Digitale Abhängigkeiten können die Betriebsfähigkeit eines Unternehmens beeinflussen, auch wenn die eigene IT technisch sicher betrieben wird. Die Diskussion beim RIPE-Treffen über Domainsperren, US-Sanktionen und zentrale Internetdienste zeigt, warum Entscheider kritische Infrastrukturabhängigkeiten systematisch prüfen sollten.
Eine externe Entscheidung kann zentrale Dienste unerreichbar machen
Beim 93. Treffen der Internet-Adressregistry RIPE in Sofia diskutierten Mitglieder, wie sich Betreiber technischer Basisinfrastrukturen gegen mögliche US-Sanktionen wappnen können. RIPE verwaltet IP-Adressen für Europa, den Nahen Osten und Zentralasien.
Der Anlass war unter anderem die Sperrung der Domain des italienischen Providers Autistici/Inventati durch die Registry Public Internet Registry. Nach der Einstufung durch das US-Finanzministerium waren laut heise online 10.000 Blogs, 1500 Webseiten und 16.000 Mailboxen nicht mehr erreichbar.
Der Fall betrifft nicht nur politische Organisationen oder Provider. Er macht sichtbar, dass die Verfügbarkeit digitaler Dienste von externen Stellen abhängen kann: von Domain-Registries, Banken, Zertifikatsanbietern, Cloud-Diensten oder rechtlichen Rahmenbedingungen außerhalb des eigenen Unternehmens.
Die Abhängigkeit liegt oft in mehreren Schichten
Viele zentrale Internetfunktionen unterstehen US-Recht. Dazu gehören laut der Diskussion bei RIPE die zentrale Root Zone des Domain Name System sowie große Registries. Eine Sperrung von .com oder .net könnte deshalb grundsätzlich auch die Erreichbarkeit einer Unternehmensdomain berühren.
Hinzu kommen technische Abhängigkeiten. Für Routing-Zertifikate sind DNS-Abfragen erforderlich, während das DNS seinerseits auf sicheres Routing angewiesen ist. Auch TLS-Zertifikate, die verschlüsselte Verbindungen absichern, stammen bei vielen Diensten von wenigen Anbietern.
Für Unternehmen entsteht daraus vor allem ein Resilienzrisiko: Fällt ein zentraler Dienst aus oder wird seine Nutzung eingeschränkt, können Websites, E-Mail, Zugänge und andere Geschäftsprozesse beeinträchtigt werden. Die verfügbaren Informationen belegen keine akute Bedrohung für jedes Unternehmen. Sie zeigen jedoch, dass einzelne Abhängigkeiten bislang leicht übersehen werden können.
Auch eine Cloud-Strategie kann zum Konzentrationsrisiko werden
Daniel Karrenberg, einer der Gründer von RIPE, sprach sich für eine Verringerung der Abhängigkeit von Hyperscalern im E-Mail-Bereich aus. Das RIPE NCC verabschiedete sich zudem von seiner 2019 gestarteten „Cloud First“-Strategie und plant wieder stärker selbst betriebene Infrastruktur.
Für Entscheider folgt daraus keine pauschale Absage an Cloud-Dienste. Sinnvoll ist vielmehr eine Bestandsaufnahme: Welche Anbieter sind für Domain, DNS, E-Mail, Zertifikate, Hosting und Authentifizierung unverzichtbar? Gibt es alternative Anbieter, eigene Betriebsoptionen oder dokumentierte Übergangslösungen?
Auch Zahlungswege können relevant sein. Das Beispiel Autistici/Inventati zeigt, dass nicht nur technische Sperren, sondern auch die Entscheidung einer Bank zur Einstellung von Konten die Fortführung eines Dienstes beeinflussen kann. Abhängigkeiten sollten deshalb über die IT-Abteilung hinaus betrachtet werden.
Ein Abhängigkeitsregister schafft eine belastbare Entscheidungsgrundlage
Unternehmen sollten kritische Internetdienste mit ihren Abhängigkeiten, Vertragsbeziehungen und Verantwortlichkeiten dokumentieren. Dazu gehören auch Informationen darüber, welche Daten und Geschäftsprozesse bei einem Ausfall betroffen wären und wie lange ein Ersatz realistisch verfügbar sein müsste.
Auf dieser Grundlage lassen sich Prioritäten setzen: redundante Domains und Systeme, alternative Kommunikationswege, mehrere Dienstleister oder stärker selbst betriebene Komponenten können die Abhängigkeit reduzieren. Welche Maßnahme angemessen ist, hängt von Geschäftsmodell, Schutzbedarf und Aufwand ab.
Resilienz beginnt mit klaren Verantwortlichkeiten
Aus Sicht von Tulos sollten Datenschutz, Informationssicherheit und Geschäftsprozesse bei dieser Prüfung zusammen betrachtet werden. Ein Ausfall von E-Mail, Website oder Cloud-Diensten kann nicht nur die Betriebsfähigkeit beeinträchtigen, sondern auch den Zugriff auf Kunden- und Mitarbeiterdaten sowie interne Abläufe erschweren.
Ein strukturiertes Risikomanagement hilft dabei, Abhängigkeiten zu bewerten, Verantwortlichkeiten festzulegen und Maßnahmen nachvollziehbar zu priorisieren. Entscheidend ist nicht, jede externe Abhängigkeit zu vermeiden, sondern die Folgen eines Ausfalls zu verstehen und angemessen zu begrenzen.
Die wichtigsten Fragen und Antworten
Ist jedes Unternehmen unmittelbar von einer Domainsperre bedroht?
Nein. Die Diskussion bei RIPE belegt keine unmittelbare Bedrohung für jedes Unternehmen. Sie zeigt jedoch, dass Domains und zentrale Internetdienste von externen Organisationen und rechtlichen Rahmenbedingungen abhängen können. Diese Abhängigkeiten sollten Unternehmen kennen und bewerten.
Welche Dienste sollten Unternehmen besonders prüfen?
Relevant sind insbesondere Domain und DNS, E-Mail, TLS-Zertifikate, Hosting, Cloud-Dienste, Authentifizierung sowie Zahlungswege. Entscheidend ist, ob ein Ausfall den Zugriff auf Unternehmensdaten oder wichtige Geschäftsprozesse beeinträchtigen würde.
Ist eine Rückkehr zu selbst betriebener Infrastruktur immer sinnvoll?
Nein. Selbst betriebene Systeme können Abhängigkeiten reduzieren, verursachen aber zusätzlichen technischen und organisatorischen Aufwand. Eine Entscheidung sollte auf einer Bewertung von Schutzbedarf, Betriebsfähigkeit, Alternativen und Kosten beruhen.
Quelle: heise.de