The Cloud is on Fire oder die Achillesferse des Internets

Rechenzentren bilden das Rückgrat der Digitalwirtschaft. Ohne sie gäbe es kein Google, kein Zoom, kein Netflix. Doch die digitale Infrastruktur ist verwundbar. Technische Störfälle und Naturkatastrophen setzen den Servern stark zu, wie verschiedene Vorfälle jüngst gezeigt haben.

Im März kam es in einem Rechenzentrum des Cloud-Anbieters OVHCloud in Strassburg zu einem Grossbrand: Meterhohe Stichflammen stiegen aus dem Gebäude nahe des Rheinufers, die Feuerwehr musste zu einem Grosseinsatz ausrücken. Die Serverschränke brannten komplett aus.

Infolge des Brandes waren 464‘000 Domains sowie 3,6 Millionen Webserver zeitweise nicht erreichbar. Die staatliche Datenplattform data.gouv.fr meldete ebenfalls Probleme. Laut einem Bericht von «Le Monde» gingen durch den Serverbrand Daten unwiederbringlich verloren, unter anderem vom britischen Entwicklerstudio Facepunch, welches das Videospiel «Rust» herausgibt. Wie es zu dem Brand kam, ist noch nicht abschliessend geklärt. Die polizeilichen Ermittlungen laufen. Als wahrscheinliche Ursache gilt ein Unfall.

Es ist nicht das erste Mal, dass es in einem Serverraum brennt. Bereits im April 2014 wütete eine Feuersbrunst in einem Rechenzentrum von Samsung im südkoreanischen Gwacheon. Die Website samsung.com ging vom Netz, Nutzer von Samsung-Geräten erhielten Fehlermeldungen.

Die Vorfälle machen deutlich, wie verwundbar die digitale Infrastruktur ist. Rechenzentren sind die Herzkammern des Informationskapitalismus.

In den oft hangargrossen Hallen laufen die Rechner heiss für E-Commerce, Videokonferenzen oder Streaming-Dienste. Vor allem für sogenannte Cloud-Dienste spielen Rechenzentren eine zentrale Rolle. Ohne sie gäbe es kein Google, kein Zoom, kein Netflix.

Die digitale Infrastruktur steht auf tönernen Füssen. Im vergangenen November führte ein Problem in Amazons Datendienst Kinesis zu einem massiven Serverausfall. Cloud-Dienste wie die Grafik-App Adobe Spark oder der Link-Speicherdienst Pocket, aber auch Nachrichtenseiten wie «The Philadelphia Inquirer» oder «Tampa Bay Times» waren stundenlang nicht erreichbar. Nutzer von Amazons smarter Türklingelkamera «Ring» konnten sich nicht in die App einloggen, und auch der Staubsaugroboter «Roomba» verweigerte zwischenzeitlich den Dienst.

In den vergangenen Jahren kam es immer wieder zu technischen Pannen bei Amazons Cloud-Infrastruktur, in deren Folge die Sprachassistentin «Alexa» zeitweise ihre Stimme verlor. 2017 löste bei Routinearbeiten der Tippfehler eines Mitarbeiters eine weltweite Störung aus. Solche Probleme können immer wieder auftreten. Doch in Zeiten von Corona, wo das Netz aufgrund von Videokonferenzen und Streaming-Diensten unter Vollauslastung läuft, können sie schwere wirtschaftliche Schäden zur Folge haben. Allein der fünfminütige Google-Ausfall 2013 kostete den Konzern über eine halbe Million Dollar.

Neben technischen Störungen können auch Naturkatastrophen Ausfälle verursachen. So zwang der Hurrikan Sandy 2012 mehrere Rechenzentren in New York City in die Knie. Zwar konnten die Serverfarmen mit Notstromgeneratoren weiterbetrieben werden. Doch nachdem der Diesel ausging, mussten die Server vorübergehend heruntergefahren werden. 2016 hatten Vodafone-Kunden in Nordengland kein Netz, da nach tagelangen Regenfällen ein Datenverarbeitungszentrum des Telekommunikationskonzerns unter Wasser stand.

Weil Rechenzentren das Rückgrat der Digitalwirtschaft bilden, sind sie auch ein potenzielles Ziel von Angriffen.

So legte im vergangenen November eine Schadsoftware die Server des Providers Netgain lahm. Doch nicht nur Cyberattacken stellen eine Bedrohung für Rechenzentren dar, auch mit physischen Angriffen muss gerechnet werden. Erst vor wenigen Wochen hat die US-Bundespolizei FBI einen Mann verhaftet, der offenbar einen Anschlag auf eine Serverfarm von Amazon geplant hatte. Der mutmassliche Täter, der beim Sturm auf das US-Kapitol beteiligt war, wollte nach derzeitigem Stand der Ermittlungen ein Rechenzentrum von Amazon Web Services in Virginia mit Sprengstoff in die Luft jagen – also genau dort, wo sich einer der wichtigsten Knoten der Cloud-Infrastruktur von Amazon befindet.

Rechenzentren gelten im Sicherheitsjargon als weiche Ziele («soft Targets»), weil sie wie Museen oder Shopping-Malls in der Regel weniger gut geschützt sind als etwa Regierungsgebäude, Flughäfen oder Kraftwerke.

Naturkatastrophen, Cyberattacken, terroristische Anschläge – die Bedrohungslage ist vielfältig und diffus. «Provider sehen sich grossen Risiken ausgesetzt, sowohl physisch als auch online», sagt Jake Moore auf Anfrage der MEDIENWOCHE. Der Analyst ist einer der renommiertesten Sicherheitsforscher Grossbritanniens. Moore beobachtet, dass Organisationen aufgrund der zahlreichen Cyberattacken dem Schutz der digitalen Infrastruktur grössere Priorität einräumen als dem Schutz der physischen Infrastruktur: «Das bedeutet aber nicht, dass Unternehmen physische Gefahren aus dem Blick nehmen können.» Physische Attacken würden sich in derselben Geschwindigkeit wie Cyberattacken entwickeln, so Moore. «Unabhängig von der Grösse eines Unternehmens kann man nie genügend Ressourcen einsetzen, um die wertvollsten Güter eines Unternehmens zu schützen», stellt der Sicherheitsexperte fest.

Sogenannte Penetrationstests, die Schwachstellen in der digitalen Infrastruktur aufdecken, seien von «unschätzbarem Wert», so Moore. Solche Schwachstellen gibt es aber auch in der physischen Infrastruktur:

Über ungesicherte Fenster oder Türen können sich Unbefugte Zugang zu den Servern verschaffen können.

Bei einem physischen Penetrationstest wird genau ein solches Szenario simuliert – und die Architektur und insbesondere die Zugangsmöglichkeiten zu den Server-Anlagen auf Herz und Nieren überprüft.

Der Forrester-Analyst Merritt Maxim schätzt die Bedrohungslage ähnlich ein. «Unternehmen müssen sich sowohl gegen Cyber- als auch physische Attacken effektiv verteidigen», teilt er auf Anfrage der MEDIENWOCHE mit. Auch wenn Cyberangriffe mehr mediale Aufmerksamkeit und «potenziell mehr Budget und Investitionen» bekommen, könnten Firmen die potenziellen Risiken ihrer physischen Infrastruktur nicht ignorieren. Das gelte umso mehr, als viele Unternehmen Corona-bedingt im Homeoffice arbeiten und durch die geringere Aktivität an ihren Standorten anfälliger für physische Angriffe seien.

Um sich vor Angriffen zu schützen, haben die Giganten der Internetwirtschaft wie Amazon, Google und Microsoft ihre Rechenzentren zu Festungen aufgerüstet. Bei Google gibt es sechs Sicherheitsebenen – von speziellen Schutzzäunen über Kameraüberwachung bis hin zu Iris-Scans der Mitarbeiter. «Unsere Rechenzentren sind mit verschiedenen Sicherheitsebenen geschützt, um nicht autorisierte Zugriffe auf Ihre Daten zu verhindern», heisst es bei Google. «Wir arbeiten mit sicheren Perimeterschutzsystemen, flächendeckender Kameraüberwachung, biometrischer Authentifizierung und Wachpersonal, das rund um die Uhr im Einsatz ist.» Auch bei Amazons Rechenzentren gibt es strenge Zugangskontrollen: «Der physische Zutritt zu AWS-Rechenzentren wird protokolliert, überwacht und gespeichert», heisst es auf der Webseite. Doch 100-prozentige Sicherheit kann es auch hier nicht geben.

IT-Experte Maxim warnt vor sogenannten «Phygital Attacks», einer hybriden Angriffsvariante, bei der Hacker digitale Systeme kompromittieren, um einen physischen Diebstahl durchzuführen.

So könnten Hacker zum Beispiel die Überwachungskamera ausschalten, bevor sie in die Anlage eindringen. Cyberkriminelle würden auch zunehmend Backup-Rechenzentren ins Visier nehmen, weil die weniger geschützt sind. Fällt ein solches Backup-System aus, könnte sich ein Ausfall deutlich verlängern.

Die Sicherheit von Rechenzentren wird angesichts des Siegeszugs von Cloud-Lösungen immer wichtiger. Allein, eine personalintensive Rundumüberwachung, wie sie die grossen Tech-Konzerne betreiben, können sich kleinere und mittlere Cloud-Anbieter nicht leisten. Sie müssen auf Lösungen externer Dienstleister zurückgreifen, was den Nachteil hat, dass man keinen vollen Einblick in die Datensicherungs- und Wiederherstellungs-Systeme hat. Ohnehin scheinen viele Unternehmen von einem verengten, zu stark auf Cybergefahren fokussierten Sicherheitsbegriff auszugehen. Dabei sind physische Gefahren genauso verheerend wie digitale, wie der Grossbrand in Strassburg oder die vereitelte Terrorattacke in den USA beweisen.

Eine unzureichend gesicherte Türe kann ebenso fatale Folgen haben wie eine Sicherheitslücke in der Software. Die Betreiber von Rechenzentren werden daher nicht umhinkommen, sicherheitstechnisch aufzurüsten – sonst könnten sich bald auch Unbefugte im physischen Raum an den Servern zu schaffen machen.

—

Buch zu Schweizer Rechenzentren