I

Inhaltsverzeichnis

Abk  ürzungsverzeichnis.  III

Abbildungsverzeichnis   VI

1.  Einleitung  1

2.  Technische und organisatorische Rahmenbedingungen  4

2.1.  Groupware und Workflow-Management  5

2.2.  Enterprise Resource Planning (ERP)  6

2.3.  Electronic Data Interchange (EDI)  6

2.4.  Fileservice und Document Management System (DMS)  7

3.  Definition Hochverfügbarkeit  7

3.1.  Messung der Hochverfügbarkeit  9

3.2.  Serielle und parallele Verfügbarkeit.  11

4.  Ist-Zustand  14

4.1.  Angewandte Technik.  14

4.2.  Standleitung und ISDN Backup  15

4.3.  Zweistufiges Firewallkonzept  17

4.4.  Datendurchsatz und Auslastung  19

5.  Analyse und Begründung des Erweiterungsbedarfs.  21

5.1.  Bedrohungsanalyse.  21

5.1.1.  Begriff und Auswirkung von Gefahren.  21

5.1.2.  Mögliche Gefahren und Bedrohungen  23

5.1.2.1.  Angriffe  23

5.1.2.2.  Störungen.  27

5.2.  Risikoanalyse.  29

5.2.1.  Ausfallkosten.  29

5.2.2.  Durchführung  30

5.2.3.  Betroffene Prozesse.  33

5.2.4.  Betroffene Infrastruktur.  34

5.2.5.  Prozessorientierter Zusammenhang zwischen Schutzbedarf und  

Eintrittswahrscheinlichkeit   35

II

6.  Umsetzung.  36

6.1.  Redundante Auslegung auf der Unternehmensseite.  37

6.1.1.  Proxyserver.  38

6.1.2.  Interne Firewalls.  40

6.1.3.  Demilitarisierte Zone.  42

6.1.4.  Switche  43

6.2.  Redundante Auslegung der Last-Mile.  44

6.2.1.  Router  45

6.2.2.  Richtfunk  49

6.3.  Redundante Auslegung auf der Service-Provider-Seite.  50

6.3.1.  Externe Firewall  51

6.3.2.  Externe Demilitarisierte Zone  51

6.3.3.  Virenscanner.  52

6.3.4.  Virtual-LAN Infrastruktur.  54

6.3.5.  Externe Router.  55

6.3.6.  Ausfallsicherheit im Internet  57

6.4.  Weitere Maßnahmen  58

6.4.1.  Physikalische Sicherheit und bauliche Maßnahmen  58

6.4.1.1.  Standort der Komponenten.  59

6.4.1.2.  Zutrittskontrolle.  60

6.4.1.3.  Unterbrechungsfreie Stromversorgung (USV)  60

6.4.2.  Monitoring und Incident Management.  61

6.4.3.  Dokumentation, Tests, Schulungen.  64

6.5.  Schwachstellen  65

6.6.  Gesamtübersicht und Notfallmaßnahmen  66

7.  Fazit und Ausblick.  68

Index   LXX

Literaturverzeichnis   LXXIV

III

Abkürzungsverzeichnis

AS Autonomes System BGP Border Gateway Protocol BPDU Bridge Protocol Data Unit BRI Basic Rate Interface BSD Berkeley Software Distribution BSI Bundesamt für Sicherheit in der Informationstechnik CIDR Classless Interdomain Routing DIN Deutsches Institut für Normung e. V. DMS Document Management System DMZ Demilitarized Zone DNS Domain Name Service DSL Digital Subscriber Line EDI Electronic Data Interchange EGP Exterior Gateway Protocol EIGRP Enhanced Interior Gateway Routing Protocol ERP Enterprise Resource Planning f. folgende ff. fortfolgende FTP File Transfer Protocol GB Gigabyte GUI Graphical User Interface GW Gateway h Stunde HSRP Hot Standby Router Protocol HTTP Hyptertext Transfer Protocol IGP Interior Gateway Protocol IGRP Interior Gateway Routing Protocol ID Identifikationsnummer IEEE Institute of Electrical and Electronics Engineers

IV

IMAP Internet Message Access Protocol IP Internet Protocol ISDN Integrated Services Digital Network ISP Internet Service Provider IT Informationstechnologie KB Kilobyte Kbit Kilobit LAN Local Area Network MAC Media Access Control MED Multi Exit Discriminator Mbit Megabit Min. Minute MPPP Multilink Point to Point Protocol MTBF Mean Time Between Failure MTTR Maximum Time To Repair NNTP Network News Transfer Protocol OSI Open Systems Interconnection o.V. ohne Verfasser PC Personal Computer POP Post Office Protocol PPP Point to Point Protocol RIP Routing Information Protocol S. Seite Sek. Sekunde SLA Service Level Agreements SMS Short Message Service SMTP Simple Mail Transfer Protocol SPoF Single Point of Failure STP Spanning Tree Protocol TCP Transmission Control Protocol t j Zeiteinheit/Jahr USV Unterbrechungsfreie Stromversorgung

V

V Verfügbarkeit Vgl. Vergleiche VPN Virtual Private Network VLAN Virtual Local Area Network WAN Wide Area Network WWW World Wide Web

VI

Abbildungsverzeichnis   

Abbildung  1 Abhängigkeit von der IT  

Abbildung  2 Auswirkungen bei einem E-Mail-Ausfall  

Abbildung  3 Vorhandene Serverdienste (stark vereinfacht)  

Abbildung  4 Verhältnis Verfügbarkeit und Kosten.  

Abbildung  5 Verfügbarkeitsgrade  

Abbildung  6 Ist-Zustand.  

Abbildung  7 Entwicklung des Übertragungsvolumens.  

Abbildung  8 Angriffsformen.  

Abbildung  9 Störungsformen  

Abbildung  10 Präventive und kurative Maßnahmen.  

Abbildung  11 Risikomatrix  

Abbildung  12 Schutzbedarf der Prozessen.  

Abbildung  13 Prozessabhängige Infrastruktur  

Abbildung  14 Maßnahmenermittlung durch die Risikoanalyse.  

Abbildung  15 Redundante Auslegung Unternehmensseite.  

Abbildung  16 Redundante Auslegung Last-Mile.  

Abbildung  17 Redundante Auslegung Service-Provider  

Abbildung  18 Autonome Systeme im Internet.  

Abbildung  19 Gesamtübersicht  

Abbildung  20 Notfallmaßnahmen  

1

1. Einleitung

In den letzten Jahren hat sich die IT dahingehend entwickelt, dass sich nahezu sämtliche Geschäftsprozesse auf IT-gestützten Systemen abbilden lassen. Die Soft-und Hardwareentwickler haben sich den Bedürfnissen der Unternehmen angepasst und bieten für die Vielzahl der betrieblichen Anforderungen Lösungen an, welche die erforderlichen Abläufe effizienter und einfacher gestalten.

Auch das Internet hat sich zu einer nicht mehr wegzudenkenden Ressource für den alltäglichen Gebrauch der IT-Systeme entwickelt. Durch dieses weltumspannende und leistungsfähige Netzwerk ist es zur Selbstverständlichkeit geworden, unmittelbar und standortunabhängig mit Unternehmen zu kommunizieren und Daten auszutauschen. ¹ Durch die fortschreitende Globalisierung und Internationalisierung der Unternehmen und Märkte haben viele Unternehmen ein weit reichendes Vertriebsnetz aufgebaut, welches durch internationale Vertriebsbüros oder Außendienstmitarbeiter abgedeckt wird. Der Sprach- und Datendialog zwischen den externen Einheiten und dem Unternehmen ist dabei unentbehrlich.

Eine weitere Form der geschäftsprozessorientierten externen Kommunikation stellen EDI-Systeme ² dar. Viele Unternehmen nutzen diese Schnittstelle, um ihre ITgestützten Systeme zu verbinden und die notwendigen geschäftlichen Abläufe mithilfe dieses Verfahrens abzuwickeln.

Durch die ständige Fortführung dieses Trends ist erkennbar, dass die Abhängigkeit der Unternehmen von der IT sehr hoch ist und noch weiter wachsen wird. Unter anderem wurde die Bedeutung der Abhängigkeit durch eine Umfrage der KPMG IRM Innsbruck-Linz vom Juni/Juli 2004 bei österreichischen Unternehmen aus allen Branchen bestätigt.

¹ Vgl. Lipp, M. (2001), S. 15.

² Die Erläuterung des EDI-Systems befindet sich in Kapitel 2.3.

2

Aus der Umfrage ist erkennbar, dass bei 80 % der befragten Betriebe ein Großteil der Prozesse IT-gestützt ablaufen (siehe Abbildung 1). 3

Abhängigkeit von der IT ⁴ Abbildung 1

Eine Umfrage des Merit Project ergab, dass allein der Ausfall des E-Mail-Dienstes das Tagesgeschäft empfindlich stören kann. Die befragten Unternehmen gaben folgende Auswirkungen an:

Auswirkungen bei einem E-Mail-Ausfall 5 Abbildung 2

³ Vgl. KPMG Report IT-Umfrage (2004), S. 8.

⁴ Vgl. KPMG Report IT-Umfrage (2004), S. 8.

⁵ Informationsweek 16/1999.

3

Dieser Zustand verdeutlicht, dass eine Störung der IT-gestützten Systeme schwere Folgen in Bezug auf die Geschäftsprozesse hat. Das Ziel für die Unternehmen muss also eine höchst mögliche Verfügbarkeit dieser Systeme sein, da, abhängig von dem Störungsszenario, ein wirtschaftlicher Schaden bei einem Ausfall entsteht.

Damit die zentralen IT-Dienste von externen Standorten aus genutzt werden können, ist eine technische Außenanbindung des Unternehmens notwendig. Das Internet wird dazu häufig als Verbindungsweg verwendet.

Diese Arbeit behandelt Maßnahmen zur Erhöhung der Verfügbarkeit externer Netzanbindungen anhand eines praxisorientierten Beispiels. Sie richtet sich an moderat technisch-versierte Entscheidungsträger, die vor der Entscheidung stehen, ein Redundanzkonzept bei der datentechnischen Außenanbindung umzusetzen. Obwohl die Sprachkommunikation auch ein wesentlicher Faktor bei externen Verbindungen darstellt, wird aufgrund der Komplexität nicht auf eine Verfügbarkeitserhöhung dieser eingegangen. Auch ein internes Verfügbarkeitskonzept wird in dieser Arbeit nur nebensächlich behandelt.

Da es sich um ein Projekt aus der Unternehmenspraxis handelt, werden zunächst die im Unternehmen eingesetzten IT-Dienste erläutert, bei denen im Zusammenhang mit der Außenanbindung ein erhöhter Verfügbarkeitsgrad angestrebt wird. In Kapitel drei wird die Begrifflichkeit und Messbarkeit der Hochverfügbarkeit erläutert. Die Komponenten, welche unmittelbar die technische Außenanbindung betreffen, werden im vierten Kapitel anhand der Darstellung des Ist-Zustands aufgezeigt. Entscheidungsrelevante Tatsachen, die durch eine Bedrohungs- und Risikoanalyse ermittelt werden, rechtfertigen die Erweiterung der IT-Infrastruktur. In Kapitel fünf werden dazu die möglichen Gefahren und Bedrohungen aufgeführt und mit der Risikoanalyse in Verbindung gebracht. Die Umsetzung einer möglichen Lösung wird im sechsten Kapitel erarbeitet. Die organisatorischen und technischen Veränderungen werden detailliert angegeben und begründet. Im letzten Kapitel werden die Kerninhalte zusammengefasst und kritisch beurteilt.

4

2. Technische und organisatorische Rahmenbedingungen

Diese Arbeit begleitet ein Projekt aus der Unternehmenspraxis. Es handelt sich hierbei um ein Produktionsunternehmen mit 1.000 Mitarbeitern, bei dem ca. 800 Personen Zugang zu einem eigenen PC-Arbeitsplatz haben. Das Unternehmen agiert international. Das Mutterunternehmen ist in den Vereinigten Staaten von Amerika angesiedelt und mehrere Vertriebsbüros und Außenstellen sind interkontinental verteilt. 25 Außendienstmitarbeiter sind in zugeteilten Gebieten mobil und flexibel eingesetzt. Außerdem stehen 10 Mitarbeiter innerhalb eines Home-Offices im ständigen Datendialog mit dem Hauptsitz. Die Außenanbindungen werden durch einen VPN-Zugang über das Internet realisiert. Nachfolgend wird aufgeführt, welche wesentlichen Serverdienste im Hauptsitz eingesetzt werden, um die betriebswirtschaftlichen Prozesse abzudecken.

Bei der Nutzung dieser Dienste macht es keinen Unterschied, ob die Inanspruchnahme dieser durch den Mitarbeiter von außen oder innen erfolgt. Die folgende Abbildung zeigt in einer stark vereinfachten Form die vorhandenen Serverdienste, welche sowohl von internen, als auch von den externen Clients gleichermaßen in Anspruch genommen werden können.

Abbildung 3 Vorhandene Serverdienste (stark vereinfacht)

5

2.1. Groupware und Workflow-Management

Der Einsatz von Groupware erleichtert die Zusammenarbeit durch die rechnergestützte Verwaltung der gemeinsam bearbeiteten Dokumente. Die Software ist in mehrere Anwendungen unterteilt, die jeweils eine eigene Aufgabe haben. Folgende wesentliche Dienste werden durch den Einsatz von Groupware in dem Unternehmen abgedeckt: 6

- Elektronische Post zwecks Kommunikation mit internen oder externen Instanzen.

- Gruppenkalender zur terminlichen Koordination von gruppenrelevanten Ereignissen und Ressourcenreservierungen ⁷ .

- Datenbank als Bestandteil des Kunden-Informations-Systems. In diesem Teilsystem werden insbesondere von Mitarbeitern aus dem Vertrieb relevante Kundendaten, beispielsweise Umsatzzahlen, Besuchstermine, besondere Vereinbarungen oder Handelsvolumina gesammelt.

In der Software ist zusätzlich ein Workflow-Management-System implementiert. Dabei handelt es sich um einen vorgeschriebenen Arbeitsablauf, der elektronisch überwacht und nach vordefinierten Regeln Dokumente, Informationen oder Aufgaben zu den jeweiligen Bearbeitern weiterleitet. ⁸ In dem Unternehmen sind im Wesentlichen folgende Workflows implementiert:

- Bestellanforderungsdatenbank und -workflow. Sämtliche Bestellungen erfordern je nach Wertigkeit einen bestimmten Genehmigungsweg vom Anfordernden bis zum Mitarbeiter im Einkauf.

- Mitarbeiterlaufzettel, welcher notwendig für die Berechtigungsvergabe in Bezug auf Verzeichnisdienste ⁹ und Fileservice-Ressourcen ist.

⁶ Vgl. Hansen, Neumann (2001), S. 438 ff.

⁷ Beispielsweise die Bereitstellung von technischem Equipement oder Raumreservierungen

⁸ Vgl. Hansen, Neumann (2001), S. 444 ff.

⁹ Vgl. Hansen, Neumann (2001), S. 165.

6

2.2. Enterprise Resource Planning (ERP)

Durch den Einsatz einer ERP-Software ist das Unternehmen in der Lage, sämtliche betriebliche Funktionsbereiche, wie Beschaffung, Produktion, Vertrieb, Finanzwesen und Personalwirtschaft mit einem einzigen System abzudecken. ¹⁰ Der Hauptteil der Geschäftsprozesse ist in dieser Komponente integriert und bildet somit ein wichtiges und nicht-redundantes Kernelement für den Betrieb. Fast alle Mitarbeiter haben Zugriff auf dieses System, um die betriebswirtschaftlichen Tätigkeiten zu dokumentieren und zu verwalten.

2.3. Electronic Data Interchange (EDI)

In dem Unternehmen kommt ein EDI-System zum Einsatz, welches die Möglichkeit bietet, Geschäftstransaktionen mit anderen Geschäftspartnern, wie Kunden, Lieferanten, Banken und Behörden abzuwickeln. Durch die vereinheitlichten und strukturierten Daten ist es dem Empfänger möglich, die Daten direkt in seinen Anwendungsprogrammen weiterzuverarbeiten. ¹¹ Die meisten Abläufe im EDI-Umfeld finden derzeitig mit Lieferanten statt, jedoch wachsen gegenwärtig auch die Kundenanforderungen in Bezug auf diese Art von Geschäftsabwicklung. In dem Betrieb gewinnt dieses System somit zunehmend an Bedeutung.

¹⁰ Vgl. Hansen, Neumann (2001), S. 523 ff.

¹¹ Vgl. Hansen, Neumann (2001), S. 602 ff.

7

2.4. Fileservice und Document Management System (DMS)

Nicht-strukturierte Dokumente, die zum Geschäftsalltag gehören, werden je nach Bedeutung auf einem zentralen Fileserver oder in einem DMS hinterlegt. Die Mitarbeiter haben einen durch die Organisation vorgegebenen ¹² oder einen funktionsorientierten Zugriff auf die Ressourcen dieser Systeme. Das DMS erlaubt noch eine zusätzliche Versionskontrolle, eine erweiterte Zugriffsrechtevergabe und eine verbesserte Suchfunktion. ¹³ Die Zugriffsberechtigungen werden durch einen definierten Genehmigungsworkflow im Groupware-System geregelt.

3. Definition Hochverfügbarkeit

„Unter der Zusicherung der Verfügbarkeit (englisch: availability) eines Informationssystems versteht man die Garantie, dass Dienste, die einem berechtigten Benutzer von einem Informationssystem angeboten werden, diesem auch stets zur Verfügung stehen.“ ¹⁴ Ein Ausfall tritt ein, wenn mindestens ein Dienst, ungeplant (Störung) oder geplant (Wartung), nicht verfügbar ist. Im Falle einer Störung hängt die Dauer der Nicht-Verfügbarkeit davon ab, wie viel Zeit die für den Betrieb der IT-Infrastruktur zuständige Instanz benötigt, um den Ausfall der Komponente zu bemerken und zu beheben. ¹⁵ Bei einer geplanten Wartung ist die Ausfallzeit meist vorher bekannt. So kann diese an die betroffenen Nutzer der Dienste im Vorfeld bekannt gegeben werden, sodass sich die Anwender darauf einstellen können. Außerdem finden die Wartungszeiträume meist zu den Tageszeiten statt, an welchen die geringste Inanspruchnahme vermutet wird, denn je nach Ausfallzeit und -dauer wird die Unterbrechung meist negative Auswirkungen auf den Betriebsablauf haben. 16

¹² Ein Mitarbeiter des Einkaufs hat beispielsweise Dateizugriff auf das definierte Einkaufsverzeichnis.

¹³ Vgl. Hansen, Neumann (2001), S. 452.

¹⁴ Hansen, Neumann (2001), S. 175.

¹⁵ Vgl. Erasim, Karagiannis (2002), S. 25.

¹⁶ Vgl. Gebauer, Hartmann, Seguin (1999), S. 16.

8

Anstatt nur die Möglichkeiten der Betriebszeit oder Stillstandszeit zu betrachten, macht es in manchen Situationen Sinn, die Ausfallzeit in weitere Kategorien zu unterteilen: 17

- Art der Unterbrechung in Bezug auf einen Teilausfall oder Totalausfall

- Ausfallzeitpunkt

- Zeitraum, bis der Ausfall bemerkt wird

- Zeitraum, bis der Fehler identifiziert wird

- Zeitraum, bis eine Lösung gefunden wird

- Zeitraum, bis die Lösung umgesetzt wird

- Zeitraum, bis die Komponente wieder im Normalbetrieb ist

Die Kategorisierung erweist sich insbesondere bei der Dokumentation für sehr sinnvoll. Im Optimalfall wird für die gestörte IT-Komponente der komplette Ablauf dokumentiert. Somit lassen sich in Zukunft die Schwachstellen bei der Ausfallbehebung analysieren und eliminieren, was auch zur Verfügbarkeitserhöhung beiträgt. Außerdem fällt durch eine detaillierte Dokumentation auf, welche Komponenten von welchen Herstellern besonders fehleranfällig sind. 18

Das Ziel der Hochverfügbarkeit besteht darin, die geplanten und ungeplanten Ausfallzeiten zu minimieren. Durch spezielle Maßnahmen ist das System in der Lage, auftretende Fehler ohne äußerlichen Einfluss zu reduzieren oder mit einer bestimmten Methode zu umgehen. Der Unterbrechungszeitraum bei der Durchführung dieser Maßnahmen ist so gering wie möglich zu halten.

Es existiert keine allgemeingültige Lösung zur Erhöhung der Verfügbarkeit, die für alle Unternehmungen gilt. Der Verfügbarkeitsgrad ist auch abhängig von den Unternehmensbedürfnissen, die je nach Branche sehr unterschiedlich sind.

¹⁷ Vgl. Oggerino (2001), S. 15.

¹⁸ Vgl. Oggerino (2001), S. 15.

9

Die Lösungswege sind sehr vielfältig und betreffen unterschiedliche Teile der vorhandenen und zukünftigen IT-Infrastruktur. Wenn Maßnahmen zum Erweitern des Verfügbarkeitsgrades getroffen werden, sollte jedoch stets beachtet werden, dass die Infrastruktur klare Vorgehensweisen vorschreibt und vorbeugende Maßnahmen bereithält, um Unregelmäßigkeiten entgegenzuwirken. 19

3.1. Messung der Hochverfügbarkeit

Eine Verfügbarkeit von 100 % ist unter der Berücksichtigung sämtlicher Rahmenbedingungen nahezu unfinanzierbar. Auf eine detaillierte Darstellung wird an dieser Stelle verzichtet, jedoch drückt das folgende Schaubild das Verhältnis des Verfügbarkeitsniveaus zu den Kosten aus.

Verhältnis Verfügbarkeit und Kosten 20 Abbildung 4

Die Kosten steigen überproportional im Verhältnis zum Verfügbarkeitsniveau.

¹⁹ Vgl. Gebauer, Hartmann, Seguin (1999), S. 16.

²⁰ Vgl. Marcus, Stern (2000), S. 6.

10

Wie sich die prozentualen Verfügbarkeitsgrade auf die Zeit auswirken, zeigt die folgende Tabelle.

Verfügbarkeitsgrade ²¹ Abbildung 5

Für viele Systeme reicht eine Verfügbarkeit von 99 % aus. Eine durchschnittliche Ausfallzeit von 1 ½ Stunden pro Woche ist oftmals vertretbar, wenn auch bedacht wird, dass ein nächtlicher Ausfall meist wenig Konsequenzen auf den Geschäftsfluss hat. Es gibt jedoch einige Branchen, wo genau dieser Zeitraum geschäftskritisch ist. Beispielsweise stellt es einen wesentlichen Unterschied dar, ob bei einem Zeitungsverlag während der nächtlichen Hauptproduktionszeit ein System ausfällt oder sich der Ausfall auf die Nebenzeit beschränkt. 22

Die Verfügbarkeit (V) lässt sich durch eine simple mathematische Formel berechnen. Diese setzt sich aus dem MTBF-Wert (Mean Time Between Failure ²³ ) und dem MTTR-Wert (Maximum Time To Repair ²⁴ ) zusammen. Der MTBF-Wert erfasst nur einen Blickwinkel hinsichtlich der Hochverfügbarkeit. Er alleine erfasst nicht die benötigte Wiederherstellungszeit nach einem durch einen Fehler verursachten Ausfall. Der MTBF-Wert wird errechnet, indem die Summe der gesamten Betriebszeit durch die Gesamtzahl aller Fehler dieser Komponente dividiert wird. Der MTTR-Wert gibt die Zeitspanne wieder, die für die Instandsetzung der Komponente benötigt wird. 25

²¹ Vgl. Marcus, Stern (2000), S. 10.

²² Vgl. Marcus, Stern (2000), S. 10.

²³ Durchschnittlich ausfallfreie Zeit.

²⁴ Wiederherstellungszeit.

²⁵ Vgl. Gebauer, Hartmann, Seguin (1999), S.19 f.