US-Kongress berät über den Status von Rechenzentren als kritische Infrastruktur: Beobachtungen zu Unternehmenssicherheit und Regulierungstrends

Einleitung

Der Unterausschuss für Cybersicherheit und Infrastrukturschutz des Heimatschutzausschusses des US-Repräsentantenhauses hielt diese Woche eine Anhörung ab, um zu erörtern, wie Rechenzentren vor Cyber- und physischen Angriffen geschützt werden können. Angesichts des durch künstliche Intelligenz vorangetriebenen Baubooms bei Rechenzentren und Ereignissen wie dem iranischen Drohnenangriff auf ein Amazon-Rechenzentrum beginnen Gesetzgeber und Branchenexperten zu hinterfragen, ob der derzeitige föderale Schutzrahmen für die Sicherheit von Rechenzentren ausreichend ist. Der Kernstreitpunkt ist, ob Rechenzentren als ein eigener Sektor kritischer Infrastruktur eingestuft und ein spezieller Koordinierungsmechanismus eingerichtet werden sollte. Diese Diskussion betrifft nicht nur die Sicherheit der nationalen Infrastruktur der USA, sondern wird auch tiefgreifende Auswirkungen darauf haben, wie Unternehmen weltweit Cloud-Dienste und Rechenzentren nutzen.

Ereignisübersicht

Laut CyberScoop fand die Anhörung am Mittwoch statt und wurde von Kongressabgeordnetem Andy Ogles geleitet. In seiner Eröffnungsrede wies er darauf hin, dass der derzeitige Rahmen keinen klaren, einheitlichen Ansatz zur Gewährleistung der Sicherheit von Rechenzentren biete, einschließlich der Frage, welche Bundesbehörde für das Verständnis der Risiken, die Koordinierung mit der Branche oder die Leitung der Reaktion bei einem Angriff auf die Infrastruktur zuständig sei.

Die Branchenzeugen und Experten auf der Anhörung vertraten unterschiedliche Ansichten zum aktuellen Zustand der Rechenzentrumssicherheit. Robert Mayer, Senior Vice President der US-Telekommunikationsvereinigung (USTelecom), sagte, dass Rechenzentren als einzigartige Infrastruktur ein eigenes Koordinierungskomitee benötigen, um ihre Sicherheit zu gewährleisten. Mark Montgomery von der Foundation for Defense of Democracies (FDD) empfahl, Rechenzentren und Cloud-Anbieter wegen ihrer überlappenden Eigentumsverhältnisse zu einem Sektor zusammenzufassen. Samuel Visner, Vorsitzender des Vorstands des Space Information Sharing and Analysis Center (Space ISAC), vertrat die Auffassung, dass es „absolut notwendig“ sei, Rechenzentren als kritische Infrastruktur zu betrachten und zu schützen. Scott Algeier, geschäftsführender Direktor des Information Technology Information Sharing and Analysis Center (IT-ISAC), erklärte hingegen, dass Rechenzentren bereits in die Diskussion über kritische Infrastruktur einbezogen seien und bereits eine spezielle Interessengruppe für Rechenzentrumsanbieter eingerichtet worden sei.

Bei den Marktdaten entfallen auf die drei größten Anbieter Amazon AWS, Microsoft Azure und Google Cloud Platform zusammen 63 % des Marktanteils bei Rechenzentren. Großbritannien hat Rechenzentren bereits 2024 als eigenen Sektor kritischer Infrastruktur eingestuft.

Technische und Risikoanalyse

Angriffsmethoden

Die Bedrohungen für Rechenzentren werden vielfältiger und komplexer. Traditionell waren Cyberangriffe wie Ransomware, DDoS-Angriffe und Datenlecks die Hauptrisiken. Da KI Rechenzentren jedoch zum Kern der digitalen Wirtschaft macht, nehmen auch physische Angriffe und hybride Angriffe zu. So hat der Iran beispielsweise Drohnen gegen ein Amazon-Rechenzentrum eingesetzt – eine neuartige hybride Bedrohung aus „physisch und Cyber“. Darüber hinaus senkt die Verbreitung von KI-Technologie die Hürde für Angriffe, da Angreifer Schwachstellen effizienter entdecken und automatisierte Angriffe starten können.

AngriffsketteAngreifer können Rechenzentren über die Lieferkette, Dienste Dritter oder Insider infiltrieren. Angriffe auf die Lieferkette können auf Hardware-, Software- oder Service-Ebene erfolgen, beispielsweise durch das Einschleusen bösartiger Firmware oder Hintertüren. Social Engineering und der Diebstahl von Anmeldeinformationen sind ebenfalls häufige Einstiegswege, insbesondere Phishing-Angriffe gegen das Betriebspersonal von Rechenzentren. Sobald Angreifer Zugriff erlangen, können sie Daten stehlen, Systeme verschlüsseln oder die Infrastruktur beschädigen, was zu Dienstunterbrechungen und Reputationsverlust führt.

Betroffene Assets

Rechenzentren beherbergen kritische Rechen-, Speicher- und Netzwerkressourcen. Betroffene Assets umfassen Server, Speichersysteme, Netzwerkgeräte, Kühl- und Stromversorgungssysteme sowie Virtualisierungs- und Cloud-Management-Plattformen. Jede Unterbrechung kann zur Nichtverfügbarkeit von Diensten führen und alle Unternehmen beeinträchtigen, die auf diese Dienste angewiesen sind. Darüber hinaus sind KI-Computing-Cluster besonders empfindlich gegenüber Stromversorgung und Kühlung; physische Angriffe können schwerwiegendere Kettenreaktionen auslösen.

Analyse der Auswirkungen auf Unternehmen

Betriebsrisiko

Rechenzentren sind das Fundament digitaler Geschäfte. Sobald sie angegriffen oder unterbrochen werden, kommt der Geschäftsbetrieb direkt zum Erliegen. Wenn beispielsweise die kritischen Anwendungen eines Unternehmens in einem angegriffenen Rechenzentrum gehostet werden, kann dies zu Produktionsunterbrechungen, Kundenverlust und Umsatzeinbußen führen. Für Branchen, die auf Echtzeit-Datenanalysen angewiesen sind, wie Finanz- und Fertigungsindustrie, sind die Auswirkungen besonders schwerwiegend.

Finanzrisiko

Neben direkten Umsatzeinbußen stehen Unternehmen auch Kosten für Datenreparatur, Systemwiederherstellung, Rechtsstreitigkeiten und Bußgelder gegenüber. Kommt es zu einer Datenpanne, drohen zudem behördliche Geldstrafen und Schadensersatzforderungen. Laut einem IBM-Bericht steigen die durchschnittlichen Kosten von Datenpannen weiter an; Unternehmen müssen daher mehr Budget dafür einplanen. Darüber hinaus kann ein Unternehmen in Vertragsverzug geraten und vertragliche Schadensersatzzahlungen leisten müssen, wenn ein Rechenzentrum aufgrund eines Sicherheitsvorfalls ein geringeres Servicelevel bietet.

Compliance-Risiko

Mit der Verschärfung der Regulierung kritischer Infrastruktur könnten Rechenzentren und die von ihnen abhängigen Unternehmen neuen Compliance-Anforderungen gegenüberstehen. Falls die USA Rechenzentren schließlich als eigenständige kritische Infrastruktur einstufen, müssen betroffene Unternehmen möglicherweise zusätzliche Sicherheitsstandards, Berichtspflichten und Prüfungsanforderungen erfüllen. In ähnlicher Weise werden auch die Vorschriften in der EU, im Vereinigten Königreich und anderswo strenger; multinationale Unternehmen müssen sich mit mehreren Regelwerken auseinandersetzen.

Markenrisiko

Das Serviceniveau eines Rechenzentrums wirkt sich direkt auf das Kundenvertrauen aus. Schwere Sicherheitsvorfälle können den Ruf eines Unternehmens schädigen und zu langfristigem Kundenverlust führen. Insbesondere für Cloud-Dienstanbieter kann eine großflächige Unterbrechung oder Datenpanne zu einem Rückgang des Marktanteils führen, während Wettbewerber die Gelegenheit nutzen, Kunden abzuwerben.

Datenrisiko

Rechenzentren speichern große Mengen sensibler Daten, darunter personenbezogene Daten, Geschäftsgeheimnisse und geistiges Eigentum. Im Falle einer Datenpanne können Unternehmen ihren Wettbewerbsvorteil verlieren und sogar in eine Existenzkrise geraten. Für regulierte Branchen wie das Gesundheitswesen und den Finanzsektor kann eine Datenpanne außerdem schwerwiegende rechtliche Konsequenzen nach sich ziehen.

Beobachtung von Branchentrends

Branchentrendbeobachtung

Diese Anhörung ist kein Einzelfall, sondern spiegelt wider, dass sich der Schutzumfang kritischer Infrastruktur ausweitet. Traditionell umfasste kritische Infrastruktur Bereiche wie Energie, Verkehr und Wasserwirtschaft, doch heute sind Rechenzentren zur Stütze aller anderen Sektoren geworden. Die Nachfrage nach KI und Hochleistungsrechnen treibt den Bau von Rechenzentren voran und macht sie zugleich zu lohnenderen Zielen.

Darüber hinaus birgt die Zentralisierung des Cloud-Computing systemische Risiken. Die drei großen Cloud-Anbieter dominieren den Markt, was bedeutet, dass ihr Ausfall oder ihre Beschädigung Kettenreaktionen auslösen kann. Daher ist es nicht überraschend, dass Rechenzentren und Cloud-Dienste in den Schutz kritischer Infrastruktur einbezogen werden. Großbritannien ist bereits vorangegangen, und auch in den USA wird darüber diskutiert. Dies zeigt, dass die staatliche Regulierung und Zusammenarbeit bei Rechenzentren weltweit zunehmen werden. Unternehmen müssen diesen Trend vorhersehen und ihre Risikomanagementstrategien frühzeitig anpassen.

Verteidigungs- und Reaktionsempfehlungen

Auf Unternehmensebene

• Bewerten Sie den Grad der Abhängigkeit von Rechenzentren und identifizieren Sie kritische Systeme und Datenstandorte.
• Arbeiten Sie mit Rechenzentrumsanbietern zusammen, um deren Sicherheitsmaßnahmen und Notfallpläne zu verstehen.
• Implementieren Sie Multi-Cloud- und Hybrid-Cloud-Strategien, um einseitige Abhängigkeiten zu vermeiden und das Risiko einer Anbieterbindung zu verringern.
• Führen Sie regelmäßig Geschäftsauswirkungsanalysen durch, um akzeptable Ausfallzeiten und Toleranzen für Datenverluste festzulegen.

Auf technischer Ebene

• Setzen Sie eine Zero-Trust-Architektur um, um den Zugriff auf Rechenzentren zu minimieren und kontinuierlich zu verifizieren.
• Stärken Sie die Fähigkeiten zur Endpoint Detection and Response (EDR) und Extended Detection and Response (XDR), um die Bedrohungssichtbarkeit zu verbessern.
• Verschlüsseln Sie Daten (bei der Übertragung und im Ruhezustand) und implementieren Sie ein strenges Schlüsselmanagement.
• Erhöhen Sie die Investitionen in physische Sicherheit, z. B. durch Multi-Faktor-Authentifizierung (MFA), biometrische Verfahren, Videoüberwachung und Einbruchmeldesysteme.
• Erwägen Sie die Bereitstellung von Honeypots oder Täuschungstechnologien, um interne Angreifer zu ködern.

Auf Managementebene

• Entwickeln Sie einen Incident-Response-Plan und führen Sie regelmäßig Übungen durch, um eine schnelle Reaktion auf physische Angriffe und Cyber-Angriffe sicherzustellen.
• Beobachten Sie die politischen Entwicklungen, gehen Sie frühzeitig auf potenzielle Compliance-Anforderungen ein und arbeiten Sie mit der Rechtsabteilung zusammen, um die Auswirkungen zu bewerten.
• Beteiligen Sie sich an Aktivitäten wie Information Sharing and Analysis Centers (ISAC), um zeitnahe Bedrohungsinformationen zu erhalten.
• Kommunizieren Sie mit Versicherungsunternehmen, um den Umfang der Cyber-Versicherung zu verstehen und sicherzustellen, dass die Police zum Risiko passt.
• Bauen Sie Kommunikationskanäle zu staatlichen Aufsichtsbehörden auf und beteiligen Sie sich am politischen Entscheidungsprozess.

SecurityPost Insight

Rechenzentren wandeln sich von „Backend-Einrichtungen“ zu nationaler kritischer Infrastruktur. Dieser Wandel wird die Grenzen der unternehmerischen Sicherheitsverantwortung neu definieren. Die Diskussionen im US-Kongress markieren, dass politische Entscheidungsträger beginnen, die zentrale Rolle von Rechenzentren in der modernen Wirtschaft anzuerkennen. Für Unternehmen ist dies sowohl ein Risiko als auch eine Chance: Einerseits könnten strengere Regulierung und Koordination das Sicherheitsniveau der gesamten Branche anheben; andererseits müssen Unternehmen die Sicherheit von Rechenzentren selbst in den strategischen Risikorahmen einbeziehen – und nicht nur als Frage des IT-Betriebs betrachten.Zukünftig könnten wir sehen, dass mehr Länder Rechenzentren und Cloud-Dienste als kritische Infrastruktur betrachten und entsprechende Sicherheitsstandards und Vorschriften erlassen. Unternehmen sollten frühzeitig mit Branchenorganisationen zusammenarbeiten, sich an politischen Diskussionen beteiligen und sicherstellen, dass ihre eigenen Bedürfnisse berücksichtigt werden. Gleichzeitig müssen Unternehmen ihre eigenen Sicherheitsfähigkeiten für Rechenzentren stärken, unabhängig von ihrem Betriebsmodell. Letztendlich wird die Sicherheit von Rechenzentren zum Eckpfeiler der digitalen Resilienz von Unternehmen werden, nicht nur zu einem technischen Detail.

---

Quelle: Congress, industry ponder government posture for protecting data centers | CyberScoop