Zwei Paar Schuhe : Zusammenspiel von IT- und physischer Sicherheit in Rechenzentren

Von Jens Cyganek, München

Sicherheit für Rechenzentren bedeutet einerseits, die beherbergten Server vor Malware, Ransomware, Denial-of-Service-Attacken (DoS) und unbefugtem Zugriff zu schützen. Andererseits können Feuer, Überschwemmungen, Erdbeben, Stromausfälle oder schlicht Einbrecher ebenfalls erheblichen Schaden anrichten – Sicherheit bedeutet, auch dagegen vorzusorgen. Allerdings fallen diese Aufgabenbereiche traditionell sehr unterschiedlichen Experten zu, die sehr unterschiedliche Begrifflichkeiten verwenden, verschiedene Prioritäten setzen und in ganz verschiedenen Dimensionen planen.

Verantwortliche für IT-Sicherheit sind gewohnt, trotz langfristiger Planungen in kurzen Zeiträumen zu denken, flexibel zu reagieren und mit Sicherheitslücken und Schwachstellen zu „jonglieren“ – also Risiken abzuwägen und durch eine Kombination geeigneter Maßnahmen gegebenenfalls einzugreifen. Gebäudetechniker müssen dagegen doppelte und dreifache Sicherheitsvorkehrungen bereits in der Planung berücksichtigen und denken eher in Jahren als Tagen.

Eine Brandmelde- und Brandschutzanlage zum Beispiel kann nicht erst bei der Entstehung eines Feuers in Betrieb genommen werden, sondern muss lange vorher geplant, installiert und regelmäßig auf Funktionsfähigkeit überprüft werden, damit sie im Notfall bereitsteht und zuverlässig arbeitet. Ebenso verhält es sich mit der Stromversorgung: Hat man nicht schon bei der Planung des Rechenzentrums (RZ) eine entsprechend dimensionierte USV-Anlage, ein Notstromaggregat und eine zweite, unabhängige Stromzuführung bereitgestellt, ist es im Ernstfall sehr schwierig, das nachzuholen.

Normen – Fluch & Segen

Vor 10 oder 15 Jahren war es um die physische Sicherheit von Rechenzentren häufig noch sehr mangelhaft bestellt. Inzwischen hat sich diesbezüglich viel getan, auch aufgrund verschärfter, ergänzter oder gänzlich neuer Normen. Dennoch widmen viele Entscheider diesem Bereich noch immer nicht die notwendige Aufmerksamkeit – das ist jedoch nachvollziehbar: Nutzen stiften im RZ vor allem Server, Storage und Netzwerk. Sie möchte man daher haben. Da ist schon die informationstechnische Absicherung eine lästige Pflichtaufgabe – für die physische Sicherheit des Gebäudes gilt das doppelt. Entscheidend ist im Begriffspaar „lästige Pflichtaufgabe“ aber alleine das Wort „Pflicht“.

Eigentlich besteht die Aufgabe der Absicherung eines Rechenzentrums aus drei Aufgabenfeldern: der physischen Sicherheit, der Versorgungssicherheit und schließlich der informationstechnischen Sicherheit. Und diese drei Aufgaben lassen sich bei einer Sicherheitsbetrachtung nicht klar voneinander abgrenzen: So verfügt man beispielsweise zum Regeln und Messen in der Gebäudeleittechnik über ein eigenes Netzwerk, das auch Steuerungsentscheidungen auslöst. Ein unbefugter Zugriff auf dieses Netzwerk ist mindestens ebenso gefährlich, wie ein unbefugter Zugriff auf einzelne Server im Rechenzentrum, könnte doch damit der Betrieb erheblich gestört oder sogar komplett unterbrochen werden.

Kommunikation – Schlüssel zum Erfolg

Dennoch wird die Gebäudeleittechnik in vielen Rechenzentrumsprojekten stiefmütterlich behandelt: RZ-Planer legen wenig Wert darauf. Fähige Leute dafür gibt es genug, die werden aber oft nicht gefragt. Die Zuständigen sollten jedoch früh und regelmäßig miteinander sprechen – denn zu spät getroffene Entscheidungen zur physischen Sicherheit können Baumaßnahmen erheblich verzögern oder umständliche nachträgliche Eingriffe notwendig machen.

„Aus unserer Erfahrung wird zu oft Zeit und Geld verschwendet, weil die Detailplanung fehlerhaft oder viel zu spät durchgeführt wird. Für ein optimales Ergebnis ist es meiner Meinung nach wichtig, den Fokus auf gut spezialisierte Fachplaner zu setzen“, bestätigt Tobias Schmid, im Bayerischen Verband für Sicherheit in der Wirtschaft e. V. (BVSW) Vorstand für die Sparte der Hersteller und Errichter von Sicherheitssystemen und Geschäftsführer der Schmid Alarm GmbH. „Neben der Kompetenz, die spezialisierte Fachplaner einbringen, stellen sie auch die optimale Kommunikation zum Kunden sicher und binden ausführende Unternehmen frühzeitig ein“, berichtet Schmid aus seiner Praxis. Erfahrungen diesbezüglich gibt es im BVSW reichlich, denn der Verband unterstützt die bayerische Wirtschaft in allen Sicherheitsfragen mit dem Ziel, Schaden abzuwenden oder unvermeidbare Schäden einzugrenzen.

Von alleine geht das aber meist nicht. Sebastian von Bomhard, Vorstand bei der SpaceNet AG, sieht daher das Management in der Verantwortung: Es müsse die einzelnen Bereiche definieren, die Verantwortung dafür zuordnen und das gemeinsame Ziel allen Beteiligten jederzeit klar vor Augen halten: „Die Sicherheit der Daten spielt beim Bau des Rechenzentrums zunächst gar keine Rolle. Da geht es vor allem um die Stromzuführung, die Kühlung, die Zutrittskontrolle und andere Aspekte der physischen Sicherheit. Die informationstechnische Sicherheit kommt erst später“, berichtet von Bomhard, der dies erst kürzlich beim Neubau des dritten Rechenzentrums seines Unternehmens durchexerziert hat.

Klare Trennung

SpaceNet hat sogar eine neue Gesellschaft gegründet, um den Bau des Rechenzentrums und den Betrieb des Gebäudes vom späteren Betrieb der IT-Infrastruktur zu trennen. Denn physische Sicherheit und IT-Sicherheit sind beide wichtig – das eine hat ohne das andere keinen Sinn. Dennoch ist es sinnvoll, sie zu trennen! Denn dadurch kommen sich die einzelnen Gewerke nicht in die Quere. Sie zwanghaft unter einem Dach betreiben zu wollen, würde nur Reibungspunkte schaffen. Bei der strikten Trennung beider Bereiche ist es allerdings wichtig, dass sich jede Seite sicher ist, dass die jeweils andere Seite ihre Aufgaben zuverlässig und professionell erledigen wird.

Ein übergreifendes Kontrollsystem zu installieren und sowohl physische Sicherheit als auch Informationssicherheit in einer gemeinsamen Monitoring-Konsole zu erfassen und von dort aus Einsätze zu steuern, klingt zunächst verlockend. Bei näherer Betrachtung erweist sich dieser Ansatz jedoch als praxisfern: Aufgrund der zunehmenden Komplexität einzelner Bausteine geht der Trend eher dazu, Teams zu bilden, die sich um einzelne Aspekte kümmern.

„Der Techniker, der nachts im Kontrollraum sitzt und ausrückt, wenn die rote Lampe leuchtet, um je nach Alarmfall den Einbrecher am Zaun abzufangen oder die filigrane Attacke auf die Netzwerkverbindung abzuwehren, ist ohnehin ein Bild, das nie der Praxis gerecht wurde“, berichtet von Bomhard aus seiner Erfahrung. Heute herrsche hochgradige Arbeitsteilung und wichtig sei nur, dass jeweils alle betroffenen Stellen informiert sind. Das sieht auch BVSW-Vorstand Schmid so: „Ich stimme Herrn von Bomhard hier absolut zu. Im optimalen Fall ergänzen sich gut funktionierende Schnittstellen beider Bereiche und bilden dadurch ein ganzheitliches Sicherheitskonzept.“

Gesamtübersicht fürs Management

Gewünscht und sinnvoll sei eine Gesamtübersicht lediglich in Dashboards für das Management: Hier lassen sich die dafür erforderlichen Daten aber heute problemlos auch aus mehreren Quellen zusammenführen. SpaceNet selbst nutzt dazu zum Beispiel das aus der Open-Source-Welt kommende Tool Prometheus (https://prometheus.io): Es ist modular aufgebaut, bietet eine breite Palette an Schnittstellen und gewinnt, aus der Welt der Hyperscaler kommend, immer mehr Nutzer im Bereich großer Rechenzentren – sicher nicht zuletzt, weil hier auch Sensordaten aus dem Bereich der Gebäudetechnik einfließen können. Ein solches Vorgehen kann bei entsprechend geschulten Experten auch im laufenden Betrieb neue Erkenntnismöglichkeiten bieten, etwa indem sich die Ausfallrate von Prozessoren mit Temperaturschwankungen im Rechenzentrum einfach in Beziehung setzen lässt.

Bei der IT-Sicherheit hängen die Möglichkeiten immer davon ab, welche Art von Daten und Anwendungen gesichert werden. Beim Hosting ist zusätzlich noch wichtig, welche Anforderungen Kunden zum Beispiel aufgrund ihrer Branche stellen. Doch auch beim Betrieb eines eigenen Rechenzentrums gilt es, die Anforderungen der jeweiligen Abteilungen zu erfüllen: Während zum Beispiel Marketing oder Vertrieb ihren Kunden Dokumente zur Verfügung stellen wollen, muss man bei der Entwicklungsabteilung streng darauf achten, dass Dokumente das Rechenzentrum unter keinen Umständen verlassen.

Bei der physischen Sicherheit ist der Spielraum wesentlich enger: An dieser Stelle dem „Stand der Technik“ zu genügen, kann zum Beispiel bei Audits, in Gesprächen über die Kreditwürdigkeit mit Banken oder auch über die Vertrauenswürdigkeit mit wichtigen Geschäftspartnern relevant sein. Ob sauber gearbeitet wurde, wird dann daran gemessen, ob alle von der Gegenseite als wichtig erachteten Normen erfüllt wurden.

Umfassende Anforderungen

Und diese Liste kann lang sein und von der in Bezug auf Brandschutz und Schutz gegen Einbruchdiebstahl relevanten VdS 2334 für das Mauerwerk und die DIN-Normenreihe EN 1627-1630 für Türen, Fenster und Gitterelemente, die VdS 2007 für wassergefährdete Gebäudeabschnitte, DIN EN 62305 (Blitzschutz) sowie DIN 18095 (Brand- und Rauchschutz), DIN 4102 (Brandabschnitte) und DIN EN 54 (Brandmeldeanlagen, Brandfrühesterkennung, Brandmeldesensorik) über Normen, die den Einsatz von Gaslöschanlagen, Zugangskontrollsystemen, Einbruchsmeldeanlagen regeln, bis hin zu solchen gehen, welche die Verwendung von Notstrom und Überspannungsschutz behandeln.

Speziell für Rechenzentren ist zudem die jeweils neue Revision der DIN EN 50600 relevant, die zudem zwischen vier Verfügbarkeitsklassen unterscheidet: DIN 50600 VK3 (Verfügbarkeitsklasse 3) verlangt zum Beispiel lediglich Redundanz im Normalbetrieb – für eine Zertifizierung nach DIN EN 50600 VK4 muss dagegen auch im Wartungsfall Redundanz gegeben sein. Wollen Firmen das in eigenen Räumlichkeiten und mit eigenen IT-Komponenten erreichen, sind erhebliche Investitionen erforderlich. „Teilweise wird bei den Normen schon weit ausgeholt. Dennoch ist es letztlich sinnvoller, die Norm zu erfüllen, als darüber zu jammern, wie weitreichend die Vorgaben sind“, fasst von Bomhard zusammen.

Zusätzlich gibt BVSW-Vorstand Schmid zu bedenken: „Neben der langen Liste an Normen sind auch individuelle organisatorische Themen zu berücksichtigen. Leider erleben wir immer wieder, dass RZ-Sicherungen sehr allgemein ausgeschrieben werden. Ein schlüssiges Konzept der gesamten physischen Sicherung unter Berücksichtigung von individuellen Kundenanforderungen, vor Ort befindlichen Ressourcen oder der örtlichen Gegebenheiten (Interventionszeiten) ist eher die Ausnahme.“

Deshalb ist eine Risikoanalyse vorab besonders wichtig. Dabei gilt es zu klären, mit welchen Risiken am gewählten Standort „gelebt werden“ muss. Je nach Risikobewertung sollte man dann den Schutz passend ausgestalten – und der fängt schon beim Zaun um das Gelände an: Wer sich an dieser Stelle in die Normen vertieft, wird womöglich erstaunt sein, wie tief das Fundament sein muss, um einem Zaun die notwendige Stabilität zu verleihen, damit er auch das unbefugte Eindringen eines Lkw verhindern kann.

Fazit

Der Begriff „Sicherheit“ umfasst bei einem Rechenzentrum sowohl die physische als auch Versorgungs- (also die unterbrechungsfreie Anbindung an Strom- und Datennetze) sowie IT-Sicherheit. Alle Aspekte von einer Stelle heraus zu verwalten, scheint ein logischer Schritt – schließlich geht es jedes Mal um Sicherheit. Aus den Erfahrungen in der Praxis heraus ist eine gemeinsame Verwaltung jedoch nicht zielführend, da die gemeinsam abzudeckenden Teilbereiche gering sind. Besser ist es, zwischen den Abteilungen hervorragende Kommunikationsprozesse und Schnittstellen einzurichten. Das hilft dann auch, wenn man sich künftig gegen den Bau eines eigenen Rechenzentrums entscheidet und externes Hosting nutzen will. Dann sind Abstimmungsprozesse essenziell für die effektive Fehlerbehebung und die erfolgreiche Erweiterung und Veränderung der genutzten IT-Systeme. Ob die beim Dienstleister in einem sicheren Gebäude untergebracht sind, lässt sich dann durch entsprechende Zertifizierungen klären – anspruchsvolle Kunden bestehen hierbei auf der EN 50600 VK4.

Jens Cyganek ist administrativer Projektleiter bei der SpaceNet AG.