Digitale Infrastruktur
NIS2-Pflichten für Rechenzentren, Cloud-Dienste, DNS-Anbieter und Netzinfrastruktur
Ist Ihr Unternehmen betroffen?
- Internet Exchange Points (IXPs) — unabhängig von der Unternehmensgröße (NIS2UmsuCG Anhang I, größenunabhängig)
- DNS-Diensteanbieter und Betreiber von Top-Level-Domain-Registrierungsstellen (TLD-Registries) — größenunabhängig erfasst
- Cloud-Computing-Anbieter und Rechenzentrumsbetreiber ab 50 Mitarbeitern oder 10 Mio. EUR Umsatz
- CDN-Betreiber (Content Delivery Networks) sowie Betreiber öffentlicher elektronischer Kommunikationsnetze und -dienste
- Qualifizierte und nicht qualifizierte Vertrauensdiensteanbieter (Trust Service Provider) gemäß eIDAS-Verordnung
NIS2-Anforderungen nach Art. 21
- 01.
Hochverfügbarkeit und Redundanz kritischer Dienste
Betreiber digitaler Infrastruktur müssen Hochverfügbarkeitsarchitekturen implementieren — DNS-Dienste über mehrere geografisch verteilte Points of Presence (PoPs) mit Anycast-Routing, Rechenzentrumsbetreiber nach Tier-III+-Standard mit N+1-Redundanz bei Strom und Kühlung.
- 02.
DDoS-Abwehr auf Netzwerkebene
Volumetrische DDoS-Angriffe gegen DNS-Resolver und Internetknoten können große Teile der Internetinfrastruktur lahmlegen. NIS2 verlangt proportionale technische Maßnahmen zur Angriffserkennung und -abwehr, einschließlich Scrubbing-Dienste und Traffic-Engineering.
- 03.
Routing-Sicherheit (BGP und RPKI-Validierung)
BGP-Hijacking-Angriffe können Traffic umleiten und Man-in-the-Middle-Szenarien ermöglichen. Die Implementierung von RPKI (Resource Public Key Infrastructure) und BGP Route Origin Validation ist Stand der Technik und wird vom BSI empfohlen.
- 04.
Verschlüsselung und Datenschutz in der Übertragung
Alle Kundendaten und Management-Kommunikation müssen Ende-zu-Ende-verschlüsselt übertragen werden. TLS-Konfigurationen müssen aktuelle Sicherheitsstandards erfüllen (TLS 1.3, keine veralteten Cipher Suites), insbesondere für Vertrauensdiensteanbieter.
- 05.
Physische Rechenzentrumssicherheit
Rechenzentren unterliegen nach NIS2 explizit physischen Sicherheitsanforderungen: Zutrittskontrolle (Biometrie/Badge), Video-Überwachung, Brandschutz, und Schutz vor Umwelteinflüssen (Überschwemmung, Temperaturschwankungen).
- 06.
Supply-Chain-Sicherheit für Infrastrukturkomponenten
Netzwerkausrüstung (Router, Switches, Firewalls) und Software-Lieferanten müssen auf Sicherheitsstandards geprüft werden. Angriffe über die Lieferkette auf Netzwerkhardware können jahrelang unbemerkt bleiben und ganze Netzwerksegmente kompromittieren.
- 07.
Meldepflicht bei erheblichen Sicherheitsvorfällen
Betreiber digitaler Infrastruktur müssen Vorfälle mit erheblicher Auswirkung auf die Verfügbarkeit oder Integrität von Kerndiensten innerhalb von 24 Stunden als Frühwarnung an das BSI melden und innerhalb von 72 Stunden einen vollständigen Bericht vorlegen.
Typische Bedrohungsszenarien
DDoS-Angriff auf DNS-Infrastruktur
Das Mirai-Botnetz aus kompromittierten IoT-Geräten generierte volumetrischen Traffic, der den DNS-Dienstleister Dyn überwältigte. Große Plattformen wie Twitter, Netflix, Reddit und GitHub waren für Stunden nicht erreichbar — ein Ausfall ohne direkten Einbruch in Ziel-Systeme.
Angriff auf Dyn DNS (Mirai Botnet, USA, 2016)Supply-Chain-Angriff auf IT-Infrastruktur
Angreifer kompromittierten den Software-Build-Prozess von SolarWinds und schleusten eine Backdoor in legitime Updates ein. Über 18.000 Organisationen weltweit — darunter US-Behörden und Fortune-500-Unternehmen — installierten das kompromittierte Update.
SolarWinds Sunburst Supply-Chain-Angriff (USA, 2020)Angriff auf Satellitenkommunikationsinfrastruktur
Kurz vor dem russischen Einmarsch in die Ukraine wurde das KA-SAT-Satellitennetz von Viasat angegriffen. Zehntausende Satelliten-Modems in Europa wurden unbrauchbar gemacht — darunter die Steuerungssysteme von rund 5.800 Windkraftanlagen in Deutschland.
KA-SAT Satellitennetz-Angriff (Europa, 2022)Maßnahmen-Checkliste
- Anycast-DNS-Redundanz mit mindestens drei geografisch getrennten PoPs für DNS-Resolver und autoritative Nameserver
- BGP RPKI-Validierung (Route Origin Validation) auf allen Peering- und Transit-Verbindungen aktivieren
- DDoS-Mitigation auf Netzwerkebene — Scrubbing-Center, Traffic-Engineering, Ratenlimiting für kritische DNS-Abfragetypen
- Zero-Trust-Architektur für Rechenzentrums-Management-Zugänge: keine impliziten Vertrauensbeziehungen im internen Netz
- Physische Sicherheit nach Tier-III+-Standard: redundante Stromversorgung (2N), N+1-Kühlung, biometrische Zutrittskontrolle
- Software-Composition-Analyse und Integritätsprüfung für alle Infrastruktur-Updates (Code-Signing, Hash-Verifikation)
- Netzwerksegmentierung zwischen Kunden-Traffic, Management-Ebene und internen IT-Systemen
- TLS 1.3 als Mindeststandard für alle externen und internen Dienste, regelmäßige Zertifikatsprüfung
- Incident-Response-Prozess mit definierten Kommunikationswegen zu Upstream-Providern und BSI für großflächige Ausfälle
- Regelmäßige Red-Team-Übungen für BGP-Hijacking-Szenarien und großvolumige DDoS-Angriffe auf Kerndienste
Verwandte Inhalte
NIS2-Compliance für Digitale Infrastruktur?
Kontaktieren Sie uns für eine branchenspezifische Erstberatung. Wir kennen die Anforderungen Ihres Sektors.
Beratung anfragen