Nach der Cloud-Euphorie macht sich jetzt auch Nachdenklichkeit breit. Die Datenübertragung könnte die Achillesferse des Cloud-Gedankens sein.
Die Begeisterung war anfangs groß, doch jetzt wird auch Kritik laut beim Thema Cloud. Viele Experten hinterfragen immer öfter, ob Cloud-Rechenzentren tatsächlich – und wie vom Anbieter versprochen – problemlos Produktionsanlagen steuern oder Logistikzentren managen können. Vor allem die Vorstellung, dass die Maschinen und Devices noch keine eigene „Intelligenz“ eingebaut haben, stimmt die IT-Verantwortlichen misstrauisch. Außerdem vermissen sie Garantien für die sichere Übertragung der Daten aus dem Cloud-Rechenzentrum in Geräte und Maschinen. Denn Anwendungen und Anwender sind womöglich zehntausende Kilometer voneinander entfernt. Bricht die Datenübertragung ab, steht die Produktion im schlimmsten Fall nach wenigen Minuten still. Obwohl kein Anwender offen über Probleme reden möchte, gibt es doch deutliche Indizien, dass nicht alles wie geplant funktioniert. „Ein Viertel aller europäischen Unternehmen ist mit ihrem jeweiligen Cloud-Serviceanbieter unzufrieden“, behauptet Camille Mendler, Lead Analyst, Enterprise Services Ovum, in ihrer Studie „Realising possibilities in the cloud: The need for a trusted broker“. Laut Mendler gibt jedes dritte Unternehmen „Ausfälle der Datenübertragung“ als wichtigsten Kritikpunkt für diese Unzufriedenheit an. „Mangel an Verantwortung ist endemisch“, berichtet Mendler weiter. Die meisten Cloud- Serviceprovider böten schlechte oder zu eng definierte Service Level Agreements. Bei Nichteinhaltung der Vereinbarungen erstatteten viele Anbieter keinerlei Schadensersatz. Für viele der von ihr befragten Unternehmen sei „Mittelmäßigkeit“ die höchste Bewertung, die die meisten Cloud-Anbieter verdienen. Die Erwartungen der Anwender an die Cloud-Anbieter seien viel höher. „Fast die Hälfte der europäischen Unternehmen sagt, dass End-to-End-Management und Service-Level-Vereinbarung über Rechenzentrum und Datennetzwerke die Ergebnisse bringen, die sie von ihrem Cloud-Anbieter erwarten.“ Allerdings liege genau hier das Problem: Die Kompetenz der Cloud-Anbieter beschränke sich häufig auf die Rechenzentren.
Tatsächlich scheint die garantierte Datenübertragung die offene Flanke des Cloud Computings zu sein. Und offensichtlich schwächeln die Cloud-Konzepte, wenn es um die Infrastruktur geht. Wie anfällig diese ist, haben zwei Ereignisse gezeigt, die die Sicherheitsbeauftragten in den Unternehmen aufmerksam gemacht haben. Zum einen gab es am 26. März ausgerechnet in Amsterdam einen Blackout. Amsterdam ist laut Branchenverband Bitkom einer der wichtigsten Standorte von Rechenzentren in Europa. Informationen darüber, welche und wie viele Rechenzentren mittel- oder unmittelbar von dem Stromausfall betroffen waren, gibt es nicht. Doch die Indizien deuten auf einen sehr breiten und vor allem extrem teuren Systemausfall hin: Der Flughafen Schiphol stellte seinen Betrieb ein, der Zugverkehr kam zum Stillstand und Unternehmen schickten ihre Angestellten nach Hause, weil sie mit ihren Computern nicht mehr arbeiten konnten. Der zweite Vorfall war noch besorgniserregender: Anfang April hackten – angebliche – IS-Terroristen den französischen Fernsehsender TV5 Monde – einen der fünf größten Sender weltweit. Die Kriminellen führten den Industrienationen in Westeuropa eindrücklich vor Augen, dass sie Mittel und Wege für Cyberangriffe haben, mit denen die Experten so nicht gerechnet hatten. „Wir leben in Zeiten, in denen Daten die Währung sind – und in denen wir neue Bedrohungen diskutieren: nicht nur Unternehmen oder einzelne Kriminelle, sondern ganze Staaten oder weltweit agierende, politische Gruppierungen. Konsequenterweise sollten die Unternehmen sehr sorgfältig darüber nachdenken, wenn sie ihre Daten von Kontinent zu Kontinent transportieren“, sagt Ramsés Gallego, Vice President von Isaca. Die Organisation vertritt und berät rund 115 000 Mitglieder bei Cybersecurity und Risikomanagement. Jeder große Staat hat seine Gesetzgebung für Cybersecurity und Datenschutz. Diese Gesetze gelten auch für Daten, die das Land nur durchqueren oder für eine sehr kurze Zeit an einem bestimmten Ort bleiben. „Meiner Meinung nach gehören die Fragen, wohin ein Unternehmen Daten schickt, zu den Themen im Risikomanagement: Wo ist der Startpunkt meines Datenstroms? Wer wird diese Daten unterwegs anfassen und warum macht er das?“, so Gallego weiter. Unglücklicherweise seien sich die Unternehmen über die Kommunikationswege ihrer Organisation in keiner Weise im Klaren. Dabei müssten die Risikomanager für eine Risikoanalyse die Eingangs- und Ausgangskanäle ihrer Organisation kennen, um zu verstehen, auf welchen Wegen die Informationen durch das Unternehmen laufen. „Dies ist bei vielen Unternehmen eben nicht der Fall“, unterstreicht Gallego.
Dabei basieren Cloud-Konzepte auf der Idee, dass die Unternehmen eine zentrale maschinelle Intelligenz haben, die rund um die Erde Produktionen, Vertrieb oder auch Logistik steuert. Bislang setzen die Verantwortlichen vor allem „dumme“ Sensoren und Maschinen ein, die ihre Daten über das Internet in die Analyse- und Big Data Engines der Cloud-Anwendungen schicken. Die Anwendungen verarbeiten diese Daten und senden ihre Steuerbefehle zurück an die Maschinen. Enden allerdings diese Daten aufgrund eines Data-Center-Blackouts in einem Internetstau, in den Maschen eines kriminellen oder terroristischen Hackernetzwerkes oder ganz einfach in einem Systemausfall des Cloud-Anbieters, warten die Maschinen vergeblich auf ihre nächsten Befehle. Die Folgen könnten katastrophal sein. Eine Umfrage in der deutschen Automobilindustrie ergab, dass sich die Entscheider dessen durchaus bewusst sind. Gegenüber automotiveIT wollte zwar keiner persönlich Stellung nehmen oder zitiert werden. Doch man kennt die Brisanz: „Das Thema Sicherheit und die sichere Übertragung von Daten über das Internet sind natürlich auch bei uns ein wichtiges Thema. Wir haben ein entsprechendes Risiko- und Sicherheitsmanagement entwickelt. Aus Sicherheitsgründen geben wir aber keine Information über unsere Security-Architektur nach außen.“ Ein anderer Hersteller: „Die Konzepte zur dezentralen Steuerung seien im Haus bekannt: Wir arbeiten im Rahmen von Industrie-4.0-Initiativen an solchen Architekturkonzepten – deren Umsetzung wird nach unserer Einschätzung aber noch einige Zeit in Anspruch nehmen.“ Dabei scheint der Reifegrad für diese dezentralen Systeme innerhalb der Industrie zu variieren. „Wir setzen bereits seit einigen Jahren ‚intelligente‘ Endgeräte ein“, antwortet ein Hersteller. „Die Geräte puffern Daten und können einen Ausfall der zentralen IT für eine bestimmte Zeit überbrücken.“ Anlagen würden immer mehr Computersysteme „mit angeschlossener Mechanik“ vernetzen, man rechne deshalb in diesem Bereich mit erheblichen Innovationen.
Autor: Christian Raum
Illustration: Sabina Vogel