Rechenzentren als Hochsicherheitstrakt

In den Rechenzentren und Serverräumen liegen die Kronjuwelen mittelständischer Unternehmen, nämlich die meisten Anwendungssysteme inklusive geschäftskritischer wie sensibler Daten. Grund genug, um für einen ausreichenden Schutz dieser Einrichtungen zu sorgen. Doch in der Realität werden die beschriebenen Örtlichkeiten oftmals stiefmütterlich behandelt. „Vor allem die Gefahr durch Unbefugte, die sich Zugang zum Rechenzentrum oder zu Serverräumen verschaffen, wird häufig unterschätzt“, berichtet Stefan Lautenschläger, Head of Pre-Sales Strategic Infrastructure Solutions bei Fujitsu. Eine Einschätzung, die Frank Neubauer, Consultant bei RZ Products, bestätigt. Seiner Ansicht nach sind sowohl durchgängige Sicherheitskonzepte als auch Sicherheitszonenmodelle mit entsprechenden physikalischen und organisatorischen Maßnahmen im Mittelstand eher noch die Ausnahme. Diese Schluderei kann jedoch mitunter krasse Gesetzesverstöße nach sich ziehen, denn viele IT-Leiter wissen nicht, dass beispielsweise das Bundesdatenschutzgesetz im Bereich der Zugangskontrollen klare Richtlinien vorgibt. „Häufig finden wir heute noch eine Standardtür mit Schlüsselschloss vor, die weder Brand-, Rauchgas- noch biometrischen Zugangsschutz bietet“, beschreibt Neubauer die Situation vor Ort.

Einfach die RZ-Tür austauschen

Solche Szenarien zeigen den deutlichen Nachholbedarf an Schutzmaßnahmen im Mittelstand auf. Doch wie können die Verantwortlichen ihre Einrichtungen besser schützen? Als ein Paradebeispiel können die Sicherheitsmaßnahmen der Rechenzentrumsbetreibers Verne Global herhalten. Bei dem auf einer alten Nato-Basis in Island errichteten Data Center versuchte man, das Sicherheitsrisiko soweit wie möglich zu minimieren. „Bei uns beginnen physische Sicherheitsvorkehrungen am äußersten Rand der Anlage mit strikten Zutrittskontrollen, zahlreichen Sicherheitsschleusen sowie einem patrouillierenden Sicherheitsdienst“, berichtet CTO Tate Cantrell. Desweiteren sorgen ein Sicherheitszaun, gesicherte Eingangstore sowie die Videoüberwachung des direkten Umkreises für eine Abgrenzung nach außen, wie Cantrell ergänzt. Letztlich gilt dabei: Ohne schriftliche Genehmigung und ohne sich auszuweisen, kann niemand auch nur einen Schritt auf das Gelände setzen. Auf diese Weise will man potentiellen Eindringlingen oder Störungen bereits früh auf die Schliche kommen.

Sicherlich verfügt ein professioneller RZ-Anbieter über gänzlich anderes Budget und Know-how als ein Mittelständler, um sein Data Center in einen Hochsicherheitstrakt zu verwandeln. Dennoch können sich auch kleinere Firmen die eine oder andere Scheibe davon abschneiden und einfach umsetzbare Maßnahmen nachahmen. „Es gilt, den Schutz vor Vor-Ort-Angriffsversuchen mit flexiblen Maßnahmen und im akzeptablen Kostenrahmen umzusetzen. Denn ein schlüssiges und sorgfältig umgesetztes Konzept zur Gefahrenabwehr für die physischen IT-Strukturen ist elementar“, betont Bernd Hanstein, Hauptabteilungsleiter Produktmanagement IT bei Rittal in Herborn. Dabei rät Hanstein beispielsweise zur Installation einer soliden Tür: „Befindet sich das Rechenzentrum in einem separaten Raum, ist eine Zugangstür mit Widerstandsklasse 2 oder – bei höherem Schutzbedarf – Widerstandsklasse 3 zu empfehlen.“

Schutz vor elektromagnetischer Strahlung

Weiteres Gefahrenpotential sieht Frank Neubauer in Vor-Ort-Attacken, bei denen im Rechenzentrum vorgehaltene Daten mittels Electro Magnetic Pulses (EMP) von außen beschädigt oder gar zerstört werden. In diesem Zusammenhang könnten die im Rechnerraum nicht abgeschirmten Informationen gar einem Datendiebstahl zum Opfer fallen. „Insbesondere für Mittelständler, deren Existenzgrundlage nicht selten auf Patenten oder Konstruktions- und Entwicklungsdaten beruht, ist dies eine reale Bedrohung“, meint Neubauer. Solchen Einfallstoren will RZ Products mit „DCS-Data Center Shielding“ einen Riegel vorschieben. Die Lösung soll vor elektromagnetischer Strahlung schützen und könne sowohl in neuen als auch bestehenden Serverräumen integriert werden. Dabei wird eine Abschirmung von bis zu 120 dB gewährleistet. „Zum einen liegt diese Grenze oberhalb der vom BSI empfohlenen Richtwerte und zum anderen garantiert die Lösung Schirmdämpfungswerte von bis zu 40 GHz – dabei werden Vorgaben von Tempest, NSA und Nato erfüllt“, so Neubauer.

Den Stellenwert der Zutrittskontrolle unterstreicht einmal mehr Stefan Lautenschläger von Fujitsu. Ihm zufolge nimmt das Thema sowohl beim ISO-27001-Standard als auch beim IT-Grundschutzkatalog des Bundesamts für Sicherheit in der Informationstechnik (BSI) einen breiten Raum ein. Gemäß diesen Vorgaben müsse festgelegt werden, welche Zutrittsrechte an welche Personen im Rahmen ihrer Funktion vergeben werden. „Diese Informationen müssen zudem regelmäßig überprüft und aktualisiert werden“, ergänzt Lautenschläger und verweist außerdem auf die eigene kürzlich vorgestellte biometrische Authentifizierungslösung Palm Secure. Dabei bestätigt dieses System die Identität einer Person anhand des Musters ihrer Handflächenvenen, was laut Anbieter sicherer sein soll als der reine Fingerabdruck-Scan.

Schlüsselkarten und Kameraüberwachung

Wer die Investitionen für eine biometrische Authentifizierung scheut, kann den Zutritt ins Rechenzentrum oder den Serverraum mit anderen Mitteln absichern. So lohnt sich etwa der Einsatz von Schlüsselkarten in Kombination mit einer kontinuierlichen Überwachung der Räumlichkeiten via Kameras. „Zudem sollten kontinuierlich Log-Daten erfasst und ausgewertet werden“, ergänzt Stefan Lautenschläger. Hier sind Log-Management- sowie IT-Sicherheitslösungen erhältlich, die gezielt die Aktivitäten von IT-Anwendern mit privilegierten Zugangs- und Nutzerrechten protokollieren. Ein Punkt, dessen Wichtigkeit Bernd Hanstein unterstreicht: „Zugang zum Rechenzentrum dürfen nur die Personen haben, die dort legitime Aufgaben erfüllen. Neben entsprechend gesicherten Türen und Schlosssystemen gehört zum Schutz auch eine klare, dokumentierte Aufgabenverteilung, die über Schlüssellisten oder Passwörter umgesetzt wird.“ Bei Tätigkeiten im RZ kommen dabei – je nach Sicherheitsniveau – eine Vier-Augen-Kontrolle, die Protokollierung aller Zugangsversuche sowie die Türüberwachung mit Kameras in Betracht. „Werden die Bilder aller ein- und ausgehenden Personen nicht nur aufgenommen, sondern auch sorgfältig archiviert, ist auch die nachträgliche Kontrolle kein Problem“, betont Hanstein.

Wichtige RZ-Zertifizierungen

Um den Sicherheitsvorgaben von IT-Grundschutz oder des Bundesdatenschutzgesetzes zu entsprechen, können Mittelständler eine offizielle Zertifizierung ihres Rechenzentrums oder Serverraums vornehmen lassen. Über reine Security-Aspekte hinaus, lassen sich damit auch die Ausfallsicherheit oder Energieeffizienz der Einrichtungen nachweisen. Dabei gibt es laut Dr. Béla Waldhauser, Chief Executive Officer beim RZ-Servicespezialisten Telehouse Deutschland, vor allem zwei Motivationen für Mittelständler, ihre Rechenzentren zertifizieren zu lassen: „Zum einen ist jede Zertifizierung eine externe Kontrolle der vorhandenen Prozesse und Sicherungsinstrumentarium für Verfügbarkeit, Re-dundanz sowie Effizienzverbesserungen etc. Zum anderen fordern Anbieter – z.B. aus der Automobilindustrie oder dem Handel – immer häufiger Zertifizierungen von ihren Lieferanten, die teilweise auch deren Rechenzentren einschließen“, so Waldhauser.

Daneben führt Stefan Lautenschläger mit dem Hinweis auf Compliance-Regelungen wie Basel II, Basel III oder dem Sarbanes-Oxley Act (SOX) weitere Argumente für Zertifizierungen ins Feld. Denn diese fordern die Einhaltung von Vorgaben u.a. in Bezug auf die Verfügbarkeit der IT-Umgebung sowie den sicheren IT-Betrieb. „Banken und Versicherungen erwarten von ihren Kunden den Nachweis, dass solche Vorgaben eingehalten werden. Ansonsten muss ein Unternehmen mit höheren Kredit- oder Versicherungskosten rechnen oder erhält gar keinen Kredit“, berichtet Lautenschläger.

Prüfkriterien in Hülle und Fülle

Während auf internationaler Ebene vor allem ISO-Standards eine wichtige Rolle spielen, findet man hierzulande weitere RZ-Zertifizierungen in Hülle und Fülle. Zu den wichtigsten zählt wohl das TÜV-Siegel, das vornehmlich die Sicherheit und Leistungsfähigkeit eines Rechenzentrums bewertet. Eine ähnliche Ausrichtung besitzt das „Datacenter Star Audit (DCSA)“ des Internetverbands Eco. Auch dieses Gütesiegel will die Infrastruktur sowie die Leistungen von Rechenzentren objektiv prüfen und beurteilen. Beide Zertifikate berücksichtigen dabei auch die Energieeffizienz des RZ-Betriebs. Allerdings gibt es diesbezüglich mit dem „Blauen Engel“ ein Prüfsiegel, das ausschließlich den umweltfreundlichen und damit energiesparenden sowie ressourcenschonenden Betrieb eines Rechenzentrums in den Mittelpunkt rückt.

Welches Prüfsiegel wählen?

Doch auf welches Prüfsiegel sollten Mittelständler am besten setzen? Thomas Wawra, Geschäftsführer der DCE Academy, die sich u.a. auf Seminare und Zertifizierungen in den Bereichen Rechenzentrum und Gebäudeautomation spezialisiert hat, beschreibt einige Anhaltspunkte für das Auswahlverfahren: Unabhängigkeit, langjährige Projekterfahrung, veröffentlichte Prüfkriterien, Breite und Tiefe der berücksichtigten Kriterien, beständige Qualität der Prüfungen, fachliche Kompetenz der Auditoren sowie die Marktakzeptanz seien wesentlich für die Auswahl des Zertifizierers. Hinsichtlich der RZ-Verfügbarkeit entspricht seiner Ansicht nach die „Trusted Site Infrastructure“-Zertifizierung der TÜV Informationstechnik GmbH (TÜV IT) vor allem den genannten Kriterien.

Die Qual der Wahl

Generell ergibt die Zertifizierung eines Rechenzentrums aus Sicht von Béla Waldhauser nur dann einen Sinn, wenn alle Basisinfrastrukturen inkludiert sind. Dabei sollten laut Waldhauser die komplette Strom- und Klimainfrastruktur sowie der Brandschutz und die physikalische Sicherheit, nebst den Zugangsprozeduren, inbegriffen sein. Gleicher Meinung ist Thomas Wawra: „Da die verschiedenen Gewerke in einem Rechenzentrum miteinander vernetzt sind und in Abhängigkeit zueinander stehen, kann die Verfügbarkeit und Betriebssicherheit eines Rechenzentrums nur gewährleistet werden, wenn alle Gewerke reibungslos funktionieren“, so Wawra. Dabei dürften bei einer gewerke-übergreifenden Betrachtung keine Bereiche vernachlässigt werden. Neben den von Waldhauser erwähnten primären Gewerken sollten zudem die Baukonstruktion, Umgebungsrisiken, die Betriebsbedingungen sowie die Dokumentation bewertet werden.

In der Regel sind RZ-Zertifizierungen jedoch nicht im Schnelldurchgang machbar, sondern hängen von zahlreichen Faktoren ab. „Eine Zertifizierung nach ISO 27001 dauert beispielsweise im Schnitt zwischen sechs und 15 Monate, wenn im Rechenzentrum sensible und geschäftskritische Daten vorgehalten werden“, berichtet Andreas Sturm, Sales Director Central Europe bei Verne Global. Für eine Zertifizierung mit dem Blauen Engel benötigt man hingegen die Energiedaten eines ganzen Jahres. „Unternehmen, die aktuelle RZ-Monitoringtools nutzen, erhalten damit nach einmaliger Installation automatisiert alle relevanten Daten, so dass der Aufwand einer manuellen Datenpflege entfällt“, berichtet Marc Wilkens, Consult bei RZ Products. Zudem betont er hinsichtlich einer geplanten TÜV-Zertifizierung, dass deren Dauer stark von der Größe der zu betrachtenden Infrastruktur abhängt. „In der Regel ist der Auditor einen bis zwei Tage vor Ort. Dazu kommen noch Prüfungen der Verfahren, Prozesse, Dokumente, Nachweise und Aufzeichnungen“, so Wilkens.

RZ-Zertifizierung ist mit Aufwand verbunden

Dabei lässt sich der Dauer und Kosten folgendes ableiten: „Man kann feststellen, dass die Zertifizierung der Basisinfrastruktur eines Rechenzentrums weniger aufwendig ist, als eine Zertifizierung des kompletten Rechenzentrums unter Einbeziehung der IT- und TK-Hard- sowie Software inklusive der dazugehörigen Prozesse“, betont Béla Waldhauser. Eine Ansicht, mit der er nicht alleine steht. So bestätigt Stefan Lautenschläger einen gerade für mittelständische Unternehmen mitunter recht hohen Aufwand. Dies gelte vor allem für die Vorbereitungen und das Erstellen sowie Aktualisieren der entsprechenden Dokumentationen. So müsse das Unternehmen zunächst alle Aspekte überprüfen, die für die Zertifizierung relevant sind und diese gegebenenfalls anpassen. Dies kann laut Lautenschläger etliche Monate dauern, etwa dann, wenn firmeninterne Prozesse umgestellt werden müssen. Hinzu komme der Aufwand für das Aufrechterhalten sowie die Weiterentwicklung des internen Managementsystems. Demgegenüber würden die direkten Kosten für den Auditor einer Zertifizierungsstelle wie dem TÜV oder der Deutschen Gesellschaft zur Zertifizierung von Managementsystemen mbH (DQS) sowie die Antragsgebühren eher gering ausfallen.

Hinsichtlich der durchschnittlichen Projektdauer erklärt Volkmar Bend, Data-Center-Auditor bei TÜV IT: „Je nach Größe und Komplexität des Rechenzentrums sind normalerweise zwischen zwei bis vier Ingenieure mit entsprechender Qualifizierung aus unterschiedlichen Fachgewerken an einer RZ-Zertifizierung beteiligt, wobei der zeitliche Aufwand zwei bis drei Wochen betragen kann.“ Dabei müssen zum Zeitpunkt der Zertifizierung die kompletten Bestandsunterlagen vorliegen. Zudem benötigen die Auditoren der zertifizierenden Stelle einen Zutritt zum RZ, da Prüfungen stets vor Ort durchgeführt werden müssen. Und nicht zuletzt muss die Grundlage des Zertifikats laut Bend ein detaillierter, nachvollziehbarer Prüfbericht sein.

Re-Zertifizierung alle zwei Jahre

Bei allen Zertifizierungen handelt es sich nur um Momentaufnahmen, die die Qualität eines Data Center zu einem bestimmten Zeitpunkt beurteilen. „Da in heutigen Rechenzentren häufig Änderungen, insbesondere in der IT-Landschaft, vorgenommen werden, sollte als Maßnahme der Qualitätssicherung in regelmäßigen Abständen eine Re-Zertifizierung erfolgen“, betont Volkmar Bend. Wobei sich ein Zyklus von zwei Jahren als geeigneter Zeitraum herauskristallisiert hätte. In diesem Zusammenhang ergänzt Stefan Lautenschläger allerdings, dass „im Zeitraum zwischen diesen ‚großen‘ Audits jährlich meist sogenannte Überwachungs-Audits stattfinden“. So müsse etwa beim Blauen Engel einmal jährlich ein Energieeffizienzbericht erfolgen. „Werden dabei die Vorgaben der Vergabegrundlage noch immer erfüllt, dann darf der RZ-Betreiber das Umweltzeichen weiterhin verwenden. Allerdings werden die Kriterien spätestens alle drei bis fünf Jahre an den aktuellen Technikstand angepasst – wodurch eine gleichbleibend hohe Qualität der Zertifizierung sichergestellt wird“, betont Marc Wilkens.

Wann lohnt sich die RZ-Zertifizierung?
Anders als bei den Prüfaufklebern für Kraftfahrzeuge ist die Zertifizierung eines Rechenzentrums eine freiwillige Angelegenheit. Gute Gründe, die für eine Zertifizierung im Mittelstand sprechen, sind:

• unabhängige Prüfung und Bewertung, um einen internen Qualitätsnachweis führen zu können
• als Qualitätsnachweis gegenüber Dritter (z.B. für Versicherung oder Kunden)
• der Nachweis einer vertragsgerechten Umsetzung (beispielsweise bei Neu-installationen)
• zum Aufdecken von Schwachstellen (Qualitätskontrollen)
• Zertifizierung und Wiederholungsprüfungen (Qualitätssicherung)
• Aufzeigen von Optimierungsmöglichkeiten (Qualitätsverbesserung)
• bessere Positionierung gegenüber global agierenden Unternehmen und die damit verbundene Steigerung der Wettbewerbsfähigkeit

Quellen: Volkmar Bend, TÜV IT, und Thomas Wawra, DCE Academy

Bildquelle: © Thinkstock/iStockphoto