Normen und Standards für das Cloud Computing

IT-DIRECTOR: Herr Weiss, welche Standards für Cloud-Services haben sich hierzulande inzwischen flächendeckend etabliert?
A. Weiss: Der Begriff Standards für Cloud bietet viel Raum für Diskussionen, da es sich um einen – verhältnismäßig – neuen und agilen Trend handelt. Ende 2013 hat die European Telecommunications Standard Institute (ETSI) unter aktiver Beteiligung durch Eurocloud einen umfangreichen Bericht zu Cloud-Standards veröffentlicht. Zuvor gab es schon eine Trendstudie des BMWi über das Normungs- und Standardisierungsumfeld für Cloud Computing aus dem Jahr 2012.

Als besonders relevant ist mit Sicherheit Openstack zu nennen. Dieser Standard wird von zahlreichen Anbietern in ihren Cloud-Angeboten verwendet. Zudem bietet auch die Open Source Community über Apache Delta Cloud konkrete Lösungen und weitere vielversprechende Standadisierungsinitativen im Bereich von IaaS (DMTF IFV) und SaaS (Oasis Tosca). Aus Deutschland wäre die Initiative Interactive Cloud OS zu nennen, die ein quelloffenes Cloud-Betriebssystem auf Basis von Openstack anbietet.

IT-DIRECTOR: Wie gestaltet sich die konkrete Nachfrage der Anwenderunternehmen nach Cloud-Standards?
A. Weiss: Die Anwender haben großes Interesse an Standards. Zum einen möchte man dem „Vendor-Lock In“ entgegenwirken, also die Bindung an einen speziellen Cloud-Anbieter, zum anderen bestehen hohe Anforderungen an Portabilität und Interoperabilität. Die meisten Unternehmen nutzen Cloud-Services in hybriden Szenarien, also selbst geführte IT (on Premise) in Verbindung mit Cloud-Services in all seinen Varianten. Da besteht sofort der Bedarf, Daten zwischen den Anwendungen und Systemen beider Betriebsmodelle auszutauschen.

IT-DIRECTOR: Welchen Stellenwert besitzen Initiativen wie „Cloud-Services made in Germany“ oder „Trusted Cloud“?
A. Weiss: Wir vertreten grundsätzlich die Position, dass Cloud Computing international ist und in diesem Kontext auch die Initiativen der Eurocloud ausgerichtet sind. Ob das Label „Made in Germany“ nun gerade auf Cloud Computing anwendbar ist, ist daher für mich fraglich. Ob es wirklich „Made“ oder nur „Managed“ ist, wäre noch zu klären. Nur der Umstand, dass die Services aus Deutschland heraus nach deutschem Recht angeboten werden ist kein überzeugendes Qualitätskriterium. Wir haben mit dem Eurocloud Star Audit je auch Qualitätskategorie (3 bis 5 Sterne) zwischen 70 und 150 Kontrollanforderungen, um damit eine zuverlässige Bewertung durchzuführen.

Durchaus hervorzuheben ist, das Deutschland im Bereich Sicherheitstechnik gut aufgestellt ist und die Anbieter in Deutschland die Grundanforderungen für Datenschutz wesentlich besser kennen. Zur Vermeidung von Compliance-Fragen, insbesondere zur Datenhaltung kann es auch ein Vorteil sein, wenn der Anbieter seine Rechenzentren nur in Deutschland hat. Diese Anforderungen haben aber auch die meisten internationalen Anbieter verstanden und bieten die Option zur zugesicherten Datenhaltung in Deutschland oder Europa.

Die Initiative Trusted Cloud des BMWi hat einen guten Anschub geliefert und die richtigen Akzente gesetzt. Wenn wir die Relevanz von Cloud Computing für den deutschen Markt und die internationale Wettbewerbsfähigkeit betrachten, müsste da aber noch viel mehr geschehen. Gerade der deutsche Mittelstand würde in erheblichem Maße von vertrauenswürdigen Cloud-Angeboten mit besonderem Zuschnitt auf seine Bedürfnisse profitieren.

IT-DIRECTOR: Welchen Reifegrad besitzen derzeit quelloffene Cloud-Architekturen wie „Openstack“ oder „Cloud-Stack“?
A. Weiss: Allein der Umstand, dass IBM mit einer umfangreichen Developer-Community auf Openstack setzt und dies auch in seinem Blue-Mix-Angebot weiter forciert ist ein starkes Signal. Cloudstack unter der Regie von Apache Software Foundation wird durch Citrix ebenfalls stark unterstützt, ist aber noch relativ jung und dementsprechend ist die Community noch relativ klein. Aufgrund der Vielfalt der Herausforderungen ist Raum für mehrere Initiativen, die sich in unterschiedliche Richtungen entwickeln.

Eine besondere Herausforderung ist zum Beispiel die detailgetreue Abbildung komplexer Kundennetzwerke. Dies in Verbindung mit Software Defined Networking (SDN) wäre ein echter Zugewinn und muss durch Standards unterstützt werden.

IT-DIRECTOR: Inwieweit erfahren quelloffene Cloud-Architekturen Zuspruch seitens der Anwenderunternehmen?
A. Weiss: Das ist schwer abzuschätzen. Generell möchte der Kunde eine Entscheidungs- und Wechselfreiheit bei der Wahl des Providers. Allerdings ist zu berücksichtigen, je mehr Datenverarbeitung in der Cloud erfolgt, desto aufwendiger kann ein solcher Wechsel werden. Standards sind hier bestimmt höher zu bewerten als quelloffene Cloud-Architekturen. Wenn es allerdings um hochsensible Datenverarbeitung geht, hat die Frage von Einsehbarkeit des Quellcodes und Prüfung auf mögliche Sicherheitslücken einen anderen Stellenwert.

IT-DIRECTOR: Wohin werden sich Ihrer Ansicht nach Open-Source-Projekte wie Openstack, Cloud Foundry, Open Shift, Open Cloud oder Cloud-Stack in Zukunft entwickeln? Welche Anbieter werden hier die Vorreiterrolle übernehmen?
A. Weiss: Ich denke, dass es noch zu früh ist für eine Bewertung. Zunächst müssen die Bedürfnisse identifiziert werden und die damit verbunden Problemstellungen. Da kann eine bisher noch wenig beachtete Initiative mit guten Lösungsansätzen in kurzer Zeit eine ganze andere Aufmerksamkeit erhalten. Ich sehe zum Beispiel bei Oasis Tosca ein großes Potential in den kommenden Jahren. Die Portabilität von Daten lässt sich nicht nur auf der Ebene technischer Spezifikationen beschreiben. Es bedarf einer übergeordneten Methodologie, um die Überführung von Datenmodellen unter Einbeziehung relevanter Metadaten und im Sinne der Revisionssicherheit zu ermöglichen.

IT-DIRECTOR: Wie können Anwender bei der Vielzahl der quelloffenen Cloud-Initiativen noch den Überblick behalten? Und wie können sie die für ihre Zwecke richtige Initiative finden?
A. Weiss: Wie schon angemerkt, hat ETSI dazu eine erste Basis gelegt. Das Projekt startet bald in eine zweite Phase, bei der die Standards noch konkreter im Kontext verschiedener Anwendungszenarien klassifiziert werden. Wir sind dort aktiv eingebunden und werden die Ergebnisse ebenfalls publizieren und auch in Zukunft im Rahmen des Star Audit als Bewertungskritierium berücksichtigen.
Wir starten Anfang November die Kompetenzgruppe „Open Cloud“ bei der es genau um die vorgenannten Fragestellungen geht. Die Kick-Off-Veranstaltung findet am 6. November im Meeting Center De-Cix, Frankfurt statt.