Schutzschilde für das Rechenzentrum

ITM: Herr Neubauer, warum sollten mittelständische Unternehmen Zertifizierungen für ihre Rechenzentren vornehmen lassen? Welche Vorteile können sie sich davon versprechen bzw. wofür lohnt sich der Aufwand überhaupt?
Frank Neubauer: Durch eine RZ-Zertifizierung ergeben sich deutliche Wettbewerbsvorteile sowie Vorteile für unternehmensinterne Prozesse, da die Einhaltung aktueller Richtlinien sowie international anerkannter Standards gewährleistet ist. Im öffentlichen Bereich werden laut Beschluss des Rates der IT-Beauftragten künftig für alle Rechenzentren die Kriterien des „Blauen Engels“ für energiebewussten Rechenzentrumsbetrieb angewendet. In vielen Bereichen erfolgt die Vergabe von öffentlichen Aufträgen schon heute nur noch an Unternehmen, welche die Kriterien dieses Umweltzeichens erfüllen. Demnach ist in diesen Fällen eine Zertifizierung ein Muss um am Markt bestehen zu können.

ITM: Herr Wilkens, für welche RZ-Bereiche bzw. -Gewerke sollte auf jeden Fall eine Zertifizierung erfolgen? Welche Bereiche können eher vernachlässigt werden?
Marc Wilkens: Das größte Potential besitzen hier derzeit Maßnahmen im Bereich der Energieeffizienz. Die passgenaue Planung und der energiebewusste Betrieb der Kühlung bieten neben der effizienten Energieverteilung im RZ das größte Einsparpotential. Zertifizierte Lösungen gewährleisten daher nachhaltig erhebliche Betriebskosteneinsparungen.

Großes Augenmerk sollte jedoch auch speziell auf die Sicherheit der physikalischen Komponenten gelegt werden. Diese wird durch Zertifizierungen, z. B. durch den TÜV, belegt und sollte bei Rechenzentrumsbetreibern auf der Liste immer ganz oben stehen.

ITM: TÜV, Eco, Blauer Engel, etc. – RZ-Zertifizierungen gibt es viele. Welche sind in ihren Augen für Mittelständler am sinnvollsten?
Neubauer: Das ist abhängig von den Ansprüchen des Unternehmens an sich selbst bzw. von dessen Kunden. Besonders der „Blaue Engel“ wird zukünftig eine immer größere Bedeutung haben und hilft sowohl Betriebskosten als auch CO2 einzusparen. Firmen die also möglichst „grün“ und kostengünstig arbeiten wollen, sind hier sicherlich gut aufgehoben. Zudem lässt sich anhand dieser Zertifizierung und der damit einhergehenden Datenerhebung auch die Qualität bzw. Modernität der eingesetzten Lösungen ableiten. Eine Zertifizierung verursacht also nicht nur Kosten, sondern erzielt in der Regel auch Einsparungen.

ITM: Mit welchem Aufwand sind solche RZ-Zertifizierungen verbunden?
Wilkens: Das ist unterschiedlich. Für eine Zertifizierung mit dem „Blauen Engel“ benötigt man z.B. die Energiedaten eines ganzen Jahres. Unternehmen, die moderne RZ-Monitoringtools wie das Monitoring-Energy.sys der RZ-Products nutzen, erhalten nach der einmaligen Installationen automatisiert alle relevanten Daten, so dass der Aufwand einer händischen Datenpflege entfällt.

Die Dauer einer TÜV-Zertifizierung ist stark abhängig von der Größe der betrachteten Infrastruktur. In der Regel ist der Auditor einen bis zwei Tage vor Ort. Dazu kommen noch Prüfungen der Verfahren, Prozesse, Dokumente, Nachweise und Aufzeichnungen.

ITM: In welchen Zeitabständen sollte eine weitere Re-Zertifizierung erfolgen?
Wilkens: Beim „Blauen Engel“ muss einmal jährlich ein Energieeffizienzbericht erfolgen. Werden die Vorgaben der Vergabegrundlage immer noch erfüllt, dann darf der RZ-Betreiber weiterhin das Umweltzeichen verwenden. Allerdings werden die Kriterien spätestens alle drei bis fünf Jahre an den aktuellen Stand der Technik angepasst – so wird eine gleichbleibend hohe Qualität der Zertifizierung sichergestellt.

Die Zertifikate des TÜV gelten immer zwei Jahre. Danach müssen sie erneuert und eine Re-Zertifizierung durchgeführt werden.

ITM: Jenseits von Netzangriffen und Cyberattacken: Inwiefern können die RZ-Gebäude oder Serverräume selbst Ziel von äußeren Angriffen werden?
Neubauer: Sowohl rein zerstörerische Attacken, als auch Manipulationen können Unternehmen und deren IT erheblichen Schaden zufügen. Zunächst ist es wichtig, Server und Infrastrukturen vor Gefahren wie Feuer, Diebstahl, Wasser, etc. zu schützen und die Versorgungstechnik redundant auszulegen. Eine große Gefahr stellen jedoch auch elektronische Attacken dar, bei denen Daten mittels Electro Magnetic Pulses (EMP) von außen beschädigt oder zerstört werden. Mindestens genauso groß ist die Gefahr, dass Informationen im Rechnerraum nicht abgeschirmt werden und somit ein Datendiebstahl möglich ist. Für Mittelständler, deren Existenzgrundlage nicht selten auf ihrem Know-how in Form von Patenten oder Konstruktions- und Entwicklungsdaten beruht, ist dies eine reale Bedrohung.

ITM: Wie können sich Mittelständler am besten vor solchen Vor-Ort-Angriffsversuchen schützen?
Neubauer: Wir sprechen hier ganz klar von physischen Maßnahmen zur Abschirmung von Daten bzw. Informationen vor Fremdzugriff. Lösungen wie das „DCS-Data Center Shielding“ können sowohl in neuen als auch bestehenden, idealerweise hochsicheren Serverräumen integriert werden und gewährleisten eine Abschirmung von bis zu 120 dB. Das liegt sogar oberhalb der vom BSI empfohlenen Richtwerte. Zudem garantiert DCS Schirmdämpfungswerte von bis zu 40 GHz – dabei werden Vorgaben von Tempest, NSA und Nato erfüllt.

ITM: Welchen Stellenwert besitzt in diesem Zusammenhang die physische Zutrittskontrolle?
Wilkens: Sie ist ein Teil des gesamten Puzzles. Wichtig ist es, Rechenzentren immer ganzheitlich zu betrachten. Einzelne Komponenten müssen sinnvoll und an die Kundenanforderungen angepasst konzeptioniert werden. Nur wenn die Zutritte geregelt und kontrolliert stattfinden, sind umfassende Sicherheitsmaßnahmen wirklich sinnvoll und können auch greifen. Grundsätzlich sollten Zutritte nachvollziehbar sein und es muss sichergestellt werden, dass ausschließlich berechtigte Personen Zutritt erhalten.

ITM: Bitte geben Sie eine Einschätzung: Inwieweit sind die Zugangskontrollen zum Rechenzentrum in mittelständischen Betrieben heutzutage ausreichend?
Neubauer: Nach unseren Erfahrungen sind ein durchgängiges Sicherheitskonzept sowie ein Sicherheitszonenmodell mit entsprechenden physikalischen und organisatorischen Maßnahmen im Mittelstand eher die Ausnahme. Viele IT-Leiter wissen beispielsweise nicht, dass das Bundesdatenschutzgesetz im Bereich der Zugangskontrollen klare Richtlinien vorgibt. Oftmals finden wir auch heute noch eine Standardtür mit Schlüsselschloss vor, die weder Brand-, Rauchgas- noch biometrischen Zugangsschutz bietet.

ITM: Welche Sicherheits- und Authentifizierungslösungen bieten heutzutage den höchsten Schutz?
Wilkens: Das sicherste Verfahren ist immer das Zusammenspiel von menschlicher und technischer Zugangskontrolle. Die Zutrittskontrolle mit einem Wissens- sowie einem physikalischen Merkmal sollte Standard sein. In Kombination mit einer Videoüberwachung von einer entfernten Stelle, welche die Zutrittskontrolle nach visueller Prüfung der Berechtigten und der Zutrittssituation freischaltet, ist eine sehr sichere Methode.