31. Juli 2008 - Zutritts-, Zugangs-, Zugriffskontrolle

Schutz für das Herz der Firma

Von der Funktionstüchtigkeit des Rechenzentrums oder Serverraums sowie der darin installierten IT-Systeme hängt häufig die Existenz eines Unternehmens ab. Deshalb müssen Maßnahmen vorhanden sein, um sowohl den Zutritt Unberechtigter in diese Räume als auch unbefugtes Einwirken auf die Rechner und IT-Komponenten zu verhindern. Wir zeigen, auf welche Punkte Sie bei einer Prüfung achten müssen, um die Datensicherheit zu gewährleisten.

Datenschutzkonzept ist Grundlage der Datenschutzorganisation (Bild: Mathias Rosenthal / iStock / Thinkstock)

Um das Ausfallrisiko möglichst klein zu halten, sollten bei der Bestimmung des Standorts, der Lage und der baulichen Sicherheit des Serverraums die Anforderungen an einen störungsfreien Betrieb berücksichtigt worden sein.

Ist der Raum fensterlos und bestenfalls in einem eigenen Trakt untergebracht?

Dadurch lassen sich auch Kosten sparen. So ist z.B. für einen im Gebäudeinneren liegenden, fensterlosen Serverraum ein geringerer Aufwand erforderlich, um die Datensicherheit zu gewährleisten. Schwerer lässt sich ein Raum schützen, der sich im Erdgeschoss befindet und dessen Fenster zu einer öffentlichen Straße führt.

Der Prüfkandidat erhält 100 Punkte, wenn es sogar einen eigenen Sicherheitstrakt gibt – soweit möglich in einem separaten Gebäude –, um Brand- und Sabotagerisiken zu minimieren.

Sind fremde Personen unterwegs?

Auf fremde Personen und Besucher sollten Sie möglichst nicht stoßen. Sie haben in solchen Gebäuden oder Gebäudeteilen nichts verloren.

Wird das Umfeld in die Überwachungsmaßnahmen einbezogen?

Insbesondere für den Fall, dass sich das Rechenzentrum oder der Serverraum im Erdgeschoss befindet, sollten zusätzliche Maßnahmen – z.B. äußere Umschließung, Videoüberwachung des Geländes – vorhanden sein, um von außen kommenden Gefährdungen des Rechenzentrums begegnen zu können.

Wurde auf Hinweisschilder verzichtet?

Rechenzentren und Serverräume sollten unauffällig untergebracht werden. Deshalb ist auf Hinweisschilder wie „Rechenzentrum“ zu verzichten.

Sind Rechenzentrum und Serverraum als Closed-Shop-Betrieb gestaltet?

Der Kreis der Zutrittsberechtigten sollte auf das unbedingt notwendige Personal beschränkt sein. Andere Personen – auch eigene Mitarbeiter – dürfen sich nicht unbeaufsichtigt im Schutzbereich aufhalten. Außerdem ist ihre Anwesenheit zu dokumentieren.

Bei der Verarbeitung besonders sensibler personenbezogener Daten sollte zusätzlich festgelegt sein, zu welchen Zeiten die Räumlichkeiten von den Berechtigten betreten werden dürfen. Zumindest in diesem Fall sind die Anwesenheitszeiten aufzuzeichnen.

Gibt es Regelungen für die Beaufsichtigung Externer?

Für Wartungs- und Reparaturarbeiten, insbesondere wenn sie durch Externe durchgeführt werden, sind Regelungen für deren Beaufsichtigung notwendig. So sollte eine fachkundige Kraft die Arbeiten so weit überwachen, dass sie beurteilen kann, ob unautorisierte Handlungen vollzogen werden.

Auch die Reinigung der Serverräume darf nur unter Aufsicht geschehen. Dabei geht es weniger darum, einen Zugriff auf personenbezogene Daten zu verhindern, als vielmehr eine Beeinträchtigung der Datenverarbeitung, z.B. durch Ziehen eines Stromsteckers, zu vermeiden.

Checkliste zur Sicherheit von Rechenzentren. Diese Checkliste können Sie als Abonnent kostenlos auf dieser Webseite unter Downloads > Arbeitshilfen herunterladen.

Wie wurde die Außen- und Innenhautsicherung umgesetzt?

Maßnahmen zur Außenhautsicherung sollen sowohl Eindringversuchen als auch Einwirkversuchen vorbeugen. Die Innenhautsicherung soll die Anwesenheit unbefugter Personen in den Räumlichkeiten erkennen.

Je nach Lage des Objekts kommen folgende Maßnahmen infrage:

  • Tür- und Fensterschutz (einbruch- und durchbruchhemmende Ausstattung, Einsatz einer Einbruchmeldeanlage für alle Fester und Türen, Installation von Schließkontakt-, Glasbruchmeldern und Türknauf, Spezialverglasung, automatische Rollladensicherung etc.)
  • Installation von Bewegungsmeldern
  • Sicherung von Kellerlichtschächten (z.B. durch stabile, engmaschige Gitterroste und Gitterrostsicherungen)

Erschweren Vereinzelungsanlagen das unberechtigte Eintreten?

Vereinzelungsanlagen sind Drehtüren oder Schleusen, die nur einer Person den Zutritt erlauben und verhindern, dass Zutrittsberechtigte weitere, ungefugte Personen mitbringen und damit die Sicherheitsbarrieren umgehen.

Gibt es Zutrittsregelung durch Magnetkartensysteme oder biometrische Lesesysteme?

Ein Magnetkartensystem gleicht die auf der Karte des Mitarbeiters gespeicherten Daten mit den über ihn gespeicherten Daten ab. Nur bei Übereinstimmung wird der Zutritt gewährt. Als weiteres Sicherheitsmerkmal muss der Mitarbeiter einen PIN eingeben.

Der Zutrittsschutz für den Serverraum lässt sich auch durch biometrische Lesesysteme (z.B. Fingerabdruck) gewährleisten.

Gibt es visuelle Kontrollen?

Im Rahmen einer visuellen Kontrolle erfasst eine Kamera den Mitarbeiter und vergleicht die Daten mit einem gespeicherten Foto. So lässt sich z.B. verhindern, dass ein Unbefugter eine verlorene oder gestohlene Codekarte zum nichtberechtigten Zutritt nutzt.

Erfolgt die Videoüberwachung datenschutzgerecht?

Überwachungskameras werden beim Eingang in das Rechenzentrum bzw. den Serverraum und in den Räumlichkeiten selbst installiert. Sie überwachen sicherheitskritische Stellen und zeichnen Vorkommnisse auf.

Achten Sie dabei darauf, dass zu Auswertungszwecken eine nur vorübergehende (nicht mehr als 72 Stunden) Speicherung der Bilder erfolgt und dass das Persönlichkeitsrecht der Mitarbeiter gewährleistet ist.

Ist die Schlüssel- und (Chip-)Kartenverwaltung revisionsfähig?

Die Schlüssel- und/oder Kartenvergabe für das Rechenzentrum und die Serverräume muss revisionsfähig sein, d.h. es muss erkennbar sein,

  • wer wann welchen Schlüssel oder welche Karte erhalten hat,
  • wie viele Schlüssel bzw. Karten ausgegeben wurden und
  • wie viele noch da sind.
  • Reserveschlüssel sind vorzuhalten und gesichert aufzubewahren.
  • Verloren gegangene Ausweiskarten müssen gesperrt werden.
  • Reservekarten dürfen erst dann freigeschaltet werden, wenn sie dem Nutzer übergeben werden.

Vertrauen ist gut, Kontrollgänge besser

Der Sinn von Kontrollen ist in erster Linie, die Umsetzung von Maßnahmen und die Einhaltung von Anweisungen zu überprüfen sowie Nachlässigkeiten zu beheben, z.B. Fenster zu schließen. In zweiter Linie lassen sich damit Ursachen für diese Nachlässigkeiten erkennen und in Zukunft vermeiden.

Udo Höhn
Udo Höhn ist Referent im Sachgebiet „Technik und Organisation“ beim Bayerischen Landesbeauftragten für den Datenschutz.

Sie glauben, Sie hätten noch so viel Zeit? Falsch! Es gibt mehr zu tun, als Sie vielleicht denken! ▶ Zeit zu handeln