«Die Cloud ist ein Klumpenrisiko»
Kaspar Geiser, der mit seiner Firma Aspectra IT-Infrastruktur und Datenspeicherung auf Grossrechnern anbietet, sagt, Cloud-Speicherdienste seien zwar oftmals kostengünstig, aber im Bereich der Updates und der Sicherheit undurchschaubar.
Von Matthias Schüssler
Die Cloud macht unser digitales Leben einfacher: Anwendungen laufen im Netz, Dokumente werden in der Datenwolke gespeichert, Daten sind jederzeit und an beliebigen Geräten abrufbar. Und wo der PC-Besitzer sich früher mit knappem Speicherplatz, mit Sicherheitsproblemen und mit der Optimierung seines Systems herumschlagen musste, kann er sich heute zurücklehnen und diese Arbeiten ans Netz delegieren. Auch viele Unternehmen verlagern ihre IT-Infrastruktur in die Datenwolke. Das spart den Sysadmin (Systemadministrator) im Haus und ist, laut Werbeversprechen, so einfach, wie Strom aus der Steckdose zu beziehen.
Dieser Vergleich amüsiert Kaspar Geiser, denn erst jüngst hat ein Stromausfall in Zürich-West diverse Zürcher Gemeinden vom Netz getrennt. Geiser ist Geschäftsführer von Aspectra, einem Zürcher Anbieter für IT-Infrastruktur. Er betreibt in seinen zwei Rechenzentren geschäftskritische Anwendungen für Banken, Finanzdienstleister, Industrie und Unternehmen aus dem Gesundheitsbereich. Er bietet sogenanntes dediziertes Hosting an – individuelle IT-Umgebungen, bei denen jeder Kunde eigene Server und einen Systemingenieur als Ansprechpartner hat. Er steht in Konkurrenz zu den Cloud-Anbietern, die mit Kostenersparnissen locken.
Viele potenzielle Gefahren
Doch wegen ihrer wolkigen Natur weiss man nie so genau, woran man ist: «Wenn meine schönen, im Internet gespeicherten Fotos eines Tages nicht mehr abrufbar sind, kann ich wütend auf mich selbst sein oder ans Tischbein treten», meint Geiser. «Aber ich habe keinen Vertragspartner, dem ich Saures geben könnte. Oder dem ich im Vorfeld hätte auf die Finger sehen können, damit es überhaupt nicht so weit gekommen wäre.»
Bei der Cloud gibt es keine Möglichkeit, hinter die Kulissen zu sehen – um beispielsweise abzuschätzen, ob der Anbieter seine Systeme regelmässig erneuert und ausbaut oder ob die Infrastruktur aus dem letzten Loch pfeift. Auch die Strategien zur Datensicherung sind etwas, für das man einen heissen Draht zum Sysadmin oder eigenes Know-how braucht: «Die Datensicherung eines Streams, eines Mailservers oder einer Datenbank mit Transaktionen von Börsengeschäften stellt hohe Anforderungen.» Wie das in der Cloud gelöst werde, kann der Benutzer nicht abschätzen. «In solchen Situationen wird die Cloud zum Klumpenrisiko», sagt Geiser.Die Anbieter in der Wolke delegieren viele Aufgaben an den Softwareentwickler. Er muss für die Mittel und Wege sorgen, damit die Nutzer seines Produkts Daten sichern können. Unklar ist bei der Cloud, wie gut der Betreiber für Pannenfälle gerüstet ist. Aspectra macht sich Gedanken zu Worst-Case-Szenarien, bis hin zur Überlegung, wie eine Anwendung in einem neuen Rechenzentrum wiederhergestellt werden kann, wenn das alte nicht mehr existieren sollte.
Es sind mannigfaltige Bedrohungen, gegen die sich ein Rechenzentrum rüsten muss: Zum Schutz vor Stromausfällen hängen die Rechenzentren von Aspectra an mehreren Unterwerken, und es gibt Batterie- und Generator-gestützte Notstromversorgung. Vor Unterbrechungen des Internetzugangs sichert Geiser sich durch mehrere, über Europa verteilte Internetzugänge ab. Die grösste Gefahrenquelle ist laut Geiser aber der Mensch – simple Benutzerfehler kommen im professionellen Umfeld genauso vor wie beim Privatanwender. Im 7×24-Stunden-Betrieb gilt es sicherzustellen, dass genügend Personal vorhanden ist, um Ausfälle zu kompensieren.
Kollateralschäden der Justiz
Zum Schutz vor Naturkatastrophen, Unfällen oder Anschlägen gibt es Anbieter, die Rechenzentren ins Gotthardmassiv verlegen oder in ehemalige Militärbunker verlagern. «Wir gehen nicht so weit, dass unser Rechenzentrum alles überleben muss», sagt Geiser. Da seine Rechenzentren an unterschiedlichen Standorten betrieben würden, könne man ein Restrisiko in Kauf nehmen.
Eine Gefahr droht auch vonseiten der Justiz. Sie kann durchaus Kollateralschäden herbeiführen, vor allem dann, wenn mehrere Clouddienstleister sich einen Server teilen, wie das in virtuellen Umgebungen häufig der Fall ist. Wenn die Staatsanwaltschaft einen Server beschlagnahmt, sind auch die Daten der unbeteiligten Dritten vom Netz. Diese Fälle kennt man aus den USA, doch sie können bei virtuellen Umgebungen auch in der Schweiz auftreten. Ein dediziertes Hosting mit eigenem Server schiebt dieser Gefahr einen Riegel vor. Doch natürlich hat der eigene Server Mehrkosten zur Folge.Bei der Sicherheitsfrage denkt man auch an «Hacktivismus» (politische Aktionen von Hackern) und an Cyberkrieg. Diese Bedrohungen haben, zumindest in den medialen Darstellungen, stark zugenommen. Kaspar Geiser meint, es habe solche Angriffe von jeher gegeben.
Für einige ist die Cloud perfekt
Eine neue Qualität brachten der «Flame»-Trojaner und «Stuxnet», die gezielt zur Sabotage und für Angriffe programmiert wurden. «Bei den brutalen Auftragsgeschichten und Einschleusungen sind auch wir wehrlos», räumt Geiser ein. Doch man dürfe nicht vergessen, dass auch der raffinierteste Angriff einen Perimeter überwinden müsse. «Bei der Netzwerksicherheit, bei Firewalls und Proxyservern unternehmen wir sehr viel – und sicher mehr, als das bei einem Cloud-Anbieter der Fall wäre.»
Die privaten und geschäftlichen Anwender sehen sich dem gleichen Dilemma gegenüber. Die tiefen Einstiegskosten machen die Datenwolke für sie attraktiv. Man ist es gewohnt, dass Dienste im Netz billig oder gratis zu haben sind. «Doch was in der Cloud nicht mit der Nachfrage wächst, ist die Anzahl Menschen, die die Lösungen betreuen», sagt Geiser.
Wie wägt man ab? «Eine standardisierte Lösung, wie Amazon sie anbietet, deckt die meisten Bedürfnisse, beispielsweise von E-Commerce-Anbietern, ab.» Es gebe Kunden, die in der Cloud besser aufgehoben seien als bei einem lokalen Anbieter einer dedizierten Lösung, die viele Auflagen und Sicherheitsmechanismen nötig macht. «Aber Unternehmen, die sich um Steuer-, Bank- oder Gesundheitsdaten kümmern, die müssen nicht auf den Amazon-Zug aufspringen!»Privat nutzt Geiser die Cloud im bescheidenem Rahmen: «Ich bin kein Voll-Cloud-Kind, das alle seine Daten auf Facebook teilt», sagt er. Wenn man zu Hause mehrere Computer und iPhones habe, sei es völlig okay, die iCloud zu nutzen, damit Fotos auf dem Gerät abrufbar sind, mit dem man sie auf dem Sofa anschauen kann. Öffentliche Gratisdienste nutzt er nicht. «Aber natürlich mache ich mir privat zunutze, dass es mein Beruf ist, Rechenzentren zu betreiben.»