»Den Nutzern kann das Leben leichter gemacht werden«

Report: Welche Bedrohungen aus IT-Sicht sehen Sie derzeit für Unternehmen?

Thomas Grill: Bei vielen Unternehmen hat der Faktor Homeoffice in den letzten Monaten auch die Anforderungen an die Schutzkonzepte verändert. Viele arbeiten auf privaten Geräten und bieten Angriffsfläche etwa für Phishing-Attacken. Dann wurden in der Coronakrise mit dem verstärkten Einsatz von Collaboration-Tools weitere Datenmengen in die Cloud verschoben.

Bild oben: Thomas Grill leitet den Bereich IT-Consulting bei Bacher Systems.

Auch diese müssen mit Verschlüsselung geschützt werden, die Zugänge dazu gehören gesichert. Bei Angriffen durch Ransomware sehen wir besonders »Privileged Account Security« wichtig: Hier werden Berechtigungen der User-Accounts auf das Notwendigste eingeschränkt. Die Folge: Angreifer können sich auch nach einem erfolgreichen Eindringen nicht lateral im Netzwerk ausbreiten. Professionelle Lösungen, die wir bieten, gehen weit über die Features hinaus, die Betriebssysteme beim Berechtigungsmanagement bieten, etwa beim Erkennen von Anomalien aufgrund ungewöhnlicher Zugriffe.

Report: Wie gut schützen sich KMU mit Privileged Account Security?

Grill: Viele sind hier bereits sehr interessiert und bereit für Umsetzungen, die breite Masse betrifft das allerdings noch nicht. Wir sehen das als Wachstumsmarkt.

Manfred Köteles: Dieses Thema ist auch im gehobenen Mittelstand und im Enterprise-Umfeld noch wenig zu sehen. Organisationen hätten sich mit Privileged-Account-Management-Lösungen in den letzten Monaten viel Aufwand ersparen können. Im Fokus dieser Sicherheitsprodukte sind auch nicht nur menschliche Benutzer, sondern Server und Programme – ebenfalls Nutzer im IT-Sinne. Privileged Account Management wird seit gut zwei Jahren immer breiter eingesetzt – begonnen wurde damit in der Finanzwelt, da dort Compliance-Vorgaben den Einsatz erfordert hatten. Industrieunternehmen würden davon aber genauso profitieren.

Report: Wie entwickelt sich das Rechenzentrum bei Unternehmen weiter?

Grill: Es gibt fast keinen Unternehmenskunden mehr, der nicht zumindest in Teilen eine hybride Cloud IT-Infrastruktur nutzt oder darüber nachdenkt. Das klassische Datacenter, das Daten ausschließlich lokal an einem Unternehmensstandort gespeichert hält, gibt es eigentlich nicht mehr. Daten sind mobil geworden, sie müssen überall geschützt werden und können zum Beispiel bei IoT-Strukturen sehr verteilt liegen. Es geht auch um eine Verbindung dieser Welten: die Features von Cloud-Lösungen bestmöglich zu nutzen, diese aber auch ins Datacenter zu bringen. Mit hybriden Konzepten ist der Nutzen in den unterschiedlichen Infrastrukturen gegeben.

Report: Was bedeutet es für ein Sicherheitskonzept, wenn Teile der Daten in der Cloud liegen?

Grill: Nun, vereinfacht gesagt liegen die Daten nicht mehr auf dem eigenen Computer, sondern im Prinzip auf dem Rechner eines anderen. Was passiert mit diesen Daten? Werden sie verschlüsselt abgelegt? Und werden sie auch verschlüsselt per VPN zum Cloud-Anbieter übertragen? Wer hat Zugriff auf die Daten? Auch in der Cloud gibt es privilegierte User, die zu schützen sind. Security ist ein essenzieller Punkt, wenn Daten außerhalb des eigenen Rechenzentrums verarbeitet werden.

Köteles: Unternehmen überschätzen mitunter die Sicherheit beim Schritt zur Cloud-Infrastruktur. Es stimmt schon, dass Aufgaben wie Stromversorgung, Internetanbindung und Security auf zumindest einem geringen Level als erledigt betrachtet werden können.

Die Verantwortungen variieren aber stark: Betreibe ich meine IT on-premises, bin ich für alles verantwortlich. Nutze ich Software-as-a-Service, brauche ich eigentlich nur noch die Vergabe der Accounts und Einstellungen dazu zu verwalten. Auf den verschiedenen Stufen der Cloud-Nutzung Infrastructure-, Platform- und Software-as-a-Service ändert sich auch die Verantwortung – allerdings wird sie nie null.

Selbst wenn sämtliche Daten in der Cloud sind, ist ein Unternehmen für die Endpoint-Protection und das Access-Management verantwortlich. Das gilt selbst bei einem softwarebasierten Netzwerk, das ausgelagert wurde.
 
Report: Für den Fall, dass ein Unternehmen keinen regulatorischen Anforderungen für die Datenspeicherung unterworfen ist: Sehen Sie prinzipiell einen Vorteil, auf Cloud-Infrastruktur-Partner aus Österreich zu setzen – oder schlagen die Hyperscaler Amazon, Microsoft und Google lokale Anbieter in jedem Fall?

Köteles: Nun, zum einen sind auch diese großen Anbieter mit eigenen Standorten in der EU tätig. Österreichische IT-Dienstleister mit eigenen Rechenzentren bieten sicherlich gute Services und sind auch in Nischen sehr stark. Was man den Hyperscalern zugutehalten muss, ist der extreme Komfort bei der Nutzung der Services. Sie haben die Möglichkeit, Prozesse für sehr viele Kunden mit einer hervorragenden User-Experience anzubieten. Bacher Systems ist Partner von Amazon Web Services und das aus einem guten Grund.

Wir sehen selbst, was Amazon auch in Österreich bieten kann. Den IT-Abteilungen wird trotzdem die Arbeit nicht ausgehen: Kunden mit einer Cloud-First-Strategie bestätigen, dass der Bedarf für Security weiter wachsen wird. Die Themen ändern sich: Nicht der Perimeter wird geschützt werden, sondern die einzelnen Identitäten im Netzwerk.

Grill: Die wenigsten Kunden haben nur einen Cloud-Anbieter im Einsatz. Dieser Dschungel der hybriden Multi­cloud bringt Herausforderungen, bei denen wir als Partner begleiten können und Orientierung bieten.

Köteles: Wir merken, dass Kunden bei einer hybriden IT-Infrastruktur auch die Übersicht verlieren: Welche Programme laufen wo, an welchen Stellen sind meine Daten gespeichert – bei welchem Hyperscaler oder vor Ort in der eigenen IT-Landschaft? Hier gibt es sehr viel Optimierungsbedarf.

Report: Viele Unternehmen haben eine Menge Daten gesammelt, wissen aber wenig damit anzufangen. Wie sieht hier eine Zusammenarbeit mit einem Dienstleister typischerweise aus?

Grill: Daten sind klar das neue Gold und das neue Öl. Im Bereich Data Analytics reicht es allerdings nicht aus, einfach eine neue Software zu kaufen und zu installieren. Es braucht Menschen, die die Technologie ergänzen und ihre Fähigkeiten einbringen. Wir unterstützen hier beim Finden und Prüfen von Anwendungsfällen.

Unsere Consultants führen gemeinsam mit Kunden Workshops durch, in denen aus den vorhandenen Daten in einem Unternehmen Mehrwert generiert wird. Und sind etwa maschinengenerierte Daten noch nicht verfügbar, unterstützen wir auch beim Sammeln, beim Homogenisieren und Normalisieren.

Dabei werden auch Abläufe und Prozesse sichtbar gemacht. Im einfachsten Fall hilft das, Fehler zu finden. In anderen Bereichen unterstützt es das Unternehmensgeschäft. Oft bauen wir für die Aufbereitung der Daten auch entsprechende Dashboards für die Visualisierung. Man muss dann kein Data Scientist sein, um die Ergebnisse verstehen und nutzen zu können.

Köteles: Es hat sich bewährt, mit Prototypen in einem kleineren Bereich zu beginnen. Eine Zusammenarbeit bleibt in Folge dann selten auf ein einzelnes Projekt beschränkt. Stellt man die passenden Fragen, merken die Unternehmen schnell, wie viel mit ihren Daten möglich ist. Das beginnt schon bei Daten, die aus dem IT-Betrieb heraus entstehen – da reden wir noch gar nicht von Business Analytics.

Wo sind die Engpässe im Applikationsbetrieb aus dem Rechenzentrum oder mit hybriden Strukturen? Wie ist die Performance für die Nutzer in verschiedenen Regionen? Die Daten dazu müssen lediglich zusammengefasst und aufbereitet werden, um ganz gezielte Investitionen zu ermöglichen. Manchmal reicht es auch aus, ein System etwas anders zu parametrieren. Mit Data Analytics kann den Nutzern das Leben leichter gemacht werden.

Report: Wie ist die Qualität der Daten in den Unternehmen, bevor Sie gemeinsam in einen Workshop gehen? Kann man bereits damit arbeiten?

Köteles: Die Kunden haben oft deutlich mehr Daten – auch in guter Qualität –, als ihnen bewusst ist. Gerade im IT-Bereich entstehen Daten automatisch, ohne Zutun – zum Beispiel im Netzwerk oder auf Servern.

Grill: Unser Vorteil hier ist auch die Partnerschaft mit Splunk – die Produkte dieser Plattform können auch mit unstrukturierten Daten umgehen. Ein Aufbereiten für die Analyse ist so oft gar nicht erforderlich. Wichtiger ist vielmehr eine Richtung und die Definition eines Ziels, das man erreichen möchte. Die Daten lassen sich dafür zurechtbauen und mit einem sogenannten »Data Onboarding« integrieren. Das ist heutzutage aber der kleinste Schritt.

Mit Splunk lassen sich nicht nur Erkenntnisse aus dem IT-Betrieb gewinnen oder Projekte für Predictive Maintenance umsetzen, sondern zum Beispiel auch die User-Experience im Telebanking verbessern. Einer unserer Kunden, eine große Bank in Österreich, verbessert damit laufend die Prozesse und das App-Design.

Report: Welche Investitionslaune herrscht derzeit bei den IT-Abteilungen bei Ihren Kunden?

Köteles: Viele legen derzeit ihre Projekte noch einmal auf die Waage, da einigen durch die Krise Umsätze und Einnahmen ausgefallen sind. Das verstärkt insgesamt auch den Trend in Richtung Cloud. Man hat nun gesehen, dass man mit hy­briden Konzepten besser dran ist. Deswegen wird auch stärker in Security investiert werden.