Sobald ein Rechenzentrum einen Cyber-Angriff feststellt, muss schnell und koordiniert gehandelt werden. Für meldepflichtige Betreiber kritischer Infrastrukturen in der Schweiz gilt seit dem 1. April 2025 eine Frist von 24 Stunden für die Erstmeldung an das Bundesamt für Cybersicherheit. Betriebsteams müssen deshalb jederzeit wissen, wer Zugang zu sensiblen Bereichen hatte, welche Berechtigungen galten und wie sich Entscheidungen nachvollziehbar belegen lassen. Primion informiert, welche Massnahmen dafür in den operativen Alltag gehören.
Schweizer Vorgaben richtig einordnen
Den rechtlichen Rahmen bilden das Informationssicherheitsgesetz und die Cyber-Sicherheitsverordnung. Sie regeln die Meldepflicht für Cyber-Angriffe auf kritische Infrastrukturen, definieren meldepflichtige Ereignisse und sehen Ausnahmen für bestimmte Behörden und Unternehmen vor. Ob ein Rechenzentrum darunter fällt, hängt von dessen Funktion, den Leistungen und gesetzlichen Kriterien ab.
Meldepflicht innerhalb von 24 Stunden
Betroffene Organisationen müssen einen Cyber-Angriff innerhalb von 24 Stunden nach seiner Entdeckung an das Bundesamt für Cybersicherheit melden. Sind zu diesem Zeitpunkt noch nicht alle Angaben verfügbar, kann die Meldung innerhalb von 14 Tagen vervollständigt werden. Das bedeutet: Zuständigkeiten, Abläufe und Informationswege müssen bereits vor einem Vorfall klar geregelt und kommuniziert werden.
Sicherheitsbereiche klar festlegen
Eine wirksame Absicherung beginnt mit der Einteilung des Rechenzentrums in klar definierte Sicherheitsbereiche. Anlieferung, Betriebsflächen, Leitstand, Serverräume und besonders geschützte Kundenzonen benötigen jeweils eigene Zutrittsregeln. Auf dieser Grundlage entsteht eine Zutrittsmatrix. Sie legt fest, wer welche Bereiche aus welchem Grund betreten darf. Berechtigungen sollten sich an der tatsächlichen Aufgabe orientieren und regelmässig überprüft werden. Lässt sich ein Zutrittsrecht nicht eindeutig begründen, gehört es auf den Prüfstand.
Externe Zugänge konsequent steuern
Rechte für externe Fachkräfte, Lieferanten und Wartungsunternehmen müssen besonders aufmerksam geprüft werden. Ihre Berechtigungen sollten beantragt, genehmigt, zeitlich begrenzt und nach Abschluss des Einsatzes automatisch entzogen werden. Die dokumentierte Begründung für jeden Zutritt ist besonders relevant: Sie zeigt welche externen Personen aktuell Zutrittsrechte besitzen, welche Bereiche sie betreten dürfen und wer die Freigabe erteilt hat. So wird aus einer technischen Berechtigung ein nachvollziehbarer und kontrollierter Prozess.
Nachweise müssen sofort verfügbar sein
Zutrittsereignisse lediglich zu speichern, genügt nicht. Entscheidend ist, ob sich die Informationen schnell und vollständig abrufen lassen. Betriebsteams sollten deshalb regelmässig testen, ob sie kurzfristig belegen können, wer einen bestimmten Bereich betreten hat, wann dies geschah und auf welcher Grundlage der Zutritt erfolgte. In Rechenzentren mit mehreren Klienten muss diese Nachvollziehbarkeit auch für einzelne Kundenzonen gewährleistet sein. Berechtigungen, Protokolle und räumliche Abgrenzungen müssen klar voneinander getrennt bleiben.
Zutrittskontrolle auch bei Ausfällen gewährleisten
Ein Netzwerkausfall darf die physische Sicherheit nicht ausser Kraft setzen. Betreiber müssen festlegen, welche Berechtigungen lokal bestehen bleiben, wie Ereignisse weiterhin erfasst werden und wer im Notbetrieb einen manuellen Zutritt genehmigen darf. Nach der Wiederherstellung der Verbindung müssen die gespeicherten Informationen vollständig synchronisiert werden. Dieses Szenario sollte regelmässig getestet werden. Nur eine erprobte Lösung zeigt, ob die vorgesehenen Abläufe auch unter realen Bedingungen funktionieren.
Vorfälle üben und Erkenntnisse nutzen
Ein schriftlicher Reaktionsplan schafft noch keine Handlungssicherheit. Übungen zu unbefugten Zutrittsversuchen, verlorenen Ausweisen oder dem unerkannten Mitgehen durch eine gesicherte Tür zeigen, ob Verantwortlichkeiten und Meldewege tatsächlich funktionieren. Die Ergebnisse müssen dokumentiert und in die bestehenden Prozesse übernommen werden. So entsteht ein fortlaufender Verbesserungsprozess, der technische Kontrollen, organisatorische Abläufe und menschliches Handeln miteinander verbindet.
Verantwortung nachvollziehbar dokumentieren
Sicherheitsrichtlinien, Zonen-Konzepte und Risikobewertungen benötigen klare Zuständigkeiten und dokumentierte Freigaben. Die Geschäftsleitung muss erkennen können, welche Risiken bestehen, welche Massnahmen umgesetzt wurden und wo weiterer Handlungsbedarf besteht. Für den sicheren Betrieb zählt deshalb nicht nur, ob Schutzmassnahmen vorhanden sind. Entscheidend ist, ob das Unternehmen ihre Wirksamkeit, die zugrunde liegenden Entscheidungen und die Reaktion auf einen Vorfall jederzeit nachvollziehbar belegen kann.
Anzeige:
