Von NIS2 bis zur Lieferkette: Rechenzentren werden zum Schnittpunkt von Regulierung und Cyberrisiken

Einleitung

Rechenzentren sind längst nicht mehr nur eine Kombination aus Immobilien und Gebäudetechnik; sie sind die physische Trägerschicht für Cloud-Computing, KI-Training, industrielle Steuerungssysteme und staatliche Datenverarbeitung. Die internationale Anwaltskanzlei Squire Patton Boggs hat auf ihrer öffentlich zugänglichen Themenseite „Data Centers“ (Rechenzentren) die Themen des gesamten Lebenszyklus dieser Branche – von der Standortwahl über Finanzierung, Bau und Betrieb bis zur Streitbeilegung – systematisch aufbereitet, wobei Cybersicherheit, Datenschutz, regulatorische Compliance und Lieferkettenrisiken als eigenständige Schwerpunktbereiche aufgeführt werden. Diese Perspektive verdient die Aufmerksamkeit von Sicherheitsverantwortlichen in Unternehmen: Wenn Regulierungsbehörden und Kapitalgeber beginnen, Rechenzentren als kritische Infrastruktur zu betrachten, ist Sicherheit nicht mehr nur eine Angelegenheit des Betriebsteams, sondern rückt in Vertragsklauseln, Finanzierungsbedingungen und Diskussionen zur Corporate Governance.

Themenüberblick: Eine Branchenlandkarte aus juristischer Perspektive

Bei diesem Themenschwerpunkt handelt es sich nicht um die Offenlegung eines bestimmten Sicherheitsvorfalls, sondern um eine Themenlandkarte für Akteure über den gesamten Lebenszyklus von Rechenzentren. Die auf der Seite aufgeführten Schwerpunktbereiche umfassen:

• KI: Die Einführung und Entwicklung von KI-Lösungen durch Unternehmen treibt die Nachfrage nach Rechenzentrumskapazität deutlich in die Höhe; damit verbundene Themen umfassen zugleich Datenschutz, geistiges Eigentum, Wettbewerbsrecht und Regulierungspolitik.
• Cloud-Hosting-Dienste: Sie umfassen IaaS, PaaS, SaaS, Hyperscale-Umgebungen, Edge- und verteiltes Computing sowie die Auslagerung geschäftskritischer Plattformen und Datenlieferketten mit mehreren Beteiligten.
• Cybersicherheit: Dazu gehören Optionen und Pflichten bei der Reaktion auf Vorfälle wie Ransomware, Verlust personenbezogener Daten, unbefugte Offenlegung und Phishing, die Abstimmung mit Strafverfolgungsbehörden, Aufsichtsbehörden, Datenschutzstellen und Versicherern, Benachrichtigungen über Datenschutzverletzungen, Reaktionen im Krisenmanagement sowie daraus resultierende Rechtsstreitigkeiten.
• Datenschutz: die Vorschriften, Strategien und Prozessrisiken im Zusammenhang mit Datenerhebung, Kommerzialisierung, Speicherung und grenzüberschreitender Übermittlung.
• Kartellrecht und Wettbewerb: No-Poach-Vereinbarungen im Bereich des Rechenzentrumsbaus, der Austausch wettbewerbssensibler Informationen (wie Preis- und Kundendaten) sowie die Prüfung der Marktmacht von Hyperscalern; bei den regulatorischen Compliance-Risiken werden ausdrücklich die EU-NIS2-Richtlinie und der Data Act genannt.
• Bauwesen: unterbrechungsfreie Stromversorgung (UPS), Kühllösungen, Gebäudemanagementsysteme (BMS), Brandschutz und Sicherheit, Heizungs-, Lüftungs- und Klimatechnik (HVAC), modulare Bauweise, kritische Tests und Inbetriebnahmeverfahren, die Weitergabe von Betriebs- und Wartungsvereinbarungen sowie Service-Level-Agreements (SLA) an nachgelagerte Vertragspartner.
• Unternehmensstruktur und Finanzierung: OPCO/PROPCO-Strukturen, M&A-Transaktionen sowie die Ausgestaltung der Finanzierbarkeit rund um Stromverfügbarkeit, Resilienz, langfristige Grundstücksvereinbarungen, Glasfaserverbindung, Redundanz und Service-Level-Verpflichtungen, einschließlich phasenweiser Bauweise, modularer rollierender Bereitstellung, Kapazitätsreservierung und abgestufter Inbetriebnahme in Verbindung mit Resilienz- und Leistungstests.
• Energie: Angesichts der Belastung der Stromnetze die Verlagerung hin zu Vor-Ort-Erzeugung und dedizierten Stromversorgungsarrangements sowie das Management von CO2-Emissionen und Risiken durch Schwankungen an den Energiemärkten.Diese Punkte skizzieren gemeinsam eine Tatsache: Die Risikogrenze von Rechenzentren ist weitaus breiter als die „Sicherheit des Serverraums“.

Technische und Risikoanalyse: Die vier Ebenen der Angriffsfläche von Rechenzentren

Nach der Darstellung in diesem Dossier lassen sich die Cyber- und Betriebsrisiken von Rechenzentren grob in vier einander überlagernde Ebenen unterteilen.

Erste Ebene: physische und gebäudetechnische Systemebene. USV, Kühlung, BMS, Brandschutz- und Sicherheitssysteme gehörten ursprünglich zum technischen Bereich, doch in modernen Rechenzentren sind sie in der Regel vernetzt und aus der Ferne verwaltbar. Wenn BMS und Betriebsnetze nicht vom IT-Netz getrennt sind, können Angreifer über Einstiegspunkte auf der Technikseite die Verfügbarkeit beeinträchtigen. Das Dossier führt BMS, Brandschutz und Sicherheitstechnik zusammen mit USV und Kühlung als Vertrags- und Technikthemen auf; dies zeigt, dass diese Systeme zugleich Sicherheitsausrüstung und angegriffene Assets sind.

Zweite Ebene: Cloud- und Hosting-Plattformebene. IaaS, PaaS, SaaS, Hyperscale-Umgebungen, Edge- und Distributed Computing sowie die Auslagerung geschäftskritischer Plattformen bilden eine Dienstleistungskette mit vielen Beteiligten und mehrstufiger Auslagerung. Wo die Verantwortungsgrenzen liegen, wer worauf zugreifen darf und wie Störungen und Sicherheitsvorfälle gemeldet werden, muss vertraglich eindeutig geregelt sein; in der Praxis werden diese Details jedoch häufig durch Formulierungen zu SLO und SLA verdeckt.

Dritte Ebene: Identitäts- und Datenebene. Benachrichtigung bei Datenlecks, grenzüberschreitende Datenübermittlung, Datensouveränität und Kommerzialisierung von Daten sind Themen, die das Dossier wiederholt anspricht. Wird das Identitätssystem kompromittiert, erlangen Angreifer nicht nur die Daten eines einzelnen Kunden, sondern möglicherweise die Fähigkeit zur lateralen Bewegung in einer Multi-Tenant-Umgebung.

Vierte Ebene: Lieferketten- und Drittanbieterebene. Modulare Bauweise, Beschaffung von Ausrüstung mit langen Vorlaufzeiten, Subunternehmer, Lieferanten und Co-Investoren gelangen alle in die Bereitstellungs- und Betriebskette von Rechenzentren. Das Dossier erwähnt ausdrücklich, dass seine Cybersicherheitsarbeit Due-Diligence-Prüfungen von Drittanbietern, Fusionen und Übernahmen sowie Joint Ventures umfasst. Diese Ebene ist oft am schwersten zu prüfen und diejenige, bei der im Schadensfall am schwersten schnell Verantwortlichkeiten abzugrenzen sind.

Es ist darauf hinzuweisen, dass der Quelleninhalt eine thematische Aufbereitung aus rechtlicher und geschäftlicher Perspektive darstellt und keine konkreten Angriffsfälle, Angreifergruppen oder statistischen Daten offenlegt. Daher werden in diesem Beitrag keinerlei Schlussfolgerungen zur Angriffshäufigkeit, zur Schadenshöhe oder zur Attribution gezogen.

Analyse der Unternehmensauswirkungen

Operatives Risiko. Die Verfügbarkeit von Rechenzentren entscheidet unmittelbar darüber, ob nachgelagerte Geschäftsprozesse laufen können. Sobald Systeme auf der Technikseite (Stromversorgung, Kühlung, BMS) beeinträchtigt werden, ist die Auswirkung physischer Natur und kann nicht durch einen Wechsel der Cloud-Region umgangen werden.

Finanzielles Risiko. Der Finanzierungsteil des Dossiers zeigt, dass Stromverfügbarkeit, Resilienz, Redundanz und Service-Level-Verpflichtungen selbst Bewertungsfaktoren für die Bankfähigkeit sind. Eine schlechte Sicherheits- und Resilienzleistung kann die Finanzierungsbedingungen und den Projektzeitplan unmittelbar beeinflussen; Kapazitätsreservierung und stufenweise Inbetriebnahme sind an Resilienztests gekoppelt, was bedeutet, dass ein „Nichtbestehen der Tests“ klare geschäftliche Konsequenzen hat.Compliance-Risiko. Im EU-Kontext werden die NIS2-Richtlinie und der Data Act ausdrücklich als branchenspezifische regulatorische Anforderungen aufgeführt; zugleich betrifft dies die Abstimmung mit mehreren Parteien: Datenschutzbehörden, Strafverfolgungsbehörden und Versicherern. Für multinational tätige Rechenzentrumsunternehmen kann dasselbe Sicherheitskontrollset unterschiedliche Meldefristen und Nachweisanforderungen in mehreren Jurisdiktionen erfüllen müssen.

Marken- und Kundenvertrauensrisiko. Ein einziges Datenleck in einer Multi-Tenant-Umgebung betrifft alle Mieter. Im Dossier werden „Meldung von Datenlecks“, „Reaktion im Krisenmanagement“ und „damit verbundene Rechtsstreitigkeiten“ nebeneinander genannt, was darauf hinweist, dass die Folgenkette eines Vorfalls von der technischen Reaktion bis zur Kundenkommunikation, regulatorischen Meldung und rechtlichen Verfahren reicht.

Datenrisiko. Die Themen Datensouveränität, grenzüberschreitende Übermittlung und Datenkommerzialisierung sind miteinander verwoben; das bedeutet, dass der Datenablageort und die Zugriffspfade selbst Compliance-Entscheidungen sind und keine reinen technischen Architekturentscheidungen.

Beobachtung der Branchentrends

Erstens: KI-getriebener Kapazitätsbedarf und Sicherheitsbedarf steigen gleichzeitig. Das Dossier weist darauf hin, dass die Einführung von KI den Kapazitätsbedarf von Rechenzentren deutlich erhöht. Kapazitätserweiterungen gehen üblicherweise mit schnellem Lieferdruck einher, und schnelle Bereitstellung und strenge Sicherheitsprüfungen stehen in ihrem Tempo naturgemäß in Spannung zueinander.

Zweitens: Regulierung entwickelt sich von „Empfehlungen“ hin zu „durchsetzbaren Pflichten“. NIS2 und der Data Act werden namentlich genannt und stehen in direktem Zusammenhang mit Zielen wie „Anbieterwechsel fördern“ und „Sicherheit schützen“, was zeigt, dass die Regulierung nicht nur die Sicherheit einzelner Punkte im Blick hat, sondern auch Marktstruktur und Substituierbarkeit.

Drittens: Sicherheit wird zunehmend in kommerzielle Verträge geschrieben. UPS, Kühlung, BMS, Brandschutz und Sicherheitstechnik, SLA-Weitergabe, Betriebs- und Wartungsverträge – diese Klauseln verwandeln Sicherheits- und Resilienzanforderungen im Kern in einklagbare vertragliche Pflichten. Dies verändert die Rolle der Sicherheitsteams: Sie müssen zunehmend technische Einschätzungen für Einkauf und Rechtsabteilung liefern.

Viertens: Energiebeschränkungen werden zur Resilienzvariable. Der Druck auf die Stromnetze treibt Vor-Ort-Stromerzeugung und dedizierte Stromversorgungsanschlüsse voran; Energiesicherheit und Cybersicherheit stehen auf derselben Risikoliste nebeneinander.

Fünftens: Branchenkonsolidierung erzeugt Due-Diligence-Druck. Mit zunehmenden M&A-Transaktionen, strategischen Partnerschaften und wechselseitigen Minderheitsbeteiligungen wird der Cybersicherheitsstatus Teil der Transaktions-Due-Diligence und der Abschlussbedingungen.

Insgesamt betrachtet ist dies kein isoliertes Ereignis, sondern ein struktureller Wandel der Branche: Die Rolle von Rechenzentren wandelt sich von „Einrichtung“ zu „reguliertem kritischem Asset“.

Empfehlungen zu Verteidigung und Reaktion

Unternehmensebene (Identität und Zugriff)

• Für Betrieb, Engineering und Remote-Zugriffe Dritter starke Authentifizierung und Least Privilege implementieren; gemeinsam genutzte hochprivilegierte Konten vermeiden.
• Management-Schnittstellen von Engineering-Systemen wie BMS, UPS und Kühlung netzseitig isolieren und klare Grenzen sowie Monitoring zum IT-Netz etablieren.
• Den Umfang des Schwachstellenmanagements auf Engineering-Software und -Firmware ausweiten und nicht auf Server und Endgeräte beschränken.

• Technische Ebene (Erkennung und Reaktion)- Mithilfe von SIEM IT- und OT-/Engineering-Logs zusammenführen, damit anomale Vorgänge physischer Systeme auf derselben Zeitachse sichtbar werden.
• EDR/XDR auf Endpunkt- und Serverseite bereitstellen und Threat Intelligence nutzen, um bekannte Vorgehensweisen gegen Managed-Service-Provider und Cloud-Umgebungen zu erkennen.
• In Multi-Tenant-Umgebungen den Schwerpunkt auf die Validierung der Erkennung lateraler Bewegungen legen und nicht nur auf die Validierung des Perimeterschutzes.

Managementebene (Governance und Dritte)

• Einen umsetzbaren Incident-Response-Prozess etablieren, Kontaktwege zu Strafverfolgungs-, Aufsichts- und Datenschutzbehörden sowie Versicherern und interne Befugnisse klar festlegen.
• In Verträgen Sicherheitsanforderungen, Meldefristen, Auditrechte und Verantwortlichkeitszuweisung klar festschreiben und sicherstellen, dass SLAs an Subunternehmer und Lieferanten weitergereicht werden können.
• Drittanbieter-Risikomanagement in die Beschaffungs- und Investitionsentscheidungsphase vorverlagern: Der Cybersicherheitsstatus von Lieferanten, M&A-Zielen und Joint-Venture-Partnern sollte in Due-Diligence-Checklisten aufgenommen werden.
• Resilienzindikatoren bereits in der Finanzierungs- und Bauphase an Inbetriebnahme- und Abnahmekriterien binden, damit Sicherheit und Resilienz nicht erst nach der Lieferung nachgerüstet werden müssen.

SecurityPost Insight

Diese aus rechtlicher Perspektive erstellte Themenkarte für Rechenzentren hat ihren eigentlichen Wert nicht darin, wie viele Risiken sie auflistet, sondern darin, dass sie eine stattfindende Verlagerung offenlegt: Cybersicherheit von Rechenzentren wird von einem KPI des Betriebsteams zu einem Teil von Finanzierungsbedingungen, Vertragsklauseln, M&A-Due-Diligence und regulatorischen Meldungen.

Für Sicherheitsverantwortliche in Unternehmen sind drei Punkte festzuhalten. Erstens: Die Angriffsfläche überschreitet bereits die Grenze zwischen IT und Engineering; BMS, UPS, Kühlung und Brandschutz sind nicht länger nur „Facility-Probleme“, und sie in Asset-Inventar und Logsysteme aufzunehmen ist eine notwendige Maßnahme. Zweitens: Regulierung greift zunehmend über branchenspezifische Regeln ein; die Denkweise hinter NIS2 und dem Data Act – Sicherheit schützen, Wechsel erleichtern, Marktmacht begrenzen – bedeutet, dass Sicherheitsfähigkeit eng mit Marktzugang und Geschäftsbeziehungen gekoppelt wird. Drittens: Der durch KI verursachte Druck zum Kapazitätsausbau wird für geraume Zeit in Spannung zu Sicherheitsüberprüfungen stehen; wer Resilienzanforderungen in die Design- und Vertragsphase vorverlagert, kann eher ein Gleichgewicht zwischen Liefergeschwindigkeit und Risikokontrolle erreichen.

In der kommenden Zeit lohnt es sich, nicht ein einzelnes Ereignis, sondern zwei Veränderungen kontinuierlich im Auge zu behalten: ob die Regulierung „Anbieterwechselbarkeit“ und „Resilienzoffenlegung“ weiter zu verbindlichen Anforderungen macht; und ob in M&A- und Finanzierungsaktivitäten Cybersicherheits-Due-Diligence von einer optionalen zu einer Standardklausel wird. Für CISOs kann eine frühzeitige Beteiligung an Beschaffungs-, Rechts- und Investitionsentscheidungen wertvoller sein als die Anschaffung eines weiteren Sicherheitsgeräts.