Was muss ein digitales Berichtsheft für den Betrieb im eigenen Rechenzentrum erfüllen?
- On-premise, Self-Hosting und Managed Hosting sind nicht dasselbe; die Abgrenzung entscheidet über Verantwortlichkeit und die nötigen Unterlagen.
- Anmeldung über LDAP oder Active Directory gibt es ab dem Paket Standard, SSO über OIDC oder SAML und SCIM in abgestimmten Enterprise-Einführungen.
- Am häufigsten verzögert nicht die Technik, sondern eine spät eingebundene Beteiligung von Datenschutz, Informationssicherheit oder Betriebsrat.
In Ausschreibungen, IT-Richtlinien und Sicherheitskonzepten heißt es selten „Self-Hosting". Dort steht on-premise, Betrieb im eigenen Rechenzentrum oder schlicht ohne Cloud. Gemeint ist derselbe technische Aufbau, geprüft wird aber anderes: nicht, ob eine Installation läuft, sondern ob sie durch die interne Freigabe kommt.
Diese Liste ist für die Vorbereitung dieser Prüfung gedacht. Sie richtet sich an IT-Leitungen, Informationssicherheit und Datenschutz in Unternehmen, Verwaltungen und größeren Bildungsträgern.
Drei Begriffe, die oft vermischt werden
| On-Premise | Die Anwendung läuft auf Servern der eigenen Organisation, in eigenen Räumen oder im eigenen Rechenzentrumsvertrag. Die Organisation ist Betreiber. |
|---|---|
| Self-Hosting | Die Organisation betreibt die Anwendung selbst, die Maschine kann aber auch bei einem Anbieter stehen. Technisch derselbe Aufbau, vertraglich nicht dasselbe. |
| Managed Hosting | Der Anbieter stellt die Umgebung bereit und übernimmt vereinbarte Betriebsaufgaben. Werden dabei personenbezogene Daten im Auftrag verarbeitet, gehört ein Vertrag zur Auftragsverarbeitung dazu. |
Die Unterscheidung ist keine Wortklauberei. Sie entscheidet darüber, wer Verantwortlicher und wer Auftragsverarbeiter ist und welche Unterlagen die Prüfung verlangt.
Was die IT zuerst fragt
- In welches Netzsegment gehört die Anwendung, und wer darf sie von dort erreichen?
- Welche Ports müssen offen sein, nach innen wie nach außen?
- Welche ausgehenden Verbindungen baut die Anwendung im laufenden Betrieb auf, und wohin?
- Woher kommen Aktualisierungen, und lässt sich dieser Weg über einen internen Spiegel führen?
- Wie wird das Zertifikat ausgestellt und erneuert, und über welchen Reverse Proxy läuft der Zugriff?
- Wie sieht ein Wiederanlauf nach einem Ausfall aus, und wurde er getestet?
Die technischen Eckdaten — drei Container über Docker Compose, PostgreSQL, Mindestausstattung des Servers — stehen im Beitrag Berichtsheft selbst hosten. Ob ein Betrieb vollständig ohne ausgehende Verbindungen möglich ist, hängt am konkreten Aufbau und gehört vor der Entscheidung ausdrücklich gefragt; pauschale Zusagen dazu sind an dieser Stelle nichts wert.
Identitäten und Anmeldung
Bei Skillent gilt dafür eine klare Staffel, und die gehört früh auf den Tisch, weil sie über das Paket entscheidet:
- Anmeldung über LDAP oder Active Directory ab dem Paket Standard. Im Basis-Paket ist sie nicht vorgesehen, in der Micro-Lizenz bewusst nicht enthalten.
- SSO über OIDC oder SAML sowie SCIM-Provisionierung werden für abgestimmte Enterprise-Einführungen eingerichtet.
- Mehrstufige Anmeldung, Sitzungsverwaltung und Rollen sind Teil des Produkts.
Wichtig für die Prüfung: Ein Verzeichnisdienst regelt, wer sich anmelden darf. Wer Berichte lesen, freigeben oder verwalten darf, ist eine fachliche Berechtigung und wird in der Anwendung vergeben. Beides wird in Anforderungskatalogen regelmäßig in eine Zeile geschrieben und muss getrennt beantwortet werden.
Nachvollziehbarkeit, Aufbewahrung, Löschung
Ausbildungsnachweise enthalten personenbezogene Daten, Beurteilungen und Anhänge. Die Revision fragt deshalb nach denselben Punkten wie bei einem Personalsystem:
- Ein Audit-Log, das festhält, wer wann welche Freigabe erteilt oder zurückgenommen hat.
- Aufbewahrungsregeln und ein Weg, Daten nach Fristablauf geregelt zu löschen.
- Persönliche Datenexporte und ein definierter Ablauf für Löschanfragen.
- Ein Export, der die Nachweise vollständig und ohne den Anbieter lesbar macht — auch für den Fall, dass die Software gewechselt wird.
Diese Bereiche sind in Skillent vorhanden. Welche Fristen für Ihren Fall gelten und welche Unterlagen Ihr Verfahrensverzeichnis braucht, entscheidet Ihr Datenschutz, nicht der Hersteller.
Wer sonst noch zustimmen muss
Der häufigste Grund für Verzögerung ist nicht die Technik, sondern eine Beteiligung, an die spät gedacht wurde. Drei Stellen gehören früh eingebunden:
- Datenschutz wegen Verarbeitungsverzeichnis, Löschkonzept und der Frage, ob eine Folgenabschätzung nötig ist.
- Informationssicherheit wegen Netzanbindung, Anmeldeverfahren, Sicherung und Wiederanlauf.
- Betriebs- oder Personalrat, sobald Funktionen zur Zeiterfassung oder zur Leistungsauswertung genutzt werden sollen. Ob und in welchem Umfang eine Mitbestimmung greift, gehört im konkreten Fall geprüft — es ist die Frage, die eine Einführung am zuverlässigsten um Monate verschiebt, wenn sie zu spät gestellt wird.
Eine Liste, die Sie mitnehmen können
Für ein erstes Gespräch mit einem Anbieter reichen elf Punkte. Wer sie beantworten kann, hat den Rest meistens auch geordnet:
- Betriebsform: on-premise, Self-Hosting beim Dienstleister oder Managed Hosting?
- Welche Container, welche Datenbank, welche Ressourcen?
- Welche ausgehenden Verbindungen im Regelbetrieb?
- Aktualisierungsweg, Rückweg und Wartungsfenster?
- Anmeldung: LDAP, Active Directory, OIDC, SAML — ab welchem Paket?
- Provisionierung und Sperrung ausgeschiedener Personen?
- Rollenmodell in der Anwendung, getrennt von der Anmeldung?
- Audit-Log: welche Ereignisse, wie lange?
- Aufbewahrung und Löschung: konfigurierbar oder fest?
- Export beim Wechsel: welches Format, welcher Umfang?
- Was passiert bei einer Störung, und wer ist erreichbar?
Wo Skillent steht
Skillent ist für diesen Betrieb ausgelegt: Container-Installation auf eigenen Servern, Verzeichnisanbindung ab Standard, SSO und Provisionierung in abgestimmten Enterprise-Einführungen, Audit-Log, Aufbewahrungsregeln und Exporte. Alternativ übernehmen wir den Betrieb als Managed Hosting in Deutschland, dann mit Auftragsverarbeitungsvertrag.
Wenn Sie einen Anforderungskatalog haben, schicken Sie ihn. Wir gehen ihn Punkt für Punkt durch und sagen auch, was nicht vorgesehen ist — das ist für eine Prüfung mehr wert als eine Liste, auf der überall ein Haken steht.
Dieser Beitrag ordnet ein und ersetzt keine rechtliche Prüfung. Für den eigenen Fall gehören die Verantwortlichen für Datenschutz und Informationssicherheit früh eingebunden.