Verfahrensanweisung Lasttests

1. Zweck und Geltungsbereich

Diese Verfahrensanweisung regelt, wie die Belastbarkeit und Widerstandsfähigkeit der von der European Innovation Forum GmbH („FEAZY") betriebenen Netzwerk- und Anwendungsdienste regelmäßig überprüft werden. Ziel ist sicherzustellen, dass die Plattform auch unter erhöhter Last verfügbar, stabil und leistungsfähig bleibt (Sicherstellung der Verfügbarkeit i. S. d. Art. 32 DSGVO).

Der Geltungsbereich umfasst alle produktiven, von FEAZY verantworteten Anwendungs- und Schnittstellendienste (API, Weboberfläche, Verarbeitungs-Worker) in der Open Telekom Cloud (Region eu-de).

2. Verantwortungsteilung (Shared Responsibility)

Die Belastbarkeit der Plattform wird auf zwei Ebenen sichergestellt:

• Netzwerk- und Infrastrukturebene: verantwortet und kontinuierlich getestet durch den Cloud-Provider (Open Telekom Cloud, Betreiber T-Systems International GmbH) – u. a. Anti-DDoS-Schutz sowie Kapazitäts- und BCM-Tests im Rahmen der Zertifizierungen (BSI C5) und des SLA.
• Anwendungs- und Diensteebene: verantwortet durch FEAZY – dies ist der Gegenstand dieser Verfahrensanweisung.

3. Testumfang

4. Durchführung – Anlässe und Turnus

• Anlassbezogen vor größeren Releases mit erwarteten Auswirkungen auf die Last.
• Nach wesentlichen Architektur- oder Infrastrukturänderungen.
• Mindestens einmal jährlich als Regeltest.
• Zusätzlich anlassbezogen bei konkreten Hinweisen auf Leistungs- oder Kapazitätsengpässe.

Tests werden mit geeigneten Lasttest-Werkzeugen (z. B. k6, Locust oder Apache JMeter) durchgeführt und grundsätzlich gegen eine Staging-/Testumgebung gefahren, um den Produktivbetrieb nicht zu beeinträchtigen.

5. Kennzahlen und Akzeptanzkriterien

Die konkreten Schwellwerte werden je Dienst festgelegt und im jeweiligen Testprotokoll dokumentiert.

6. Dokumentation und Nachweis

Jeder Lasttest wird protokolliert. Festgehalten werden mindestens: Datum, getesteter Dienst, eingesetztes Werkzeug, Lastprofil, Ergebnisse (Kennzahlen), Bewertung (bestanden / nicht bestanden) sowie ggf. abgeleitete Maßnahmen.

Die Protokolle werden intern revisionssicher abgelegt und dienen als Nachweis gegenüber Auftraggebern und Prüfern.

7. Maßnahmen bei Befunden

• Werden Akzeptanzkriterien nicht erfüllt, werden Optimierungsmaßnahmen (z. B. Skalierung, Caching, Query- oder Code-Optimierung) priorisiert und nach Umsetzung durch einen erneuten Test verifiziert.
• Kritische Befunde mit unmittelbarer Auswirkung auf die Verfügbarkeit werden unverzüglich behandelt.

8. Provider-seitige Maßnahmen (inhärent)

Auf Netzwerk- und Infrastrukturebene greifen die kontinuierlichen Maßnahmen des Cloud-Providers, die nicht gesondert durch FEAZY getestet werden müssen:

• Anti-DDoS-Schutz (stets aktiv, Layer 3/4/7) – automatische Erkennung und Abwehr von Überlast-/Flood-Szenarien.
• Kapazitäts- und BCM-/Resilienz-Tests gemäß BSI C5 Typ 2.
• SLA-gestützte Verfügbarkeit der Plattform.

Die entsprechenden Provider-Nachweise sind im Nachweis-/Asset-Register referenziert.

9. Verantwortlichkeiten

• Die CTO-Funktion verantwortet Planung, Durchführung bzw. Beauftragung, Bewertung und Dokumentation der Lasttests.
• Alle an Entwicklung und Betrieb Beteiligten unterstützen die Durchführung im Rahmen ihrer Aufgaben.
• Die rechtliche Gesamtverantwortung verbleibt bei der Geschäftsführung (Verantwortlicher i. S. d. DSGVO = European Innovation Forum GmbH).

10. Überprüfung

Diese Verfahrensanweisung wird mindestens jährlich sowie anlassbezogen bei wesentlichen Änderungen überprüft und fortgeschrieben.

Änderungshistorie