1. FSV Mainz 05 – Zuverlässig in der Abwehr

Wenn in der Bundesliga der Ball rollt, konzentriert sich jeder Fan auf das Spiel seiner Mannschaft. Im Hintergrund läuft die IT-Abteilung auf Hochtouren, um „Eigentore“ zu vermeiden. 

Der Verein 1. FSV Mainz 05 e.V zählt inzwischen zu den etablierten Sportvereinen in der Bundesliga. Die MEWA Arena bietet Platz für mehr als 33.000 Fans. Im Unterschied zu gängigen Büronetzen, sorgt der Spielbetrieb für besondere Anforderungen an die IT: So ist beispielsweise das Wi-Fi-Netz eines Stadions gekennzeichnet durch komplexe und anspruchsvolle Servicebereitstellung in Echtzeit.

In der IT-Infrastruktur eines Fußballvereins ist ein reibungslos funktionierendes Wi-Fi-6-Netz ein zentraler Faktor für die Besucherzufriedenheit, denn Zuschauer möchten das Live-Erlebnis via Smartphone filmen und beispielsweise in den sozialen Medien mit Freunden oder der Familie teilen. Journalisten und Fans verbinden sich zeitgleich mit dem Stadion-Netzwerk, haben jedoch getrennte Zugänge. Außerdem ist die Nutzung der Mainz-05-App ein wichtiger Faktor für die Fanbindung des Vereins und die Möglichkeit, in engem Kontakt mit seinen Fans zu bleiben. Im Wettbewerb mit TV-Angeboten, wird es immer wichtiger, das Erlebnis im Stadion multimedial zu gestalten. Die große Herausforderung besteht somit in der Bereitstellung eines ausreichenden Signals, aber vor allen Dingen der extrem hohen Benutzerdichte. So wurden an einem typischen Spieltag 1.472 autorisierte Verbindungen und 8.775 unautorisierte Verbindungen mit insgesamt 50 Gerätegruppen genutzt.

Das Wi-Fi-Netz des 1. FSV Mainz 05 e.V. muss in der Lage sein, Benutzer zu erkennen, deren Netzwerkzugriff zu kontrollieren, differenzierte Services bereitzustellen und widerstandsfähig vor potenziellen Sicherheitsbedrohungen geschützt sein.

Hybride Kommunikations-Infrastruktur – hohe Anforderungen an die IT-Sicherheit

Neben den Kommunikationsanforderungen der Fans ist die IT-Abteilung des 1. FSV Mainz 05 e.V. mit einer Vielzahl von Themen beschäftigt. So stellt auch die Bürokommunikation der 1.095 Mitarbeiter, darunter 460 Office-Nutzer, höchste Herausforderungen an eine reibungslose und vor ungewollten Zugriffen geschützte IT. Zu den internen Nutzern, die die sowohl stationär als auch mobil arbeiten, kommen nochmals regelmäßig rund 700 externe Nutzer der Kommunikationssysteme hinzu, die beispielsweise einen Netzwerkzugang für die Wartung der 210 Kassensysteme benötigen. Die Administration von Gastzugängen muss sowohl einfach als auch sicher sein. Und nicht zuletzt besteht die gewachsene IT-Infrastruktur alleine aus 155 Netzwerkswitches, 380 Access Points und 7.500 Netzwerk-Ports verschiedener Hersteller. Diese speziellen Anforderungen, insbesondere an die Netzwerksicherheit, veranlassten Karsten Lippert, Leiter ICT & Digitalisierung des Clubs, sich mit der Auswahl einer Lösung für Netzwerkzugangskontrolle, auch im Hinblick auf die Anforderungen der DSGVO, zu befassen.

Schnelle Übersicht, niedrige Komplexität und hohe Effizienz

„Vor Projektbeginn hatte ich die Befürchtung, dass durch die Einführung einer Netzwerksicherheitslösung unter Umständen vermehrt Störungen am Spieltag auftreten könnten. Auch schien mir eine möglicherweise lange Einführungsdauer kontraproduktiv, denn durch die vielen Anforderungen, beispielsweise im Hinblick auf Datenschutzthemen, ist unsere IT-Abteilung mehr als ausgelastet“. In Zusammenarbeit mit einem lokalen IT-Systemhaus konnten die Experten der macmon secure GmbH die anfänglichen Befürchtungen schnell ausräumen. Das Projekt startete mit einer ausführlichen Risikoanalyse. In dieser Phase stellte sich unter anderem heraus, dass die Verbindung zwischen Switches und Access Points der kritischste abzusichernde Zugangspunkt in das Netzwerk ist, da auf den Anschlüssen der Access Points nahezu alle im Netz verwendeten VLANs anliegen und diese an „ungesicherten“ Orten (zum Beispiel Außenwände, Laternenmasten, etc.) angebracht sind, so dass eine Demontage nicht ausgeschlossen werden kann. Exakt die Netzwerkgerät-zu-Netzwerkgerätverbindung kann jedoch durch klassisches 802.1x nicht abgedeckt werden und alternative Methoden wie macsec-Verschlüsselung werden von den meisten Edge-Switches und APs nicht unterstützt. Diese Herausforderung löste macmon Network Access Control (NAC) mit der Simple Network Management Protocol (SNMP)-NAC-Funktionalität mit entsprechenden Event-Überwachungen und insgesamt nur drei Regeln. Zum einen werden am Spieltag zwei isolierte Netze für die Gast-Mannschaft und die Heim-Mannschaft in vorgegebenen Bereichen aktiv geschaltet. Zum anderen werden Access Point Ports gesondert behandelt, solange diese mit der Infrastruktur verbunden sind.