Sicherheit für das Rechenzentrum

ITM: Herr Hanstein, warum sollten mittelständische Unternehmen Zertifizierungen für ihre Rechenzentren vornehmen lassen? Welche Vorteile können sie sich davon versprechen bzw. wofür lohnt sich der Aufwand überhaupt?
Bernd Hanstein: Ein mittelständischer Unternehmer will sich auf sein Kerngeschäft konzentrieren und dazu muss sein Rechenzentrum einwandfrei und sicher funktionieren. Es hilft ihm, wenn ein externer Spezialist das Rechenzentrum genau anschaut und Schwachstellen in den Blick nimmt. Der Unternehmer bekommt damit die Chance, Nachbesserungen vorzunehmen und so die Zertifizierung zu erlangen oder im Fall von Re-Zertifizierungen zu behalten. Wer sein Rechenzentrum zertifizieren lässt, gewinnt ein Plus an Sicherheit – zum einen, um es intern zu belegen und zum anderen um es nach außen zu vertreten.
Bevor er aber die Zertifizierung konkret angeht, muss die Frage beantwortet sein, was mit der Zertifizierung überhaupt erreicht werden soll. Für einen Co-Location-Anbieter etwa ist es ein Wettbewerbsvorteil, Zertifikate aufweisen zu können. Handelt es sich jedoch um ein kleines Rechenzentrum, das nur vom Unternehmen selbst genutzt wird und das aus einem einzigen Schrank besteht, ist eine Zertifizierung nicht erforderlich, zieht aber gegebenenfalls eine niedrigere Versicherungsprämie nach sich.

ITM: Für welche RZ-Bereiche bzw. -Gewerke sollte auf jeden Fall eine Zertifizierung erfolgen? Welche Bereiche können eher vernachlässigt werden?
Hanstein: Das hängt individuell vom Rechenzentrum ab und ist eine Frage der Verfügbarkeit. Ein Rechenzentrum, das hochsensible Anwendungen und Daten verarbeitet, hat dementsprechend hohe Sicherheitsansprüche. Nutzt etwa ein Unternehmen das Rechenzentrum ausschließlich für eigene Zwecke und hostet keine externen Daten, ist eine Zertifizierung nicht zwingend notwendig – unabhängig von den Gewerken. Hier gibt es andere Möglichkeiten, Sicherheit zu erlangen, beispielsweise die Verwendung von bereits zertifizierten Komponenten. Anders sieht es bei Rechenzentren aus, die ihre Fläche vermieten und für Server ihrer Kunden bereitstellen, Stichwort Co-Locating. Zertifizierungen sind ein klarer Wettbewerbsvorteil gegenüber anderen Anbietern, die keine Zertifizierungen vorweisen können.

ITM: TÜV, Eco, Blauer Engel, etc. – RZ-Zertifizierungen gibt es viele. Welche sind in Ihren Augen für Mittelständler am sinnvollsten?
Hanstein: Wir empfehlen Zertifizierungen, die das ganze System betrachten. Dazu zählen neben physischer Sicherheit auch Aspekte wie Energieeffizienz, Service, Wartung und dergleichen mehr.

ITM: Mit welchem Aufwand sind solche RZ-Zertifizierungen verbunden?
Hanstein: Das ist sehr unterschiedlich, sodass wir hier keine valide Aussage machen können. Grundsätzlich ist eine gute Vorbereitung des Zertifizierungsprozesses unerlässlich. Das Unternehmen muss vorher um die Aspekte wissen, die im Fokus einer Zertifizierung stehen. Weiterhin ist eine Kosten-Nutzen-Analyse im Vorfeld unbedingt empfehlenswert, um zu verhindern, dass unnötig Zeit und Geld investiert werden.

ITM: Jenseits von Netzangriffen und Cyberattacken: Inwiefern können die RZ-Gebäude oder Serverräume selbst Ziel von äußeren Angriffen werden?
Hanstein: Die Bandbreite von Gefährdungen für ein Rechenzentrum ist groß: Sie reicht von Feuer über Wassereinbruch und Ausfall der Kühlung über unbefugten Zutritt bis hin zur Kontamination durch Löschschäume oder Staub und Rauch. Je nach geografischem Standort besteht möglicherweise auch ein erhöhtes Risiko für Erdbeben, Überflutung oder Steinschlag.

ITM: Wie können sich Mittelständler am besten vor solchen Vor-Ort-Angriffsversuchen schützen?
Hanstein: Es gilt, den Schutz vor Vor-Ort-Angriffsversuchen mit flexiblen Maßnahmen und in einem akzeptablen Kostenrahmen umzusetzen. Ein schlüssiges und sorgfältig umgesetztes Konzept zur Gefahrenabwehr für die physischen IT-Strukturen ist elementar. Ein Rechenzentrum muss dabei kein eigener Raum oder gar ein separates Gebäude sein: Für kleine Firmen bietet schon ein entsprechend geschützter 19“-Schrank genügend Platz für die Server, Switches und Speichersysteme. Egal ob klein oder groß: Schutz brauchen alle.

Bei allen Maßnahmen gilt jedoch: Wer den hundertprozentigen digitalen und physischen Schutz für sein Rechenzentrum per Garantie haben möchte, wird eine Enttäuschung erleben. Besser geht es dem, der sein Rechenzentrum von Beginn als komplex und mit vielen Schnittstellen begreift, das über viele Schnittstellen mit der Umwelt verbunden ist. Wer auf sich auf diese Weise aktiv mit den Bedrohungsfaktoren auseinandersetzt, hat bereits das passende Werkzeug in der Hand. Er kann mit Augenmaß und guter Beratung ein intelligentes Sicherheitspaket zusammenschnüren, das planerische, organisatorische und technische Maßnahmen beinhaltet. Der größtmögliche Schutz eines Rechenzentrums ist damit kein Ding der Unmöglichkeit, sondern realisierbar und immer nur einen Anbieter für IT-Infrastruktur weit entfernt.

ITM: Welchen Stellenwert besitzt in diesem Zusammenhang die physische Zutrittskontrolle?
Hanstein: Die Zutrittskontrolle ist einer der wichtigsten Aspekte für die Unversehrtheit des Rechenzentrums. Das bedeutet zunächst, dass nur die Personen Zugang haben dürfen, die dort eine legitime Aufgabe erfüllen. Neben entsprechend gesicherten Türen und Schlosssystemen gehört dazu auch eine klare, dokumentierte Aufgabenverteilung, die über Schlüssellisten oder Passwörter durchgesetzt wird. Dabei kommen – je nach Sicherheitsniveau – eine Vier-Augen-Kontrolle bei Tätigkeiten im RZ, die Protokollierung aller Zugangsversuche oder die Türüberwachung mit Kameras in Betracht. Werden die Bilder aller ein- und ausgehenden Personen nicht nur aufgenommen, sondern auch sorgfältig archiviert, ist auch die nachträgliche Kontrolle kein Problem.

ITM: Bitte geben Sie eine Schätzung ab: Inwieweit sind die Zugangskontrollen zum Rechenzentrum in mittelständischen Betrieben heutzutage ausreichend?
Hanstein: Jedes Unternehmen ist nach den Vorgaben vom Basel II verpflichtet, eine IT-Zugangskontrolle zu implementieren. Einen kleinen Grundschutz haben fast alle Unternehmen. Diese sind allerdings oft unzureichend. Beispiel: Wird ein einfaches Schloss eingesetzt, kann jeder, der einen Schlüssel dafür hat, jederzeit ins Rechenzentrum. Folglich fehlt die Dokumentation, wer genau zu welchem Zeitpunkt wann physisch Zugriff auf die Server hatte. Meist ist die manuelle Dokumentation zu aufwendig. Hier schaffen nur automatisierte, elektronische Lösungen Abhilfe: Zahlencodeschlösser und Transponderlösungen bei der Hauptzugangstür zum Rechenzentrum sowie an der Kaltgangeinhausung bis zum einzelnen IT-Rack. Das sind praktikable Lösungen, denn über eine personifizierte Dokumentation werden die Daten per SNMP an das zentrale Data Centre Infrastructure Management (DCIM) gegeben und archiviert. Auf diese Weise kann ein mittelständisches Unternehmen seiner Dokumentationspflicht effizient und sicher nachkommen, was bei einem Schadensfall sehr wichtig ist.

ITM: Welche Sicherheits- und Authentifizierungslösungen bieten heutzutage den höchsten Schutz?
Hanstein: Es beginnt bei einer soliden Tür. Ist das Rechenzentrum ein separater Raum, ist eine Zugangstür mit Widerstandsklasse 2 oder – bei höherem Schutzbedarf – Widerstandsklasse 3 zu empfehlen. Das hängt von den Anwendungen und Daten auf den Servern ab – ein Unternehmen, das mit hochsensiblen Kundendaten arbeitet und zu höchster Vertraulichkeit verpflichtet ist, hat beispielsweise einen sehr hohen Sicherheitsbedarf. Zusätzliche Sicherheitsmechanismen sind die bereits erwähnten Zahlencodeschlösser und Transponderlösungen. Wer dann noch mit dem vier Augen-Prinzip arbeitet, dass die beiden Sicherheitsmechanismen kombiniert – ein Mitarbeiter mit Zugangscode zum Schloss und ein anderer mit Transponder – ist als Mittelständler auf der sicheren Seite.