In der heutigen digitalen Welt ist es unerlässlich, dass Unternehmen, Organisationen und Einzelpersonen den Schutz ihrer IT-Systeme und Daten sicherstellen. Dabei ist eines der wichtigsten Ziele, die Verfügbarkeit dieser Systeme zu gewährleisten. In diesem Artikel wird beleuchtet, was hinter dem IT-Schutzziel steckt und welche Herangehensweisen an das Thema existieren.
Der Inhalt im Überblick
Was bedeutet in der Informationssicherheit Verfügbarkeit?
In der Informationssicherheit steht Verfügbarkeit für die Garantie, dass Dienstleistungen, Funktionen eines IT-Systems, IT-Anwendungen oder IT-Netzen oder auch von Informationen von den Anwendern stets wie vorgesehen genutzt werden können.
Zwischen Anbieter von Informationssystemen oder -dienstleistungen und deren Kunden kann eine solche Garantie in sogenannten Service Level Agreements (SLA) vertraglich festgehalten werden. Sie schreiben dann vor, dass beispielsweise ein Server im Jahr nur maximal 8 Stunden ausfallen darf. Werden die SLA vom Anbieter verletzt und ein Server fällt länger aus, muss der Anbieter in der Regel vorher definierte Strafen zahlen oder den vertraglich festgehaltenen Verlust auf eine andere Art und Weise wiedergutmachen.
Auch sei hierbei zu erwähnen, dass geplante Ausfallzeiten, wie etwa zum Einspielen von notwendigen Patches oder anderen Wartungsarbeiten berücksichtigt werden. Das bedeutet, dass nur die nicht geplante Ausfallzeit für in die Verfügbarkeit relevant ist. Geplante Ausfallzeiten müssen jedoch in der Regel vorher zwischen Anbietern und Kunden abgestimmt werden.
Verfügbarkeiten sind ein wichtiges und durchaus ertragreiches Modell von IT-Dienstleistern, da sie ein gutes Argument für die Preisgestaltung darstellen. Wie sich die einzelnen Klassen von Verfügbarkeit unterscheiden und was unter Hochverfügbarkeit zu verstehen ist, wird im nachfolgenden Absatz näher betrachtet.
Wie wird Verfügbarkeit berechnet und was ist Hochverfügbarkeit?
Verfügbarkeit wird oftmals in Prozent angegeben. Sie wird berechnet, indem der Zeitraum, in dem das System oder die Ressource zur Verfügung steht, durch den Gesamtzeitraum von einem Jahr geteilt wird. Um dann den Prozentsatz zu bekommen, wird mit 100 multipliziert. Um das Ganze greifbarer zu machen, betrachten wir ein Beispiel einer Webseite, die im Zeitraum von einem Jahr eine Verfügbarkeit von 99 % garantiert:
Ein Jahr umfasst 8760 Stunden. 99 % von 8760 entspricht 8672,4. Damit liegt die tolerierbare Ausfallzeit der Webseite bei der Differenz: also 87,6 Stunden im gesamten Jahr.
Knappe 4 Tage Ausfall klingen erst einmal nicht dramatisch, wenn man bedenkt, dass die Webseite Tag und Nacht läuft. Tatsächlich gelten 99 % Verfügbarkeit heute jedoch bei qualitativ hochwertigen Geräten ehr als die Minimalanforderung.
Das BSI hat dazu das sogenannte 9er-System zur Klassifizierung von Verfügbarkeiten definiert. Diese sind in Klassen von 0 bis 5 aufgeteilt, wobei Klasse 0 bedeutet, dass keine „zugesicherte Verfügbarkeit“ besteht, und Klasse 5 eine absolute Ausfalltoleranz verspricht. Die Verfügbarkeitsklassen dazwischen unterscheiden sich in den berechneten Verfügbarkeiten jeweils um eine Nachkommastelle. Während die Klasse 1 mit 99,0 % die bereits oben berechnete Ausfallzeit als Maximum eingrenzt, glänzt Klasse 2 bereits mit 99,9 % und nur knappen 9 Stunden Ausfall im Jahr. Klasse 3 fügt eine weitere Nachkommastelle hinzu und liefert bei 99,99% nur noch eine Ausfallzeit von 53 Minuten. Knapp hinter der Spitze bekommt ein Kunde bei Klasse 4 eine 99.999 %ige Verfügbarkeitsgarantie und damit unter 6 Minuten Ausfall pro Jahr.
Neben dem 9er System des BSI existiert auch die Klassifizierung der Harvard Research Group, die ebenfalls ein System auf 6 Klassen (0-5) anbietet. Die Klassen heißen AEC (Availability Environment Classification) und kommen weitestgehend ohne Berechnungen aus.
Was genau ist jetzt Hochverfügbarkeit?
Im Cloud-Umfeld redet man dann schnell von Hochverfügbarkeit. Jeder größere Cloud-Anbieter kommt nicht drumherum, die High Availability als großen Vorteil für die Cloud zu nennen. Die Definition ist jedoch eher schwammig und von Quelle zu Quelle leicht abweichend. In einigen Fällen wird von Hochverfügbarkeit gesprochen, wenn zusätzlich zur garantierten Verfügbarkeit des Systems auch noch eine „Notlösung“ für den Fall existiert, dass der garantierten Verfügbarkeit doch ein Fehler unterläuft. In einer Cloud-Umgebung kann das beispielsweise durch ein sogenanntes Failover-Cluster erreicht werden. Fällt in so einem Cluster ein System aus unerwarteten Gründen aus, dann übernimmt ein identisches Ersatzsystem die Funktion und dem Kunden fällt keinerlei Störung auf.
Eine andere Definition bezieht sich explizit auf Zahlen und bezeichnet eine Verfügbarkeit ab 99,99 % als Hochverfügbarkeit. Betrachtet man die Klassifizierung der Harvard Research Group, so gilt AEC‑2 als High Availability – also „minimale Unterbrechungen innerhalb der Betriebszeit“. So könnte man als Kompromiss für die Definition generell davon reden, dass Hochverfügbarkeit dann erreicht ist, wenn die Ausfallzeit unter eine Stunde im Jahr liegt.
Vorgaben der DSGVO mit dem Gewährleistungsziel Verfügbarkeit
Auch die DSGVO kennt das Schutzziel der Verfügbarkeit für personenbezogene Daten. Sie fordert in Art. 32 Abs. 1 lit. b DSGVO als technisch und organisatorische Maßnahme ausdrücklich
„die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen.“
Was unterscheidet das Verfügbarkeitsziel der DSGVO von dem der IT-Sicherheit?
Das Gewährleistungsziel der Verfügbarkeit seitens DSGVO bezieht sich zwar ähnlich wie die IT‑Sicherheit auf Systeme und Dienste, jedoch steht hier nicht das Unternehmen und seine Assets, sondern der Mensch im Vordergrund. Es geht nicht darum, eine Webseite möglichst lange online zu halten, damit z.B. keine Umsatzeinbrüche entstehen, sondern vielmehr um die Garantie, dass die personenbezogenen Daten des Betroffenen wie erwartet und vereinbart verarbeitet werden und er auf diese Verarbeitung mit seinen Betroffenenrechten einwirken kann. So kann im direkten Kontrast zur IT-Sicherheit eine Nichtverfügbarkeit von Informationen durchaus im Sinne des Datenschutzes sein. Etwa wenn der Betroffene sein Recht auf Löschung aus Art. 17 DSGVO ausübt oder der erforderliche Zweck für die Datenverarbeitung entfällt Art. 5 Abs. 1 lit. e DSGVO.
Vorgaben zur Wiederherstellung der Verfügbarkeit
Darüber hinaus fordert die DSGVO in Art. 32 Abs. 1 lit. c DSGVO die
„Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“.
Auch diese Anforderung dient dem Schutzziel der Verfügbarkeit und adressiert den Umstand, dass eine permanente Verfügbarkeit nicht, bzw. nur schwer und unter hohen Kosten, zu gewährleisten ist. Stattdessen fordert der Gesetzgeber eine rasche Wiederherstellbarkeit. Also die Fähigkeit innerhalb eines angemessenen Zeitraums, der sich nach Schwere des Vorfalls, der Sensibilität der Daten und den Folgen der möglichen Schäden bemisst, die personenbezogenen Daten wieder verfügbar zu machen.
Welche Ursachen und Folgen kann ein Ausfall der Verfügbarkeit haben?
Es gibt zahlreiche Faktoren, die zu einem Ausfall der Verfügbarkeit führen können, wie z.B. Hardware- und Softwarefehler, menschliche Fehler, Naturkatastrophen, Cyber-Angriffe oder Stromausfälle. Ein Ausfall der Verfügbarkeit kann zu verschiedenen Folgen führen, einschließlich finanzieller Verluste, Reputationsschäden, Kundenverlusten und Produktivitätsverlusten.
Doch welche Maßnahmen lassen sich treffen, um einem Ausfall bestmöglich zu entgehen?
Schutzmaßnahmen, um Verfügbarkeit zu gewährleisten
Ein Unternehmen kann folgende Maßnahmen ergreifen, um die Verfügbarkeit von Systemen und Informationen zu gewährleisten:
- Einrichtung eines Backup-Systems
Durch die Einrichtung und kontinuierliche Pflege eines Backup-Systems können Daten und Systeminformationen gesichert werden, auf die bei einem Systemausfall zurückgegriffen werden kann. Es ist wichtig, dass Backups regelmäßig angefertigt und bestehende Backups zusätzlich in regelmäßigen Abständen auf ihre Funktionalität überprüft werden.
- Sicherheitsmonitoring-System
Ein solches System kann Probleme erkennen und Benachrichtigungen an das IT-Management senden, so dass diese beseitigt werden können, bevor sie Auswirkungen auf die Verfügbarkeit haben.
- Einrichtung von redundanten Systemen
Die Einrichtung von mehreren, unabhängigen Systeme, die dieselben Funktionen erfüllen, sorgt für eine Erhöhung der Verfügbarkeit. Auf diese Weise kann bei einem Systemausfall das andere System die Funktionen übernehmen, so dass effektiv keine Unterbrechungen entstehen. Bewegt man sich im Cloud-Umfeld, ist Redundanz bei System weitestgehend ein Standard geworden.
- Physischer Schutz der Hardware
Sowohl die Wahl des Standortes der Server als auch die Beschaffenheit der Räume spielen hier eine bedeutende Rolle. Feuer- und Wassermelder, Zutrittskontrollen und Klimaanlagen seien nur einige Stichworte, die in diesem Zusammenhang zu nennen sind.
- Awareness und Richtlinien für Mitarbeiter
Regelmäßige Schulungen zur Awareness am Arbeitsplatz sind von hoher Wichtigkeit, um sicherzustellen, dass zum Beispiel sogenannte Phishing-Mails sofort erkannt werden. Des Weiteren sollten Richtlinien für Passwörter existieren, sowie Rechte für Nutzer möglichst auf das Notwendigste eingeschränkt sein. Ferner ist die Einführung eines sogenannten IT-Notfallplans eine ratsame Maßnahme um letztlich im Ernstfall die Verfügbarkeit zu gewährleisten.
Darüber hinaus kommen folgende Maßnahmen in Betracht:
- Anfertigung von Sicherheitskopien von Daten, Prozesszuständen, Konfigurationen,
Datenstrukturen, Transaktionshistorien u. ä. gemäß eines getesteten Konzepts - Schutz vor äußeren Einflüssen (Schadsoftware, Sabotage, höhere Gewalt)
- Dokumentation der Syntax der Daten
- Redundanz von Hard- und Software sowie Infrastruktur
- Umsetzung von Reparaturstrategien und Ausweichprozessen
- Erstellung eines Notfallkonzepts zur Wiederherstellung einer Verarbeitungstätigkeit
- Vertretungsregelungen für abwesende Mitarbeitende
Verfügbarkeit: Wichtiges Thema bei IT-Sicherheit und Datenschutz
Verfügbarkeit ist ein wichtiges Ziel der IT-Sicherheit und der DSGVO. Um die Verfügbarkeit zu gewährleisten, können Unternehmen einige Schutzmaßnahmen ergreifen. Zu den wichtigsten gehören die regelmäßige Aktualisierung und Wartung von System, das Erstellen und Aktualisieren von Backups, das Einrichten redundanter Systeme, die Implementierung eines Notfallplans, sowie die Schulung von Mitarbeitern und abschließend die Einrichtung eines Sicherheitsmonitoring-Systems. Die Einhaltung dieser Schutzmaßnahmen kann Unternehmen nicht nur dabei helfen, finanzielle Verluste, Reputationsschäden, Kundenverluste und Produktivitätsverluste zu vermeiden, sondern ist auch aus datenschutzrechtlicher Sicht ein wichtiger Schritt.
