Gaia-X – Stärken und Schwächen

Hoher Preis für deutsche Cloud-Souveränität.

Eigentlich hört sich die Idee einer nationalen Datensouveränität erst einmal gut an. Wer europäisch denkt, fragt sich aber, warum hier das deutsche Bundesministerium für Wirtschaft und Energie (BMWi) als Initiator der Gaia-X-Initiative erscheint und nicht gleich die Europäische Union.

Echte Datensouveränität braucht folgende Zutaten:

Lokalität der Daten,

Rechtsraum, in dem die betreibenden Firmen agieren, und

Nationalität und Compliance der Personen, die mit dem Betrieb von Rechenzentrumsund Plattformdiensten betraut sind.

All das wäre mittelfristig in der EU gegeben, doch die Länder sind sich außenpolitisch nicht einig. Während Frankreichs Präsident Emmanuel Macron fairen Wettbewerb einklagt und die amerikanischen Konzerne zwingen möchte, Steuern auch im Land der jeweiligen Leistungserbringung zu zahlen, traut sich in Deutschland kein Regierungspolitiker wirklich, eine „Internet-Steuer“gegen Amazon, Google und Microsofts Cloud-Dienste zu erheben.

Zu groß ist die Angst vor politischen Konsequenzen: Die Trump-Regierung könnte ihre Zolldrohungen gegen die deutsche Autoindustrie wahr machen. Dementsprechend verfolgt das Gaia-X-Konzept jetzt das Ziel, die heimische IT-Industrie ebenso einzubeziehen wie die verbliebenen kleineren IT-Dienstleister. Alle Hyperscaler (Amazon, Microsoft, Google) und auch IBM sind bisher nicht involviert, sie werden sogar als Konkurrenz gesehen.

Stattdessen redet das Team von Bundeswirtschaftsminister Peter Altmaier mit den deutschen Unternehmen SAP, Deutsche Telekom und Deutsche Bank. Hinzu kommen einige wirklich kleine IT-Dienstleister, die im Ver

gleich zu den amerikanischen Gorillas keine Rolle spielen. So kommt eine Botschaft im deutschen Markt an: Wir schaffen die deutsche Cloud gegen die großen Amerikaner!

Dabei sollten die genannten deutschen Player dem Wirtschaftsministerium eigentlich erklären können, wie schwierig das wird. SAP zum Beispiel hat mit der HANA-Plattform einen der stärksten Software-Stacks der Welt für Unternehmensanwendungen. Doch als End-to-EndCloud-Provider rudern die Walldorfer nach anfänglicher Euphorie um die SAP HANA Cloud wieder kräftig zurück. Auch die Infrastruktur von SAP ist für echtes Volumengeschäft zu klein, zudem fallen die Margen deutlich niedriger aus als mit der Business-Software selbst. Infrastructure as a Service (IaaS) ist nun mal ein reines Massengeschäft. Hier präferiert

SAP für die meisten Kunden inzwischen den Betrieb des HANA-Stack auf Infrastruktur eines der rasant wachsenden Cloud-Riesen aus den USA: Amazon Web Services (AWS), Microsoft Azure oder Google Cloud. So rutscht das verbliebene eigene Infrastruktur-Business von SAP immer mehr in eine teure Nische ab, die nur für eine sehr kleine Klientel interessant ist.

Telekom als Azure-Treuhänder chancenlos

Auch die Telekom sollte genügend Erfahrungen mit ihren Cloud-Angeboten gesammelt haben, um das BMWi warnen zu können. Früh hat der größte deutsche Carrier erkannt, dass neben dem reinen IaaS-Angebot vor allem die modernen Platform-as-a-Service-(PaaS-)Dienste für Entwickler attraktiv sind. Das ist aber ein Geschäft, bei dem es um Softwareinvestitionen geht, kein Netz- oder InfrastrukturBusiness.

Die Deutsche Telekom hatte deshalb mit Microsoft eine lokale Azure-Zone unter ihrer Treuhänderschaft aufgebaut: Die Daten sollten im hiesigen Rechenzentrum und damit im deutschen Rechtsraum vorgehalten werden, der

Technologie-Stack kam von Microsofts Azure, aber der Datenzugriff sollte ausschließlich deutschem Telekom-Personal vorbehalten bleiben. Das ganze Projekt ist 2018 mit Vollgas gegen die Wand gefahren! Nur wenige Kunden wollten einen zehn- bis 15-prozentigen Aufpreis für die deutsche Datensouveränität zahlen. Die letzten Nutzer mussten ihre Anwendungen schließlich auf eigene Kosten in eine der großen Clouds übertragen.

Alle großen Cloud-Anbieter aus den USA entsprechen heute so weitreichend der Europäischen Datenschutz-Grundverordnung (DSGVO), dass inzwischen auch deutsche Finanzdienstleister mittlerer Größe zu ihren Kunden zählen. Heute vertreibt die Deutsche Telekom die AzurePlattform aus dem Microsoft-Rechenzentrum – nicht aus dem eigenen.

Deutsche Bank bringt Kernsystem nicht in eine Public Cloud

Auch die Deutsche Bank könnte Peter Altmaier ein wenig mehr über den Charakter ihrer internen IT-Workloads erzählen. Denn nur, wenn die Leistungsanforderungen eines Unternehmens stark schwanken, etwa bei einem Retailer im Weihnachtsgeschäft oder wenn, wie bei Volkswagen, viele Firmen entlang einer Industrie4.0-Lieferkette zusammenarbeiten, spielt die Public Cloud ihre Vorteile aus. Bei einer Bank tritt dieser Fall so gut wie nie ein. Deshalb betreiben die Größen der Finanzbranche ihre Kerninfrastrukturen weiter selbst. Wenn man aber die Elastizität der Infrastruktur nicht braucht und wenig Bedarf an vollständig gemanagten PaaS-Lösungen hat, ist eine Public Cloud nicht mehr günstiger. Dann teilt man sich vielleicht noch Strom, Netz und Klimatisierung mit den US-Cloud-Providern bei einem der großen Frankfurter Colocation-Anbieter. Das ist aber auch schon alles.

In Summe schätzen wir die meisten der an Gaia-X beteiligten Großunternehmen nicht so ein, dass sie ihre Core-Workloads oder Umsatzströme mit Gaia-X in Einklang bringen könnten. Das Konzept sieht auch gar nicht vor, dass keinerlei Infrastruktur von einem der vier USProvider kommen darf. Der ursprüngliche Anspruch war vielmehr Monopolvermeidung und die Stimulation eines Ökosystems, in dem der Austausch von Daten (zum Beispiel der Zugriff

auf Lernmodelle) konform mit unserer Rechtsauffassung ablaufen kann.

Die Abbildung von Gaia-X auf Seite 32 zeigt, wie das Daten-Ökosystem auf einem verteilten Infrastruktur-Ökosystem aufbauen soll. Eine Data Economy aufzubauen, die keinen Lock-in in eine bestimmte Infrastruktur erlaubt, ist eine gute Idee! Damit setzt Gaia-X mit seinem Infrastruktur-Ökosystem genau das um, was die drei Hyperscaler technisch jeweils schon mit ihren Availability Zones – proprietär allerdings – implementiert haben. Wir können uns vorstellen, dass das Gaia-X-Knotenverzeichnis ein Meta-Repository über Kubernetes-Cluster ist. Aber so konkret ist das Projekt noch nicht.

Die Projektbetreiber schlagen für die Schaffung eines offenen Standards und einer Referenzarchitektur die Etablierung einer Europäischen Organisation vor: „Zur Umsetzung der vernetzten Dateninfrastruktur erachten wir eine zentrale, europäisch getragene Organisation für notwendig. Sie soll aus wirtschaftlicher, organisatorischer und technischer Sicht die Basis für eine vernetzte Dateninfrastruktur sein. Ihre Aufgabe wird sein, eine Referenzarchitektur zu entwickeln, Standards zu definieren sowie Kriterien für Zertifizierungen und Gütesiegel vorzugeben. Sie soll ein neutraler Mittler und Kern des europäischen Ökosystems sein.“Die Initiative International Data Spaces (IDS), die vom Fraunhofer-Institut angeregt wurde, wird als erfolgreiches Beispiel angeführt. Jedoch haben in Sachen vernetzte Dateninfrastruktur die vier Amerikaner einfach die größte Kompetenz am Markt. Es wäre gut, dieses Wissen zu nutzen, ohne Abhängigkeiten einzugehen und Monopole zu begünstigen.

Wo sind die Multi-Cloud-Szenarien?

Ein Punkt, der bei Gaia-X vollkommen fehlt, sind hybride und Multi-Cloud-Szenarien. Dabei geht es um ganz konkrete Ansätze: Heute, rund 20 Jahre nach den Storage-Konsolidierungen in Enterprise-Rechenzentren, weiß jeder CIO, was kalte (alte) und heiße (aktuelle) Daten sind. Er speichert sie auf unterschiedlichen Systemen, um Preis und Zugriffszeiten zu balancieren. In gleicher Weise werden Unternehmen künftig ihre Daten auf modernen Microservice-Architekturen erneut zweiteilen. Wenige, aber hochsensible Daten werden vollständig verschlüsselt und gegebenenfalls in maximaler Datensouveränität abgelegt – in Deutschland.

So geht beispielsweise Bosch in eigenen Rechenzentren vor, die zwar deutlich teurer als AWS/Azure/Google sind, aber die eigene Souveränität gewährleisten. Der volumenmäßig viel größere Teil lässt sich meist so weit anonymisieren und „tokenizen“, dass er problemlos am kostengünstigsten Ort liegen kann. Beim autonomen Fahren sollten die Telematikdaten, die zeigen, dass Autos vor einer Schule scharf bremsen mussten, beispielsweise am besten unverschlüsselt an der günstigsten Stelle liegen und für maschinelles Lernen zugänglich sein. Das sind die Inhalte für die schon längst überfällige Zusammenarbeit der Autobauer im Bereich des autonomen Fahrens. Aber welche Fahrzeuge tatsächlich scharf bremsen mussten, das ist natürlich sehr vertraulich und liegt tatsächlich besser in der Bosch-Cloud.

Ähnlich sollte es sich mit der elektronischen Gesundheitsakte verhalten. Patientenname, Versicherungsnummer und ein geheimer Schlüssel (Token) sind sensible Daten, die an einem sicheren Ort liegen müssen. Dazu könnte Gaia-X den zertifizierten Souveränitäts-Level eines Infrastrukturknotens einführen. Faktisch wären das nur ein paar Gigabyte Daten – und zwar für alle Versicherten in Deutschland.

Ein gescanntes Röntgenbild sollte hingegen so anonymisiert und fragmentiert sein, dass kein Rückschluss auf den Patienten möglich ist. Solche Daten sind ohne den Zugang zu den Tokens nicht mehr personenbezogen und könnten auf einem Gaia-X-Knoten mit niedrigstem Souveränitätslevel gespeichert sein. Und das könnte dann auch ein US-Hyperscaler sein, denn der würde den Preispunkt für die vielen Petabytes an Röntgenbildern deutlich senken.

Multi-Cloud ist definitiv kein Buzzword, sondern der wichtigste Lösungsansatz, um Privatsphäre und Kosten durch das Orchestrieren mehrerer Dienste auszubalancieren – genauso wie es die CIOs früher mit Zugriffszeiten und Kosten ihrer Storage-Systeme gemacht haben. Leider steht davon nichts im Gaia-X-Konzept.

Das BMWi hat im Vorfeld der Ankündigung zu wenig mit den Branchenkennern gesprochen. Selbst der ITK-Verband Bitkom war eher Zuschauer als Wissens-Pool für das Berliner Ministerium.

Aus Fehlern lernen

Das Gaia-X-Konzept hat noch eine Chance, wenn die Macher aus den Fehlern der erfolglosen nationalen Clouds lernen, ihren Wertbeitrag auf alle drei Ebenen des As-a-Service-Stacks anwenden und in einen infrastrukturunabhängigen PaaS-Stack investieren. Letzterer muss Multi-Cloud-Szenarien der zukünftigen Data Economy unterstützen.

Damit hätten Kunden eine Lösung, die sowohl die Anforderung der deutschen Souveränität erfüllt als auch die Konkurrenzfähigkeit der amerikanischen Hyperscaler für das große Volumen nutzt. Den Hyperscalern würde es Traffic bringen, solange es die politische Lage erlaubt, aber für die Kunden im Idealfall keinen Lock-in. Immerhin muss das Ministerium nicht allein vorangehen: IBM und auch Microsoft haben formal Interesse an einer Beteiligung an Gaia-X beim BMWi bekundet, wie die beiden Firmen auf Anfrage von Crisp Research bestätigten.