Prüfstandard als Grundlage

Der Neubau und die Absicherung der insgesamt drei Rechenzentren stehen bei 50Hertz somit im Mittelpunkt des Standortwechsels. Über die Data Center mit einer Kapazität von einigen Hundert Terabyte werden alle digitalen Prozesse gesteuert.

Im Auftrag von 50Hertz überwacht TÜV Rheinland die einzelnen Bauabschnitte und sichert die Qualität der Bauphasen bis hin zum Abnahmeprozess und zur Zertifizierung. "Ein Rechenzentrum zu bauen und es zu betreiben, sind zwei Paar Schuhe", sagt Rolf Walter aus dem Bereich Data Center Services bei TÜV Rheinland. "Für beides braucht man die entsprechende Expertise. Vor und während der Bauphase kann ein externer Projektverantwortlicher, der über die nötigen Kenntnisse in IT und Projektmanagement verfügt, eine wertvolle Hilfe sein, die bares Geld spart - nicht nur in Planung und Bau, sondern auch in der Anpassung des Data Centers an wachsende Produktionskapazitäten. Der Projektleiter ermittelt die Anforderungen an das neue Rechenzentrum, koordiniert alle Maßnahmen, kennt alle Anbieter und besitzt ein breites Wissen über Kosten, Laufzeiten und Verhandlungen. So kann er den verantwortlichen CIO in allen relevanten Punkten des Neubaus entlasten", erklärt der Diplom-Ingenieur.

Darüber hinaus unterstützt TÜV Rheinland das Energieunternehmen dabei, den hohen Anspruch an die Verfügbarkeit für das Rechenzentrum zu erreichen. Für betriebs- und ausfallsichere Rechenzentren hat TÜV Rheinland einen eigenen Standard entwickelt, der die gewachsenen Anforderungen an Data Center berücksichtigt. Die Prüfanforderungen sind niedergelegt im"Kriterienkatalog zum Audit von Serverräumen und Rechenzentren". Er enthält mehrere hundert Kriterien, anhand derer Technik und Prozesse von Rechenzentren bewertet werden können. Außerdem unterzieht TÜV Rheinland die Rechenzentrumsinfrastruktur einem Belastungstest: Übernehmen die Reservesysteme im Ernstfall? Diese Tests sind insbesondere bei großen Rechenzentrumsneubauten zunehmend von Bedeutung.

"Initial war wichtig zu klären, nach welcher Norm sich das Unternehmen am Ende zertifizieren lassen will, denn das gilt es bereits in der Planungsphase zu berücksichtigen", erklärt Walter. Es gibt verschiedene Normen für die Betriebssicherheit von Rechenzentren, die sich mitunter deutlich unterscheiden. Die ISO DIN EN 50600 stellt im Brandschutz andere Ansprüche an ein Data Center als die vergleichbaren Standard des BSI oder von Uptime. Während das eine Zertifikat automatische Ventilschließungen von Leitungen verbietet, fordert dies ein anderes Audit ausdrücklich, hier kann der "Kosten-Teufel" im Detail stecken. In diesem Jahr soll die Erstzertifizierung erfolgen, die im Fall von 50Hertz nach dem Kriterienkatalog des TÜV Rheinland geschehen wird.

Mit Pentests prüfen

Über die physikalische Ausfallsicherheit hinaus entwickelte TÜV Rheinland auch eine umfassende IT-Sicherheitsstrategie für die 50Hertz-Rechenzentren, die den Anforderungen an Compliance für Betreiber Kritischer Infrastrukturen sowie den Anforderungen des IT-Sicherheitsgesetzes Rechnung trägt. Die Rechenzentren sind nach Funktion gegliedert, also nach Büroanwendungen (SAP und Microsoft), nach Netzwerken, Übertragungstechnik und Telefonie sowie einem Rechenzentrum für Echtzeit-IT für das Netzleitsystem und Scada-Systeme. Aus Gründen der Ausfallsicherheit sind alle Data Center in der neuen Konzeption redundant aufgebaut.

Um Zugriffe auf Prozessrechner der technischen Systeme zu verhindern, wurden typische Angriffsvektoren, wie beispielsweise das WLAN für Gäste oder Remote-Zugänge für die Wartung entsprechend abgesichert. Darüber hinaus bestätigt TÜV Rheinland 50Hertz die bestehende umfassende Trennung von Office- und Echtzeit-IT, die konsequente Netzwerk-Segmentierung sowie die nachhaltige Absicherung der einzelnen Bereiche. Die Wirksamkeit der Segmentierung wird durch Penetrationstests überprüft.

In Ihrem IT-Security Assessment bewerteten die TÜV-Spezialisten auch die so genannten Medienräume von 50Hertz: Hier kommuniziert das Unternehmen mit internationalen Kooperationspartnern, mit Lieferanten, Behörden oder Kunden. Selbstverständlich müssen alle Mediengeräte einwandfrei funktionieren, vor allem aber muss die Kommunikation vertraulich bleiben. Dazu mussten potenzielle Angriffspunkte in der Architektur der Medientechnik ermittelt und entsprechende Maßnahmen ergriffen werden, um den Informationsaustausch ausreichend schützen zu können.

Kommunikation absichern

Zur Steuerung und Überwachung des Übertragungsnetzes nutzt 50Hertz ein eigenes Kommunikationsnetz, das von entscheidender Bedeutung für das Kerngeschäft des Übertragungsnetzbetreibers ist. Dieses Netz muss aufgrund von Messungen und weiteren essentiellen und hoch verfügbaren Funktionen besondere Anforderungen an die Zuverlässigkeit und Redundanz erfüllen. Die Herausforderung für TÜV Rheinland besteht darin, die vorhandene Hardware der TK-Infrastruktur im Zusammenspiel mit den Prozessnetzen zu modernisieren sowie die Schnittstellen zum Sicherheitsnetz, wie etwa der Haustechnik zur Überwachung, entsprechend abzusichern. Außerdem sind wichtige bisher extern erbrachte Leistungen wie etwa Telefoniedienste in den Gesamtprozess der 50Hertz zu integrieren - alles ohne den laufenden reibungslosen Wirkbetrieb zu stören.

Bis zur geplanten Fertigstellung des Gesamtprojekts bis 2020 sind noch einige Aufgaben zu bewältigen: Neben der Modernisierung des Kommunikationsnetzes und der Spannungsversorgung stehen die Implementierung des Netz-Management-Centers (NMC), die Übernahme der Betriebsführung, die Migration der Sprachdienste sowie die Überführung der Netzdokumentation auf der Agenda.

Vertraulichkeit auf Office-Geräten

Darüber hinaus spielen Verfügbarkeit, Integrität und Vertraulichkeit der Daten auch im Office-Bereich von 50Hertz eine große Rolle. Deshalb hat TÜV Rheinland die Aufgabe, das Konzept für den Bereich Druck und Scan zu modernisieren und neu zu gestalten. Dabei werden sowohl die Drucker als auch die Steuerung (Server) erneuert. Das Konzept folgt einer "Follow-me"-Strategie und ist in der Lage, bei Wartungsaktivitäten eigenständig den Hersteller zu kontaktieren. Das Projektkonzept stellt sicher, dass wirklich nur die Daten übermittelt werden, die dafür bestimmt sind. Gerade bei digitalen Druckern und Scannern, die Teil des Unternehmensnetzwerks sind, ist die Sicherheit der Daten, die beim Druck oder einem Scanvorgang auf dem Gerät zwischengespeichert werden, ein hohes Gut. Entscheidend ist außerdem zu verhindern, dass beispielsweise mögliche Schnüffelsoftware sensible oder businesskritische Daten per E-Mail an unbefugte Dritte weiterleiten oder ein Drucker an exponierter Stelle als Einstieg in das Unternehmensnetzwerk missbraucht werden kann.

Und nicht zuletzt gilt es, die IP-Telefonie von 50Hertz abzusichern: Das zentrale Skype-for-Business-System muss so geschützt sein, dass keine Nachrichten unbefugt abgehört werden können oder Kommunikation mitgeschnitten werden kann. TÜV Rheinland ist derzeit im Begriff, realistische Angriffsszenarien und wirtschaftlich angemessene Gegenmaßnahmen zu entwickeln, um die zentralen Server der IP-Telefonie bei 50Hertz optimal zu schützen. Auch hier wird abschließend die Wirksamkeit durch einen Penetrationstest überprüft.

"Nach Abschluss des Projekts ist 50Hertz optimal auf die Herausforderungen der digitalen Transformation vorbereitet", erklärt Kai Höhmann aus dem Geschäftsbereich ICT & Business Solutions bei TÜV Rheinland. "Die zahlreichen Teilaufgaben illustrieren zugleich, wie anspruchsvoll es für Betreiber kritischer Infrastrukturen ist, sich auf den digitalen Wandel einzustellen und dass es allein mit dem Bau eines größeren Rechenzentrums nicht getan ist." An Unternehmen im Energiesektor appelliert er deshalb, keine Zeit zu verlieren, sondern die Weichen für die digitalen Transformation im eigenen Unternehmen lieber heute als morgen zu stellen. (sh)