Was ist ein Content Delivery Network (CDN)?
Ein CDN ist eine geografisch verteilte, zusammengeschaltete Servergruppe samt erforderlicher Internetinfrastruktur, die im Auftrag von Inhalte- und Diensteanbietern digitale Inhalte oder Dienste für Internetnutzer bereitstellt – für hohe Verfügbarkeit, Zugänglichkeit oder möglichst niedrige Latenz.
Der Normwortlaut
„Content Delivery Network“ oder „CDN“ eine Gruppe geographisch verteilter, zusammengeschalteter Server, mitsamt der hierfür erforderlichen Infrastruktur, die mit dem Internet verbunden sind, und der Bereitstellung digitaler Inhalte und Dienste für Internetnutzer im Auftrag von Inhalte- und Diensteanbietern dienen, mit dem Ziel der Gewährleistung einer hohen Verfügbarkeit, Zugänglichkeit oder Zustellung mit möglichst niedriger Latenz;
Normtext: § 2 Nummer 5 BSIG. Die Definition verlangt den Serververbund, die erforderliche Internetinfrastruktur, die Bereitstellung im Auftrag von Inhalte- und Diensteanbietern für Internetnutzer sowie mindestens eines der genannten Verfügbarkeits-, Zugänglichkeits- oder Latenzziele.
Wann fällt ein CDN-Betreiber unter das BSIG?
Betreiber von CDNs gehören nach Anlage 1 Nummer 6.1.6 BSIG zur digitalen Infrastruktur. Das allein macht sie noch nicht zu wichtigen oder besonders wichtigen Einrichtungen. Hinzukommen müssen insbesondere das entgeltliche Angebot an andere natürliche oder juristische Personen, die Zuordnung zur Einrichtungsart und die Kriterien des § 28 BSIG.
Rechtliche Einordnung: Als wichtige Einrichtung gilt ein erfasster Betreiber bei mindestens 50 Beschäftigten oder bei einem Jahresumsatz und einer Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro. Besonders wichtig ist er bei mindestens 250 Beschäftigten oder bei mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Jahresbilanzsumme. Beschäftigten- und Finanzdaten bestimmen sich grundsätzlich nach der Empfehlung 2003/361/EG; § 28 Absatz 4 BSIG enthält eine Sonderregel. Vernachlässigbare Geschäftstätigkeiten dürfen bei der Zuordnung unberücksichtigt bleiben.
Einrichtungen der Bundesverwaltung sind nach § 28 Absatz 1 Satz 2 beziehungsweise Absatz 2 Satz 2 ausgenommen; die dortige Rückausnahme für Betreiber kritischer Anlagen bleibt zu beachten.
Wann ist ein Sicherheitsvorfall bei einem CDN erheblich?
Erst wenn der Betreiber meldepflichtig ist, löst ein erheblicher Sicherheitsvorfall die Meldungen nach § 32 BSIG aus. Neben den allgemeinen Kriterien der Artikel 3 und 4 der Durchführungsverordnung (EU) 2024/2690 gelten für CDN-Betreiber insbesondere die Kriterien des Artikels 9:
- Das CDN ist länger als 30 Minuten vollständig nicht verfügbar.
- Seine Verfügbarkeit ist länger als eine Stunde für mehr als 5 Prozent der Nutzer in der Union oder mehr als eine Million Nutzer in der Union eingeschränkt – maßgeblich ist die niedrigere Zahl.
- Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem CDN gespeicherten, übermittelten oder verarbeiteten Daten ist infolge einer mutmaßlich böswilligen Handlung beeinträchtigt.
- Eine solche Datenbeeinträchtigung betrifft mehr als 5 Prozent der Nutzer in der Union oder mehr als eine Million Nutzer in der Union – maßgeblich ist wiederum die niedrigere Zahl.
Ausnahme: Geplante Unterbrechungen und geplante Folgen planmäßiger Wartung bleiben nach Artikel 3 Absatz 2 unberücksichtigt.
Welche Registrierungs- und Meldefristen gelten?
Für CDN-Betreiber ist die besondere Registrierung nach § 34 BSIG maßgeblich. Sie muss spätestens drei Monate nach Eintritt des erfassten Status erfolgen. Änderungen der übermittelten Angaben sind unverzüglich, spätestens binnen drei Monaten nach Eintritt der Änderung, mitzuteilen.
Bei einem meldepflichtigen erheblichen Sicherheitsvorfall muss die frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis, und die Vorfallsmeldung unverzüglich, spätestens 72 Stunden nach Kenntnis, erfolgen. Die Abschlussmeldung folgt grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung. Dauert der Vorfall dann noch an, tritt zunächst eine Fortschrittsmeldung an ihre Stelle; die Abschlussmeldung folgt nach abschließender Bearbeitung. Die Meldepflicht beginnt frühestens mit Einrichtung des Meldewegs.
Wie ist ein CDN technisch abzugrenzen?
Technische Einordnung: Nach RFC 6707 können Netzelemente auf den Schichten 4 bis 7 zusammenwirken. Request Routing, ein Verteilungssystem mit Surrogates oder Edge-Servern, Logging und Steuerung sind typische, aber nicht zwingende Architekturteile. Für die rechtliche Abgrenzung bleibt die Definition des § 2 Nummer 5 BSIG führend.
Ein CDN ist deshalb weder DNS noch ein einzelner Cache. Es ist auch nicht allein mit Hosting, einem Cloud-Computing- oder Rechenzentrumsdienst oder einem Internetknoten gleichzusetzen. Entscheidend sind die geografisch verteilte, zusammengeschaltete Infrastruktur und ihre Bereitstellungsfunktion im Auftrag Dritter.
Welche Ausnahmen und Spezialregime gelten?
Eine CDN-spezifische Pauschalausnahme gibt es nicht. § 37 BSIG ermöglicht unter seinen Voraussetzungen einen einfachen oder erweiterten Ausnahmebescheid für die dort bezeichneten Tätigkeiten oder Dienste. Dafür müssen gleichwertige Vorgaben gelten; die Sicherheit muss anderweitig gewährleistet und beaufsichtigt sein. Die Absätze 1 bis 3 gelten nicht für Vertrauensdiensteanbieter. Ein Ausnahmebescheid ist zu widerrufen, wenn nachträglich Tatsachen eintreten, die zu seiner Ablehnung geführt hätten.
Daneben sind § 28 Absätze 6 bis 8 BSIG jeweils anhand ihrer eigenständigen Voraussetzungen zu prüfen. Absatz 6 nimmt die dort bezeichneten Finanzunternehmen und Telematikinfrastruktur-Fälle von den §§ 30, 31, 32, 35, 36, 38 und 39 aus. Nach Absatz 7 gilt § 32 für Betreiber kritischer Anlagen nicht, soweit sie eine Anlage für Unternehmen nach Absatz 6 Nummer 1 betreiben. Absatz 8 betrifft eine an öffentliche Trägerschaft und vergleichbare Landesregulierung gebundene Nichtanwendung. Keine dieser Regelungen darf allein wegen der CDN-Eigenschaft unterstellt werden.
Häufige Fehlannahmen
- „Jeder CDN-Betreiber ist automatisch eine wichtige Einrichtung.“ Nein. Einrichtungsart, entgeltliches Angebot und die Kriterien des § 28 BSIG müssen zusammen geprüft werden.
- „Ein einzelner Cache oder DNS-Dienst ist bereits ein CDN.“ Nein. Die gesetzliche Definition verlangt eine geografisch verteilte, zusammengeschaltete Servergruppe samt erforderlicher Internetinfrastruktur und die Bereitstellung im Auftrag Dritter.
- „Jede Nichtverfügbarkeit löst sofort die gesetzlichen Meldungen aus.“ Nein. Erforderlich sind ein meldepflichtiger Betreiber und ein erheblicher Sicherheitsvorfall; außerdem gelten die allgemeinen und CDN-spezifischen Kriterien sowie die Wartungsausnahme.
- „Für CDN-Betreiber genügt die allgemeine Registrierung.“ Nein. Maßgeblich ist die besondere Registrierung nach § 34 in Verbindung mit § 60 Absatz 1 Satz 1 BSIG.
- „Ausnahmen gelten pauschal für bestimmte technische Dienste.“ Nein. § 28 Absätze 6 bis 8 und § 37 haben jeweils eigene Adressaten, Voraussetzungen und Rechtsfolgen. Absatz 7 betrifft nur Betreiber kritischer Anlagen und nur, soweit sie eine Anlage für Unternehmen nach Absatz 6 Nummer 1 betreiben; ein Ausnahmebescheid setzt zudem eine behördliche Entscheidung voraus.
Was die Geschäftsleitung tun sollte
Gesetzliche Pflicht: Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen müssen die nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen umsetzen, deren Umsetzung überwachen und regelmäßig an den vorgeschriebenen Schulungen teilnehmen. Die Pflicht kann durch einschlägige Spezial- oder Ausnahmeregelungen begrenzt sein.
Praxisempfehlung: Die folgenden Schritte sind keine zusätzlichen gesetzlichen Pflichten:
- CDN-Merkmale, entgeltliches Angebot, Einrichtungsart sowie Beschäftigten- und Finanzschwellen nachvollziehbar dokumentieren.
- Vor Anwendung der Pflichten die Bundesverwaltungsausnahmen, § 28 Absätze 6 bis 8 und einen möglichen Ausnahmebescheid nach § 37 prüfen; bei Absatz 7 insbesondere klären, ob eine kritische Anlage für ein Unternehmen nach Absatz 6 Nummer 1 betrieben wird.
- Zuständigkeiten und Nachweise für die besondere Registrierung sowie fristgerechte Änderungsmitteilungen festlegen.
- Einen Meldeablauf für 24-Stunden-, 72-Stunden-, Fortschritts- und Abschlussmeldungen einrichten und testen.
- Technische Messgrößen so dokumentieren, dass Nichtverfügbarkeit, Nutzeranteile, Datenbeeinträchtigungen und geplante Wartung belastbar unterschieden werden können.
Für die Geschäftsleitung
Ein CDN ist eine gesetzlich benannte Einrichtungsart, aber nicht automatisch eine wichtige oder besonders wichtige Einrichtung. Die Geschäftsleitung sollte zuerst Reichweite, entgeltliches Angebot, Schwellenwerte und mögliche Spezialregime entscheiden lassen. Dazu gehört bei Betreibern kritischer Anlagen die Prüfung, ob § 32 wegen des Betriebs einer Anlage für ein Unternehmen nach § 28 Absatz 6 Nummer 1 gemäß Absatz 7 nicht gilt. Bei Anwendbarkeit sind Registrierung, Risikomanagement, Schulung und Vorfallmeldungen organisatorisch zu verankern. Als Nachweis dienen eine dokumentierte Statusprüfung, benannte Verantwortlichkeiten, Registrierungs- und Meldeunterlagen sowie überprüfbare technische Entscheidungsdaten.
