Straßburger RZ-Brand: OVHcloud-Gründer verspricht Aufklärung und ein Forschungslabor

Nach dem Brand, der am 10. März zwei Rechenzentren in Straßburg betraf und eines total, ein zweites fast total zerstörte, hat der französische Cloud-Dienstleister OVHcloud bzw. dessen Gründer und Chairman Octave Klaba am 22. März 2021 auf seinem persönlichen Twitter-Account die Einrichtung eines Labors für Feuerforschung in Rechenzentren angekündigt (https://bit.ly/3us7NJu, https://bit.ly/3cThMBJ). Die Idee mit dem Labor mutet Fachleuten ein wenig merkwürdig an. Und das vollmundige Versprechen, die Brandursache aufzuklären und öffentlich zu machen, auch!

So sagt Klaba: „Ich glaube, dass dieser Vorfall die Standards der Branche verändern wird.“ Das ist richtig, wenn er seine Rechenzentren damit meint. Denn die Fakten, die bislang bekannt geworden sind, lassen erkennen, dass die betroffenen Rechenzentren nichts, aber auch gar nichts erfüllten, was man heute als Standards bezeichnet und schon über fünf Jahrzehnte weiß.

Es kommt einem vor wie das Versprechen einer schonungslosen Aufklärung kirchlicher Kindesmissbräuche. Kaum ausgesprochen, wird gemauert. Der Sicherheits-Berater stellte der Presseabteilung von OVH vier Tage nach dem Ereignis etwa ein Dutzend ganz einfach zu beantwortender Fragen. Bis heute keine Antwort. Daher haben wir im Umfeld recherchiert und konnten recht verlässliche Erkenntnisse gewinnen. Wir recherchierten bei den Feuerwehren in Kehl und Straßburg, bei Brandschutzsachverständigen und OVH-Kunden, werteten Blogs und Tweets aus und analysierten systematisch Bilder des Brandgeschehens. Letzteres war sehr auf-schlussreich, denn wir konnten aus der Farbe des Rauchs, fast tiefschwarz und mit weißlichen Wolken, aus abgeschmolzenen Teilen der Fassaden etc. Rückschlüsse auf das verwendete Baumaterial ziehen und vieles vom Brandgeschehen auslesen.

Europanorm EN 50600 unbekannt?

Mit schonungsloser Aufarbeitung und Transparenz hat das Verhalten von OVH nichts zu tun. Dem Chef eines der größten Hoster in Europa ist offensichtlich nicht bekannt, dass es eine international gültige Normenreihe für Rechenzentren gibt (EN 50600). Sie basiert auf den mehr als 50-jährigen Erfahrungen der Sicherheitsplanung und des Betriebs von RZ und gilt auch in Frankreich. Die in ihr postulierten Anforderungen an Planung und Betrieb hochverfügbarer IT haben dazu geführt, dass Rechenzentren nicht mehr brennen, es auch gar nicht können, wenn man sich an die Standards und geltendes Baurecht hält und sich ggf. auch auf deren Basis zertifizieren lässt.

Übrigens: Die noch immer gültigen Planungs- und Sicherheitsgrundsätze waren schon 1969 und 1970 Gegenstand ganztägiger Semi-nare der Technischen Akademie Wuppertal und des Deutschen Instituts für Betriebswirtschaft in Frankfurt. Herr Klaba muss das Rad nicht neu erfinden wollen.

Der Autor dieses Beitrags, seit 1969 als Berater in Sachen RZ-Sicherheit unterwegs, hat schon dreimal auf Kongressen, auf denen er Vorträge zum RZ-Brandschutz hielt, 500 Euro an Prämie ausgesetzt, wenn ihm jemand einen Schadensbericht über ein abgebranntes RZ in Deutschland überlässt und so den Brand und seine Entstehungsursache dokumentiert. Sicher sind 500 Euro nicht viel, aber doch immerhin ein Anreiz. Niemand lieferte jemals einen Schadensbericht. Selbst die Versicherer und die Brandschadensanierer und deren Verbände haben hierzu Material.

In der Normenreihe EN 50600 gibt es vier Sicherheitskategorien für Rechenzentren. Das Regelwerk wird auch von verschiedenen Zertifizierern als Basis zur Zertifizierung genutzt. Die OVH-Rechenzentren erfüllen – soweit man Näheres über die verschiedenen Standorte weiß, nicht einmal die unterste Verfügbarkeitsklasse.

Octave Klaba, Gründer und Vorstand von OVH, betonte in einem seiner frühen Tweets, dass das betroffene Rechenzentrum von der Straßburger Feuerwehr abgenommen worden sei. Das heißt gar nichts. Französische Behörden haben auch Kernkraftwerke abgenommen, die in anderen Ländern nie ans Netz gedurft hätten. Die Ankündigung von Klaba lässt elementare Unkenntnis des Problems erkennen und in dieser Unkenntnis hat er offenbar auch die betroffenen Rechenzentren bauen lassen.

Das Netz ist voller Tweets und Blogbeiträge. Die Unkenntnis der interessierten Netzgemeinde passt zu OVH. Es ist erschütternd, wenn man die dem Brand folgenden Blogbeiträge liest. Da liest man Stimmen, dass man „kein Verständnis dafür“ habe, „dass das RZ nicht über eine Sprinkleranlage oder gar Halonanlage“ verfügt habe. Halon ist seit Jahrzehnten in ganz Europa und weitgehend im Rest der Welt verboten (wegen des Ozonlochs).

Diese RZ-Konstruktion wäre aber auch mit einer Sprinklerung, die in jedem RZ eigentlich eher als fragwürdige Alibilösung anzusehen ist, nicht zu retten gewesen. Die Blogautoren wissen gar nicht, dass Sprinkler in Rechenzentren nichts zu suchen haben, weil sie dort keine Wirkung haben können und im Regelfall nicht einmal auslösen würden.

Nirgends liest man bislang,

• dass sich das Baukonzept des betroffenen OVH-Rechenzentrums außerhalb jeden Sicherheitsstandards bewegte,
• dass die Totalverrauchung nur möglich war, weil Brandabschnitte fehlten und Trennungen nicht rauchdicht waren,
• dass falsche, für RZ ungeeignete Baumaterialien verwendet wurden wie Polystyrol-Schaumstoffe, Holzböden etc. und die Fassade so brennbar war, dass sie abschmolz und den Luft-Sauerstoff ungehindert an den Brand ließ,
• dass eine Trennung von grober und feiner Technik nicht angedacht war. Grobe Technik wie USVen, Stromverteiler etc. gehören in technische Betriebsräume und diese sind zur Trennung der Risiken kleinteilig als eigene brandschutztechnische Bereiche auszuführen – so kleinteilig, dass der Verlust eines Raumes nicht zum vollständigen Verlust der Funktionsfähigkeit des RZ führen kann,
• dass das TGA- und Lüftungskonzept sowohl die Rauchverteilung begünstigte als auch offene Flammen zu entfachen in der Lage war, dass technische Funktionstrennungen der verschiedenen Funktionsbereiche der TGA und ihre fehlende bauliche Trennung keine interne Georedundanz schufen.

Die von zur Mühlen‘sche GmbH (www.vzm.de), seit fast 50 Jahren in der RZ-Planung tätig und – soweit bekannt – die älteste deutsche IT-Sicherheitsberatung, hat wesentliche Teile der heute üblichen Planungsgrundsätze für die RZ entwickelt und oft gegen Widerstand umgesetzt. Von den über 650 Rechenzentren, an deren Konzept und Planung die etwa 40 VZM-Fachleute beteiligt waren, ist noch kein einziges einem Feuer zum Opfer gefallen.

Feuer ist nämlich Physik im Alltag. Das sogenannte Verbrennungsdreieck benötigt

1. brennbaren Stoff
2. Sauerstoff und
3. Energie (Wärmequelle)

Wird eine dieser Komponenten aus dem Spiel genommen, erlischt das Feuer oder kann gar nicht erst entstehen.

Zu 1., brennbarer Stoff
Auf den brennbaren Stoff haben Planer und Betreiber Einfluss. Man kann so planen, dass zum einen nicht brennbare oder nur schwer entflammbare Materialien in einem RZ verwendet werden, weiter ist es üblich, brandlastarm zu planen und zu betreiben. Als in den Sechzigerjahren in den USA RZ-Brände in den Druckpools ihren Ausgang nahmen, trennte man die Datenverarbeitung vom Druck und seinem Papier und verhängte Rauchverbote. So einfach geht das. Und auch heute, wo man stärker ins Detail plant, achtet man auf brandlastarme Installationen, Baumaterialien und sonstige Elemente eines RZ. Wie beim Papier werden heute technische Risikotrennungen durch bauliche Maßnahmen erreicht. Und siehe da: Es brennt nicht mehr.

Wenn OVH bei dem abgefackelten RZ noch im Jahr 2012 Holzfußböden einbaute, wurde das schon damals mehr als 35 Jahre lang nicht mehr gemacht. Das war grob fahrlässig und weitab vom Üblichen. Es gibt Aufnahmen im Internet, die Grund zu der Annahme bieten, dass der Holzboden von minderster Qualität war. Einer Fotografie nach scheint man durch Lack veredelte OSB-Platten als Bodenbelag genommen zu haben. Unter RZ-Sicherheitsaspekten eher ein Wegwerfmaterial.

OVH hat Filme ins Netz gestellt, die in höchsten Tönen die Sicherheitsmaßnahmen loben. Der Film beginnt mit der Aufnahme eines Zauns mit einem Stacheldraht-Übersteigschutz. Hier ein Bild des Zauns vom abgebrannten RZ:
Der Draht hängt durch, ist augenscheinlich der billigste auf dem Markt und am rechten Ausleger ist der Übersteigschutz nicht einmal befestigt. So sollte man keine Sicherheit behaupten.

Zu 2., Sauerstoff
Manche Betreiber von Rechenzentren setzen auf Brandvermeidung durch Sauerstoffreduktion, auch Permanentinertisierung genannt. Diese Technologie hat sich aber in den vergangenen Jahren als wenig wirtschaftlich erwiesen, weil der Sauerstoffgehalt permanent unter ca. 15 Prozent gehalten wird.

Bezieht man gasförmige Löschmittel ins Kalkül ein, wirken diese zumeist sauerstoffverdrängend. Jedoch kann man sie bei diesem Brandgeschehen als geeignete Lösung ausschließen. Auf zahlreichen Fotos im Internet sind Leckagen und Öffnungen zu erkennen, die dem Entstehen einer wirksamen Löschmittelkonzentration entgegenstehen. Das Gas würde in Sekundenschnelle dahin entweichen, wo es mit Sicherheit nicht gebraucht wird. Das würde auch für nur ein Geschoss von ca. 500 m² (ca. 2.000 m³, die mit Löschgas zu füllen wären) nicht funktionieren.

Fast alle Gedanken zum Löschen kann man sozusagen abhaken, wenn man ein besonderes Augenmerk auf das dritte Element des Feuerdreiecks richtet: die Wärmequelle.

Zu 3., Energie (Wärmequelle)
Wenn ausreichend Sauerstoff und brennbarer Stoff mit einer zündfähigen Temperatur zusammentreffen, dann entsteht ein Verbrennungsprozess. Rechenzentren unterliegen dem grundsätzlichen Risiko eines Brandes, der bei einem elektrischen Defekt, z. B. in Netz-teilen etc., entsteht oder auch in elektrischen Verteilern, in USV- und ihren Batteriesystemen, wenn sie im RZ montiert sind. Auch die gehören nicht ins RZ, eine Ausnahme bilden die Abgangskästen der Stromschienen.

Relativ häufig sind die USV-Anlagen als Brandquelle dokumentiert. Diese sind als „grobe Technik“ zu bezeichnen, die in brandschutz-technisch abgetrennte Bereiche, gehört. So kann man durch vorausschauende Planung und Aufteilung auch sicherstellen, dass in einem Schadensfall nicht die gesamte Versorgung mit USV-Strom zerstört wird, sondern definierte Kerngeschäftsbereiche aufrecht-erhalten werden können. Übrigens dürfen auch lebenserhaltende Bypass-Leitungen nicht durch die USV-Räume geführt werden, denn dann würde beides kaputt gehen.

Ein Elektrobrand beginnt fast immer mit einem Schwelbrand. An der USV 7 des Straßburger RZs haben Wartungsarbeiten stattgefunden. Werden die nicht sorgfältig und fachkundig durchgeführt, ist mit einer Erhöhung des Übergangswiderstandes und einer Erwärmung zu rechnen. Aufgelegte Kabel fangen an, auszugasen und dann zu schwelen. Im Extremfall entstehen Lichtbögen. Lichtbögen lassen sich nicht mit Löschanlagen löschen, die den Sauerstoff verdrängen, denn der Lichtbogen ist ein Plasma, das zum Brennen keinen Sauerstoff benötigt und enorme Hitze entwickelt. Temperatur zwischen 4.000 und 16.000 Kelvin (K)! Das reicht für ein schmuckes Feuerchen wie bei OVH.

Lichtbögen lassen sich zumeist aus Rechnerräumen fernhalten, wenn man eine zündquellenarme Installation plant und im Falle des Falles die Stützenergie, im RZ immer der Strom, dem Feuerdreieck entnimmt, also den Strom des betroffenen Geräts (hier der USV) durch eine aktive Schalthandlung entzieht.

Für jeden RZ-Betreiber ist es ein Problem, wenn die Feuerwehr kommt. Dann sollte durch gezielte Abschaltmaßnahmen der beginnende Schwelbrand schon erloschen sein, denn die Feuerwehr schaltet aus Vorsichtsgründen das gesamte RZ stromlos. Folgeschäden sind ihr egal, wenn es nicht Brandschäden sind.

Schwelbrände lassen sich aber durch geeignete Detektionsverfahren sehr früh erkennen. Gut geplante Rechenzentren gehen mit Ansaugrauchmeldern direkt an die mögliche Brandquelle bzw. in deren Nähe. Oft werden Rackgruppen zusammengefasst. So kann dann durch gezielte Schalthandlung die Brandquelle und ihr nahes Umfeld freigeschaltet werden. Selbst wenn dadurch auch Systeme totgelegt werden, die nicht betroffen sind, ist der schnelle Wiederanlauf eher vollbracht.

Ein entsprechend ausgerichtetes Brandmelde- und Power-Management-System hat es bei den vom Brand betroffenen OVH-Rechenzentren nicht gegeben, dem Vernehmen nach lediglich eine einfache Brandmeldeanlage (BMA). Sie hat aber nicht aus-gelöst, denn sie war nach Aussage des Betreibers wohl wegen Wartungsarbeiten an der USV 7 außer Betrieb gesetzt und nach Abschluss der Tagesarbeit nicht wieder in Betrieb genommen worden. Bei einer normalen Wartung der USV gibt es keinerlei Notwendigkeit, die BMA abzuschalten.

Was bei der Analyse des Falls verwundert ist, dass offensichtlich die gesamte Brandmeldeanlage für die Wartung von zwei USV-Anlagen abgeschaltet worden sein muss. Also nicht nur im Technikumfeld der gewarteten USV, sondern im ganzen Gebäude. Die Undichtigkeit des Bauwerks und die fehlenden wirksamen Brandabschnitte hätten sonst Alarm auslösen müssen. Dieses Rätsel ist noch zu klären. OVH schweigt dazu!

Auch einer Klärung bedarf es, warum die BMA nicht wieder in Betrieb genommen wurde, als die Arbeiten abgeschlossen waren und warum die angeblich so gut ausgestattete Sicherheit dies nicht gemerkt hat. Hier liegen wohl Betreiberfehler vor, die der Größe und Bedeutung eines solchen Rechenzentrums nicht gerecht werden.

Wenn man sich das oben stehende Bild anschaut, kann man lernen, wie man Rechenzentren nicht bauen darf (die Bildersuche bei Google wirft zudem Aufnahmen vom Brand selbst aus). Die Fassadenelemente bestehen aus brennbarem Material. Es handelt sich offensichtlich um sogenannte Sandwichpaneele. Hier vermutlich Kunststoffplatten, die den brennbaren Wärmedämmstoff, zumeist Polystyrole (bekannt z.B. als Styropor oder Styrodur) einschließen. In Deutschland darf so nicht gebaut werden.

Die Brandmeldetechnik (Abschaltung hin oder her) ist in den abgefackelten RZ, vorsichtig ausgedrückt, „unterentwickelt“ gewesen. Im Werbefilm blendet OVH zwar ein Bedienelement einer VESDA-Früherkennung (ein Ansaugrauchmelder von Xtralis) ein. Aber das stammte von einem anderen, später errichteten Rechenzentrum. Eine Verhaltensweise, die Anlass gibt, dem Anbieter grundsätzlich nicht zu trauen:

1. Es stellt sich die Frage, ob auch andere Colocation Center (CC) von OVH (und auch anderen Anbietern) in gleicher Weise gefährdet sind.
2. Es macht misstrauisch, dass die OVH-RZ wohl auch an anderen Standorten Hostingleistungen zu Billigstpreisen anbieten. Bei diesem Preis kann man keine Qualität erwarten.
3. Wenn man im Internet die OVH-RZ recherchiert, stößt man nicht auf Zertifikate wie ISO 27000, TÜV-iT oder TIER etc. Vielleicht habe ich auch nicht alle RZ gefunden. Geworben wird jedenfalls vom Betreiber damit nicht.
4. OVH hat dem Vernehmen nach seine Kunden nicht in Beratungsgesprächen auf die Notwendigkeit von Datensicherungen hinge-wiesen und beraten. Ich habe mit Geschäftskunden, deren Daten verloren gegangen sind, wenig Mitleid. So leichtsinnig, sich nur auf den Hoster zu verlassen, darf man nicht sein. Aber auch Privatkunden können sich heute für sehr wenig Geld einen Speicher leisten, der eine verlässliche Datensicherung ermöglicht. Wer das nicht tut, verdient kein Mitleid. Aber man lernt daraus, wie wichtig geplante Vorsorge ist.
5. Bei deutschen Colocatern gibt es Brandschutzprobleme, wenn sie in alten Hallen untergebracht wurden. Deckenkonstruktionen mit Trapezblechen sind definitiv nie verlässlich gegen Rauchübertritte abdichtbar und zumeist wird wegen der Herstellkosten als Wärmedämmung Styropor oder Styrodur eingebracht. Das zusammen mit einer Abdichtung des Daches aus Teerpappenbahnen ist auch in Deutschland eine Suizidlösung. In solche RZs sollte niemand eine wichtige IT stellen.
6. Immer mehr Dienstleister in Deutschland lassen sich von unabhängigen Fachleuten Schwachstellenanalysen machen und verbessern ihre Sicherheitsmaßnahmen mit dem Ziel der Zertifizierung nach ISO 27000, TÜV-iT oder anderen anerkannten Zertifizierern. Mit wichtigen Unternehmensdaten sollte man nur in hochverfügbare Rechenzentren der oberen Verfügbarkeitskategorien gehen oder durch Fachleute eine Evaluierung vornehmen lassen.