Umfassender IT-Schutz für Ihr Unternehmen

Die EDV ist heute zu einem existentiellen Faktor geworden. In immer mehr Branchen muss die IT 365 Tage im Jahr, 24 Stunden täglich unterbrechungsfrei zur Verfügung stehen – oft sogar konzernübergreifend und weltweit. Umso wichtiger sind deshalb ausfallsichere und hochverfügbare IT-Systeme und sichere Infrastrukturen. Eine einmalige Anstrengung reicht dafür jedoch nicht aus. Nur ein abgestimmtes IT-Risiko-Management mit regelmäßiger Überprüfung der Prozesse und hochwertige Schutzmaßnahmen können eine hohe Zuverlässigkeit der IT-Systeme garantieren.

Aktives Risiko-Management

Immer mehr steht auch die Geschäftsführung in der Pflicht: Das Bundesdatenschutzgesetz sowie das Kontroll- und Transparenzgesetz (KonTraG) verpflichten das Management zu einem aktiven IT-Risiko-Management. Im KonTraG heißt es explizit: „Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden.“ Manager müssen deshalb dafür sorgen, dass die Wiederherstellungskosten bei Datenverlust und der wirtschaftliche Schaden beim Ausfall der EDV so gering wie möglich bleiben. Haftungsrechtliche Konsequenzen können sich für die Verantwortlichen auch schon aus fahrlässigen oder grob fahrlässigen Handlungen beim Umgang mit der IT ergeben.

Fest steht: Den Totalausfall der IT kann heute kein Unternehmen mehr verkraften. In vernetzten, unternehmensübergreifenden Supply Chains hängen von der reibungslosen Datenverarbeitung nicht nur die eigene Firma, sondern auch die Prozesse der Lieferanten und Auftraggeber ab. „Mit zertifizierter Sicherheit signalisiert man den Partnern Verlässlichkeit“, sagte IT-Leiter Matthias Kunz von der Weber GmbH der Fachzeitschrift „CIO“. „In den eng verzahnten Lieferketten der Automobilbranche ist die Ausfallsicherheit der IT ebenso wichtig wie die der Produktionsmaschinen“, so Kunz.

Und das gilt nicht nur für die Automobilbranche: Spionage, Einbruch, Vandalismus, Sabotage, Terrorismus, Überschwemmung, Blitzschlag oder Feuer können überall innerhalb kürzester Zeit zu kostspieligen Störungen führen. Schätzungen gehen davon aus, dass rund 20 Prozent aller Down Times, System- oder Netzwerkausfälle auf physikalische Ursachen zurückzuführen sind. Dabei werden nur die wenigsten Ausfälle dieser Art überhaupt bekannt, denn die meisten Unternehmen sprechen darüber nur ungern. Wer will schon Kunden und Partnern gegenüber eingestehen, dass die eigene IT-Infrastruktur schlecht abgesichert ist?

Vernachlässigter Schutz

Fakt ist aber auch: Während bei vielen Unternehmen die logische, technische sowie die Prozesssicherheit der Systeme bei der Sicherheitsbetrachtung bereits im Fokus der Verantwortlichen stehen, wird die physikalische System- und Datensicherung oft sträflich vernachlässigt. Meist stehen in den Business-Continuity-Plänen Systeme und Anwendungen im Vordergrund. Räumliche Gegebenheiten geraten erst dann ins Blickfeld, wenn unternehmensweite Sicherheitsrichtlinien eingeführt werden oder im Serverraum oder Rechenzentrum der Platz knapp wird. Erst ein umfassendes IT-Risiko-Management-Konzept räumt dem physischen Schutz der Systeme und Daten den richtigen Stellenwert ein. Die IT-Betriebsumgebung bildet – neben den eigentlichen Rechner- und Speichersystemen – einen wesentlichen Baustein eines umfassenden Konzepts zum Schutz der Unternehmensinfrastruktur.

Die hohe Verfügbarkeit von IT-Diensten hängt nicht allein davon ab, dass etwa redundante Hardware vorhanden ist. Erst präventive Sicherheitslösungen, bei denen logische und technische Sicherheitskomponenten zusammenspielen, können die nötige hohe Ausfallsicherheit gewährleisten. Angefangen bei den Bauelementen wie Brandschutzwänden und -türen, Brandmeldeanlangen und Löschsystemen bis hin zur Schulung der Mitarbeiter müssen alle Faktoren in ein umfassendes Sicherheitskonzept einbezogen werden. Bei der Planung spielen auch scheinbare Nebenaspekte eine Rolle: Der Schutz vor korrosiven Rauchgasen muss ebenso bedacht werden wie die elektromagnetische Verträglichkeit, die Notstromversorgung und die Klimatisierung.

Spezielle Löschgasanlagen notwendig

Beispiel: Gängige Brandschutzmauern vom Typ F90, wie sie für den Brandschutz in Gebäuden regelmäßig verbaut werden, garantieren lediglich, dass bei einem Feuer von 1000 Grad auf der anderen Seite der Wand die Temperatur innerhalb von 90 Minuten um nicht mehr als 140 Grad ansteigt. Das reicht zwar, um das Übergreifen eines Feuers zu verhindern; für ein Rechenzentrum bieten F90-Wände aber keinen hinreichenden Schutz. Aufgeheizte elektronische Bauelemente versagen zwar nicht unbedingt sofort ihren Dienst, aber die Elektronikteile altern überproportional, die durchschnittliche Fehlerwahrscheinlichkeit (MTBF) steigt dramatisch. Die Herstellergarantie der meisten Hardware- Systeme erlischt aber schon bei 50 Grad. Ebenso ungeeignet sind gängige Brandmeldesysteme und Sprinkleranlagen für das Rechenzentrum. Schon ein kurzfristiger Temperaturanstieg würde Hardware und Datenträger unter Wasser setzen und großen Schaden anrichten. Zur Brandbekämpfung eignen sich in Rechenzentren nur Löschgasanlagen, die mit einer Überflutung der Raumluft mit speziellen Löschgasen den Sauerstoffgehalt der Luft reduzieren.

Eingehende Gefahrenanalyse

Gefahren können auch im Rechenzentrum selbst bestehen. Daher muss bei der Errichtung eines sicheren IT-Raums ebenfalls die unmittelbare Umgebung analysiert werden. Dies gilt sowohl für dieselbe Gebäudeebene als auch für die Ebene darunter (Brandgefahr) und die darüber liegende (Wasserschäden). Nur rund 20 Prozent aller Brände in Unternehmen entstehen im IT-Bereich, so eine Studie der TELA-Versicherung aus dem Jahr 2000. Über 80 Prozent ereignen sich hingegen in daran angrenzenden Räumen. Wenn der Brandschutz nicht ausreicht oder beim Bau Fehler gemacht werden, kann das Feuer leicht überschlagen und die IT-Systeme vernichten. Oft grenzen IT-Sicherheitsbereiche an Büro- und Lagerräume, in denen sich Brennbares befindet. Liegt der IT-Raum in der Nähe einer Tiefgarage, können bei einem Brand korrosive Brandgase und Feuchtigkeit die EDV-Anlagen zerstören, obwohl der IT-Bereich selbst zunächst gar nicht betroffen war.

Geschäftsleitung und IT-Management müssen genau abschätzen, wie sich eine eingetretene Schadenssituation in Minuten, Stunden oder Tagen auswirken würde, und festlegen, welche IT-Ausfallzeiten tolerierbar sind und ab wann ein unternehmensbedrohlicher Zustand eintritt. Die Geschäftsleitung sollte auch über die Ausfall- und Wiederherstellungskosten – zumindest – der kritischen IT-Funktionen pro Stunde oder pro Tag genau informiert sein.

Der 1932 in Berlin gegründete IT-Sicherheitsspezialist Lampertz aus Hof im rheinland-pfälzischen Westerwald ist Komplettanbieter und europäischer Marktführer für modulare physikalische IT-Sicherheitslösungen. Die Kunden können hier jede für ihre Unternehmensgröße passende Lösung und den gewünschten Sicherheitsstandard auswählen. Die maßgeschneiderten Möglichkeiten reichen von der Auswahl der Materialien bis hin zum angestrebten Zertifizierungsstandard – vom Grundschutz nach BSI-Standard bis zur Hochverfügbarkeitslösung nach ECB-S-Norm (siehe Kasten).