Serverraum Anforderungen: Checkliste für sicheren IT-Betrieb

Welche Anforderungen muss ein Serverraum erfüllen?

Ein Serverraum muss acht zentrale Anforderungen erfüllen, damit Ihre IT sicher und nachweisbar läuft.

1. Raum und Standort: eigener Brandabschnitt, keine Fenster.
2. Stromversorgung: USV für alle betriebsrelevanten Komponenten.
3. Klimatisierung: dauerhafte Kühlung mit definierten Grenzwerten.
4. Brandschutz: Früherkennung per Rauchansaugsystem und Löschanlage.
5. Zutrittskontrolle: Berechtigungskonzept mit Erfassung jedes Zutritts.
6. Wasserschutz: Leckageüberwachung, keine wasserführenden Leitungen im Raum.
7. Monitoring: automatische Überwachung von Klima, Strom und USV.
8. Dokumentation: Bestandsplan, Verkabelung, Prüfnachweise und Zuständigkeiten.

Diese acht Bereiche greifen ineinander und lassen sich nicht einzeln abhaken. Ein perfekt gekühlter Raum nützt wenig, wenn die Klimaanlage am Wochenende ausfällt und niemand alarmiert wird. Zu den häufigsten Schwachstellen zählen Fremdleitungen im Raum, also Heizungs-, Wasser- oder Abwasserrohre anderer Gebäudeteile. Sie gehören nicht in einen Serverraum, weil ein Leck die gesamte IT-Infrastruktur trifft. Wie viel Technik jeder Bereich rechtfertigt, hängt vom Schutzbedarf Ihrer Systeme ab. Die folgenden Abschnitte ordnen die Anforderungen mit belegten Quellen ein und trennen dabei Pflicht von guter Praxis.

Ab wann braucht ein Unternehmen einen Serverraum?

Ein eigener Serverraum ist sinnvoll, sobald mehrere Server, aktive Netzwerkkomponenten und die zentrale Datenhaltung an einem Ort zusammenlaufen und der Geschäftsbetrieb davon abhängt. Entscheidend ist nicht die Zahl der Geräte, sondern die Rolle der IT im Unternehmen.

Wir sehen im Mittelstand regelmäßig Betriebe, deren IT längst zentrale Prozesse trägt, während der Raum noch wie eine Abstellkammer behandelt wird. Wer über den Kostenvergleich On-Premises und Cloud nachdenkt, sollte diese Frage zuerst klären.

Serverraum oder Rechenzentrum: die BSI-Kriterien

Das BSI definiert ein Rechenzentrum funktional, nicht über die Größe. Nach dem BSI-Baustein INF.2 in der Edition 2023 genügt dafür jeder einzelne von sechs dort beschriebenen Fällen. Im Mittelstand entscheiden vor allem diese vier: Der Bereich ist der einzige zentrale IT-Betriebsbereich. Oder 50 Prozent und mehr der IT-Benutzenden beziehungsweise Dienste hängen davon ab. Oder dort steht IT für kritische Geschäftsprozesse. Oder daraus werden Dienstleistungen für Dritte erbracht. Weicht ein Bereich davon ab, ist es ein Serverraum.

Für viele Mittelständler ist das dritte Kriterium der Knackpunkt. Steht im 12-Quadratmeter-Raum das System, ohne das der Betrieb stillsteht, ist dieser Raum nach BSI-Logik ein Rechenzentrum. Für Serverräume dürfen die Anforderungen reduziert werden, das muss aber stichhaltig und nachvollziehbar begründet werden. Die Basis-Anforderungen sind in jedem Fall umzusetzen.

Wenn nur zwei Server im Haus stehen: Schrank statt Raum

Bei sehr kleinen Informationsverbünden mit einem oder sehr wenigen Servern eignet sich INF.2 laut BSI ausdrücklich nicht. Dort genügt oft der Baustein INF.5 "Raum sowie Schrank für technische Infrastruktur". Praktisch heißt das: Ein abschließbarer, belüfteter Serverschrank mit eigener USV kann die passende Lösung sein, wenn die IT keine kritischen Prozesse trägt.

Für besonders schutzbedürftige Datenträger existiert mit der DIN EN 1047-2:2019-06 eine eigene Norm für Datensicherungsräume und Datensicherungscontainer. Ob ein solcher Sicherungsraum für Sie sinnvoll ist, hängt vom Schutzbedarf Ihrer Daten ab, nicht von der Größe des Serverraums.

Wie groß sollte ein Serverraum sein?

Die Größe ergibt sich aus der Zahl der Racks, der Wärmelast und den nötigen Arbeits- und Wartungsflächen, nicht aus einer Normvorgabe. Planen Sie vor und hinter jedem Serverschrank ausreichend Platz für Wartung und Luftführung ein. In der Fachliteratur zur EN 50600 wird für den Teil 2-1 beschrieben, dass Rechnerräume nicht größer als 600 Quadratmeter sein sollen, einzelne Rackreihen 20 Schränke nicht überschreiten sollen und nicht informationstechnische Systeme wie Unterverteilungen oder Klimageräte nicht im Rechnerraum untergebracht werden sollen.

Für die Luftführung entscheidet die Anordnung. Bei Umluftkühlung ziehen die Server kalte Luft vorne an und geben warme Luft nach hinten ab. Werden die Racks konsequent in Kalt- und Warmgang aufgestellt, vermischen sich die Luftströme nicht, und die Kühlung arbeitet deutlich effizienter. Ein Doppelboden kann die Kaltluftführung und die Verkabelung erleichtern, ist aber kein Selbstzweck. Wer die Hardware konsolidiert, etwa durch Virtualisierung mit einem Hypervisor, braucht schlicht weniger Fläche und weniger Kühlleistung.

In der Planungspraxis begegnen uns zwei Fehler immer wieder. Erstens der Heizungskeller oder der Dachboden als Standort: beides schlecht, weil dort Fremdleitungen, Staub und extreme Temperaturen zusammenkommen. Zweitens der Raum unter der Treppe im Neubau, der Fluchtweg und Brandabschnitt berührt und dessen Lärmpegel im Betrieb erheblich ist. Und ein Dauerthema: Ungenutzte Geräte und Kartons im Serverraum erhöhen die Brandlast. Nach BSI-Baustein INF.1, Anforderung INF.1.A8, muss für Räume mit IT oder Datenträgern, in denen Brände oder Verschmutzungen zu hohen Schäden führen können, ein Rauchverbot erlassen werden.

Welche Temperatur und Luftfeuchtigkeit braucht ein Serverraum?

Der empfohlene Betriebsbereich liegt laut ASHRAE TC 9.9 bei 18 bis 27 Grad Celsius, einheitlich für die Klassen A1 bis A4. Die zulässigen Bereiche unterscheiden sich je Geräteklasse.

Die zulässigen Bereiche gelten jeweils bis 3050 Meter Aufstellhöhe. Ebenfalls belegt in den ASHRAE Thermal Guidelines: Die maximale Temperaturänderung beträgt 20 Grad pro Stunde und höchstens 5 Grad innerhalb von 15 Minuten, bei Bandspeichern 5 Grad pro Stunde.

"Es MUSS sichergestellt werden, dass die Lufttemperatur und Luftfeuchtigkeit im IT-Betriebsbereich innerhalb der vorgeschriebenen Grenzwerte liegen."

Quelle: BSI, IT-Grundschutz-Kompendium, Baustein INF.2, Edition 2023

Aus dem Betrieb unseres eigenen Rechenzentrums heraus protokollieren wir Sollwerte, statt nur Alarmschwellen zu setzen. Der Grund: Das BSI verlangt in INF.2.A5, dass Temperatur und Feuchte so aufgezeichnet werden, dass rückwirkend erkennbar ist, ob Grenzwerte überschritten wurden. Eine reine Schwellenwert-Meldung liefert diesen Nachweis nicht.

Reicht Lüftung oder brauchen Sie eine Klimaanlage?

Eine reine Lüftung reicht nur, wenn die Abwärme dauerhaft und zuverlässig aus dem Raum abgeführt wird. Genau das ist im Sommer selten gegeben. Lüftung führt Außenluft in den Raum, mit ihrer Temperatur, ihrer Feuchte und ihrem Staub. Steigt die Außentemperatur über den Zielwert, kühlt die Anlage nicht mehr.

Sobald die Wärmelast eine dauerhafte Kühlung erfordert, führt an einer fest installierten Klimatisierung kein Weg vorbei. Das BSI verlangt in INF.2.A5 außerdem, die Wärmelast regelmäßig und nach größeren Umbauten zu prüfen. Jeder neue Server verschiebt die Rechnung.

Warum die 22-Grad-Faustregel in die Irre führt

Die verbreitete Faustregel "etwa 22 Grad" ist Betriebspraxis, kein Normwert. Der belegte empfohlene Bereich nach ASHRAE TC 9.9 ist mit 18 bis 27 Grad deutlich breiter. Wer dauerhaft auf 20 Grad herunterkühlt, kauft keine zusätzliche Sicherheit, sondern zahlt unnötig Energie.

Sichtbar wird das im PUE-Wert, dem Verhältnis des gesamten Energiebedarfs zum Energiebedarf der Informationstechnik. Je tiefer der Sollwert, desto mehr Strom fließt in die Kühlung statt in die Rechenleistung, und desto schlechter wird der PUE. Ein Sollwert im oberen Teil des empfohlenen Bereichs ist deshalb oft der bessere Kompromiss. Mehr dazu im Beitrag zu energieeffiziente Kühlung.

Welche gesetzlichen Anforderungen gibt es wirklich?

Für Serverräume im Mittelstand gibt es kaum direkte gesetzliche Vorgaben. Die konkreten Anforderungen stammen fast durchgängig aus Normen, Richtlinien und Empfehlungen. Der wichtigste gesetzliche Anker ist Artikel 32 DSGVO: Er verlangt technische und organisatorische Maßnahmen, risikobasiert. Daraus folgen Zutrittskontrolle, Verfügbarkeit und Belastbarkeit Ihrer Systeme, aber keine Quadratmeterzahl und keine Löschanlagenpflicht.

Hinzu kommt das Baurecht der Länder und Ihr individuelles Brandschutzkonzept. Ein bestimmter Feuerwiderstand wie F90 beziehungsweise EI 90 ist für Serverräume nicht pauschal vorgeschrieben. Er ergibt sich aus dem Brandschutzkonzept und der Landesbauordnung. Betreiber kritischer Infrastrukturen, also KRITIS-Betreiber, unterliegen eigenen Nachweispflichten, die für die meisten Mittelständler nicht greifen.

Gesetz, Norm oder Empfehlung: was gilt für Sie wirklich?

Trennen Sie diese drei Ebenen sauber, sonst planen Sie am Bedarf vorbei. Gesetze wie die DSGVO gelten unmittelbar, formulieren aber nur Schutzziele. Normen wie die DIN EN 50600 sind nicht per se verbindlich, werden aber zum Maßstab, sobald Sie sie vertraglich zusagen oder Ihr Versicherer sie voraussetzt. Empfehlungen wie das BSI IT-Grundschutz-Kompendium gelten als fachlicher Stand der Technik.

Die DIN EN 50600 ist keine Einzelnorm, sondern eine Reihe: Teil 1 allgemeine Konzepte, Teil 2 die Konzeption je Gewerk von Gebäudekonstruktion und Stromversorgung über Umgebungsbedingungen und Verkabelung bis zu den Sicherungssystemen, Teil 3-1 Abnahme und Betrieb, die Teile 4-1 bis 4-9 die Energieeffizienz-Kennzahlen. Für die Stromversorgung ist zusätzlich die USV-Produktnorm DIN EN IEC 62040-3 (VDE 0558-530):2022-10 einschlägig, für den Blitzschutz die DIN EN IEC 62305-4 (VDE 0185-305-4):2026-02.

EnEfG: warum Ihr Serverraum nicht betroffen ist

Das Energieeffizienzgesetz gilt für Rechenzentren erst ab einer nicht redundanten elektrischen Nennanschlussleistung von 300 Kilowatt. Das steht in den Begriffsbestimmungen des EnEfG in § 3 Nr. 24. Typische Serverräume im Mittelstand liegen weit darunter und fallen damit nicht unter die Rechenzentrumspflichten.

Oberhalb der Schwelle greifen die Pflichten für Rechenzentren aus § 11: Bestandsrechenzentren mit Betrieb vor dem 01.07.2026 müssen ab dem 01.07.2027 einen PUE von höchstens 1,5 und ab dem 01.07.2030 von höchstens 1,3 im Jahresdurchschnitt erreichen, Rechenzentren ab dem 01.07.2026 einen PUE von höchstens 1,2. Der Strombezug muss seit dem 01.01.2024 zu 50 Prozent und ab dem 01.01.2027 zu 100 Prozent bilanziell aus erneuerbaren Energien stammen. Hinzu kommen ein Energie- oder Umweltmanagementsystem nach § 12 und die jährliche Informationsübermittlung bis zum 31. März nach § 13. Stand 21.09.2026: Ein am 24.06.2026 vom Bundeskabinett beschlossener Gesetzentwurf sieht Lockerungen vor. Er liegt dem Bundestag seit dem 16.09.2026 als Drucksache 21/8027 vor und ist noch nicht in Kraft.

Brauche ich eine Gaslöschanlage oder reicht ein Feuerlöscher?

Entscheidend ist nicht das Löschmittel, sondern die Reaktionskette. Nach BSI-Baustein INF.2 gibt es zwei zulässige Wege: entweder eine Lösch- oder Brandvermeidungsanlage nach Stand der Technik, oder es muss sichergestellt sein, dass innerhalb von maximal drei Minuten auf Meldungen der Brandfrüherkennung reagiert wird. Ein Rechenzentrum muss eine Brandfrüherkennungsanlage haben, ein Serverraum sollte sie haben. In Serverräumen ohne Löschanlage müssen Handfeuerlöscher in ausreichender Zahl und Größe vorhanden sein.

Bei den Anlagen unterscheidet man Löschen und Vermeiden. Inertgas-Löschanlagen mit Argon oder Stickstoff senken im Ereignisfall den Sauerstoffgehalt schlagartig ab. Brandvermeidungsanlagen halten die Sauerstoffkonzentration dauerhaft abgesenkt, sodass ein Brand gar nicht erst entsteht. Planung und Einbau regelt die Richtlinie VdS 3527 zur Sauerstoffreduzierung, aktuell in der Ausgabe 2021-11. Frei abrufbar ist die Vorgängerausgabe 2018-08. Für die Brandmeldetechnik ist die VdS 2095 maßgeblich, aktuell in der Ausgabe 2022-06, für besonders schutzbedürftige Datenbestände die DIN EN 1047-2:2019-06.

Die 3-Minuten-Regel des BSI

"Ein Rechenzentrum MUSS mit einer Brandfrüherkennungsanlage ausgestattet werden. Ein Serverraum SOLLTE mit einer Brandfrüherkennungsanlage ausgestattet werden. Die Meldungen der Brandfrüherkennung MÜSSEN an eine ständig besetzte Stelle geleitet werden, die eine Kontrolle und Schutzreaktion innerhalb von maximal 3 Minuten veranlassen kann."

Quelle: BSI, IT-Grundschutz-Kompendium, Baustein INF.2, Edition 2023

Prüfen Sie diese Kette ehrlich. Wer soll sonntagnachts binnen drei Minuten im Serverraum stehen? Wenn Sie diese Frage nicht belastbar beantworten können, brauchen Sie die Anlage. Die Brandmeldeanlage muss nach INF.2.A8 zudem alle Flächen überwachen.

Reicht ein Rauchmelder, der eine Mail verschickt?

Nein. Eine E-Mail erreicht niemanden garantiert innerhalb von drei Minuten, und sie erzwingt keine Reaktion. Sie ist eine Benachrichtigung, keine Alarmierung. Die Meldung muss an eine ständig besetzte Stelle gehen, die tatsächlich handeln kann.

Ein einfacher Rauchmelder ist außerdem keine Brandfrüherkennung. Rauchansaugsysteme erkennen Schwelbrände deutlich früher, weil sie Luft aktiv ansaugen und analysieren. Die VdS 2095 enthält laut VdS seit der Neufassung 2019 kompakte Leitlinien für die Projektierung von Ansaugrauchmeldern in Zweimeldungsabhängigkeit.

Wie oft muss ein Serverraum geprüft werden?

Feste gesetzliche Prüfintervalle für Serverräume gibt es nicht. Die Intervalle ergeben sich aus vier Auslösern: den Herstellervorgaben der Anlagen, den Auflagen Ihrer Versicherung, der Anlagendokumentation und den Vorgaben eines Prüfsachverständigen. Genau daran sollten Sie Ihren Prüfplan aufhängen.

Ein Klassiker aus der Praxis: Die Klimaanlage fällt am Freitagabend aus und der Ausfall bleibt bis Montag unbemerkt, weil das Monitoring die Werte nur protokolliert hat. Das BSI verlangt in INF.2.A11, dass alle Einrichtungen der Infrastruktur wie Leckageüberwachung, Klima-, Strom- und USV-Anlagen automatisch überwacht werden. Automatische Überwachung ohne Eskalationskette ist aber nur ein halber Schutz.

Ein tragfähiger Prüfplan umfasst mindestens:

• USV: warten und testen nach Herstellervorgabe und Anlagendokumentation.
• Brandmeldeanlage: Wartung nach Herstellervorgabe, Weiterleitung der Meldungen prüfen.
• Klimatisierung: Wärmelast regelmäßig und nach größeren Umbauten neu bewerten.
• Zutrittsrechte: Berechtigungskonzept prüfen, Zahl der Berechtigten auf ein Mindestmaß reduzieren.
• Dokumentation: Bestandsplan, Verkabelung und Prüfnachweise aktuell halten.

Bei der Übernahme bestehender Serverräume im Ammerland ziehen wir regelmäßig als Erstes drei Dinge nach: die durchgängige Alarmierung mit benannter Eskalationsstufe, den dokumentierten USV-Test und ein aktuelles Berechtigungskonzept inklusive Videoüberwachung der Zutritte. Diese drei Punkte fehlen fast immer, obwohl sie am wenigsten kosten.

Wann lohnt sich Auslagerung statt eigenem Serverraum?

Auslagerung lohnt sich, sobald die Investitionen in Klima, USV, Brandschutz und Zutrittskontrolle in keinem Verhältnis mehr zur Größe der IT stehen. Wirtschaftlich verschiebt sich die Frage von einmaliger Investition, dem CAPEX, zu laufenden Betriebskosten, dem OPEX. Ein Colocation-Standort oder Hosting bringt zudem Verfügbarkeitsklassen mit, die im eigenen Keller kaum erreichbar sind.

Die Fachliteratur zur EN 50600 beschreibt vier Verfügbarkeitsklassen über das Redundanzprinzip: Klasse 1 Einzelpfad, Klasse 2 Einzelpfad mit Redundanz, Klasse 3 mehrere Pfade, Klasse 4 mehrere Pfade jeweils mit Redundanz. In den Klassen 3 und 4 muss die elektrotechnische Versorgung über zwei vollkommen unabhängige Wege erfolgen. Eine übliche Ringeinspeisung im Ortsnetz gilt ausdrücklich nicht als Unabhängigkeit. Auch der PUE fällt in einem professionell betriebenen Rechenzentrum in der Regel besser aus als in einem kleinen Raum mit Umluftgerät.

Ein Punkt entscheidet über Erfolg oder Scheitern und wird oft zu spät geprüft: die Bandbreite. Bei einer Vollauslagerung läuft jeder Zugriff über die Standortanbindung. Reicht diese nicht, ist die technisch beste Lösung im Alltag unbrauchbar. Prüfen Sie deshalb vor jeder Entscheidung die verfügbare Anbindung Ihres Standorts, inklusive Redundanz.

Wir betreiben ein eigenes Rechenzentrum in Westerstede und sehen beide Wege in der Praxis. Häufig ist ein Mischbetrieb sinnvoll: latenzkritische Systeme bleiben im Haus, Backup, Archiv und Testsysteme wandern aus.

Fazit

Die Anforderungen an einen Serverraum sind kein Pflichtenheft aus dem Gesetzblatt, sondern das Ergebnis einer sauberen Risikobewertung. Klären Sie zuerst, welche Rolle Ihre IT im Unternehmen spielt. Daraus ergibt sich, ob Sie nach BSI einen Serverraum oder faktisch ein Rechenzentrum betreiben, und wie viel Technik gerechtfertigt ist. Dokumentieren Sie jede Reduzierung nachvollziehbar. Und prüfen Sie ehrlich, ob Sie Betrieb, Wartung und Alarmierung dauerhaft selbst stemmen wollen. Wenn nicht, ist Auslagerung keine Notlösung, sondern die günstigere Antwort.

Häufig gestellte Fragen

Braucht ein Serverraum zwingend eine Klimaanlage?

Eine Klimaanlage ist nicht per Gesetz vorgeschrieben, praktisch aber fast immer nötig. Das BSI verlangt in INF.2.A5, dass Temperatur und Luftfeuchtigkeit innerhalb der vorgeschriebenen Grenzwerte bleiben. Sobald die Wärmelast im Raum diese Grenzwerte ohne aktive Kühlung überschreitet, ist eine fest installierte Klimatisierung der einzige zuverlässige Weg, die Anforderung dauerhaft zu erfüllen. Eine reine Lüftung schafft das im Sommer selten.

Kann ich ein mobiles Klimagerät im Serverraum einsetzen?

Für den Dauerbetrieb ist ein mobiles Klimagerät ungeeignet. Wir raten in der Praxis konsequent davon ab. Die Gründe sind das anfallende Kondensat, die problematische Abluftführung durch Tür oder Fenster und die fehlende Auslegung auf Dauerlast. Als Überbrückung bei einem Ausfall kann ein solches Gerät helfen, als dauerhafte Lösung nicht. Planen Sie stattdessen eine fest installierte Klimatisierung ein.

Brauche ich zusätzlich zum Dieselaggregat eine zentrale USV?

Ja. Eine Netzersatzanlage benötigt eine Anlaufzeit, in der die Stromversorgung unterbrochen ist. Diese Lücke überbrückt nur eine USV. Das BSI fordert in INF.2.A3 für alle betriebsrelevanten Komponenten eines Rechenzentrums eine USV. Da der Leistungsbedarf von Klimaanlagen oft zu hoch ist, muss mindestens deren Steuerung an die USV angeschlossen werden. Beide Komponenten ergänzen sich, sie ersetzen einander nicht.

Darf der Serverraum ein Fenster haben?

Fachlich ist ein fensterloser Raum klar vorzuziehen. Fenster bringen solare Wärmelast in den Raum, erschweren die Klimatisierung und schaffen einen zusätzlichen Zugangspunkt, der gegen unbefugten Zutritt gesichert werden muss. Ein Verbot gibt es nicht. Wenn ein Fenster vorhanden ist, sollten Sie es einbruchhemmend sichern und wirksam verschatten. Prüfen Sie das im Rahmen Ihres Zutritts- und Brandschutzkonzepts.

Dürfen ungenutzte Geräte im Serverraum gelagert werden?

Nein, das sollten Sie vermeiden. Kartons, Altgeräte und Verpackungsmaterial erhöhen die Brandlast und behindern die Luftführung im Raum. Das BSI verlangt in INF.1.A8 für Räume mit IT oder Datenträgern, in denen Brände oder Verschmutzungen zu hohen Schäden führen können, ausdrücklich ein Rauchverbot. Nutzen Sie den Serverraum nicht als Lager. Lagern Sie Ersatzteile und Verpackungen in einem separaten Raum.

Wer darf den Serverraum betreten?

Nur namentlich berechtigte Personen. Das BSI verlangt in INF.2.A6, dass jeder einzelne Zutritt individuell erfasst wird und die Rechte nach ORP.4 vergeben werden. Nach INF.1.A7 sollte die Zahl der Zutrittsberechtigten auf ein Mindestmaß reduziert und jede Berechtigung dokumentiert werden. Prüfen Sie die Liste der Berechtigten regelmäßig und halten Sie sie in einem schriftlichen Berechtigungskonzept fest.