Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

IDC Central Europe GmbH

Die Stellschrauben müssen angezogen werden

Was aber ist zu tun, wenn ein Rechenzentrum als kritisch eingestuft wird? Nun, das BSI-KritisV basiert auf dem „Artikelgesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz)“ vom 25. Juli 2015. Als Kernbestandteil sehen die neu eingefügten Paragraphen des BSI-Gesetzes vor, dass betroffene informationstechnische Systeme von den jeweiligen Betreibern durch IT-Sicherheitsmaßnahmen nach dem „Stand der Technik“ abzusichern sind (§ 8a Absatz 1 BSIG) – soweit klar. „Erhebliche“ IT-Vorfälle müssen zudem an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden.

IDC-Analyst Zacher rechnet darüber hinaus damit, dass betroffene Rechenzentren in bestimmten Zeitabständen - er vermute alle zwei Jahre - ein Auditing über sich ergehen lassen müssen. Aktuell gebe es dafür noch keine fixen Vorgaben, auch diese müssen erst vom BSI festgelegt werden.

Üblich ist aber das Protokollieren von Datensätzen, die angeben, welcher Nutzer in IT-Systemen zu welchem Zeitpunkt was getan hat. Die zu speichernden Datensätze beziehen sich auf sicherheitsrelevante Ereignisse in IT-Systemen. Die Steuerung dieser Protokollierung erfolgt von außen, Zacher sieht dafür die in Deutschland mit der Überprüfung der Einhaltung von Sicherheitsstandards üblicherweise beauftragten Organisationen wie TÜV Süd und Nord als prädestiniert an.

Wie wird das im konkreten Fall laufen? Ziehen wir als Beispiel eine Einrichtung heran, die ganz sicher dem neuen Sicherheitsgesetz unterliegen wird: der Internet-Knoten DE-CIX in Frankfurt. Er gilt gemessen am Verkehrsaufkommen bekanntermaßen als der größte seiner Art in der Welt. „Man kann davon ausgehen, dass DE-CIX heute schon nach allen Regeln der Kunst abgesichert ist“, so Zacher. „Das IT-Sicherheitsgesetz wird aber sicherlich vom Betreiber verlangen, die Abwehr stets auf dem neusten Stand zu halten und gegebenenfalls Stellschrauben anzuziehen. Hier kann der Blick auf die Sicherheit nicht kritisch genug sein.“

Standort Deutschland: Kosten versus Sicherheit

Die Messlatte wird hierzulande also wieder einmal höher gelegt. Was bedeutet das für den Standort Deutschland? Wie wird sich das neue Gesetz auf die Wettbewerbsfähigkeit deutscher Rechenzentren im Vergleich zu denen in ausländischen Standorten auswirken?

„Für die Betreiber von KRITIS-Rechenzentren wird das Leben durch das neue Sicherheitsgesetz mit der vorgeschriebenen Auditierung sowie neuen und vermutlich noch strengeren gesetzlichen Vorgaben sehr wahrscheinlich noch einmal komplizierter“, sagt Zacher. Doch das könnte sich durchaus auszahlen: „Für die Nutzer werden deutsche Rechenzentren noch einmal ein Stück weit interessanter - können sie doch davon ausgehen, dass ihre Daten nach bestem Wissen und Gewissen geschützt sind. Insofern stärkt das neue Gesetz den Standort Deutschland.“

Allerdings gelte es auf Seiten der Betreiber darauf zu achten, die durch das Gesetz neu entstehenden Kosten nicht eins zu eins an die Kunden weiterzugeben, so der Senior Analyst. Sobald für die Nutzung der hochsicheren KRITIS-Rechenzentren ein zu hoher Preis anfalle, könnte so mancher Anwender der Versuchung erliegen, ein kostengünstigeres, dafür aber vergleichsweise unsicheres Rechenzentrum zu nutzen. „Ausschlaggebend ist hier ganz klar der Preis“, so Zacher. „Er entscheidet darüber, ob das neue Gesetz den Standort Deutschland weiter stärkt - oder für einen Abfluss der Kunden in ausländische Rechenzentren sorgt.“

* Dietmar Müller ist freier Fachjournalist und lebt in Niederbayern.

(ID:44056673)