Enterprise Networking: die Ebene, die niemand bewertet, bis etwas schiefläuft

Wenn über digitale Souveränität gesprochen wird, bleibt die Netzwerkinfrastruktur häufig außen vor. Anwendungen werden bewertet, Datenplattformen werden bewertet, während das Netzwerk oft nur als technische Basis betrachtet wird.

Das Cloud Sovereignty Framework der Europäischen Kommission bezieht diese Ebene dagegen ausdrücklich ein. Aus gutem Grund: Im Netzwerk entscheidet sich, ob Datenpakete Rechtsräume überschreiten, wo Firmware signiert wird und ob die Management-Ebene unbemerkt Betriebs- und Telemetriedaten an Cloud-Dienste außerhalb der eigenen Kontrolle übermittelt.

Wo Unternehmensnetzwerke heute stehen

In der Praxis sind vor allem zwei Konstellationen verbreitet:

• Ein großes europäisches Unternehmen betreibt SD-WAN und SASE mit einem der führenden US-Anbieter. Die Controller werden in der Cloud betrieben, entweder in den USA oder in einer europäischen Region eines US-amerikanischen Anbieters. Eine solche Umgebung erreicht bei SOV-5 und SOV-7 typischerweise nur SEAL-1, unabhängig davon, wo sich die Netzwerkkomponenten physisch befinden.
• Ein europäisches Unternehmen setzt für Campus- und Rechenzentrumsnetzwerke auf einen europäischen Anbieter und betreibt das Management lokal. Die zugrunde liegende Hardware ist jedoch auf Firmware außerhalb der EU angewiesen. Bei den operativen Zielen kann eine solche Umgebung SEAL-2 erreichen. Bei SOV-5 setzt die zugrunde liegende Halbleiter- und Lieferkette jedoch Grenzen.

Die für Netzwerke entscheidenden SOV-Ziele

SOV-5: Lieferkette

Dieser Aspekt wird von Netzwerkteams häufig unterschätzt. Das Framework betrachtet unter anderem, wo Hardware gefertigt wird, wo Firmware signiert wird und woher Updates stammen. Ebenso relevant ist die Transparenz der Unterlieferantenkette.

Dieser Aspekt wird von Netzwerkteams häufig unterschätzt. Das Framework betrachtet unter anderem, wo Hardware gefertigt wird, wo Firmware signiert wird und woher Updates stammen. Ebenso relevant ist die Transparenz der Unterlieferantenkette.

SOV-7: Sicherheit und Compliance

Die Frage nach dem Standort von Network Operations Center (NOC) und Security Operations Center (SOC) spielt bei Netzwerken eine besonders wichtige Rolle. Denn die dort verarbeiteten Betriebs- und Telemetriedaten können selbst sensibel sein. Dazu gehören beispielsweise Flow-Daten, Änderungen an Konfigurationen und Informationen über die Netzwerktopologie.

Befindet sich das NOC in einem Rechtsraum außerhalb der EU, können auch diese Daten dort verarbeitet werden. Im Framework ist dies deshalb für die Bewertung grenzüberschreitender Datenverarbeitung relevant.

SOV-6: Technologie

Hier geht es unter anderem um die Frage: offene Standards oder proprietäre Technologien?

Ein Netzwerk, das auf dokumentierten Protokollen und offenen APIs basiert, lässt sich leichter auf andere Technologien und Anbieter übertragen. Eine Architektur, die von einem proprietären Controller und proprietären Telemetrieformaten abhängig ist, schränkt diese Portabilität ein.

Das Framework bewertet offene und übertragbare Strukturen entsprechend besser als proprietäre Abhängigkeiten.

Das Problem mit der Management-Ebene

Cloud-basiertes Netzwerkmanagement ist heute eines der zentralen Souveränitätsthemen in Unternehmensnetzwerken und wird dennoch leicht übersehen.

Verlagert ein Netzwerkanbieter seinen Controller in die Cloud, verändern sich gleichzeitig drei Dinge:

• Konfigurationsdaten verlassen die Infrastruktur des Kunden.
• Telemetriedaten verlassen die Infrastruktur des Kunden.
• Die Endpunkte der Steuerungs-APIs befinden sich im Rechtsraum des jeweiligen Anbieters.

Aus Sicht des Frameworks steht dabei nicht der praktische Nutzen des Cloud-Managements im Vordergrund, sondern die daraus entstehende rechtliche und operative Abhängigkeit. Ein Cloud-verwaltetes SD-WAN mit einem in den USA betriebenen Controller erreicht daher nicht automatisch SEAL-2, auch wenn andere Teile der Infrastruktur in Europa betrieben werden.

Drei Ansätze sind aus Souveränitätssicht belastbar:

1. Den Controller in eine EU-gehostete Umgebung verlagern,  ergänzt um Support innerhalb der EU und Schlüsselverwaltung in der EU. Einige Anbieter ermöglichen dies, andere nicht.
2. Zu einem europäischen Anbieter wechseln . dessen Controller standardmäßig in der EU betrieben wird. Ein solcher Wechsel kann jedoch erheblich tiefer in die bestehende Netzwerkarchitektur eingreifen und lässt sich häufig nicht innerhalb eines einzelnen Erneuerungszyklus umsetzen.
3. Ein selbst betriebenes Controller-Modell auf EU-Infrastruktur einsetzen.   Das erhöht den Betriebsaufwand, kann aber der entscheidende Schritt sein, wenn SEAL-3 erreicht werden soll.

Die Frage nach der Firmware und Signatur

Beim Thema Firmware werden die Grenzen digitaler Souveränität besonders deutlich. Im etablierten Markt für Enterprise Networking gibt es kaum Halbleitertechnologie, die vollständig aus Europa stammt.

Das Framework trägt dieser Realität Rechnung. Es verlangt nicht zwangsläufig europäische Halbleiter auf jeder Ebene der technologischen Lieferkette. Entscheidend sind vielmehr Transparenz, Auditierbarkeit und Kontrolle über den Update-Prozess. 

Zu den Maßnahmen, die eine bessere Bewertung unterstützen können, gehören: :

• ein in der EU betriebenes Software-Update-Repository, das vom Kunden oder einem europäischen Integrator kontrolliert wird und in dem signierte Firmware-Images lokal überprüft werden
• eine dokumentierte Liste der Unterlieferanten einschließlich Audit-Rechten und Angaben dazu, in welchen Ländern die für die Signierung relevanten Schlüssel verwaltet werden
• eine Vertragsklausel, die den Anbieter dazu verpflichtet, Änderungen beim Land der Firmware-Entwicklung oder -Signierung offenzulegen

Acht Fragen für die nächste Erneuerung Ihrer Netzwerkinfrastruktur

1. Wo wird die Management-Ebene betrieben und welchem Rechtsraum unterliegt sie?
2. Wo werden Betriebs- und Telemetriedaten gespeichert und wie lange?
3. In welchem Land wird die Firmware der jeweiligen Hardware-Produktfamilien signiert und wer kontrolliert die Signaturschlüssel?
4. Wo befindet sich das NOC und lässt sich vertraglich ein ausschließlich innerhalb der EU betriebenes NOC vereinbaren?
5. Welche Steuerungs-APIs sind dokumentiert und offen, welche sind proprietär?
6. Welche Exit-Optionen bestehen, wenn ein Anbieter während der Vertragslaufzeit den Rechtsraum für den Betrieb seines Controllers ändert?
7. Welche Unterlieferanten sind Teil der Lieferkette und welche Audit-Rechte bestehen gegenüber diesen Unternehmen?
8. Welchen SEAL-Wert könnten Sie einer Aufsichtsbehörde heute nach den Kriterien der Europäischen Kommission nachvollziehbar darstellen?

Was das für Unternehmen bedeutet

Die Souveränität der Netzwerkinfrastruktur fällt in der Bewertung häufig schlechter aus, als CIOs erwarten. Das bedeutet jedoch nicht automatisch, dass die gesamte Netzwerkinfrastruktur oder der Anbieter ausgetauscht werden muss.

Beginnen Sie mit der Management-Ebene und dem Firmware-Update-Prozess. Veränderungen an diesen beiden Punkten können die Souveränitätsbewertung einer bestehenden Umgebung deutlich verbessern und laut Ausgangstext häufig sogar eine Verbesserung um eine vollständige SEAL-Stufe ermöglichen.

Im fünften Beitrag dieser Serie gehen wir den Rechner der Europäischen Kommission anhand eines kleinen, realistischen Beispiels Schritt für Schritt durch. So können Sie Ihre eigene Umgebung bewerten, bevor die nächste Ausschreibung startet.