Befreiungsschlag im Alpenraum: Schweizer Militär kappt die Microsoft-Cloud, und das im Eiltempo - das Risiko ist zu groß

[d-hubs]

Das Unbehagen, sich ganz auf Microsoft verlassen zu sollen, zieht momentan immer weitere Kreise: Dänemark, Schleswig Holstein, Mecklenburg Vorpommern, überall wächst die Skepsis, sich voll und ganz auf den US-Riesen zu verlassen . Auch das Österreichische Heer hat sich bereits abgewandt - nun geht es weiter: die Schweiz zieht auch die Konsequenzen - aus sicherheitstechnischen Erwägungen heraus: Aufs Ganze gesehen vergeht kaum eine Woche ohne neue Initiativen, Ansätze oder Projektmeldungen. Die Debatte um "Digitale Souveränität", Unabhängigkeit, Transparenz, Sicherheit und nicht zuletzt auch Lizenzkosten ist in vollem Gange. Ein Blick auf die aktuellen Entwicklungen - heute auf die Schweiz...


guten Morgen liebe Community,

Die Schweizer Armee bricht mit Microsoft. Wegen des erzwungenen Umzugs in die US-Cloud und der Gefahr durch den US-Cloud-Act sehen die Cyber-Spezialisten ganz entscheidente und elementare ( ja geradezu höchste ) Sicherheitsrisiken für ihre streng geheimen Militärdaten. Viel zu sensibel ist der Bereich als dass hier ein Hosten außerhalb der Schweiz tragbar wäre. Deshab haben die Schweizer Experten sich nun entschieden: Um eine Ausspähung durch US-Behörden zu verhindern, stellen sie ihre Einheiten bis kommenden Oktober flächendeckend auf die Open-Source-Alternative OpenDesk um – ein radikaler Strategiewechsel gegen geopolitische Abhängigkeit.


…. auch auf Reddit wird das Thema diskutiert: Concerns about data security - Moving away from Microsoft: the federal government wants to reduce its dependence

https://www.reddit.com/r/Switzerland/comments/1spozq6/concerns_about_data_security_moving_away_from

..... mit bereits 178 upvotes und 33 comments

und hier: Adieu Microsoft: Schleswig-Holstein setzt auf Open Source und spart Millionen

https://www.reddit.com/r/de_EDV/comments/1pgb112/adieu_microsoft_schleswigholstein_setzt_auf_open

mit bereits [ b]800 upvotes und 203 comments[/b]


ein clip Schweiz gegen Microsoft 365 – und Deutschland schaut genau hin

in diesem Zusammenhang sehr wichtig - der Grundsatzartikel auf Wikipedia Open-Source-Software in öffentlichen Einrichtungen

Open-Source-Software in öffentlichen Einrichtungen – Wikipedia

de.wikipedia.org

dort werden auch die möglichen Gründe für den Umstieg: dargelegt:

Die Gründe, die die öffentlichen Einrichtungen selbst für eine Migration zu OSS nennen, können vielfältiger Natur sein: Meist müssen alte, bestehende Anwendungen und Betriebssysteme abgelöst werden. Die Motive, warum freie Software ausgewählt wird, lassen sich auf die folgenden – in jedem Einzelfall unterschiedlich zu gewichtende – Punkte zusammenfassen:

• Unabhängigkeit von einem Hersteller
• Kosteneinsparungen
• Maximale Flexibilität
• Hardwareplattform-Unabhängigkeit
• Sicherheit
• Wirtschaftsförderung

last but not least - ein Heise-Artikel: Cyber-Spezialisten des Schweizer Militärs verlassen Microsoft-Cloud

Wegen Cloud-Zwang und geopolitischer Abhängigkeit von den USA migrieren die Cyber-Spezialisten der Schweizer Armee in Rekordzeit zur deutschen Lösung OpenDesk. https://www.heise.de/news/Schweizer...ndo-Cyber-setzt-auf-Open-Source-11361475.html

Euch allen hier auf der Community noch einen schönen Tag,

Klicken zum Weiterlesen...

 

[Wuxi]

Das ist alles hoch interessant!
Ich bin kein InfoSec Experte, kenne allerdings viele und bin mit solchen Themen oft in Berührung. Als Laie, so weit vorneweg.


Den US-Cloud-Act gibt es (in früherer Fassung) schon sehr lange, schon in den frühen Nuller Jahren haben wir darüber gesprochen.
Den US-Diensten muss in bestimmten Situationen Zugriff auf Providerdaten gegeben werden.
Das ist also keineswegs neu. Der Ami sieht alles, dass muss einem schon lange klar sein.
Warum jetzt aussteigen? Was ist neu? (—> das wäre interessant!)

Grundsätzlich fände ich eine autarke Aufstellung eines Landes (oder Europas) gut.
Was mir nur völlig unklar ist (und ich habe Zweifel!): kann das mit Opensource-Software gelingen?
Kriegt man die wirklich “dicht”?
Warum nur die Office Suite und nicht gleich das OS?

 

[Mauleselchen]

Auch in deutschen Bundes-Behörden wird über einen Umstieg nachgedacht!

 

[quadratlatsche]

Wie sich diese Abhängig äußert, wurde in den letzten Monaten sehr konkret:
- ein Richter des Internationalen Strafgerichtshofs hatte keinen Zugriff auf seine Mails
- Nicht-US-Bürger konnten plötzlich nicht mehr auf bestimmte KI-Modelle von Anthropic zugreifen

Alle Firmen sollten - sofern noch nicht geschehen- analysieren, was eine Nichtverfügbarkeit von den Diensten eines US-Dienstleisters für ihre Produkte und Lieferketten konkret bedeuten würde und ggf. Maßnahmen ergreifen.

 

[quadratlatsche]

Nicht nur das, es geht auch um das (Wissens)Eigentum dieser Firmen, die von den zuständigen Stellen jederzeit einsehbar sind.

Und bei der derzeitigen Regierung ist die Weitergabe der Daten nicht ausgeschlossen.

Vor knapp 15 Jahren war das bereits ein Thema, da wollte ein Kunde, dass er alle Logdateien vorher prüft, bevor diese an Microsoft geschickt werden sollten. Begründung: es sei ein offenes Geheimnis, dass die Geheimnisse bei US-Firmen Mitarbeiter eingeschleust hätten, die Industriespionage betreiben.
Hintergrund: besagter Kunde hatte eine Patent-Datenbank, die unter Microsoft Sharepoint lief.

 

[Wuxi]

Alles old News.

Mein Fragezeichen bleibt:
Kann eine OpenSource Infrastruktur sicher sein?

Meine Befürchtung ist, dass da so viele Löcher sind, wie ein Sieb hat.

 

[quadratlatsche]

Alles old News.

Mein Fragezeichen bleibt:
Kann eine OpenSource Infrastruktur sicher sein?

Meine Befürchtung ist, dass da so viele Löcher sind, wie ein Sieb hat.

Bei proprietärer Software gibt es zumindest in manchen Ländern den Verdacht, dass der jeweilige Hersteller Hintertüren („backdoors“) einbaut, über die staatliche Stellen Zugriff bekommen können und Hacker werden diese früher oder später auch ausfindig machen.
Vor 30 Jahren wurde bei Lotus Notes zwischen einer US-Version und einer Export-Version unterschieden. Die US-Version hatte länge Schlüssellängen als die Export-Version, die Gründe dürften auf der Hand liegen.

Auch bei Open Source könnte jemand eine Backdoor heimlich einbauen, allerdings dürfte diese schneller auffindbar sein - gerade mit KI-Modellen wie Claude & Co soll das erheblich schneller gehen als „zu Fuß“ und angeblich war das einer der Gründe, wieso Nicht-US Bürger deren leistungsfähigste Modelle nicht nutzen dürfen sollten.

 

[ni27fo]

Vielleicht hat es damit zu tun, bzw mit dem im Bericht genannten Fakt, daß trotz EU-Boundary MS nicht garantieren kann, daß nicht doch was nach US geht

Datenschutz-Beben: Wie ein US-Urteil den EU-USA-Datenverkehr erschüttert

Aus Sicht von Datenschutzaktivisten ist das EU-US Data Privacy Framework praktisch schon tot. Doch so einfach ist die Lage nicht. Eine Einordnung.

www.heise.de

 

[markusm1000]

kann das mit Opensource-Software gelingen?

Dazu bräuchtest Du Anwender, die mit Software umgehen könnten. Da das utopisch ist (Das wäre so, wie wenn Du Auto fahren willst, solltest Du es auch reparieren können), brauchst Du Dienstleister, die die Software warten.
Warum sollte aber jemand, der diese Fähigkeiten hat, sein Wissen der Gemeinschaft kostenlos zur Verfügung stellen? Die üblichen OpenSource-Lizenzen sehen (in verschiedenen Ausprägungen) vor, dass OpenSource auch OpenSource bleibt. Sowas führt dann zu Konstruktionen, wie Apple oder Google, die Basis ist OpenSource (bspw. FreeBSD, bspw. Chromium), die Feinheiten, das was MacOs, iOs oder das Google-Ökosystem auf dem ChromeBrowser ausmacht, bleibt ClosedSource. Und damit ist dann auch wieder die Kontrolle und die Souveränität weg.
Im Business-Umfeld willst Du auch gar kein OpenSource haben, sondern jemanden, den Du verklagen kannst, wenn etwas schief geht.

Wo OpenSource funktionieren könnte, wäre im öffentlichen Sektor. Man könnte das das amerikanische Prinzip anwenden, was aus Steuermitteln gezahlt wird gehört der Allgemeinheit und jeder kann damit machen, was er will.

 

[Wuxi]

Auch bei Open Source könnte jemand eine Backdoor heimlich einbauen, allerdings dürfte diese schneller auffindbar sein

Man weiß ja nicht wer alles bei der Erstellung mitgewirkt hat.
Sicherheit überprüfen (also den Code prüfen) kann ja niemand, nur die KI. Und dies im Guten wie im Bösen.

Ich fürchte, wenn staatliche Dienste sich einfach in die OS Entwicklung einschleichen, dann entstehen unzählbare Lücken.

So bitter das ist: bei US Software weiß man wenigstens wer mitliest. Bei OS kann das im Zweifel jeder sein: Russland, Indien, Iran, China, NKorea, you name it.

 

[Mod63]

Ich würde mich ja totlachen wenn die MS abschaffen aber weiterhin auf CS Falcon und ähnliche Security Tools setzen

 

[quadratlatsche]

Dazu bräuchtest Du Anwender, die mit Software umgehen könnten. Da das utopisch ist (Das wäre so, wie wenn Du Auto fahren willst, solltest Du es auch reparieren können), brauchst Du Dienstleister, die die Software warten.
Warum sollte aber jemand, der diese Fähigkeiten hat, sein Wissen der Gemeinschaft kostenlos zur Verfügung stellen? Die üblichen OpenSource-Lizenzen sehen (in verschiedenen Ausprägungen) vor, dass OpenSource auch OpenSource bleibt. Sowas führt dann zu Konstruktionen, wie Apple oder Google, die Basis ist OpenSource (bspw. FreeBSD, bspw. Chromium), die Feinheiten, das was MacOs, iOs oder das Google-Ökosystem auf dem ChromeBrowser ausmacht, bleibt ClosedSource. Und damit ist dann auch wieder die Kontrolle und die Souveränität weg.
Im Business-Umfeld willst Du auch gar kein OpenSource haben, sondern jemanden, den Du verklagen kannst, wenn etwas schief geht.

Wo OpenSource funktionieren könnte, wäre im öffentlichen Sektor. Man könnte das das amerikanische Prinzip anwenden, was aus Steuermitteln gezahlt wird gehört der Allgemeinheit und jeder kann damit machen, was er will.

Gerne helfe ich mit ein paar Fakten aus: OpenSource wird natürlich im Business-Umfeld eingesetzt. Suse als Linux-Betriebssystem, die auch - selbstverständlich gegen Bezahlung - den Support übernehmen. Läuft bei SAP auf allen virtuellen Servern im Cloud-Umfeld, bei dem Kunden ihre Dienste betreiben lassen können.

 

[quadratlatsche]

Wie viele Linux-Dienstleister vom Range Microsofts oder Apple gibt es? RedHat, das ist ein richtiger Klotz, hat einen Umsatz von 3-4 Mrd $. Suse, das wohl viele in Deutschland und Europa kennen, hat so um die 700 Mio $ Umsatz.
Stell mal die ClosedSource Anbieter daneben: Adobe 24 Mrd $, SAP 36 Mrd $.

Dementsprechend ist eben auch die Innovationskraft. Ohne einen großzügigen Spender oder einen staatlichen Akteur ist es illusorisch, davon zu träumen, man könnte etwas wie MS365 oder ChatGPT durch OpenSource ersetzen.
Wo finden sich jetzt gleich EU-Fördergelder in Höhe von 10 Mrd EUR oder auch mal 100 Mrd EUR für einzelne Softwareprojekte? Ich hörte mal in den Nachrichten, dass die EU ein KI-Projekt mit 28 Mio förderte - wo MS 10 Mrd in OpenAI reinbuttert.
Mittlerweile sind die USA und die TechBros bei rund einer Bio. für KI. Was macht die EU?

Um das einmal einzuordnen: bei Microsoft arbeiten ca. 100 Leute an Word, davon 90 an der Lokalisierung (= Übersetzung in andere Sprachen). Bei anderen MS-Produkten mögen das ein paar Leute mehr sein, aber da sitzen nicht tausende Microsoft-Entwickler herum, die neue Features implementieren oder Bugs beheben.

 

[peterkdos]

Bundestag-Gutachten: Behörden dürfen Open Source in Ausschreibungen fordern

Der Wissenschaftliche Dienst des Parlaments klärt auf: Die gezielte Beschaffung von Open Source ist vergaberechtlich zulässig und oft sogar finanziell geboten.

www.heise.de

 

[Sedlitzer]

Kann eine OpenSource Infrastruktur sicher sein?

Nicht unsicherer als "closed SW", eher sicherer, weil alle reinschauen können

Dazu bräuchtest Du Anwender, die mit Software umgehen könnten.

Dem Anwender dürfte egal sein ob Excel vom M$ oder das freie LibreOffice.
Und ob im Hintergrund ein Windows läuft oder ein Linux/Unix, ist dem Endanwender mittlerweile auch ziemlich egal.
Anschalten, anmelden, arbeiten ....

Sicherheit überprüfen (also den Code prüfen) kann ja niemand, nur die KI.

Äh, nein

 

[W.W.]

Ich finde das in sofern befremdlich, dass man Microsoft rausschmeißt, aber weiterhin auf amerikanische computerisierte Rüstungstechnik (F-35) setzt. Da ist man meiner Ansicht nach weitaus gefährdeter, als bei Cloud und Office.