Cloud Computing (1) Intro

Von meinen Kunden wurde ich des Öfteren gefragt, ob es nicht sinnvoll sei, die IT in die Cloud auszulagern um Kosten zu sparen. Aus diesem Grund möchte ich mich in meinem heutigen Artikel mit diesem Thema beschäftigen. Auch wenn das Cloud Computing viele Möglichkeiten bietet, auf die ich in einem weiteren Artikel genauer eingehen werde, so kommt man doch früher oder später auf die Frage zurück:

Ist es überhaupt sinnvoll auf Cloud Computing zu setzen? Diese Frage kann nur mit einem JEIN beantwortet werden!

Aber warum ist das genau der Fall? Es sind besonders wirtschaftliche, sicherheitskritische und datenschutzrechtliche Aspekte, welche bei einer Migration in die Cloud eine Rolle spielen. Man kann dies nicht für alle Firmen oder Branchen pauschal entscheiden, sondern es ist stets eine individuelle Entscheidung, ob eine solche Lösung möglich ist und ob diese sich auch lohnt.

Ich als IT Berater möchte natürlich das Optimale für meine Kunden. Mein Fokus liegt besonders auf der Sicherheit von IT Systemen, daher rate ich bisher immer von Cloud Lösungen ab. Warum mache ich das? Es hängt mit der Sache an sich zusammen. Eine Cloud ist nichts anderes als die Nutzung fremder IT Ressourcen und der Gebrauch dieser Mittel wird beim entsprechenden Anbieter bezahlt. Das Ziel des Providers liegt in der bestmöglichen Auslastung seiner Ressourcen, sodass sich auf einer physischen Maschine des Anbieters mehrere virtuelle Instanzen von verschiedenen Kunden befinden. Der Anbieter muss dafür dabei gewährleisten, dass die virtuellen Instanzen der Kunden voneinander getrennt sind und genau hier liegt die Gefahr. Als Kunde hat man keinerlei Kenntnisse, welche Technologien, Hardware und welche Schutzmechanismen vorhanden sind um diese Sicherheit zu gewährleisten. Noch dazu sind in letzter Zeit viele Sicherheitslücken in der Hardware gefunden worden, wobei viele auch mediale Aufmerksamkeit erhalten haben. Besonders betroffen sind davon Intel und AMD CPUs, sowie die Intel Management Engine. Die im Fokus stehenden Lücken ermöglichen ein Auslesen des Arbeitsspeichers und Caches über einen sogenannten Seitenkanalangriff. Besonders nennenswert sind hier die Lücken Spectre (NG), Meltdown, ZombieLoad und Rowhammer. Der Anbieter einer Cloud Lösung muss daher sicherstellen, dass diese Lücken im CPU Design nicht ausgenutzt werden können. Dies kann beispielsweise durch Updates im Betriebssystem oder sogenannte Microcode Updates realisiert werden, allerdings muss hier angemerkt werden, dass nicht für alle betroffenen CPUs Patches bereitgestellt worden sind. Weil man zum einen nicht weiß, ob die vom Anbieter verbaute Hardware solche Lücken aufweist und zum anderen ob dieser die Updates eingespielt hat, so sollte man diese Systeme als kritisch betrachten.

Durch die Verlagerung der Daten von einem In-House zum Cloud System verschiebt sich auch der Angriffspunkt. War es noch bei klassischen Architekturen der Fall, dass die Daten innerhalb einer Firma durch eine oder mehrere Firewalls und Zugriffssteuerungslisten geschützt waren, so ist in der Cloud prinzipiell so, dass diese Zugänge zunächst offen sind. Es existieren standardgemäß bereits Sicherheitsmechanismen, allerdings sollten diese verschärft werden. Eine falsche Handhabung, beispielsweise durch eine veraltete Verschlüsselung, durch zu kurze oder einfache Kennwörter oder nicht bedachte oder unzureichende Sicherheitsmaßnahmen haben hier eine sehr fatale Wirkung. Daher lieg der Fokus in der Cloud besonders auf der Sicherheit vor unbefugtem Zugang!

Ein weiterer wichtiger Faktor ist der Datenschutz. Der Nutzer muss in seiner Datenschutzrichtlinie erwähnen, dass eine Datenverarbeitung in der Cloud erfolgt, da die Daten dort gespeichert werden. Außerdem muss der Nutzer auch prüfen ob der gewählte Anbieter die Datenschutzbestimmungen gemäß § 11 BDSG einhält.

Des Weiteren muss man vor der Wahl eines Anbieters sehr genau überlegt werden, ob dieser die Ansprüche erfüllt. Sind die Daten einmal in der Cloud und wird mit ihnen gearbeitet, ist ein Wechsel zu einem anderen Anbieter nicht mehr ohne weiteres möglich. Der Grund dafür ist, dass jeder Anbieter seine eigene proprietäre Infrastruktur hat (Hardware und Software). Hier müssten die Anbieter ihre verwendeten Standards offenlegen, um eine mögliche Schnittstelle zwischen den Systemen zu schaffen oder alternativ eine Vorgabe eins Konsortiums erarbeitet werden, welches dementsprechend bei den Anbietern verwendet wird. Der Anbieter hat aber das Ziel den Kunden an sich zu binden, daher wird keine solchen Schnittstellen geben und der Transfer der Daten von einem Anbieter zu einem anderen wird somit erschwert. Man spricht hier von einem sogenannten Vendor Lock-in.

Jetzt möchte ich aber auch noch die positiven Aspekte des Cloud Computing aufzeigen.

Das Wichtigste ist zunächst, dass die lokalen IT Kosten reduziert werden. Der bzw. die Server, welche vorher innerhalb der Firma waren, werden nun als virtuelle Instanz bei einem Anbieter bereitgestellt. Die laufenden Kosten, für die Wartung und Energieversorgung, sowie Kühlung fallen weg – diese werden auf anderer Seite als Nutzungsentgelt beim Anbieter bezahlt. Weiterhin fallen Kosten für Neuanschaffung von Server- und Storagesysteme weg. Die Kosten für Wartung der Betriebssysteme und Applikationen, egal ob Cloud oder In-House System bleiben allerdings bestehen.

Mussten sich bei In-House Systemen der Kunde (bzw. die IT Administration) selbst um die Redundanzen und Hochverfügbarkeitssysteme sorgen, daher die Planung, Implementation und Wartung dessen selbst vornehmen, so ist es beim Cloud Computing hingegen so, dass der Anbieter im Hintergrund solche Systeme bereits hat. Der Kunde ist daher vor Ausfällen in der Hardware geschützt, allerding kann es dennoch passieren, dass der Anbieter selbst technische Probleme hat und so ein Arbeiten nicht möglich ist. Zum anderen muss der Kunde seine Internetverbindung möglichst redundant aufbauen, sodass bei einem Ausfall oder Störung eines Internetanschlusses ein Weiterarbeiten über den redundanten Anschluss weiterhin möglich ist.

Für wen sind nun Cloud Systeme am besten geeignet? Zunächst sind klar Start-Up Unternehmen zu nennen, welche sich schnell an Gegebenheiten anpassen müssen und in kürzester Zeit neue Ressourcen benötigen. Diese können in der Cloud innerhalb von wenigen Minuten bereitgestellt werden. Bei einem Neukauf solcher Systeme muss man mit der Planung, Anschaffung und Inbetriebnahme mehrere Tage bis Wochen rechnen, sodass hier der Vorteil klar bei der Cloud Infrastruktur liegt. Diese Ressourcen können auch schnell wieder abgestoßen werden, falls sie nicht mehr benötigt werden. So bleiben nur die Kosten für die entsprechende Nutzungszeit der Systeme unterm Strich übrig. Sind diese als lokale Server konzipiert, so müssen diese bei Nichtgebrauch zunächst abgeschaltet und anschließend verkauft werden, was bedeutet, dass zu den laufenden Kosten auch ein Wertverlust kommt. Der Kostenfaktor ist besonders bei Start-Up Unternehmen ein wichtiges Thema, da diese zu Beginn wenig Kapital haben um eine große IT Infrastruktur erwerben und betreiben zu können, sodass die Nutzung der Cloud und die Bezahlung nach Gebrauch ein echter Vorteil ist. Weiterhin sind solche Systeme auch für Firmen interessant, welche mit schnell wechselnden Änderungen in den IT Anforderungen zu tun haben, da man die benötigten Ressourcen schnell und einfach zubuchen kann bzw. wenn sie nicht mehr benötigt werden diese abgestoßen werden können.

Schlussfolgernd ist die Nutzung des Cloud Computings immer eine Ermessensfrage des Unternehmens. Grundsätzlich würde ich aber eher dazu tendieren, dass unternehmenskritische Daten weiterhin als In-House System lokal in den Geschäftsräumen der Firma bleiben und sonstige Applikationen, welche diese Daten nicht benötigen in die Cloud ausgelagert werden können. Man spricht in diesem Fall über eine Hybridlösung, was somit auch Thema eines anderen Artikels wird.