«Die Cloud» gibt es nicht

Was ist Cloud überhaupt? Und weshalb sind nicht alle Clouds gleich? Ein Überblick zur Schaffung von Klarheit.

Aktuell ist das Thema Cloud wieder in aller Munde, an vielen Stellen stehen Entscheidungen an. Für das Abschätzen dieser Auswirkungen auf Individuum, Wirtschaft und Gesellschaft ist Klarheit unabdingbar. Deshalb beginnen wir heute eine kleine Serie, die Verständnis schaffen und mit Missverständnissen aufräumen soll.
(This article is also available in English 🇬🇧.)

Nicht alles in einen Topf werfen

«Die Cloud ist nur der Rechner von jemand anderem,» sagt das geflügelte Wort. Wie wir nicht alle unsere eigenen Rechner in einen Topf werfen, sondern zwischen Handy oder Laptop, Privat- oder Arbeitsplatzrechner und vielen anderen unterscheiden, so sollten wir auch nicht alle Clouds in einen Topf werfen.

Denn auch diese Cloud-Rechner können ganz unterschiedlich mit Hardware, Software und Services ausgestattet sein. Zum einen gibt ihnen das ganz unterschiedliche Eigenschaften. Zum anderen sind aber auch unterschiedliche Mechanismen nötig, wenn es darum geht, aus «irgendeine Cloud» eine sichere, performante oder zuverlässige Cloud zu bauen oder anzuwenden.

Differenzierung

Welche Kriterien können wir für die Differenzierung der Cloud zu Rate ziehen?

Aus technischer Sicht können wir grob eine Dreiteilung vornehmen:

• Storage: Besteht die Aufgabe primär im Aufbewahren von Daten (so ähnlich wie eine Festplatte)?
• Compute: Oder stellt sie primär Rechenleistung zur Verfügung (vergleichbar zu dem Rechner unter dem Schreibtisch)?
• Network: Oder geht es etwa hauptsächlich darum, Daten im Internet herumzuschieben?

Wir können aber auch das Abstraktionsniveau bzw. die Menge an Serviceleistungen anschauen, die mit dem Angebot kommen:

• Niedrig (nahe an der Hardware): Bekommt die Kundin (z.B. eine Firma) hauptsächlich eine Festplatte, einen Prozessor bzw. eine Netzwerkkarte, ohne dass sie diese bei sich in den Rechnerraum stellen muss? Können die Administratorinnen der Kundin darauf jedes Bisschen selbst einstellen kann, jedes Stück Software und Hardware selbst konfigurieren? Haben sie volle Freiheit bei voller Verantwortung, der Traum aller Hard-Core-Techies?
• Hoch (die Hardware ist unsichtbar): Oder bemerken die Kunden gar nicht, dass da irgendwelche Hardware dahinter ist und können einfach eine fertig konfektionierte und konfigurierte Software nutzen? Wie zum Beispiel ein „automatisch funktionierendes“ Office-Paket oder eine Buchhaltung? Keine Updatesorgen, aber dafür auch weniger Einstellungsmöglichkeiten (und auch weniger die Notwendigkeit dazu).

Beispiele

Zwischen allen Kategorien besteht ein fliessender Übergang, was auch die Abgrenzung häufig schwierig macht. Wahrscheinlich wird deshalb (und auch aus Marketingzwecken) häufig einfach alles in den «Cloud!»-Topf geworfen.

Strukturieren wir das anhand einiger beispielhafter Produkte und Kategorien. (Übrigens sind diese Kategorien bei weitem nicht so scharf voneinander abgetrennt, wie in der Grafik, sondern zerfliessen selbst eher wie Wolken.)

• Filehosting: Für viele dürfte der erste Kontakt mit Cloud über „Cloud Storage“-Provider wie beispielsweise Dropbox, iCloud, Google Drive oder Microsoft OneDrive gewesen sein. Da legt man seine Daten ab und kann sie später wieder holen oder mit anderen Personen teilen. Es geht hauptsächlich um Datenspeicherung und wir sehen nichts von den Tausenden an Rechnern und Festplatten oder SSD, sondern nur die Software und den Dienst.
• Infrastructure as a Service (IaaS, „vServer“, „Rootserver“, virtuelle Maschine): Hier dreht sich alles primär um den Computer selbst. Anstelle selbst einen Server auszuwählen und zu kaufen, konfiguriert die IaaS-Kundin einen Rechner online und definiert Leistungsfähigkeit des Prozessors, Menge des Hauptspeichers, Grösse/Geschwindigkeit der Festplatte/SSD und Anzahl/Geschwindigkeit der Netzwerkkarten völlig selbst. Im Gegensatz zur Hardwarebestellung ist dieser virtuelle Cloud-Rechner sofort verfügbar, man kann direkt das Betriebssystem konfigurieren und die Anwendung installieren.

• Content Delivery Network (CDN): Hier haben wir eine netzwerkbasierte Dienstleistung bei mittlerer Abstraktion: Es ist klar, dass irgendwo Rechner über die Welt verteilt sind, aber die kümmern sich (aus Sicht der Kundin) so ziemlich automatisch darum, Webanfragen schneller zu machen und die eigenen Server dahinter zu entlasten. Der CDN-Anbieter tut dabei so, als ob er die Kundin sei: Es sieht so aus, dass das CDN die eigentliche Webseite ist, auch wenn das CDN gewisse Anfragen an den weiterhin von der Kundin selbst betriebenen Webserver im Hintergrund weiterleitet. Das CDN bekommt so alles mit, was ursprünglich an den Webserver der Kundin ging: Seitenanfragen, IP-Adressen, Inhalte von Kontaktformularen, … Im Gegenzug reduziert das CDN die Anzahl Anfragen und erhöht die Geschwindigkeit aus Sicht der Nutzer. Dadurch kann das CDN auch einige der Versuche entschärfen, wenn ein Angreifer den ursprünglichen Webserver der Kundin überlasten möchte (DDoS Protection).
• High-Performance Computing (HPC/Grid)-Lösungen gibt es für viele Wissenschaftler, wie beispielsweise für die Teilchenphysik oder die Wettervorhersage. Die dafür nötigen Ressourcen werden meist gemeinsam von vielen Forschergruppen und der öffentlichen Hand getragen und administriert. Besonders beliebt sind diese Ressourcen bei Wissenschafterinnen, welche Teile der Welt simulieren wollen: Physikerinnen die Eigenschaften von neuen Materialien, ohne sie zuerst herstellen zu müssen; Biologinnen das Zusammenspiel von Proteinen, da echte Beobachtungen dort sehr schwierig sind; Chemikerinnen den Ablauf von Reaktionen verstehen; Ingenieure die Stabilität von Konstruktionen vergleichen uvam. Auch Wettervorhersagen oder die Analyse der Teilchenkollisionen im CERN werden mit Rechnern vorgenommen, die häufig nicht vor Ort stehen. Dies ist einer der wenigen Bereiche, bei denen das Abstraktionsniveau sich stark unterscheiden kann: Für die Wettervorhersage bekommen die meteorologischen Institute der Länder fertige Software zur Verfügung gestellt (hohes Abstraktionsniveau) während einzelne Wissenschaftler aus Universitäten ihre vollständig eigenen Softwarepakete entwickeln und installieren.
• Office-Pakete wie die Angebote von Microsoft oder Adobe kombinieren Speicherung, Verarbeitung und Übermittlung in etwa gleichen Massen und lassen den Nutzer vergessen, dass es sich um den Rechner von jemand anderem handelt.

Gründe für Cloudanwendungen

Wieso setzt jemand auf Cloud statt auf eigene Rechner? Hier ein paar mögliche Gründe:

• Anschaffungskosten: Die Rechner müssen nicht selbst beschafft werden. Es fallen also keine Initialkosten an, dafür aber laufende Kosten. Im schnelllebigen Business kann das ein entscheidender Vorteil sein.
• Aufwand und Automatisierung: Die Kundin muss sich nicht selbst um das Einrichten des Servers oder der Software kümmern, das übernimmt der Cloud-Anbieter. Dieses Argument zählt vor allem bei kleinen und technisch wenig affinen KMUs. Bei grösseren Firmen, den Kantonen oder dem Bund mit relativ viel IT-Bedarf, einer gewissen Einheitlichkeit und Standardisierung wiegt das oft weniger schwer, besonders für Kernprozesse.
• Know-How: Es ist auf den ersten Blick weniger In-House-Know-How notwendig. (Dies kann sich aber auch als Bumerang herausstellen, wenn man irgend nicht einmal mehr das Know-How hat, vernünftige IT-Entscheide zu fällen, und sei es nur die Wahl der zu kaufenden Produkte oder der zu beauftragenden Entwicklungen.)
• Sicherheit: Ein Teil dieser Automatisierung und des Know-How-Poolings wird auch für die Überwachung der Sicherheit eingesetzt, insbesondere bei den Anwendungen mit höherem Abstraktionsniveau. Dies scheint aber vielen Cloud-Kundinnen das Gefühl zu geben, dass sie sich selbst nicht mehr um Sicherheit kümmern müssten. Nur so ist erklärbar, wieso einige der grössten Datenlecks der letzten Zeit durch unzureichend geschützte Cloudspeicher oder -datenbanken entstanden: Es wurde schlicht vergessen, ein Passwort zu setzen bzw. die Daten als schützenswert zu deklarieren.
• Teilen der Kosten: Dadurch, dass die Infrastruktur zwischen vielen Nutzern geteilt wird, entstehen Synergien. Wenn man es gerade nicht braucht, kann es für andere eingesetzt werden. Solange nicht alle Nutzer gleichzeitig viel Bedarf haben, kann die Gesamt-Infrastruktur geringer ausfallen als die Summe der für jeden Einzelnen individuell benötigte Infrastruktur.
• Skalierung: Ein beliebtes Argument der Anbieter: Sie als Kundin zahlen nur soviel, wie sie nutzen. Und wenn Sie mal mehr brauchen, sind wir für Sie da. Auch hier gilt dies insbesondere für KMUs. Bei grösserem Bedarf (Grosskunden) ist der Spielraum häufig auf ein paar wenige Prozentpunkte nach oben oder unten eingeschränkt, weil auch der Cloud-Anbieter selbst nicht beliebig viele Reserven hat. Falls die Verträge mit Grosskunden dann doch signifikante Spitzen erlauben, sind die Zusatzkosten dafür oft auch prohibitiv hoch.
• Schnelles, zuverlässiges Internet: Hinter einer Modemleitung sollte man keinen Server betreiben. Auch wenn der Glasfaseranschluss am Firmenhauptsitz ausreichend Kapazität hat, die Cloudanbieter haben mehr Möglichkeiten, sich mittels Redundanz gegen Ausfälle zu schützen als die meisten KMUs.
• Es geht nicht anders: Der Hersteller bietet seine Software nur als Cloudlösung an. (Beispielsweise erlaubt das sehr einfach Abolösungen, die zu kontinuierlichen, planbaren Einnahmen führen.) Dieser Lock-In kann manchmal auch teuer werden.

Schlussfolgerungen

Nicht alles, was unter «Cloud» verkauft wird, sollte in einen Topf geworfen werden, sondern man sollte die Eigenschaften kennen, inklusive der Risiken und Nebenwirkungen. Nur so kann man die richtigen Fragen stellen und solide Entscheidungen fällen: Für sich selbst, für die Firma oder unsere gesamte Gesellschaft.

Cloud-Entscheidungen hängen immer auch davon ab, wo die Cloud in den eigenen Prozess einfliesst, aber auch, wie viel IT-Know-How bereits innerhalb der Organisation existiert. Je nachdem kann man einen Grossteil der Vorteile der Cloud auch In-House mit standardisierten Werkzeugen erreichen (Open Source oder kommerziell) und behält dann seine Souveränität, was insbesondere auch die letzten Jahre gezeigt haben, innerhalb und ausserhalb der IT.

Wer über Cloud Entscheidungen fällt, sollte natürlich zuallererst seine Bedürfnisse bzw. Anforderungen kennen. Aber das gilt eigentlich für alle Entscheidungen, auch wenn dies im IT-Bereich am einfachsten vergessen geht.

Anhang

Weiterführende Informationen

• The NIST Definition of Cloud Computing: NIST SP 800-145, September 2011, englisch.
  Auf zwei Inhaltsseiten Kurzdefinitionen für die notwendigen Charakteristiken (Selbstbedienung, Netzwerkzugang, Ressourcenteilung, Anpassungsfähigkeit, nutzungsabhängige Bezahlung), Servicetiefe („Service model“: SaaS, PaaS, IaaS) und Beziehungsstatus („Deployment Models“: Private/Community/Public/Hybrid Cloud).
• Cloud Computing: Wikipedia, Stand vom 30. September 2022.
  U.a. eine deutsche Erläuterung der NIST-Kategorien mit Komponentenüberblick.
• Trevor Jones: A cloud services cheat sheet for AWS, Azure and Google Cloud: Techtarget, 29. Juni 2021, englisch (abgerufen am 30. September 2022).
  Eine strukturierte Tabelle mit den Namen vergleichbarer Clouddienste bei den drei „Grossen“. Neben diesen Grossen haben noch viele andere Provider kleinere, z.T. vergleichbare Portfolios, oftmals mit weniger Lock-In. (Und ganz vieles davon basiert auf kommerziellen oder Open-Source-Produkten, die man auch auf seinen eigenen Rechnern installieren kann.)
• Paul Kerrigan: Pizza as a Service 2.0, 20. Juli 2017, englisch (abgerufen am 30. September 2022).
  Grafisch ansprechender Überblick über die verschiedenen Abstraktionsstufen, von selbstgemachter Pizza (low-level) über Take-away bis zur Party (high-level).
  

Tabellarischer Überblick

Zusatzdienste und -aufgaben

Wer Cloud nutzt, braucht dazu meist neben den eigentlichen Diensten noch zusätzliche Verwaltungsmöglicheiten, die selbst häufig wiederum als Teil das Clouddienstes angeboten werden, aber ausserhalb des Kreises bzw. der Tabelle angesiedelt sind:

• Benutzer-, Rechte- und Rollenmanagement (meist mit Single-Sign-On)
• Security und das dazugehörige Management und Monitoring (inkl. Datenschutz- bzw. Sicherheitskonzepten oder -richtlinien)
• Ressourcenplanung, Kostenkontrolle
• Life Cycle Management
• evt. Lizenzverwaltung
• …

Auch wenn scheinbar „alles automatisch“ passiert, gewisse Aufgaben (insbesondere die Hauptverantwortung) bleiben immer bei der Kundin.

Bildquellen

Das Titelbild entstand auf Basis zweier Bilder von Simon Eugster: Links Leuchtende Stratuswolke (CC BY-SA 3.0), rechts Cirrus Uncinus With Plane (CC BY-SA 2.0-de)