Resilienz kritischer Infrastruktur ist eine Planungs- und Führungsaufgabe

Krankenhäuser, Energiezentralen, Verkehrsleitstellen, Produktionsanlagen und Rechenzentren zählen zu den Gebäuden kritischer Infrastruktur: Sie sichern zentrale Funktionen unserer Gesellschaft, und ihre bauliche und technische Struktur bildet die Grundlage für Prozesse, deren Unterbrechung weitreichende Folgen haben kann. Sie müssen kritische Funktionen auch unter außergewöhnlichen Belastungen aufrechterhalten und anschließend kontrolliert in einen stabilen Betriebszustand zurückkehren.

Genau an diesen Anforderungen zeigt sich, dass der klassische Sicherheitsbegriff zu kurz greift. Der Sicherheitsgedanke zielt darauf, Risken vorab zu identifizieren, die Eintrittswahrscheinlichkeiten zu minimieren und damit das Schadensausmaß zu reduzieren – und meint dabei mehr als Cybersicherheit im engeren Sinn, die nur den Schutz von Informations- und Kommunikationssystemen vor unbefugtem Zugriff, Manipulation oder Ausfall bezeichnet. Sicherheit im umfassenden Sinn schließt daneben physische, bauliche und organisatorische Schutzmaßnahmen ein. Resilienz beschreibt darüber hinaus die Fähigkeit eines Systems, Störungen aufzunehmen, ihre Auswirkungen zu begrenzen und wesentliche Funktionen innerhalb definierter Zeiträume stabil zu halten.

Viele Voraussetzungen hierfür werden bereits in den frühen Planungsphasen geschaffen, in die Umfeld- und Gefahrenanalysen einfließen: bei der Wahl des Standorts, der Erschließung, des Tragwerks, der Brandabschnitte und Sicherheitszonierungen sowie der infrastrukturellen Ver- und Entsorgung. Werden sie erst während der Ausführung oder im Betrieb berücksichtigt, bleiben meist nur aufwendige Nachrüstungen und funktionale Kompromisse.

Dass Architektur die Widerstandsfähigkeit eines Gebäudes gegenüber äußeren Einwirkungen – seismischer, klimatischer oder manipulativer Art – grundsätzlich mitzudenken hat, gehört zum Berufsbild und ist etwa im DGNB-Kriterienkatalog als Querschnittsthema verankert. Der vorliegende Beitrag konzentriert sich auf einen Ausschnitt daraus: gezielt herbeigeführte Störungen, wo das Zusammenspiel von baulicher Struktur, technischer Infrastruktur und digitalen Systemen besondere Wichtigkeit erlangt.

Resilienz ist keine technische Zusatzleistung am Ende eines Projekts – sie ist eine strategische Planungsentscheidung und damit eine Führungsaufgabe.

Wie sich diese Prinzipien planerisch konkret auswirken, lässt sich besonders deutlich am Beispiel von Rechenzentren zeigen.   Redundanz allein schafft noch keine Resilienz

Für Rechenzentren lässt sich die planerische Bedeutung von Redundanz anhand der EN 50600 oder Tier-Klassifizierung des Uptime Institute verdeutlichen. Letztere beschreibt vier Topologien der versorgungskritischen Standortinfrastruktur, unterschieden nach Kapazitäten, Verteilwegen und Wartungsmöglichkeiten. Konkrete Anforderungen an Perimeterschutz, Videoüberwachung oder Zutrittskontrolle sind dagegen nicht Bestandteil dieser Klassifizierung und verlangen ein entsprechendes Konzept, das sich aus den Schutzzielen des Betreibers sowie einer standortspezifischen Umfeld- und Gefahrenanalyse ableitet. Verfügbarkeit und Sicherheit sind damit zwei unterschiedliche Achsen. Resilienz verbindet beide und ergänzt sie um die Fähigkeit, den Betrieb im Störfall aufrechtzuerhalten oder zügig wiederherzustellen.

Die Qualität einer Redundanzstruktur bestimmt sich daher nicht allein durch die Anzahl ihrer Komponenten, sondern durch die räumliche Unabhängigkeit der Versorgungswege. Zwei Einspeisungen oder zwei USV-Systeme bilden etwa keine belastbare Redundanz, wenn beide über denselben Schacht oder dieselbe Gebäudeeinführung geführt werden. Für Rechenzentren mit erhöhtem Schutzbedarf sieht der IT-Grundschutz daher getrennte Trassen für redundanzgebende Leitungen sowie eigenständige USV-Systeme für die beiden Versorgungswege vor. In der Praxis bedeutet das: die Sicherstellung von zwei unabhängigen Versorgungswegen, zwei räumlich getrennten Gebäudeeinführungen, zusätzlichen Brandabschnitten sowie Nutzungs- und Sicherheitszonierungen. Diese systemrelevanten Anordnungen müssen zum Beispiel im Grundriss und Tragwerkskonzept sowie allen anderen baurelevanten Konzepten von Anfang an vorgesehen werden – nachträglich lassen sie sich kaum oder nur mit erheblichem Aufwand einfügen.

NIS2 und NISG 2026 verbinden digitale und physische Resilienz

Die NIS2-Richtlinie schafft seit Januar 2023 einen gemeinsamen europäischen Rahmen für die Cybersicherheit wesentlicher und wichtiger Einrichtungen; in Österreich wird sie durch das NISG 2026 umgesetzt, das am 1. Oktober 2026 in Kraft tritt und die Aufsicht dem neu geschaffenen Bundesamt für Cybersicherheit im Bundesministerium für Inneres überträgt. Anbieter von Rechenzentrumsdiensten zählen im Sektor Digitale Infrastruktur zu den von NIS2 erfassten Einrichtungen – mit unmittelbaren Konsequenzen für ihre Architektur und Ausgestaltung. Für ihre Planung ergeben sich daraus konkrete Anforderungen. Übergeordnet relevant ist der All-Hazard-Ansatz des Art. 21. der Richtlinie. Er verlangt die Berücksichtigung aller relevanten Gefahrenarten – Betriebskontinuität, Wiederherstellung, Lieferkettensicherheit, Zugangskontrolle und physischer Schutz gelten als Teile eines gemeinsamen Risikomanagements. Physische und digitale Sicherheitsanforderungen können damit nicht länger unabhängig definiert und erst bei Inbetriebnahme zusammengeführt werden; sie müssen bereits in einem frühen Stadium der Projektentwicklung in ein gemeinsames Schutzkonzept übersetzt werden.

Diese regulatorische Verbindung von physischer und digitaler Resilienz hat unmittelbare Konsequenzen für die Planung. Gerade bei großmaßstäblichen Rechenzentrumsprojekten greifen Infrastrukturversorgung, redundante Anbindungen, Abwärmenutzung, Verkehrserschließung und Sicherheitstechnik eng ineinander. Ihre Wechselwirkungen lassen sich deshalb nicht isoliert betrachten, sondern müssen bereits in frühen Projektphasen gemeinsam bewertet und koordiniert werden.

Wie komplex diese Aufgabe in der Praxis werden kann, zeigt das Datacenterprojekt der Schwarz-Gruppe in Lübbenau, für das ATP architekten ingenieure als Generalplaner tätig ist. Mit einem Investitionsvolumen von rund 11 Milliarden Euro handelt es sich um die größte Einzelinvestition in der Unternehmensgeschichte der Gruppe. Zugleich verfolgt das Projekt das erklärte Ziel, die digitale Souveränität Deutschlands zu stärken. Bei Vorhaben dieser Größenordnung wird deutlich, dass technische Verfügbarkeit, Sicherheit, Energieversorgung und betriebliche Anforderungen nur innerhalb einer durchgängigen Planungsstruktur sinnvoll aufeinander abgestimmt werden können. Integrale Planung schafft dafür die Voraussetzung, Abhängigkeiten früh zu erkennen und fachübergreifend zu bearbeiten.

Das Risiko liegt an den Systemverbindungsstellen

Gebäudeautomation, Energieverteilung, Kühlung, Zutrittskontrolle und technische Überwachung gehören zur Operational Technology (OT). Die internationale Normenreihe IEC 62443 – gemeinsam von der International Electrotechnical Commission und der International Society of Automation entwickelt – ordnet Gebäudeautomation ausdrücklich den OT-Umgebungen zu und hält fest, dass dort anders als in der IT nicht die Vertraulichkeit von Daten im Vordergrund steht, sondern Verfügbarkeit und Integrität – mit entsprechenden Konsequenzen für die Priorisierung von Schutzmaßnahmen.

Moderne Rechenzentren zum Beispiel nutzen zentrale Leitstände, digitale Plattformen und externe Fernwartungszugänge. Dadurch entstehen vielfältige Verbindungen zwischen baulicher Struktur, OT und IT – sicherheitsrelevant sind dabei auch Zugriffsrechte und betriebliche Abhängigkeiten. Bereits in der Planung muss deshalb geklärt werden, welche Systeme betriebskritisch sind, welche Funktionen bei einem Teilausfall erhalten, bleiben müssen und welche Systeme räumlich oder logisch zu trennen sind. Das verändert etwa Raumfolgen, Erschließungswege und die Lage technischer Zentralen.

Geteilte Verantwortung braucht klare Führung

Ein Generalplaner ersetzt keine Cybersicherheits-Abteilung und übernimmt nicht die Verantwortung für IT- oder OT-Sicherheit. Seine Rolle liegt vielmehr in der räumlichen, funktionalen und technischen Koordination jener Schnittstellen, an denen unterschiedliche Systeme und Zuständigkeiten zusammentreffen. Die Bauherrschaft definiert dafür verbindliche Schutzziele, IT- und Sicherheitsverantwortliche übersetzen sie in technische Anforderungen, Fachplaner integrieren sie in die Gebäudestruktur, Integratoren übernehmen Konfiguration und Inbetriebnahme, Hersteller verantworten die Sicherheit ihrer eigenen Produkte, Betreiber steuern Berechtigungen und Notfallorganisation im laufenden Betrieb. Dieses Modell geteilter Verantwortung funktioniert nur mit klaren Entscheidungswegen – ohne koordinierende Struktur entstehen Lücken zwischen Leistungsbildern und Zuständigkeiten, während einzelne Anforderungen formal erfüllt, im Zusammenspiel aber ungeprüft bleiben.

Integrale Planung kann diese Abhängigkeiten früh sichtbar machen – vorausgesetzt, Informationen aus allen Disziplinen lassen sich durchgängig und konsistent zusammenführen. Genau dafür setzt ATP architekten ingenieure seit 2010 auf Building Information Modeling (BIM): Architektur, Tragwerksplanung und Technische Gebäudeausrüstung inkl. der Gebäudeleittechnik werden in einem gemeinsamen Informationsmodell koordiniert. So lassen sich räumliche, technische und funktionale Wechselwirkungen früh erkennen und gemeinsam bewerten. Auf dieser langjährigen Praxis basiert die Koordination unterschiedlicher Gebäude kritischer Infrastruktur – von Krankenhäusern und Flughäfen bis hin zu militärischen Anlagen. In der Datacenterplanung arbeiten dafür spezialisierte Teams in Wien, Zürich, Frankfurt, Krakau und Innsbruck standortübergreifend zusammen.

Entscheidend ist dabei die digitale Durchgängigkeit über den gesamten Lebenszyklus. Wie andere Assetklassen wird auch ein Rechenzentrum bei ATP architekten ingenieure nicht nur im Entwurf modelliert. Die strukturierte Datenbasis wird von Planung und Bau bis zu Betrieb, Wartung, Umbau und Weiterentwicklung fortgeführt. Informationen zu Bauteilen, technischen Anlagen, Versorgungspfaden und räumlichen Abhängigkeiten bleiben damit über Projektphasen hinweg verfügbar und nachvollziehbar. Gerade bei hochverfügbaren Infrastrukturen schafft diese Kontinuität eine wesentliche Grundlage für Wartung, Änderungsmanagement und spätere Eingriffe in den Bestand.

BIM unterstützt damit weit mehr als die geometrische Koordination. Die gemeinsame Datenumgebung bildet auch Systemgrenzen, betriebliche Anforderungen und relevante Abhängigkeiten ab. Versorgungswege, technische Zentralen, Sicherheitszonen und Wartungswege können dadurch im Zusammenhang betrachtet und über Planungsphasen hinweg konsistent weitergeführt werden.

Damit gewinnt auch die Qualität der zugrunde liegenden Daten sicherheitsrelevante Bedeutung. Entscheidend ist nicht allein das gemeinsame Modell, sondern dessen Governance: Wer darf Informationen lesen oder verändern? Wie werden Versionen und Freigaben dokumentiert? Welche Daten werden an Betreiber übergeben? Und wie bleibt ihre Verfügbarkeit langfristig gesichert? Erst wenn diese Fragen geklärt sind, wird digitale Durchgängigkeit zu einer belastbaren Grundlage für Planung, Betrieb und sicherheitsrelevante Entscheidungen über den gesamten Lebenszyklus eines Gebäudes hinweg. Der integrale Planungsanspruch endet damit nicht bei der räumlichen Koordination der Fachdisziplinen. Er umfasst ebenso die Informations- und Systemschnittstellen zwischen Gebäude, OT, IT und Betrieb.

Drei Entscheidungen, die später kaum korrigierbar sind

Erstens müssen kritische Funktionen und Abhängigkeiten früh identifiziert werden – anhand gemeinsamer Ausfallszenarien, die bauliche, technische, digitale und organisatorische Folgen zusammenführen. Zweitens müssen redundante Systeme funktional und räumlich unabhängig bleiben; der Grundriss wird damit unmittelbar zur Resilienzentscheidung. Drittens benötigen die Verbindungsstellen zwischen baulicher Struktur, OT und IT eine klare Governance, die bereits früh in der Planungsphase definiert ist – nicht nur für den Regelbetrieb, sondern auch für Wartung, Notbetrieb und Wiederherstellung. Diese Entscheidungen lassen sich nicht vollständig an einzelne Fachdisziplinen delegieren; die Bauherrschaft braucht dafür einen kompetenten Partner, der sie in die Lage versetzt, Schutzziele frühzeitig zu formulieren und sicherheitsrelevante Entscheidungen verantwortungsvoll zu treffen.

Fazit

Wer Resilienz erst im Betrieb behandelt, setzt viel zu spät an. Die entscheidenden Voraussetzungen entstehen bereits in der Planung: durch belastbare Versorgungstopologien, räumlich getrennte Redundanzen, klar definierte Systemgrenzen und eine eindeutige Zuordnung von Verantwortung. Integrale Planung ersetzt dabei weder IT- noch OT-Sicherheit. Sie schafft jedoch die räumlichen, technischen und organisatorischen Voraussetzungen, unter denen Sicherheitskonzepte wirksam werden können. Gerade an den Schnittstellen zwischen Gebäude, technischer Infrastruktur, OT, IT und Betrieb entscheidet sich, ob einzelne Schutzmaßnahmen tatsächlich zu einem resilienten Gesamtsystem zusammenwirken.

Resilienz kritischer Infrastruktur ist damit eine Planungs- und Führungsaufgabe: Schutzziele müssen früh definiert, Abhängigkeiten sichtbar gemacht und Verantwortlichkeiten über den gesamten Lebenszyklus hinweg eindeutig organisiert werden.