Zwei unabhängige Meldungen stören die Begeisterung der Cloud-Befürworter:
Aber nun der Reihe nach:
Zwei Horrormeldungen erschrecken die Security-Leute, zwei Konstruktionsfehler der meisten heute im Einsatz befindlichen Prozessoren: Meltdown und Spectre.
Meltdown durchbricht die "Blutschranke" zwischen Anwendungen und Betriebssystem. Normalerweise ist der einer Anwendung zugewiesene Speicher gegenüber dem Betriebssystem "dicht" und dadurch vor Störungen von außerhalb geschützt, so zumindest will es der Konstruktionsplan der Prozessoren. Wird diese Grenze durchbrochen, so kann theoretisch jede sich im Hauptspeicher des Rechners befindliche Information ausgelesen werden. Die professionellen Angstmacher reden hier immer von Passwörtern und Credit Card-Nummern, die gestohlen werden können, aber betroffen ist alles, was sich zufällig im Hauptspeicher befindet, von Liebeserklärungen per Chat, heißen Mails über geheime Geschäfte bis zu Konstruktionsplänen oder anderen Betriebsgeheimnissen, alles was gerade aktuell in den Hauptspeicher geraten ist.
Das Problem beruht auf einem schon über zwanzig Jahre alten Designfehler der Prozessoren. Um schneller arbeiten zu können, laden sie schon vorsorglich für die nächsten vermuteten Arbeitsschritte benötigte Daten von den externen Speicherrmedien in den schnellen Hauptspeicher. Und dieser Optimierungprozess ist nicht wasserdicht. Einfach gestrickte Prozessoren, v.a. solche ohne diesen Cache zum Zwischenspeichern vermutlich benötigter Daten, haben das Problem nicht.
Spectre erlaubt das Durchbrechen der Schranke zwischen verschiedenen Anwendungen. Das ist interessant für professionelle Bösewichte, die sich damit auskennen, wo was in bekannten Systemen (z.B. SAP) gespeichert ist. Insider befürchten, dass es schon bald automatisierte Angriffsprogramme gibt, die diese Lücken und das Spezialwissen über die angegriffenen Programme kennen und ausnutzen werden.
Betroffen sind nahezu alle Prozessoren seit dem Baujahr 1995 (Intel, AMD, ARM). Das Heimtückische an den neuen Angriffen ist, dass sie keine Spuren hinterlassen.
Es mag zunächst verwundern, dass über zwanzig Jahre alte Konstruktionsfehler jetzt erst auffallen. Das hat aber damit zu tun, dass es die raffinierten Analyse-Tools zum Auffinden solcher Fehler erst seit ganz wenigen Jahren gibt. Und damit war die Epoche der schlummernden Zeitbomben dann zu Ende.
Und was lässt sich nun tun? Keine Panik und - patchen, patchen, patchen. Das ist die Antwort der Security-Experten der Hersteller. Und die Experten in den Firmen glauben ihnen allzu gerne.
Gegen Meltdown kann man sich mit Patches wehren. Es gibt sie schon für Linux , Windows und MacOS X. Spectre-Angriffe sind schwieriger auszuführen, aber leider auch schwieriger zu bekämpfen. Man muss anwendungsspezifisch vorgehen und kann dann bekannten oder zu erwartenden Angriffsmustern mit Software-Patches begegnen, eine Riesenarbeit. Längerfristig aber helfen nur anders gebaute Prozessoren. Also mittelfristig alle Prozessoren in den Sondermüll. Und da man sie bei den meisten Rechnern nicht austauschen kann also gleich alle Computer in den Sondermüll. Neue Geschäftsmodelle tun sich auf. Viel zu tun für die Computer-Industrie.
Nachteil der Patches: sie verlangsamen die Rechner und können bis zu 30 Prozent der Performance auffressen. Betroffen sind weniger die Endanwender, wohl aber die Provider mit ihren Datenbankanwendungen und heftigen Bewegungen vieler kleiner Dateien hinein in und heraus aus dem Hauptspeicher. Die Top-Anbieter haben nun alle Hände voll zu tun, Patches zu entwickeln, die die enormen Performance-Einbußen abmildern. Google macht seine disbezüglich behaupteten Erfolge dann auch öffentlich, "um das Cloud-Erlebnis branchenweit zu verbessern", so der offizielle Marketing-Speech. Spürbar die Angst vor dem einbrechenden Geschäft. Teurer dürfte es für die Kunden werden, wenn die alte Leistungsfähigkeit wieder hergestelt werden soll.
Zunächst die Vorgeschichte: Das US-Justizministerium hat 2013 von Microsoft die direkte Herausgabe von E-Mails eines Drogendealers verlangt, die auf einem Server in Irland gespeichert waren, leider ohne Bemühen um Amtshilfe durch die irischen Behörden. America first sozusagen, schon weit vor der Trump-Ära. In der Sache war kein Dissenz, aber es ging um Grundsätzliches, nämlich ob amerikanisches Recht direkt ohne Rücksicht auf nationales Recht in einem fremden Land anzuwenden ist. Nach einem Prozess-Hin und Her in zwei Instanzen war zunächst Ruhe. Noch im Oktober 2017 signalisierte das US-Justizministerium ein Einlenken.
Doch inzwischen hat US-Präsident Donald Trump das oberste US-amerikanische Gericht, den Supreme Court, mit einem Nachrücker besetzt, der ihn dort auf eine Mehrheit in seinem Sinne hoffen lässt. Und kaum geschehen, schon hängt das Verfahren vor eben diesem Gericht. Eine Entscheidung wird für den Sommer 2018 erwartet. In dem Streit geht es dann endgültig darum, ob US-amerikanisches Recht für in den USA tätige Firmen auch im Ausland vorrangig vor dem dort geltenden Recht und im Zweifelsfall auch gegen das dort geltende Recht durchgesetzt werden kann.
Betroffen wären alle gespeicherten Daten, vor allem natürlich vertrauliche Informationen, E-Mails, Steuererklärungen, Dokumente, Fotos, Kontakte, abgerufene Webseiten, alles was viele Menschen in den Cloud-Anwendungen von Amazon, Google, Apple, Microsoft & Co. speichern. Der US Supreme Court könnte US-Ermittlern künftig Zugriff auf eben diese Daten erlauben. Es genügt, wenn das Unternehmen, das die Daten verwaltet, in den USA tätig ist. Hier bahnt sich die Nagelprobe für die bis dahin in Kraft getretene EU-Datenschutz-Grundverordnung an, die solche Verfahren natürlich nicht zulässt.
Vor allem die großen Cloud-Anbieter sind entweder US-amerikanische Unternehmen oder zumindest dort tätig. Was dies für deutsche und europäische Firmen bedeutet, kann man sich gut ausdenken, insbesondere wenn die Warnung vor einer Terrorismus-Gefahr zur handfesten Industriespionage benutzt werden sollte. Niemand kann dies dann für die Zukunft ausschließen.
Datenverarbeitung ist Vertrauenssache. Die Computer-Industrie hat nun ihre lieben Probleme. Vermutlich wird es Jahre dauern, bis neue Prozessoren an allen wichtigen Stellen eingesetzt sind. Die Kundschaft mit Software-Updates bei Hardware-Fehlern zu vertrösten, ist nach dem Diesel-Skandal nicht mehr so erfolgversprechend.
Einer der Entdecker von Spectre, Daniel Gruß, sagte im Interview mit Golem.de, dass er nur ein "geringes Vertrauen" in die Softwarelösungen zum Beheben von Spectre habe.
Und die Weichei-Politiker der EU, die nach Meinung von Rechtsexperten einen „überraschend neutralen Standpunkt“ eingenommen haben, werden auch kaum eine Hilfe sein, um verlorenes Vertrauen zurückzugewinnen.
Ganz am Rande dieser Szene und nicht unmittelbar mit ihr zusammenhängend: Die deutsche SAP-Anwendergruppe hat der SAP einen Strich durch ihre Cloud-Rechnung gemacht. Sie wollen das SuccessFactors-basierte Personalsystem mit großer Mehrheit nicht, und nun hat SAP ihnen versprochen, dass es für den Personalbereich ab 2023 wieder eine On premise-Lösung mit taditioneller Datenspeicherung „vor Ort" geben wird. Man möchte doch lieber die Daten nicht in der Wolke sondern bei sich behalten.
 |
Karl Schmitz, Januar 2018 |
 tse Hamburg | 97 / 312 |
