Die Gruppe
Ein Klinikverbund mit mehr als 20 Häusern, betreut von einer eigenen IT-Organisation mit über 50 Mitarbeitenden.
Ausgangslage
Anders als in vielen Sanierungsprojekten war die Infrastruktur technisch nicht das Problem. Die Standorte sind solide aufgebaut, die Netze stabil, die eingesetzte Hardware belastbar. Im Einsatz sind Switche und Firewalls verschiedener Hersteller, dazu eine große Zahl an IT- und OT-Clients aus dem klinischen Betrieb.
Genau diese Mischung stellt Anforderungen an die Netzstruktur. Arbeitsplätze, Serversysteme und Geräte aus dem klinischen Betrieb haben unterschiedliche Schutzbedarfe und brauchen entsprechend klare Grenzen zwischen den Bereichen.
Das zweite Problem lag eine Ebene darüber: in der Verwaltbarkeit. Über zwanzig Häuser, mehrere Gerätegenerationen und Herstellerwelten bedeuten eine entsprechende Zahl an Oberflächen, Konventionen und Wartungszyklen. Konfigurationsstände lagen verteilt, Wissen über einzelne Standorte hing an einzelnen Köpfen. In einem Team dieser Größe ist Personalwechsel Normalität. Mit jedem Wechsel ging bislang Betriebswissen verloren, das aufwendig rekonstruiert werden musste.
Dazu kam die administrative Seite. Wartungstermine, Lizenzlaufzeiten und Garantiefristen über zwanzig Häuser hinweg im Blick zu behalten, ist ohne zentrale Führung eine Daueraufgabe mit hohem Fehlerrisiko.
Der Auslöser
Den Anstoß gab eine Prüfung im Rahmen von NIS2 und KRITIS. Ihr Ergebnis benannte zwei Anforderungen, die sich mit der bestehenden Organisation nicht erfüllen ließen: eine systematische Schwachstellenerfassung über den gesamten Bestand und eine zentrale Verwaltung, die sowohl standort- als auch herstellerübergreifend arbeitet.
Beides setzt voraus, dass überhaupt vollständig bekannt ist, welche Systeme in welchem Zustand im Betrieb sind. Genau diese Grundlage fehlte in einer über Jahre gewachsenen Landschaft.
Die Lösung
Für Segmentierungen im Netz und strukturelle Abgrenzungen zwischen Bereichen setzt die Gruppe AIMdefense ein. Damit bekommen die Übergänge zwischen den Bereichen eine definierte Stelle, an der Regeln greifen. In einem Umfeld mit IT- und OT-Clients ist das die Voraussetzung dafür, beide Welten sauber voneinander zu trennen.
Darüber liegt AIM – Advanced Infrastructure Management als zentrale Managementebene über der bestehenden Infrastruktur. Bewusst ohne Austausch funktionierender Hardware: AIM legt sich über das Vorhandene, statt es zu ersetzen.
Konkret bedeutet das:
- Automatische Erkennung der eingesetzten Switche über Hersteller- und Standortgrenzen hinweg, der Bestand ist erstmals vollständig und aktuell erfasst
- Schwachstellenanalyse über das mitgelieferte VAS-Modul, direkt auf dem erfassten Bestand und ohne zusätzliche Fremdlösung
- Zentrale Konfigurationssicherung: Gerätestände werden automatisiert gesichert, Änderungen sind nachvollziehbar, ein definierter Zustand ist wiederherstellbar
- Integriertes Wiki: Für jeden IT-Arbeitsplatz und jedes System liegen die Betriebsinformationen dort, wo gearbeitet wird, nicht in separaten Ablagen
- Wartungskalender für einzelne Systeme, mit Fristen für Lizenzverlängerungen und Garantien an einer Stelle
Damit deckt eine Plattform beide Anforderungen der Prüfung ab: Bestandsführung und Schwachstellenerfassung entstehen aus derselben Datenbasis, statt aus zwei getrennt zu pflegenden Systemen.
Umsetzung
Proof of Concept und erste Ausbaustufe waren nach drei Monaten abgeschlossen. Auf dieser Basis läuft nun die Ausweitung auf alle Häuser und IT-Arbeitsplätze der Gruppe.
Das Ergebnis
Die Netzbereiche sind heute strukturell abgegrenzt. Zwischen ihnen stehen benannte Übergänge, an denen sich Regeln prüfen und ändern lassen. Für ein Umfeld, in dem IT- und OT-Clients in denselben Häusern arbeiten, ist das die Grundlage jeder weiteren Absicherung.
Schon in der ersten Ausbaustufe zeigt sich außerdem, wo der größte organisatorische Hebel liegt: bei der Übergabe. Wechselt jemand die Position oder das Haus, übernimmt die Nachfolge einen dokumentierten Stand statt einer Rekonstruktionsaufgabe. Personalfluktuation ist damit kein Betriebsrisiko mehr, sondern ein organisatorischer Vorgang.
Der Gerätebestand ist zentral sichtbar, Konfigurationen sind gesichert, Schwachstellen werden auf dem tatsächlichen Bestand bewertet und Fristen laufen nicht mehr unbemerkt ab. Für ein Umfeld, in dem Systeme rund um die Uhr verfügbar sein müssen, verschiebt das die Arbeit von der Rekonstruktion hin zur Planung. Der IT-Leitung liefert es die Nachweise, die im regulatorischen Umfeld ohnehin verlangt werden.
Den laufenden Betrieb begleitet ein IT-Reseller aus dem AIM-Partnernetz, der die Umgebung aus seinem Network Operation Center rund um die Uhr überwacht. Diese Struktur wächst mit dem Rollout mit.
„Eine KRITIS-Infrastruktur dieser Größe steht unter permanenter Prüfung — ohne Reaktionsfähigkeit in Echtzeit ist das nicht zu leisten. Der Lösungsansatz von AIM hat unsere Prozesse an genau dieser Stelle spürbar erleichtert. Proof of Concept und erste Ausbaustufe sind erfolgreich abgeschlossen. Jetzt gehen wir die Umstellung aller Standorte und Häuser an — und weitere Infrastrukturprojekte gemeinsam.“
— Geschäftsführender IT-Leiter
Kurzfakten
| Branche | Stationäre Versorgung, Klinikverbund |
|---|---|
| Größe | über 20 Häuser |
| Umgebung | Multi-Vendor-Netzwerk, IT- und OT-Clients |
| AIM-Produkte | AIMdefense, AIM inkl. VAS-Modul |
| Schwerpunkt | Zentrale Verwaltung, Schwachstellenanalyse, Dokumentation |
| Auslöser | Prüfung im Rahmen von NIS2 / KRITIS |
| IT-Organisation | eigenes Team, über 50 Mitarbeitende |
| Projektstand | PoC und erste Ausbaustufe abgeschlossen, gruppenweiter Rollout läuft |
| Laufzeit bis Ausbaustufe 1 | 3 Monate |
| Anschluss-Services | 24/7-Betreuung über NOC eines AIM-Partners |
Mehr zu AIMdefense
Welche Funktionen für Segmentierung, Regelwerke und Übergänge zwischen Netzbereichen zur Verfügung stehen, finden Sie auf der Seite Funktionen.