Im Gegensatz zu den meisten kommerziellen Kongressen, die überwiegend aus Werbevorträgen der Sponsoren bestehen, wurden die Vortragenden im Vorfeld per Code of Conduct auf die Werbefreiheit ihre Vorträge verpflicht. Eine Bedingung deren Einhaltung der wie immer gut gelaunte und diskussions-freudige Cloud-Experte Mark Masterson (@mastermark) überwachte und auch tatsächlich in einen Fall per virtueller gelber Karte aktiv durchsetzte. Dieses Konzept war der Grundstein für eine rundum gelungene Veranstaltung, deren Agenda die wichtigsten Aspekte des Thema Technische und Juristische Sicherheit des Cloud Computings abdeckte. Vor allem die konstruktiven Diskussionen, die um die meist 15 bis 20 Minuten langen Vorträge entstanden, hatten es in sich. Die Vorträge sollen demnächst auch Online gestellt werden. Bitte wendet Euch in der Zwischenzeit bei Interesse an den Slides an die Organisatoren unter  sectxl@symposia360.com .

Zusammengefasst bleibt festzuhalten: Cloud Computing und Datenschutz sind vereinbar, man muss es nur richtig machen!

Folgende Aussagen blieben bei mir durch die Vorträge und Diskussionen hinweg hängen:

Analyse der Anwendungen/Daten/Prozesse

Nicht alle Daten, die man in der Cloud speichern möchte, unterliegen dem Bundesdatenschutzgesetz (BDSG). Dieses greift insbesondere nur dann, wenn man personenbezogene Daten speichern möchte. Die theoretische Möglichkeit des Einholens einer Einwilligung der Betroffenen ist wenig praktikabel, da die ja jederzeit widerrufen werden könnte. In jedem Fall sollte jedoch geprüft werden, ob die zu speichernden Daten anderen Bestimmungen (HGB etc.) unterliegen. Gerade vor dem Hintergrund von Verfügbarkeit und Performance sollte man sich die betreffenden Anwendungen und Prozesse anschauen und überlegen, an welcher Stelle Cloud Computing Vor- oder Nachteile bietet. Vor allen sollte man sich möglichst vorher mit den Themen Risikomanagement und – bei größeren Institutionen – mit dem Thema Governance auseinandersetzen.

Analyse der Verträge

Hauptproblem bei einer geschäftlichen Nutzung von Cloud-Angeboten ist die Tatsache, das die meisten großen Public-Cloud-Anbieter lediglich Standard-Verträge mit für den Kunden meist sehr ungünstigen Konditionen anbieten. Hervorzuheben sind hier vor allem Themen Verfügbarkeit, Sperr- und Kündigungs-Rechte durch die Provider und dabei auch die Frage nach der Datenherausgabe, aber auch die Schadenersatz-Regelungen, von denen die Provider ja gerade auch bei den jüngsten Ausfällen Gebrauch machten (z. B. 30 Tage Gebühren-Gutschrift bei mehrtägigem Ausfall Datenverlust).

Große Kunden sollten die Anbieter nach Individualverträgen fragen, hier besteht je nach Kundengröße wohl seitens Amazon und Microsoft ein gewisser Verhandlungsspielraum.

Anbieterauswahl

Lässt sich der personenbezug nicht ausschliessen, so muss man entweder mit Verschlüsselung arbeiten (was generell immer empfehlenswert ist) oder es ist ein Anbieter zu wählen, mit dem man einen Vertrag zur Auftragsdatenverarbeitung (ADV) abschliessen kann, dieser erfordert jedoch teilweise umfangreiche Pflichten wie z.B. Auditierbarkeit und Kontrollplichten, die bei der Umsetzung eine gewisse Herausforderung darstellen.

Besonders bei Anbietern, die nicht aus der EU bzw. dem EWR stammen, oder die Tochtergesellschaften von US-Firmen sind, gelten einige besondere Punkte zu beachten: Im Fokus stehen dabei das Safe Harbor-Abkommen sowie die Regelungen nach dem USA Patriot Act. Das von vielen Anbietern als Sicherheits-Argument bemühte Safe Harbor-Abkommen, dessen Konformität die Hersteller im Rahmen einer Selbsterklärung bestätigen, ist aber in den meisten Fällen nicht ausreichend.

Das zweite Thema ist nicht Cloud Computing spezifisch, sondern gilt auch für bestehende Outsourcing-Verträge: Der USA Patriot Act war gerade in den letzten Wochen im Fokus einiger Presseberichte: Diese im Rahmen des Antiterror-Kampfes erlassenen US Gesetze, ermöglichen unter anderem den US Strafverfolgungsbehörden Zugriff auf Kundendaten bei US-Providern. Dies gilt allerdings auch für deren europäische oder deutsche Tochter-Gesellschaften und für Daten, die auf europäischen Servern liegen. Obwohl diese Gesetze z. B. gegen geltende Europäische oder auch nationale Gesetze verstößt, machten große Provider wie Google und Microsoft angeblich Gebrauch von diesen Bestimmungen und leiteten Kundendaten in die USA weiter.

Datensicherheit

Hier gibt es – bzw. gab es auch schon vor Cloud Computing – noch viel Raum für Verbesserungen. Gerade beim Thema Authentifizierung existieren mittlerweile modernere Ansätze wie OpenID, die das Konzept eines Identity Service Providers einführen, wodurch die individuellen Profil-Daten nicht mehr auf der jeweiligen Anbieter-Website gespeichert werden müssen und damit sinnvollen Möglichkeiten bieten, um z. B. Biometrische Verfahren einzuführen. Spannend war auch die Darstellung der möglichen aktuellen Bedrohungs-Szenarien, die so sicher nicht jedem bekannt sein dürften. Einige Hersteller nehmen sich dem Thema aber auch schon selbst unter Nutzung von Cloud Computing Verfahren und Vertrauen auch auf Crowdsourcing-Ansätze um der Fülle an neuen Bedrohungen Herr zu werden.

Zertifizierung/Standards

Leider reichen die heutigen Standards für den Sonderfall Cloud Computing nicht aus. Hier sind sowohl Politik, Anbieter und Verbände gefordert sich bei der Schaffung von Standards und Zertifizierungen weiter in stärkerem Maße zu engagieren, um den Kunden eine einfachere Auswahl von zuverlässigen Anbietern zu erleichtern. Hier wurden als sinnvolle Grundlagen die ISO 27001 sowie das BSI Grundschutz-Handbuch genannt, die jedoch derzeit noch nicht auf die Anforderungen des Cloud Computings angepasst sind. Einen guten Ansatz stellt derzeit das Eurocloud Saas-Gütesiegel dar, welches zumindest die heute am meisten verbreiteten SaaS-Angebote abdeckt. An dieser Stelle sind auch die Kunden gefordert, entsprechende Zertifizierungen und die Einhaltung von Standards zu prüfen und einzufordern.

                          

Nachfolgend eine Auswahl der besten Zitate daraus:

“Wir sind [] eine Ameise, wo der Haufen dann das wichtige ist. Insofern degradiert das Internet ein bisschen.”

“Dann greif ich ganz scharf das Schulsystem an, weil es nur dazu dient, die Festplatte zu füllen.”

“Wir brauchen keinen Minister für Internet-Leitungen, wir brauchen nur den Befehl das die Leitungen da sind und zwar richtige. [] Die Veränderungen der Gesellschaft durch das Internet müsste [allerdings] irgendwie mal gehostet werden”

“Wir erleben die Industrialisierung der Berufe. [] Wissen Sie in Ihrem Beruf mehr als ein frisch Gesurfter?”

“Es ist völlig klar, was die Professionals der Zukunft kennen müssen: [] Emotionale Intelligenz, Kreative Intelligenz, Kraft, Energie, Begeisterung, und sowas alles, das als Sonntagspredigt in den Betrieben stattfindet. Das wird nicht gelehrt. Das gibt’s gar nicht!”

“Die Welt wird sich scheiden in Professional und Un-Professionals.”

“Im Prinzip steht das fachliche im Internet! [] Es gibt Leute die Teams leiten können, Telefonkonferenzen sauber überstehen, vernünftige Reden halten, Leute überzeugen können usw. und das ist das was man in Zukunft braucht, weil das Internet die fachlichen Fähigkeiten einfach obsolet macht!”

“Der Lehrer muss jetzt echt Pädagogik können.”

“Das nächste Zeitalter geht nicht mehr um Wissen, das ist im Betriebssystem, sondern es darum das wir das echt können.”

Weitere interessante Ausführungen machte Dueck zur Veränderung des Menschenbildes, welches sich heute gerade vor dem Hintergrund der Social Medie und Wiki-nomie ganz klar abzeichnet, aber dennoch oft noch nicht richtig gelebt wird. Die beiden Theorien definiert er wie folgt:

Theorie X (McGregor, 1962): Menschen arbeiten nur gut unter Druck, müssen angeleitet werden,  suche Pause und Lust – müssen von den seltenen selbstmotivierten Ausnahmen (“Manager”) geführt werden. Autoritäre Hierarchien, Kontrolle, Repression.

Theorie Y: Menschen arbeiten gern, wollen wirksam sein, sich entwicklen. Manager helfen dabei (Empowerment, Enablement, Coaching) und sind Vorbild.

“Beide Meinungen des Menschen stimmen wahrscheinlich überhaupt nicht, [] die Frage wäre ob wir uns im Zeitalter des Internets als Kollektiv nicht entscheiden könnten, einfach blind an Y zu glauben, auch wenn es 20% Ausnahmen gibt. Wir machen dann das Bildungssystem genau so als wären alle Y. [] Man muss ein paar Leuten in den Hintern treten.”

“Das heutige Bildungssystem hat eine Tendenz als Leute als X abzustempeln [] und man muss sie hauen und durch Prüfungen zwingen. [] Das geht nicht!”

“Wenn man eine Zukunft haben will mit dem Internet und mit der ganzen Bildung, dann wäre es besser man entschließt sich für ein Menschenbild, das eingeschweißt wird in die Bildung.”

“Es hilft nichts, sich in den Wissenschaften zu streiten, was nun besser ist, oder richtig [] wir müssen uns einigen, wie wir es haben wollen.”

Anschließend folgten der Aufruf an das Publikum, sich mit der Y-beherrschten Gesellschaft zu befassen und die Frage nach der Professionalisierung auch in die Politik zu tragen und die Führung zu übernehmen.

“Wir haben eine Verlegenheit, irgendwen zu wählen, weil die Klasse dieser Professionals nicht da ist, die hat sich noch gar nicht gebildet!”

“Sie müssen etwas wollen und zwar nicht für sich und das Internet sondern für alle.”

“Fangen Sie nicht mit 3.0 an [] Sie entfernen sich doch immer weiter von der Realität.” “Der der das Licht gesehen hat soll zurückgehen und es den anderen zeigen und nicht noch weiter ins Licht gehen”

Sein abschließende Aufruf war, eine eigene Partei zu gründen (Farbe Lichtblau) sowie der Vorschlag, alles Wissen in ein wikipedia-artiges, offenes Portal zu packen, aus dem man sich Wissen für einzelne Unterrichtsheiten als App laden könne. Dies sei aber aufgrund des Föderalismus vermutlich nicht möglich.

                          

Facebook erhofft sich mit dem Open Compute Project, der die 1,5-jährige Optimierungsarbeit seiner Ingenieure offenlegt, mehrere Effekte:
Einerseits erwartet man Feedback und sogar Verbesserungsvorschläge von der Community und andererseits sollen die Spezifikation anderen Firmen helfen, selbst energie-effiziente Rechenzentren zu bauen.

In den Spezifikationen sind jedenfalls Vor- und Nachteile der jeweilige Technologien und Komponenten offen aufgeführt und erlauben so jedem sich ein genaues Bild von der benutzen Technik zu machen und diese weiterzuentwickeln.

Ob dieser Schritt tatsächlich Erfolg haben wird oder nur als geniale Werbekampagne in die Annalen eingehen wird, bleibt abzuwarten. Nachdem man bereits vor knapp 3 Jahren weite Teile der Plattform als Open Source zum Download anbot, sind sämtliche Links gekappt (fbOpen). Lediglich zum Thema Open Source gibt es auf developers.facebook.com ein Verzeichnis der verwendeten Tools und man ist seit Anfang 2010 auch Sponsor des Apache-Projektes, wobei die jährliche $40.000-Spende wohl eher kaum in Relation zu den entsprechenden Einsparungen stehen dürften.

Facebook hat mit diesem Schritt in jedem Fall eines erreicht – der Druck auf die anderen großen Player, die derzeit diese Informationen weitgehend geheimhalten, wird erhöht und Infrastruktur wird endgültig “kommoditisiert” soll heißen zur Massenware degradiert. Dadurch steigt der Wert der eigenen Assets ganz erheblich, auch wenn das Social Graph API einen Hauch von Offenheit suggeriert: Die Daten von 600 Millionen Nutzern sind das Kapital von Facebook und werden – ganz im Sinne der Nutzer – hoffentlich nicht so schnell geöffnet werden.

An diese Stelle zeigt sich auch, das nicht alles was offen heißt, auch wirklich offen ist: Gerade vor zwei Wochen hat Facebook weitere Informationen zur “Open Networking Foundation“ veröffentlicht: Unter Nutzung des Open Source Protokolls OpenFlow soll das sogenannte Software-Defined Networking propogiert werden, wodurch die Qualität entsprechender kompatibler Services gesteigert werden soll. Diese “Non-Profit-Organisation” wird natürlich auch von einigen grossen Anbietern und Providern wie Google, Microsoft, Yahoo!, Verizon und Telekom unterstützt. Kritiker sehen darin allerdings einen massiven Angriff auf die Netzneutralität, da man sich dadurch quasi die Vorfahrt im Netz ‘erkaufen’ kann.

Schönes neues Netz.

Ergänzung 19.4.2011:

Robert Scoble hat in seinem Blog scobleizer.com eine sehenswerte Foto-Tour vom Prineville Datacenter veröffentlicht: <LINK>

                          

Diese Frage ist berechtigt und das Thema darf auch künftig nicht unterschätzt werden, da sich solche Aktion durchaus auch existenziell für Unternehmen oder Einzelpersonen, deren Inhalte betroffen sind, werden können. Gerade heute habe ich zum Thema zwei Meldungen mit ähnlichem Inhalt gelesen:

Provider schaltet Blog ab!

Der erste Fall betrifft den angeblich zweitgrößten deutschen Blog nerdcore.de, der laut Sueddeutsche Online der “Leitblog für popkulturelle Netzthemen” ist und dessen Betreiber wohl unglücklicherweise nicht auf eine (rechtmäßig oder nicht ist in Deutschland leider egal) Abmahnung reagiert hat. Der daraus resultierende Gerichtstermin führte zu einem Schadenersatz-Anspruch des Gläubigers und dies wiederum zur (dann wieder legalen) Pfändung des Blogs. Näheres hierzu gibt es bei Robert Basic (Euroweb und Kunden ) und bei Udo Vetter (Der Gläubiger darf, aber er muss nicht)

Der zweite Fall betrifft einen grossen Deutschen Blog Aggregator für juristische Blogs, den JuraBlogs.com der wohl aus inhaltlichen Gründen für ca. 12 Stunden gesperrt wurde. Mittlerweile ist er wieder Online, wie im LexisNexis Blog zu lesen ist. Details sind noch nicht bekannt, aber das dürfte wohl noch zu einer Reihe von Nachbeben in der Netzwelt führen.

Am Ende zeigt sich doch nur eins: Daten, Inhalte und Relevanz werden immer wichtiger, dagegen verlieren Technische Parameter und Artefakte wie Domain-Namen und Server-Standorte an Bedeutung. Künftig zählt, wer was sagt und nicht mehr, über welche IP-Adressen, Servernamen oder Keywords die Information zu erreichen sind. Das dies für einige Bereiche der Online-Industrie zu einem Problem werden könnte, liegt auf der Hand.