Blitzschnell beim User

Bereits seit dem Jahr 2000 agiert das 1996 gegründete US-amerikanische Unternehmen F5 Networks in Deutschland. Weltweit zählt der Anbieter tausende Unternehmen zu seinen Kunden, wobei die Bandbreite von kleineren Mittelständlern bis hin zu großen Konzernen reicht. In Deutschland zählen dazu unter anderem AutoScout24, BMW, Commerzbank, Deutsche Post, Hewlett Packard, IBM  oder Neckermann sowie B.Braun Melsungen. Dabei verkauft man die Lösungen nicht selbst, sondern arbeitet mit einem umfangreichen Partnernetzwerk, darunter klassische IT-Dienstleister, Reseller oder Systemintegratoren zusammen.

Hinsichtlich der Produktpalette bietet der Spezialist für IT-Infrastrukturen zum einen modular ausstattbare Appliances „Application Delivery Controller“, wie auch die „Virtual Editions“, die sich auf herkömmlichen Servern und virtualisierten Servergrids einsetzen lassen. Zum anderen bringt man für die Optimierung spezifischer Anwendungsumgebungen wie zum Beispiel Microsoft Exchange, Sharepoint, Lync, Oracle und SAP  integrierte Lösungen auf den  Markt. „Die Forschung und die Entwicklung dieser Appliances übernehmen wir selbst“, erklärt Stefan Maierhofer. Im Gespräch mit IT-DIRECTOR berichtet er über besondere Herausforderungen bei der Bereitstellung von Anwendungen in modernen IT-Infrastrukturen und zunehmende Sicherheitsprobleme durch immer raffiniertere Hackerattacken.

IT-DIRECTOR: Herr Maierhofer, mit welchen Themen beschäftigen sich IT-Verantwortliche heutzutage?
S. Maierhofer: Mit „Bring your own Device“ schwappt gerade ein wichtiger Trend aus dem Privatnutzerumfeld in die Unternehmens-IT herüber. Privat genutzte Anwendungen werden nicht mehr lokal auf den Heim-PCs installiert, sondern als Webapplikationen bzw. als Apps genutzt, wie Facebook, LinkedIn oder Xing. Auf der Hardware selbst sind somit kaum noch Daten gespeichert und insbesondere mobile Endgeräte verarbeiten  keine große Applikationslogik mehr. Sollte ein Device nicht mehr funktionieren, kauft der User ein neues und innerhalb weniger Minuten ist seine gesamte Anwendungsoberfläche wieder installiert. Früher war es hingegen extrem aufwendig, bis man den neuen Windows-PC genauso konfiguriert hatte wie das Vorgängermodell.

IT-DIRECTOR: Welche Herausforderungen ergeben sich daraus für die Unternehmens-IT?
S. Maierhofer: Daten, Sprache und Bilder kommen auf einem Device zusammen. Arbeitet dieser User in einem Unternehmen, das noch klassische Legacy-Systeme in einem dedizierten Client-/Server-Umfeld nutzt, prallen zwei Welten aufeinander. Denn hier kommen PCs/Clients zum Einsatz, die eine fest vordefinierte Oberfläche besitzen. Zudem kann man sich in solchen Umgebungen nur über bestimmte Zugangspunkte ins Unternehmensnetz einwählen. In solchen Firmen findet man oftmals auch starre WAN-Netze vor, die ebenfalls nur beschränkten Zugang ermöglichen. Die Vorteile dieser traditionellen Infrastruktur: Die IT-Umgebung ist sehr gut kontrollierbar, performant und sicher.

Generell muss die Unternehmens-IT ihren Nutzern alle benötigten Applikationen schnell, performant, global und sicher zur Verfügung stellen. Um diesen Anforderungen zu entsprechen, werden vorhandene Anwendungslandschaften zunehmend modernisiert, wobei Technologien wie virtuelle Desktopkonzepte oder Shared Offices zum Tragen kommen. Damit arbeiten die Mitarbeiter flexibel zu jeder Tages-und Nachtzeit und ortsunabhängig genau mit den Applikationen, die sie brauchen.

IT-DIRECTOR: Bringt jeder Nutzer sein eigenes Endgerät mit, sehen sich die IT-Verantwortlichen einem Zoo an Devices und unterschiedlichen Betriebssystemen gegenüber. Lässt sich eine solche IT-Infrastruktur überhaupt noch effektiv verwalten?
S. Maierhofer: Das ist sicherlich schwierig. Deshalb werden die IT-Verantwortlichen die Nutzung privater Endgeräte niemals vollständig liberalisieren.  Aus diesen Gründen hat F5 das Konzept des strategischen Kontrollpunktes entwickelt. Platziert zwischen dem Nutzer und den abgerufenen Unternehmensressourcen, trifft dieser intelligente Entscheidungen, wie der Datenverkehr innerhalb Ihres gesamten Unternehmens verwaltet und geleitet werden kann. IT-Verantwortliche brauchen mehr Informationen als nur zu wissen, wer Zugang zu den Daten und Anwendungen hat. Um eine Anfrage schnellstmöglich und sicher bearbeiten zu können, spielt es auch eine Rolle, welches Endgerät dabei eingesetzt wird, welcher Netzwerktyp vorliegt oder auf welche Ressourcen zugegriffen wird. Wenn der Anwender auf eine bestimmte Ressource zugreift  oder ein lokales Programm startet, kann ihm eine anfängliche Endpunktüberprüfung die Art des Netzwerks und das Endgerät, sowie andere kontextuelle Metadaten übermitteln.

Mit dieser Information kann das System entscheiden, an welcher Stelle das auf die Anfrage am besten passende Rechenzentrum steht. Die Intelligenz einer vereinheitlichen Zugangslösung kann den Nutzer unmittelbar mit dem geeigneten Rechenzentrum verbinden und bietet dem Nutzer damit die optimalsten Resultate für seine Anfrage. Zusätzlich bedingen Identitäts-, Authentifizierungs- und Zugangskontrolle eine optimale vereinheitliche Zugangslösung. Diese beinhaltet darüber hinaus im Idealfall zentralisierten Web Single Sign-on, Zugangskontrolldienste und andere Wege, um individuelle richtlinienbasierte Zugangskontrollregeln einzurichten. All dies gibt Administratoren die komplette Kontrolle darüber, welche Ressourcen an welche Nutzer geleitet werden und erlaubt ihnen außerdem Zugangskontrolle, basierend auf dem Endgerät und der Identität – sogar bis zu einem spezifischen Ordnerpfad innerhalb der Webapplikation.

IT-DIRECTOR: Welche Rolle spielt dabei das sogenannte Application Delivery Networking?
S. Maierhofer: Mit dieser effektiven Form der Anwendungsbereitstellung entsprechen wir beiden Trends, nämlich der zunehmenden Endnutzer-Mobility sowie der App-Kultur, die eine flexible, ortsunabhängige Bereitstellung von Anwendungen erfordert.

IT-DIRECTOR: Wie funktioniert das im Detail?
S. Maierhofer: Es geht im Wesentlichen darum, dass Anwender bestimmte Applikationen nutzen müssen – dies können Mitarbeiter, Kunden oder Lieferanten sein. Diese Gruppen greifen von unterschiedlichen Lokationen (Intranet, Internet) und mit unterschiedlichen Endgeräten (PC, Laptop, Tablet, Smartphone, etc.) auf diese Anwendungen zu. Das Application Delivery Networking (ADN) übernimmt die Aufgabe, die Verfügbarkeit und den sicheren Zugriff auf diese Applikationen zu gewährleisten, verbunden mit einem maximalen Antwortzeitverhalten, also bei bester Performance.

IT-DIRECTOR: Was macht die Kontrolle dieser Wege so kompliziert?
S. Maierhofer: Bei Client-Server-Konzepten arbeitet man mit sehr diskreten Infrastrukturen, beispielsweise mit dedizierten WAN-Strecken. Möchte man in der Cloud die Mobilität der Endnutzer sicherstellen, verlässt man diese sicheren Netze und begibt sich ins Internet.

IT-DIRECTOR: Wobei Daten dort verschlüsselt übertragen werden ...
S. Maierhofer: Ja, allerdings ist das World Wide Web weder performant noch sicher oder gar kontrollierbar. Verschlüsselt man seine Daten nun zu einem hohen Grad , wird die Performanz deutlich beeinflußt und gedrosselt. Nutzt man statt einer herkömmlichen Ein- eine sicherere Zwei-Kilobyte-SSL-Verschlüsselung, sinkt die Performance um den Faktor 5. Derzeit sprechen Fachleute über künftige Verschlüsselungen mit vier Kilobyte. Dafürbräuchte man eine bis zu  20-fach höhere Performance, um die Entschlüsselung so schnell zu gestalten wie bei heutigen Verschlüsselungsverfahren. Gerade bei Voice over IP, Videokonferenzen oder 3D-Streams gestaltet sich dies schwierig, da enorme Rechenleistung benötigt wird. Auf solche Anforderungen hin muss die gesamte Infrastruktur verändert werden.

IT-DIRECTOR: Was teilweise die Netzbetreiber übernehmen?
S. Maierhofer: Genau. Sie verlegen im Moment wie verrückt neue Glaserfaserkabel, um den Durchsatz mit Ethernet-Technologien deutlich zu erhöhen. Aktuell nutzt man einen Ethernet-Standard mit einer Zehn-Gigabit-Performance; man experimentiert allerdings bereits mit Durchsatzraten von 40 und sicherlich bald über 100 Gigabit.Ebenso rüsten sie ihre Mobilfunknetzwerke massiv auf LTE Technologien, den technologischen Nachfolger von UMTS um.

IT-DIRECTOR: Zurück zur Application Delivery – wie gestaltet sich die Anwendungsbereitstellung beim Cloud Computing?
S. Maierhofer: Beim Cloud Computing stellt die Netzinfrastruktur die physische Autodatenbahn dar, während die Rechenzentren als reine Applikations- bzw. Datenfabriken fungieren. Um die erforderlichen Informationen sicher und performant zum Endanwender zu bringen, müssen bestimmte Schritte erfolgen. Hierfür nutzt man beispielsweise einen DNS-Server (Domain Name System) als sogenannten „Webadressübersetzer“. Darüber hinaus kommen Technologien wie Traffic Management und Load Balancing ebenso zum Einsatz wie Beschleunigungs- bzw. Komprimierungseinheiten, Netzwerk-Firewalls, Intrusion-Prevention-Systeme (IPS) oder Antivirenscanner. Zumeist setzen die Unternehmen hierfür Lösungen unterschiedlicher Hersteller ein. Dies erzeugt einerseits eine komplexe Infrastruktur, andererseits sehen sich die Verantwortlichen einem Sammelsurium an Hardware gegenüber. Die Herausforderung: Alle eingesetzten Lösungen müssen stets auf dem neuesten Stand gehalten und entsprechend verwaltet werden.

Überdies ist das Internet kein sicherer Ort, sondern birgt ein unglaublich hohes Kreativitätspotential für kriminelle Vorgänge. Kein Wunder also, dass der Weg vom Rechenzentrum hin zum Anwender äußerst holprig sein kann. Nicht zuletzt virtualisieren viele Unternehmen ihre Rechenzentren, vergessen aber, ihre Infrastrukturen entsprechend anzupassen und zu modernisieren.

IT-DIRECTOR: Wie greift der Nutzer auf die virtualisierte Welt zu?
S. Maierhofer: Jeder Anwender besitzt ein eigenes Nutzerprofil: Auf welchem Server, mit welcher Applikation, welchen Daten und welchem Endgerät darf der User arbeiten? Je mehr man virtualisiert, desto dynamischer und damit schwieriger gestaltet sich jedoch das Identitäts- und Zugangsmanagement, erst recht in einer Cloud-Umgebung.

Außerdem trifft man vielerorts auf hybride Umgebungen, in denen alte Legacy-Systeme und neue Cloud-Services gemeinsam verwaltet werden müssen. An dieser Stelle greift unsere Lösung BIG-IP mit einer integrierten Application Delivery and Control, die automatisiert eine Authentifizierung und Autorisierung der Nutzer vornimmt.

IT-DIRECTOR: Welche Sicherheitsfunktionen greifen dabei?
S. Maierhofer: Über die Authentifizierung hinaus wissen wir, welche Applikation der User in Abhängigkeit zu seinem Endgerät und seinem Standort nutzen darf. Greift er mit dem Firmenlaptop von zuhause aus zu, darf er alles. Erfolgt der Zugriff von einem Internetcafé aus, wird der Zugang eingeschränkt. Wir können exakt erkennen, mit welchem Device ein Nutzer zugreifen möchte und weisen ihm automatisch das entsprechende Berechtigungsprofil zu. Zudem merkt sich unsere Lösung, auf welche Weise der Nutzer mit einer Anwendung arbeitet. Wird er gehijackt und dadurch ein synthetischer User generiert, erkennt unsere Lösung diese Abweichung vom ursprünglichen Profil und schaltet den Nutzer ab.

IT-DIRECTOR: Apropos Highjacking – welchen Gefahren sehen sich IT-Verantortliche gegenüber?
S. Maierhofer: Anwendungen werden heute zunehmend als Webapplikationen zur Verfügung gestellt. Parallel dazu hat sich das Kreativitätspotential der Angreifer verändert. 75 Prozent aller Angreifer nutzen heute den Zugang an den Netzwerk-Firewalls vorbei, um direkt zur Applikation zu gelangen. Zu den Methoden zählen simples Phishing oder das sogenannte Web Scraping, wobei die Angreifer jeweils eine Applikation oder ein Portal blockieren, um gezielt Daten abzugreifen.

Web Scraping an sich besitzt zunächst keinen destruktiven Charakter. Vielmehr sammelt man damit nur die Informationen einer Webseite. Web Scraping nutzen etwa alle Suchmaschinen oder Portale, die Preis- oder Tarifvergleiche anbieten. Manche Unternehmen möchten jedoch nicht, dass die eigenen Webseiteninfos für das Geschäftsmodell anderer Firmen herhalten müssen. An dieser Stelle gilt es, das eigene geistige Eigentum zu schützen. Doch man kann sich gegen Web Scraping nicht nur rechtlich, sondern auch technisch wehren. Letzteres ist mit unserer „BIG-IP Application Firewall “ möglich.

Nicht zuletzt geht bei mobilen Endgeräten eine große Gefahr von „Application Highjacking“ aus. Vereinfacht dargestellt  hacken sich  Angreifer zum Beispiel  über eine offene Facebook-Sitzung in die parallel geöffnete Online – Banking Applikation eines Users ein und saugen sämtliche weiteren URL-Informationen bzw. Passwörter des Nutzers ab. Fatal, wenn man gerade eine Online-Überweisung fertiggestellt hat. Der User bemerkt nichts und wenig später hat der Hacker das Bankkonto leergeräumt.

IT-DIRECTOR: Wie schaffen Sie es, Highjacking zu verhindern?
S. Maierhofer: Hierfür nutzen wie besondere Verschlüsselungsmechanismen. Generell spielt eine Verschlüsselung den Hackern in die Hände. Denn verschlüsselte Daten werden grundsätzlich von der Netzwerk-Firewall durchgelassen. Ein Hacker nutzt dies aus, indem er seine Angriffe einfach verschlüsselt durchführt. Die Firewall lässt solche Dateien durch, der Server entschlüsselt sie und wird dadurch mit Schadsoftware infiziert. Schaltet man unsere Web Application Firewall  dazwischen, entschlüsselt diese nicht nur jede Datei, sondern sieht sich deren Inhalte genau an. Sind es Hackerattacken, wird die entsprechende Datei komplett geblockt.

Desweiteren häufen sich sogenannte Distributed-Denial-of-Service-Attacken (DDoS). Dabei werden die User von Bot-Netzwerken infiltriert. Das bedeutet, auf den betroffenen Rechnern wird unbemerkt Schadsoftware installiert, im nächsten Schritt werden virtuelle Communities gebildet. Solche Bot-Netze attackieren dann Webportale und erzwingen ihren Absturz. Herkömmliche Netzwerk-Firewalls können solche Attacken nicht abwehren, unsere Infrastrukturlösung hingegen fängt solche DDos-Attacken frühzeitig ab.

IT-DIRECTOR: Wie schafft sie dies?
S. Maierhofer: Die Hacker versuchen einen Dienst am Server zu kompromittieren, indem sie beispielsweise sehr viele Verbindungsaufbaupakete senden – und zwar ohne Unterbrechung und automatisiert. Je nach Leistungsfähigkeit des Servers kann er diese Anfragen abarbeiten oder auch nicht; auf jeden Fall sinkt die Performance. Bei einem Distributed Denial of Service (DDoS) wird diese Attacke vervielfacht. Hier kommen gleichzeitig tausende von Verbindungsanfragen, die nicht nur die Server komplett überlasten, sondern auch die sich davor befindlichen Netzwerk-Firewalls. Unsere BIG-IP kann mit mehreren Millionen gleichzeitig erlaubter Verbindungen sowie auch unerlaubter Anfragen umgehen – und geht also nicht in die Knie.

IT-DIRECTOR: Wie schnell amortisiert sich Ihre Infrastrukturlösung BIG-IP?
S. Maierhofer: Die Investition rechnet sich innerhalb von sechs bis 18 Monaten, wobei die Kunden dank des Konsolidierungseffekts vor allem operative Kosten sparen. Sie müssen weder die Produkte verschiedener Hersteller pflegen, noch die Mitarbeiter für unterschiedliche Systeme schulen. Die zugrundeliegende Idee: Man muss im heutigen IT-Betrieb schnell und flexibel auf sich verändernde Anforderungen im Geschäftsmodell reagieren können. Besitzt man eine statische Infrastruktur, sind solche Umstellungen sehr aufwendig. Es gibt Untersuchungen, dass etwa dreiviertel aller Aufwendungen – sowohl vom IT-Budget als auch von den Mitarbeitern – dafür verwendet werden , den Status quo aufrechtzuerhalten. Kann man das Verhältnis zugunsten von kreativen Aufgaben verbessern, etwa durch eine dynamische und flexible Infrastruktur, ist man reaktionsschneller und somit automatisch wettbewerbsfähiger.

IT-DIRECTOR: Kann man Ihre Lösung auf eine bestehende Infrastruktur aufsetzen?
S. Maierhofer: Bildlich gesprochen befindet sich unsere BIG-IP immer in der Mitte eines Kommunikationsdienstes – zwischen Server und Client. Durch die Sichtbarkeit aller Daten bis zum Applikationslayer kann die Lösung ein vielfältiges Regelwerk zur Effizienzsteigerung abbilden, was gemeinhin als „Context-Awareness“ bezeichnet wird. Eine Einbettung in Legacy-Virtualisierungsumgebungen und deren Managementsysteme (VMware, Microsoft, SAP, Oracle, etc.) ist immer möglich, unabhängig von der darunterliegenden IT-Infrastruktur.


Stefan Maierhofer
Alter: 52 Jahre
Ausbildung: Dipl. Wirtschaftsingenieur (FH in München)
Werdegang: 1984 – 1989 IBM Major Accountmanager Enterprise Customers,
1989 – 2001 Amdahl Major Accountmanager Enterprise Customers, Director Sales Area North, Director Sales Central Europe, 2001 – 2010 EMC Sales Director NAS Sales Central Europe, District Manager Enterprise Customers Germany South,  District Manager Sales Ger South, Director Sales Named Accounts Germany, Area Manager Enterprise Accounts Germany
Derzeitige Position: Senior Director für Zentral- und Osteuropa bei F5 Networks
Hobbys: Tauchen, Skifahren , Schallplatten sammeln