifikate aus. Daneben entscheidet das BSI über das Zertifikat „ISO 27001 auf der Basis von IT-Grundschutz“, das ein BSI-zertifizierter Auditor prüft.
• Mindeststandards des BSI: Sie gelten nach § 44 Abs. 1 Satz 1 BSIG für Einrichtungen der Bundesverwaltung nach § 29 Abs. 1 BSIG und begründen für einen Onlineshop keine eigene Pflicht.

Der Geltungsbereich entscheidet über den Wert des Nachweises: Ein Testat oder Zertifikat deckt die Einheiten, Standorte und Dienste ab, die darin genannt sind.

Checkliste für die Anfrage an den Anbieter

1. Nennen Sie die zugesagte Verfügbarkeit mit Bezugszeitraum und Messmethode und sagen Sie, wie geplante Wartungsfenster behandelt werden.
2. Nennen Sie RTO und RPO, das Sicherungsintervall, die Aufbewahrungsdauer und den Aufbewahrungsort der Sicherungen.
3. Legen Sie vor, wann zuletzt eine Wiederherstellung getestet wurde und wie lange sie gedauert hat.
4. Legen Sie Ihre Nachweise mit Geltungsbereich, Standorten und Datum vor (C5, ISO/IEC 27001, ISO 27001 auf der Basis von IT-Grundschutz).
5. Benennen Sie alle Subunternehmer und die Orte, an denen meine Daten verarbeitet werden, sowie die Regelungen für Kündigung und Löschung.
6. Legen Sie den Auftragsverarbeitungsvertrag vor und bestätigen Sie einen Probeexport aller Daten vor der Unterschrift.