Schlüsselerlebnisse bei der IT-Sicherheit

EVVA ist den Lesern von GIT SICHEHREIT als Hersteller mechanischer und elektronischer Zutrittskontrollsysteme bekannt. Im Folgenden werfen wir einen Blick auf die Sicherheit der eigenen IT-Infrastruktur dieses Unter­nehmens – auf Server, Software und das Netzwerk.

Die Geschichte beginnt im Jahre 1919 mit drei Herren und einem Akronym. Die drei Ingenieure gründeten damals in Wien die Erfindungs-Versuchs-Verwertungs-Anstalt, kurz EVVA. Das Unternehmen ist heute in ganz Europa aktiv und produziert mit seinen 700 Mitarbeitern Sicherheit in Form von Zutrittslösungen, sowohl im mechanischen als auch im elektronischen Bereich. Bezüglich der eigenen IT-Sicherheit verfolgt das Unternehmen einen ganzheitlichen Ansatz. IT-Sicherheit wird nicht als einzelne Aufgabe betrachtet, sondern als integraler Teil aller Technologien, Systeme und Prozesse. Das bedeutet konkret, dass zum Beispiel nicht nur die Daten auf den Computern und Servern selbst gesichert sind, sondern auch die Netzwerke, die die Daten transportieren.

Viele Länder, ein Anbieter
Im Jahr 2002 wollte EVVA Niederlassungen in verschiedenen Ländern neu vernetzen. Gesucht wurde ein Anbieter, der in Deutschland, Österreich und der Schweiz aktiv war und ein eigenes Netz betrieb. Es zeigte sich, dass einige Anbieter zwar mit einer großen Netzabdeckung werben, die Netze aber nicht selbst besitzen. Sie mieten die benötigten Leitungen von anderen Providern. „Nur Anbieter, die eigene Netze betreiben, haben die volle Kontrolle über ihre Leitungen und können bei eventuell auftretenden Problemen schnell selbst reagieren“, meint Bernd Heissenberger, Leiter IT-Servicemanagement EVVA Sicherheitstechnologie. Das Unternehmen aus Österreich entschied sich deshalb für einen Anbieter, der in mehr als 28 Ländern auf der ganzen Welt ein eigenes Netzwerk besitzt, Colt Technology Services.

Kleine Zahl, großer Unterschied
Dieses Unternehmen empfiehlt, Wert auf das Level Agreement (SLA) zu legen. Das Dokument gibt Hinweise darauf, welche Sicherheit und Servicequalität Unternehmen erwarten können. Je mehr Zahlen in dem Dokument, desto transparenter versucht der Anbieter zu sein. In dem Dokument sollte die ISO/IEC 27001 auftauchen. Das ist die internationale Norm, die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) festlegt. Die Norm stellt sicher, dass ausreichende und angemessene Sicherheitskontrollen erfolgen.

Wichtig sind außerdem folgende Informationen: Gibt es zur Service-Verfügbarkeit klare Ziele? Gibt es zu Problembehebungszeiten eindeutige Aussagen? Erwähnt der Anbieter wichtige technische Parameter wie Jitter, Umlaufzeitverzögerung und Paketverlust? Unternehmen sollten darauf achten, dass der Anbieter Verfügbarkeits- und Reparaturziele garantiert. Zuverlässige Provider garantieren Verfügbarkeiten zwischen 99,90 und 99,99 Prozent. Der Unterschied mag gering erscheinen, doch er muss auf Jahresbasis betrachten werden. So kann ein Service mit einer Verfügbarkeit von 99,90 Prozent pro Jahr fast neun Stunden nicht verfügbar sein. Bei einem Service mit einer Verfügbarkeit von 99,99 Prozent beträgt diese Zeit lediglich 50 Minuten. Heissenberg ist mit seinem Netzwerkanbieter sehr zufrieden. Er sagt: „Unser Netz funktioniert und läuft sehr stabil. Wie in unseren SLAs festgelegt, gibt es nahezu keine Störungen.“

Doppelt hält besser
Die Netzwerk-Zuverlässigkeit ist für Evva sehr wichtig, um die tägliche Arbeit störungsfrei zu gewährleisten. Das Unternehmen unterscheidet zwischen vollangebundenen und teilangebundenen Niederlassungen. Vollangebunden sind zwei Standorte in Deutschland sowie ein Standort in der Schweiz. Die Mitarbeiter nutzen für ihre Arbeit Services, die zentral in Wien bereitgestellt werden, zum Beispiel Wikis, Ticket-Lösungen, ERP-Systeme und Citrix-Server, die Desktop-Umgebungen simulieren. Eine eigene IP-VPN-Standleitung verbindet jeden Standort mit der Zentrale. Dadurch laufen die Geschäftsprozesse über ein abgesichertes privates Netz und nicht über das öffentliche Internet. Sechs weitere Standorte sind teilangebunden. Das heißt, sie greifen über VPN, also über einen sicheren verschlüsselten Tunnel, auf die benötigten Services zu.

Seit dem Start der Zusammenarbeit mit dem Netzwerkanbieter im Jahr 2002 hat sich die Technik weiterentwickelt. Deshalb wurde das EVVA-Netzwerk vor fünf Jahren modernisiert und auf Ethernet umgestellt. „Es spricht für Netzwerkanbieter, wenn sie dafür sorgen, die Infrastruktur der Kunden immer auf dem aktuellen Stand der Technik zu halten“, sagt Heissenberger. Zusätzlich wurde die Ausfallsicherheit verbessert. „Bis vor vier Jahren hatten wir nur eine einfache Anbindung“, sagt Heissenberger. „Nachdem wir immer mehr Services zentral bereitgestellt haben, entschlossen wir uns dazu, die komplette Netzwerkarchitektur redundant aufzubauen.“ Das bedeutet, dass im unwahrscheinlichen Falle einer Störung eine zusätzliche Netzwerkarchitektur dafür sorgt, dass Daten weiterhin sicher und zuverlässig von A nach B transportiert werden.

Damit ist EVVA gut für die Zukunft gerüstet. Die zusätzliche Anbindung verringert das Risiko eines Ausfalls und das moderne Netz sorgt für die nötige Sicherheit. Schließlich verbindet IP VPN die Standorte über ein privates Netz, das keine Berührungspunkte mit dem öffentlichen Internet hat. Das minimiert die Gefahren von Datenlecks und DDoS-Angriffen.