Independence Day-wie unabhängig ist unsere IT wirklich
Die Frage, wie abhängig wir in der IT von amerikanischen Dienstleistern sind, ist nicht neu, sie wird zunehmend relevanter und wird nicht selten auch ziemlich emotional geführt.
Was ist Fakt?
Auf der einen Seite bieten US-Hyperscaler wie Amazon Web Services (AWS), Microsoft Azure oder Google Cloud Platform (GCP) eine enorme Skalierbarkeit und starke Funktionen. Für viele Anwendungen sind diese Plattformen fast unschlagbar oder nur mit sehr hohem Aufwand zu ersetzen.
Auf der anderen Seite: Wer Daten oder Anwendungen in der Cloud betreibt, sollte den CLOUD Act kennen. Der erlaubt es US-Behörden unter bestimmten Umständen, auf Daten zuzugreifen, auch wenn diese außerhalb der USA gespeichert sind. Das ist vor allem bei besonders sensiblen personenbezogenen Daten ein Thema, das man nicht ignorieren sollte.
Natürlich könnte man an dieser Stelle aufhören und ChatGPT bitten, einen Blogbeitrag zu schreiben. Immerhin sollten genug deckungsgleiche Beiträge in den Trainingsdaten verfügbar sein, aber wir wollten das Thema tiefer angehen.
Denn die Realität hat sich verändert: Sie fühlt sich manchmal an wie eine Sitcom, man wartet nur noch auf den nächsten „You won’t believe what happens next“-Moment. Risikoeinschätzungen, wie wir sie bisher kannten, geraten ins Wanken. Szenarien, die früher nach Science-Fiction klangen, sind heute plötzlich nicht mehr undenkbar.
Schutz vor dem Undenkbaren?
Es gibt viele technische Ansätze, um Daten zu schützen:
- Verschlüsselung (Daten werden unlesbar gemacht, wenn man keinen Schlüssel hat)
- Anonymisierung (personenbezogene Infos werden entfernt oder ersetzt)
- Differential Privacy (Daten werden so verändert, dass Rückschlüsse auf Einzelpersonen unmöglich sind)
Aber was, wenn der Anbieter selbst plötzlich zum Risiko wird und aktiv unsere Systeme stört oder aus dem Gleichgewicht bringt? Das wäre ehrlich gesagt immer noch überraschend, aber nicht mehr unvorstellbar.
Unser Weg: Ein Gedankenexperiment mit Pizza
Also haben wir ein Planspiel gemacht: Mit einem trashigen Sci-Fi-Frontend, gefakten AI-Briefings, und bei Pizza haben wir darüber diskutiert, was wir in solchen Szenarien tun würden. Ziel dabei war: In kurzer Zeit herausfinden, wie wir reagieren würden, wenn bestimmte Szenarien eintreten.
Die Szenarien reichten dabei von „wahrscheinlich“ bis „ziemlich extrem“:
1. Massive Zölle mit 100% höheren Preisen auf US-Dienste („We’re winning so hard, they’ll need insurance for their feelings.“)
2. Alle Daten gehören dem US-Anbieter: jede Datenübertragung auf einen US-Server wird automatisch US-Eigentum („Like the moon, but digital.“)
3. Infrastruktur-Freifahrtschein: Anbieter dürfen tun und lassen, was sie wollen („The are like embassies, with better WiFi.“)
Frontend gebaut, Pizza bestellt, Kolleg:innen rekrutiert (Stichwort Brückentag). Dann die Szenarien mit Timer und gefaktem Video präsentiert, für den perfekten 90er-Jahre-„Command-&-Conquer-Mission-Briefing“- Vibe.
Was haben wir gelernt?
Zuerst: Es ging nicht um hypothetische Kunden-Setups, sondern um uns selbst. Wir konnten konkrete Systeme und Zahlen durchrechnen und ich als IT-Verantwortlicher konnte direkt sagen: „Das hier wäre ein Problem, das da eher nicht.“
Diese Dinge sind besonders hängen geblieben:
Reden hilft
Der Austausch im Team hat uns geholfen, Chancen und Risiken greifbar zu machen. Je mehr wir über Alternativen, Use Cases und technische Optionen gesprochen haben, desto weniger dramatisch wirkte die Ausgangslage.
Es gibt Alternativen
Viele europäische Anbieter sind technisch durchaus konkurrenzfähig (siehe dazu: European Alternatives).
Und um unseren Kollegen Felix Görner zu zitieren: „Für viele Dienste gibt es bereits kompetente europäische Alternativen, die – abgesehen von ihrer geringeren Bekanntheit – oft konkurrenzfähig zu den üblichen amerikanischen Lösungen sind. In anderen Bereichen holen die europäischen Anbieter auf, bzw. es entstehen neue Dienste.“
Verfügbarkeit und Integration
Der größte Knackpunkt bei Hyperscalern ist für unser Szenario die Verfügbarkeit von Daten und zum Teil auch die Integration in bestehende Services. Gerade die Unternehmenssteuerung, etwa mit Power BI, wäre nur mit erheblichem Aufwand möglich.
Und jetzt?
Haben wir einen fertigen Exit-Plan? Natürlich nicht.
Haben wir mehr Klarheit und ein besseres Gespür für Risiken? Ja.
Wird das beim nächsten Techie-Hacky-Day wieder Thema sein? (unser monatlicher „Wir probieren Dinge aus, zu denen wir sonst nicht kommen“-Tag) Ganz sicher und wir werden die ein oder andere Lösung hier ausprobieren.
Ach ja, unsere Azure-Subscription und den AWS-Account lieben wir immer noch. Aber es schadet nicht, vorbereitet zu sein.
In diesem Sinne: Prepare for the worst, hope for the best.
