Kentix-Fachtagung über den physischen Schutz von Datacenter Deutsche Rechenzentren sind keine Trutzburgen, sondern Gruselkabinette

Anbieter zum Thema

Janitza electronics GmbH

Kentix GmbH

Janitza electronics GmbH

Viavi Solutions Deutschland GmbH

TÜV Nord AG

mehr weniger

Rosenberger-OSI GmbH & Co. OHG

AixpertSoft GmbH

FNT GmbH

weniger

Viel wird über den Schutz von Rechenzentren und Unternehmens-IT vor Cyber-Angriffen geredet. Dass die physische Sicherheit genauso wichtig ist, übersieht auch die Fachwelt häufig. Doch das wird sich durch neue Gesetze zwangsläufig ändern. Kentix, ein Anbieter von Lösungen für physische Sicherheit, informierte einen ganzen Tag darüber.

Mit dem Thema „Phsyische Rechenzentrumssicherheit“ befasste sich eine Vortragsveranstaltung mit angeschlossener Ausstellung von Kentix. Das mittelständische Unternehmen aus Idar-Oberstein bietet Sicherheitsequipment unter anderem für Rechenzentren an.

EIn Highlight war der Vortrag von Michael Wiesner, der seit zehn Jahren physische Penetrationstests bei Rechenzentren durchführt. Er versucht also – natürlich im Auftrag der geprüften Institutionen und nach Absprache mit der lokalen Polizei – physisch in Rechenzentren und ähnliche Einrichtungen vorzudringen. Dann verschafft er sich durch Eindringen in die digitalen Netze eine Administratoren-Rolle.

Hundertprozentig undicht

Was Wiesner berichtete, ließ wahrscheinlich so manchem der gut 60 Gäste geschockt zurück: „Bei 100 solchen Tests ist es mir beim ersten Test immer gelungen, Administrator-Rechte zu erhalten.“ Während also auf der digitalen Seite immer komplexere Technologien ausgetüftelt werden, scheinen viele Betreiber auf der physischen Seite der Sicherheit nicht einmal banalste Regeln zu berücksichtigen.

Die Wege ins Rechenzentrum sind vielfältig, aber keinesfalls überkomplex: eine ansprechende Verkleidung, etwa als Handwerker, kombiniert mit einem überzeugenden Auftritt, ein gefakter Werksausweis reichen oft, um ins Allerheiligste vorgelassen zu werden. Tore und Türen werden falsch montiert oder gleich ganz aufgelassen, etwa an Rauchereingängen. Billige und daher unsichere Schließsysteme finden sich zuhauf. Sicherheitskameras montieren die Unternehmen so, dass sie große tote Winkel ohne Überwachung lassen.

Social Engineering und günstig erhältliches Werkzeug

Für viele Türen gibt es leicht identifizierbare Generalschlüssel, die Wiesner stets in einem Schlüsselbund mit sich führt, zum Beispiel für die multifunktionalen Verteilerkästen am Straßenrand. Vergleichsweise einfache, günstig erhältliche Werkzeuge öffnen weitere Schlösser.Tokens, die veraltete Algorithmen nutzen, lassen sich manipulieren genau wie RFID-Karten mit einem günstigen Leser auslesen. Und so weiter.

Um für diese Gefahren zu sensibilisieren und um gleichzeitig Lösungen zu zeigen, beteiligten sich E-Tec, TÜV Süd, Janitza, die NTT-Tochterfirma E-Shelter Security und Viavi als Partner an der Kentix-Veranstaltung. Durchs Programm führte die renommierte Datacenter-Consulting-Frau Monika Graß (Graß Consulting).

KRITIS-Dach soll Ordnung schaffen

Wie ernst Datacenter-Betreiber in Zukunft die physische Sicherheit nehmen müssen, belegte der Vortrag von Holger Berens, Vorstandsvorsitzender des Bundesverbandes für den Schutz Kritischer Infrastrukturen e.V. (BSKI), einer Vereinigung einschlägiger Consulter, Integratoren und Anbieter. Denn Deutschland muss mehrere EU-Verordnungen zum Thema Sicherheit umsetzen: NIS 2.0 (IT-Sicherheit) wird zum BSI-Gesetz 3.0. Die RCE-Verordnung findet sich im KRITIS-Dach-Gesetz, der nunmehr dritten Variante der KRITIS-Norm zum Schutz kritischer Infrastrukturen.

Risiko-Management physischer Faktoren

Mit den neuen KRITIS-Bestimmungen sollen nicht nur bundesweite, sondern auch regionale Krisensituationen möglichst verhindert werden. Die Größe der Unternehmen, die für KRITIS-Regulierung in Frage kommen, wurde nach unten verschoben: 50 Mitarbeiter reichen bereits aus.

Betroffene Unternehmen müssen ein Risiko-Management implementieren, das auch physische Risikofaktoren wie Wetter und physische Angriffe einschließt und entsprechende Gegenmaßnahmen umfasst. Ziel ist es, die jeweilige Ressource möglichst ausfallsicher zu machen.

Harte Strafen wie bei der DSGVO

Während die Strafen bei Nichteinhaltung der Bestimmungen, verglichen mit dem Datenschutz, bisher bei BSI-Gesetz und KRITIS eher lasch waren, werden sie nun an die vom Datenschutz gewohnten Größenordnungen angeglichen. Und die sind bekanntlich beträchtlich.

Möglich werden neben Geldstrafen gegen das Unternehmen Ermahnungen und, falls Mängel nicht behoben werden, die teilweise oder vollständige Entziehung der Betriebserlaubnis und von Zertifizierungen. Außerdem sind die zuständigen Manager persönlich dafür haftbar, dass nötige Maßnahmen geplant und durchgeführt werden.

Zudem soll in Zukunft das Bundesamt für Bevölkerungs- und Katastrophenschutz (BBK) analog dem BSI über entsprechende Störungen der physischen Sicherheit informiert werden. Joachim Faulhaber,stellvertretender Bereichsleiter IT Infrastructure bei TÜV IT, TÜV Nord Group : „Die Sicherung von kritischen Infrastrukturen bedarf insbesondere der ausgewogenen Anwendung von Präventions-, Detektions- und Interventionsmaßnahmen. Bei KRITIS-Dach geht es um Mindestvorgaben zur Resilienz des Gesamtsystems und ein entsprechendes Meldewesen. “

Mehr Branchen und kleinere Firmen betroffen

Neu ist, dass wesentlich mehr Branchen hohe Sicherheitsanforderungen erfüllen müssen, beispielsweise Abfall- und Abwasserwirtschaft, Hersteller kritischer Produkte und Zulieferprodukte, Post- und Kurierdienste, Anbieter öffentlich zugänglicher elektronischer Dienste, vulgo: Cloud-Provider, und die öffentliche Verwaltung.

Sämtliche Krankenhäuser gelten seit 1.1.23 ohnehin wegen datenschutzrechtlicher Bestimmungen als kritische Infrastruktur. Kurz: Die Zahl der betroffenen Firmen dürfte sich von bislang 1.500 bis 1.800 auf 50.000 bis 60.000 erhöhen, so Berens.

Lösungen für mehr physische Sicherheit

Inzwischen gibt es viele Produkte, die gleichzeitig mehr physische Sicherheit und Personaleinsparungen versprechen. Ein Beispiel dafür ist die digitale Zugangstechnik, die E-Shelter Security für Rechenzentren auf der Veranstaltung vorstellte. Sie soll bisherige aufwändige und unsichere Verfahren ersetzen.

Besucher melden sich über eine Webseite an und erhalten einen QR-Code. Diesen QR-Code zeigen sie an einem automatisierten Zugangssystem am Eingang des Rechenzentrums einem Kombi-Gerät, das äußerlich McDonald-Bestellkiosken ähnelt, vor. Es scannt anschließend den Personalausweis. Das Gerät vergleicht nun das gescannte Foto auf dem Ausweis per Gesichtsscanner mit dem Gesicht der Person vor dem Gerät. Stimmt beides überein, wird der Eingang freigeschaltet. Daten der Besucher müssen dafür nicht gespeichert werden.

Multisensor erfasst physische Risiken

Kentix selbst bietet Sensoren und anderes Equipment für nahezu alle Bereiche der physischen Sicherheit an, von der Strommessung bis zum Türschließsystem oder der Fenstersicherung. Beliebt ist etwa ein „Multisensor“, der bis zu 20 physische Sicherheitsrisiken erfassen kann. Darunter sind auch die Ausdünstungen, die überhitzte Kabelummantelungen erzeugen - Frühindikatoren für Risikostellen, an denen Brände entstehen können. Ein Multisensor (siehe: Abbildung) reicht für 25 Quadratmeter Rechenzentrumsfläche. Die zentrale digitale Monitoring-Software „Kentix One“ bringt Messergebnisse und damit physische Bedrohungsvektoren auf den Bildschirm.

Stromverteilschienen (Power Distribution Units, PDUs) können mit integriertem Multisensor einschließlich Strommessung geliefert werden und ermöglichen so die Überwachung auf Einzel-Rack-Ebene – auch in redundanter Auslegung mit Anbindung an zwei unterschiedliche Stromzuführungen.

Teilmodularisierte Strommessung

Janitza befasst sich vor allem mit der Strommessung im Rechenzentrum. Dafür bietet der Hersteller ein teilmodularisiertes System an, das für diverse Messvorgänge Module vorhält. Displays sollen sich in der Regel aber weiter in der Nähe der Messstelle befinden. „Viele Kunden wollen, dass sie im Notfall direkt am Ort des Zwischenfalls Messwerte ablesen können“, erläutert Gerald Fritzen, Business Development Manager Rechenzentren.

Alles für Netzmessungen auch in Drahtlos- und Glasfasernetzen offieriert Vivai. Gerade Glasfasermesstechnik könnte in Rechenzentren zum Beispiel durch NVMe-oF in Zukunft sehr viel wichtiger werden.

Kurz: Produkte und Lösungen für die physische Sicherheit gibt es reichlich. Man muss sie nur implementieren. Zudem ist wohl schlicht mehr Bewusstsein für den physischen Schutz der Datacenter-Ressourcen nötig. Er muss mit Investitionen und Schulungen unterfüttert werden – vom Pförtner bis zur obersten Chefetage der Betreiberfirma.

(ID:49264394)