Tools, Techniken und Management RZ-Betrieb auf Nummer Sicher

Anbieter zum Thema

Janitza electronics GmbH

Rosenberger-OSI GmbH & Co. OHG

Fujitsu Technology Solutions GmbH

Die Sicherheit einer Datenhochburg ist nicht nur eine Frage der technischen Hilfsmittel. Denn das Alltagsgeschäft stellt das Management mit Sicherheit vor die eine oder andere Feuertaufe.

Teure Hardware, wertvolle Daten und das Image einer Schaltzentrale: Rechenzentren sind eine beliebte Zielscheibe von böswilligen Attacken. Eine Datenhochburg steht nonstop unter Beschuss von Hackern aus dem Cyberspace und muss zugleich noch in der physischen Realität aspirierenden Dieben, Vandalen und internationalen Terroristen standhalten.

Das traditionelle Bedrohungsprofil hat sich neuerdings um eine neue Kategorie potenzieller Angreifer erweitert: den deprimierten Post-Pandemie-Attentäter.

Schon bombenfest und einbruchsicher?

Amazons Entscheidung, die Ausübung von Allgemeinen Geschäftsbedingungen von AWS gegen das kontroverse soziale Netzwerk Parler im Frühjahr 2022 zu vollziehen, hat einem 28jährigen missfallen. Seinen Unmut darüber wollte er der Öffentlichkeit mit einem großen Knall kundtun.

Über einschlägige Internet-Foren fand der Täter Kontakt zu einem vermeintlichen Waffen-Dealer in Fort Worth, um Sprengstoff zu beschaffen. In der Realität war sein Gegenüber ein Undercover-Agent der FBI. Der 28-jährige habe den Kauf mit der Absicht begründet, ein Datenzentrum angreifen zu wollen, um mit dem Ausfall von „etwa 70 Prozent des Internets“ an dem Cloud-Anbieter ein Exempel zu statuieren.

Als der aspirierende Täter die „Ware“ in seinen Besitz nahm und in den Kofferraum legte, war die FBI zur Stelle. So konnte die Behörde im Frühling von 2022 einen Angriff auf ein AWS-Rechenzentrum in Ashburn im U.S.-Bundesstaat Virginia vereiteln.

Das war allerdings nicht der erste Vorfall seiner Art.

Im Jahr 2007 gab Scotland Yard bekannt, eine Gruppe mutmaßlicher Al-Qaida-Mitglieder verhaftet zu haben, um einen bevorstehenden Angriff auf ein Rechenzentrum von Telehouse Europe in den Londoner Docklands zu vereiteln. Die Verdächtigen sollen beabsichtigt haben, den Internetverkehr im Vereinigten Königreich zum Stillstand zu bringen. Der geplante Anschlag war offenbar von einer Reihe von spektakulären Raubüberfällen auf Rechenzentren in der britischen Metropole „inspiriert“.

In einem solchen Vorfall hat sich ein gut eingespieltes Team von Dieben als Polizisten verkleidet und betrat das Rechenzentrum von Verizon Business in London. Die Räuber fesselten das Sicherheitspersonal und stahlen Serverausrüstung im Wert von 4 Millionen Dollar.

Im selben Jahr auf der anderen Seite des Atlantiks raubten bewaffnete Diebe ein Rechenzentrum von CI Host in Chicago aus. Die Eindringlinge haben diesmal eine Außenwand durchbrochen. Als ein Mitarbeiter auf den Einbruch reagierte, wurden sie gegen ihn gewalttätig.

Nur wenige Jahre später gehören viele Rechenzentren zu den am besten geschützten Einrichtungen der Welt. Das völlige Redesign des Sicherheitskonzeptes der Branche war für viele Organisationen ein massives Unterfangen.

Die Standorte von Cloud-Rechenzentren sind heute mit mehreren Verteidigungsschichten ausgestattet. Sie werden rund um die Uhr von Videokameras, Sicherheitssoftware und -teams vor Ort überwacht. In vielen Fällen erscheinen sie nicht einmal auf Google Maps – eine Form von „Security by obscurity“, aber immerhin zielführend.

Mehrmandantenfähig abgesichert

Traditionelle Colocation-Anbieter sind versiert in allen Aspekten physischer Sicherheit. Diese Marktakteure haben ein tiefes Verständnis dafür entwickelt, was ein widerstandsfähiges Gebäude ausmacht und wie sich Zugangsbeschränkungen zu Kundenkäfigen und/oder Suites wirksam implementieren lassen.

Colo-Anbieter haben auch den Schutz der gemeinsam genutzten Elemente der physischen Infrastruktur gemeistert, einschließlich HVACs, PDUs, USV-Geräte und der übrigen Elemente der Stromverteilung. Darüber hinaus müssen sie auch jene IT-Anlagen schützen, auf denen ihre eigenen Finanzsysteme und Geschäftsanwendungen laufen, und auch noch ihre Lieferkette in den Griff bekommen.

Denn der Fortschritt bleibt ja nicht stehen und so ist das Sicherheitskonzept eines modernen Rechenzentrums ein bewegtes Ziel.

Die Einrichtungen werden immer intelligenter. Die Betriebstechnik verschmilzt zunehmend mit der Informationstechnik.

Inzwischen morphen viele Colo-Betreiber zu hybriden oder privaten Cloud-Anbietern. Im Zuge dieser Transformation ändern sich auch die Anforderungen an die Sicherheit. Wohl oder übel müssen auch Colos und ihre Kunden nach und nach Neuland betreten. Eine davon sind „hybride“ Verwundbarkeiten.

„Hybride“ Verwundbarkeiten

Herkömmliche Sicherheitslösungen können mit den Leistungs- und Skalierungsanforderungen der hybriden IT kaum Schritt halten. Wer in den Genuss hybrider Infrastrukturen kommen will, muss mit hohen Kosten für den Schutz einer solchen Umgebung mit herkömmlichen Sicherheitstools rechnen. Wer sich auf unzureichende Sicherheitsvorkehrungen einlässt, spielt mit dem Feuer.

Die Bedrohungslage hybridisierter IT-Umgebungen ist nicht zu unterschätzen. Diebstahl, Spionage und Sabotage verursachen der deutschen Wirtschaft jährlich einen Gesamtschaden von 223 Milliarden Euro, hat der Bundesverband Digitale Wirtschaft Bitkom im August 2021 vorgerechnet. Die Gesamtschäden durch kriminelle Angriffe hätten sich nach der Pandemie gegenüber den Jahren 2018-2019 mehr als verdoppelt. Neun von zehn Unternehmen (88 Prozent) sind aktuell betroffen. Das sind die Ergebnisse einer repräsentativen Studie unter mehr als 1.000 Unternehmen aller Branchen, die der Branchenverband Bitkom in Auftrag gegeben hat.

Sicherheitslücken können Angriffe ermöglichen, die zu Geschäftsunterbrechungen, finanziellen Verlusten und langfristigen Schäden an Marke, Ruf und physischem Eigentum führen können.

Unternehmen müssen die Sicherheitsstrategien für ihre Rechenzentren im Hinblick auf die geänderten Realitäten der Post-Pandemie-Wirtschaft von Grund auf neu entwerfen oder zumindest überdenken. Dies beginnt mit dem Verständnis der zentralen Herausforderungen, welche die hybride IT und Hyperscale-Integrationen mit sich bringen, und der anschließenden Evaluierung von Anbietern, die passgenaue Sicherheitslösungen für diese modernen Umgebungen anbieten.

Missverstandene Sparsamkeit kann die Wettbewerbsvorteile einer hybriden IT zunichtemachen.

Mit Sicherheit: Tools, Techniken und Top-Management

Rechenzentren brauchen Schutz auf mehreren Ebenen – immerhin steckt in ihnen neben wertvollen Daten auch teure Hardware. Dagegen helfen physischen Gitter, aber nur in Kombination mit dem richtigen Sicherheitskonzept für das Datacenter und die Edge.

>>> eBook „Mit Sicherheit: Tools, Techniken und Top-Management“ zum Download

Microsoft investiert jedes Jahr rund eine Milliarde USD in die Forschung und Entwicklung der Cybersicherheit seiner Azure-Cloud. Der Hyperscaler konnte für seine Vision unter anderem Mercedes-Benz als Kunden gewinnen.

Mit der MO360 Data Platform, dem neuen digitalen Fertigungsökosystem von Mercedes-Benz will der Autobauer seine rund 30 Automobilwerke weltweit mit der Microsoft Cloud integrieren. „Diese neue Partnerschaft zwischen Microsoft und Mercedes-Benz wird unser globales Produktionsnetzwerk in “er heutigen Zeit geopolitischer und makroökonomischer Herausforderungen intelligenter, nachhaltiger und widerstandsfähiger machen,“ kommentiert Jörg Burzer, Mitglied des Vorstands der Mercedes-Benz Group AG, verantwortlich für Produktion & Supply Chain Management.

So kann Mercedes-Benz seine KI-Arbeitslasten und die Datenanalyse im globalen Maßstab cybersicher „hyper-skalieren“.

Mit dem Aufkommen hybrider RZ-Architekturen, die das Kern-RZ über Colocation und Hyperscale-Clouds bis hin an die Edge erweitern, kommen althergebrachte Sicherheitskonzepte zu kurz. Neuartige Herangehensweisen sollen Abhilfe schaffen können.

Krisenfestigkeit: KRITISche Infrastrukturen und IoT-Konnektivität

Aufgrund der gewichtigen Relevanz von Rechenzentren für die moderne Wirtschaft und Gesellschaft gelten viele dieser Datenfabriken als besonders schutzwürdig. Um diesen sogenannten KRITISchen Infrastrukturen zu einer hohen Sicherheit zu verhelfen, haben der europäische und der deutsche Gesetzgeber ein regulatorisches Rahmenwerk geschaffen, welches den Betreibern dieser Einrichtungen besondere Pflichten auferlegt.

Rechenzentren, bei denen es sich um KRITISche Infrastrukturen im Sinne der Gesetzgebung handelt, unterliegen besonderen Meldepflichten und müssen gewisse Anforderungen an ihre Sicherheit erfüllen.

Am 15. September 2022 hat die EU ein gesetzliches Rahmenwerk mit der Bezeichnung „Cyber Resilience Act“ vorgestellt. Es soll die Sicherheit von IoT-Geräten verbessern.

Security by Design

Der Cyber Resilience Act schreibt für IoT-Geräte „Security by Design“ vor. Eine Liste grundlegender Cybersicherheitsanforderungen soll Hersteller, Importeure und Verkäufer von vernetzten Geräten und Diensten durch Zertifizierung, Berichterstattung und Konformitätsbewertungen in die Pflicht nehmen. Betroffen sind davon alle vernetzten Geräte, also im Grunde genommen die gesamte IT und OT auf einem RZ-Campus, einschließlich der Hard- und Software, der Gebäudeautomatisierung und anderer cyberphysischen Kontrollsysteme.

Jede aktiv ausgenutzte Schwachstelle oder jeder Vorfall, der sich auf die Sicherheit eines Produktes auswirkt, muss der jeweilige Hersteller innerhalb von 24 Stunden der Agentur der Europäischen Union für Cybersicherheit („ENISA“) melden und auch die Nutzer unverzüglich davon in Kenntnis setzen. Für Verletzungen drohen drakonische Strafen.

„Europa muss die Abwehr von Cyberangriffen stärker in den Fokus rücken“, kommentiert Bitkom-Präsident Achim Berg. Der Cyber Resilience Act könne aus seiner Sicht „einen wichtigen Beitrag zur Stärkung der Sicherheit vernetzter Geräte“ leisten. Krisenfestigkeit sei in seinen Augen wohl selten so wichtig wie heute.

Kritisch bewertet Bitkom die kurze Umsetzungsfrist (12 Monate für die Meldepflichten, 24 Monate für alles andere), die angesichts der deutlich längeren Entwicklungszyklen viele Unternehmen vor große Herausforderungen stelle. Der Branchenverband fordert dazu „eine klare und eindeutige Gesetzgebung“. Der Cyber Resilience Act dürfe nicht zu neuer Rechtsunsicherheit in den Unternehmen führen.

(ID:48971353)