Von der Cyber-Angriffsabwehr bis zum Türschloss Sicherheit entsteht durch einen ganzheitlichen Blick

Anbieter zum Thema

Kentix GmbH

AirITSystems GmbH

VON ZUR MÜHLEN'SCHE GmbH

ConSysTech GmbH

Sicherheitsstrategien, die Gefahren wie Einbruch, Sabotage und Naturkatastrophen berücksichtigen, haben oft große Lücken. Ein ganzheitliches Sicherheitskonzept mit Gefahren-Management-System kann diese schließen, indem es die Belange von Gebäude- und IT-Sicherheit vereint.

Unternehmen sind in Gefahr – nicht nur durch Cyber-Angriffe. Feuer, Naturkatastrophen, Einbrüche, Diebstahl, Spionage, Vandalismus oder Sabotagen können für schwere Schäden sorgen. Laut der Bitkom-Studie Wirtschaftsschutz 2020 geht das größte Sicherheitsrisiko sogar von ehemaligen Mitarbeitern (33 Prozent) aus – noch vor der organisierten Kriminalität (21 Prozent). Damit kommt die Gefahr aus den eigenen Reihen – von ortskundigen Menschen, die sich Zugang verschaffen – zu Server-Räumen, Technik, Laboren, Produktionsstätten oder Forschungseinrichtungen.

Stefan Wilde, Leiter Gebäudesicherheit/ Physische Sicherheit bei AirItsystems, Beratungsunternehmen für individuelle IT- und Sicherheitslösungen aus Hannover, erläutert:„Hier kann es zu Diebstahl oder Spionage kommen, aber auch die Sabotage von technischen Anlagen ist ein realistisches Szenario. Die Ursachen liegen oft in Konflikten wie beispielsweise Kündigungen, nicht verlängerten Arbeitszeitbefristungen oder in hohem Leistungsdruck begründet.“

Es ist daher wichtig, das Grundstück, Gebäude und das Inventar sowie Infrastrukturen zu sichern, um Betriebsausfälle und Schäden an Maschinen zu vermeiden und die Mitarbeiter vor äußeren Bedrohungen zu schützen. „Das alles fällt genau in den Bereich der physischen Sicherheit, des so genannten Objektschutzes“, so Wilde weiter. „Aber viele Unternehmen haben beispielsweise keine Perimetersicherung für Grundstücke und Gebäude, weder für außen, auch weil etwa Zäune nicht gewünscht sind, noch für innen.“

Mangelhafte oder fehlende Sicherheitsstrategien

Sicherheitsstrategien vieler Unternehmen weisen branchenübergreifend und größenunabhängig erhebliche Lücken auf – aus zahlreichen Gründen. Einer ist die historisch bedingte Herangehensweise: Die physische Sicherheit mit Zäunen, Türen und Fenstern im Fokus kommt aus der Gebäudesicherheit und ist an das Facility-Management gekoppelt; daneben steht die IT-Sicherheit mit Virenscans und Firewalls. Überschneidungspunkte gibt es nur in wenigen Bereichen wie Umgebungs- und Power-Monitoring oder Zutrittskontrollen.

Wilde: „In der Praxis arbeiten beide Bereiche sogar oftmals gegeneinander. Noch komplexer wird es, wenn IT und Facility-Management teilweise oder ganz ausgelagert sind, was oft bei Filialunternehmen oder der Nutzung von Cloud-Services der Fall ist. Das führt dazu, dass nur Teile statt der Gesamtheit betrachtet werden.“

In Unternehmen fehlt also oftmals die übergeordnete Sichtweise, ohne die wiederum kein Konzept und kein Fahrplan möglich sind, was an Sicherheit wie erreicht werden soll. Auch die kaufmännische Vergabepraxis vieler Organisationen steht einer einheitlichen, homogenen Struktur entgegen. Stattdessen kommen einzelne Insellösungen der klassischen Gebäudesicherheit wie Zutrittskontrollanlagen, Videosicherheitssysteme, Einbruchmelde- und Brandmeldeanlagen zum Einsatz. „Die Landschaft an eingesetzten Lösungen entspricht eher einem bunten, unzusammenhängenden Flickenteppich als einem ganzheitlich durchdachten Konzept“, sagt Wilde.

Er warnt: „Hinzu kommt nicht selten, dass vorhandene Sicherheitstechnik in die Jahre kommt und mangels Priorisierung tendenziell stiefmütterlich behandelt wird.“ Ein nicht mehr aktueller Stand der Technik gehe zum Beispiel mit veralteten mechanischen Schließanlagen beziehungsweise Transpondertechnologien bei der Zutrittskontrolle, nicht ersetzten Standardschließungen der Hersteller von Technikschränken oder nicht angepassten Werkspasswörtern einher.

Gerade die letzten beiden Punkte seien jedoch große und bedeutsame Einfallstore: Die Video-Überwachung werde zum Beispiel in der Regel beim Facility-Management verortet; für Passwörter hingegen ist der IT-Sicherheitsbeauftragte zuständig – der aber wiederum nichts von diesen Lücken wisse.

Verteilte Liegenschaften und beträchtliche Unternehmensgrößen sind ebenfalls häufige Gründe dafür, dass Patchwork-Lösungen im Einsatz sind. Hier erfolgt die Betrachtung der physischen Sicherheit oft standortabhängig, mit der Folge, dass an einem Standort etwas verbessert wird, alle anderen Standorte daran aber nicht teilhaben. Ursächlich sind hier Zusammenschlüsse von Unternehmen oder Änderungen in der Organisation, die zu einer heterogenen Struktur der Systeme führen.

Unterschieliche Technikgenerationen

Und nicht zuletzt gibt es starke Unterschiede im Alter der Systeme: Während ein sukzessiver Austausch der IT durch Updates und Upgrades stattfindet, gibt es diesen Generationswechsel in der Gebäudesicherheit nicht. Anlagen laufen über Jahrzehnte hinweg. Die Systeme der klassischen Gebäudesicherheit sind zudem per se Insellösungen und nicht dafür konzipiert, mit anderen Systemen zusammen zu funktionieren.

„Unterm Strich wird durch den Fokus auf die Cyber-Kriminalität die Bedeutung von physischer Sicherheit oft verkannt“, resümiert Wilde. Die Lösung sieht er in einem Sicherheits-Management. Ein solches benötigt einen ganzheitlichen Ansatz, der all diese Faktoren berücksichtigt. Deswegen stehe am Anfang stets eine Analyse durch einen Dienstleister wie AirItsystems, die alle verantwortlichen Stellen im Unternehmen einbeziehe: Unternehmenssicherheit, Beauftragte für Brandschutz und Arbeitssicherheit, Datenschutz und IT-Sicherheit.

Es erfolgt eine Ist-Aufnahme: Der Status Quo wird bewertet, der Soll-Zustand definiert und Lösungen werden entwickelt, um den Soll-Zustand zu erreichen. Ein Fahrplan gibt hierfür die einzelnen Schritte vor. Die Analyse legt also Sicherheitslücken und damit den Handlungsbedarf offen. „Oft zeigt sich, dass Hard- und Software sich nicht ineinanderfügen, sondern konterkarieren, etwa, wenn die Berechtigungsvergabe einer Onlinezutrittskontrolle nicht mit der mechanischen Schließanlage abgestimmt ist“, präzisiert Wilde exemplarisch.

Zusammenspiel statt gegenseitiges Ausknocken

In den meisten Unternehmen sind typischerweise Budgets für derartige Maßnahmen vorhanden. Deswegen müssen Aufgaben und Zuständigkeiten geklärt werden und das Unternehmen organisatorisch zusammenrücken.

Der Maßnahmenplan und eine Sicherheitsbewertung definieren, was genau passieren soll, elektrische und mechanische Sicherheit müssen ineinandergreifen: Eine Einbruchmeldeanlage für das Rechenzentrum ist zum Beispiel allein nicht sinnvoll, wenn es nur mit einer Bürotür gesichert ist oder über Standardfenster verfügt, die zudem direkt an öffentlichen Wegen liegen.

Ein Fokus muss auch auf dem Zutritts-Management liegen. So geht kein Schlüsselbund durch so viele Hände und hat so viele Berechtigungen wie die der Gebäudereinigung oder manchen externen Dienstleisters, und es ist festzulegen, welcher Mitarbeiter Zutritt zu welchen Arealen hat. Unternehmen benötigen hier ein Sicherheitskonzept, das schützenswerte Bereiche definiert.

Das Aus für Täuschungen

Ein solches ganzheitliches, lückenloses Sicherheitskonzept hat klar definierte Prozesse und Anforderungen an Räumlichkeiten, Bereiche und die Verantwortlichen. Die Geschäftsleitung muss die Verantwortlichkeiten benennen und die Regeln definieren.

Außerdem muss das Konzept täuschungssicher sein: Häufen sich Fehlalarme, verlieren die Systeme an Glaubwürdigkeit. Alarme und Störungen werden ignoriert und im schlimmsten Fall ohne Ersatzmaßnahmen abgeschaltet.

Auch die Abläufe für neue- und ausscheidende Mitarbeiter, der Zugang externer Dienstleister, deren Berechtigungsprofile zum Beispiel mit Zeitfenstern versehen werden können, aber auch das Handling bei Verlust von Schlüsseln oder Transpondern mit den daran anschließenden Sperrmechanismen müssen geklärt werden. „Mit vergleichsweise einfachen Mitteln können organisatorische Maßnahmen die Sicherheit schnell erhöhen“, so Wilde. „Nachbesserungen bestehender Systeme können dagegen umfangreicher ausfallen.“

Rundumschutz

Physische Sicherheit gelingt mit einer ganzheitlichen Lösung, einer IoT-Security-Plattform für digitale Sicherheitstechnik. Das umfassende Sicherheitssystem „Kentixone“ verschmilzt zum Beispiel die acht Sicherheitssysteme Zutrittskontrolle, Einbruchalarmierung, Brandfrüherkennung, Videoüberwachung, Umgebungs-, Energie- und Netzwerk-Monitoring sowie die Verarbeitung externer Störmeldungen unter einer Oberfläche.

Informationsflüsse werden dargestellt und dokumentiert. Damit können über 40 Gefahrensorten wie Einbruch, Brand oder unberechtigter Zutritt automatisch erkannt werden. Unternehmen kennen so den Status ihrer Systeme, können potenzielle Risiken identifizieren und bewerten und bei Gefahrensituationen den abgestimmten Maßnahmenplänen entsprechend schnell reagieren. Voraussetzung hierfür ist eine entsprechende Zuordnung der verantwortlichen Stellen und Meldeketten - idealerweise ergänzt um eine Aufschaltung auf eine Notruf-und Serviceleitstelle, die als ständig besetzte Alarmempfangsstelle unabhängig von Wochenenden, Feiertagen oder Funklöchern arbeitet.

Alle Systeme werden bei einer solchen Plattformlösung über IT-Netze verbunden und die Geräte kommunizieren untereinander. Anders als in der klassischen Gebäudetechnik wird damit die IT das Medium, das die Systeme integriert, die sonst nur als Insellösungen zur Verfügung stehen. Das System kann abhängig von den Anforderungen kaskadiert werden und verschiedenste Technologien greifen intelligent ineinander: Berechtigungen etwa für Onlinezutrittskontrolle und Schrankschließungen kommen von einer Stelle; Sperrinformationen liegen vor, wenn sie benötigt werden.

Mit Sicherheit: Tools, Techniken und Top-Management

Rechenzentren brauchen Schutz auf mehreren Ebenen – immerhin steckt in ihnen neben wertvollen Daten auch teure Hardware. Dagegen helfen physischen Gitter, aber nur in Kombination mit dem richtigen Sicherheitskonzept für das Datacenter und die Edge.

>>> eBook „Mit Sicherheit: Tools, Techniken und Top-Management“ zum Download

Auch Sensorik von IoT und Smart Buildings kann über die Management-Oberfläche zusammengeführt werden: Die Signale von den Gebäudegewerken, beispielsweise Beleuchtung, Heizung, Klima und Lüftung, lassen sich dokumentieren und lösen definierte Reaktionen aus. Mit dem Abschließen der Haustür wird der Strom in den Teeküchen abgestellt, um Bränden vorzubeugen, die Einbruchmeldeanlage und das Videosicherheitssystem werden scharf geschaltet und die Heizung heruntergefahren.

Wichtig ist, dass sich das Gefahren-Management-System nahtlos in die bestehende IT-Infrastruktur einfügt: Seine Basiskomponenten, die ins Netzwerk eingebunden werden und die über abgestimmte Protokolle miteinander kommunizieren, verhalten sich wie andere Netzwerkkomponenten etwa IP-Telefone oder Laptops.

Dieser ganzheitliche Ansatz bietet einen vollumfänglichen Schutz über alle Gefahrenebenen hinweg. Budgets werden optimal ausgenutzt, klassische Insellösungen entfallen und mit ihnen die Schnittstellen zwischen den Gewerken, da es sich um ein integriertes System handelt.

Das Budget besser genutzt

IP-basiert verringert sich der Verkabelungsaufwand bei der Gebäudesicherheit und über das Datennetz wird die Stromversorgung mittels PoE und damit die Ausfallsicherheit gewährleistet. Die einheitliche Oberfläche garantiert im Tagesgeschäft einen sicheren Umgang mit dem System und eine schnelle Einarbeitung. Damit werden Fehlbedienungen oder Vernachlässigungen von Störmeldungen – die beide zu Sicherheitslücken werden – vermieden.

*Die Autorin Nadja Müller ist IT-Journalistin für Wordfinder.

(ID:49328494)