Kolumne: Stropek as a Service

Cloud Computing und Geopolitik – Bedenkliche Vorgänge rund um eine Gaspipeline
1 Kommentar

Es war eine der Top-Schlagzeilen Ende letzten Jahres: Die USA haben ein „Gesetz zum Schutz von Europas Energiesicherheit“ erlassen, das auf Betreiberfirmen spezialisierter Schiffe zum unterseeischen Verlegen von Rohren für die Nord-Stream-2-Gaspipeline abzielt. Angedroht werden unter anderem Einreiseverbote und das Einfrieren von Vermögen von Personen, die mit solchen Betreiberfirmen in Verbindung gebracht werden.

Im Visier der amerikanischen Behörden befindet sich insbesondere die Schweizer Firma Allseas, die federführend für das Verlegen der Rohre im Nord-Stream-2-Projekt verantwortlich ist. Nach dem Erlass des oben erwähnten Gesetzes hat Allseas die Arbeit an der Pipeline erst ausgesetzt, dann komplett eingestellt. Da die notwendigen Spezialschiffe rar sind, verzögert diese Entwicklung die Fertigstellung der Gaspipeline signifikant. Möglicherweise ist das Projekt als Ganzes gefährdet, da auf politischer Ebene manche Interessengruppen die Entwicklungen zum Anlass nehmen, Nord Stream 2 generell zu hinterfragen.

Was hat das mit Cloud-Computing zu tun?

Ich möchte in dieser Kolumne nicht die Sinnhaftigkeit des Projekts Nord Stream 2 kommentieren. Ich möchte diese Einmischung der USA in europäische Entscheidungen auch nicht als positiv oder negativ bewerten. Manche empfinden es als Zumutung. Es gibt aber durchaus Stimmen in Europa, die Nord Stream 2 kritisch gegenüberstehen und einige US-Politiker behaupten, dankbare Rückmeldungen aus Europa zum vorliegenden Gesetz erhalten zu haben.

Auf jeden Fall kam ich ins Grübeln, als ich die Berichterstattung über das US-Gesetz verfolgt habe. Der Grund dafür sind die vielen Gespräche, die ich in den letzten Jahren mit Kunden zum Thema Cloud-Computing geführt habe. Die großen Cloudanbieter wie Microsoft, Amazon und Google konnten zwar mittlerweile fast alle Zweifler davon überzeugen, dass ihre Rechenzentren in Sachen IT-Sicherheit ein ausgesprochen hohes Niveau bieten. Mögliche Einflussnahmen der US-Regierung sorgen aber bei vielen Kunden, mit denen ich zu tun habe, immer noch für ein gehöriges Maß an Cloudskepsis.

BASTA! 2021

Keynote: Auf dem Weg zu „One .NET“ – das eine Framework, sie alle zu beherrschen

mit Dr. Holger Schwichtenberg (www.IT-Visions.de/MAXIMAGO GmbH)

C#-Workshop – was kommt Neues in .NET 5?

mit Rainer Stropek (timecockpit.com)

IT Security Summit 2020

Zero Trust – why are we having this conversation?

mit Victoria Almazova (Microsoft)

Digitaler Ersthelfer

mit Martin Wundram (DigiTrace GmbH)

Es wird argumentiert, dass Microsoft und Co. als US-Unternehmen US-amerikanischen Gesetzen unterliegen. Das Bedenken ist, dass die USA Druck auf sie ausüben könnten, um an wertvolle Daten zu kommen, unliebsamen Ländern Clouddienste zu verweigern oder wirtschaftliche Interessen durchzusetzen. Die erlassenen Gesetze rund um Nord Stream 2 haben gezeigt, dass diese Möglichkeit nicht rein theoretisch ist, sondern in der Praxis wirksam werden kann.

Nicht nur US-Clouds betroffen

Der Fall Allseas zeigt, dass die Frage des Unternehmenssitzes kein bestimmender Faktor ist, wenn es darum geht, ob ein Staat in der Praxis Einfluss nehmen kann. Auch wenn das Unternehmen den Hauptsitz außerhalb der USA hat, können die USA durch ihre wirtschaftliche Stärke genug Druck aufbauen, um ein Einlenken zu erzwingen.

Diese Tatsache ist für Cloud-Computing ein Problem. Es ist schwierig genug, eine in Europa in der Praxis nutzbare Cloudumgebung von Weltklasse von einem Hersteller außerhalb der USA zu finden. Im Gartner Magic Quadrant für Cloud-IaaS sind im Leaders Quadrant beispielsweise nur Microsoft, Amazon und Google zu finden. Ein führender Anbieter, der so weit von den USA entkoppelt ist, dass ihn kein massiver, wirtschaftlicher Druck zum Einlenken zwingen könnte, ist weit und breit nicht in Sicht.

Nur nicht die Nerven verlieren

Was also tun? Investitionen in Cloud-Computing sofort stoppen und wieder Server in den Keller stellen? Das ist meiner Ansicht nach keine gute Lösung. Politische Konflikte wie der Streit um russische Energielieferungen über eine neue Pipeline in der Ostsee sind zum Glück außergewöhnliche und seltene Ereignisse. Der Alltag ist viel „langweiliger“. Im Normalzustand bieten Cloud-Computing-Umgebungen im Vergleich zu dem, was die meisten Organisationen selbst betreiben können, viel höhere Sicherheit. Sich panisch aus der Cloud zu verabschieden wäre vielleicht gut gemeint, ganzheitlich betrachtet aber kontraproduktiv.

Was können wir also tun?

Mein erster und wichtigster Rat an alle, die Cloud-Computing mit US-Bezug nutzen oder es planen, ist, ruhig Blut zu bewahren. Die politischen Beziehungen zwischen den USA und Europa sind vielleicht nicht so harmonisch wie sie sein könnten, katastrophal sind sie jedoch auch nicht. Wir sind aber auch nicht zur Untätigkeit verdammt. Hier einige Beispiele von Maßnahmen, die fallspezifisch in Betracht gezogen werden könnten:

    • Die Verschlüsselung von Daten ist ein wirksamer Schutz vor Spionage. Die Bandbreite der Möglichkeiten reicht von den in Azure von Haus aus vorgesehenen Sicherheitsmechanismen (z. B. Verschlüsselung von Daten mit Azure Key Vault, Azure SQL Transparent Data Encryption, Azure SQL Always Encrypted) bis hin zu End-to-end Encryption auf Anwendungsebene. Welche Verschlüsselungsmaßnahmen die richtigen sind, muss individuell entschieden werden. Auf jeden Fall sollten Organisationen in den Aufbau von Wissen investieren, damit Entscheidungen über Verschlüsselung fundiert getroffen und richtig umgesetzt werden können.
    • Der Lock-in-Effekt, also die Abhängigkeit vom jeweiligen Cloudanbieter, sollte kritisch hinterfragt werden. Eine umfangreiche SaaS-Lösung komplett cloudunabhängig zu entwickeln, ist eine teure Angelegenheit. Durch das Setzen auf Standards (z. B. standardisierte Kommunikationsprotokolle, standardisierte APIs wie Dapr), den Einsatz von Containertechnologie und das Nutzen von Produkten, die auch außerhalb der gewählten Cloudumgebung verfügbar sind, kann der Lock-in-Effekt zumindest reduziert werden. Ein Ausziehen aus der Cloud oder Umziehen in eine andere Cloud sind dann zwar nicht auf Knopfdruck möglich, lassen sich aber im Extremfall machen.
    • Mit der Anwendung eine Cloud verlassen zu können ist nichts wert, wenn man plötzlich keinen Zugang zu seinen Daten oder seinem Quellcode mehr hat. Insofern kann es für manche Organisationen wichtig sein, zumindest Sicherungen der wichtigsten Datenbestände im physischen Zugriff zu haben. Aber Achtung: Back-ups außerhalb der Cloud müssen entsprechend abgesichert sein (z. B. Verschlüsselung, physischer Zugriffsschutz), sonst öffnet man Angreifern Tür und Tor. Wer sich den professionellen Schutz seiner Back-ups on Premises nicht leisten kann oder will, ist vielleicht trotz aller Nachteile mit einer reinen Cloudlösung besser bedient.
    • Betreibt man Softwarelösungen für kritische Infrastruktur, bei der ein Ausfall von Stunden oder Tagen hohe Schäden nach sich zieht, ist das Aufrechterhalten einer gewissen IT-Infrastruktur, die man auch physisch unter Kontrolle hat, unverzichtbar. Da das eine teure Option ist, empfehle ich, eine Bewertung der Systeme durchzuführen. Kostenvorteile durch die Nutzung von Cloud-Computing für weniger kritische Systeme können Budget und Zeit freimachen für professionelle, lokale Infrastruktur für jene Systemteile, die rasch übersiedelt oder generell lokal betrieben werden müssen.

Vorsicht vor Scheinlösungen

Sicherheit kostet Geld. Die großen Cloudanbieter können hohe Sicherheit umsetzbar machen, indem sie standardisierte Lösungen unter Nutzung von Skalierungseffekten für jede einzelne Kundenorganisation leistbar machen. Es geht dabei nicht nur um Produkt- oder Abonnementpreise. Einfachheit der Nutzung, Dokumentation, kostengünstiger Einstieg durch Selfservice und Freemium-Angebote, Zugang zu günstigen Trainings und Verfügbarkeit von Spezialistinnen und Spezialisten auf dem Arbeitsmarkt sind Faktoren, die oft schwerer wiegen. Wer meint, dass Sicherheitslösungen auf Augenhöhe mit den großen Cloudanbietern im Eigenbau mit wenig Aufwand machbar sind, irrt. Wenn man Abkürzungen nimmt, endet man meistens mit einem System, in dem man vielleicht einen Sicherheitsaspekt verbessert, gleichzeitig aber viele andere Sicherheitslücken – bewusst oder unbewusst – übersehen hat.

Ein typisches, fast schon banales Beispiel, das ich in meiner täglichen Beratungspraxis immer wieder sehe, ist der lose Umgang mit Zertifikaten, Verschlüsselungsschlüsseln oder Secrets (z. B. DB Connection Strings, API Keys). In den wenigsten Fällen wird on Premises sorgsam damit umgegangen. Jede Praktikantin und jeder Praktikant bekommt Zugang, obwohl Secrets praktisch nie geändert werden. In der Azure-Cloud sorgen Secure Defaults, Managed Identities und Key Vault dafür, dass solche Anfängerfehler nicht gemacht werden können.

Ähnliches gilt beim Vermeiden von Lock-in-Effekten. Wer dieses Thema ernst nimmt und tatsächlich rasch von der Cloud ins eigene Rechenzentrum wechseln können will, muss dieses Szenario testen. Wenn man sich auch noch so sehr bemüht, man übersieht in großen SaaS-Lösungen immer Details, die einen an die jeweilige Umgebung binden und die nur durch langwierige Arbeit zu entfernen sind. Erst durch das Ausprobieren des Auszugs aus der Cloud wird man sich der kritischen Faktoren bewusst und kann sie beheben oder zumindest einschätzen.

Gaspipeline & Co.: Politische Lösungen sind gefragt

Als Technikerinnen und Techniker können wir politische Probleme nicht lösen. Auch das Einschätzen von Risiken, die sich aus geopolitischen Konflikten wie der Nord-Stream-2-Pipeline ergeben, ist (wenn überhaupt) nur Personen möglich, die sich darauf spezialisieren. Unsere Aufgabe ist es, bei der objektiven Beurteilung der technischen und organisatorischen Maßnahmen zur Erhöhung von Datenschutz und Datensicherheit zu helfen. Microsoft stellt dafür beispielsweise im Service Trust Portal nützliche Informationen und Checklisten bereit.

Wenn das Ergebnis einer Untersuchung ist, dass in gewissen Bereichen die Cloud nicht einsetzbar ist oder begleitende Maßnahmen wie die Einführung hybrider Systeme notwendig sind, ist es unsere Aufgabe, die Gesamtsicht nicht aus den Augen zu verlieren. Nur weil die Server im eigenen Rechnerraum stehen, sind sie noch nicht sicher.

Schließlich können wir uns auch gesellschaftspolitisch engagieren und versuchen, im Rahmen unserer Möglichkeiten Lösungen zu finden, die eine Zusammenarbeit über geografische oder gesellschaftliche Grenzen hinweg ermöglicht. Das muss nicht zwangsläufig die Mitarbeit in einer politischen Partei bedeuten. Wir können auch in unserem Fachbereich aktiv werden und beispielsweise etwas zur freien Verfügbarkeit von Verschlüsselungs- und Softwareplattformen durch Unterstützung von Open-Source-Projekten beitragen.

Unsere Redaktion empfiehlt:

Relevante Beiträge

Abonnieren
Benachrichtige mich bei
guest
1 Kommentar
Inline Feedbacks
View all comments
Martin Reti

Wäre ein Cloud-Anbieter aus Europa nicht die richtige Antwort? Anwender müssten dann vielleicht auf ein wenig Komfort und Innovation verzichten, aber das ganze Problemszenario fiele doch in sich zusammen, oder nicht?

X
- Gib Deinen Standort ein -
- or -