Absicherung von Rechenzentren und Serverräumen

Von der Funktionstüchtigkeit seines Rechenzentrums bzw. Serverraumes und der darin installierten IT-Systeme hängt häufig die Existenz eines Unternehmens ab. Deshalb müssen entsprechende Schutzmaßnahmen ergriffen werden.

Die Datensicherheit in einem Rechenzentrum oder Serverraum ist insbesondere durch vorsätzliche bzw. fahrlässige (unbeabsichtigte) menschliche Handlungen und durch die so genannte „Höhere Gewalt“ bedroht.

Auswahl eines sicheren Standortes

Um diesen Gefahren begegnen zu können, ist bereits die Auswahl eines sicheren Standortes von großer Wichtigkeit. Neben der Überlegung, wo das Rechenzentrum und/oder der Serverraum eingerichtet werden sollen, müssen bei der Bestimmung des Standorts, der Lage und der baulichen Sicherheit des Rechenzentrums bzw. des Serverraums die Anforderungen an einen möglichst störungsfreien DV-Betrieb berücksichtigt werden. Dadurch können auch Kosten gespart werden. So sind beispielsweise für einen im Gebäudeinneren liegenden, fensterlosen Serverraum wesentlich geringere Aufwendungen für die Gewährleistung der Datensicherheit erforderlich, als für einen Serverraum, der sich im Erdgeschoss befindet und dessen Fenster zu einer öffentlich zugänglichen Straße führt.

Am besten ist es, eigene Sicherheitstrakte (soweit möglich in einem separaten Gebäude) vorzusehen, damit Brand- und Sabotagerisiken minimiert werden. Fremde Personen und Besucher haben dann in solchen Gebäuden oder Gebäudeteilen nichts verloren.

Keine Hinweisschilder

Rechenzentren sollten unauffällig untergebracht werden, um nicht das Interesse Unberechtigter zu wecken. Deshalb ist auf Hinweisschilder wie „Rechenzentrum“ zu verzichten.

Zutrittskontrolle 

Der Zutritt zum Rechenzentrum muss kontrolliert werden. Zutrittsrechte müssen revisionsfähig vergeben werden. Außer den im Rechenzentrum beschäftigten Personen darf niemand unbeaufsichtigt Zutritt zu diesen Räumen haben.

Alle Zutrittsmöglichkeiten zum Rechenzentrum sind mit Zutrittskontrolleinrichtungen auszustatten. Jeder Zutritt zum Rechenzentrum muss von der Zutrittskontrolle individuell erfasst werden. Im Falle eines Serverraums sollte geprüft werden, ob eine Überwachung aller Zutrittsmöglichkeiten sinnvoll und notwendig ist.

Falls Wartungs- und Reparaturarbeiten in den Räumen erforderlich sind, sind – insbesondere, wenn sie durch Externe durchgeführt werden – Regelungen über deren Beaufsichtigung zu treffen. So sollte während der Arbeiten eine fachkundige Kraft die Arbeiten soweit beaufsichtigen, dass sie beurteilen kann, ob während der Arbeit unautorisierte Handlungen vollzogen werden.

Auch die Reinigung der Rechenzentren und der Serverräume darf nur unter Aufsicht der berechtigten Mitarbeiter geschehen. Dabei geht es weniger darum, einen Zugriff unberechtigter Personen auf abgespeicherte personenbezogene Daten zu verhindern, als vielmehr eine Beeinträchtigung der Datenverarbeitung (z. B. durch Ziehen eines Stromsteckers) zu vermeiden.

Bildung von Brandabschnitten

Es müssen geeignete Brand- und Rauchabschnitte für die Räumlichkeiten eines Rechenzentrums festgelegt werden. Die Brand- und Rauchabschnitte müssen über den baurechtlich vorgeschriebenen Rahmen hinaus auch Schutz für die darin befindlichen technischen Einrichtungen und deren Verfügbarkeit bieten. Zudem muss verhindert werden, dass sich Brand und Rauch ausbreiten. Im Falle eines Serverraums sollte geprüft werden, ob geeignete Brand- und Rauchabschnitte für die Räumlichkeiten umsetzbar sind.

Außen- und Innenhautsicherung

Mit Maßnahmen zur Außenhautsicherung soll sowohl Eindringversuchen als auch Einwirkversuchen vorgebeugt werden. Mit Hilfe der Innenhautsicherung soll die Anwesenheit unbefugter Personen in den Räumlichkeiten erkannt werden. Je nach Lage des zu schützenden Objektes kommen insbesondere folgende Maßnahmen infrage:

• Tür- und Fensterschutz (einbruch- und durchbruchhemmende Ausstattung, Einsatz einer Einbruchmeldeanlage für alle Fester und Türen, Installation von Schließkontakt-, Glasbruchmeldern und Türknauf, Spezialverglasung, Anbringung einer Sicherheitsfolie, automatische Rollladensicherung etc.)
• Installation von Bewegungsmeldern
• Sicherung von Kellerlichtschächten (beispielsweise durch stabile, engmaschige Gitterroste und Gitterrostsicherungen)

Einsatz von Videoüberwachungsanlagen 

Die Zutrittskontrolle und die Einbruchmeldung sollten durch Videoüberwachungsanlagen ergänzt werden. Eine Videoüberwachung sollte in das gesamte Sicherheitskonzept eingebettet werden. Bei der Planung, Konzeption und eventuellen Auswertung von Videoaufzeichnungen muss der Datenschutzbeauftragte immer mit einbezogen werden.

Die für eine Videoüberwachung benötigten zentralen Technikkomponenten sollten in einer geeigneten Umgebung geschützt aufgestellt werden. Es sollte regelmäßig überprüft werden, ob die Videoüberwachungsanlage korrekt funktioniert und ob die mit dem Datenschutzbeauftragten abgestimmten Blickwinkel eingehalten werden.

Revisionsfähige Schlüssel- und (Chip-)Kartenverwaltung

Falls Schlüssel- und/oder (Chip-)Karten für das Rechenzentrum und die Serverräume ausgegeben werden, muss diese Vergabe revisionsfähig erfolgen, so dass nicht nur erkennbar wird, wer wann welchen Schlüssel oder welche Karte erhalten hat, sondern auch wie viele Schlüssel bzw. Karten ausgegeben sind bzw. noch zur Verfügung stehen. Reserveschlüssel sind vorzuhalten und gesichert aufzubewahren. Verloren gegangene Ausweiskarten sind unverzüglich zu sperren. Reservekarten sind erst im Rahmen der Aushändigung freizuschalten.

Hinweis

Die hier aufgeführten Maßnahmen stellen nur einen Bruchteil der erforderlichen Sicherheitsmaßnahmen dar. Weitere und vertiefende Hinweise enthält das gleichlautende Kapitel 7.6. des (auch auf CD beziehbaren) Loseblattwerkes „IT-Sicherheit und Datenschutz“ (siehe https://www.deichmann-fuchs.de/it-sicherheit/it-sicherheit-und-datenschutz/)