Thought Leadership
Ulrich Parthier, Herausgeber IT Management, spricht mit Florian Sippel, COO und Rechenzentrumsplaner bei noris network AG, über neue Hochsicherheitsrechenzentrumsflächen des Nürnberger IT-Dienstleisters.
noris network wirbt seit Langem mit den hohen Sicherheitsstandards ihrer Rechenzentren. Inwiefern ist Ihr jüngster Neubau etwas Besonderes?
Florian Sippel: Unser neues Colocation-Rechenzentrum in Nürnberg wird derzeit nach Trusted Site Infrastructure Level 4 und DIN EN 50600 zertifiziert und gehört damit nach diesen Kriterien zum sichersten Colocation-Rechenzentrum in Deutschland. Weltweit gibt es erst 12 Rechenzentren, die dieses Niveau erreicht haben. Bisher gibt es keine Einrichtungen auf diesem Niveau, in denen Unternehmen Flächen und Cages für die eigenen Server mieten könnten und gleichzeitig IT- und Cloud-Services aus einer Hand beziehen.
Wenn man bedenkt, dass viele Bankenrechenzentren nicht mehr als TSI Level 3 haben, erscheint ein Colocation-Rechenzentrum mit TSI Level 4, mit Verlaub, ein wenig extrem. Wie kommt man darauf, so etwas anzustreben?
Florian Sippel: Im Gegensatz zur Klassifikation nach dem Standard des Uptime Institute endet die Auditierung nach dem Trusted-Site-Infrastructure-Standard nicht mit der Inbetriebnahme, sondern umfasst auch den Betrieb. Das ist extrem sinnvoll und kommt unserem Anspruch gelebter Sicherheit entgegen. Wir hatten am Standort Nürnberg Süd, direkt neben unserer Unternehmenszentrale, noch freie Fläche und haben dort nebeneinander zwei weitere Rechenzentren mit zusammen 4.000m Quadratmetern IT-Fläche errichtet. Das eine haben wir für FI-TS gebaut, die Finanz Informatik Technologie Service GmbH & Co. KG, ein IT-Partner von Landesbanken und Finanzwirtschaft. Der Kunde hatte hohe Anforderungen und strebte dafür auch TSI Level 4 an. Wir haben uns entschlossen, in dem zweiten Rechenzentrumsabschnitt mit 2.000 Quadratmetern IT-Fläche das identische Sicherheitsniveau zu verwirklichen, wie wir es für den ersten Kunden erarbei- tet haben und wie es jetzt dem TÜV zur Prüfung vorliegt. Mit beiden Rechenzent- ren gemeinsam in die Auditierung zu gehen, hat Vorteile. So ist bei TSI Level 4 schon die Standortwahl bezüglich möglicher Elementarrisiken und Umgebungsgefahren entscheidend. Hier sind wir in der glücklichen Lage, einen geologisch, städtebaulich und verkehrstechnisch unbedenklichen Standort zu haben – also beispielsweise außerhalb von Einflugschneisen oder fernab von großen Industriebetrieben. Und es gibt natürlich Synergieeffekte: Der Perimeterschutz umfasst beide Rechenzentren. Zu diesem gehören Fahrzeugschleusen und Roadblocker, die auch schwere Lkws stoppen können. Das Gelände ist extrem gut gesichert, die Maßnahmen sind aber dezent gestaltet.
Wie spiegelt sich der Sicherheitsanspruch in der Architek- tur des Rechenzentrums selbst wider?
Florian Sippel: Wie schon bei unserem Rechenzentrum in Aschheim bei München folgt der Bau dem Schalenprinzip aus der EN 50600. Jeweils ein Sicherheitsbereich umschließt den nächsthöheren, es gibt keine direkten Zugänge zur IT-Fläche. Die Zonen sind durch Vereinzelung und biometrische Zutrittskontrolle von jeder anderen Zone getrennt. Diese Prinzipien haben wir in den beiden neuen Rechenzentren perfektioniert. Auch Fahrzeuge, mit denen beispielsweise IT-Equipment angeliefert wird, werden konsequent vereinzelt und an jeder Personenschleuse ist eine Zwei-Faktor-Authentisierung nötig. Die technischen Bereiche mit den modularen Energie- und Klimatisierungszellen, für die wir wieder das energieeffiziente KyotoCooling verwenden, sind baulich getrennt von den IT-Flächen. Es gibt nach Rollen getrennte Flure und Zugangskontrollen für IT-Personal und Techniker. Wer die Notstromaggregate wartet, hat keine Möglichkeit, auch nur in die Nähe von Servern zu kommen.
Sie sagten, ein Vorteil von TSI gegenüber anderen Normen im Bereich der Rechenzentrumsinfrastruktur sei der Fokus auf den Betrieb? Wie gehen Sie da vor?
Florian Sippel: Man braucht starke Prozesse, deren Einhaltung man lückenlos überwachen muss. Das betrifft zum einen die physischen Betriebsbedingungen für die IT-Systeme. Hier haben wir ein einzigartig hohes Maß an Granularität im Monitoring realisiert, beispielsweise beim Sensorennetz für Luftfeuchtigkeit und Temperatur. Das betrifft aber auch die Überwachung jeglicher Aktivitäten. Die Videoüberwachung der Anlage ist lückenlos und zusammen mit der Identifikation jeder Person an jeder vereinzelnden Schleuse ist sichergestellt: In diesen Rechenzentren bewegt sich niemand, dessen genauer Standort nicht in jeder Sekunde dokumentiert wäre. Als zusätzliche Sicherheitsmaßnahme gilt ein Vier-Augen-Prinzip für den Zugang zu IT-Hardware: Cages können nur zu zweit betreten werden, niemals könnte sich eine einzelne Person an den Systemen zu schaffen machen. Das Überwachungssystem lässt keine Ausnahmen zu. Auch nicht für Topmanager. Potenzielle Kunden, die die Anlage besichtigen wollen, müssen Zeit mitbringen. Wer das Rechenzentrum betreten will, muss sich den Prozeduren der Zwei-Faktor-Authentisierung und Vereinzelung unterwerfen.
Wer wären potenzielle Kunden für TSI Level 4 Colocation?
Florian Sippel: Lassen Sie mich ein plakatives, aber durchaus realistisches Szenario nennen: Eine Rechtsanwaltskanzlei, die im Auftrag eines großen internationalen Unternehmens ein Verfahren gegen einen US-Konzern führt. Weder Unternehmen noch Kanzlei werden wollen, dass die Daten auf Servern eines US-Cloud-Anbieters liegen oder dass die Einhaltung wichtiger Eingabefristen an Gerichten durch mangelnde Verfügbarkeit von Systemen gefährdet wird. Es geht um Datenschutz und Datensicherheit. Wer hochverfügbare Systeme betreibt, braucht auch eine extrem zuverlässige Rechenzentrumsinfrastruktur. Und ein TSI-Level-4-Rechenzentrum selbst zu bauen, ist für ein einzelnes Unternehmen nur in Ausnahmefällen wirtschaftlich. Wer durch branchenspezifische Normen oder Auflagen von Aufsichtsbehörden einen sicheren IT-Betrieb nachweisen muss, hat in einem zertifizierten Hochsicherheitsrechenzentrum die besten Voraussetzungen. Wir erwarten Nachfrage besonders aus dem Finanz- und Versicherungsbereich, der Rechtspflege und von KRITIS-Institutionen. Aber auch für industrielle Anwendungen wie Produktionssteuerungssysteme könnte unser neues Rechenzentrum ein sicherer Hort sein. Prinzipiell gibt es zwei Gründe, gerade in diesem Rechenzentrum Flächen zu mieten: ein reales, sehr hohes Schutzbedürfnis oder die Notwendigkeit, höchste Sicherheitsmaßnahmen nachweisen zu können. Gerade Kunden, die hier Verpflichtungen haben, können wir sehr gut unterstützen. Um Ihre Frage zu Anfang nochmals aufzunehmen: Ja, vielleicht sind wir in puncto Zertifizierung und Sicherheit extrem, aber es gibt eben Unternehmen, die sich genau dies von einem IT-Partner wünschen.
Herr Sippel, vielen Dank für dieses informative Gespräch.
Florian Sippel, COO und Rechenzentrumsplaner www.noris.de
