Datenzentrum-Zertifizierungen erklärt: Uptime Tier, ISO, SOC 2

Datenzentrum-Zertifizierungen fallen in zwei Familien, die ständig verwechselt werden: Infrastruktur-Redundanz-Bewertungen (Uptime Institute Tier Certification, ANSI/TIA-942), die beschreiben, wie Strom und Kühlung konstruiert sind, und Sicherheits- und Betriebsprüfungen (ISO 27001, SOC 2, PCI DSS, HIPAA), die beschreiben, wie die Einrichtung und ihre Mitarbeiter mit Daten und Risiken umgehen. Ein Rack in einer Einrichtung mit allen Zertifizierungen dieser Liste kann immer noch aufgrund menschlicher Fehler ausfallen, und eine Einrichtung ohne diese kann jahrelang ohne einen Zwischenfall laufen – Zertifizierungen dokumentieren Prozess und Design, nicht ein garantiertes Ergebnis.

Wichtigste Erkenntnisse

• Zwei verschiedene Fragen, zwei verschiedene Zertifizierungsfamilien. Redundanz-Bewertungen (Uptime Tier, TIA-942) antworten auf „wird diese Einrichtung während Wartungen oder einem Ausfall verfügbar bleiben“. Sicherheitsprüfungen (ISO 27001, SOC 2, PCI DSS) antworten auf „verwaltet dieser Betreiber Daten und Zugriff verantwortungsvoll“.
• „Tier III“ wird oft eigenständig erklärt. In Coloprices Katalog von 1.444 verfolgten Einrichtungen verwenden etwa 100 die Sprache Tier III/IV, aber nur 61 nennen ein tatsächliches Uptime Institute-Zertifikat – Design, errichtete Einrichtung oder Operational Sustainability.
• ISO 27001 ist die häufigste Sicherheits-Basislinie in unserem Katalog: 575 Einrichtungen führen sie auf, gefolgt von PCI DSS (528) und SOC 2 (490).
• SOC 2 Type II ist kein öffentliches Zertifikat. Es ist ein vertraulicher Bericht, der unter NDA ausgetauscht wird; ein SOC 2-Logo auf einer Website bestätigt nur, dass eine Beauftragung vorhanden ist, nicht was getestet wurde oder das Ergebnis.
• Es gibt kein solches Ding wie „HIPAA-zertifiziert“. HIPAA-Compliance in Colocation ist eine Shared-Responsibility-Vereinbarung, die durch eine Business Associate Agreement formalisiert wird, kein Zertifikat eines Drittanbieters.
• Zertifizierungskosten und Rhythmus variieren stark – von einer einmaligen Uptime Institute-Einrichtungs-Prüfung bis zu SOC 2’s wiederkehrenden jährlichen Programmkosten von 30.000 bis 150.000 US-Dollar.

Für Echtzeit-Preiskontexte nach Markt siehe den Colocation-Preisindex; um zu überprüfen, was ein bestimmter Betreiber veröffentlicht, durchsuchen Sie den Datenzentrum-Katalog.

Die Zertifizierungslandschaft auf einen Blick

Zertifizierung	Ausgestellt von	Was es tatsächlich überprüft	Erneuerungszyklus
Uptime Institute Tier Certification (I-IV)	Uptime Institute (privat, alleiniger Bewerter)	Power/Cooling-Redundanzdesign und separat errichtete Konstruktion	Einmalig pro Auszeichnung; M&O Stamp of Approval wird alle 2 Jahre erneuert
ANSI/TIA-942 Rated-1 to Rated-4	Unabhängige ANSI-akkreditierte Zertifizierungsstellen	Redundanz plus architektonische, Brandschutz- und physische Sicherheitssysteme	Durch die Zertifizierungsstelle festgelegt, typischerweise 3 Jahre
ISO/IEC 27001	Akkreditierte ISO-Zertifizierungsstellen	Informationssicherheitsmanagementsystem (ISMS)	3-Jahres-Zyklus mit jährlichen Überwachungsprüfungen
ISO 22301	Akkreditierte Zertifizierungsstellen	Business-Continuity-Managementsystem	3-Jahres-Zyklus
ISO 50001	Akkreditierte Zertifizierungsstellen	Energiemanagementsystem	3-Jahres-Zyklus
ISO 9001	Akkreditierte Zertifizierungsstellen	Qualitätsmanagementsystem	3-Jahres-Zyklus
SOC 1 Type II	Unabhängige CPA-Firma (AICPA-Rahmen)	Kontrollen relevant für die Finanzberichterstattung eines Clients	Bericht umfasst 6-12 Monate; jährlich neu ausgestellt
SOC 2 Type II	Unabhängige CPA-Firma (AICPA Trust Services Criteria)	Sicherheits-, Verfügbarkeits-, Vertraulichkeits-, Verarbeitungsintegritäts- und Datenschutzkontrollen	Bericht umfasst 6-12 Monate; jährlich neu ausgestellt
PCI DSS	Qualified Security Assessor (QSA)	Kontrollen über Karteninhaber-Datenumgebungen	Jährliche Attestation of Compliance
HIPAA	Keine Zertifizierungsstelle – eigenständig bestätigt + BAA	Physische Schutzmaßnahmen für geschützte Gesundheitsinformationen	Laufend; kein befristetes Zertifikat

Uptime Institute Tier Certification, kurz gefasst

Das Tier-System des Uptime Institute (I bis IV) ist die bekannteste Infrastruktur-Bewertung, und es ist ein echter kostenpflichtiger Audit-Prozess, kein selbst bewertetes Kontrollkästchen: Betreiber reichen Designdokumente für Tier Certification of Design Documents (TCDD) ein, dann inspizieren Uptime Institute-Ingenieure die fertiggestellte Einrichtung für Tier Certification of Constructed Facility (TCCF). Seit 2024 erweitert der erweiterte Management & Operations (M&O) Stamp of Approval dieselbe externe Prüfung auf Personalbesetzung, Wartungsverfahren und Incident Response, mit Auszeichnungen, die zwei Jahre gültig sind. Uptime Institute berichtet, dass es seit Beginn des Programms in den frühen 1990er Jahren mehr als 4.300 Auszeichnungen in über 120 Ländern vergeben hat.

Die vollständige Aufschlüsselung darüber, was jede Tier-Stufe erfordert und welche Verfügbarkeitszahlen dahinter stecken, finden Sie in unserem Datenzentrum-Tier-Leitfaden. Der Punkt dieser Geschichte: Ein Zertifikat in der öffentlichen Registratur des Uptime Institute ist auf eine Weise überprüfbar, wie eine Aussage auf einem Datenblatt nicht ist.

TIA-942: die breitere, ANSI-akkreditierte Alternative

ANSI/TIA-942 bewertet Einrichtungen von Rated-1 bis Rated-4 mit Redundanzkonzepten ähnlich wie Uptime’s Tiers, aber mit zwei strukturellen Unterschieden, die für Käufer wichtig sind. Erstens der Umfang: TIA-942 deckt elektrische und mechanische Systeme sowie architektonische, Brandschutz-, Telekommunikations- und physische Sicherheitsanforderungen ab, während das Tier-System des Uptime Institute nur elektrische und mechanische Topologie abdeckt. Zweitens die Governance: TIA-942 wird von unabhängigen, ANSI-akkreditierten Dritt-Zertifizierungsstellen bewertet, nicht von einem einzelnen privaten Aussteller, was Käufern mehr als einen Ort bietet, um eine Aussage zu überprüfen. Die beiden Systeme sind nicht austauschbar – eine Einrichtung, die sich „Tier 3“ nennt, und eine, die „TIA-942 Rated-3“ zertifiziert ist, machen ähnliche, aber unterschiedliche Aussagen von verschiedenen Bewertungsstellen, gemäß EPIs Vergleich der beiden Rahmen.

ISO-Familie: Sicherheit, Kontinuität, Energie, Qualität

Vier ISO-Standards erscheinen wiederholt auf den Compliance-Seiten von Betreibern, jeder deckt einen anderen Managementbereich ab:

• ISO/IEC 27001 — Informationssicherheitsverwaltung. Deckt Zugriffskontrolle, physische Sicherheit, Incident Response und Risikobewertung ab. Dies ist die Sicherheits-Baseline, die die meisten Enterprise-Einkaufsteams standardmäßig erwarten.
• ISO 22301 — Business-Continuity-Verwaltung. Dokumentiert, wie ein Betreiber Ausfallzeiten plant, darauf reagiert und sich davon erholt; relevant für Force-Majeure- und SLA-Klauseln.
• ISO 50001 — Energieverwaltung. Dokumentiert systematische Überwachung und Reduzierung der Energienutzung, zunehmend von Mietern angefordert, die ihre eigenen Nachhaltigkeitsberichtspflichten haben.
• ISO 9001 — Qualitätsverwaltung. Die generischste der vier; dokumentiert konsistente operative Prozesse anstelle von etwas Datenzentrum-Spezifischem.

Ein einzelnes ISO-Zertifikat deckt nicht automatisch jeden Standort eines Betreibers ab – überprüfen Sie immer den angegebenen Umfang des Zertifikats (welche Standorte und Geschäftsbereiche es abdeckt), anstatt eine unternehmensweite Aussage anzunehmen.

SOC 1, SOC 2, SOC 3 und die Unterscheidung zwischen Audit und Bericht

SOC-Berichte, die gemäß dem Rahmen des American Institute of CPAs (AICPA) ausgestellt werden, sind die am meisten missverstandenen Zeugnisse auf dieser Liste, da sie Berichte sind, keine Zertifikate. SOC 1 konzentriert sich auf Kontrollen relevant für die Finanzberichterstattung eines Clients (relevant für REITs und finanznahe Mieter); SOC 2 bewertet Sicherheit, Verfügbarkeit, Vertraulichkeit, Verarbeitungsintegrität und Datenschutz gegen die Trust Services Criteria des AICPA; SOC 3 ist eine öffentlich zugängliche Zusammenfassung eines SOC 2-Engagements ohne technische Details.

Type I gegen Type II ist die Unterscheidung, die am meisten zählt: Type I prüft, ob die Kontrollen zu einem Zeitpunkt ordnungsgemäß ausgelegt sind, während Type II prüft, ob diese Kontrollen über einen 6- bis 12-Monats-Fenster hinweg tatsächlich wirksam waren. Die Gesamtkosten des SOC 2 Type II-Programms – Audit-Gebühren plus Readiness-Bewertung, Behebung und interne Personalzeit – liegen normalerweise zwischen 30.000 und 150.000 US-Dollar, wobei die Audit-Gebühr allein zwischen 8.000 und 50.000 US-Dollar oder mehr liegt, je nach Umfang, laut Kostenumfragen der Compliance-Branche 2026 von Scytale und CyberArrow. Da der vollständige Bericht vertraulich ist und nur unter NDA weitergegeben wird, bestätigt ein SOC 2-Badge auf einer Marketingseite nur, dass eine Beauftragung stattgefunden hat – nicht welche Kriterien getestet wurden oder was der Prüfer fand.

Branchenspezifische Compliance: PCI DSS, HIPAA, FedRAMP

Drei Zertifizierungen sind hauptsächlich für spezifische regulierte Workloads wichtig, nicht für Colocation-Käufer allgemein:

Zertifizierung	Wer braucht es	Schlüsselmechanismus
PCI DSS	Jeder Mieter, der Kartendaten speichert, verarbeitet oder überträgt	Jährliche Attestation of Compliance (AOC) von einem Qualified Security Assessor
HIPAA	US Healthcare-Mieter, die geschützte Gesundheitsinformationen behandeln	Business Associate Agreement (BAA); es existiert kein formales Zertifikat
FedRAMP	US-Bundesregierungs-Cloud/Hosting-Workloads	Formales Autorisierungsverfahren, das von einer föderalen Sponsoring-Agentur verwaltet wird

HIPAA-Compliance ist explizit eine gemeinsame Verantwortung: Der Einrichtungsbetreiber ist verantwortlich für die physische Zugriffskontrolle und Umweltsicherheit, während der Mieter verantwortlich für technische Schutzmaßnahmen wie Verschlüsselung und Anwendungsebenen-Zugriffsverwaltung bleibt – keine BAA überträgt diese Verpflichtung weg. FedRAMP ist in der Praxis die engste der drei: Nur 6 der 1.444 Einrichtungen in unserem Katalog führen es auf, was widerspiegelt, wie wenige Colocation-Standorte eine föderale Autorisierung anstreben, wenn man sie mit den hyperscale Cloud-Regionen vergleicht, für die FedRAMP gebaut wurde.

Was Coloprices Katalog zeigt

Da wir Zertifizierungen als strukturierte Daten und nicht als Marketingkopie verfolgen, sind die Zahlen in 1.444 katalogisierten Einrichtungen ein nützlicher Realitätscheck, wie häufig jedes Zeugnis tatsächlich ist:

Zertifizierung	Einrichtungen, die es nennen	Anteil am Katalog
ISO/IEC 27001	575	40 %
PCI DSS	528	37 %
SOC 2 (Type I, II oder nicht spezifiziert)	490	34 %
ISO 22301	290	20 %
ISO 50001	277	19 %
HIPAA	158	11 %
TIA-942 (beliebige Bewertung)	45	3 %
Uptime Institute Tier Certification (spezifische Auszeichnung)	61	4 %
FedRAMP	6	0,4 %

Quelle: Coloprice-Einrichtungskatalog, zusammengestellt aus von Betreibern veröffentlichten Zertifizierungslisten.

Knapp über die Hälfte der verfolgten Einrichtungen (729 von 1.444) veröffentlichen mindestens eine Zertifizierung eines Drittanbieters jeglicher Art – das bedeutet, dass knapp die Hälfte keine veröffentlicht, was nicht unbedingt disqualifizierend für ein Lite-Tier-Datenzentrum ist, aber bei der Due Diligence bemerkt werden sollte. Die Lücke zwischen der Verwendung von Tier-Sprache (etwa 100 Einrichtungen) und spezifischen Uptime Institute-Zertifikaten (61) ist die klarste Veranschaulichung der oben beschriebenen Unterscheidung zwischen Eigenangabe und Audit.

Wie man einen Zertifizierungsanspruch vor Unterzeichnung überprüft

1. Fordern Sie das Dokument an, nicht das Logo. Ein Zertifikat, eine Attestation of Compliance oder (unter NDA) der tatsächliche SOC 2-Bericht – kein Badge-Bild auf einer Website.
2. Überprüfen Sie das öffentliche Register, wo es existiert. Uptime Institute führt eine durchsuchbare Liste jeder Tier Certification, die sie ausgestellt hat; eine Einrichtung, die nicht auf dieser Liste steht und eine Tier-Aussage macht, erklärt sich selbst.
3. Lesen Sie die Umfangsangabe auf ISO-Zertifikaten. Bestätigen Sie, dass das Zertifikat den spezifischen Standort und die Geschäftseinheit abdeckt, mit der Sie Verträge abschließen, nicht nur das Mutterunternehmen.
4. Bestätigen Sie den SOC 2-Berichtstyp und die Kriterien. Type II hat mehr Gewicht als Type I; bestätigen Sie, welche Trust Services Criteria (Sicherheit, Verfügbarkeit, Vertraulichkeit usw.) tatsächlich im Umfang waren.
5. Für PCI DSS fordern Sie die aktuelle AOC an. Attestierungen verfallen jährlich – eine AOC von vor zwei Jahren ist keine aktuelle Compliance.
6. Denken Sie daran, dass HIPAA ein Vertrag ist, kein Badge. Bestehen Sie auf einer unterzeichneten BAA, anstatt „HIPAA-konform“ als eigenständigen Anspruch zu akzeptieren.

Was zu tun ist

Stimmen Sie die Zertifizierung auf das tatsächliche Risiko ab, das Sie verwalten, anstatt Logos zu sammeln: Infrastruktur-Käufer, die Verfügbarkeit priorisieren, sollten Uptime Institute Tier Certification oder TIA-942 Rated-Status gegen das öffentliche Register des Ausstellers überprüfen, während Käufer mit Compliance-Verpflichtungen die zugrunde liegende ISO-Umfangsangabe, den SOC 2-Bericht oder die PCI AOC anfordern sollten, anstatt eine Marketingseite zum Nennwert zu akzeptieren. Kreuzen Sie die Angaben eines Betreibers gegen unseren Datenzentrum-Katalog ab, der Zertifizierungen als strukturierte, Quelldaten pro Einrichtung aufführt, und verwenden Sie den Angebots-Service, um vergleichbare Compliance-Dokumentation über mehrere Betreiber auf demselben Markt anzufordern. Die Mechanik der am häufigsten zitierten Infrastruktur-Bewertung finden Sie in unserem Datenzentrum-Tier-Leitfaden; wie Zertifizierungen allgemeiner in die Anbieter-Risikobewertung einfließen, finden Sie in unserer Due-Diligence-Checkliste.