Bundesrechenzentrum und -Cloud IT-Konsolidierung als Sicherheitsstrategie

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

SEPPmail - Deutschland GmbH

Insider Research

Die Konsolidierung der Informationstechnik des Bundes soll unter anderem der IT-Sicherheit dienen. Bevor Unternehmen den gleichen Schritt tun, sollten auch die möglichen Risiken einer IT-Konsolidierung bedacht werden.

„Eine Ende 2013 durchgeführte Bestandsaufnahme hat gezeigt, dass die IT der unmittelbaren Bundesverwaltung – mit ihren knapp 200 Behörden – auf über 1.300 Rechenzentren und Serverräume an unzähligen Standorten verteilt ist“, so der Bundesinnenministers in seiner Keynote anlässlich des BSI-Kongresses am 19. Mai 2015.

„Aus dieser Zersplitterung resultieren Mängel bei Transparenz und Steuerungsfähigkeit, hohe Kosten durch die mehrfache und parallele Entwicklung von IT-Systemen für gleiche Funktionalitäten und – das ist in meinen Augen für unser Thema hier heute am bedrohlichsten – erhebliche Risiken für die Sicherheit der IT der Bundesverwaltung und für unsere Arbeit insgesamt, auch durch Abhängigkeiten.“

Einen Tag später hat das Bundeskabinett die IT-Konsolidierung der Bundesverwaltung beschlossen. Zu Beginn des Jahres 2016 sollen die bestehenden IT-Dienstleistungszentren mehrerer Ministerien (BMF, BMI und BMVI) zu einem Bundesrechenzentrum organisatorisch zusammengefasst werden.

Ebenfalls vorgesehen sind eine gemeinsame IT-Entwicklung sowie eine Bündelung der IT-Beschaffung. Zudem möchte man mit einer Bundes-Cloud dem Trend entgegenwirken, dass immer mehr Daten nur noch im Internet außerhalb der Netze des Bundes verarbeitet und gespeichert werden.

IT-Konsolidierung soll IT-Sicherheit erhöhen

Die Beauftragte der Bundesregierung für Informationstechnik, Staatssekretärin Rogall-Grothe, kommentiert dies so: „Die konsequente Umsetzung des Konsolidierungskonzepts wird zu einer nachhaltigen Stärkung der Bundes-IT und einer Erhöhung der IT-Sicherheit führen“.

Da stellt sich die Frage, ob IT-Konsolidierung auch Teil der IT-Sicherheitsstrategie des eigenen Unternehmens werden sollte. Immerhin sind ein möglichst einheitlicher IT-Betrieb, eine Reduzierung der Anwendungsvielfalt, eine zentrale Administration und Beschaffung ein Weg hin zu mehr Übersicht und Transparenz. Weitere positive Effekte sind geringere Kosten und geordnete Strukturen der Datenverarbeitung und -speicherung.

Ähnlich wie dies die Bundesregierung getan haben dürfte, sollte aber jedes Unternehmen zuerst die Vor- und Nachteile einer solchen IT-Konsolidierung bedenken, insbesondere was die eigene IT-Sicherheit angeht. So führt eine IT-Konsolidierung unter Umständen zu dem genauen Gegenteil, zu zusätzlichen Sicherheitsrisiken.

Konsolidierungsfehler können die Verfügbarkeit bedrohen

Mit einer IT-Konsolidierung soll unter anderem die Komplexität der IT-Strukturen und -Anwendungen verringert werden. Der eigentliche Konsolidierungsprozess wird dadurch selbst sehr komplex, selbst bei kleineren und mittleren Unternehmen kann eine Vereinheitlichung und Bündelung in der IT sehr anspruchsvoll werden.

Fehler in der Dimensionierung der IT-Systeme sind möglich, einerseits bei der Bestimmung des aktuellen Bedarfs, andererseits bei der Planung des zukünftigen Bedarfs. Ein potenzielles Risiko bei der IT-Konsolidierung besteht darin, dass die Verfügbarkeit der IT-Systeme und der Daten in Gefahr gerät:

• Ohne genaue Planung und überlegte Umsetzung kann die zentrale Speicherkapazität zu gering gewählt werden, um die verteilte Datenhaltung langfristig ablösen zu können.

• Die Redundanz durch verteilte Standorte und mehrfache Datenhaltung muss auf andere Weise erzielt werden.

• Bestimmte Anwendungen sind so speziell auf einen Standort angepasst, dass sie nicht durch eine zentrale Applikation ersetzt werden können.

• Zudem müssen die Kapazitäten für die hohe Zahl an Zugriffen auf die zentralen IT-Strukturen groß genug sein, auch hinsichtlich der Bandbreite des Netzwerkes.

• Bei der Konsolidierung selbst müssen mögliche Datenverluste beim Datentransfer, Kompatibilitätsprobleme bei IT-Systemen und Integritätsverluste bei der Zusammenführung der Daten verhindert werden.

• Generell steigt die Abhängigkeit bei einer zentralen, konsolidierten IT, denn es gibt weniger Ausweichmöglichkeiten.

IT-Konsolidierung führt zur Anhäufung von Daten und Risiken

Eine weitere Auswirkung der IT-Konsolidierung muss bedacht werden: Führt man eine verteilte Datenhaltung in eine zentrale über, konzentrieren sich die zu schützenden Daten und IT-Systeme auf wenige Stellen. Schwachstellen bei der zentralen IT bedrohen dann nicht nur einen Teil der Daten, sondern die ganze Datensammlung. Nicht zuletzt lehrt die Erfahrung, dass sich Angreifer von großen Datenmengen angezogen fühlen, steigt doch die Größe der möglichen Datenbeute.

Für den rechtlichen und organisatorischen Datenschutz müssen ebenso Konsequenzen bedacht werden: Die Datenkonzentration auf wenige Stellen macht ein sehr feines Berechtigungssystem noch wichtiger, damit die Zweckbindung der Daten und die Mandantentrennung auch gewahrt bleiben. Immerhin könnte eine Datenkonzentration dazu führen, dass Personen Datenzugriffe bekommen könnten, die ihnen bei einer verteilten Datenhaltung gar nicht möglich waren.

So sinnvoll also eine IT-Konsolidierung aus wirtschaftlichen und auch energetischen Gründen ist, ganz automatisch steigt die IT-Sicherheit dadurch nicht an. Die Übersicht und Transparenz wird in der Regel besser, aber die Maßnahmen für den Schutz der Verfügbarkeit, Vertraulichkeit und Integrität müssen ganz genau auf die neue Situation einer konsolidierten IT angepasst werden. Letztlich müssen Maßnahmen wie Zugangskontrolle, Zugriffskontrolle, Datensicherung, Ausfallsicherheit und Monitoring deutlich verstärkt werden. Andernfalls bündelt man nicht nur die IT, sondern man häuft auch Risiken an.

* Oliver Schonschek, Dipl.-Phys., ist IT-Fachjournalist und IT-Analyst. Sein Fokus liegt auf Sicherheit und Datenschutz in IT-Bereichen wie Cloud Computing, Mobile Enterprise, Big Data und Social Enterprise.

(ID:43419134)