Umfassender Zutrittsschutz fürs das Data Center

ITM: Herr Lautenschläger, warum sollten mittelständische Unternehmen Zertifizierungen für ihre Rechenzentren vornehmen lassen? Welche Vorteile können sie sich davon versprechen bzw. wofür lohnt sich der Aufwand überhaupt?
Stefan Lautenschläger: Eine Zertifizierung ist vor allem aus drei Gründen erforderlich: So hängen mittlerweile fast alle geschäftskritischen Prozesse von der IT ab. Der Ausfall von wichtigen Systemen im Rechenzentrum kann somit unmittelbar die Geschäftstätigkeit eines Unternehmens beeinträchtigen und zu Umsatzverlusten führen. Außerdem erwarten immer mehr Kunden von ihren Geschäftspartnern, dass diese ihre Data Center zertifizieren lassen. Dies gilt beispielsweise für mittelständische Zulieferfirmen in Branchen wie der Automobilindustrie.

Ein dritter Faktor sind Compliance-Regelungen wie Basel II und III oder der Sarbanes-Oxley Act (SOX). Sie enthalten u.a. Vorgaben in Bezug auf die Verfügbarkeit der IT-Umgebung sowie den sicheren IT-Betrieb. Banken und Versicherungen erwarten von ihren Kunden den Nachweis, dass diese Vorgaben eingehalten werden. Ansonsten muss ein Unternehmen mit höheren Kredit- oder Versicherungskosten rechnen oder erhält gar keinen Kredit.

ITM: Für welche RZ-Bereiche bzw. -Gewerke sollte auf jeden Fall eine Zertifizierung erfolgen? Welche Bereiche können eher vernachlässigt werden?
Lautenschläger: Das ist immer vom Einzelfall abhängig, etwa in welcher Branche ein Unternehmen tätig ist. So ist beispielsweise für Unternehmen aus der Chemie-, Pharma- und Kosmetikbranche die Good Manufacturing Practice (GMP) wichtig. Dies sind Richtlinien, mit denen Firmen eine entsprechende Fertigungsqualität sicherstellen können. Für Banken und Versicherungen ist wiederum der 'Outsourcing-Paragraph' KWG §25a (Kreditwesengesetz) ein relevanter Aspekt, der eingehalten werden muss.

Insgesamt ist es sinnvoll, eine Zertifizierung für alle Bereiche vornehmen zu lassen, die in entsprechenden Regelwerken aufgeführt sind, etwa ISO 27001 oder dem IT-Grundschutzkatalog des BSI (Bundesamts für Sicherheit in der Informationstechnik). Für Unternehmen und Service-Provider, die Cloud-Computing-Dienste anbieten, ist kommen spezielle Zertifizierungen in Betracht, etwa Eurocloud Star Audit, SAS 70 Type II sowie die Cloud-Zertifizierung des BSI und des TÜV.

ITM: Mit welchem Aufwand sind solche RZ-Zertifizierungen verbunden?
Lautenschläger: Gerade für ein mittelständisches Unternehmen kann dieser sehr groß ausfallen. Das gilt vor allem für die Vorbereitungen und das Erstellen sowie Aktualisieren der entsprechenden Dokumentationen. So muss ein Unternehmen zunächst alle Aspekte überprüfen, die für die Zertifizierung relevant sind und diese gegebenenfalls anpassen. Dies kann etliche Monate dauern, etwa dann, wenn unternehmensinterne Prozesse umgestellt werden müssen.
Hinzu kommt der Aufwand für das Aufrechterhalten und die Weiterentwicklung des internen Managementsystems. Die direkten Kosten für den Auditor einer Zertifizierungsstelle wie des TÜV oder der Deutschen Gesellschaft zur Zertifizierung von Managementsystemen mbH (DQS) sowie die Antragsgebühren fallen im Vergleich dazu gering aus.

ITM: In welchen Zeitabständen sollte eine weitere Re-Zertifizierung erfolgen?
Lautenschläger: Die meisten Zertifizierungen müssen nach drei Jahren erneuert werden. Das geben die entsprechenden Zertifizierungsstellen vor. Im Zeitraum zwischen diesen 'großen' Audits finden jährlich meist so genannte Überwachungs-Audits statt. Zudem können weitere Überprüfungen stattfinden, beispielsweise durch Wirtschaftsprüfer von Kunden eines Rechenzentrumsbetreibers oder durch Interessenten.

ITM: Jenseits von Netzangriffen und Cyberattacken: Inwiefern können die RZ-Gebäude oder Serverräume selbst Ziel von äußeren Angriffen werden?
Lautenschläger: Die Gefahr durch Unbefugte, die sich Zugang zum Rechenzentrum oder zu Serverräumen verschaffen, wird häufig unterschätzt. Eine zentrale Zugangskontrolle ist unerlässlich, damit nicht Mitarbeiter oder gar Externe Zugang zu IT-Systemen und damit zu vertraulichen Daten erhalten. Eine solche Kontrolle ist nicht nur in großen Rechenzentren erforderlich, sondern auch in Unternehmen, die nur wenige Server und Speichersysteme in einem einzelnen Rack betreiben.
Der physische Schutz der IT-Systeme ist zudem nicht nur unter dem Gesichtspunkt Schutz vor unberechtigtem Zugriff wichtig. Er dient auch dazu, Unglücksfälle zu vermeiden, etwa durch einen Stromschlag oder einen Brand.

ITM: Wie können sich Mittelständler am besten vor solchen Vor-Ort-Angriffsversuchen schützen?
Lautenschläger: Durch einen umfassenden Zutrittsschutz, etwa mithilfe von Keycards, in Kombination mit einer kontinuierlichen Überwachung der Räume des Rechenzentrums. Das lässt sich mithilfe von Überwachungskameras bewerkstelligen. Außerdem sollten kontinuierlich Log-Daten erfasst und ausgewertet werden. Auf dem Markt sind Log-Management- und IT-Sicherheitslösungen erhältlich, die gezielt die Aktivitäten von IT-Anwendern mit privilegierten Zugangs- und Nutzerrechten protokollieren. Dazu gehören beispielsweise IT-Administratoren. Dadurch ist jederzeit transparent ist, welcher Mitarbeiter wann welche Aktionen vorgenommen hat. Diese Daten sind unter anderem für Audits wichtig.

ITM: Welchen Stellenwert besitzt in diesem Zusammenhang die physische Zutrittskontrolle?
Lautenschläger: Zu wissen, wer Zugang zum Data Center hat, ist essenziell. In der ISO 27001 und dem IT-Grundschutzkatalog des BSI nimmt das Thema Zutrittskontrolle daher breiten Raum ein. So muss festgelegt werden, welche Zutrittsrechte an welche Personen im Rahmen ihrer Funktion vergeben werden. Diese Informationen müssen zudem regelmäßig überprüft und aktualisiert werden.

ITM: Bitte geben Sie eine Schätzung: Inwieweit sind die Zugangskontrollen zum Rechenzentrum in mittelständischen Betrieben heutzutage ausreichend?
Lautenschläger: Das hängt stark vom jeweiligen Unternehmen ab. Nach unseren Erfahrungen ist die physische Absicherung der Rechenzentren, inklusive der Zutrittskontrolle, bei einigen Mittelständlern vorbildlich. Andere vernachlässigen diesen Aspekt in geradezu besorgniserregender Weise.

ITM: Welche Sicherheits- und Authentifizierungslösungen bieten heutzutage den höchsten Schutz?
Lautenschläger: Sicherheit besteht immer aus einer Vielzahl von Maßnahmen, die ineinander greifen. Daher ist die Kombination der Einzelmaßnahmen entscheiden. Es ist daher fahrlässig, viel Geld für Sicherheitslösungen wie Firewalls oder Intrusion-Prevention-Systeme auszugeben, wenn gleichzeitig die physische Zutrittskontrolle vernachlässigt wird. Bei der biometrischen Authentifizierung ist beispielsweise Palm Secure von Fujitsu derzeit das Nonplusultra. Dieses System bestätigt die Identität einer Person anhand des Musters ihrer Handflächenvenen.
Generell gilt, dass der kontinuierliche Aufwand den die Absicherung von IT-Infrastrukturen und Rechenzentren mit sich bringt, ab einer gewissen Schutzstufe ganz erheblich ist. Der Grund dafür ist, dass Sicherheitssysteme nur so stark sind wie ihr schwächstes Glied.

Daher ist das Thema Sicherheit auch einer der Hauptgründe, warum insbesondere mittelständische Unternehmen beim Betrieb ihrer unternehmenskritischen IT-Systeme zunehmend auf Outsourcing setzen. Fujitsu verzeichnet eine stetig wachsende Nachfrage nach IT-Services, die wir über unsere hochsicheren, vielfach zertifizierten Rechenzentren in Deutschland bereitstellen.