Die Tür zu Ihrem Serverraum: physische Sicherheit

Stellen Sie sich einen Serverraum vor mit Netzwerktechnik im Wert von mehreren tausend Euro. Switches, Glasfaserverbindungen, Patchschränke, Kameratechnik und vielleicht sogar die Gebäudeleittechnik kommen hier zusammen. Aber die Tür? Die steht offen. Oder der Schlüssel hängt am Empfang, direkt neben dem Schlüssel für den Fahrradkeller.

Es ist ein Bild, das häufiger vorkommt, als man denken würde. Es wird erheblich in Firewalls, Mehrfaktorauthentifizierung, Monitoring und Awareness-Schulungen investiert, während der Raum, in dem der Kern des Netzwerks physisch steht, kaum Beachtung findet. Und dann drängt sich die Frage auf: Wie digital sicher ist eine Organisation eigentlich, wenn jemand physisch an das Herz des Netzwerks herankommt?

Dieser Artikel handelt von jener Tür. Von der physischen Sicherung von Serverräumen, Patchräumen und technischen IT-Räumen in Gewerbeimmobilien, und davon, warum dieses Thema im Jahr 2026 nicht länger optional ist.

Die Regeln im Jahr 2026: NIS2 und das Cybersicherheitsgesetz

Seit dem 15. August 2026 ist in den Niederlanden das Cybersicherheitsgesetz in Kraft. Damit wurde die europäische NIS2-Richtlinie umgesetzt. Organisationen, die unter dieses Gesetz fallen, müssen angemessene und verhältnismäßige Maßnahmen ergreifen, um die Risiken für ihre Netzwerk- und Informationssysteme zu beherrschen.

In Diskussionen über NIS2 geht es oft ausschließlich um digitale Maßnahmen. Dennoch benennt das NCSC in der Erläuterung zur Sorgfaltspflicht ausdrücklich, dass auch die physische Umgebung, in der sich Netzwerk- und Informationssysteme befinden, geschützt werden muss. Die Frage, wer physisch an Ihr Netzwerk herankommt, ist also keine Randnotiz, sondern Teil des Kerns.

NIS2 geht zudem von einem All-Hazards-Ansatz aus. Das bedeutet, dass Organisationen mit unterschiedlichsten Ursachen für Ausfall oder Schaden rechnen müssen:

• Diebstahl;
• Brand;
• Wasser;
• Stromausfall;
• Telekomausfall;
• Sabotage;
• menschliche Fehler;
• unbefugter physischer Zugang;
• Beschädigung von IT-Geräten.

Das ist kein theoretischer Punkt. Die europäischen NIS2-Regelungen nennen den Schutz der physischen Umgebung von Netzwerk- und Informationssystemen vor unbefugtem Zugang, Beschädigung und Störung ausdrücklich. Die Tür zum Serverraum ist damit Teil des rechtlichen Rahmens geworden.

Ein Netzwerk, das digital dichtgemacht, aber physisch offen ist, ist nicht halb gesichert. Es ist gesichert bis genau zu der Stelle, an der es darauf ankommt.

Praktische Maßnahmen für einen sicheren Serverraum

Physische Sicherheit muss keine übertriebene technische Übung sein. Es geht um nachvollziehbare Maßnahmen, die jeder Immobilien-, Facility- oder IT-Verantwortliche überblicken kann.

Abschließen und Zugang kontrollieren

Ein Serverraum sollte kein allgemeiner Lagerraum sein, in den Mitarbeiter, Reinigungskräfte, Lieferanten und Monteure frei hineinlaufen. Arbeiten Sie mit kontrolliertem Zugang: elektronische Zutrittskontrolle, persönliche Zugangskarten statt gemeinsam genutzter Schlüssel, Protokollierung, wer den Raum betritt, und regelmäßige Überprüfung der Zugangsrechte. Wissen Sie eigentlich, wer gestern in Ihrem Serverraum war?

Wenden Sie dabei das Prinzip an: Zugang nur, wenn es notwendig ist. Nicht jeder Mitarbeiter, Vermieter, jede Reinigungskraft, jeder Auftragnehmer oder Lieferant muss hinein können. Entziehen Sie Zugangsrechte wieder, sobald jemand das Unternehmen verlässt oder ein Lieferant mit den Arbeiten fertig ist.

Physische Trennung in Multi-Tenant-Gebäuden

In Gewerbesammelgebäuden und Multi-Tenant-Bürogebäuden ist Trennung besonders wichtig. Verhindern Sie, dass verschiedene Mieter ohne klare Abgrenzung an die Patchpanel, Switches, Router, Glasfaserverbindungen, Serverausrüstung oder Sicherheitssysteme des jeweils anderen gelangen können. Nutzen Sie wo nötig separat abgeschlossene Racks oder Abteile. Das knüpft an die Frage an, was man pro Etage eigentlich digital mietet.

Erfassen Sie sämtliche Geräte

Wissen Sie eigentlich, was sich alles im Serverraum befindet? Erstellen Sie ein aktuelles Bestandsverzeichnis, etwa von Switches, Routern, Firewalls, Access Points, USV-Anlagen, Modems, 4G/5G-Routern, Glasfasertechnik, Kamerarekordern, Zutrittskontrollsystemen, Gebäudeleittechnik und IoT-Gateways. Ein Router, von dem niemand weiß, wer ihn installiert hat, ist technisch klein, aber organisatorisch ein großes Risiko. Asset-Management und Zugriffsverwaltung tauchen auch ausdrücklich in der Sorgfaltspflicht rund um das Cybersicherheitsgesetz auf.

Achten Sie auf die Umgebung und auf Redundanz

Ein Serverraum muss nicht nur vor Menschen geschützt werden. Kontrollieren Sie Temperatur, Belüftung, Feuchtigkeit, Leckagerisiko, Brand- und Rauchmelder, Stromversorgung, USV und Notstrom, die Lage von Wasserleitungen und das Vorhandensein brennbarer Lagerbestände. Ein perfekt gesichertes Netzwerk nützt der Cybersicherheit wenig, wenn eine undichte Leitung über dem Serverschrank hängt.

Denken Sie außerdem an die Kontinuität. Was passiert, wenn dieser Raum morgen komplett ausfällt? Gibt es eine oder mehrere Internetverbindungen, und verlaufen diese redundant über verschiedene Routen? Gibt es Notstrom, sind Konfigurationen gesichert und existiert eine Wiederherstellungsprozedur? Weiß man, welche Geräte geschäftskritisch sind und wie schnell die Organisation wieder betriebsbereit sein kann? Netzwerkredundanz ist ein wichtiger Bestandteil der digitalen Widerstandsfähigkeit.

Patchschränke, Verkabelung und Dokumentation

Nicht nur Server verdienen Aufmerksamkeit. Auch Patchpanels, Glasfaseranschlüsse und Netzwerkkabel gehören zur digitalen Infrastruktur. Jemand mit physischem Zugang kann Kabel entfernen, Geräte ausschalten oder Verbindungen stören. Wie viel Umsatz kostet es, wenn jemand montagmorgens ein falsches Glasfaserkabel aus einem Patchschrank zieht?

Dokumentieren Sie zudem jede Änderung. Ein Installationsbetrieb bringt einen 4G-Router für vorübergehende Fernwartung an, und drei Jahre später steht er immer noch dort. Niemand weiß mehr, wem er gehört, wofür er dient, wer Zugang hat, ob er Updates erhält oder mit welchem Netzwerk er verbunden ist. Eine gute digitale Übergabe enthält deshalb immer Dokumentation und Revisionsdaten.

Wer ist wofür verantwortlich?

Bei Gewerbeimmobilien ist die Verteilung der Verantwortlichkeiten oft unklar. Wer ist zuständig für den Serverraum, den Patchschrank, die Glasfaser bis zum Gebäude, die Verkabelung ab dem Zählerschrank, die aktive Netzwerktechnik, die Zutrittskontrolle, das Monitoring, den Brandschutz, die Kühlung und die Redundanz?

Ist das der Eigentümer, der Vermieter, der Mieter, der Property Manager, der Facility Manager oder der IT-Dienstleister? IT-Label ist der Auffassung, dass diese Aufteilung Teil einer klaren Abgrenzungsliste für die digitale Infrastruktur sein sollte, vergleichbar mit den Vereinbarungen, die bereits im niederländischen ROZ-Mietvertrag üblich sind.

Sicherheit ist zudem keine einmalige Prüfung. Zugang ändert sich, Mieter ziehen aus, Lieferanten wechseln, Geräte werden ersetzt und neue IoT-Geräte kommen hinzu. Deshalb muss ein Serverraum regelmäßig neu bewertet werden. Betrachten Sie es als digitalen TÜV des Gebäudes: nicht einmal hinschauen und anschließend zehn Jahre lang annehmen, dass noch alles stimmt.

Die Übertragung auf Immobilien

Bei Gebäuden schauen wir selbstverständlich auf Brandschutz, elektrische Anlagen, Zutrittskontrolle, Nachhaltigkeit, das Energielabel, Klimaanlagen und den technischen Zustand. Aber der Raum, in dem praktisch die gesamte digitale Kommunikation einer Organisation zusammenläuft, erhält bei Kauf oder Vermietung manchmal kaum Beachtung.

Warum inspizieren wir bei einer Immobilientransaktion die Heizungsanlage ausführlich, gehen aber manchmal einfach am Serverraum vorbei? Das IT-Label möchte diesen blinden Fleck sichtbar machen, indem es nicht auf ein einzelnes Kabel oder eine einzelne Internetverbindung schaut, sondern auf das gesamte digitale Ausstattungsniveau: Glasfaser, Redundanz, Verkabelung, WLAN, Patchräume, Serverräume, physische Sicherheit, Zugangsverwaltung, aktive Geräte, gebäudegebundene IT, Dokumentation, Verantwortlichkeiten, Kontinuität und Zukunftsfähigkeit.

Dieser ganzheitliche Blick passt zu einem Markt, der zunehmend auf Datenkapazität statt nur auf Quadratmeter setzt, und in dem das zukunftsfähige, KI-taugliche Büro bei der Infrastruktur beginnt, die man nicht sieht.

Rechtliche Nuance

Es ist wichtig, hier präzise zu bleiben. Ein IT-Label ist kein NIS2- oder Cybersicherheitsgesetz-Zertifikat. Ein IT-Label bedeutet nicht automatisch, dass eine Organisation allen gesetzlichen Verpflichtungen entspricht. Wohl hilft das IT-Label, einen wichtigen Teil des Risikoprofils sichtbar zu machen: die physische und gebäudegebundene digitale Infrastruktur.

Darüber hinaus fällt nicht jedes Unternehmen automatisch unter das Cybersicherheitsgesetz. Organisationen müssen selbst beurteilen, ob sie in den gesetzlichen Anwendungsbereich fallen. Stützen Sie diese Beurteilung auf aktuelle Quellen wie das NCSC, die niederländische Regierung, EUR-Lex und, sofern relevant, NEN- und ISO-Dokumentation. Das IT-Label ist und bleibt eine Übersetzung von Technik in verständliche Information, kein gesetzliches Gütesiegel.

Gehen Sie den nächsten Schritt

Cybersicherheit beginnt digital, endet aber nicht beim Bildschirm. Hinter jeder Cloudumgebung, KI-Anwendung und digitalen Arbeitsplatz steckt letztlich physische Infrastruktur. Ein Kabel. Ein Switch. Ein Router. Eine Glasfaserverbindung. Und irgendwo eine Tür zu einem technischen Raum. Die Frage ist: Wer kann diese Tür eigentlich öffnen?

Lassen Sie IT-Label eine Vorinspektion oder Digital Due Diligence durchführen und erhalten Sie Einblick in sowohl die physische als auch die digitale Infrastruktur Ihres Gebäudes. So wissen Sie nicht nur, wie es um Ihre Firewall bestellt ist, sondern auch, wie es mit der Tür davor aussieht. Gemeinsam machen wir sichtbar, was jetzt noch unsichtbar ist. Mehr erfahren? Besuchen Sie www.it-label.com oder nehmen Sie Kontakt mit uns auf.