Hoster Audit: So prüfst du Sicherheitskonfigurationen & Compliance bei deinem Hostinganbieter

Hoster Audit zeigt mir, wie ich Sicherheitskonfigurationen, Compliance und Verfügbarkeit meines Hostinganbieters zielgerichtet prüfe. Ich definiere klare Prüfkriterien, fordere Nachweise ein und validiere Versprechen technisch, damit mein Setup sicher, performant und rechtskonform läuft.

Zentrale Punkte

Die folgenden Kernpunkte führen mich strukturiert durch die Prüfung und liefern klare Entscheidungshilfen.

• Sicherheitsbasis: Verschlüsselung, DDoS, Backups, Isolierung
• Compliance: GDPR/DSGVO, SOC 2, ISO 27001
• Verfügbarkeit: Uptime, SLAs, Skalierung
• Support: Reaktionszeit, Expertise, Transparenz
• Kosten: Gebühren, Verträge, Exit-Plan

Ich aktiviere konsequent Zero Trust, prüfe automatisierte Patches und verlange dokumentierte Prozesse. Klare SLAs mit Kompensation bei Zielverfehlung geben mir Verlässlichkeit im Alltag. Ich achte auf nachvollziehbare Rechenzentrums-Standorte, um Datenschutzpflichten korrekt abzubilden. Ein wiederholbarer Audit-Zyklus hält meine Hosting-Landschaft dauerhaft sicher.

So starte ich das Hoster Audit Schritt für Schritt

Ich beginne mit einer vollständigen Bestandsaufnahme meiner Systeme: Dienste, Regionen, Zugänge, Logs und Schutzmechanismen. Danach definiere ich Prüfzielen, etwa „AES-256 at rest“, „TLS 1.3 in transit“ und „Recovery Time < 1 Stunde“. Ich sammle Nachweise wie Zertifikate, Pentest-Reports, Change-Logs und Architektur-Diagramme. Ich führe Last- und Failover-Tests durch, um Versprechen praktisch zu verifizieren. Zum Abschluss dokumentiere ich Lücken, bewerte Risiken und leite konkrete Maßnahmen mit Frist ab.

Sicherheitsinfrastruktur prüfen: Verschlüsselung, DDoS und Backups

Ich kontrolliere, ob ruhende Daten mit AES-256 verschlüsselt sind und alle Verbindungen mindestens TLS 1.2, idealerweise TLS 1.3 nutzen. Ich frage nach DDoS-Schutzschichten, Scrubbing-Centern und Rate Limiting auf Netzwerk- und Anwendungsebene. Ich prüfe, ob Backups automatisiert, versioniert, verschlüsselt und geografisch getrennt liegen. Ich lasse mir RTO/RPO-Ziele geben und teste eine Wiederherstellung im laufenden Betrieb. Container-Isolation, Kernel-Hardening und restriktive IAM-Policies erhöhen die Sicherheit spürbar.

Compliance klar bewerten: GDPR/DSGVO, SOC 2, ISO 27001

Ich prüfe die Gültigkeit von Zertifikaten inklusive Scope, Zeitraum, Prüfer und festgestellten Abweichungen. Ich stelle sicher, dass DSGVO-Pflichten wie AV-Vertrag, TOMs, Löschfristen und Betroffenenrechte praktikabel umgesetzt sind. Ich achte auf Datenlokation, Subunternehmer-Ketten und Meldewege bei Vorfällen. Für Branchenanforderungen wie PCI-DSS oder HIPAA verlange ich technische Umsetzungsdetails. Bei Fragen zum Datenschutz hilft mir eine klare Datenschutz-Compliance-Dokumentation des Anbieters.

SLAs und Verfügbarkeit richtig lesen

Ich unterscheide harte Garantien von unverbindlichen Zielwerten und prüfe Messmethoden für Uptime. Für 99,99 % Uptime fordere ich definierte Wartungsfenster, klare Ausschlüsse und konkrete Kompensation in Euro. Ich verlange Reaktions- und Lösungszeiten je Priorität und einen dokumentierten Eskalationspfad. Ich prüfe Multi-AZ- oder Multi-Region-Optionen und teste, wie schnell Ressourcen horizontal wachsen. Ohne transparente Statusseiten, Post-Mortems und geplante Wartungsankündigungen vertraue ich keinen Zahlen.

Audit-Checkliste und Nachweise

Eine strukturierte Checkliste verhindert blinde Flecken und beschleunigt meinen Review. Ich ordne jedem Punkt eine Prüffrage und einen erwarteten Nachweis zu, damit Gespräche zielgerichtet bleiben. Ich halte Mindestanforderungen fest, die nicht unterschritten werden dürfen. So entscheide ich nicht nach Bauchgefühl, sondern anhand belastbarer Kriterien. Die folgende Tabelle zeigt einen kompakten Ausschnitt für den Start.

Kriterium	Prüffrage	Erwarteter Nachweis
Verschlüsselung	Welche Algorithmen at rest/in transit?	Technische Doku, TLS-Scan, KMS-Policy
DDoS-Schutz	Welche Netz- und App-Schichten?	Architekturdiagramm, Runbooks, Drill-Report
Backups	Häufigkeit, Retention, Restore-Dauer?	Backup-Plan, Restore-Protokoll, RTO/RPO
Compliance	Gültige Zertifikate und Geltungsbereich?	SOC 2/ISO 27001, AVV, TOMs
SLAs	Messung, Ausschlüsse, Kompensation?	Vertrag, Servicekatalog, Statusseite
Incident Handling	Wer meldet was, wann, wie?	IR-Plan, On-Call, Post-Mortems
Skalierung	Auto-Scaling, Burst-Limits, Quoten?	Quota-Doku, Tests, Lastberichte

Zero Trust und Netzwerksegmentierung im Hosting

Ich setze auf minimalistische Rechte und trenne Netze strikt, damit ein kompromittierter Service nicht die gesamte Umgebung gefährdet. Jede Anfrage muss authentifiziert und autorisiert werden, ohne pauschale Vertrauenszonen. Ich verlange Microsegmentation, MFA für Admin-Zugänge und Just-in-Time-Privilegien. IDS/IPS auf mehreren Ebenen erhöht die Angriffserkennung deutlich. Konkrete Werkzeuge und Vorgehensweisen fasse ich über Zero-Trust-Strategien zusammen und verprobe sie in Staging.

Proaktiver Schutz: Patches, Pentests und Erkennung

Ich verlange automatisiertes Patchen für Hypervisor, Control-Plane, Firmware und Gäste, inklusive Wartungsfenstern. Die Schwachstelle CVE-2025-38743 bei Dell iDRAC zeigt, wie schnell Firmware-Lücken kritisch werden (Quelle [2]). Ich frage nach Einspielzeiten für kritische Fixes und wie der Anbieter Kunden proaktiv informiert. Regelmäßige externe Pentests und kontinuierliche Schwachstellenscans halten das Risiko niedrig. Laufende Überwachung mit IDS/IPS und geprüften Playbooks sorgt im Ernstfall für schnelle Gegenmaßnahmen.

Kosten, Verträge und Skalierung ohne Fallen

Ich rechne Gesamtbetriebskosten in Euro durch: Grundkosten, Speicher, Traffic, Backups, DDoS, Support. Ich suche nach Überschreitungsgebühren, teuren Egress-Kosten und wenig transparenten „Optionen“. Ich lasse mir Exit-Klauseln, Datenrückgabe und Löschkonzept zusichern. Skalierung muss planbar sein: horizontales Wachstum in Minuten, keine versteckten Quoten in Peak-Zeiten. Ich fordere Preisschutz für 12–24 Monate und prüfe, ob Credits bei SLA-Verfehlung automatisch gutgeschrieben werden.

Betriebskontinuität und Notfallmanagement

Ich fordere ein getestetes DR-Konzept mit geografisch getrennten Kopien, regelmäßigen Restore-Übungen und dokumentierten RTO/RPO-Zielen. Ich prüfe Redundanz über Strom, Netzwerk, Storage und Control-Plane. Ich verlange klare Meldeketten, Prioritäten, Kommunikationsbausteine und Verantwortlichkeiten. Ich lasse mir reale Post-Mortems zeigen, um Lernkultur und Transparenz zu bewerten. Ohne Drill-Protokolle und definierte Eskalationsstufen vertraue ich der Resilienz nicht.

Praktische Durchführung: Tests und Dokumente anfordern

Ich fordere technische Nachweise ein: Architekturdiagramme, Zertifikate, Policies, Change-Logs, Pentest-Reports. Ich simuliere Lastspitzen, Kontingentlimits, Failover und Restore, um Aussagen zu bestätigen. Ich führe einen Support-Test durch und messe Reaktions- und Lösungszeit bei hoher Priorität. Ich überprüfe Admin-Zugänge, MFA und SSH-/API-Regeln anhand von Best Practices. Für das Härtungskonzept nutze ich passende Server-Hardening-Tipps und dokumentiere Abweichungen konsequent.

Identitäts- und Zugriffsmanagement, Schlüsselverwaltung und Geheimnisse

Ich prüfe, ob Rollen strikt nach dem Least-Privilege-Prinzip modelliert sind und ob privilegierte Aktionen revisionssicher protokolliert werden. Service-Accounts dürfen keine Dauer-Schlüssel besitzen; ich fordere kurzlebige Tokens mit determinierter Laufzeit und automatisierter Rotation. Für Mensch-zu-Maschine- und Maschine-zu-Maschine-Zugriffe verlange ich MFA oder bindende Bedingungen (z. B. Device-Trust, IP-Bindung, Zeitfenster).

Beim Key-Management bestehe ich auf kundenseitig verwalteten Schlüsseln (KMS) mit separatem Berechtigungsmodell. Optional verlange ich HSM-gestützte Root-Keys und dokumentierte Prozesse für Key-Rollover, -Backup und -Zerstörung. Secrets gehören nicht in Images, Repos oder Variablendateien; ich verlange einen zentralen Secret-Store mit Zugriffsaudits, Namespaces und dynamischen Credentials.

• Prüffragen: Wer darf Keys erstellen/rotieren? Wie werden verlorene Keys gehandhabt?
• Nachweise: KMS-Policies, Rotation-Logs, Audit-Reports zu Secrets-Zugriffen.

Logging, Observability, SLOs und Fehlerbudgets

Ich fordere zentrale Logaggregation mit Aufbewahrungsfristen nach Risiko und Recht. Metriken (CPU, RAM, IOPS, Latenz) und Traces müssen korrelierbar sein, damit Ursachenanalysen zügig möglich sind. Ich definiere Service-Level-Objectives (z. B. 99,9 % Erfolgsrate bei 95. Perzentil-Latenz < 200 ms) und ein Fehlerbudget, das Änderungen steuert. Ohne nachvollziehbare Metrikquellen und Alarme mit dedizierten Runbooks ist Observability unvollständig.

• Prüffragen: Welche Logs sind Pflicht? Wie werden personenbezogene Daten in Logs minimiert?
• Nachweise: Dashboard-Screenshots, Alarm-Definitionen, Beispiel-Post-Mortems.

Datenresidenz, Schrems-II und Transfer-Impact-Assessments

Ich dokumentiere, wo Daten primär, sekundär und in Backups liegen. Für internationale Transfers verlange ich rechtliche und technische Schutzmaßnahmen mit einem belastbaren Transfer-Impact-Assessment. Ich prüfe, ob Verschlüsselung mit kundenseitiger Schlüsselhoheit so umgesetzt ist, dass der Anbieter operative Zugriffe ohne meine Zustimmung nicht entschlüsseln kann. Ich hinterfrage, wie Support-Zugriffe protokolliert werden und wie schnell Daten in definierten Regionen migriert oder gelöscht werden können.

• Prüffragen: Wie werden Subprozessoren eingebunden und auditiert?
• Nachweise: Datenfluss-Diagramme, Löschprotokolle, Support-Access-Logs.

Lieferkette und Plattformabhängigkeiten beherrschen

Ich analysiere die Supply Chain: Images, Paketquellen, CI/CD-Runner, Plugins und Marktplatzkomponenten. Ich fordere Signaturen für Container-Images und eine SBOM pro Release. Ich bewerte, ob Drittanbieter (CDN, DNS, Monitoring) Single Points of Failure darstellen und ob dafür Ausweichstrategien existieren. Abhängigkeiten zu proprietären Managed Services bewerte ich kritisch und plane Alternativen.

• Prüffragen: Wie werden externe Artefakte verifiziert? Gibt es Quarantäne bei IOC-Funden?
• Nachweise: SBOMs, Signatur-Policies, Entscheidungsprotokolle zu Managed Services.

FinOps: Kostenkontrollen, Budgets und Anomalieerkennung

Ich verknüpfe Ressourcen mit Tags (Team, Projekt, Umgebung) und etabliere Budgetalarme pro Kostenstelle. Ich prüfe, ob Rightsizing-Empfehlungen und Reserved/Committed-Options genutzt werden. Ich verlange tägliche Kosten-Reports, Anomalieerkennung und Quoten, die kostspielige Ausreißer verhindern. Ich bewerte Preismodelle für Storage-Klassen, Egress und Support-Stufen und simuliere Worst-Case-Szenarien.

• Prüffragen: Wie schnell werden Budgetüberschreitungen gemeldet? Welche Drosselungsmechanismen existieren?
• Nachweise: Kosten-Dashboards, Tagging-Standards, Quoten-/Limit-Dokumente.

Performance- und Architekturvalidierung

Ich messe reale End-to-End-Latenzen und IOPS unter Last, nicht nur synthetische Benchmarks. Ich beobachte CPU-Steal, NUMA-Effekte, Netzwerk-Jitter und Storage-Latenzspitzen. Ich verifiziere Caching-Strategien, Connection-Pools und Timeouts. Ich verlange isolierte Performance-Garantien (z. B. dedizierte IOPS) für kritische Workloads und prüfe, wie „Noisy Neighbors“ erkannt und begrenzt werden.

• Prüffragen: Welche Garantien gelten für Netzwerk- und Storage-Performance?
• Nachweise: Lasttest-Protokolle, QoS-Policies, Architekturdiagramme mit Engpassanalyse.

Change- und Release-Management, IaC und Policy-as-Code

Ich prüfe, ob alle Infrastrukturchanges über IaC erfolgen und ob es Code-Reviews, statische Analysen und Drift-Detection gibt. Ich verlange „Guardrails“: Policies, die riskante Konfigurationen verhindern (z. B. Public S3-Buckets, offene Security-Groups). Blue/Green- oder Canary-Deployments reduzieren Ausfallrisiken; ich lasse mir Rollback-Prozesse demonstrieren. Änderungen ohne Änderungsfenster, Tests und Freigaben akzeptiere ich nicht.

• Prüffragen: Wie wird Konfigurationsdrift erkannt? Welche Gates stoppen riskante Releases?
• Nachweise: Pipeline-Definitionen, Policy-Berichte, Change-Advisory-Protokolle.

Onboarding, Offboarding und Betriebsreife

Ich verlange einen dokumentierten Onboarding-Prozess: Zugänge, Rollen, Schulungen, Notfallkontakte. Offboarding muss innerhalb Stunden Zugriffe entziehen, Keys rotieren und Geräte entkoppeln. Runbooks, RACI-Matrizen und Wissensdatenbanken erhöhen die Betriebsreife. Ich teste, ob neue Teammitglieder innerhalb eines Tages produktiv und sicher arbeiten können.

• Prüffragen: Wie schnell können Berechtigungen entzogen werden?
• Nachweise: Zugriffslisten, Offboarding-Checkliste, Trainingspläne.

Multi-Cloud, Portabilität und Exit-Strategie

Ich bewerte Portabilität: Container-Standards, offene Protokolle, keine proprietären Lock-ins für Kerndaten. Ich plane Datenauszug, Format, Dauer und Kosten. Für kritische Systeme prüfe ich Standby-Optionen in einer zweiten Region oder Cloud sowie DNS-, Zertifikats- und Secret-Failover. Ich fordere Exit-Tests im Kleinen: Datensatz exportieren, in Staging eines Alternativanbieters importieren und Funktion prüfen.

• Prüffragen: Welche Datenformate und Tools stehen für Exporte zur Verfügung?
• Nachweise: Migrations-Runbooks, Testprotokolle, zugesicherte Lösch- und Rückgabofristen.

Red Flags erkennen und konsequent adressieren

Ich achte auf Warnsignale, die ich nicht ignoriere: vage Antworten auf konkrete Fragen, fehlende Nachweise, ständig verschobene Termine oder „geheime“ Runbooks. Intransparente Preisbestandteile, ausufernde Ausnahmen in SLAs, fehlende Root-Cause-Analysen und schleichende Berechtigungsausweitungen sind für mich Stoppsignale. Ich halte Eskalationspfade ein, dokumentiere Abweichungen und knüpfe Vertragsbestandteile an messbare Verbesserungen.

• Typische Red Flags: ungeschützte Management-Interfaces, fehlende Restore-Tests, pauschale „99,999 %“-Aussagen ohne Messmethode.
• Gegenmaßnahmen: Soforttests, zusätzliche Kontrollen, ggf. Anbieterwechsel vorbereiten.

Kurzbilanz: Audit erfolgreich nutzen

Ich treffe fundierte Entscheidungen, weil ich Sicherheitsstandards, Compliance und Leistungszusagen nüchtern prüfe. Ein jährlicher Audit-Zyklus mit klaren Mindestkriterien hält mein Hosting verlässlich und rechtssicher. Premium-Provider mit 99,99 % Uptime, automatisierten Patches und 24/7-Expertensupport reduzieren mein Risiko spürbar. Ich gewichte Kriterien nach Geschäftsbedarf und plane eine saubere Migration mit Testfenstern und Rollback. So sichere ich Projekte, Daten und Budget – ohne böse Überraschungen.