Netzwerk-Resilienz-Programm für kritische Telekommunikationsinfrastruktur

Die Ausgangssituation

Der Telekommunikationsanbieter musste sicherstellen, dass kritische Mobilfunk- und Festnetzdienste auch bei Störungen, Ausfällen oder Angriffen weiterhin funktionieren bzw. innerhalb definierter Zielzeiten wiederhergestellt werden können.

Im Fokus standen mehrere Risikoszenarien, die sich auf Sprach- und Datendienste im Mobilfunk und Festnetz auswirken können. Darunter fielen der Ausfall von Kernnetz-Standorten (Core) und Zugangsnetz-Standorten (Non-Core), der Verlust des GPS-Signals sowie ein landesweiter Totalausfall virtualisierter Netzwerkumgebungen.

Für diese Szenarien wurden entsprechende Kontrollen definiert. Sie sollten die technologische Widerstandsfähigkeit kritischer Netzwerkdienste erhöhen, regulatorische und organisatorische Anforderungen abdecken sowie die Einhaltung definierter Service Level Targets (SLTs) unterstützen.

Die Umsetzung war komplex, da mehrere hundert kritische Core- und Non-Core-Standorte, 40 bis 60 kritische Netzwerkfunktionen je Risikoszenario sowie zahlreiche Fachbereiche und interne und externe Dienstleister eingebunden waren. Zusätzlich bestanden hohe Anforderungen an Governance und regulatorische Nachvollziehbarkeit.

Die Aufgabe

7P unterstützte den Kunden im Programm- und Resilienz-Management, koordinierte die vorgegebenen Netzwerk-Resilienz-Aktivitäten über mehrere Fachbereiche hinweg und stellte sicher, dass diese steuerbar und nachvollziehbar umgesetzt wurden.

Zu diesem Zweck mussten die definierten Resilienz-Anforderungen analysiert und in konkrete Kontrollen überführt werden. 7P begleitete die Implementierung dieser Kontrollen, überwachte deren Umsetzungsstand und machte Abweichungen sichtbar. Dazu gehörten insbesondere Compliance-Verstöße und Optimierungspotenziale.

Zu den weiteren Aufgaben gehörte die regelmäßige Berichterstattung an das höhere Management. 7P bereitete Risiken managementgerecht auf, machte Compliance-Verstöße und offene Punkte sichtbar und unterstützte Eskalationen, wenn Zielvorgaben oder Umsetzungsstände kritisch wurden.

Um eine gemeinsame Datengrundlage für die beteiligten Bereiche zu schaffen, aggregierte 7P Informationen aus den Bereichen Betrieb, Engineering, Cyber Security, Business Continuity Management, Governance, Incident- und Problem-Management sowie von externen Partnern. Auf dieser Basis entstanden Reporting- und Dashboardformate zur Steuerung des Resilienz-Programms.

Das Vorgehen

Zunächst setzte 7P bei den definierten Resilienzkontrollen an. Für kritische Services und Standorte ermittelte das Unternehmen, inwieweit die geforderten Kontrollen bereits erfüllt waren und wo Abweichungen bestanden.

Auf Basis dieser Bewertung entstand eine laufende Nachverfolgung von Risiken, Compliance-Abweichungen und Optimierungspotenzialen. Insgesamt wurden mehrere hundert Punkte erfasst, bewertet und in ihrer Bearbeitung verfolgt. Der Handlungsbedarf musste für Kontrollverantwortliche und Management so sichtbar werden, dass sie offene Punkte erkennen konnten.

Zu diesem Zweck baute 7P Reporting-Formate und Eskalationswege auf. Die Ergebnisse wurden regelmäßig mit dem Management und den Kontrollverantwortlichen besprochen. Dadurch konnten kritische Abweichungen adressiert werden, bevor sie in Audit- oder Assurance-Prozessen erneut sichtbar wurden.

Ein weiterer Schwerpunkt lag auf der Wiederherstellungsfähigkeit kritischer Netzwerkdienste. 7P unterstützte die Optimierung von Recovery-Prozeduren und Backup-/Restore-Konzepten. Besonders relevant waren dabei vier Szenarien mit regionalen oder flächendeckenden Auswirkungen:

• Ausfall kritischer Core-Standorte
  Die automatische Georedundanz wurde weiter verbessert. Dadurch sollte bei Standortausfällen eine automatische Traffic-Umschaltung ohne wahrnehmbare Auswirkungen für Endkunden möglich werden.
• Ausfall kritischer Non-Core-Standorte
  Für diese Standorte wurden Ersatzlösungen in Form von sogenannten Havarie-Containern entwickelt. Diese sollen im Krisen- oder Katastrophenfall dabei helfen, Services innerhalb einer definierten Zeit im betroffenen Gebiet wieder bereitzustellen.
• Verlust des GPS-Signals
  Um die erforderliche Synchronisation des 4G- und 5G-Mobilfunknetzes auch bei einem GPS-Ausfall sicherzustellen, wurden redundante Zeit- und Synchronisationsquellen implementiert.
• Landesweiter Totalausfall virtualisierter Netzwerkumgebungen
  Zur Bereitstellung von Sprach- und Datendiensten in diesem Szenario innerhalb einer definierten Zeit wurden Resilienz- und Disaster-Recovery-Mechanismen konzipiert und entwickelt.

Zusätzlich unterstützte Seven Principles Audit- und Assurance-Prozesse, sensibilisierte Fachbereiche für Resilienz- und BCM-Anforderungen und koordinierte externe Dienstleister im kritischen Wiederherstellungspfad.

Das Ergebnis

Im Rahmen des Projekts wurden die Steuerung und Transparenz der Resilienzmaßnahmen für die deutsche Infrastruktur eines internationalen Netzbetreibers optimiert.

Die Compliance-Quote stieg über alle betrachteten Resilienz-Kontrollen hinweg auf nahezu 90 Prozent. Auch die Audit-Ergebnisse zeigten eine Verbesserung. Es wurden mehrere hundert Risiken und Schwachstellen identifiziert, transparent bewertet und in ihrer Bearbeitung nachverfolgt. Rund 90 Prozent der identifizierten Findings konnten geschlossen werden.

Auch bei der Wiederherstellungsfähigkeit kritischer Telekommunikationsdienste wurden Fortschritte erzielt. Die Recovery-Zeiten und Wiederherstellungsprozesse wurden optimiert, die Backup-/Restore-Mechanismen verbessert und die automatisierte Georedundanz kritischer Netzwerkdienste weiter gestärkt.

Das höhere Management hat einen besseren Überblick über den Umsetzungsstand der Resilienz-Maßnahmen. Die etablierten Governance- und Eskalationsstrukturen halfen dabei, kritische Punkte nachvollziehbar darzustellen und Entscheidungen zu weiteren Maßnahmen vorzubereiten.

Zusätzlich wurde eine belastbare Entscheidungsgrundlage geschaffen, um technische, organisatorische und budgetäre Risiken frühzeitig sichtbar zu machen. Dadurch konnten Maßnahmen zur weiteren Resilienzsteigerung gezielter eingeleitet werden.

Das Programm leistete somit einen Beitrag zur Absicherung geschäftskritischer Telekommunikationsdienste und zur Steigerung der Resilienz des Unternehmens gegenüber den betrachteten Risikoszenarien.