Drei Beispiele zeigen: Unsere Unternehmens-IT ist sensibel und wir müssen handeln

Der Jahreswechsel ist die Zeit der Reflexion, auch in Sachen Unternehmens-IT. Und obwohl ich bewusst beruflich eine Auszeit genommen habe, haben mich doch einige Ereignisse, Trends und Nachrichten beschäftigt. Im Dezember war es die durch Log4j verursachte Sicherheitslücke, die noch dramatische Folgen haben kann, denn wir wissen nicht, in welchen Systemen derzeit unbemerkt Trojaner schlummern. Die Bedrohung für die Unternehmens-IT durch Log4j und damit verbundene Erpressungsversuche sind also bei weitem nicht vorbei und Unternehmen sollten sich weiterhin die Ratschläge von Domink Bredel zu Herzen nehmen (und zur Sicherheit immer noch ein Backup vor dem 1. Dezember 2021 vorhalten).

An Log4j ist nicht Open Source schuld

Diese Lücke wurde auch benutzt, um gegen Open-Source-Lösungen zu argumentieren und denen das Gerüchle anzuheften, diese seien nicht so sicher. Dabei sollte man doch wissen: Es gab und gibt genug Sicherheitslücken in proprietärer, geschlossener Software. Ist der Code offen, können zumindest theoretisch mehr Entwickler hinein schauen und Fehler beseitigen. Klar wurde durch Log4j natürlich, dass auch Open-Source-Lösungen nicht fehlerfrei sind und auch nicht sein werden. Ist dann entsprechender Code weit verbreitet wie im Falle Log4j, kann es eben entsprechende Auswirkungen haben, die in der Regel hoffentlich nicht so dramatisch sein werden.

Dass Software-Fehler leider- ich muss es so schreiben – zum traurigen IT-Alltag und damit zu unserer aller Alltag gehören, hat dann einmal wieder der Fehler in Microsoft Exchange zum Jahreswechsel demonstriert. Y2K22-Bug stoppt Exchange-Mailzustellung: Antimalware-Engine stolpert über 2022, titelt heise online. Einige Versionen des Exchange-Servers (2016 und 2019) lieferten zu Beginn des Jahres die E-Mails nicht aus, da ein falsches Datumsformat im integrierten Schadsoftware-Scanner nicht verarbeitet werden konnte. Der Fehler ist behoben, jedoch haben manche Server noch Schluckauf und es wird eine Weile dauern, bis sie alle E-Mails verdaut, sprich verschickt haben werden. Einmal mehr ein Indiz dafür, dass Systeme anfällig sind und wir von ihnen abhängen.

Ausfall von AWS legt nicht nur Disney+ und Netflix lahm

Gar nicht so sehr auf dem Radar hatte ich den Ausfall der Amazon Web Services Anfang Dezember 2021, von dem viele Unternehmen an der Ostküste der USA betroffen waren. Jedoch zeigt diese Störung exemplarisch, wie sehr Privatpersonen und Unternehmen von „der Cloud“, in diesem Falle dem Marktführer AWS abhängig sind. Plötzlich funktionierten Disney+, Netflix und die Geräte im Smart Home nicht mehr.

Doch wir befassen uns hier ja mit der Unternehmens-IT und dort mussten Firmen und Behörden feststellen, dass auch sie abhängig sind, selbst wenn sie glaubten, keine Verträge mit Amazon zu haben. Doch plötzlich liefen Trello oder Slack nicht mehr, eben weil diese Lösungen die Amazon Web Services nutzen.

Apropos Abhängigkeit von „der Cloud“: Meistens ist es eben nicht mehr eine Cloud, die Unternehmen nutzen.Wenn wir die Microsoft Office-Produkte im Einsatz haben, Trello oder Slack nutzen, auf SAP S/4 Hana migrieren oder andere Lösungen von HR bis zu den Lieferketten nutzen, haben wir als Unternehmen automatisch verschiedene Cloud-Anbieter im Einsatz, auch wenn es auf den ersten Blick nicht so wahrgenommen wird. Die Multi-Cloud ist heute meist schon Realität. Davon werden auch Unternehmen alleine aus Kostengründen nicht wegkommen. Einen Weg komplett zurück ins eigene Rechenzentrum ist wohl nicht mehr möglich. Stattdessen wird es eben die hybride Cloud-Welt geben, in der verschiedene Cloud-Anbieter sowie die Private Cloud im eigenen Data Center genutzt werden.

Herausforderungen für die Unternehmens-IT: Multi-Cloud, S/4 Hana, Cybersecurity

Alle beschriebenen Vorfälle zeigen, wie sensibel unsere kritischen IT-Infrastrukturen sind, wie schnell und konsequent wir oft reagieren müssen und wie viel Expertise wir beim Aufbau und vor allem dem laufenden Betrieb und dem Management der eigenen Unternehmens-IT benötigen. Cybersecurity ist vielleicht das Thema für 2022, der Aufbau und das Management einer hybriden Multi-Cloud bleibt neben der Migration auf SAP S/4 Hana, die bei vielen Unternehmen ansteht, auf der Agenda. Unternehmen werden sich darüber Gedanken machen müssen, wie sie in der Cloud-Welt möglichst unabhängig bleiben, Lösungen potentiell von einer Cloud in eine andere verschiebbar machen können. Sie werden sich damit befassen müssen, wie wichtig ihnen Ausfallsicherheit ist und was sie dafür bereit sind zu zahlen. Werden sie wirklich das Geld bereit stellen, um die kritischen Systeme in zwei oder gar drei Availability Zone zu betreiben?

Das alles sind besondere Herausforderungen in Zeiten, in denen IT-Fachleute krampfhaft gesucht werden, vom Sicherheitsexpertinnen und -experten bis zur Fachfrau und dem Fachmann für SAP. Ich wage die Prognose, dass Unternehmen und die Verwaltung externe Kompetenz und Partner ebenso benötigen, wie sie über neue Konzepte nachdenken sollten, um Kompetenz zu bündeln und gemeinsam zu nutzen, beispielsweise im Bereich Cybersecurity. Und die Fragen und Herausforderungen können nicht auf die lange Bank geschoben werden. Das haben die beschriebenen Vorfälle gezeigt.

Bild von Schäferle auf Pixabay

Stefan Pfeiffer
Stefan Pfeiffer

… arbeitet in Communications bei Kyndryl Deutschland, dem weltweit führenden Anbieter zum Management kritischer IT-Infrastruktur. Den gelernten Journalisten hat seine Leidenschaft für das Schreiben, Beobachten, Kommentieren und den gepflegten Diskurs nie verlassen. Diese Passion lebt er u.a. in seinem privaten Blog StefanPfeiffer.Blog oder auch als Moderator von Liveformaten wie #9vor9 – Die Digitalthemen der Woche und Podcasts aus. Digitalisierung in Deutschland, die digitale Transformation in der Gesellschaft, in Unternehmen und Verwaltung oder die Zusammenarbeit am modernen Arbeitsplatz sind Themen, die ihn leidenschaftlich bewegen.
Vor Kyndryl hat Pfeiffer in der IBM im Marketing in unterschiedlichen internationalen Rollen gearbeitet. Seine weiteren beruflichen Stationen waren FileNet und die MIS AG. Auf Twitter ist er als @DigitalNaiv „erreichbar“. 

Multi-Cloud: Darf es ein bisschen Cloud mehr sein?

Nach dem aktuellen State of the Cloud-Report von Flexera nutzen 92% der großen Unternehmen in Europa ein Multi-Cloud-Modell. Ein Großteil davon kombiniert eine oder mehrere Private Clouds mit einer oder mehreren Public Clouds zu einer Hybrid Cloud.

Diese große Zahl mag zunächst überraschen. Man muss aber bedenken, dass eine Multi-Cloud-Landschaft entweder strategisch gewollt ist, aber auch die Folge  einer fehlenden oder unklaren Cloud-Strategie sein kann. In letzterem Fall hat sich ein Teil der IT-Landschaft eines Unternehmens in eine Art Shadow IT verwandelt. Hier definieren und implementieren Fachbereiche ihre eigenen Standards. Die unternehmenseigene IT erscheint ihnen zu langsam oder nicht flexibel genug.

Multi-Cloud kann auch das Ergebnis eines Unternehmenszusammenschlusses sein. Oder es resultiert aus der Einführung von Office 365 und damit verbunden Azure, während bereits Anwendungen in AWS oder GCP laufen.

Im Schnitt nutzen die Unternehmen Cloud Services von zwei bis drei Anbietern.

Da Multi-Cloud die Realität für die meisten Unternehmen ist, ist es umso wichtiger, sich die Vorteile wie auch die Herausforderungen eines solchen Modells bewusst zu machen.

Häufig genannte Vorteile einer Multi-Cloud sind

  • Verringerter Vendor Lock-in, da man sich unabhängiger von einzelnen Anbietern macht.
  • Kostenvorteile oder erweiterte Funktionalität, da man Services dort beziehen kann, wo sie am günstigsten sind oder wo man die besten Features erhält.
  • Katastrophen-Vorsorge, für den Fall, dass ein Provider ausfällt.
  • Datenschutz, wenn Unternehmen aus Gründen der Datensicherheit Daten in gewissen Regionen halten müssen, die manche Cloud Anbieter unterstützen, andere jedoch nicht.

Der Vorteil der Kostenersparnis in einem Multi-Cloud-Modell lässt sich vermutlich am schwierigsten realisieren. Immerhin benötigt man redundante Netzwerk-Anbindungen an nicht mehr nur eine, sondern zwei oder mehrere Clouds. Zusätzlich benötigt man eventuell noch Anbindungen der Clouds untereinander. Die Aufteilung von Workloads auf mehrere Clouds führt unter Umständen zu schlechteren volumenabhängigen Rabattstaffeln bei den Anbietern. Der Entwicklungs- und Testaufwand steigt, da selbst bei der Verwendung von Terraform und Container-Technologien die Anwendungen auf die Gegebenheiten der unterschiedlichen Clouds angepasst oder zumindest parametrisiert werden müssen.

Aber auch die Katastrophen-Vorsorge in einem Multi-Cloud-Modell sollte man sich genauer betrachten.  Alle Cloud-Dienstleister bieten Disaster Recovery Szenarien innerhalb ihres eigenen Cloud-Verbundes. Diese sind erprobt und werden durch Technologie und Automatisierung unterstützt. Die Anbieter achten sorgfältig darauf, dass die verschiedenen Regionen keine gemeinsamen Komponenten teilen, die zum „Single Point of Failure“ werden können. In einem Multi-Cloud-Modell liegt diese Verantwortung dagegen beim Anwender. Es nützt wenig, seine Anwendung auf zwei Provider zu verteilen, wenn diese sich mit ihren Cloud-Rechenzentren im gleichen Gebäude angesiedelt haben oder eine gemeinsame externe Komponente, z.B. einen Netzwerk-Kontenpunkt, teilen.

Multi-Cloud-Modelle bringen aber noch weitere Herausforderungen mit sich

  • Erhöhte Anforderungen an die Mitarbeiter und damit Schulungsbedarf, um die Technologien mehrere Cloud-Anbieter bedienen zu können.
  • Management Overhead um Standards, Richtlinien und Verfahren für mehrere Cloud Anbieter zu erstellen und zu pflegen.
  • Die Verteilung von Daten auf mehrere Anbieter erhöht die potenzielle Angriffsfläche.
  • Funktionseinschränkungen, wenn man zur Vermeidung des Vendors lock-ins nur auf den kleinsten gemeinsamen Nenner an Funktionalität zwischen den Anbietern setzt.
  • Erhöhter Administrationsaufwand, Komplexität und Schnittstellen bei der Verwendung von operationalen Tools unterschiedlicher Anbieter.

Um die Herausforderungen zu meistern, bietet sich die Nutzung von entsprechenden Management-Plattformen an, die eine Abstraktionsschicht über die verschiedenen Clouds legen. Darüber hinaus können Service Provider (MSP), die sich auf Cloud Workload spezialisiert haben, bei der Umsetzung der Cloud-Strategie helfen.

Thomas Petzke
Thomas Petzke

Senior Solutions Architect, Kyndryl Deutschland GmbH

Kyndryl unterstützt ABN AMRO bei dem nächsten Schritt in eine moderne und digitale Zukunft

Unternehmen müssen aktuell mit der immer schneller voranschreitenden Digitalisierung Schritt halten – und gleichzeitig den Fokus auf höchste Sicherheit haben. Dies gilt besonders für den Banken- und Finanzsektor. Um aktiver Treiber in der digitalen Transformation zu sein, sollten Banken ihre IT-Infrastruktur modernisieren, um reaktionsschnelle, flexiblere und kundenfreundlichere Prozesse zu ermöglichen.

Die niederländische Bank ABN AMRO ist ein solcher Vorreiter: ABN AMRO hat zum Ziel, eine Bank zu sein, die ihre Kunden auch im digitalen Zeitalter umfassend berät und optimalen Service bietet.

Dazu modernisiert ABN AMRO gemeinsam mit Kyndryl und IBM sein IT-Betriebskonzept, um ihre hybride Cloud-Infrastruktur weiter auszubauen und einen agilen DevOps-Ansatz zu verwirklichen. Bei diesem Ansatz arbeiten Entwickler- und Operationsteams eng zusammen. Somit wird die bereits bestehende Zusammenarbeit von ABN AMRO, Kyndryl und IBM weiter ausgebaut.

„Wir freuen uns, dass wir die produktive und erfolgreiche Zusammenarbeit mit IBM und Kyndryl fortsetzen können.“
Jan van Groningen, Chief Technology Officer von ABN AMRO.

Die verschiedenen Aspekte der Digitalisierung

Für den Erfolg dieses Langzeitprojektes sind einige Punkte entscheidend.
Für eine agile und optimale Zusammenarbeit werden die Teams von Kyndryl und ABN AMRO ineinander integriert, um ein einheitliches Service-Modell zu  entwickeln. Dieses Service-Modell wird an die Plattformen der Bank angepasst, mit dem Fokus u.a. auf SaaS, Azure und den entsprechenden Cloud-Services. Darüber hinaus werden die bankeigenen Plattformen  optimiert, und ein einziges generalisiertes Tool-Set wird die Arbeit auf allen Anwendungen vereinfachen. Aktuelle On-Premise-Plattformen werden in eine private Cloud überführt, um doppelte Anwendungen zu vermeiden und somit einen noch besseren Kundenservice zu bieten.

Gemeinsam arbeiten Kyndryl und seine Partner an der Modernisierung der Anwendungen und an neuen Lösungen für die Bank-Plattformen. Auch die IBM Z-Hardware und -Software und IBM Cloud Pak-Lösungen tragen zur erfolgreichen und schnellen Transformation in Richtung Hybrid Cloud bei.

Eine jahrelange erfolgreiche Partnerschaft wird somit mit umfassenden  Zielen fortgeführt und ABN AMRO wird weiterhin ein Vorreiter und Treiber bei der sicheren digitalen Transformation in der Bankenbranche sein.