Rechenzentren brauchen Redundanz und Verschlüsselung Notwendige NIS-2-Maßnahmen für Datacenter

NIS-2 stellt Betreiber von Rechenzentren und digitalen Diensten vor Herausforderungen. Um den Betrieb abzusichern und den Datenschutz zu gewährleisten, empfiehlt der Netzwerkintegrator Arcadiz Telecom eine geographische Redundanz der Zugänge und bei hochsensiblen Daten eine quantensichere Verschlüsselung.

Mit der Netzwerk- und Informationssicherheitsrichtlinie 2 (kurz: NIS-2) will die europäische Union die Cyber-Sicherheit verbessern. Bis Oktober müssen die EU-Mitgliedsländer diese Richtlinie in nationales Recht umsetzen. Betroffen davon sind „Wesentliche Einrichtungen“ und „Wichtige Einrichtungen“.

Wesentliche Einrichtungen sind Großunternehmen mit mindestens 50 Millionen Umsatz aus den Bereichen Trink- und Abwasser, Gesundheitswesen, Verkehr und Energie, Öffentliche Verwaltung, Banken, Finanzdienstleister und Betriebe der digitalen Infrastruktur. Wichtige Einrichtungen sind große und mittlere Unternehmen mit mehr als 10 Millionen Euro Jahresumsatz unter anderem aus der Lebensmittelindustrie sowie aus den Branchen Produktion, Post und Kurierdienst, Abfallwirtschaft und Anbieter digitaler Dienste.

Marcel Lücht, Operational Director des belgischen Netzwerk-Integrators Arcadiz Telecom, sagt, was das für Datacenter-Betreiber bedeutet: „Betreiber von Rechenzentren verpflichtet NIS-2 dazu, ihren Betrieb und ihre Konnektivität bestmöglich abzusichern.“ Lücht verweist auf dem Frankfurter Kongress „Data Centre World“ auf drei bislang oft übersehene Faktoren: die geographische Redundanz der Zugangsleitungen, die die Verschlüsselung der Daten und das Prüfen der Abläufe gegen NIS-2.

Geographische Redundanz sichert Netz-Zugänge ab

Arcadiz Telecom berät seine Kunden beim Aufbau und Betrieb von Telekommunikationsnetzen: „Zu unseren Kunden gehören Großbetriebe zum Beispiel aus der Energie- und Pharmabranche sowie Behörden, bei denen die Konnektivität betriebskritisch ist“, berichtet Lücht. Arcadiz mietet im Kundenauftrag globale Netze auf der Basis von Glasfasern und Kommunikationsleitungen unterschiedlicher Provider.

Ein wichtiger Aspekt bei derartigen Netzen ist die geographische Redundanz. Viele Unternehmen glauben, dass sie die Redundanz alleine dadurch herstellen, indem sie zwei Provider beauftragen. Das kann laut Lücht schnell ins Auge gehen.

„Verlaufen die Glasfaserleitungen beider Anbieter im gleichen Schacht, fallen beide Zugänge aus, wenn ein Bagger mit seiner Schaufel diesen beschädigt.“ Arcadiz Telecom wählt daher laut Lücht solche Provider aus, deren Leitungen nicht im gleichen Schacht verlegt sind. „Darüber hinaus achten wir auf die Latenz der Leitungen und auf die Möglichkeiten der Verschlüsselung.“

Das Verschlüsseln der Daten ist ein weiterer Aspekt der Cybersicherheit. Gesetzlich ist die Kryptographie nicht explizit vorgeschrieben. Die Rechenzentrumsbetreiber sind allerdings gehalten, „alle notwendigen Maßnahmen“ zu ergreifen, um einen Cyber-Incident abzuwenden. Die genaue Definition dessen, was notwendig ist, findet möglicherweise erst vor Gericht statt, und zwar dann, wenn ein Cyber-Angriff erfolgreich war: „Greifen Hacker unverschlüsselte Daten ab und veröffentlichen sie im Darknet, dann droht dem Unternehmen eine extrem schwierige Diskussion“, warnt Lücht.

Bei der Verschlüsselung ist noch Luft nach oben

Aktuell kommt Verschlüsselung in unterschiedlichem Umfang zum Einsatz: Laut Statista verschlüsseln 89 Prozent der Betreiber mindestens 20 Prozent der gespeicherten Daten. Während der Übertragung werden allerdings lediglich 58 Prozent der Daten verschlüsselt. Weitere 12 Prozent der Betreiber wollen in den kommenden Monaten eine Verschlüsselung einführen.

Während die meisten Mailprovider zumindest die Datenübertragung absichern, kommt bei Whatsapp & Co. oft eine Ende zu Ende Verschlüsselung zum Einsatz. Social Media und E-Mail machen allerdings keineswegs den Löwenanteil des Datenverkehrs aus.

Die Entscheidung, welche Verschlüsselung in einem Rechenzentrum zum Einsatz kommt, fällt auf unterschiedlichen Ebenen, wie Lücht berichtet: „Bei gespeicherten Daten entscheiden grundsätzlich die Kunden über Art und Umfang der Verschlüsselung“, berichtet Lücht. Doch die Datacenter-Betrieber seien damit nicht fein 'raus. „Die Rechenzentrumsbetreiber wiederum sind für das Verschlüsseln der Übertragung verantwortlich, insbesondere dann, wenn die Daten zwischen verschiedenen Rechenzentren kopiert werden.“

Arcadiz Telecom berät Kunden, welche Art der Verschlüsselung wann am besten passt. „Je höher die Verschlüsselung im OSI-Layer angesiedelt ist, desto arbeitsintensiver ist sie für die Hardware“, erläutert Lücht. „Will man eine möglichst niedrige Latenz, empfiehlt es sich, die Daten auf dem Optical Level in Osi Layer 1 zu verschlüsseln.“

Das System- und Netzwerkmanagement wird durch Verschlüsselung nicht beeinträchtigt, wie Lücht ausführt: „Man kann sehr kleine Datenpakete als Ping über die Leitung verschicken. Dann sieht man die aktuelle Latenz, ohne irgendwelche Daten entschlüsseln zu müssen.“

Quantencomputer als Kryptographie-Risiko

Mit komplexen Algorithmen kann man aktuell Daten so stark verschlüsseln, dass sich dieser Schutz kaum knacken lässt. Diese Sicherheit ist allerdings nur eine Momentaufnahme; denn Quantencomputer werden mächtiger: „Aktuell sind Quantencomputer noch nicht in der Lage, eine gute Verschlüsselung zu knacken, führt Lücht aus. In spätestens fünf Jahren brauchen sie dafür nicht länger als eine Zehntelsekunde.“

Auf diesen Wandel sollten sich Rechenzentrumsbetreiber einstellen: Es gibt bereits heute eine quantensichere Kryptographie. Arcadiz Telecom empfiehlt diese immer dann, wenn es um hochsensible Patientendaten aus medizinischen Einrichtungen oder um Finanzdaten geht, die auch in fünf Jahren noch sicher sein sollen.

Ein Anwender derartiger Kryptographie ist ein international aktiver Pharmakonzern, der Behandlungsdaten von Krebspatienten mit seinen Forschungsstandorten teilt. Ein Nachteil der quantensicheren Kryptographie sind die vergleichsweise hohen Kosten. Gerade Krankenhäuser haben aktuell nur selten ein großes IT-Budget.

Vorbereitung auf das Quantenzeitalter

Digicert veranstaltet ersten World Quantum Readiness Day

Zukunft der Kommunikationssicherheit

Bedrohen Quantenrechner die IT-Sicherheit?

Die hohen Kosten sollten Unternehmen laut Lücht nicht dazu verleiten, das Thema Verschlüsselung auf die leichte Schulter zu nehmen: „Künftig braucht wohl jegliche Verbindung zu Rechenzentren irgendeine Art von Kryptographie. Bei hochsensiblem Daten ist eine quantensichere Verschlüsselung angesagt.“

Das Prüfen aller Betriebsabläufe gegen NIS-2

Neben der oben erwähnten geographischen Redundanz der Datenleitungen hat Lücht noch eine weitere Empfehlung für Unternehmen: „Lassen Sie sämtliche Abläufe in ihrem Unternehmen gegen NIS-2 prüfen. Das Zeitfenster, bis diese Regelung gilt, und bis hohe Strafen drohen, wird immer kleiner.“

Bei allen Security-Maßnehmen stellt sich die Frage, gegen welche Art von Hackern sie schützen. An erster Stelle kommen die Cyber-Kriminelle mit Ransomware in den Blick, Diese nutzen üblicherweise 'ungepatchte' Schwachstellen der Software, um IT-Systeme zu kapern und dort Schadcode zu installieren.

Ähnlich agieren Industriespione. Verschlüsselung hilft gegen diese Angriffe zwar nicht direkt, bildet aber eine zweite Ebene der Sicherheit. Sind die Daten verschlüsselt, können Cyber-Kriminelle nichts damit anfangen, wenn sie illegal Zugriff darauf haben.

Mit Sicherheit: Tools, Techniken und Top-Management

Rechenzentren brauchen Schutz auf mehreren Ebenen – immerhin steckt in ihnen neben wertvollen Daten auch teure Hardware. Dagegen helfen physischen Gitter, aber nur in Kombination mit dem richtigen Sicherheitskonzept für das Datacenter und die Edge.

>>> eBook „Mit Sicherheit: Tools, Techniken und Top-Management“ zum Download

Eine zweite Gruppe, die IT-Systeme ausspäht, sind Geheimdienste. So wurde beispielsweise die amerikanische National Security Agency 2013 dabei ertappt, dass sie den damals unverschlüsselten Datenverkehr zwischen den Rechenzentren von Google abgehört hat.

„Geheimdienste haben sehr viel Zeit und enorm viel Geld, um ihre Ziele zu erreichen“, berichtet Lücht. „Ein vollständiger Schutz gegen deren Maßnahmen ist nicht möglich. Dennoch sollte man es auch diesen Akteuren so schwer wie möglich machen, die Sicherheitssysteme zu überwinden.“ Google verschlüsselt die Verbindungen zwischen seinen Rechenzentren, seit der NSA-Hack bekannt wurde.

(ID:50104428)