Sicherheit im Unternehmen: Schutz für IT-Infrastruktur und weitere elektronische Anlagen

Gerade in kleineren Unternehmen, in denen kein dediziertes Personal sich ausschließlich um „die Technik“ kümmert, müssen die Risiken und Schritte zu deren Mitigation deshalb von anderen Personen gekannt und übernommen werden. Lesen Sie jetzt, was es braucht, um eine geschützte, leistungsfähige Infrastruktur jenseits klassisch digitalbasierter IT-Sicherheit zu erhalten.

Closeup photo of a rack cabinet door. Detail

Eine zeitgenössische, dem Leistungsbedarf entsprechende Gebäudeelektrik

Um die Erfindung der Glühbirne gibt es zwar nach wie vor einige Ungereimtheiten. Fest steht jedoch: Seit deutlich über hundert Jahren ist die Elektrifizierung von Gebäuden eine Alltäglichkeit. Just darin liegt jedoch ein gewisses Risiko. Die meisten heutigen Menschen neigen dazu, Elektrizität nicht nur als gegeben anzusehen, sondern ebenso als stets leistungsfähig genug für alle Ansprüche.

Gerade letzteres kann sich in einem unternehmerischen Kontext als verhängnisvoller Fehler erweisen. Das ist dann der Fall, wenn Ihr Betrieb Leistungen benötigt, welche die elektrische Gebäudeinstallation an ihre Grenzen bringen. Im Fokus stehen dabei mehrere Positionen:

1. Der Gebäudeanschluss an und für sich. Er ist je nach Gebäudeklasse und anderen Faktoren für eine bestimmte Maximalleistung ausgerichtet. Bauten in „Einfamilienhausgröße“ etwa bringen es auf bei einer Auslegung auf 60 Ampere (A) auf eine Höchstleistung von 41,4 Kilowatt (kW). Heißt, benötigt das Gesamtgebäude zu einem Zeitpunkt mehr als diese Wattzahl, dann schaltet die Hauptsicherung aus.
2. Die einzelnen Anschlüsse. Etwa Steckdosen und speziell deren Leitungen. Einfach gesprochen: Je mehr Steckdosen an einem Stromkreis hängen, desto größer dimensioniert müssen die Leitungen sein.
3. Die Stromkreise und deren Absicherung. Gerade dann, wenn die unternehmerische Elektrik sich nicht nur auf klassische Abnehmer wie Computer beschränkt, sollte der Schutz besonders stark sein. Beispielsweise sind Blitzableiter nur bei einem recht kleinen Kreis von Gebäuden Vorschrift – stets jedoch unbedingt sinnvoll.

Hier das Problem: Sofern Sie für Ihr Unternehmen kein Gebäude ganz nach Ihren Vorstellungen errichten lassen, ist es durchaus möglich, eine nicht ausreichende Gebäudeelektrik zu haben – vielleicht auch nur auf mögliche Erweiterungen bezogen. Mitunter installieren Sie etwa einen neuen Server oder einen anderen größeren Verbraucher und dieser zusätzliche Abnehmer bringt den zuvor ständig am Limit operierenden Hausanschluss an seine Grenzen.

Die Lösung: Bevor Sie sich für ein Gebäude entscheiden, sollte dessen Elektrik a) fachmännisch auf ihren Ist-Zustand und das zu erwartende Leistungsniveau hin überprüft und b) gegebenenfalls rigoros erweitert werden. Upgraden lässt sich sehr vieles, angefangen beim Gebäudeanschluss. Jedoch: Stets sollten Sie bei diesen Maßnahmen auf genügend Leistungsreserven achten – Ihr Unternehmen soll ja schließlich noch wachsen.

Ständige, wiederkehrende Prüfung der Elektrik

Elektrische Systeme mögen zwar nicht einem solchen mechanischen Verschleiß unterliegen wie andere Techniken. Dennoch kann es hier durch die alltägliche Nutzung zu allmählichen Abnutzungserscheinungen kommen – außerdem zu Schäden durch unsachgemäßen Gebrauch.

Aufgrund dieser Tatsachen unterliegen Sie als Unternehmer gemäß DGUV bzw. Arbeitsschutzgesetz einer Pflicht zur regelmäßigen Überprüfung elektrischer Betriebsmittel und Anlagen. Diese Pflicht sollten Sie unbedingt sehr genau nehmen. Nicht nur, weil sie körperliche Sicherheit für Sie und Ihre Mitarbeiter garantiert, sondern das gesamte elektrisch-elektronische System Ihres Unternehmens insgesamt ausfallsicherer macht.

Übrigens sollten Sie aus demselben Grund keine zu große Laissez-faire-Haltung an den Tag legen, wenn es um das Nutzen privater Elektrogeräte Ihrer Mitarbeiter geht. Ähnliches gilt bezüglich der Anschaffung neuer elektrischer Betriebsmittel für Ihr Unternehmen. Nicht alles, was auf dem Markt erhältlich ist (speziell über das Internet) ist vorbehaltslos zu empfehlen – und sei es nur für die nicht-private Nutzung in einem anspruchsvollen unternehmerischen Umfeld.

Technician engineer holding robot controller checking and repairing automatic robotic machine at industrial factory, Worker working with robotic arm system in factory

Reduzierte physische Zugänglichkeit und Überwachung

Wir kommen zu einem Punkt, der gleichermaßen für das Thema Elektrik/Elektronik und die IT gilt, der Kreis derjenigen Personen, die darauf (umfassenden) Zugriff haben. Im Prinzip ist es hierbei einfach: Zwischen Sicherungskasten und Serverschrank sollte im Default-Modus

1. alles nur für einen Kreis von qualifizierten Personen zugänglich sein.
2. möglichst niemals eine Person allein agieren können.
3. idealerweise alles per Kamera überwacht und dauerhaft protokolliert werden.

Der Grund dafür ist derselbe, warum höchstwahrscheinlich in Ihrem Unternehmen nach Feierabend sämtliche Fenster und Türen abgeschlossen werden: Es sollen sich möglichst keine Unbefugten daran zu schaffen machen.

Natürlich, ein wichtiger Fokus liegt hierbei auf Personen, die in tatsächlich böswilliger Absicht handeln. Und zwar nicht nur solchen von außen, sondern innerhalb Ihres Unternehmens (beachten Sie dazu beispielsweise, was das BKA zum Thema Innentäter berichtet). Allerdings sollten Sie hierbei ebenso an Laien denken, die in guter Absicht, nichtsdestotrotz jedoch unsachgemäßer Art handeln.

Ein Beispiel von vielen: Ein neues Elektrogerät wird eingesteckt, deshalb schaltet die Sicherung des betreffenden Stromkreises ab – aus (irgendeinem) guten Grund. Würde ein Laie mit freiem Zugang zum Sicherungskasten die Sicherung einfach wieder einschalten, könnten mitunter kostspielige Schäden drohen. Daher gilt:

• Ständig verriegelte Schlösser an allen Sicherungsschränken, Serverschränken, Technikräumen etc.
• Herausgabe des Schlüssels nur an einen bestimmten Personenkreis und gegen Unterschrift.
• Idealerweise Integration solcher Räume/Schränke in ein Überwachungskamerasystem mit Speicher.

Bei Ihnen gibt es Alarmanlagen und Einbruchsensoren? Dann sollten Sie unbedingt mit dem installierenden Unternehmen sprechen. Mitunter gibt es Möglichkeiten, diese Schränke/Räume (etwaige Fenster nicht vergessen) gezielt in diese Systeme zu integrieren.

Denken Sie gerade beim Schutz Ihrer IT nicht „zu digital“. Ein zu guter digitaler Schutz kann Täter durchaus zu klassischen physischen Einbrüchen verleiten, um die Daten vor Ort zu entwenden – mitunter sogar ergänzt um absichtlich herbeigeführte Brände oder Überflutungen, um die Tat zu verschleiern und/oder den Schaden zu maximieren. Derartige Herangehensweisen sollten Sie ebenfalls im Ansatz verhindern.

Äußerst disziplinierte Backup-Prozesse

Gehören Sie zu denjenigen Unternehmern, die maßgeblich oder sogar gänzlich auf Cloud-Dienste umgestellt haben? Dann sollten Sie sich nicht allzu sicher sein, dass damit sämtliche Fragen rund um das Thema Datenverlust und -diebstahl für Sie beantwortet wären.

Tatsache ist, nachdem es lange Zeit ruhig war, nehmen die Angriffe auf Cloud-Anbieter derzeit stark zu. Grund dafür sind sowohl technische Schwachstellen als auch menschliches Fehlverhalten. Stets steht dahinter jedoch eine Tatsache: Wenn es um unternehmerische Daten im Allgemeinen und Kundendaten im Besonderen geht, dann wäre es völlig falsch, dabei nur auf einen Speicherort zu vertrauen. Das gilt sogar dann, wenn dieser selbst schon redundant und/oder besonders sicher ist.

Wer beispielsweise Cloud-Speicher bucht, der darf sich normalerweise darauf verlassen, dass es bei diesem Dienstleister Backups der Daten gibt. Doch was, wenn der Cloud-Anbieter selbst durch Cyberkriminelle überwältigt wird?

Wenn Sie diese Fragestellung verstehen, dann verstehen Sie höchstwahrscheinlich, wie wichtig es ist, ungeachtet der primären Datenspeichermethoden stets eigene, umfassende Backup-Bestrebungen zu verfolgen. Im Klartext: Egal ob es sich um Ihre Kundendaten handelt, die Videos Ihrer Überwachungskameras, Steuerunterlagen oder verschiedene Dateien aus dem alltäglichen Geschäft. Niemals sollte es zu Situationen kommen, in denen diese Daten nur auf einer einzigen Quelle vorhanden sind.

Idealerweise sollten diese Backups zudem technisch möglichst unterschiedlich zur primären Methode gestaltet sein. Wenn Sie also beispielsweise hauptsächlich Cloud-Dienste nutzen, wären die Backups auf mitunter altmodisch wirkenden Servern in Ihrem Haus besser aufgehoben als bei einem zweiten Cloud-Dienstleister.

Lassen Sie sich diesbezüglich fachmännisch beraten. Aufgrund der großen Diversität von unternehmerischen Herangehensweisen und Notwendigkeiten sind Pauschalaussagen zu diesem Thema äußerst schwierig.

Unterbrechungsfreie Stromversorgungen

Auf die Ausfallsicherheit bezogen, ist Deutschlands Stromnetz sehr gut aufgestellt – ungeachtet aller Unkenrufe. Allerdings gibt es dennoch täglich Schwankungen in diesem Netz. Sei es durch Blitzeinschläge, durch das Schalten sehr großer Verbraucher oder Kurzschlüsse aufgrund von technischem oder menschlichem Versagen.

Zwar regeln die Energieversorger Frequenz und Spannung permanent. Allerdings ist das nur im großen Maßstab möglich. Heißt, im Verteilernetz, an dem Ihr Unternehmen angeschlossen ist, kann es durchaus zu Unregelmäßigkeiten kommen, genauer

• Blackout,
• Brownout,
• Frequenzstörungen,
• Oberschwingungen,
• Überspannungen und
• Unterspannungen

All das kann gerade empfindliche elektrische Systeme stören oder sogar beschädigen, wenn diese auf herkömmliche Weise ausschließlich und direkt mit dem Netz verbunden sind.

Gerade dort, wo es um die Sicherheit gespeicherter Daten und den Ausfallschutz besonders wichtiger IT-Systeme geht, sollten Sie unbedingt darüber nachdenken, diese über eine Unterbrechungsfreie Stromversorgung (USV) laufen zu lassen.

Hierbei handelt es sich nicht um eine klassische Notstromversorgung. Diese ist nur für den generellen Ausfall der externen Versorgung gedacht. Eine USV hingegen schützt gegen all die aufgelisteten Störungen. Dazu ist das System sozusagen als „Filter mit Stromspeicher“ zwischen die jeweiligen Geräte und das Stromnetz geschaltet.

Egal, wie das (lokale) Stromnetz gestört wird, so liefert die USV durch ihren Aufbau eine „entstörte“ Stromversorgung. Manche sind durch die Dimensionierung ihrer Akkus tatsächlich als Notstromversorgung für einige Stunden zu gebrauchen. Im Prinzip ist eine USV jedoch dazu da, um die deutlich häufigeren kurzzeitigen Schwankungen im Stromnetz abzufangen – und daher für jedes Unternehmen sinnvoll, das empfindliche Elektronik zwischen IT und diversen Messgeräten betreibt.