Am 22.10.2023 haben wir eine beta-Version des cloud ahead Sovereign Cloud Benchmarks veröffentlicht. In diesem Artikel schildern wir die zugrundeliegende Methodik des Anbietervergleichs.

Was ist eine souveräne Cloud?

cloud ahead definiert Souveräne Clouds als IT-Infrastrukturen und –Services, die ihren Kunden eine selbstbestimmte Digitalisierung ermöglichen.

Die Schlüsselworte der Definition sind:

• IT-Infrastrukturen und -Services: Die Souveränität bezieht sich somit nicht auf Komponenten, wie Chips oder Rohstoffe wie Silizium, sondern lediglich auf Kommunikationsinfrastruktur, IaaS, PaaS und SaaS.
• Selbstbestimmung: Im Zeitalter fortgeschrittener Digitalisierung beinhaltet Souveränität nicht nur das Thema Kontrolle, also den Schutz der bestehenden IT-Infrastruktur vor Ausfällen oder Datendiebstahl. Souveränität beinhaltet gleichermaßen die eigene Fähigkeit attraktive digitale Leistungen für sich selbst und seine KundInnen oder BürgerInnen zu erbringen.

Was bedeuten Leistungsfähigkeit und Kontrolle für Cloud-Kunden konkret?

Nutzer von IT-Infrastrukturen und -Services empfinden sich in der Regel als digital leistungsfähig, wenn sie mit Hilfe der IT folgende Ziele erreichen:

• Fachliche Probleme werden technisch und endnutzerfreundlich gelöst.
• Der Automatisierungsgrad der Organisation wird durchgängig erhöht.
• Innovationen werden schnell in Software umgesetzt.
• Alle Applikationen sollen zuverlässig betrieben werden können.
• Services und Daten sollen sicher und aktuell sowie einfach zugänglich sein.
• Applikationen skalieren den Nachfrage-Schwankungen entsprechend.

Nutzer von IT-Infrastrukturen und -Services haben wiederum ein hohes Maß an Kontrolle, wenn ihre IT folgenden Anforderungen genügt:

• Die Funktionsfähigkeit bei physischen Gefahren (wie Feuer oder Erdbeben) bleibt erhalten.
• Abhängigkeiten zu einzelnen Unternehmen (wie Microsoft oder VMware) bleiben beherrschbar.
• Der Zugriff durch Kriminelle wird verhindert.
• Der Zugriff durch fremde Legislation wird verhindert.
• Der Zugriff durch fremde Geheimdienste wird verhindert.
• Die Funktionsfähigkeit bleibt auch bei geopolitischen Krisen erhalten.

Souveränität ist eine gemeinsame Aufgabe

Selbstbestimmte Digitalisierung gelingt nur, wenn sowohl Cloud-Provider, als auch Cloud-Nutzer ihren Teil beitragen. Die Anbieter souveräner Clouds müssen beispielsweise für physikalische Sicherheit sowie für allgemeine IT-Sicherheit sorgen und den Zugriff von Drittstaaten minimieren.

Cloud-Nutzer hingegen müssen ausreichend IT-Know-how mitbringen, um etwa einzelne Abhängigkeiten durch entsprechende Software-Architekturen und Betriebs-Prozesse zu reduzieren. Zudem gilt es eine an sich sichere Infrastruktur nicht durch mangelnde Vorkehrungen auf Ebene der Software-Anwendung anfällig für Angriffe zu machen.

Methodik des Sovereign Cloud Benchmarks

Im Benchmark der souveräne Clouds haben wir uns auf die Aufgaben der Cloud-Provider beschränkt. Wir bewerten deren Fähigkeit zur Erfüllung der folgenden Kriterien der Leistungsfähigkeit:

• Service-Portfolio: Wie umfangreich ist das Service-Portfolio? Wie leistungsfähig ist es?
• Kundenfreundlichkeit: Gibt es administrative Hürden bei der Nutzung? Wie gut ist die Developer Experience? Wie nutzerfreundlich sind die Preismodelle?
• Skalierungsfähigkeit: Wie gut lassen sich die Services im kleinen Umfang nutzen? Wie gut lassen sie sich im Bedarfsfall europaweit skalieren?
• Betriebsfähigkeit: Wie ist die Verfügbarkeit der Services? Wie gut ist der Support?
• Dienstleister: Wie umfangreich ist die Partner-Landschaft für die Technologie? Wie gut verbreitet ist das notwendige Technologie-Know-how im Markt?

Bezogen auf die Kontrollziele wurden folgende Kriterien bewertet:

• Physikalische Sicherheit: Wie viele relevante Zertifizierungen gibt es? Wie viele Rechenzentren und Verfügbarkeitszonen gibt es?
• Cyber-Sicherheit: Wie gut sind Hardware- und Software-Supply-Chains gegen Kriminelle abgesichert? Wie viele Sicherheitsservices und relevante Zertifizierungen gibt es?
• Drittstaaten-Zugriffe: Wie geht der Provider mit konkurrierenden Gesetzgebungen um? Welche Methoden gibt es zur Absicherung gegenüber anderen Zugriffsarten staatlicher Akteure?
• Geopolitische Resistenz: Wie viele und welche Abhängigkeiten gibt in Betrieb, Software und Hardware bezüglich nicht-europäischer Akteure?
• Dokumentation: Wie gut sind die Services dokumentiert? Wie bekannt sind provider-spezifische Best-Practices?

Zu jeder der genannten Kategorien gibt es mehrere Fragen. Jede Kategorie erhält eine unterschiedliche Gewichtung, besondere Bedeutung erhalten die Fragen nach möglichen Drittstaaten-Zugriffen und geopolitischer Resistenz.

Die Bewertung selbst erfolgte basierend auf Experten-Interviews, Internetrecherche und Teilnahme an Konferenzen der Anbieter. In zukünftigen Iterationen befragen wir zudem die Anbieter direkt.