Kommentar: Cloud – lagern wir zu viel und das Falsche aus?
Alles auszulagern und fremd verwalten zu lassen, könnte Unternehmen Entlastung verschaffen – stattdessen bringt es reichlich Arbeit mit sich.
- David Fuhr
Zuerst gaben wir ITler unsere Serverräume ab (Housing), dann unsere Rechner (Hosting). Wir gaben die Macht über Betriebssysteme (IaaS) und Middleware (PaaS) auf und sogar über die heiligen Applikationen (SaaS). Am Ende war nichts mehr da, über das wir herrschen konnten. The End. Schnüff.
STOP! Würde die Geschichte so ausgehen, wäre ja alles gut. Unternehmen und Behörden bräuchten "uns" – die IT, und damit auch die Security – nicht mehr. Sie hätten weniger Stress, geringere Kosten und mehr Ressourcen für inhaltliche Transformation. Und "wir" könnten endlich nur noch Rauken züchten, Craftbier brauen oder Arduinos streicheln. Doch aus irgendeinem Grund wird die Arbeit nicht weniger, obwohl wir (das andere Wir, also die Gesellschaft/Wirtschaft) eine Schicht nach der anderen outsourcen.
Dabei ist die Revolution unaufhaltsam, die Bewegung nach wie vor ungebrochen: "XaaS – Everything as a Service!" heißt inzwischen das Motto. Schon längst schieben wir unsere Container in die Cloud ab (CaaS), und momentan sind wir sogar dabei, uns mit Funktionen zu begnügen (FaaS), die andere für uns hoffentlich im richtigen Moment auf die richtige Art und Weise ausführen (und berechnen).
Abgezogen
Merkwürdigerweise bleibt bei all den Abstraktionen (lateinisch "abstrahere": ab-, wegziehen, fortreißen) immer noch ein gutes Stück Verantwortung bei den Quellen der Auslagerung, also den Unternehmen und Behörden – vor allem aber weiterhin sehr viel Arbeit. Was ich einspare an Lüfterreinigung, Serverkonfiguration oder Garbage Collection, muss ich an anderer Stelle wieder investieren – in je nach Abstraktionsgrad und Neuheit der Technologie immer schwerer zu bekommende Fachexpertise. Abstrahieren wir am Ende vielleicht am falschen Ende weg?
Was, wenn gar nicht das Betriebs- und Deploymentmodell (I/P/S/C/F/XaaS) das Entscheidende ist, sondern die rechte Seite der Gleichung, der Service?
Shift Right
Egal, ob SaaS, PaaS, IaaS oder nur Housing, am Ende ist es immer ein Dienst, den ich einkaufe, damit er meiner Organisation dient. Wie bereits der Philosoph Georg Wilhelm Friedrich Hegel wusste, ist bedient werden aber fast genauso viel Arbeit wie Dienen. Letztlich sind es immer Menschen, die ihre Zeit damit verschwenden, im DingsbumsaaS herumzuklicken.
Denn am Ende kommt es darauf an, was die Organisation für Möglichkeiten gewonnen hat, ihre Ziele umzusetzen. Klar kann es sexy sein, wenn die IT nun Container in schicken Klicki-Bunti-Dashboards herumschubst, statt Kabelbinder durch Gänge zu schieben. Dadurch ist aber noch nicht ein einziger (externer) Kunde glücklicher, kein einziges (externes) Produkt verbessert. (Es sei denn, die externen Produkte sind wieder IT-Services, aber wo kämen wir da am Ende hin, wenn das alle nur noch täten … <insert Hund-jagt-den-eigenen-Schwanz-Gif>.)
Wider die AaS-Geier
Wahre Wertschöpfung müsste an den Buchstaben hinter dem "aa" ran. Das Problem ist, dass wir heute dafür noch gar keine klare Sprache haben. Dingsbums as a wirkliche Unterstützung? Dingsbums as a Kannst-ruhig-schlafen-ist-schon-längst-erledigt? Dingsbums as a Rundum-sorglos-Paket? Dann würde interessanterweise auch gleichgültig werden, was links vom "aa" steht: Ob mein Dienstleister – Entschuldigung, meine Ermöglicherin! – Buzzword X, Y oder Z deployt, um mich zufrieden zu machen, braucht mich gar nicht mehr zu interessieren. Es zählt nur das Ergebnis.
Everything as a Secure Thing
Auch die Security kann sich nicht darüber beklagen, dass die Arbeit weniger wird. Zwar verschieben sich auch hier die Aufwände immer mehr Richtung Dienstleistersteuerung und Supply-Chain-Security. Doch hat das ebenfalls bisher nicht dazu geführt, ein "just works" herzustellen. Immer neuere Wellen der Abstraktion führen bisher auch nur dazu, dass sich die Securityfragen in höhere Schichten verlagern. Das Ganze vom Kopf auf die Füße zu stellen, hieße: statt unsichere selbst programmierte Funktionen auf sicher deployten Containern in durch Hyperscaler geschützten Rechenzentren laufen zu lassen, bei den Basics anzufangen – den Daten und den Operationen auf ihnen.
Wenn beispielsweise meine Informationen so geschützt sind, dass ich ihre Integrität jederzeit prüfen kann, dann ist es deutlich weniger wichtig, in welchen Deployments sie verarbeitet werden. Und wenn meine Finanzprozesse robust gegen CxO-Fraud sind, ist es auch kein Beinbruch, wenn ein Logikfehler in meiner Lambdafunktion lebt. Anything goes for "my" Everything – mein Ein und Alles ist geschützt.
(ur)
