Setzt man sich mit verschiedenen Begriffsdefinitionen oder Systembeschreibungen auseinander, stellt man fest, dass die meisten „Xyz as a Service“-Beschreibungen (bisweilen auch „Everything as a Service“) mit einer Cloud-Lösung im Sinne von „man mietet sich die erforderliche Software“ verbunden sind. Aber eben nicht alle. Im Bereich der Sicherheitstechnik muss man hierbei unterscheiden zwischen den Bereichen
- Feldebene
- Anlagenebene
- Managementebene
Bei der Feldebene handelt es sich um Aktoren und Sensoren, die typischerweise mehr oder weniger fest im Gebäude oder im Perimeter verbaut sind. Die öffentliche Cloud spielt hier naturgemäß keine Rolle.
Die Anlagenebene bezeichnet die zentrale Anlagentechnik vor Ort, auf die die Komponenten der Feldebene aufgeschaltet sind. Dort ist auch die für den Betrieb der einzelnen Anlagen erforderliche Betriebs- und Anwendungssoftware installiert. Hier kommt jetzt erstmals die Cloud ins Spiel, da die Software dieser Anlagen theoretisch in die Cloud ausgelagert werden könnte (rein technisch gesehen). Allerdings muss man zwischen IP-basierten und nicht IP-basierten Systemen unterscheiden. Einbruchmeldeanlagen (EMA) und Brandmeldeanlagen (BMA) kommunizieren zwischen Feldebene und Anlagenebene mit herstellerspezifischen Protokollen und sind obendrein stark durch Vorschriften reguliert. Dazu kommt noch, dass diese Anlagen typischerweise zahlreiche Schnittstellen zu anderen überwiegend sicherheitstechnischen Einrichtungen haben. Somit ist eine Verlagerung der Software in die Cloud nicht wirklich umsetzbar. Bei IP-basierten sicherheitstechnischen Anlagen, wie z. B. der Videoüberwachung, wäre eine Verlagerung in die Cloud schon eher möglich, aber hier sprechen Bandbreitenbedarf und vor allem wieder die Schnittstellenthematik zu anderen sicherheits-technischen Einrichtungen ebenfalls gegen eine Verlagerung in die Cloud.
Anders sieht es auf der Managementebene aus. Diese Systeme werden typischerweise gebäude- oder standortübergreifend eingesetzt und sind IP-basiert. Somit ist es technisch gesehen egal, wo diese Applikationen verortet sind. Aber es sind auch andere Aspekte zu betrachten wie Verfügbarkeit oder Datensicherheit. Das heißt, vor einer Entscheidung hinsichtlich einer möglichen Cloud-Lösung muss man die aufgeführten Aspekte genau betrachten und projektspezifisch bewerten.
Erweitert man den „As a Service“-Gedanken jedoch um die Aspekte Hardware sowie Betrieb der Anlage, eröffnen sich weitere Optionen. Ein Anwender muss jetzt nur noch die Anforderungen an die gewünschten sicherheitstechnischen Einrichtungen definieren und kann dann das komplette Sicherheitspaket von der Hardware über die Software bis hin zum Betrieb mieten bzw. buchen. Wobei bei einigen Dienstleistern auch die Definition dieser Anforderungen bereits Bestandteil der „Security as a Service“-Dienstleistung sein kann.
Was die Hardware, auch die der Feldebene, angeht, kann man mittlerweile grundsätzlich alles mieten. Wo sich eine gemietete Datenverarbeitung am Ende „physisch“ abspielt ist auch im Mietfall wieder abhängig von den vorstehend getroffenen Betrachtungen.
Bleibt noch der Betrieb der Anlagen: Hier ist es schon seit Langem (eigentlich schon immer) üblich, Instandhaltungsverträge mit den Errichtern der Anlagen abzuschließen. Da bei den sicherheitstechnischen Anlagen und Systemen immer mehr die Software im Vordergrund steht, haben sich die Vertragsinhalte allerdings immer mehr an die Struktur der klassischen Softwareverträge aus dem Bereich der IT angeglichen. Verbunden damit sind kürzere Lebenszyklen der Anlagen entsprechend den Lebenszyklen von IT-Systemen. Nicht weil die Anlagen dann nicht mehr funktionieren, sondern weil abgekündigte Anlagen bzw. deren Software unter anderem anfälliger für Cyberkriminalität werden.
Ein weiterer Betriebsaspekt ist die kontinuierliche personelle Besetzung der Bedienplätze der Managementsysteme. Dies kann sowohl durch eigene Mitarbeiter erfolgen als auch durch den Dienstleister, vor Ort beim Auftraggeber oder am Standort des Dienstleisters.
Fazit
Zusammenfassend kann man feststellen, dass bei einem „Security as a Service“-Angebot die Cloud-Lösung für die Software eher nicht im Vordergrund der Dienstleistung steht, sondern vielmehr der vollständige Betrieb der lokal installierten Anlage in Verbindung mit der Miete der Einzelkomponenten. Der Betreiber spart sich die Investition und muss sich theoretisch um nichts mehr kümmern, gibt aber gleichzeitig die Sicherheit seines Unternehmens vollständig in externe Hände. Letzteres ist in einem der Kritischen Infrastruktur zuzuordnenden Unternehmen sicherlich anders zu bewerten als in der Verwaltung eines Handelsunternehmens. Natürlich kann man sich als Unternehmen auch für Mischlösungen entscheiden, das heißt nur einen Teil seiner Sicherheitslösung selbst zu kaufen und ggfs. zu betreiben, andere Teile dagegen über einen „As a Service“-Vertrag umzusetzen. Somit besteht größtmögliche Flexibilität, um für sich die optimale Lösung zu realisieren. Wie so oft im Leben gibt es auch bei dieser Thematik nicht nur schwarz oder weiß, sondern die Wahrheit liegt irgendwo dazwischen.
