Gebäudesicherheit

Dies ist einer der Artikel aus einer Serie von Sicherheitstipps. Hier die Links zu den Themen:

Physikalische Sicherheit und Gebäudesicherheit als Vorstufe zur Informationssicherheit

Wo Informationssicherheit beginnt

Autor: Michael Krausz, C.I.S.-Auditor, Wien

Version 2003

In vielen Betrachtungen von Informationssicherheit gibt es oft eine Beschränkung auf jene Teile, die allein der IT zuzuordnen sind, wie etwa die Server, Firewalls, Clients, Anwendungen und IT-nahen Verfahrensvorschriften. In allen ganzheitlichen Modellen der Betrachtung von Informationssicherheit gibt es jedoch einen Teil, der dort nie vergessen wird: die Sicherheit der physikalischen Umgebung. Dazu ein einfaches Beispiel: Was nutzen die besten Passwörter, wenn man den betroffenen PC einfach stehlen und in aller Ruhe auswerten kann? Unter Windows 2000 sind beispielsweise Datenträger, die nicht verschlüsselt sind, nicht geschützt, wenn sie ganz einfach ausgebaut und in ein anderes System wieder eingebaut werden. Alle Daten sind dann für den Angreifer so lesbar, als hätte er sie selber geschrieben. – Noch ein einfacheres Beispiel: Wie sieht es in Ihrem Unternehmen mit Schutzmaßnahmen gegen die folgenden Gefahren aus: Hochwasser, Blitzschlag, Rattenverbiss an Leitungen?

In diesem Artikel sollen nun die wesentlichen Gefahren der Umwelt, des physikalischen Gefahrenbereichs, beleuchtet und einer näheren Untersuchung unterzogen werden. Beginnen wir sogleich mit den unmittelbar physikalischen Gefahren:

(1) Blitzschlag und Versorgungsprobleme

Die meisten Gebäude sind heutzutage gegen Blitzschlag ausreichend geschützt, es ist jedoch gerade in Zeiten von Umbauten, Neu- und Anbauten sehr zu empfehlen auch die Blitzschutzmaßnahmen einer Untersuchung zu unterziehen und durch einen Elektriker die Eignung der bestehenden Anlage feststellen zu lassen. Hat der Blitz einmal den Serverraum erreicht, so kann man von praktisch hundertprozentigem Verlust aller Daten und Systeme ausgehen, da die Geräte (PC, Motherboard, Speicher, Festplatten) gegen Überspannung sehr empfindlich sind. In einem solchen Fall wäre vermutlich auch das Backup-Gerät (DAT, DLT, oder anderes) betroffen, sodass die Frage des Wiederanlaufs des Betriebes mit der Frage der Neuanschaffung bzw. der Bereitstellung von entsprechenden Gerätschaften verbunden ist, was beispielsweise an einem Wochenende zu einer weiteren Verschärfung der Krise führen kann. Häufiger als Blitzschlag selbst sind jedoch Versorgungsprobleme, die sich in Unterspannungen und gelegentlich auch Überspannungen bemerkbar machen.

Diese Probleme sind, als Problem, oft nicht beeinflussbar, da etwa der Elektrizitätsversorger sich nicht an Qualitätsstandards und Bereitstellungsstandards hält oder schlicht in manchen Regionen schlicht unzuverlässig ist. Als probates Mittel haben sich USV-Anlagen (Unterbrechungsfreie Stromversorgung) erwiesen, von denen die meisten und auch schon die vergleichsweise kleinen Geräte auch die Qualität des Spannungssignals kontrollieren und gegebenenfalls nach oben wie nach unten ausgleichen. Für die zentral wichtigen Geräte der Infrastruktur eines Klein- und Mittelbetriebs ist es in jedem Fall empfehlenswert jeweils ein Gerät angepassten Bautyps pro zu schützendem Gerät zu verwenden. Dadurch werden einerseits einzelne Geräte (Server, Firewall, etc.) voneinander entkoppelt und andererseits kann für jedes Gerät ein geeigneter Schutz sichergestellt werden.

Es sei allerdings darauf hingewiesen, dass es nicht Aufgabe einer USV ist, den Betrieb eines Servers bei Stromausfall sicherzustellen, die Aufgabe der USV ist darauf beschränkt, dem Server das geordnete Hinunterfahren zu ermöglichen, sodass Datenbanken und Prozesse geordnet beendet werden können. Oftmals ist der bei einem Stromausfall entstehende Datenverlust der weit größere Schaden gegenüber dem unmittelbaren Ausfall. – Wer dafür sorgen will, dass auch der reguläre Betrieb bei einem Stromausfall weiterlaufen kann ist auf größere Anlagen, als die im IT-Handel üblichen angewiesen bzw. muss auf Generatoren zurückgreifen. In größeren Unternehmen oder kritischen Versorgungsunternehmen wie Krankenhäusern sind allerdings große Generatoranlagen wiederum üblich. Ein typischer Klein- und Mittelbetrieb hat jedoch bereits ausreichend vorgesorgt, wenn die zentral wichtigen Server (Fileserver, Datenbankserver) von einer 1500 bis 2000kVA USV geschützt werden. Moderne USV-Geräte sind auch bereits im Formfaktor eines 19“-Racks erhältlich, sodass die Integration in die betriebliche Umgebung leicht erfolgen kann.

Weiters sei noch darauf hingewiesen, dass in Außenbereichen eines Gebäudes nur solche Netzwerkkabel zum Einsatz kommen, die für den Außeneinsatz ausgelegt sind. Das sind insbesondere Glasfaserkabel, normale Kupferkabel sind für den Außeneinsatz nicht geeignet! Wir möchten auf diesen Faktor besonders hinweisen, da schon des Öfteren, meist aus Kostengründen, Netzwerkkabel für Innenbereiche auch im Außenbereich verlegt wurden und die anschließenden Blitzschläge, ausgelöst durch die hohe elektromagnetische Abstrahlung der Kabel dann zu teilweise verheerenden Zerstörungen geführt haben.

(2) Hochwasser

Wasser ist ein sehr effektives Zerstörungsmittel und in gleichem Maße wirksam wie ein gut dimensionierter Blitzschlag. Während man Hochwasser an sich nicht verhindern kann, so gibt es doch einige Anhaltspunkte, um den Serverraum, oder auch jeden anderen Raum, in dem kritische Dokumente lagern, vor Hochwasser zu schützen. Dazu zählen:

Server- bzw. Lagerraum nicht im Keller einrichten (Grundwasser!)
IT-Räume nicht neben Hauptwasserleitungen oder Abwasserleitungen ansiedeln
Keine Wasserleitungen welcher Art auch immer durch den IT-Raum verlegen
Auf Heizungsrohre achten, die ebenfalls nicht um den IT-Raum herum verlegt sein sollten.
An den IT-Raum sollten keine Räumlichkeiten angrenzen, in denen mit Wasser gearbeitet wird oder für die ihrerseits eines der obigen Kriterien zutrifft. Dies gilt besonders für Räumlichkeiten über dem IT-Raum bzw. Lagerraum.

Besonders in Bezug auf Wasserschäden sei noch darauf hingewiesen, dass zur Absicherung aller gesetzten Maßnahmen auf eine Versicherung gegen entsprechende Schäden nicht verzichtet werden sollten. Viele Versicherungen bieten günstigere Tarife an, wenn man Schutzmaßnahmen nachweisen kann, von dieser Möglichkeit sollte man Gebrauch machen.

(3) Feuer

Vielen internationalen Statistiken zufolge erzeugt das Löschwasser während und nach einem Brand oft größere Schäden als das Feuer selbst. Daher sollte man es nicht darauf ankommen lassen und auch gegen Feuer ein gewisses Maß an Prophylaxe betreiben. Dazu zählen die folgenden Maßnahmen:

keine Brandlasten (Papier, Holz, Chemikalien) in der Nähe von oder in IT-Räumen lagern. Besonders in Mittelbetrieben wird manchmal Druckerpapier und ähnliches auch im Serverraum gelagert, was im Brandfall zu einer raschen Verbreitung des Feuers beiträgt.
IT-Räume durch feuerfeste Wände und Türen vom restlichen Gebäude abtrennen.
In IT-Räumen auf das Klima achten und die Entstehung hoher Temperaturen verhindern.
Direkte Sonneneinstrahlung vermeiden.
Die Installation von Rauch- und Brandmeldern hilft, ausbrechende Brände rasch zu erkennen und gegensteuern zu können. Es ist dabei zu beachten, dass Rauch- und Brandmelder verschiedene Technologien anwenden, um jeweils Rauch oder das Feuer selbst erkennen zu können, daher sollten beide auch in Kombination verwendet werden.

In Mittelbetrieben kommt als Schutzmaßnahme auch die Sauerstoffabsenkung in Betracht. Dabei wird im gesamten Raum der Sauerstoffgehalt auf weniger als 15% reduziert, sodass ein Feuer gar nicht entstehen kann. Allerdings gibt es dann Beschränkungen in der Aufenthaltsdauer von Menschen in solchen Räumen auf ca. 2 Stunden. Die Feuervermeidung ist allerdings hundertprozentig. Technologisch betrachtet ist keine bessere Vorsorge bekannt als die Sauerstoffabsenkung. Es muss jedoch darauf hingewiesen werden, dass diese Technologie so teuer ist wie sie gut ist, daher greifen hauptsächlich größere Mittelbetriebe oder diejenigen, in denen Feuerschutz besonders wichtig ist, darauf zurück.

Abschließend sei wiederum auf den Nutzen einer Feuerversicherung hingewiesen, durch die die implementierten Schutzmaßnahmen komplettiert werden.

(4) Leitungsverbiss

Nagetiere haben immer schon eine Vorliebe für alles, was Kabel ist, gezeigt. Daher sollten besonders in Doppelböden und Kellern verlegte Leitungen mit einem Verbissschutz versehen werden sowie entsprechende Köder ausgelegt werden. Ein besonderes Problem des Nagetierverbisses ist, dass die entstehenden Fehler oft nur schwer eingegrenzt werden können, da die resultierenden Effekte oftmals Kurzschlüsse und intermittierende Ausfälle sind. Meist dauert es ein wenig, bis die Leitung als Fehlerquelle überhaupt in Betracht gezogen wird. Mit einem guten Leitungsmessgerät sind aber Kurzschlüsse und Unterbrechungen leicht feststellbar und können dann entsprechend behoben werden. Für die tägliche Routine ist es empfehlenswert, immer genügend Reservekabel zur Verfügung zu haben, sodass Kabelfehler leicht überbrückt werden können.

(5) Das Gebäude an sich

Betrachtet sei nun das Gebäude an sich und jene Teile davon, die für die Informationssicherheit eine Rolle spielen.

a. Mauern

In Hinblick auf Informationssicherheit sollte das Mauerwerk eines Gebäudes so ausgelegt sein, dass dadurch das Eindringen in das Gebäude sowie in andere Gebäudeteile nicht erleichtert wird. Also im Idealfall möglichst glatt und ohne Ornamente, die als Steighilfen benutzt werden können.

b. Fenster

Fenster sollten manipulationssicher sein und eine entsprechende Sperre aufweisen. Besonders geachtet werden muss auf Fenster im Kellerbereich oder Erdgeschoß, die gegebenenfalls auch massive Gitter haben sollten. Schauräume mit entsprechend großen Glasflächen und sensible Gebäudeteile sollten klar von einander getrennt sein, sodass ein Einbruch in den Schauraum nicht das Eindringen in sensiblere Gebäudeteile ermöglicht oder erleichtert.

c. Türen

Außentüren sollten als Sicherheitstüren ausgelegt sein und entsprechend einbruchshemmend sein. Große Glasflächen sollten in Türen vermieden werden, da diese eventuell einfach herausgeschnitten werden können. Ein weiterer kritischer Punkt sind die Schlösser, die manipulationssicher sein sollten und nicht leicht nachgemacht werden können sollten. Besonders geeignet sind Magnetschlösser und solche die mechanisch aufwendig konstruiert sind.

d. Zwischenwände

In vielen rasch wachsenden Unternehmen werden zur Raumgestaltung und Raumteilung Gipskartonwände eingesetzt. Es muss jedoch strikt davon abgeraten werden, IT-Räume oder Räume, in denen sensible Dokumente gelagert werden, mit Gipskartonwänden abzutrennen, da solche Wände schlicht aufgeschnitten werden können. Ein entsprechend motivierter Einbrecher hat damit leichtes Spiel, dazu kommt noch, dass das Aufschneiden einer Gipskartonwand recht leise von statten gehen kann.

Zwischenwände zu IT-Räumen oder anderen sensiblen Räumen sollten daher qualitativ der Außenwand in nichts nachstehen.

e. Umgebung

In der Umgebung eines Gebäudes sollte darauf geachtet werden, dass diese zunächst abgegrenzt ist (durch einen Zaun oder eine Mauer) und dass sie vom Gebäude selbst aus gut eingesehen werden kann. Die zentralen Zufahrts- oder Eingangsbereiche sollten von der Portierloge aus sichtbar sein, um mögliche Gefahrenquellen schon im Ansatz und rechtzeitig erkennen zu können.

Eine Überwachung durch Kameras mit 24-Stunden Aufzeichnung sollte für Mittelbetriebe heute durchaus Standard sein. Nachtsichttaugliche Kameras sind in exponierten Gebieten zu empfehlen. Für alle Kameras gilt als Faustregel, dass die Bildqualität gut genug sein muss, um Personen eindeutig identifizieren zu können. Dies bedeutet für digitale Systeme, dass die Mindestauflösung 1024x768 Punkte betragen sollte, für analoge Kameras stellen 400 Zeilen das untere Minimum dar.

Regelmäßige Kontrollgänge des Wachpersonals (auch unter Tags) runden die Sicherheitsmaßnahmen in der Gebäudeumgebung ab, und ermöglichen das frühzeitige Erkennen von Gefahren und Gefahrenquellen.

(6) Einbruch und Diebstahl

In der ersten Hälfte des zwanzigsten Jahrhunderts waren die USA aufgrund der Qualität ihrer nachrichtendienstlichen Arbeit so weit, dass sie die verschlüsselte Kommunikation von mehr als 40 Staaten lesen und mitverfolgen konnten. Manche dieser Erfolge waren auf überragende Leistungen auf dem Gebiet der Entschlüsselungstechnologie zurückzuführen, die überwiegende Mehrzahl jedoch auf eine schlichtere Strategie: das Einbrechen in Botschaften und die damit verbundene Beschaffung von Codebüchern. – Einbruch schien damals eines (von vielen) legitimen Mitteln zur Informationsbeschaffung zu sein.

Man könnte nun annehmen, dass Klein- und Mittelbetriebe wohl kaum das Interesse von Nachrichtendiensten wecken könnten oder kaum ein Mitbewerber (vulgo Konkurrent) daran denken würde, unlautere Mittel im Kampf um Kunden einzusetzen. Die Erfahrung zeigt jedoch ein anderes Bild. Es liegen genügend Fälle vor, in denen in heiklen Anbotsphasen oder in Mittelbetrieben, die in ihrem Gebiet weltweit führend sind, Faxe abgehört worden sind, in Unternehmenszentralen eingebrochen wurde oder auch elektronische Spionage in Form von Wanzen oder Hackerangriffen eingesetzt wurde. Dreistere Konkurrenten setzen auf das gezielte Abwerben von Mitarbeitern oder auch das Einschleusen von Personen, die dann zu kontinuierlichem Informationsabfluss beitragen.

Es muss daher darauf hingewiesen werden, dass in Hinblick auf die Sicherheit von Gebäuden Alarmanlagen eingesetzt werden sollten, Zutrittskontrollen durchgeführt und die Wirksamkeit dieser Mittel auch regelmäßig (ein- bis zweimal pro Jahr, eventuell auch einmal pro Quartal) überprüft werden sollte. Die Kennzeichnung von Geräten und wichtigem Inventar durch sichtbare oder nicht sichtbare Mittel (beispielsweise RFID-Chips, eingebrannte Inventarnummern oder bei Kraftfahrzeugen auch GPS-Sender) sollte bei gehobenem Sicherheitsbedarf ebenfalls nicht fehlen.

Wir haben in diesem Artikel die wesentlichen Bestandteile einer Strategie dargelegt, mit der die Sicherheit von Gebäuden gehoben und aktuell gehalten werden kann und möchten abschließend darauf hinweisen, dass weitgehende Informationssicherheit dadurch erreicht werden kann, internationale Standards wie die ISO 17799 als Grundlage eines gesamtheitlichen, umfassenden Konzeptes heranzuziehen. Denn letztendlich entscheiden die Qualität des Konzeptes und diejenige der Umsetzung über den Erfolg der gesetzten Maßnahmen und die Sicherheit des Unternehmens in allen seinen Teilen und seiner Werte.

Mehr zu diesem Thema auf dieser Website:

eine umfassende Auflistung von sehr empfohlenen Sicherheitsmaßnahmen.

http://sicherheitskultur.at/

Home

Copyright-Hinweis:
Das Copyright des Materials auf dieser Webseite liegt bei Michael Krausz.