Cloud-ERP-Sicherheit: ISO 27001, Hosting-Standort & Backup

Kurz vorweg: Cloud-ERP Sicherheit beurteilst du nicht am Marketing-Versprechen „bankensicher", sondern an sechs prüfbaren Bausteinen – Zertifizierungen wie ISO 27001 und BSI C5, dem Datenresidenz-Standort der Server, der Verschlüsselung im Transport und Ruhezustand, einem getesteten Backup- und Disaster-Recovery-Konzept, einem verbindlichen SLA mit garantierter Verfügbarkeit sowie sauberem Zugriffsschutz per Multi-Faktor-Authentifizierung. Fehlt einer dieser Bausteine, ist das Risiko real – von der Betriebsunterbrechung bis zum DSGVO-Verstoß. Dieser Beitrag zeigt dir, welche Nachweise du dir vor der Unterschrift zeigen lässt und welche Fragen im Lastenheft stehen müssen. Rechtsverbindliche Bewertungen zur Auftragsverarbeitung klärst du im Zweifel mit deinem Datenschutzbeauftragten.

Zertifizierungen: ISO 27001 und BSI C5

Zertifikate sind der schnellste Weg, die Sicherheitsreife eines Anbieters objektiv einzuschätzen – vorausgesetzt, du prüfst nicht nur, ob eines existiert, sondern was es abdeckt.

ISO 27001 richtig lesen

Die ISO 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme (ISMS). Sie bescheinigt, dass der Anbieter Risiken systematisch erfasst, Maßnahmen definiert und regelmäßig durch ein akkreditiertes Audithaus überprüfen lässt. Wichtig: Lass dir den Geltungsbereich (Scope) zeigen. Ein Zertifikat, das nur die Konzernzentrale abdeckt, aber nicht den Betrieb deines ERP-Rechenzentrums, hilft dir wenig. Achte auf das Ausstellungsdatum, den Zertifizierer und darauf, ob der Betrieb der ERP-Plattform ausdrücklich im Scope liegt.

BSI C5 und weitere Nachweise

Der C5-Kriterienkatalog (Cloud Computing Compliance Criteria Catalogue) des BSI ist im deutschen Markt der aussagekräftigere Nachweis für Cloud-Dienste. Anders als ein reines Zertifikat liefert ein C5-Testat einen Prüfbericht nach Testtiefe „Typ 2", der die Wirksamkeit der Kontrollen über einen Zeitraum belegt – nicht nur ihre Existenz zu einem Stichtag. Ergänzend relevant sein können SOC-2-Berichte für international gehostete Lösungen sowie regelmäßige Penetrationstests durch unabhängige Dritte. Frag konkret nach dem letzten Pentest-Datum und ob die gefundenen Punkte behoben wurden.

Serverstandort und Datenresidenz

Wo deine Daten physisch liegen, entscheidet über die rechtliche Lage. Datenresidenz meint den geografischen Speicherort – für DACH-Unternehmen ist ein Rechenzentrum in der EU (idealerweise Deutschland, Österreich oder ein EU-Land) der sichere Default. Der Grund liegt in der DSGVO: Sobald personenbezogene Daten – Kunden, Lieferanten, Mitarbeiter – in ein Drittland außerhalb der EU übertragen werden, brauchst du eine gültige Rechtsgrundlage, etwa Standardvertragsklauseln.

Zwei Punkte prüfst du unbedingt:

• Primär- und Backup-Standort. Manche Anbieter hosten produktiv in der EU, replizieren Backups aber in andere Regionen. Beide Standorte müssen zu deiner Compliance passen.
• Auftragsverarbeitungsvertrag (AVV). Ein sauberer Vertrag zur Auftragsverarbeitung ist bei jedem SaaS-ERP Pflicht. Er regelt Subunternehmer, Weisungsrechte und die Meldekette bei Vorfällen.

Ein reines Ja auf die Frage „Hosten Sie in der EU?" reicht nicht – lass dir Region und AVV schriftlich geben. Wer die Hosting-Grundlagen vertiefen will, findet sie im Glossar unter Hosting.

Verschlüsselung: Transport und Ruhezustand

Gute Verschlüsselung wirkt an zwei Stellen. In Transit schützt TLS (mindestens 1.2, besser 1.3) die Verbindung zwischen Browser, App und Server – erkennbar am HTTPS. At Rest werden die Daten auf den Speichermedien verschlüsselt abgelegt, üblich ist AES-256. Diese zweite Ebene ist die, die Anbieter im Marketing gern verschweigen: Nur wenn auch die ruhenden Daten und die Backups verschlüsselt sind, bleiben sie bei einem physischen Diebstahl oder einem kompromittierten Speicher unlesbar.

Frag zusätzlich nach dem Schlüsselmanagement – wer verwaltet die Keys, wie werden sie rotiert, und gibt es die Option kundeneigener Schlüssel für besonders sensible Branchen. Für die revisionssichere Ablage von Belegen kommt zur Verschlüsselung noch die Revisionssicherheit hinzu: Daten müssen nachvollziehbar und unveränderbar bleiben, was ein Thema für GoBD-konforme Archivierung ist.

Backup und Disaster Recovery

Ein Backup ist die Kopie deiner Daten; Disaster Recovery ist der erprobte Plan, den Betrieb nach einem Ausfall wieder hochzufahren. Beides gehört zusammen – eine Sicherung, die im Ernstfall nicht zurückgespielt werden kann, ist wertlos.

RPO und RTO verstehen

Zwei Kennzahlen aus dem RPO/RTO-Konzept solltest du im Vertrag wiederfinden:

Ein RPO von 24 Stunden bedeutet: Im Worst Case verlierst du einen Tag Buchungen, Aufträge und Belege. Für ein aktives ERP ist das oft zu viel – kläre, ob kürzere Intervalle möglich sind.

Georedundanz und Wiederanlauf

Ernstzunehmende Anbieter replizieren Daten über mehrere, geografisch getrennte Standorte (Hochverfügbarkeit), sodass der Ausfall eines Rechenzentrums nicht das Aus bedeutet. Entscheidend ist aber der dokumentierte und geübte Wiederanlaufplan. Lass dir bestätigen, dass Restore-Übungen stattfinden und protokolliert werden – ein Backup, das nie zurückgespielt wurde, ist eine unbewiesene Annahme.

SLA und Verfügbarkeit

Das Service Level Agreement (SLA) legt die zugesicherte Verfügbarkeit vertraglich fest. Eine Angabe wie „99,9 %" klingt gut, meint aber rund 8,8 Stunden Ausfall pro Jahr. Was viel oder wenig ist, hängt von deinem Geschäft ab – ein reiner Bürobetrieb verkraftet mehr als ein Onlinehändler, dessen Bestellabwicklung rund um die Uhr läuft.

Achte auf diese Details im Kleingedruckten:

• Was zählt als Ausfall? Geplante Wartungsfenster werden oft aus der Verfügbarkeit herausgerechnet.
• Reaktions- vs. Wiederherstellungszeit. Schnelle Reaktion nützt wenig ohne zugesagte Lösungszeit.
• Konsequenzen bei Verletzung. Gibt es Service-Gutschriften – oder nur ein unverbindliches Versprechen?

Diese Punkte gehören in die Vertragsverhandlung, nicht auf die Produktfolie. Eine strukturierte ERP-Beratung hilft, SLA-Klauseln realistisch auf deinen Bedarf zuzuschneiden, statt Standardwerte ungeprüft zu akzeptieren.

MFA und Zugriffsschutz

Die meisten realen Vorfälle beginnen nicht mit einem geknackten Rechenzentrum, sondern mit einem erbeuteten Passwort. Deshalb ist Multi-Faktor-Authentifizierung der wirksamste Einzelschutz für dein Cloud-ERP: Selbst wenn ein Login gestohlen wird, fehlt dem Angreifer der zweite Faktor. Prüfe, ob MFA für alle Nutzer erzwingbar ist – nicht nur optional.

Dazu kommt ein sauberes Rollen- und Rechtekonzept: Jeder Nutzer bekommt nur die Berechtigungen, die er braucht (Least Privilege). Für größere Organisationen ist Single Sign-on über den eigenen Identity-Provider praktisch und sicherheitsförderlich. Und ein lückenloser Audit-Trail, der festhält, wer wann was geändert hat, ist die Voraussetzung für Nachvollziehbarkeit im Prüfungsfall.

Cloud-ERP-Sicherheit prüfen: deine Checkliste vor der Unterschrift

Diese Nachweise lässt du dir vom Anbieter konkret geben, bevor du unterschreibst:

• Zertifikate mit Geltungsbereich: ISO 27001 und/oder C5-Testat, Ausstellungsdatum, Zertifizierer.
• Serverstandort schriftlich (Primär und Backup) plus unterschriftsreifer AVV.
• Verschlüsselung at rest und in transit, inklusive Backup-Verschlüsselung.
• Backup-Konzept mit RPO, RTO, Aufbewahrungsdauer und dokumentiertem Restore-Test.
• SLA mit konkreter Verfügbarkeitszahl, Definition von Ausfall und Gutschriftsregel.
• MFA erzwingbar für alle, plus Rollen-/Rechtekonzept und Audit-Trail.

Diese Liste passt in jedes Lastenheft. Vergleiche die Systeme anschließend im ERP-Verzeichnis und über den Vergleich gezielt auf diese Sicherheitskriterien – nicht nur auf Funktionsumfang und Preis. Ein solide gehostetes Cloud-ERP verlagert einen großen Teil der Betriebssicherheit zum Anbieter, entbindet dich aber nicht von der Auswahlpflicht.

Fazit

Cloud-ERP Sicherheit ist prüfbar, wenn du die richtigen Nachweise verlangst. ISO 27001 und C5 belegen die Sicherheitsreife, ein EU-Serverstandort mit AVV hält die DSGVO-Basis, Verschlüsselung schützt Daten in Bewegung und im Ruhezustand, ein getestetes Backup- und Disaster-Recovery-Konzept sichert den Wiederanlauf, ein belastbares SLA definiert die Verfügbarkeit, und MFA schließt das größte Einzelrisiko. Nimm diese sechs Bausteine als harte Auswahlkriterien in dein Lastenheft auf und lass dir jeden Punkt schriftlich bestätigen – bei der rechtlichen Bewertung der Auftragsverarbeitung im Zweifel gemeinsam mit deinem Datenschutzbeauftragten.