Physische Sicherheit im Rechenzentrum – Was Betreiber in Frankfurt beachten sollten

Wenn es um die Sicherheit von Rechenzentren geht, denken viele zuerst an Firewalls, Verschlüsselung und Updates. Die physische Ebene gerät dabei leicht aus dem Blick. Dabei läuft jede digitale Schutzmaßnahme ins Leere, sobald Unbefugte an Server, Netzwerkschränke oder die Stromversorgung gelangen. Es gilt, verschiedene Schichten der physischen Sicherheit für Rechenzentren und Serverräume zu berücksichtigen. Wie Betreiber oder IT-Verantwortliche konkret vorgehen können, zeigen Erfahrungen aus dem Bewachungsalltag von Aquila Security, einem Sicherheitsdienst aus Frankfurt am Main.

Warum gibt es so viele Rechenzentren in Frankfurt?

Frankfurt hat sich zu einem zentralen Standort für Rechenzentren in Europa entwickelt. Ein wesentlicher Grund ist der Internetknoten DE-CIX. Ein Internetknoten ist ein Austauschpunkt, an dem viele Netzbetreiber, Provider und Inhalteanbieter ihren Datenverkehr direkt miteinander austauschen. Wer in der Nähe eines solchen Knotens Server betreibt, hat kurze Wege und damit geringe Verzögerungen bei der Datenübertragung. Hinzu kommt der Finanzplatz: Banken, Börse und Finanzdienstleister brauchen schnelle und ausfallsichere Verbindungen und wollen ihre Systeme nah am Geschehen betreiben. Die zentrale Lage in Europa, dichte Glasfasertrassen und eine gut ausgebaute Verkehrsanbindung verstärken diesen Effekt. Mit der Zeit ist so ein Umfeld aus Netzbetreibern, Dienstleistern und Fachkräften entstanden, das wiederum weitere Betreiber anzieht.

Für die Sicherheit hat diese Ballung eine Kehrseite. Wo viel kritische Infrastruktur auf engem Raum steht, wächst das Interesse von Tätern, sei es am Diebstahl von Hardware und Kupfer, an Sabotage oder an gezielter Spionage. Außerdem ist nicht jede Anlage ein großer Campus. Viele Unternehmen betreiben Serverräume in Bürogebäuden oder mieten Flächen in Colocation-Rechenzentren, in denen sich mehrere Kunden ein Gebäude teilen. Jede dieser Lagen verlangt einen eigenen Blick auf Zuständigkeiten und Schwachstellen.

Perimeter: Die erste Linie liegt außerhalb des Gebäudes

Der Perimeter ist die äußere Grenze eines Geländes. Bei einem freistehenden Rechenzentrum gehören dazu Zaun, Tore, Zufahrten, Beleuchtung und Kameras mit freien Sichtachsen. Es gilt zu prüfen, ob Anlieferzonen, Notausgänge und Technikbereiche wie Notstromaggregate oder Kühlanlagen genauso geschützt sind wie der Haupteingang. Gerade diese Nebenbereiche sind oft schlechter beleuchtet und seltener im Blick. Liegt der Serverraum in einem Bürogebäude, verschiebt sich der Perimeter nach innen. Dann werden Tiefgarage, Lastenaufzug, Treppenhaus und Etagentür zur ersten Linie, die mit anderen Mietern geteilt wird.

Hilfreich ist das Denken in Schichten. Jede Schicht soll einen Eindringling aufhalten und gleichzeitig eine Meldung auslösen. Ein Zaun allein hält niemanden dauerhaft auf. Er wirkt erst, wenn jemand das Überwinden erkennt und reagiert, bevor der Täter die nächste Schicht erreicht. Die entscheidende Frage ist deshalb nicht, wie hoch der Zaun ist, sondern wie schnell aus einer Erkennung eine Reaktion wird.

Zutritt: Wer darf wann wohin?

Innerhalb des Gebäudes trennt eine Zutrittskontrolle die Zonen voneinander: öffentlicher Bereich, Büros, Technikflächen, Serverraum und gegebenenfalls einzelne Racks oder Käfige. Je kritischer die Zone ist, desto eher lohnt es sich, Karte, PIN und biometrische Merkmale zu kombinieren. Vereinzelungsanlagen verhindern, dass eine zweite Person unbemerkt hinter einer berechtigten Person durch die Tür schlüpft. Die Pflege der Berechtigungen ist genauso wichtig wie die Technik. Es muss festgelegt werden, wer Zugänge beantragt und wer sie genehmigt. In festen Abständen muss geprüft werden, ob ausgeschiedene Mitarbeitende oder frühere Dienstleister noch Rechte haben. Die Protokolle der Zutrittskontrolle müssen regelmäßig ausgewertet werden, statt sie nur zu speichern.

Besucher und Techniker externer Firmen sind ein häufiger Schwachpunkt. Ein besetzter Empfang prüft Ausweise, gleicht Anmeldungen mit dem Auftrag ab und gibt befristete Besucherausweise aus. Er sorgt auch dafür, dass Fremde im Serverraum begleitet werden. Es ist festzuhalten, wer wann mit welchem Auftrag im Haus war.

Bewachung durch geprüftes Personal

Wenn Wachpersonal in das Rechenzentrum eingelassen wird, erhalten Fremde Zugang zu sensiblen Bereichen. Deshalb lohnt sich der Blick auf die Qualifikation. In Deutschland regelt die Gewerbeordnung, also das Gesetz über die Ausübung von Gewerben, in § 34a GewO das Bewachungsgewerbe. Das Unternehmen braucht eine behördliche Erlaubnis. Die Beschäftigten müssen je nach Tätigkeit eine Unterrichtung oder eine Sachkundeprüfung nachweisen. Außerdem wird jede Wachkraft im bundesweiten Bewacherregister geführt und erhält dort eine Bewacher-ID, über die sich ihre Registrierung zuordnen lässt. Der Dienstleister muss diese Nachweise erbringen und zusichern, dass sie für jede eingesetzte Kraft vorliegen, auch für Vertretungen. Bei Aquila Security etwa liegt die Erlaubnis nach § 34a GewO vor, und jeder Mitarbeiter durchläuft die Sachkundeprüfung. Jede eingesetzte Kraft ist im Bewacherregister eingetragen und hat ein erweitertes Führungszeugnis, auch bei kurzen Einsätzen.

Kontrollgänge, die sich nachweisen lassen

Kontrollgänge sind nur so gut wie ihre Planung und ihr Nachweis. Es ist wichtig, mit dem Dienstleister festzulegen, welche Punkte geprüft werden: Außentüren, Notausgänge, Zaunabschnitte, Technikräume, Fenster und Zugänge zu Kabeltrassen. Reihenfolge und Zeiten sollten wechseln, damit sich kein vorhersehbares Muster ergibt. Ein Wächterkontrollsystem dokumentiert, dass die Wachkraft einen Kontrollpunkt tatsächlich erreicht hat. Mit einem GPS-Zeitstempel lässt sich nachvollziehen, wann und wo sie war. Die Auswertungen müssen regelmäßig vorlegt und Auffälligkeiten angesprochen werden, wie etwa ausgelassene Punkte oder sehr kurze Rundgänge.

Alarmverfolgung: Was nach dem Alarm passiert

Eine Alarmanlage nützt wenig, wenn niemand den Alarm bewertet. Üblich ist es, Einbruchmelder, Zutrittskontrolle und Videoüberwachung auf eine Sicherheitszentrale aufzuschalten. Die europäische Norm EN 50518 beschreibt Anforderungen an solche Alarmempfangsstellen, etwa an Bauweise, Ausfallsicherheit und Abläufe. Die ganze Kette ist im Voraus zu klären: Wer sieht den Alarm, und wie wird er per Kamera überprüft? Wer fährt zum Objekt, wen informiert die Zentrale, und wie wird der Vorfall dokumentiert? Die Alarm- und Eskalationsliste muss aktuell gehalten werden. Schon eine veraltete Telefonnummer kann eine sonst gut geplante Kette unterbrechen.

Ein Einsatzleiter von Aquila Security beschreibt die Praxis so: „Bei Alarmen an Serverräumen entscheidet selten die Technik allein. Wichtig ist, dass vorher feststeht, wer vor Ort die Tür öffnen darf und wer beim Kunden nachts erreichbar ist.“

Im Rechenzentrum Sicherheit schaffen: konkrete Schritte

Am Anfang steht eine Schwachstellenanalyse. Erst wenn klar ist, wo ein Gelände oder Gebäude verwundbar ist, kann daraus ein Sicherheitskonzept abgeleitet werden, das Technik, Personal und Abläufe verbindet. Die folgenden Schritte helfen beim Einstieg:

• Erfassen aller Zugänge, Zonen und Technikbereiche, auch die Nebeneingänge.
• Schwachstellenanalyse erstellen und daraus ein schriftliches Sicherheitskonzept ableiten.
• Erstellen eines Berechtigungskonzeptes für die Zutrittskontrolle und regelmäßige Prüfung.
• Prüfung der Nachweise des Wachpersonals: Erlaubnis nach § 34a GewO, Sachkunde, Bewacherregister und Führungszeugnis.
• Kontrollgänge mit einem Wächterkontrollsystem erfassen und regelmäßige Auswertung.
• Alarmkette und Eskalationsliste festlegen und beides mindestens einmal durchspielen.
• Qualitätsnachweisen des Dienstleisters anfordern, etwa ein zertifiziertes Qualitätsmanagement, das eine unabhängige Prüforganisation bestätigt hat.

Physische Sicherheit ist kein einmaliges Projekt. Mieter wechseln, Umbauten verändern Wege, und Personal kommt und geht. Es müssen deshalb feste Termine eingeplant werden, an denen das Konzept, Berechtigungen und Abläufe gemeinsam mit dem Dienstleister überprüft werden. Zudem erforderlich ist eine Abstimmung mit der IT-Sicherheit, denn ein Vorfall im Serverraum betrifft fast immer beide Seiten.