Hochverfügbarkeit der Meldestelle: Was Unternehmen wissen müssen

Eine interne Meldestelle gilt als hochverfügbar, wenn Hinweisgeber sie jederzeit erreichen und Ihr Team Meldungen auch bei Störungen fristgerecht bearbeiten kann. Technisch heißt das: Die Plattform fällt höchstens wenige Minuten im Monat aus, Daten gehen nicht verloren, und es gibt einen sicheren Ausweichweg. Das Hinweisgeberschutzgesetz nennt dafür keine Prozentzahl. Es verlangt aber Meldekanäle, die funktionieren, Fristen, die eingehalten werden, und Vertraulichkeit, die auch im Notfall hält. Hier erfahren Sie, welche Verfügbarkeitswerte sinnvoll sind, was hinter 99,9 % oder 99,99 % steckt und wie Sie Ihre Meldestelle gegen Ausfälle absichern.

Kurz gesagt

• Das BSI ordnet 99,99 % Jahresverfügbarkeit als „hoch verfügbar“ ein, das sind knapp 53 Minuten Ausfall pro Jahr.
• Das HinSchG schreibt keine Verfügbarkeitsquote vor, aber erreichbare Kanäle in Text- und mündlicher Form sowie feste Fristen für Eingangsbestätigung und Rückmeldung.
• Eine Prozentangabe allein sagt wenig: Entscheidend sind Messzeitraum, geplante Wartung, Wiederanlaufzeit und Datensicherung.
• Ein Ausweichkanal (etwa ein Telefonweg) gehört in jedes Notfallkonzept, muss aber dieselbe Vertraulichkeit bieten wie das Portal.
• Wer die Meldestelle an einen Dienstleister auslagert, bleibt selbst verantwortlich und sollte Verfügbarkeit vertraglich klar regeln.

Inhaltsverzeichnis

• Was Hochverfügbarkeit bei einer Meldestelle bedeutet
• Was das Hinweisgeberschutzgesetz verlangt und was nicht
• Verfügbarkeitswerte richtig lesen
• Warum Ausfälle bei einer Meldestelle besonders schwer wiegen
• Technische Bausteine einer hochverfügbaren Meldestelle
• Ausweichkanäle, ohne die Anonymität zu opfern
• Checkliste für die Auswahl eines Anbieters
• Unsere Sicht: Verfügbarkeit ist mehr als eine Prozentzahl
• Ashio für Ihre interne Meldestelle
• Häufige Fragen
• Quellen

Was Hochverfügbarkeit bei einer Meldestelle bedeutet

Der Begriff kommt aus der Rechenzentrumswelt. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt Hochverfügbarkeit als Eigenschaft von Systemen, die nahezu unterbrechungsfrei zur Verfügung stehen. In der Klasse VK 3 summieren sich kurze Ausfälle laut den BSI-Definitionen zur Hochverfügbarkeit auf durchschnittlich etwa fünf Minuten pro Monat, was Nutzer kaum wahrnehmen. Dasselbe Dokument stellt klar, dass Hochverfügbarkeit über die normale Absicherung hinausgeht: Der IT-Grundschutz ist die Voraussetzung, nicht das Ziel.

Für eine digitale Meldestelle bedeutet das drei Dinge:

1. Erreichbarkeit für Hinweisgeber. Wer sich nach langem Zögern entschließt, einen Verstoß zu melden, trifft diese Entscheidung oft spät abends oder am Wochenende. Ist das Portal genau dann nicht erreichbar, kommt die Meldung womöglich nie an oder landet direkt bei einer externen Stelle.
2. Arbeitsfähigkeit der Fallbearbeiter. Ihr Compliance- oder HR-Team braucht Zugriff auf Fälle, Kommunikation und Dokumentation, sonst laufen gesetzliche Fristen ins Leere.
3. Unversehrtheit der Daten. Eine Meldung, die nach einem Ausfall fehlt oder unvollständig ist, ist für Sie schlimmer als eine kurze Downtime.

Das BSI betont im Zusammenhang mit kritischen Diensten, dass deren Qualität von Verfügbarkeit, Vertraulichkeit, Authentizität und Integrität gemeinsam abhängt (BSI-Empfehlungen zu Produkten für kritische Infrastrukturen). Bei einer Meldestelle ist dieser Zusammenhang besonders eng: Ein hochverfügbares System, das Identitäten preisgibt, ist wertlos.

Was das Hinweisgeberschutzgesetz verlangt und was nicht

Seit dem 2. Juli 2023 gilt in Deutschland das Hinweisgeberschutzgesetz. Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten und betreiben. Welche Organisationen genau betroffen sind und welche Übergangsregeln galten, erklären wir ausführlich auf unserer Seite zum HinSchG für Unternehmen.

Für die Verfügbarkeit sind vor allem diese Vorgaben relevant:

• Meldungen in Textform und mündlich. Nach § 16 Abs. 3 HinSchG müssen interne Meldekanäle beides ermöglichen. Mündliche Meldungen müssen per Telefon oder über eine andere Art der Sprachübermittlung möglich sein. Auf Wunsch der hinweisgebenden Person ist innerhalb angemessener Zeit auch ein persönliches Treffen anzubieten.
• Feste Fristen. Die Meldestelle bestätigt den Eingang einer Meldung spätestens nach sieben Tagen und gibt innerhalb von drei Monaten nach der Bestätigung eine Rückmeldung zu geplanten oder ergriffenen Folgemaßnahmen (§ 17 HinSchG).
• Vertraulichkeit. Die Identität der hinweisgebenden Person und der betroffenen Personen ist zu schützen. Nur die zuständigen Personen dürfen Zugriff auf eingehende Meldungen haben.
• Dokumentation. Meldungen sind dauerhaft abrufbar zu dokumentieren. Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht, sie darf länger aufbewahrt werden, solange dies erforderlich und verhältnismäßig ist.

Eine Uptime-Quote, eine Rund-um-die-Uhr-Erreichbarkeit oder eine Zertifizierung des Rechenzentrums nennt das Gesetz nicht. Daraus folgt aber kein Freibrief. Wer ein Portal betreibt, das tagelang ausfällt, kann kaum belegen, dass die Meldekanäle tatsächlich zur Verfügung standen und die Fristen einzuhalten waren. Hochverfügbarkeit ist hier also kein juristisches Etikett, sondern der praktische Nachweis, dass Ihre Meldestelle so funktioniert, wie das Gesetz es voraussetzt.

Wichtig für alle, die auslagern: Nach § 14 Abs. 1 HinSchG entbindet die Betrauung eines Dritten den Beschäftigungsgeber nicht von der Pflicht, selbst Maßnahmen zu ergreifen, um einen Verstoß abzustellen. Welche Modelle es gibt, vom internen Beauftragten bis zur Kanzlei, zeigt unser Beitrag wer interne Meldestelle sein kann.

Verfügbarkeitswerte richtig lesen

Anbieter werben mit 99,5 %, 99,9 % oder 99,99 %. Der Unterschied wirkt klein, ist aber erheblich. Die folgende Tabelle rechnet die gängigen Werte in maximal zulässige Ausfallzeit um, bezogen auf einen Betrieb rund um die Uhr an 365 Tagen (8.760 Stunden pro Jahr, 720 Stunden pro 30-Tage-Monat).

Die beiden oberen Begriffe stammen aus einem Beitrag im BSI-Forum zur Rechenzentrumsverfügbarkeit: Ein Rechenzentrum mit 99,99 % Zielverfügbarkeit pro Jahr gilt dort als hoch verfügbar, ein Verbund mit 99,999 % als höchstverfügbar. Derselbe Beitrag macht deutlich, dass eine solche Zahl nur mit einer entsprechend redundant ausgelegten Infrastruktur erreichbar ist.

Beim Vergleich von Angeboten kommt es auf das Kleingedruckte an. Ausfallzeiten ergeben nur Sinn, wenn sie auf eine definierte Betriebszeit bezogen werden. Die in der Fachliteratur verwendete BSI-Tabelle bezieht sich auf einen 7×24-Betrieb, wie ein Springer-Fachbeitrag zu Redundanzkonzepten zeigt. Achten Sie daher auf diese Punkte:

• Messzeitraum: Bezieht sich die Zusage auf den Monat oder das Jahr? 99,9 % pro Jahr erlaubt einen einzelnen Ausfall von über acht Stunden am Stück.
• Geplante Wartung: Viele Verträge rechnen angekündigte Wartungsfenster aus der Verfügbarkeit heraus. Dann sagt die Prozentzahl wenig über die tatsächliche Erreichbarkeit.
• Was gemessen wird: Nur der Webserver oder auch das Meldeformular, der Upload von Dateien und das Bearbeiter-Dashboard?
• Wiederanlaufzeit: Wie schnell ist das System nach einem Ausfall wieder da, und wie viele Daten können im schlimmsten Fall fehlen?

Warum Ausfälle bei einer Meldestelle besonders schwer wiegen

Bei einem Onlineshop kostet eine Stunde Ausfall Umsatz. Bei einer Meldestelle kostet sie im schlimmsten Fall Vertrauen, und das ist schwerer zurückzugewinnen.

Die Meldung kommt nicht an. Hinweisgeber haben selten zwei Anläufe Mut. Wer vor einer Fehlerseite steht, versucht es vielleicht nicht erneut oder wendet sich an eine externe Meldestelle. Damit verlieren Sie die Chance, einen Missstand intern und früh zu klären.

Fristen geraten unter Druck. Die Sieben-Tage-Frist für die Eingangsbestätigung knüpft an den Eingang der Meldung an. Kann Ihr Team wegen einer Störung tagelang nicht auf das Dashboard zugreifen, schrumpft die verfügbare Zeit. Bei der Drei-Monats-Frist für die Rückmeldung fällt ein kurzer Ausfall weniger ins Gewicht, eine längere Störung mit Datenverlust dagegen sehr.

Die Dokumentation wird lückenhaft. Das Gesetz verlangt eine dauerhaft abrufbare Dokumentation. Fehlen nach einem Ausfall Nachrichten oder Statusänderungen, können Sie später nicht mehr lückenlos nachweisen, wer wann was getan hat.

Ausweichlösungen gefährden die Vertraulichkeit. Der häufigste Fehler im Notfall: Man bittet Hinweisgeber, „einfach kurz eine E-Mail zu schreiben“. Damit landen Namen, Absenderadressen und Inhalte in einem Postfach, auf das womöglich auch die IT-Administration Zugriff hat. Die Datenschutzaufsichtsbehörden verlangen in ihrer Orientierungshilfe zu Whistleblowing-Hotlines, personenbezogene Daten bei der Dokumentation auf das notwendige Maß zu beschränken. Ein improvisierter Kanal unterläuft genau das.

Technische Bausteine einer hochverfügbaren Meldestelle

Das BSI nennt auf seiner Seite zur Sicherheit von Rechenzentren und Hochverfügbarkeit als zentrale Prinzipien Fehlertoleranz, Redundanz, Robustheit, Separation und Automatisierung. Übertragen auf eine Meldestelle heißt das:

• Redundanz: Server, Datenbanken und Netzanbindung sind mehrfach vorhanden, damit der Ausfall einer Komponente den Dienst nicht stoppt. Laut BSI lassen sich die nötigen Überkapazitäten über Modularität und Skalierbarkeit wirtschaftlicher gestalten.
• Fehlertoleranz und Automatisierung: Fällt ein Knoten aus, übernimmt ein anderer, ohne dass jemand nachts eingreifen muss.
• Separation: Meldeportal, Bearbeiterbereich und Datenhaltung sind voneinander getrennt, sodass ein Problem in einem Bereich nicht alles lahmlegt.
• Datensicherung: Spiegelung ist kein Backup. Das BSI weist im Baustein CON.3 Datensicherungskonzept darauf hin, dass gespiegelte Daten nicht vor versehentlichem Löschen oder Schadsoftware schützen. Für eine Meldestelle braucht es zusätzlich verschlüsselte, getrennt gelagerte Sicherungen.
• Überwachung: Automatisches Monitoring erkennt Störungen, bevor Hinweisgeber sie bemerken.

Für Sie als Betreiber zählt weniger, wie der Anbieter das im Detail löst, als dass er es nachvollziehbar beschreibt. Ein zertifiziertes Informationssicherheitsmanagement nach ISO 27001 ist dafür ein guter Anhaltspunkt, weil es Prozesse für Verfügbarkeit, Backup und Notfall verbindlich macht.

Ausweichkanäle, ohne die Anonymität zu opfern

Das BSI empfiehlt für Notfälle, ein breites Spektrum an Kommunikationswegen über Internet, Festnetz, Mobilfunk oder Satellit vorzusehen. Für die Meldestelle passt das gut zur ohnehin bestehenden Pflicht, mündliche Meldungen zu ermöglichen. So bauen Sie einen sinnvollen Plan B auf:

1. Telefonweg festlegen. Eine Rufnummer, die direkt bei der zuständigen, zur Vertraulichkeit verpflichteten Person ankommt, nicht in der allgemeinen Zentrale. Klären Sie, ob Gespräche aufgezeichnet werden dürfen: Das ist nur mit Einwilligung der hinweisgebenden Person zulässig.
2. Persönliches Treffen anbieten. Das Gesetz sieht es auf Wunsch ohnehin vor. Legen Sie fest, wo ein solches Gespräch diskret stattfinden kann.
3. Keine Ad-hoc-E-Mail. Ein allgemeines Postfach ist kein vertraulicher Kanal. Wenn E-Mail, dann nur ein eigenes, zugriffsbeschränktes Postfach, das in Ihrem Konzept dokumentiert ist.
4. Nachträglich erfassen. Alles, was über den Ausweichweg eingeht, wird nach Wiederherstellung in das System übertragen, damit Fristen, Status und Dokumentation an einem Ort bleiben.
5. Kommunizieren. Nennen Sie den Ausweichweg schon heute in Ihrer Mitarbeiterinformation, nicht erst im Störfall.

Wie die Kanäle insgesamt zusammenspielen und welche Bausteine ein vollständiges System umfasst, beschreiben wir im Überblick zum Hinweisgebersystem.

Checkliste für die Auswahl eines Anbieters

Wenn Sie eine Software für Ihre interne Meldestelle auswählen, stellen Sie diese Fragen schriftlich und lassen Sie sich die Antworten vertraglich bestätigen:

Einen strukturierten Überblick über die Kriterien, mit denen Sie Lösungen gegenüberstellen, finden Sie in unserem Vergleich von Hinweisgebersystemen. Für kleinere Unternehmen, die mit wenig Aufwand starten wollen, lohnt ein Blick auf das Hinweisgebersystem für KMU.

Unsere Sicht: Verfügbarkeit ist mehr als eine Prozentzahl

Wir sprechen mit vielen Compliance- und HR-Teams, die bei der Auswahl einer Meldestelle zuerst nach der Uptime fragen. Die Frage ist berechtigt, aber sie greift zu kurz. Eine Meldestelle ist erst dann wirklich verfügbar, wenn drei Dinge zusammenkommen: Hinweisgeber erreichen sie, Ihr Team kann fristgerecht arbeiten, und niemand muss im Störfall auf unsichere Wege ausweichen.

Deshalb haben wir Ashio so gebaut, dass Anonymität nicht von der Technik im Hintergrund abhängt: Wir erfassen keine Identitätsdaten und keine IP-Adressen, die Kommunikation ist Ende-zu-Ende-verschlüsselt. Selbst wenn etwas schiefgeht, gibt es nichts, was eine Identität verraten könnte. Gehostet wird vollständig in der Schweiz in einer nach ISO 27001 zertifizierten Umgebung.

Genauso wichtig ist uns die organisatorische Verfügbarkeit. Fristen überwacht die Plattform automatisch, jeder Schritt landet in einem unveränderlichen Audit-Trail, und Hinweisgeber sehen den Status ihrer Meldung jederzeit. So bleibt nachvollziehbar, was passiert ist, auch wenn im Team jemand krank oder im Urlaub ist. Das ist aus unserer Erfahrung die Art von Ausfall, die Meldestellen am häufigsten trifft: nicht der Server, sondern die fehlende Vertretung.

Ashio für Ihre interne Meldestelle

Mit Ashio richten Sie eine HinSchG-konforme interne Meldestelle ohne IT-Aufwand ein: anonymer Meldekanal ohne IP-Tracking, strukturierte Fallbearbeitung, automatische Fristenüberwachung, revisionssichere Dokumentation und DSGVO-konforme Datenspeicherung in der Schweiz. Alle Compliance-Funktionen sind im Preis enthalten. Der Basic-Tarif kostet 29 € pro Monat, nach einer kostenfreien Testphase. Details zu Verschlüsselung und Hosting finden Sie auf unserer Seite zu Sicherheit und DSGVO, den Funktionsumfang der internen Meldestelle im Überblick. Jetzt Ashio kostenlos testen.

Häufige Fragen

Was bedeutet 99,99 % Verfügbarkeit?

Ein System mit 99,99 % Verfügbarkeit darf bei Betrieb rund um die Uhr maximal etwa 53 Minuten pro Jahr ausfallen, also rund 4,3 Minuten pro Monat. Das BSI ordnet diesen Wert für Rechenzentren als „hoch verfügbar“ ein. Prüfen Sie, ob sich die Zusage auf Monat oder Jahr bezieht und ob Wartungsfenster ausgenommen sind.

Was bedeutet 99,95 % Verfügbarkeit?

Bei 99,95 % sind pro Jahr etwa 4,4 Stunden Ausfall erlaubt, pro Monat rund 22 Minuten. Für eine digitale Meldestelle ist das ein gutes Niveau, sofern Backups und ein vertraulicher Ausweichkanal hinzukommen. Wichtiger als die zweite Nachkommastelle ist, wie schnell das System nach einer Störung wieder läuft.

Schreibt das HinSchG eine bestimmte Verfügbarkeit vor?

Nein, das Gesetz nennt keine Prozentzahl. Es verlangt aber, dass Meldungen in Textform und mündlich möglich sind, dass der Eingang innerhalb von sieben Tagen bestätigt wird und innerhalb von drei Monaten eine Rückmeldung folgt. Das gelingt nur mit einem zuverlässig erreichbaren System. Bei Zweifeln im Einzelfall, etwa zur Haftung bei längeren Ausfällen, sollten Sie eine auf Arbeits- oder Compliance-Recht spezialisierte Kanzlei fragen.

Muss eine interne Meldestelle rund um die Uhr besetzt sein?

Die Meldestelle muss nicht rund um die Uhr personell besetzt sein, Meldungen sollten aber jederzeit eingehen können. Ein Onlineportal nimmt Hinweise auch nachts und am Wochenende entgegen, Ihr Team bearbeitet sie dann innerhalb der gesetzlichen Fristen. Regeln Sie Vertretungen, damit Urlaub oder Krankheit keine Lücke reißen.

Was tun, wenn das Meldeportal ausfällt?

Verweisen Sie auf den vorab kommunizierten Ausweichweg, etwa die vertrauliche Telefonnummer der zuständigen Person. Vermeiden Sie allgemeine E-Mail-Postfächer, weil sie Identitäten offenlegen können. Übertragen Sie alles, was in dieser Zeit eingeht, nach der Wiederherstellung ins System, damit Fristen und Dokumentation vollständig bleiben.

Quellen

BSI: Band G, Kapitel 2, Definitionen zur Hochverfügbarkeit BSI: Empfehlungen zu Entwicklung und Einsatz von Produkten in kritischen Infrastrukturen Hinweisgeberschutzgesetz (HinSchG) § 14 HinSchG BSI-Forum: Verfügbarkeit von Rechenzentren Springer: Vergleichende Untersuchung von PROFINET-Redundanzkonzepten Datenschutzkonferenz: Orientierungshilfe zu Whistleblowing-Hotlines BSI: Sicherheit von Rechenzentren und Hochverfügbarkeit BSI: Redundanz, Modularität, Skalierbarkeit BSI: IT-Grundschutz CON.3 Datensicherungskonzept BSI: Online-Kurs Notfallmanagement, Kommunikation im Notfall

Empfehlungen

• Wer kann interne Meldestelle sein? Beauftragter, Anwalt, Externer
• Interne Meldestelle | Konforme Whistleblowing-Software