www.net-im-web.de 35 10/25 Immutable, logisch getrennte Backups sind Pflicht. Wer die 3-2-1-1-0 Backup-Regel nicht mindestens als Zielbild lebt, nimmt einen langen Wiederanlauf seiner Anlagen und Systeme sehenden Auges in Kauf. Telemetrie gehört auf die Ebene der Verwaltungs- und Orchestrierungsebenen. Wird ein Snapshot gelöscht, ein KeyVault geöffnet, ein BMC-Interface angesprochen, muss es einen Audit-Event geben, der in einer dedizierten, write-once-Logpipeline landet. DDoS-Resilienz wiederum muss ganzheitlich gedacht werden. Hierzu gehören UpstreamScrubbing mit klaren Aktivierungspfaden, Anycast-Design und Red Team-Tests gegen Applikationsschichten. Ebenso wichtig sind Runbooks für L7-Signaturen, die in Minuten greifen – samt BGP- und Flowspec-Playbooks, die das NOC mit dem SOC synchronisieren. DORA und NIS2 Der regulatorische Rahmen hilft, Prioritäten zu setzen. Für einen großen Teil der Branche greifen dieses Jahr mit DORA-Vorgaben, die die digitale Resilienz im Finanzsektor – einschließlich kritischer IKT-Dienstleister – verbindlich machen. Parallel setzt Deutschland die NIS-2-Richtlinie um. Das Bundeskabinett hat im September 2025 den Entwurf für das KRITIS-Dachgesetz beschlossen, das sektorübergreifende Mindeststandards für physische Resilienz vorsieht und die Melde- sowie Risikoanalysepflichten schärft. Betreiber von Rechenzentren müssen Governance, Risiko und Compliance messbar machen. Richtlinien für Drohnen Für Drohnen ist ein dreistufiges Modell aus Lagebild, Verfahren und Behördenintegration vorzuhalten. Lagebild bedeutet: sensorische Fusion aus passiver Funkpeilung, Protokollanalyse für Remote ID, ergänzend Radar/EO/ IR an kritischen Fassadenabschnitten sowie die Verknüpfung mit Zugangskontroll- und Videolagen im SOC. Remote ID ist seit 2024 EU-weit Pflicht. Betreiber sollten in die Lage versetzt werden, legitime von anomalen UAS-IDs zu unterscheiden und unregistrierte, spoofende oder „silent running“-Drohnen zu erkennen. Ergänzend müssen Definierte No-Fly-Zones als „UAS-Geozonen“ in der Flugsicherungs- und U-Space-Planung rund um Hyperscale- und Edge-Standorte vorhanden sein. Unterstützt werden diese Vorgaben durch konsequente Meldeketten an Landespolizei und – je nach Standort – an die Bundespolizei. Behördenintegration schließlich ist die Einsicht, dass aktive Abwehr nur im Zusammenspiel gelingt. Die Rechenzentrums-Betreiber detektieren, dokumentieren und sichern den Tatort, Polizei und Behörden neutralisieren den Angreifer respektive die Drohne. In dieser Rollenverteilung können Datacenter sehr viel erreichen, etwa durch den Aufbau belastbarer Kontaktwege in die Leitstellen, durch abgestimmte Übungen und durch die gemeinsame Nutzung von Remote-ID-Empfängern in Clustern, die ein städtisches Luftlagebild erzeugen. Praktische Umsetzung Für die praktische Umsetzung im Rechenzentrum ist die Schnittstelle zwischen Facility und IT der kritische Punkt. Zutrittskontrolle, Besuchermanagement, Kamera- und Einbruchmeldetechnik sind mittlerweile IP-Systeme. Auch für diese sind getrennte Identitäten, verschlüsselte Protokolle, konsequentes Patchen und Monitoring erforderlich. Wer aus der Drohnenlage lernt, ergänzt die Außenhaut um Detektionslinien an exponierten Fassaden, schützt Ansaug- und Abluftmodule gegen Fremdkörper, legt Kabeltrassen redundant und überwacht Außen-Ports auf unautorisierte Funkemissionen. Auf der IT-Seite gehört die Härtung von BMC/IPMI und Out-of-Band-LANs zu den Top-Prioritäten. Cloudseitig braucht es „blast radius“-arme Tenancy-Designs, Secretless Patterns sowie die saubere Trennung von CI/CD-Ketten für Infrastrukturräume. DDoS-Resilienz verlangt zudem eine enge Verzahnung von Applikations- und Netzelementen. Die Erfahrung vieler Betreiber zeigt, dass sich die Mean Time to Mitigate drastisch senken lässt, wenn SOC, NOC und Plattformbetrieb gemeinsame „Hot Paths“ definiert haben. Das ist eine Abfolge standardisierter, skriptbarer Maßnahmen von Regeln bis Routen, die in Minuten greifen und anschließend durch forensisch saubere Logs belegt werden. Wettbewerbsvorteil Sicherheit Rechtlich und strategisch lohnt der Blick nach vorn. DORA gilt seit dem 17. Januar 2025. Das NIS-2-Umsetzungsgesetz weitet Melde- und Sicherheitsanforderungen auf eine deutlich größere Zahl von Einrichtungen aus. Das KRITIS-Dachgesetz adressiert parallel die physische Resilienz. In einer Zeit, in der Deutschland in mehreren Berichten als bevorzugtes Angriffsziel gilt, ist Transparenz ein Standortfaktor. Reife Betreiber dokumentieren und kommunizieren ihr Sicherheitsniveau – gegenüber Kunden, Behörden und Öffentlichkeit –, ohne operative Details preiszugeben. So wird Sicherheit vom Kostenfaktor zum Wettbewerbsvorteil. Der Schlüssel zur Umsetzung liegt in priorisierten, messbaren Linien: Identitäten zuerst, Backups als heilige Kühe, Perimeterhärtung an den realen Angriffsvektoren, DDoS-Playbooks, die wirklich eingeübt sind, und eine Luftlagenerfassung, die nicht im Probebetrieb verharrt. Viele Bausteine sind heute marktverfügbar, von phish-resistenter MFA über Schlüsselverwaltung bis zu Remote-ID-Empfängern, die sich in SOC-Workflows integrieren lassen. Betreiber stehen mit diesen Herausforderungen nicht allein. UP KRITIS, BSI-Lagezentrum, BaFin-Rundschreiben zu DORA, die begleitende Rechtsetzung zu NIS2 und die Kooperationen von DFS/Droniq im U-Space-Umfeld bieten Foren, in denen sich technische Lösungen in geordnete Verfahren übersetzen lassen. Wer diese Bahnen nutzt und die Silos zwischen IT, OT und Facility auflöst, wird nicht unverwundbar, aber robuster. Cybersicherheit und Drohnenabwehr
RkJQdWJsaXNoZXIy MjE2Mzk=