Fokus auf Cyber-Resilienz

Ob Klima oder Welthandel: Krisen haben die letzten Jahre geprägt. Aktuell dominiert Corona fast alle anderen Themen. „Eines hat sich dabei ohne Zweifel gezeigt: Wer zu Beginn der Pandemie digital gut auf­gestellt war, kam und kommt sehr viel besser durch diese anspruchsvolle Zeit“, schreibt der Bitkom in seinem Positionspapier zur Bundestagswahl 2021.

Dies ist ein Artikel aus unserer Print-Ausgabe 3-4/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Je digitaler, desto krisenfester ist Deutschland für die Zeit nach Corona aufgestellt, könnte man sagen. Oder mit anderen Worten: Je digitaler, desto besser! Neue Geschäftsmodelle, neue Wertschöpfung und damit letztlich auch die Unternehmen und die Jobs von morgen entstehen heute nicht mehr ohne digitale ­Fähigkeiten. Digitale Liefermodelle und innovative ­Technologie-Stacks bilden nicht nur die Basis neuer Geschäftsmodelle, sondern sorgen auch für Betriebs- und Kosteneffizienz.

Mehr Resilienz für Unternehmen „auf Distanz“

Das bedeutet: Digitale Technologien werden genutzt, um Geschäftsprozesse zu beschleunigen und alle Akteure im Markt zu stärken. Ziel jedes IT-Chefs muss es sein, sein Unternehmen zukunftsfest zu machen – und so agil und modern wie die Gesellschaft, in der es sich bewegt. „Hier ist vor allem Resilienz gefragt“, sagt ­Jacques Diaz, CEO von Axians Deutschland, im Interview mit DV-Dialog. Denn erkauft werden all die Vorteile der Digitalisierung durch neue Risiken.
Mit Resilienz meint Diaz weit mehr als nur Robustheit und Ausfallsicherheit. Ein IT-System ist dann resilient, wenn seine Funktionsfähigkeit bei Störungen oder Schwankungen nur wenig beeinträchtigt wird, wenn es zu keinen größeren Schäden kommt und wenn nach einer Störung schnellstmöglich wieder die volle Leistung zur Verfügung steht. Managed-Services und Cyber-Security-Lösungen verbessern die Widerstandsfähigkeit der IT – sprich die Zuverlässigkeit, Geschwindigkeit und Granularität bei Lastspitzen oder bei der Workload-Wiederherstellung nach Ausfällen. Hierbei kommt der Cyber-­Resilienz („safe-to-fail“) die Schlüsselrolle zu, da die bewährten, auf Robustheit und Fehler­toleranz setzenden Konzepte („fail-safe“) zu­sehends nicht mehr ausreichen.
Nachhaltig, souverän, resilient – das sind laut Diaz zunehmend die Vorgaben der Kunden, wenn es darum geht, ihre höchst individuellen Anforderungen an Infrastruktur und moderne IT zu erfüllen. Der Chef der Unternehmensgruppe Axians in Deutschland weiß, wovon er spricht. Mit einem ganzheitlichen ICT-Portfolio unterstützt die Tochter des französischen Konzerns Vinci Energies ja Unternehmen, Kommunen und öffentliche Einrichtungen, Netzbetreiber und Service-Provider bei der Modernisierung ihrer digitalen Infrastrukturen. Rund 1.900 Beschäftigte an 28 Standorten erwirtschafteten 2020 einen Umsatz von 511 Mio. Euro.

Herr Diaz, viele IBM-i-Anwender denken heute über die Modernisierung ihrer IT-Infrastruktur nach. Was sind die Stellen, an denen eine Investition die größten Fortschritte verspricht?
Jacques Diaz: Investitionen in Maßnahmen zur Infrastruktur-Modernisierung versprechen dann den größten Fortschritt, wenn sie zum einen die Geschäftsprozesse unterstützen oder zum anderen potenzielle Risiken minimieren. Beispiele für die Unterstützung der Geschäftsprozesse sind z.B. die schnellere Umsetzung von neuen Anforderungen aus dem Business oder höhere Transaktionsraten, um das Unternehmens­wachstum zu gewährleisten.
Wir sehen dies aktuell zum Beispiel bei ­Banken oder in der Medizinindustrie, wo wegen „Remote Work“ oder Produktion auf Volllast eine ausfallfreie IT-Infrastruktur überlebenskritisch ist. Die Geschwindigkeit der Server-basierten IT-Anwendungen ist hier neben einer performanten Netzwerkanbindung ein echter Fortschrittstreiber. Dazu kommen zukünftig ganz neue Szenarien der Künstlichen Intelligenz, die über Assistenten, Spracherkennung, Neuronale Systeme und vieles mehr die Art, wie Unternehmen arbeiten, sehr deutlich verändern werden. Hier werden wir Schritt für Schritt deutlich Innovationsschübe erleben.
Das Ausschalten potentieller Risiken ist bei der Modernisierung ebenfalls sehr relevant. Darunter fallen zum Beispiel Security- oder Service-Restriktionen für den Betrieb veralteter Infrastrukturen – oder auch knappes IT-Fachpersonal.
Die Einflussfaktoren auf Modernisierungs­entscheidungen müssen in jedem Fall aus der Geschäfts- und somit IT-Strategie der Unternehmen abgeleitet werden. Die Resilienz, also die Widerstandsfähigkeit von Geschäfts- und IT-Prozessen im „New Normal von Unternehmen auf Distanz“ wird dabei aktuell ein immer wichtigerer Faktor, der unbedingt zu beachten ist.

Warum sind immer noch IT-Anwendungen mit AS/400-Flair zu finden, obwohl die Plattform seit 1988 viele Innovationszyklen durchlaufen hat und mit modernen Webtechnologien und entsprechenden Schnittstellen längst in der Ära von Cloud Computing und Digitalisierung angekommen ist?
Diaz: Hier gibt es mannigfaltige Gründe, die wir auch bei unseren Kunden erkennen. IBM-i-­Systeme teilen sich dieselbe Hardware-Plattform mit den Betriebssystemen AIX und Linux. Die Hardware-Technologie ist führend bei Performance und Verfügbarkeit – und in der Entwicklung topaktuell. Das OS hat klare Vorteile dank des integrierten Software-Stacks mit Datenbank, ­Storage-Anbindung und Backup. Das ist ein Ansatz, den Sie heute bei Cloud-­Infrastruktur-Ökosystemen von AWS oder Microsoft sehen, in denen durch ­Microservice-Architekturen schnell verschiedene Anwendungsfälle abgebildet werden können.
Somit ist das „Alter“ der Plattform hier eher ein Zeichen für eine ausgereifte Lösung, die 1988 ihrer Zeit weit voraus war. Unsere Kunden schätzen die Stabilität und Verfügbarkeit dieser Systeme. Ein wirklich wichtiger Aspekt ist die auf den Systemen betriebene Software und der langfristige Support von IBM i – dieser Punkt spielt immer dann eine Hauptrolle, wenn Kunden sich für einen Plattformwechsel entscheiden.

Oft steht der IT-Chef vor der Entscheidung, bewährte Anwendungssysteme vorsichtig zu renovieren oder aber durch moderne Standardsoftware wie SAP S/4 Hana bzw. eine Neuentwicklung zu ersetzen. Kann Axians bei diesen komplexen Entscheidungsprozessen Hilfestellung leisten?
Diaz: Ja, selbstverständlich! Dies machen wir laufend für mehr als 150 Kunden in Deutschland, viele davon bekannte Marken oder Hidden Champions! Unser Geschäftsbereich „Business Applications & Data Analytics“ beispielsweise ist eines unserer strategischen Kerngeschäftsfelder; allein im dazu gehörigen SAP-Bereich begleiten mehr als 160 Experten die Kunden laufend.
Den Schwerpunkt setzen wir hier bei der Transformation hin zu S/4 Hana – und beantworten wichtige Fragen wie zum Beispiel: Wann genau startet man am besten? Wie wird dabei mit Eigenentwicklungen umgegangen? Welche Freiheitsgrade lässt man zu, wo wird es betrieben, wer macht die Applikationsbetreuung? Weitere Themen im SAP-Bereich sind „Landscape Management“, CX – kurz für „Customer Experience“ – und Service-/Asset-Management inklusive Field-Service-Management, auch mit unserem eigenen Produkt Neo Suite.
Gerade in Verbindung mit unserer Expertise bei RZ- und Cloud-Infrastrukturen bringen wir hier den Kunden nach vorn. Speziell Industrie-Unternehmen mit hoher Fertigungstiefe können hier angesichts der aktuell gewaltigen Innovationssprünge mit immensen Mehrwerten rechnen.

Könnten Sie bitte einmal aus dem Nähkästchen plaudern: Wann ist eine behutsame Renovierung die bessere Lösung – und wann „Rip & Replace“?
Diaz: Das hängt davon ab, wie eine behutsame Renovierung motiviert ist. Ist sie z.B. dadurch motiviert ist, dass die Altlösung nicht mehr unter S/4 Hana läuft, sollte man prüfen, ob es nicht von der SAP im S/4-Standard eine Lösung gibt, die ähnlich ausgeprägt ist, d.h. eine höhere Standardisierung wäre wohl die Folge.
Als Faustformel kann man sagen: Jede Lösung hat einen Lebenszyklus von fünf bis acht Jahren. Wird dieser überschritten, ist eine Neuentwicklung anzuraten, zumal preiswertere Betriebsmodelle (Cloud) und moderne User-Interfaces zusätzliche Benefits sind, die man nicht unterschätzen sollte.

Gibt es gelungene Beispiele für solche Modernisierungen, bei denen Axians mitgeholfen hat?
Diaz: Selbstverständlich! Beim größten deutschen Hersteller von Heizungen und Klimatechnik mit 12.000 Mitarbeiterinnen und Mitarbeitern haben wir eine Altlösung S/4-Hana-ready-gemacht und mit einem modernen UI ausgestattet, das auch auf Tablets und Smartphones läuft. Dies war wirtschaftlicher als eine komplette Neueinführung, da die Altlösung ein Maßanzug war, der engstens an der Wertschöpfungskette orientiert war. Heute verfügt dieser Hersteller über ein echtes Enterprise-Asset-Management und eine sowohl digitale als auch mobile Kundendienstlösung.
Bei einem sehr großen Haushaltsgerätehersteller haben wir eine alte Technologieplattform herausgelöst, die der Hersteller nicht mehr unterstützt hat. Für die Anwender ist das SAP-System gleich geblieben, da es auch hier ein „Maß­anzug“ war – aber wir haben dessen „Motor“ ausgetauscht. Bei aller Modernisierung ist die „Business Continuity“ des Kunden für uns immer ein entscheidender Treiber, gerade für die neue Zeitrechnung mit dem Fokus auf Resilienz.

Was sind Ihrer Erfahrung nach typische Stolpersteine für solche Modernisierungsprojekte, die der IT-Chef am besten vor Projektbeginn aus dem Weg räumen sollte?
Diaz: Viele Geschäftsapplikationen für Anwender stammen noch aus der Zeit von Desktop-PCs und Notebooks. Diese Applikationen sollen nun plötzlich auch auf Tablets und Smart­phones laufen. Die Device-Strategie wird oft zu spät berücksichtigt. Außerdem beraten wir immer wieder beim Blick auf die Support-Zyklen von Hard- und Software; auch bei Cloud-Services muss dieses Thema unbedingt mit betrachtet werden. Ich erinnere mich noch gut an ein komplexes SAP-Infrastruktur-Modernisierungsprojekt, bei dem eine perfekt gelaufene ­Migration bei der Inbetriebnahme an einem alten Zertifikat zu scheitern drohte. In Co-Creation mit unseren Kunden achten wir daher im Scope von Modernisierungsprojekten auf jedes Detail und werben für einen „Quality first“-Ansatz.

Werden die Anwendungen modernisiert, steht meistens auch die Modernisierung der IT-Infrastruktur ins Haus. Wie sollte der IT-Chef hier die Prioritäten setzen?
Diaz: Er sollte prüfen, welche Betriebsmodelle es gibt. Früher hatte der IT-Chef ja nur die Wahl zwischen On-Premises-Betrieb und Hosting- bzw. Outsourcing-Partner. Heute ist die Welt viel „bunter“. Cyber-Security-Aspekte gewinnen immer mehr an Bedeutung, da die Anzahl und die Vielfalt der Angriffe steigt.
Deshalb ist es wichtig, hier einen fähigen Beratungs- und Betriebspartner zu haben. Wir ergänzen hier gerade unsere nationalen Security Operations Center (SOC) um einen großen internationalen SOC-Hub in Basel. Hier profitieren unsere Kunden von der Expertise unserer über 300 Security-Experten, die ihre IT-Infrastrukturen und -Anwendungen mit Hilfe von Schwachstellen-Scans, Pentests und Incident-Monitoring im Managed-Service absichern.
Und schließlich bleibt natürlich Frage: Was sollte der Kunde unbedingt selbst machen, was ist Kernkompetenz und was lässt sich herausgeben an einen Partner, der dies mutmaßlich preiswerter und besser erledigen kann, da es sein Fokusthema ist.

Woran erkenne ich heute ein Rechenzentrum, das State of the Art ist – sowohl mit Blick auf die Technik als auch auf das Betriebsmodell?
Diaz: Auf diese Frage gibt es nicht die eine Antwort, denn die ist stark abhängig vom IT-Service­modell des Kunden, von den ­definierten Zielen und von Projekten, die den eigenen Geschäftserfolg unterstützen.
Abstrahiert können wir festhalten, dass ein RZ immer dann State of the Art ist, wenn die Stabilität bzw. der Service-Level gewährleistet ist, neue Anforderungen schnell und flexibel umsetzbar sind, Sicherheitsrisiken minimiert sind und das Betriebsmodell weitestgehend standardisiert ist.
Ein wichtiger Treiber für viele Kunden wird zunehmend der Umweltaspekt, z.B. bei der Messung der CO2-Bilanz oder von Strom- und Flächenverbräuchen. Ein modernes RZ zeichnet sich durch eine mess- und belastbare ­Strategie auch in diesem Bereich aus. Wir haben deshalb mit Infrastruktur-Partnern wie Equinix sehr interessante Gesamtlösungen im Angebot, die sowohl den CO2-Fußabdruck unserer Kunden messbar senken als auch die Energiekosten optimieren. Selbst „grüne“ IT-Service-Provider wie Windcloud zählen bereits zu unseren Kunden; wir unterstützen ihre CO2-neutrale ICT-Strategie mit entsprechenden Lösungen und Methoden.

IBM-i-Anwender betreiben die IT-Infrastruktur heute oft noch selbst. Unter welchen Voraussetzungen sollten sie bei diesem Modell bleiben – und wann sollten Sie über Cloud Computing und/oder Managed-Services nachdenken?
Diaz: Unsere Erfahrung zeigt, dass Managed-Service-Kunden aus drei Gründen die Verantwortung in unsere Hände legen.
■ 1. Die eigenen IT-Mitarbeiter sollen sich primär um Projekte und Weiterentwicklungen kümmern – und nicht um den Betrieb der Infrastruktur.
■ 2. Der Mangel an Fachkräften mit dem ­speziellen Skill für IBM i nimmt zu.
■ 3. Flexible Abrechnungsmodelle ersetzen fixe Investitionen im Lifecycle.
Tatsächlich sollte sich jedes Unternehmen die Frage beantworten, welche Kernkompetenz die IT-Abteilung haben soll. Fällt der Betrieb von Infrastruktur nicht darunter, dann können Kunden auf unsere starke Expertise zählen. Speziell im IBM-i-Umfeld haben wir im DACH-Raum mehr als 100 Kunden – und unser Team ist auf dem aktuellsten Stand der Technik, um diese effizient und professionell zu betreuen.

Wie kann der IT-Chef den Übergang von klassischen IT-Betriebsmodellen zu Managed-Services so gestalten, dass er möglichst reibungslos gelingt?
Diaz: Zu allererst braucht es Vertrauen! Vertrauen in seinen IT-Dienstleister und MSP. Vertrauen basiert natürlich auf emotionalen Faktoren, sollte aber unbedingt auch die Fakten beachten. Welcher MSP hat eine sehr gute Bewertung von seinen Kunden und die entsprechenden Zertifizierungen? Unabhängige Studien wie „IDG Managed Service Provider 2021“ geben hier ein gutes Bild.
Außerdem stellt sich die Frage: Welcher MSP beherrscht wirklich alle relevanten technischen Handlungsfelder. Anders als im Aktien­depot ist hier eine Risikostreuung keine gute Option, da immense Prozessbrüche und Schnittstellenverluste drohen. Besser ist es auf einen ­Managed-Service-Partner zu setzen, der Kompetenzen für Data Center & Cloud, SAP-Lösungen, Breitbandanbindung, Cyber-Security, Business-Applications und das Unternehmensnetz aus einer Hand bieten kann.
Zu guter Letzt braucht es nicht immer gleich den ganz großen Wurf. Gehen Sie mit einem Core-ICT-Service in die Transition und testen Sie ihren MSP in verschiedenen Kompetenz­feldern, nicht nur da, wo sie schon um seine Stärken wissen. Wichtig ist natürlich auch immer eine andere finanzielle Betrachtungsweise und SLA-basierte Investitionsplanung. Managed-­Services-Verträge entlasten IT-­Abteilungen und die Unternehmensbilanz zwar von hohen fixen Technologie-Investitionen, erfordern dabei aber eine langfristige Planung der gemeinsamen „Managed Services Factory“. Zertifizierungen wie ISO 9001 und ISO 27001 bringen zusätz­liche extern geprüfte Qualitäts- und Informations­sicherheit für Kunden.

Könnten Sie das vielleicht einmal am Beispiel „Cyber Security“ deutlich machen, das ja gerade in Zeiten von Homeoffice ganz neue Brisanz gewonnen hat?
Diaz: Bei einem deutschen Flughafen mit IT-Anwendern im Terminal, Shops und in der Verwaltung vor Ort und im Home Office haben wir in einem Scan für den Kunden mehr als 2.000 nicht gemanagte Cloud-Services gefunden.
Das ist klassische Schatten-IT, die unglaubliche Risiken für die Betriebssicherheit mit sich bringt. Auch bei Energieversorgern haben wir moderne Netzleitstellen mit entsprechender Server­technik sowie einer zuverlässigen Netzwerk- und Firewall-Infrastruktur implementiert. Dabei haben wir auch komplexe Wünsche wie die Anpassung der Firewall-Software an spezifische Leitstellen-Anforderungen realisieren können.
Insgesamt gibt es einen großen Druck auf die IT-Manager, den eignen Service-Katalog stetig zu erweitern und Security-Policies wirksam zu etablieren. Mit unserem neuen internationalen Security Operations Center in Basel gehen wir nun rechtzeitig den nächsten Schritt, da die Nachfrage nach Managed-Cyber-Security-Services für IT & OT bis 2024 sprunghaft ansteigen wird.

Herr Diaz, vielen Dank für das Interview!

Bildquelle: Sarah Jauch