INTERVIEW MIT DEM CLOUD EXPERTEN
Frank Freitag über
businesskritische Daten in der Cloud
Frank Freitag ist Spezialist für Cloud-Software-Systeme und individuell entwickelte SAP-Lösungen. Er war von 1989 bis 2020, also 31 Jahre, in unterschiedlichen Bereichen und Funktionen bei der SAP tätig. In dieser Zeit hat er als Programmierer, Berater in den USA und Entwicklungsleiter sein Know-How im Bereich Cloud Computing und Software-Architektur eingesetzt.
Bei SEQUELLO lässt er sie als selbstständiger Berater in unsere Baulogistik-Plattform einfließen. Mit ihm klären wir die Frage, wie vertrauenswürdig Cloud Software vor dem Hintergrund business-kritischer Anwendungen ist und welche Vorteile sie bietet.
Frage (F): Frank, bevor wir uns mit den Sicherheitsaspekten und den Vorteilen von Cloud Solutions auseinandersetzen. Kannst du uns einen kurzen Einblick in dieses Thema geben.
Antwort (A): Der Markt rund um Cloud Lösungen entwickelt sich rasant. In vielen Bereichen ist der Anteil von Cloud Anwendungen höher als bei On-Premise Lösungen. (= Software und Solutions, die im Firmennetzwerk betreiben werden, Anmerkung)
F: Welche Anwendungsfälle können über Cloud Lösungen abgedeckt werden?
A: Im Prinzip kann man hier drei Bereiche unterscheiden. Bei Infrastructure-as-a-Service (IaaS) lagert man einzelne Funktionen der eigenen Infrastruktur aus. Dienste wie One Drive oder Google Drive sind Beispiele für IaaS.
PaaS-Anbieter (Platform-as-a-Service) stellen eine Entwicklungsumgebung im Internet bereit. Die SAP Business Technology Platform (SAP BTP), auf der SEQUELLO basiert, fällt in diese Kategorie.
Der dritte Anwendungsfall Software-as-a-Service (SaaS) bezeichnet Software, die vom Anbieter entwickelt und betrieben, und über das Internet genutzt wird. SEQUELLO fällt zum Beispiel darunter, aber auch Google Mail und viele andere Anwendungen.
F: Wie sicher sind die Daten in den unterschiedlichen Anwendungsfällen?
A: Die kurze Antwort: Daten sind in der Cloud sehr sicher. Gerade im wirtschaftlichen Kontext, wo viele sensible Daten gespeichert und verarbeitet werden, haben Cloud Solutions einen Vorteil gegenüber der On-Premise-Nutzung. In den vergangenen Jahren hat die Cyber-Kriminalität enorm zugenommen. Kommunen, Krankenhäuser und viele KMU’s waren davon besonders betroffen und wurden mit gestohlenen Daten erpresst. In diesen Bereichen fehlen oft die Ressourcen, um mit der Entwicklungsgeschwindigkeit der Security-Technologie mitzuhalten, weshalb die Angreifer oftmals relativ leichtes Spiel haben.
F: Also ist die Sorge, dass Daten in der Cloud unsicher seien, völlig unbegründet?
A: Eine 100 %-ige Sicherheit gibt es natürlich nie. Wenn man jedoch betrachtet, welche Summen Unternehmen wie Google, Microsoft, AWS (Amazon, Anmerkung) oder eben auch die SAP auf sich nehmen, um ihre Rechenzentren, Server sowie Services abzusichern, muss klar sein, dass einzelne Unternehmen, da nicht mithalten können. Daher bietet eine Cloud Lösung einen wesentlich besseren Schutz gegenüber der On-Premise-Variante.
F: Mir ist jetzt klar, von außen wird es unbefugten extrem schwer gemacht, Daten in der Cloud einzusehen. Aber wie ist das mit den Cloud Providern: Wie wird sichergestellt, dass sie keine Daten einsehen?
A: Es gibt unterschiedliche Audits und Zertifikate von externen Prüfunternehmen, die sich genau darum kümmern, dass die Daten auch vom Betreiber nicht missbräuchlich verwendet werden. Im Falle der SAP kann man sich im Detail im Trust Center informieren, welchen externen Prüfungen sich das Unternehmen unterzieht und welche Zertifikate erworben wurden. Natürlich kann es vorkommen, dass zu Supportzwecken befugte Mitarbeiter Einblicke das Kundensystem nehmen, aber immer nur auf Basis eines Tickets. Der Zugriff und die Handlungen des Support-Mitarbeiters, werden dabei immer dokumentiert. So wird auch in diesem Fall darauf geachtet, dass alles mit rechten Dingen zugeht.
F: Welche Vorteile bietet die Nutzung von Cloud Lösungen neben dem guten Sicherheitslevel noch?
A: Da die Cloud-Dienste über das Internet betrieben werden, kann der User ortsunabhängig auf Daten zugreifen oder die Software nutzen. Sie sind 24/7 nutzbar und auch zu +99 % der Zeit verfügbar, weil es kaum zu Wartungsausfällen kommt. Es gibt sogar Systeme, die mit Zero-Downtime arbeiten, und immer 100 % einsatzbereit sind.
F: Wenn wir die Situation bei SEQUELLO betrachten, wie funktioniert hier der Schutz von sensiblen Daten?
A: Die Verarbeitung findet über die SAP Cloud statt. Jeder SEQUELLO-Kunde wird über eine private Schnittstelle (API) angebunden. Diese Schnittstellen sind nach den neuesten Sicherheitsstandards abgesichert (OAuth 2.0, Anmerkung), und sie definieren, welche Daten darüber abgerufen werden können. Im Gegensatz zur öffentlichen API kann sich nicht jeder x-beliebige Anwender an das System anbinden, und der Zugriff fremder Anwender ist damit unterbunden.
Neben den Schnittstellen gibt es noch ein ausgeklügeltes Berechtigungs- und Rollensystem. Die Funktion des “Datentrenners” nimmt dabei die Firmengruppe (= die Bezeichnung für den SEQUELLO Kunden im Netzwerk, Anmerkung) ein. Jeder User ist einer Firmengruppe zugeordnet, und kann ausschließlich ihre Daten einsehen. Somit wird sichergestellt, dass auch innerhalb der Baulogistik Plattform keine fremden Daten eingesehen werden können.