Zum Hauptinhalt springen
CENEDRIL WIKI
EN
Starter Kit · Richtlinie

Richtlinie zur physischen Sicherheit

Aktualisiert am 5 Min. Geprüft von: Cenedril-Redaktion
A.7.1A.7.2A.7.3A.7.4A.7.5A.7.6A.7.7A.7.8A.7.9A.7.10A.7.11A.7.12A.7.13A.7.14 ISO 27001BSI INF.1BSI INF.2

Die physische Sicherheitsrichtlinie ist das umfangreichste Einzeldokument in deinem ISMS. Mit 14 Controls (A 7.1 bis A 7.14) deckt sie alles ab, was du anfassen kannst: Gebäude, Räume, Geräte, Kabel, Schlüssel, Speichermedien und sogar den Drucker am Ende des Flurs. Physische Sicherheit wird oft unterschätzt, weil sie weniger spektakulär wirkt als Cyberangriffe — dabei beginnen viele der folgenschwersten Sicherheitsvorfälle mit einer offen stehenden Tür.

BSI IT-Grundschutz widmet dem Thema gleich mehrere Bausteine: INF.1 (Allgemeines Gebäude), INF.2 (Rechenzentrum und Serverraum), INF.7 (Büroarbeitsplatz) und weitere. Weiter unten findest du die vollständige Vorlage.

Was deckt die Richtlinie ab?

Die Vorlage gliedert sich in drei Schutzebenen:

Gebäude und Perimeter (A 7.1, A 7.5, A 7.11, A 7.12) — Sicherheitsperimeter mit lückenloser Umfassung, Brandschutztüren mit Alarm, Blitzschutz, redundante Stromversorgung (USV + Diesel), getrennte Kabelwege für Strom und Daten, unterirdische Leitungsführung wo möglich.

Räume und Bereiche (A 7.2, A 7.3, A 7.4, A 7.6, A 7.7) — Zutrittskontrolle mit Ausweisen und Biometrie, Doppeltürschleusen für Rechenzentren, Besuchermanagement (Identitätsprüfung, Begleitung, Besucherbuch), Videoüberwachung sensibler Bereiche, Clean Desk und Clean Screen, Regeln für sicheres Arbeiten in Sicherheitsbereichen (keine Aufnahmegeräte, mindestens zwei Personen).

Geräte und Medien (A 7.8, A 7.9, A 7.10, A 7.13, A 7.14) — Aufstellung in klimatisierten Räumen, Sichtschutz gegen Schulterblick, Schutz außerhalb des Geländes (kein Laptop unbeaufsichtigt in der Öffentlichkeit, Remote Wipe, Privacy-Filter), Speichermedien-Lebenszyklus von Beschaffung bis Vernichtung, Wartungsprogramme mit Herstellerintervallen, DIN-66399-konforme Entsorgung.

Worauf Auditor:innen besonders achten

Aus der Erfahrung mit ISO-27001-Audits sind vier Bereiche die häufigsten Prüfungspunkte:

Besuchermanagement. Gibt es ein Besucherbuch? Wird die Identität geprüft? Werden Besucher begleitet? Die Vorlage verlangt alles drei: Identitätsprüfung durch amtlichen Ausweis, Datum und Uhrzeit von Ein- und Austritt, Sicherheitseinweisung vor Betreten des Bereichs und Begleitung zu jeder Zeit.

Clean Desk. Sensible Unterlagen offen auf dem Schreibtisch? Bildschirm ohne Sperre? Drucker-Output, der seit Stunden im Fach liegt? Auditor:innen achten bei Rundgängen gezielt darauf. Die Vorlage definiert acht konkrete Regeln — von verschlossenen Schränken über automatische Bildschirmsperre bis zum „Final Sweep“ beim Verlassen der Räumlichkeit.

Wartungsprotokolle. Jede Wartung muss dokumentiert sein: Datum, durchgeführte Arbeiten, ersetzte Teile, Identität des Technikers. Externe Techniker werden begleitet und unterzeichnen eine Vertraulichkeitserklärung. Remote-Wartung wird autorisiert, protokolliert und nach Abschluss beendet.

Entsorgung. Festplatten im Mülleimer sind ein garantiertes Finding. Die Vorlage verlangt Vernichtung gemäß DIN 66399 (Sicherheitsstufe abhängig von der Klassifizierung), dokumentiertes Entsorgungsprotokoll und — bei externen Entsorgungsdienstleistern — vertragliche Vertraulichkeitsklauseln und Auditrechte.

So führst du die Richtlinie ein

  1. 01

    Begehung und Risikobewertung

    Gehe jedes Gebäude und jeden Raum ab, der Informationsverarbeitungssysteme, Speichermedien oder klassifizierte Informationen enthält. Dokumentiere den Ist-Zustand: Wo gibt es Zutrittskontrolle? Wo fehlt sie? Wie sieht es mit Brandschutz, Klima, USV und Verkabelung aus? Die Risikobewertung bestimmt, welche Abschnitte der Vorlage für dich relevant sind.

  2. 02

    Sicherheitszonen definieren

    Die Vorlage arbeitet mit Perimetern: ein äußerer Perimeter (Gebäudehülle) und innere Perimeter (Sicherheitsbereiche wie Serverraum, Archiv). Zeichne die Zonen in einen Gebäudeplan ein und definiere für jede Zone die Zutrittsregeln, Authentisierungsmechanismen und Überwachungsmaßnahmen.

  3. 03

    Schlüssel- und Zutrittskontrollsystem aufsetzen

    Die Vorlage verlangt einen Schlüsselmanagement-Prozess: Schlüsselbuch oder elektronisches Register, definierte Ausgabe- und Rückgabeprozesse, jährliches Schlüssel-Audit. Für Sicherheitsbereiche: Zutrittskontrollsystem mit Protokollierung und Echtzeitbenachrichtigung bei anomalem Zugang.

  4. 04

    Vorlage anpassen

    Streiche, was nicht zutrifft. Kein Rechenzentrum? Abschnitte zu Doppeltürschleusen, Brandlöschanlagen und Klimasteuerung im RZ entfallen. Keine Lieferzone? Abschnitt 4.3 streichen. Was bleibt, muss eure Räumlichkeiten widerspiegeln — nicht ein fiktives Hochsicherheitsgebäude.

  5. 05

    Schulung und Rundgänge

    Clean Desk funktioniert nur, wenn alle Beschäftigten die Regeln kennen. Kommuniziere die acht Regeln aus Abschnitt 9, stelle verschließbare Schränke bereit und führe regelmäßig angekündigte und unangekündigte Rundgänge durch. Der erste Rundgang ist ein guter Zeitpunkt, die Beschäftigten an die neuen Regeln zu erinnern — nicht um Fehlverhalten zu bestrafen.

Wo es in der Praxis schiefgeht

1. Tailgating. Die häufigste physische Sicherheitslücke: Eine autorisierte Person öffnet die Tür, eine nicht autorisierte geht direkt hinterher. Lösung: Sensibilisierung, Drehkreuze oder Schleusen für sensible Bereiche, Kultur des freundlichen Nachfragens.

2. Schlüssel ohne Rückgabe. Ehemalige Mitarbeitende haben noch Gebäudeschlüssel. Ohne jährliches Schlüssel-Audit fällt das nie auf. Die Vorlage verknüpft Schlüsselrückgabe mit dem Offboarding-Prozess der Personalsicherheitsrichtlinie.

3. Serverraum als Abstellkammer. Der Serverraum hat eine Zutrittskontrolle, aber drinnen stehen Kartons, alte Möbel und der Wasserkocher des Facility-Managers. Brandlast und unbefugter Zugriff auf Geräte in einem.

4. Entsorgung via Mülltonne. Festplatten, USB-Sticks oder ausgedruckte Verträge im normalen Müll. Die Vorlage verlangt DIN-66399-konforme Vernichtung und ein dokumentiertes Entsorgungsprotokoll.

5. Keine Umgebungsüberwachung. Temperatur und Luftfeuchtigkeit im Serverraum werden nicht überwacht. Im Sommer steigt die Temperatur, Geräte überhitzen. Die Vorlage verlangt Echtzeit-Monitoring mit Alarmierung bei Schwellwertüberschreitung.

Vorlage: Physische Sicherheitsrichtlinie

Vollständige Richtlinie

Richtlinie zur physischen Sicherheit

.md · DE.md · EN

Dokumentenkontrolle
Eigentümer: [RICHTLINIEN_EIGENTÜMER_ROLLE, z. B. Informationssicherheitsbeauftragte/r]
Genehmigt von: [GENEHMIGER_NAME_UND_ROLLE]
Version: [VERSION]
Gültig ab: [GÜLTIGKEITSDATUM]
Nächste Überprüfung: [NÄCHSTES_ÜBERPRÜFUNGSDATUM]

1. Rechtliche/Regulatorische Grundlage

ISO/IEC 27001:2022 / ISO/IEC 27002:2022, Anhang A — Physische Maßnahmen:

  • A 7.1 — Physische Sicherheitsperimeter
  • A 7.2 — Physischer Zutritt
  • A 7.3 — Sicherung von Büros, Räumen und Einrichtungen
  • A 7.4 — Physische Sicherheitsüberwachung
  • A 7.5 — Schutz vor physischen und umweltbezogenen Bedrohungen
  • A 7.6 — Arbeiten in Sicherheitsbereichen
  • A 7.7 — Aufgeräumter Schreibtisch und Bildschirm
  • A 7.8 — Platzierung und Schutz von Geräten
  • A 7.9 — Sicherheit von Werten außerhalb der Räumlichkeiten
  • A 7.10 — Speichermedien
  • A 7.11 — Versorgungseinrichtungen
  • A 7.12 — Verkabelungssicherheit
  • A 7.13 — Wartung von Geräten
  • A 7.14 — Sichere Entsorgung oder Wiederverwendung von Geräten

BSI IT-Grundschutz:

  • INF.1 (Allgemeines Gebäude)
  • INF.2 (Rechenzentrum und Serverraum)
  • ORP.4 (Identitäts- und Berechtigungsmanagement)
  • INF.7 (Büroarbeitsplatz)
  • INF.5 (Raum oder Schrank für technische Infrastruktur)
  • SYS.2.1 (Allgemeiner Client)
  • INF.8 (Häuslicher Arbeitsplatz)
  • INF.9 (Mobiler Arbeitsplatz)
  • CON.7 (Informationssicherheit auf Auslandsreisen)
  • SYS.4.5 (Wechseldatenträger)
  • CON.6 (Löschen und Vernichten von Daten und Geräten)
  • INF.12 (Verkabelung)
  • INF.11 (Allgemeines Fahrzeug)
  • INF.13 (Technisches Gebäudemanagement)

Weitere jurisdiktionsspezifische Gesetze — insbesondere Arbeitsschutzrecht, Bauordnungen, Brandschutzvorschriften, Datenschutzrecht (für Videoüberwachung und Zugangsprotokollierung) und Betriebsverfassungsgesetz — sind im Rechtsregister aufgeführt und werden durch Verweis einbezogen.

2. Zweck & Geltungsbereich

Diese Richtlinie definiert die physischen und umweltbezogenen Sicherheitsmaßnahmen zum Schutz der Räumlichkeiten, Einrichtungen, Geräte und Informationswerte von [IHR_ORGANISATIONSNAME]. Sie deckt physische Sicherheitsperimeter, Zutrittskontrollen, Büro- und Raumsicherheit, Überwachung, Schutz vor Umweltgefahren, Arbeiten in Sicherheitsbereichen, Aufgeräumter-Schreibtisch- und Bildschirm-Praktiken, Geräteplatzierung, Sicherheit von Werten außerhalb der Räumlichkeiten, Management von Speichermedien, Versorgungseinrichtungen, Verkabelung, Gerätewartung und sichere Entsorgung ab.

Die Richtlinie gilt für alle Gebäude, Räume und Einrichtungen, die von der Organisation besessen, gemietet oder betrieben werden und die Informationsverarbeitungssysteme, Speichermedien oder Personen beherbergen, die klassifizierte Informationen handhaben. Sie ist für alle Beschäftigten, Auftragnehmer, Besucher und Drittanbieter mit physischem Zugang zu den Räumlichkeiten der Organisation verbindlich.

3. Physische Sicherheitsperimeter (A 7.1)

Sicherheitsperimeter werden definiert und zum Schutz von Bereichen verwendet, die Informationen und andere zugehörige Werte enthalten. Die Gebäudesicherheitsplanung deckt den gesamten Lebenszyklus einer Einrichtung ab, von der Standortwahl über Design, Bau, Betrieb bis zur Außerbetriebnahme. Perimetergrenzen werden dokumentiert und bei Änderungen der Raumaufteilung überprüft. Für Rechenzentren und Serverräume werden dedizierte Brandabschnitte mit angemessenem Feuerwiderstand aufrechterhalten.

  • Perimeterdefinition & Standortwahl: Sicherheitsperimeter werden auf Grundlage einer Risikobewertung definiert. Standort und Stärke jedes Perimeters spiegeln die Informationssicherheits- und Datenschutzanforderungen der innerhalb des Perimeters befindlichen Werte wider. Perimetergrenzen sind im Gebäudesicherheitsplan dokumentiert und werden jährlich überprüft.
  • Physische Stabilität: Alle Gebäude und Standorte mit Informationsverarbeitungseinrichtungen verfügen über physisch stabile Perimeter ohne Lücken oder Einbruchschwachstellen. Außenwände, Dächer, Decken und Böden sind von solider Bauart. Alle Außentüren sind gegen unbefugten Zugang durch Kontrollmechanismen wie Gitter, Alarme und Schlösser geschützt. Türen und Fenster sind bei Abwesenheit verschlossen, und ebenerdige Fenster erhalten externen Schutz. Lüftungspunkte werden bewertet und gegen unbefugten Zutritt gesichert.
  • Sicherheit von Brandschutztüren: Alle Brandschutztüren am Sicherheitsperimeter sind alarmgesichert, überwacht und werden in Verbindung mit den angrenzenden Wänden getestet, um das erforderliche Widerstandsniveau gemäß geltenden Brandschutzstandards zu bestätigen. Brandschutztüren arbeiten ausfallsicher und erhalten sowohl Brandabschottung als auch Sicherheitsintegrität.

4. Physische Zutrittskontrollen (A 7.2)

Sicherheitsbereiche sind durch angemessene Zutrittskontrollen geschützt, um sicherzustellen, dass nur autorisierten Personen der Zugang gestattet wird. Physische Zutrittsrechte werden gemäß dem Zugriffsmanagement-Prozess provisioniert, periodisch überprüft, aktualisiert und widerrufen (siehe Zugriffskontroll-Richtlinie). Ein umfassender Schlüsselmanagement-Prozess regelt die Ausgabe, Verfolgung und Rückgabe aller physischen Schlüssel und Authentifizierungstoken. Feuerübungen und Evakuierungsübungen werden in geplanten Intervallen durchgeführt.

4.1 Allgemeine Zutrittskontrollen

  • Nur autorisierte Personen: Der Zugang zu Standorten und Gebäuden ist auf autorisierte Personen beschränkt. Physische Zutrittsrechte werden über einen formalen Autorisierungsprozess provisioniert, periodisch überprüft, bei Rollenwechseln aktualisiert und bei Austritt oder Rollenwechsel widerrufen (siehe Zugriffskontroll-Richtlinie).
  • Zutrittsprotokollierung: Ein physisches Logbuch oder ein elektronischer Audit-Trail erfasst alle Zutrittsereignisse. Protokolle werden sicher geführt, auf Anomalien überwacht und gegen Manipulation, unbefugten Zugriff und Löschung geschützt (siehe Richtlinie zum IT-Betrieb).
  • Authentifizierungsmechanismen: Ein dokumentierter Prozess und technische Mechanismen regeln den Zugang zu Bereichen, in denen Informationen verarbeitet oder gespeichert werden. Authentifizierungsmechanismen umfassen Zutrittskarten, Biometrie oder Zweifaktor-Authentifizierung, etwa eine Zutrittskarte in Kombination mit einer geheimen PIN. Doppelte Sicherheitstüren (Mantraps) werden für den Zugang zu sensiblen Bereichen wie Rechenzentren verwendet.
  • Empfang & Überwachung: Ein mit Personal besetzter Empfangsbereich oder gleichwertige Mittel kontrollieren den physischen Zutritt zu jedem Standort und Gebäude. Empfangspersonal verifiziert die Identität, bevor Einlass gewährt wird.
  • Inspektion persönlicher Gegenstände: Persönliche Gegenstände von Personen und interessierten Parteien werden beim Ein- und Austritt inspiziert und geprüft, wo die Risikobewertung dies rechtfertigt.
  • Sichtbare Kennzeichnung: Alle Personen und interessierten Parteien tragen jederzeit sichtbare Kennzeichnung auf dem Gelände. Sicherheitspersonal wird unverzüglich benachrichtigt, wenn unbegleitete Besucher oder Personen ohne sichtbare Kennzeichnung angetroffen werden. Leicht unterscheidbare Ausweise differenzieren festangestellte Beschäftigte, Lieferanten und Besucher.
  • Lieferantenzutritt: Personal von Lieferanten erhält nur bei betrieblicher Notwendigkeit eingeschränkten Zugang zu Sicherheitsbereichen oder Informationsverarbeitungseinrichtungen. Solcher Zutritt wird formal autorisiert und während des gesamten Besuchs überwacht.
  • Gebäude mit mehreren Mietern: Wenn ein Gebäude Werte für mehrere Organisationen beherbergt, erhält die physische Zutrittssicherheit besondere Aufmerksamkeit. Zutrittskontrollen verhindern, dass Personen eines Mieters die Sicherheitsbereiche eines anderen Mieters betreten.
  • Skalierbare Sicherheitsmaßnahmen: Physische Sicherheitsmaßnahmen sind so gestaltet, dass sie bei erhöhter Wahrscheinlichkeit physischer Vorfälle verstärkt werden können, etwa bei erhöhter Bedrohungslage oder nach Sicherheitsvorfällen.
  • Sicherheit von Notausgängen: Notausgänge und andere sekundäre Zugangspunkte wie Feuertreppen, Laderampen und Kellerzugänge sind gegen unbefugte Nutzung gesichert und bleiben gleichzeitig für Notausstieg in Übereinstimmung mit den Brandschutzvorschriften funktionsfähig.
  • Schlüsselmanagement: Ein Schlüsselmanagement-Prozess regelt alle physischen Schlüssel und Authentifizierungsinformationen, einschließlich Schlosscodes und Zahlencodes für Büros, Räume, Einrichtungen und Schlüsselschränke. Ein Schlüsselbuch oder ein jährliches Schlüsselaudit verfolgt Ausgabe, Rückgabe und aktuelle Inhaber. Der Zugriff auf physische Schlüssel und Authentifizierungsinformationen wird kontrolliert.

4.2 Besuchermanagement

  • Identitätsprüfung von Besuchern: Die Identität jedes Besuchers wird vor der Gewährung des Zutritts mit angemessenen Mitteln authentifiziert. Gültige amtliche Lichtbildausweise werden geprüft und erfasst.
  • Besucherprotokoll: Datum und Uhrzeit von Ankunft und Abreise jedes Besuchers werden in einem Besucherprotokoll erfasst. Aufzeichnungen werden gemäß dem Aufbewahrungsplan der Organisation aufbewahrt.
  • Autorisierter Zweck & Einweisung: Besuchern wird Zutritt nur zu bestimmten, autorisierten Zwecken gewährt. Jeder Besucher erhält vor dem Betreten Anweisungen zu den Sicherheitsanforderungen des besuchten Bereichs und zu Notfallverfahren.
  • Besucheraufsicht: Alle Besucher werden jederzeit beaufsichtigt, sofern nicht eine ausdrückliche, dokumentierte Ausnahme von einer autorisierten Person genehmigt wurde.

4.3 Anlieferungs- & Ladebereiche

  • Eingeschränkter Außenzugang: Der Zugang zu Anlieferungs- und Ladebereichen von außerhalb des Gebäudes ist auf identifizierte und autorisierte Personen beschränkt. Lieferfahrer betreten keine internen Gebäudebereiche.
  • Bereichsgestaltung: Anlieferungs- und Ladebereiche sind so gestaltet, dass Lieferungen be- und entladen werden können, ohne dass Lieferpersonal unbefugten Zugang zu anderen Gebäudeteilen erhält.
  • Türverriegelung: Die Außentüren von Anlieferungs- und Ladebereichen sind gesichert, wenn Türen zu eingeschränkten internen Bereichen geöffnet werden, um das gleichzeitige Öffnen beider Türsätze zu verhindern.
  • Eingangsprüfung: Eingehende Lieferungen werden auf Sprengstoffe, Chemikalien oder andere gefährliche Materialien geprüft und untersucht, bevor sie vom Anlieferungs- und Ladebereich in das Gebäude gebracht werden.
  • Lieferungsregistrierung: Eingehende Lieferungen werden gemäß Asset-Management-Verfahren beim Eintreffen am Standort registriert. Aufzeichnungen enthalten Absender, Inhalt, Datum und Empfänger.
  • Trennung von Sendungen: Ein- und ausgehende Sendungen werden, wo möglich, physisch getrennt, um Vermischung zu vermeiden und das Risiko von Austausch oder Diebstahl zu reduzieren.
  • Manipulationsprüfung: Eingehende Lieferungen werden auf Anzeichen von Manipulation während des Transports untersucht. Festgestellte Manipulationen werden dem Sicherheitspersonal umgehend zur Untersuchung gemeldet.

5. Sicherung von Büros, Räumen & Einrichtungen (A 7.3)

Die physische Sicherheit für Büros, Räume und Einrichtungen wird entworfen und umgesetzt, um Informationen und zugehörige Werte vor unbefugtem Zugriff, Beschädigung und Störung zu schützen. Die Raumauswahl berücksichtigt die Sensibilität der darin durchgeführten Aktivitäten, und Räume mit Informationsverarbeitungsgeräten werden von öffentlichen Bereichen getrennt. Räume für technische Infrastruktur (Serverräume, Netzverteilerräume) erhalten erhöhten Schutz einschließlich verstärkter Türen, Klimatisierung und eingeschränktem Zutritt.

  • Standortwahl kritischer Einrichtungen: Kritische Einrichtungen werden so platziert, dass öffentlicher Zugang vermieden wird. Standorte werden so gewählt, dass die Exposition gegenüber unbefugter Beobachtung, gelegentlichem Fußgängerverkehr und externen Bedrohungen minimiert wird.
  • Unauffällige Gebäude: Wo anwendbar, sind Gebäude unauffällig und geben keinen Hinweis auf ihren Zweck. Weder außen noch innen weisen offensichtliche Schilder auf das Vorhandensein von Informationsverarbeitungsaktivitäten hin.
  • Verhinderung von Sicht- & Hörbarkeit: Einrichtungen sind so konfiguriert, dass vertrauliche Informationen oder Aktivitäten nicht von außen sicht- oder hörbar sind. Elektromagnetische Abschirmung wird angewendet, wo die Risikobewertung dies rechtfertigt.
  • Einschränkung von Verzeichnissen & Karten: Verzeichnisse, interne Telefonbücher und Online-Karten, die die Standorte vertraulicher Informationsverarbeitungseinrichtungen ausweisen, sind nicht ohne Weiteres für unbefugte Personen verfügbar. Der Zugriff auf solche Informationen ist auf Personen mit nachgewiesenem Need-to-know beschränkt.

6. Physische Sicherheitsüberwachung (A 7.4)

Die Räumlichkeiten werden kontinuierlich auf unbefugten physischen Zutritt überwacht. Überwachungssysteme werden in Übereinstimmung mit geltenden Datenschutzvorschriften und Anforderungen an den Arbeitsplatzschutz entworfen, installiert und gewartet. Videoaufzeichnungen und Alarmprotokolle werden für einen definierten Zeitraum aufbewahrt und nach Sicherheitsvorfällen überprüft.

  • Videoüberwachung: Geschlossene TV-Systeme (CCTV) oder gleichwertige Videoüberwachungssysteme sind installiert, um den Zutritt zu sensiblen Bereichen sowohl innerhalb als auch außerhalb der Räumlichkeiten der Organisation zu beobachten und aufzuzeichnen. Kameraposition, Aufzeichnungsaufbewahrung und der Zugriff auf Aufnahmen sind dokumentiert und entsprechen der geltenden Datenschutzgesetzgebung.
  • Einbrucherkennung: Kontakt-, Geräusch- oder Bewegungsmelder werden gemäß relevanten Standards installiert und periodisch getestet. Dazu gehören Tür- und Fensterkontaktmelder, Infrarot-Bewegungsmelder und Glasbruchmelder, die Einbruchsalarme auslösen, um Sicherheitspersonal zu warnen.
  • Alarmabdeckung: Alarme decken alle Außentüren und zugänglichen Fenster ab. Unbelegte Bereiche sind jederzeit alarmgesichert. Zusätzliche Abdeckung erstreckt sich auf kritische Bereiche wie Computerräume, Kommunikationsräume und Archivlager.

7. Schutz vor physischen & umweltbezogenen Bedrohungen (A 7.5)

Der Schutz vor physischen und umweltbezogenen Bedrohungen wird auf Grundlage einer Risikobewertung entworfen und umgesetzt, die die geografische Lage, Gebäudeeigenschaften und das Umfeld berücksichtigt. Der Brandschutz folgt geltenden Bauordnungen und umfasst Rauchmelder, Handfeuerlöscher und Brandbekämpfungssysteme. Rechenzentren enthalten dedizierte Brandabschnitte, unterbrechungsfreie Stromversorgungen und Notabschaltverfahren.

7.1 Standortwahl & Risikobewertung

  • Topografische Risiken: Standortwahl und Risikobewertungen berücksichtigen die lokale Topografie, einschließlich angemessener Höhe über Überschwemmungsgebieten, der Nähe zu Gewässern und des Abstands zu tektonischen Verwerfungslinien.
  • Urbane & standortbezogene Risiken: Standortwahl und Risikobewertungen bewerten urbane Bedrohungen, einschließlich der Frage, ob der Standort ein hohes Profil hat, das politische Unruhen, kriminelle Aktivitäten oder Terroranschläge anziehen könnte. Standorte mit erhöhtem Bedrohungsprofil erhalten zusätzliche physische Gegenmaßnahmen.

7.2 Bedrohungsspezifische Maßnahmen

  • Brandschutz: Brandmeldeanlagen werden installiert und so konfiguriert, dass Brände frühzeitig erkannt werden und Alarme oder Brandbekämpfungssysteme ausgelöst werden. Die Brandbekämpfung verwendet das für die Umgebung am besten geeignete Mittel — gasbasierte Löschsysteme in geschlossenen Räumen wie Serverräumen, wasserbasierte Systeme in allgemeinen Bereichen. Handfeuerlöscher sind an zugänglichen Stellen in allen Gebäuden platziert. Feuerübungen werden in geplanten Intervallen durchgeführt.
  • Hochwasserschutz: Wassermeldesysteme werden unter den Böden von Bereichen mit Speichermedien oder Informationsverarbeitungssystemen installiert. Wasserpumpen oder gleichwertige Entwässerungsmittel sind verfügbar. Kritische Geräte werden über Bodenniveau gehoben, wo Hochwasserrisiko festgestellt wird.
  • Überspannungsschutz: Überspannungsschutzsysteme schützen sowohl Server- als auch Client-Informationssysteme gegen elektrische Überspannungen und ähnliche Ereignisse. Blitzschutz wird an allen Gebäuden angewendet, und Blitzschutzfilter werden an allen eingehenden Strom- und Kommunikationsleitungen angebracht.
  • Sprengstoffe & Waffen: Stichprobenartige Kontrollen auf Sprengstoffe oder Waffen werden bei Personen, Fahrzeugen oder Waren durchgeführt, die sensible Informationsverarbeitungseinrichtungen betreten.
  • Kriminalprävention: Kriminalprävention durch gestalterische Maßnahmen (CPTED) wird bei Design und Auswahl von Maßnahmen zur Sicherung der Umgebung der Organisation angewendet. Dazu gehören natürliche Überwachung, Zugangskontrolle durch Landschaftsgestaltung, territoriale Verstärkung und Instandhaltung zur Reduzierung urbaner Bedrohungen.

8. Arbeiten in Sicherheitsbereichen (A 7.6)

Sicherheitsmaßnahmen für das Arbeiten in Sicherheitsbereichen werden entworfen und umgesetzt, um Informationen und zugehörige Werte in diesen Bereichen zu schützen. Sicherheitsbereiche umfassen Rechenzentren, Serverräume, Archivräume und jeden Bereich, der aufgrund der Sensibilität der darin enthaltenen Informationen oder Geräte als eingeschränkt ausgewiesen ist.

  • Need-to-know-Bewusstsein: Personen werden nur auf Need-to-know-Basis über die Existenz oder Aktivitäten in einem Sicherheitsbereich informiert. Standort und Zweck von Sicherheitsbereichen werden nicht an Personen weitergegeben, die keinen betrieblichen Bedarf für deren Zutritt haben.
  • Beaufsichtigte Arbeit: Unbeaufsichtigte Arbeit in Sicherheitsbereichen wird sowohl aus Sicherheitsgründen als auch zur Reduzierung der Gelegenheit für böswillige Aktivitäten vermieden. Mindestens zwei autorisierte Personen sind bei Arbeiten in Hochsicherheitsbereichen anwesend.
  • Inspektion leerer Bereiche: Leere Sicherheitsbereiche werden physisch abgeschlossen und periodisch inspiziert, um unbefugten Zutritt, Manipulation oder Umweltanomalien zu erkennen.
  • Einschränkungen für Aufnahmegeräte: Foto-, Video-, Audio- oder andere Aufnahmegeräte — einschließlich in Endgeräte eingebauter Kameras — sind in Sicherheitsbereichen nicht zulässig, sofern sie nicht ausdrücklich vom Facility Security Manager genehmigt wurden.
  • Kontrolle von Endgeräten: Das Mitführen und die Nutzung von Endgeräten in Sicherheitsbereichen wird kontrolliert. Geräte sind entweder untersagt, werden am Eingang sicher verwahrt oder unterliegen Inspektions- und Nutzungsbeschränkungen.
  • Notfallverfahren: Notfallverfahren — einschließlich Fluchtwege, Sammelpunkte und Notfallkontaktnummern — sind in allen Sicherheitsbereichen gut sichtbar oder zugänglich ausgehängt.

9. Aufgeräumter Schreibtisch & Bildschirm (A 7.7)

Regeln für aufgeräumte Schreibtische für Papiere und Wechseldatenträger sowie Regeln für aufgeräumte Bildschirme für Informationsverarbeitungseinrichtungen sind definiert und werden durchgesetzt. Diese Regeln minimieren das Risiko unbefugten Zugriffs, Verlusts oder Beschädigung von Informationen während und außerhalb der normalen Arbeitszeiten. Für häusliche Arbeitsplätze gelten dieselben Aufgeräumter-Schreibtisch- und Bildschirm-Standards.

  • Sichere Aufbewahrung sensibler Informationen: Sensible oder geschäftskritische Informationen — ob auf Papier oder auf elektronischen Speichermedien — werden in einem Safe, Schrank oder anderen sicheren Möbeln eingeschlossen, wenn sie nicht aktiv benötigt werden, insbesondere wenn das Büro verlassen wird.
  • Sperrung von Endgeräten: Endgeräte werden durch Schlüsselschlösser oder andere physische Sicherheitsmittel geschützt, wenn sie nicht in Gebrauch oder unbeaufsichtigt sind. Laptops werden mit Kabelschlössern gesichert oder in verschlossenen Schubladen oder Schränken verwahrt.
  • Bildschirmsperre & automatische Abmeldung: Endgeräte werden abgemeldet oder mit einem durch Benutzerauthentifizierung gesteuerten Bildschirm- und Tastatursperrmechanismus geschützt, wenn sie unbeaufsichtigt sind. Alle Computer und Systeme sind mit einem Sitzungstimeout oder einer automatischen Abmeldefunktion konfiguriert, die nach einer definierten Zeit der Inaktivität aktiv wird.
  • Abholung von Druckerausgaben: Urheber holen Ausgaben von Druckern oder Multifunktionsgeräten umgehend ab. Es werden Drucker mit Authentifizierungsfunktion verwendet, sodass nur der Urheber Ausdrucke abrufen kann, und nur, wenn er physisch am Drucker anwesend ist.
  • Entsorgung von Dokumenten & Medien: Dokumente und Wechseldatenträger mit sensiblen Informationen werden während des Gebrauchs sicher aufbewahrt und, wenn nicht mehr benötigt, über sichere Entsorgungsmechanismen wie Kreuzschnittvernichtung oder Degaussing entsorgt.
  • Konfiguration von Bildschirm-Pop-ups: Regeln und Leitlinien für die Konfiguration von Pop-ups auf Bildschirmen werden aufgestellt und kommuniziert. Neue E-Mail- und Messaging-Benachrichtigungs-Pop-ups werden während Präsentationen, Bildschirmfreigaben oder beim Arbeiten in öffentlichen Bereichen deaktiviert.
  • Reinigung von Whiteboards & Displays: Sensible oder kritische Informationen auf Whiteboards und anderen Anzeigeflächen werden gelöscht oder entfernt, wenn sie nicht mehr benötigt werden. Besprechungsräume werden nach Gebrauch inspiziert.
  • Letzte Kontrolle: Vor dem Verlassen oder Räumen der Einrichtungen wird eine letzte Kontrolle durchgeführt, um sicherzustellen, dass keine organisatorischen Werte — insbesondere Dokumente — zurückgelassen werden, einschließlich solcher, die hinter Schubladen oder Möbeln gefallen sein könnten.

10. Platzierung & Schutz von Geräten (A 7.8)

Geräte werden platziert und geschützt, um die Risiken durch physische und umweltbezogene Bedrohungen zu reduzieren und unbefugten Zugang, Beschädigung und Störung zu verhindern. Rechenzentrumsgeräte werden in klimatisierten Umgebungen mit redundanter Kühlung und Brandbekämpfung platziert. Geräte am Büroarbeitsplatz werden so positioniert, dass unbefugte Einsicht minimiert und Diebstahlschutz gewährleistet wird.

  • Minimierung des Arbeitsbereichszugangs: Geräte werden so platziert, dass unnötiger Zugang zu Arbeitsbereichen minimiert und unbefugter physischer Zugang verhindert wird. Server- und Netzwerkgeräte werden in dedizierten, zugangskontrollierten Räumen platziert.
  • Schutz vor Einsichtswinkel: Informationsverarbeitungseinrichtungen, die sensible Daten verarbeiten, werden sorgfältig positioniert, um das Risiko zu reduzieren, dass Informationen während der Nutzung von unbefugten Personen eingesehen werden. Bildschirme zeigen von Fenstern, Korridoren und öffentlichen Bereichen weg; Sichtschutzfilter werden bei Bedarf angewendet.
  • Maßnahmen gegen physische & umweltbezogene Bedrohungen: Maßnahmen minimieren das Risiko potenzieller physischer und umweltbezogener Bedrohungen, einschließlich Diebstahl, Feuer, Sprengstoff, Rauch, Wasser und Wasserversorgungsausfall, Staub, Vibration, chemische Einwirkungen, Stromversorgungsstörungen, Kommunikationsstörungen, elektromagnetische Strahlung und Vandalismus.
  • Leitlinien für Essen & Trinken: Leitlinien untersagen Essen, Trinken und Rauchen in der Nähe von Informationsverarbeitungseinrichtungen, insbesondere in Serverräumen, Rechenzentren und Räumen der technischen Infrastruktur.
  • Umweltüberwachung: Umweltbedingungen — einschließlich Temperatur und Feuchtigkeit — werden in Echtzeit auf Bedingungen überwacht, die den Betrieb von Informationsverarbeitungseinrichtungen beeinträchtigen können. Alarme werden bei Überschreiten von Schwellenwerten erzeugt. Rechenzentrumsumgebungen halten Temperatur und Feuchtigkeit innerhalb der vom Hersteller spezifizierten Bereiche.
  • Blitzschutz: Blitzschutz wird an allen Gebäuden angewendet. Blitzschutzfilter werden an allen eingehenden Strom- und Kommunikationsleitungen angebracht, um Schäden durch elektrische Überspannungen zu verhindern.
  • Besondere Schutzmethoden: Besondere Schutzmethoden — wie Tastaturmembranen, versiegelte Gehäuse und robuste Ausführungen — werden für Geräte verwendet, die in industriellen, fertigungsbezogenen oder anderen rauen Umgebungen eingesetzt werden.
  • Schutz vor elektromagnetischer Abstrahlung: Geräte, die vertrauliche Informationen verarbeiten, werden geschützt, um das Risiko von Informationsabfluss durch elektromagnetische Abstrahlung zu minimieren. Abschirmung, Filterung und Emissionsreduktion werden auf Basis der Klassifizierung der verarbeiteten Informationen angewendet.
  • Trennung von Einrichtungen: Von der Organisation verwaltete Informationsverarbeitungseinrichtungen sind physisch von solchen getrennt, die nicht von der Organisation verwaltet werden. Co-lokierte Geräte verschiedener Organisationen teilen sich ohne dokumentierte Risikoakzeptanz nicht dieselben physischen Gehäuse oder Racks.

11. Sicherheit von Werten außerhalb der Räumlichkeiten (A 7.9)

Werte außerhalb der Räumlichkeiten werden gemäß der Risikobewertung geschützt. Geräte und Speichermedien, die außerhalb der Räumlichkeiten der Organisation mitgeführt werden, unterliegen demselben Schutzniveau wie Werte vor Ort, angepasst an das höhere Risiko der Umgebung außerhalb. Personen, die mit organisatorischen Werten reisen, befolgen die Reisesicherheitsleitlinien. Häusliche Arbeitsplätze erfüllen definierte Sicherheitsstandards, und mobile Arbeitsplätze werden nur in Umgebungen genutzt, die ausreichende Privatsphäre und physischen Schutz bieten.

11.1 Allgemeiner Schutz außerhalb der Räumlichkeiten

  • Keine unbeaufsichtigten Geräte in der Öffentlichkeit: Geräte und Speichermedien, die außerhalb der Räumlichkeiten mitgeführt werden, werden niemals unbeaufsichtigt an öffentlichen und ungesicherten Orten zurückgelassen. Geräte werden unter persönlicher Aufsicht gehalten oder in verschlossenen Behältern, Hotelsafes oder Fahrzeugkofferräumen gesichert.
  • Herstelleranweisungen zum Schutz: Die Herstelleranweisungen zum Schutz von Geräten werden jederzeit beachtet, einschließlich des Schutzes vor starken elektromagnetischen Feldern, Wasser, Hitze, Feuchtigkeit und Staub.
  • Chain of Custody: Wenn Geräte außerhalb der Räumlichkeiten zwischen verschiedenen Personen oder interessierten Parteien übertragen werden, definiert ein Protokoll die Chain of Custody einschließlich der Namen und Organisationen der für das Gerät an jedem Punkt Verantwortlichen. Informationen, die nicht mit dem Asset übertragen werden müssen, werden vor der Übertragung sicher gelöscht.
  • Entfernungsgenehmigung: Wo notwendig und praktikabel, ist eine Genehmigung für das Entfernen von Geräten und Medien aus den Räumlichkeiten der Organisation erforderlich. Eine Aufzeichnung solcher Entfernungen wird geführt, um einen Audit-Trail bereitzustellen (siehe Richtlinie zum Informationstransfer).
  • Schutz vor Shoulder Surfing: Auf Gerätebildschirmen angezeigte Informationen werden in öffentlichen Verkehrsmitteln und öffentlichen Räumen vor Einsicht durch unbefugte Personen geschützt. Sichtschutzfilter werden an Laptops und Mobilgeräten verwendet, und die Bildschirmhelligkeit wird angepasst, um die Lesbarkeit von benachbarten Sitzplätzen zu minimieren.
  • Standortverfolgung & Remote-Wipe: Standortverfolgung und Remote-Wipe-Funktionen sind auf Mobilgeräten und Laptops implementiert. Remote-Wipe wird bei bestätigtem Verlust oder Diebstahl eines Geräts umgehend aktiviert.

11.2 Dauerhafte externe Installationen

  • Physische Sicherheitsüberwachung: Dauerhafte externe Installationen — wie entfernte Büros, Co-Location-Einrichtungen und externe Lagerorte — unterliegen einer physischen Sicherheitsüberwachung, die den Standards vor Ort gleichwertig ist.
  • Schutz vor Umweltbedrohungen: Dauerhafte externe Installationen werden nach demselben risikobasierten Ansatz wie die Hauptstandorte vor physischen und umweltbezogenen Bedrohungen geschützt.
  • Manipulationsschutz: Physische Zugangskontrollen und Manipulationsschutzmechanismen schützen externe Installationen vor unbefugtem physischem Zugang, und Manipulationsanzeichen lösen eine sofortige Untersuchung aus.
  • Logische Zugangskontrollen: Logische Zugangskontrollen an externen Installationen erfüllen dieselben Anforderungen wie vor Ort, einschließlich Authentifizierung, Autorisierung und Audit-Logging.

12. Speichermedien (A 7.10)

Speichermedien werden über ihren gesamten Lebenszyklus — von der Beschaffung über Nutzung, Transport, Lagerung bis zur Entsorgung — gemäß dem Klassifizierungsschema und den Handhabungsverfahren der Organisation verwaltet. Richtlinien für Wechseldatenträger adressieren die spezifischen Risiken tragbarer Geräte, die leicht verloren oder gestohlen werden können. Informationen auf physisch transportierten Speichermedien werden während des Transports vor unbefugtem Zugriff, Missbrauch und Beschädigung geschützt. Sichere Löschung und Vernichtung folgen dokumentierten Verfahren.

12.1 Wechseldatenträger-Management

  • Richtlinie für Wechseldatenträger: Eine themenspezifische Richtlinie zum Management von Wechseldatenträgern ist etabliert und wird allen Personen kommuniziert, die Wechseldatenträger nutzen oder handhaben.
  • Entfernungsgenehmigung: Wo notwendig und praktikabel, ist eine Genehmigung für das Entfernen von Speichermedien aus der Organisation erforderlich. Eine Aufzeichnung solcher Entfernungen wird geführt, um einen Audit-Trail bereitzustellen.
  • Sichere Lagerumgebung: Alle Speichermedien werden in einer sicheren Umgebung gemäß ihrer Informationsklassifizierung gelagert und gemäß Herstellerspezifikationen vor Umweltbedrohungen wie Hitze, Feuchtigkeit, elektromagnetischen Feldern und Alterung geschützt.
  • Verschlüsselung: Wenn Vertraulichkeit oder Integrität der Informationen zu berücksichtigen sind, schützen kryptographische Verfahren Informationen auf Wechseldatenträgern. Verschlüsselungsalgorithmen und Schlüssellängen folgen der Kryptographie-Richtlinie.
  • Mediumerneuerung: Um das Risiko zu mindern, dass Speichermedien degradieren, während die gespeicherten Informationen noch benötigt werden, werden Informationen auf frische Speichermedien übertragen, bevor das ursprüngliche Medium unlesbar wird. Erneuerungspläne sind pro Medientyp dokumentiert.
  • Redundante Kopien: Mehrere Kopien wertvoller Informationen werden auf getrennten Speichermedien gespeichert, um das Risiko zufälliger Datenbeschädigung oder -verluste zu reduzieren.
  • Mediumregistrierung: Wechseldatenträger werden in einem Inventar registriert, um das Risiko von Informationsverlust zu reduzieren. Das Register erfasst Medientyp, Klassifizierungsstufe, Verwalter und Standort.
  • Port-Kontrolle: Wechseldatenträger-Ports — einschließlich SD-Karten-Slots und USB-Ports — werden nur aktiviert, wo ein dokumentierter organisatorischer Grund für ihre Nutzung besteht. Ports werden durch Endgeräte-Management-Tools standardmäßig deaktiviert.
  • Transferüberwachung: Wo Wechseldatenträger genutzt werden müssen, wird der Transfer von Informationen auf solche Medien über Data-Loss-Prevention-Tools (DLP) oder manuelle Protokollierungsverfahren überwacht.
  • Schutz beim physischen Transport: Informationen auf Speichermedien während des physischen Transports — einschließlich per Post oder Kurier — werden vor unbefugtem Zugriff, Missbrauch und Beschädigung geschützt. Manipulationssichtbare Verpackung und nachverfolgte Lieferdienste werden für Medien oberhalb der Baseline-Klassifizierung verwendet.

12.2 Sichere Wiederverwendung & Entsorgung

  • Sichere Wiederverwendung: Speichermedien mit vertraulichen Informationen, die innerhalb der Organisation wiederverwendet werden sollen, werden vor der Wiederverwendung mit genehmigten Werkzeugen sicher gelöscht oder formatiert (siehe Richtlinie zu Datenlöschung, Maskierung und DLP).
  • Sichere Entsorgung: Speichermedien mit vertraulichen Informationen werden, wenn sie nicht mehr benötigt werden, sicher durch Vernichtung, Schreddern oder sichere Löschung der Inhalte entsorgt. Die Entsorgungsmethode entspricht der Klassifizierungsstufe der Informationen.
  • Verfahren zur Entsorgungsidentifikation: Verfahren sind etabliert, um Gegenstände zu identifizieren, die sicher entsorgt werden müssen. Diese Verfahren decken alle Medientypen ab — Festplatten, SSDs, USB-Geräte, optische Medien, Bänder und Papierdokumente.
  • Externe Entsorgungsdienste: Wenn externe Abhol- und Entsorgungsdienste genutzt werden, wird der externe Dienstleister mit angemessenen Maßnahmen und Erfahrung ausgewählt. Verträge enthalten Vertraulichkeitsklauseln, Zertifizierungsanforderungen und Auditrechte.
  • Entsorgungsprotokollierung: Die Entsorgung sensibler Gegenstände wird protokolliert, um einen Audit-Trail zu führen. Aufzeichnungen umfassen die Beschreibung des Gegenstands, die Entsorgungsmethode, das Datum, die verantwortliche Person und die Bestätigung der Vernichtung.
  • Aggregationseffekt: Bei der Ansammlung von Speichermedien zur Entsorgung wird der Aggregationseffekt berücksichtigt, bei dem eine große Menge einzeln nicht sensibler Informationen in Kombination sensibel werden kann. Angesammelte Medien, die auf Entsorgung warten, werden sicher aufbewahrt.
  • Bewertung beschädigter Geräte: Eine Risikobewertung wird bei beschädigten Geräten mit sensiblen Daten durchgeführt, um festzustellen, ob die Gegenstände physisch vernichtet werden, anstatt zur Reparatur gesendet oder entsorgt zu werden (siehe sichere Entsorgung, Abschnitt 16).

13. Versorgungseinrichtungen (A 7.11)

Informationsverarbeitungseinrichtungen werden vor Stromausfällen und anderen Störungen geschützt, die durch Ausfälle in Versorgungseinrichtungen wie Strom, Gas, Wasser, Abwasser, Heizung/Lüftung, Klimatisierung und Telekommunikation verursacht werden. Die Versorgungsinfrastruktur ist mit Redundanz gestaltet, um Verfügbarkeitsanforderungen zu erfüllen. Unterbrechungsfreie Stromversorgungen (USV) und Dieselgeneratoren bieten Notstromversorgung für Rechenzentren und kritische Systeme. Notschalter und Ventile sind in der Nähe von Notausgängen und Geräteräumen installiert.

  • Einhaltung von Herstellervorgaben: Geräte, die die Versorgungseinrichtungen unterstützen, werden gemäß den Spezifikationen des jeweiligen Herstellers und den geltenden Sicherheitsstandards konfiguriert, betrieben und gewartet.
  • Kapazitätsplanung: Versorgungseinrichtungen werden regelmäßig auf ihre Fähigkeit zur Erfüllung des Geschäftswachstums bewertet und auf Wechselwirkungen mit anderen Versorgungseinrichtungen untersucht, die Kaskadenausfälle verursachen können.
  • Inspektion & Tests: Geräte, die die Versorgungseinrichtungen unterstützen, werden regelmäßig inspiziert und getestet, um die ordnungsgemäße Funktion sicherzustellen. USV-Systeme werden in geplanten Intervallen lasttest, und Dieselgeneratoren durchlaufen regelmäßige Start- und Laufzeittests.
  • Fehlfunktionsalarme: Wo notwendig, erkennen Alarme Versorgungsfehlfunktionen — einschließlich Stromausfällen, Kühlsystemanomalien und Wasserlecks — und benachrichtigen die zuständigen Personen umgehend.
  • Mehrere Einspeisungen & getrennte Wegführung: Wo notwendig, verfügen Versorgungseinrichtungen über mehrere Einspeisungen mit getrennter physischer Wegführung, um Single Points of Failure zu eliminieren. Strom wird für kritische Einrichtungen aus mindestens zwei unabhängigen Quellen bereitgestellt.
  • Getrenntes Netz: Geräte, die die Versorgungseinrichtungen unterstützen, befinden sich in einem von den Informationsverarbeitungseinrichtungen getrennten Netz, falls sie an ein Netz angeschlossen sind, um zu verhindern, dass eine Kompromittierung von Gebäudemanagementsystemen IT-Systeme beeinträchtigt und umgekehrt.
  • Sichere Internetanbindung: Geräte, die die Versorgungseinrichtungen unterstützen, sind nur bei betrieblicher Notwendigkeit und nur über eine gesicherte, überwachte Verbindung mit dem Internet verbunden.
  • Notbeleuchtung & Notkommunikation: Notbeleuchtung und Notkommunikationssysteme sind in allen belegten Bereichen vorhanden und werden in geplanten Intervallen auf Einsatzbereitschaft getestet.
  • Notabschaltsteuerungen: Notschalter und -ventile zum Abschalten von Strom, Wasser, Gas oder anderen Versorgungen befinden sich in der Nähe von Notausgängen und Geräteräumen und sind deutlich gekennzeichnet und zugänglich.
  • Netzwerkanbindungsredundanz: Die Redundanz der Netzwerkanbindung wird durch mehrere Routen von mehr als einem Versorger erreicht, um sicherzustellen, dass der Ausfall eines einzelnen Versorgers die Kommunikation nicht unterbricht.
  • Notfallkontaktaufzeichnungen: Notfallkontaktdaten für Versorger und interne Notfallreaktionspersonen werden erfasst und bei einem Ausfall allen relevanten Personen zur Verfügung gestellt.

14. Verkabelungssicherheit (A 7.12)

Kabel, die Strom oder Daten führen oder Informationsdienste unterstützen, werden vor Abfangen, Störung, Beschädigung oder Manipulation geschützt. Die Verkabelungsinfrastruktur folgt Standards für Primär- und Sekundärverkabelung, und die Kabeldokumentation wird gepflegt, um schnelle Fehleridentifikation und Infrastrukturänderungen zu ermöglichen. Alle Kabelinstallationen verwenden feuerfeste Materialien in Übereinstimmung mit geltenden Brandschutzvorschriften. Kabelräume sind zugangskontrolliert und werden regelmäßig inspiziert.

  • Unterirdische oder geschützte Wegführung: Strom- und Telekommunikationsleitungen zu Informationsverarbeitungseinrichtungen werden, wo möglich, unterirdisch geführt oder erhalten angemessenen alternativen Schutz wie Bodenkabelschutz und Oberleitungsmasten. Erdkabel werden mit gepanzerten Rohren oder Anwesenheitsmarkierungen vor versehentlichen Schnitten geschützt.
  • Kabeltrennung: Stromkabel werden von Kommunikationskabeln getrennt, um elektromagnetische Interferenzen zu vermeiden. Mindestabstände folgen geltenden Verkabelungsstandards.
  • Gepanzerte Leitungen & gesicherte Endpunkte: Gepanzerte Leitungen, verschlossene Räume und abschließbare Gehäuse mit Alarmen werden an Inspektions- und Anschlusspunkten für sensible oder kritische Systeme installiert.
  • Elektromagnetische Abschirmung: Elektromagnetische Abschirmung wird angewendet, um Datenkabel für sensible oder kritische Systeme vor Abstrahlung und Interferenz zu schützen.
  • Durchsuchung & Inspektion: Periodische technische Durchsuchungen und physische Inspektionen erkennen unbefugte an den Kabeln sensibler oder kritischer Systeme angebrachte Geräte. Die Inspektionshäufigkeit basiert auf der Risikobewertung.
  • Zugang zu Patch-Panels & Kabelräumen: Der Zugang zu Patch-Panels und Kabelräumen wird über mechanische Schlüssel, PINs oder elektronische Zutrittskontrolle gesteuert. Der Zugang ist auf autorisiertes Wartungs- und Netzwerkpersonal beschränkt.
  • Glasfaserkabel: Glasfaserkabel werden für sensible oder kritische Systeme verwendet, wo das Risiko elektromagnetischen Abfangens oder der Störung ihre Nutzung rechtfertigt.
  • Kabelbeschriftung: Kabel werden an beiden Enden mit ausreichenden Quell- und Zielangaben beschriftet, um physische Identifikation und Inspektion zu ermöglichen. Die Beschriftung folgt einer dokumentierten Namenskonvention und wird bei Infrastrukturänderungen aktuell gehalten.

15. Wartung von Geräten (A 7.13)

Geräte werden korrekt gewartet, um ihre fortwährende Verfügbarkeit, Integrität und Informationssicherheit zu gewährleisten. Wartungsprogramme werden geplant, dokumentiert und überwacht, um Geräte im vom Hersteller spezifizierten Zustand zu halten. Die Wartung der Rechenzentrumsinfrastruktur folgt einem strukturierten Programm mit dokumentierten Serviceintervallen. Systeme des technischen Gebäudemanagements sind in den Wartungsplan einbezogen.

  • Hersteller-Serviceplan: Geräte werden gemäß der vom Lieferanten empfohlenen Servicefrequenz und den Spezifikationen gewartet. Wartungsintervalle werden dokumentiert und verfolgt.
  • Wartungsprogramm: Ein Wartungsprogramm wird von der Organisation umgesetzt und überwacht. Das Programm deckt alle kritischen Geräte ab, legt verantwortliche Parteien fest und verfolgt den Abschluss geplanter Wartungsaktivitäten.
  • Nur autorisiertes Personal: Nur autorisiertes Wartungspersonal führt Reparaturen und Wartung an Geräten durch. Die Autorisierung wird vor Beginn der Arbeiten verifiziert.
  • Wartungsaufzeichnungen: Aufzeichnungen über alle vermuteten oder tatsächlichen Fehler sowie alle vorbeugenden und korrektiven Wartungsaktivitäten werden geführt. Die Aufzeichnungen umfassen Daten, durchgeführte Arbeiten, ersetzte Teile und die Identität des Wartungspersonals.
  • Sicherheitsmaßnahmen bei Wartung: Angemessene Maßnahmen werden umgesetzt, wenn Wartung an Geräten geplant ist, unter Berücksichtigung, ob die Wartung von eigenem Personal oder externen Dienstleistern durchgeführt wird. Externes Wartungspersonal unterzeichnet eine geeignete Vertraulichkeitsvereinbarung.
  • Vor-Ort-Aufsicht: Wartungspersonal wird bei Wartungsarbeiten vor Ort beaufsichtigt. Die Aufsicht umfasst die Begleitung externer Techniker und die Verifizierung, dass nur autorisierte Arbeiten ausgeführt werden.
  • Autorisierung der Fernwartung: Der Zugang zur Fernwartung wird autorisiert und kontrolliert. Fernwartungssitzungen werden protokolliert, überwacht und beendet, wenn die Wartungsaufgabe abgeschlossen ist.
  • Wartung außerhalb der Räumlichkeiten: Wenn Geräte mit Informationen zur Wartung außerhalb der Räumlichkeiten gebracht werden, gelten die Sicherheitsmaßnahmen für Werte außerhalb der Räumlichkeiten. Informationen werden vor dem Verlassen der Räumlichkeiten nach Möglichkeit vom Gerät entfernt.
  • Einhaltung von Versicherungsbedingungen: Alle von Versicherungspolicen auferlegten Wartungsanforderungen werden erfüllt. Wartungsaufzeichnungen werden Versicherern auf Anfrage zur Verfügung gestellt.
  • Inspektion nach Wartung: Vor der Wiederinbetriebnahme nach der Wartung werden Geräte inspiziert, um sicherzustellen, dass sie nicht manipuliert wurden und ordnungsgemäß funktionieren. Konfigurations-Baselines werden erneut verifiziert.
  • Entsorgung am Lebensende: Wenn festgestellt wird, dass Geräte anstelle von Wartung entsorgt werden, gelten die Maßnahmen zur sicheren Entsorgung oder Wiederverwendung von Geräten.

16. Sichere Entsorgung oder Wiederverwendung von Geräten (A 7.14)

Geräte mit Speichermedien werden verifiziert, um sicherzustellen, dass alle sensiblen Daten und lizenzierte Software vor der Entsorgung oder Wiederverwendung entfernt oder sicher überschrieben wurden. Die physische Vernichtung von Speichermedien folgt dokumentierten Verfahren und ist die bevorzugte Methode für Medien, die hochklassifizierte Informationen enthielten. Wenn Einrichtungen geräumt werden, stellt ein Außerbetriebnahme-Prozess sicher, dass keine Restinformationen für nachfolgende Nutzer verbleiben. Dieser Abschnitt liefert die physischen Vernichtungsmaßnahmen, auf die die Datenlöschrichtlinie verweist.

  • Rückführung der Einrichtung: Beim Räumen einer Einrichtung werden die Anforderungen des Mietvertrags, die Einrichtung in ihren ursprünglichen Zustand zurückzuführen, eingehalten. Alle Informationsverarbeitungsgeräte, Verkabelung, Zutrittskontrollgeräte und Überwachungssysteme werden entfernt oder funktionsunfähig gemacht.
  • Entfernung von Restinformationen: Das Risiko, Systeme mit sensiblen Informationen für den nächsten Mieter zurückzulassen, wird minimiert. Zugriffslisten, Video- oder Bilddateien, Konfigurationsdaten und alle anderen Informationswerte werden vor der Übergabe der Einrichtung sicher aus allen Systemen, Speichermedien und Netzwerkgeräten gelöscht.
  • Wiederverwendbarkeit von Maßnahmen: Die Möglichkeit, physische Sicherheitsmaßnahmen — wie Zutrittskontrollhardware, CCTV-Systeme und Alarmanlagen — an der nächsten Einrichtung wiederzuverwenden, wird während der Außerbetriebnahme bewertet. Wiederverwendbare Maßnahmen werden inventarisiert, getestet und sicher transportiert.

17. Rollen & Verantwortlichkeiten

  • Geschäftsleitung: Genehmigt diese Richtlinie, stellt Ressourcen für die physische Sicherheitsinfrastruktur bereit und stellt die Abstimmung mit Geschäftszielen, rechtlichen Anforderungen und Arbeitsschutzvorschriften sicher.
  • Informationssicherheitsbeauftragte/r (ISB): Pflegt diese Richtlinie, definiert physische Sicherheitsanforderungen auf Grundlage von Risikobewertungen, koordiniert Perimeterüberprüfungen und überwacht die Einhaltung physischer Sicherheitsmaßnahmen an allen Standorten.
  • Facility Security Manager: Setzt die in dieser Richtlinie definierten physischen Sicherheitsmaßnahmen um und betreibt sie. Verwaltet Zutrittskontrollsysteme, Besuchermanagement, Schlüsselmanagement, Alarmanlagen, CCTV und Umweltüberwachung. Koordiniert mit dem Gebäudemanagement und externen Sicherheitsdienstleistern.
  • IT-Betrieb / Rechenzentrumsleitung: Stellt sicher, dass Rechenzentrums- und Serverraumumgebungen die in dieser Richtlinie definierten physischen und umweltbezogenen Anforderungen erfüllen, einschließlich Klimatisierung, Brandbekämpfung, Stromversorgungsredundanz und Zutrittskontrollen für technische Bereiche.
  • Asset-Eigentümer: Stellen sicher, dass Geräte und Speichermedien in ihrer Verantwortung gemäß dieser Richtlinie gehandhabt, transportiert, gewartet und entsorgt werden. Melden Mängel in der physischen Sicherheit an den Facility Security Manager.
  • Alle Beschäftigten: Halten die Regeln zum aufgeräumten Schreibtisch und Bildschirm ein, tragen sichtbare Kennzeichnung auf dem Gelände, melden physische Sicherheitsvorfälle und verdächtige Aktivitäten, begleiten Besucher, wenn zugewiesen, und halten die Regeln zum Arbeiten in Sicherheitsbereichen ein.

18. Überprüfung & Pflege

Diese Richtlinie wird überprüft:

  • Mindestens jährlich im Rahmen des ISMS-Managementbewertungszyklus.
  • Nach wesentlichen physischen Sicherheitsvorfällen (z. B. unbefugter Zutritt, Einbruch, Brand, Überschwemmung, Gerätediebstahl).
  • Wenn sich die physische Bedrohungslage wesentlich ändert (z. B. Änderungen im Sicherheitsprofil des Umfelds, Neubauten, die den Gebäudezugang beeinflussen, erhöhte Bedrohungsstufen).
  • Nach wesentlichen Änderungen an Einrichtungen, Grundrissen, Rechenzentrumsinfrastruktur oder physischen Sicherheitssystemen.
  • Wenn neue rechtliche, regulatorische oder vertragliche Anforderungen an die physische Sicherheit identifiziert werden.

Quellen

Abgedeckte ISO-27001-Kontrollen

A.7.1 Physische Sicherheitsbereiche A.7.2 Physischer Zutritt A.7.3 Sicherung von Büros und Räumen A.7.4 Physische Sicherheitsüberwachung A.7.5 Schutz gegen Umweltbedrohungen A.7.6 Arbeiten in Sicherheitsbereichen A.7.7 Aufgeräumter Schreibtisch und Bildschirm A.7.8 Platzierung und Schutz von Geräten A.7.9 Sicherheit von Werten außerhalb der Räumlichkeiten A.7.10 Speichermedien A.7.11 Unterstützende Versorgungseinrichtungen A.7.12 Sicherheit der Verkabelung A.7.13 Instandhaltung von Geräten A.7.14 Sichere Entsorgung oder Wiederverwendung

Häufig gestellte Fragen

Brauche ich diese Richtlinie auch als reines Cloud-Unternehmen?

Ja. Auch wenn du keine eigenen Server betreibst, hast du Büros, Geräte, Speichermedien und Beschäftigte, die außerhalb des Büros arbeiten. Die Controls A 7.7 (Clean Desk/Clean Screen), A 7.9 (Sicherheit von Assets außerhalb des Geländes), A 7.10 (Speichermedien) und A 7.14 (Sichere Entsorgung) treffen auf jede Organisation zu. Der Umfang der Richtlinie wird einfach schlanker.

Was ist eine Mantrap (Schleuse)?

Eine Doppeltürschleuse, bei der die innere Tür erst öffnet, wenn die äußere geschlossen ist. Die Vorlage verlangt sie für sensible Bereiche wie Rechenzentren (Abschnitt 4). Sie verhindert Tailgating — das Durchschlüpfen einer unbefugten Person direkt hinter einer autorisierten.

Wie oft müssen Brandschutzübungen stattfinden?

Die Vorlage sagt „in geplanten Intervallen“ (planned intervals). In Deutschland schreibt die Arbeitstättenregel ASR A2.3 mindestens eine jährliche Räumungsübung vor. Für Rechenzentren empfiehlt sich ein halbjährlicher Rhythmus.

Gilt Clean Desk auch im Homeoffice?

Ja. Die Vorlage schreibt das explizit: Für häusliche Arbeitsplätze gelten dieselben Clean-Desk- und Clean-Screen-Standards. Das bedeutet: Sensible Dokumente in einen verschließbaren Schrank, Laptop mit Kabelschloss oder abschließbarer Schublade, Bildschirmsperre bei Abwesenheit.

Was mache ich mit einem beschädigten Gerät, das sensible Daten enthält?

Die Vorlage verlangt eine Risikobewertung: Wenn das Gerät sensible Daten enthält und beschädigt ist, wird geprüft, ob physische Zerstörung sinnvoller ist als Reparatur oder Entsorgung. Festplatten aus beschädigten Laptops werden separat zerstört und dokumentiert.

Muss ich einen Schlüsselmanagement-Prozess haben?

Ja. Abschnitt 4 der Vorlage verlangt einen umfassenden Schlüsselmanagement-Prozess für alle physischen Schlüssel und Zugangscodes: Ausgabe, Nachverfolgung, Rückgabe, jährliches Schlüssel-Audit. Ein Schlüsselbuch oder elektronisches Register ist Pflicht.