„Wir bieten einen guten Mittelweg zwischen Manpower, Kosten und Kundenzufriedenheit“

Der österreichische Backup-Experte next layer bietet umfassendes Cloud-Backup in seinen Wiener Rechenzentren. Im Interview mit der IT Welt erläutern Andreas Schoder, Leiter Cloud & Managend Services, und Alexandros Osyos, Senior Produkt Manager, worauf Unternehmen beim Backup achten müssen und welche Produkte und Dienstleistungen next layer bietet. [...]

Wenn ein Unternehmen sich für Cloud-Backup bei Ihnen entscheidet, was sind die Herausforderungen, was muss es beachten, damit ein guter Einstieg ins Cloud-Backup gelingt? 

Schoder: Bei jedem Backup, egal ob lokal oder in die beziehungsweise von der Cloud, sollte eine Backup-Strategie immer an erster Stelle stehen. Die Frage ist: Was will ich erreichen?

Will ich ein Backup, also Schutz meiner Daten vor Verlust, vor Zerstörung eines Geräts, vor Hackerangriffen, vor Ransomware? Oder will ich Langzeit-Archivierung, etwa aus Compliance-Gründe, wo ich meine Daten länger aufheben muss? Oder will ich Disaster Recovery, also vielleicht Backup vom Backup, weil ich mein Backup in meinem Rechenzentrum habe und ich mich auch davor schützen will, wenn das Rechenzentrum zerstört wird, etwa durch einen Brand? Oder gelten Compliance-Vorgaben, wie DORA (Digital Operational Resilience Act) und NIS 2 („Network and Information Security Directive“““ der EU), wo es unter Umständen nicht reicht, einfach nur ein Backup zu haben, sondern man muss auch sicherstellen, dass das Backup dann örtlich woanders ist, man muss mehrere Sites oder Standorte haben.

Die Strategie steht also an erster Stelle. Kommt ein Kunde zu uns und verlangt nach einem Produkt oder einer Lösung, dann hängt es von der Strategie ab, mit welchen Mitteln man das Thema löst. Hier arbeiten wir sehr stark mit dem Hersteller Veeam zusammen, der einige Features und auch unterschiedlichste Produkte anbietet. So kann man beispielsweise Backup von AWS S3 (Amazon Simple Storage Service) oder generell AWS-Ressourcen, aber auch Azure-Ressourcen zu uns backuppen, aber auch aus dem Rechenzentrum des Kunden selbst. Der Kunde hat vielleicht schon eine Veeam-Installation und kann dann eben ein Backup noch ein zweites Mal zu uns sichern oder auch direkt als Remote-Target gleich zu uns sichern. 

Es gibt verschiedene Features und Veeam bringt einige Add-ons mit, so dass die Leistung über das klassische Backup hinausgeht, Add-ons wie Ransomware-Protection-Features, wie eine Art Papierkorb im Backup oder auch Immutable Backups, die nicht veränderbar sind. Hier ist der Use Case relevant, welche Features man braucht. Wenn man hingegen in Richtung Disaster Recovery überlegt, gibt es andere Varianten, wo man beispielsweise VMware-Spiegelungen oder Spiegelungen auf Storage-Ebene machen kann, S3-Replikationen kann man machen.

Hier ist der Use Case und die Strategie entscheidend, um zu entscheiden, was der richtige Weg ist. 

Übrigens: Wir sagen, die Snapshot-Technologie ist kein Backup. Es gibt ja viele Kunden, die darauf verweisen, dass sie einen Snapshot hätten und den spiegeln sie dann woanders hin. Das ist für uns kein Backup. Bei Snapshots gibt’s weder Technologie noch Medienbruch. Das „System“, welches die Daten hält, kümmert sich auch um die Kopie. Ein Fehler des „Systems“ würde damit auch Probleme bei der Kopie mit sich bringen, daher sehen wir das nicht als Ersatz für ein Backup. Es gibt ganz viele Kunden, die das haben und die  brauchen dann on top noch ein Backup. Wenn sie zu uns kommen, freut uns das natürlich.

Wie sieht es mit Service, Support und Wartung sowie Testen der Backups bei next layer aus?

Schoder: Im Unterschied zu den großen Hyperscalern sehen wir uns als lokaler, zugänglicher, serviceorientierter Cloud-Anbieter. Das heißt, neben diesen Produkten haben wir dann auch alle möglichen Betriebs- und Managed-Service-Varianten. Da ist es zum Beispiel möglich, über die Standard-Features hinaus, die zum Beispiel Veeam mitbringt, Dinge zu vereinbaren, wie zum Beispiel einmal im Jahr einen Restore-Test.

Wir haben Kunden, bei denen wird einmal im Jahr ein kompletter Kubernetes-Cluster mit Datenbank-Anbindung aus dem Backup heraus hochgefahren und zwei, drei Tage aktiv genutzt – eben um sicherzustellen, dass das wirklich funktioniert. Das sind dann aber individuelle Managed Services oder Betriebsvereinbarungen, wo wir auch gerne den Kunden helfen. Das sehen wir auch als Mehrwert, weil das natürlich viele Große in der Form so nicht liefern können.

Gibt es eine Kundengruppe oder Branchen, auf die Sie spezialisiert sind?  

Osyos: Von den Kunden her unterscheiden wir nicht – Backup ist Backup, am Ende sind es Server, egal ob virtuell oder physisch. 

Wir backuppen aber nicht nur Server, sondern auch die Workstations – gerade in Zeiten, wo Notebooks nach Hause mitgenommen werden oder von unterwegs gearbeitet wird. Diese können durch einen Einbruch verloren gehen oder durch einen Wasserschaden oder Brand zerstört werden. Auch das wird natürlich mit gebackuppt. Das hängt aber auch von der Strategie des Kunde ab, was er gerne haben möchte.

Das heißt, wir decken von Anfang bis Ende wirklich die komplette Sicherung ab. Zudem verwenden wir das auch intern selbst und vertrauen auch dieser Lösung. 

Schoder: Bezüglich Branchen haben wir keine Schwerpunkte. Allerdings sind Kunden, die Bedarf an Beratung haben, eine Idee haben, was sie machen wollen, aber nicht ganz genau wissen, wie sie das umsetzen und das mit Menschen diskutieren wollen, die sind bei uns sehr gut aufgehoben.

Auch im Bereich Start-ups und Firmen mit besonderen Anforderungen an Internet und Services, Compliance-Richtlinien, etwa dass der Standort in Österreich sein muss, da sind wir sehr stark. Das ist aber branchenübergreifend. Kunden, die 2 VMs möglichst günstig wollen, egal wo, die werden wir tendenziell eher nicht gewinnen; die gehen eher zu den Hyperscalern.

Ihr Fokus liegt auf Kunden aus Österreich? 

Schoder: Ja, absolut. Unser Schwerpunkt sind Kunden in Österreich, aber auch einige im DACH-Raum, wo wir gerade im ISP-Umfeld auch in Deutschland und der Schweiz vertreten sind. Wir sind jedoch nicht der klassische Webshop, wo via Kreditkarte Services bezieht, egal wo man ist. Unser Schwerpunkt ist schon Österreich und das forcieren wir auch sehr stark. Die Datenaufbewahrung in Österreich ist ein sehr großes Thema bei uns, das wir unseren Kunden auch garantieren. Wir arbeiten zwar auch mit AWS zusammen, aber das sind Use Cases, wo der Kunde das auch weiß.

Osyos: Die klassischen Next-Layer-Services sind immer in den Wiener Rechenzentren, die auch physisch mit einigen Kilometern dazwischen voneinander getrennt sind. 

Schoder: Rechenzentren für Cloud-Services haben wir drei in Wien und eines in Frankfurt. Wenn man jetzt den ISP-Teil von next layer hernimmt, dann sind wir in fast jedem Rechenzentrum vertreten. Aber da bieten wir eben keine Cloud-Services an, sondern nur Internetdienstleistungen.

Wie groß können eigentlich Backups sein, die über die Cloud gesichert werden? 

Schoder: Das ist eine sehr spannende Frage und hier gibt es zwei limitierende Faktoren. Das eine ist das Initial-Backup, das ist die größte Herausforderung, da das Initial-Backup über die Internet-Bandbreiten durchaus Tage bis Wochen, auch Monate dauern kann. Da muss man vielleicht mit einer USB-Platte anrücken. 

Und dann ist natürlich die Änderungsrate relevant – also wie sehr ändern sich meine Backups. Das muss mit der Internet-Bandbreite zusammenpassen. Wenn ich eine 100-Megabit-Internet-Anbindung habe, dann werde ich eher weniger große Backups machen können.

Wenn ich aber eine 100G-Anbindung, vielleicht sogar direkt zu NextLayer habe, dann geht schon relativ viel. Also die Internet-Bandbreite ist immer der limitierende Faktor. 

Es gibt also keine Beschränkung von der Speicherkapazität her, sondern eher von der technischen Übertragbarkeit… 

Schoder: Genau. Bevor wir in Größenordnungen vorstoßen, wo wir mit unserem Speicher ans Limit gehen, landen wir immer schon vorher an einem Bandbreitenlimit. Zudem erweitern wir ja laufend unsere Storage-Systeme.

Bei 10, 20, 30 oder 40 Terabytes muss man sich schon überlegen, ob man das überhaupt in einer sinnvollen Zeit transferieren kann. 

Wann übernimmt man standardisierte Lösung, wann muss man vielleicht auch individuelle Lösungen finden?

Schoder: Wie viel Standard soll man nehmen, wie viel Individual braucht es? Welchen Ansatz muss man hier wählen? Ich bin der Meinung, dass Standard immer vor Individuell gehen sollte, einfach aus dem Grund, weil Standardisierung sowohl beim Kunden als auch beim Dienstleister alles bekannt ist – es sind immer die gleichen Stellschrauben, die man drehen muss. In einem standardisierten Umfeld ist die Dokumentation geklärt, die Reaktionszeiten, die SLAs sind bekannt. Da sehen wir unsere Stärke und haben mit Veeam einen guten Partner, der bereits viele Features mitbringt.

Individuell bieten wir auch an, es ist immer dann gefragt, wo man mit dem Standard nicht auskommt. Wir versuchen das in einem sinnvollen Rahmen mit guten Dokumentations- und Kommunikationsstrategien abzubilden. Das ist auch eine unsere Stärken. Aber natürlich: je mehr Kunden man hat, desto mehr muss man in Richtung Standard gehen.

Der Standard ist zu bevorzugen. Alles, was ich irgendwie mit Standardmitteln machen kann, sollte ich mit Standardmitteln machen, weil es in der Regel günstiger, effizienter und besser ist. 

Osyos: Man darf nicht vergessen, die Standardlösung ist auch zukunftssicherer. Das Update passiert quasi automatisch und ist getestet. Bei Individuallösungen muss man mehr mitdenken.

Schoder: Wir haben zum Beispiel einen Kunden, der eine Backup-Kopie bei sich auf Band spielen will. Da gibt es Lösungen, wo wir aus unserem normalen Backup über eine virtuelle Maschine die Daten herausziehen und diese Daten wohin transportieren. Das wäre ein Beispiel für eine sehr individuelle Backup-Strategie, bei der der Kunde Cloud-Backup nutzen, aber für das Langzeitarchiv Bänder bei sich im Safe lagern will.

Das ist eine individuelle Lösung, bei der wir unser Standardprodukt mit einer zusätzlichen Dienstleistung verbinden, um das gewünschte Ziel des Kunden zu erreichen. Wir wollen dem Kunden nicht ein bestimmtes Produkt verkaufen, sondern sein Problem erkennen, verstehen und eine Lösung anbieten. Für diese Lösung benutzen wir möglichst viele Standardprodukte und alles, was mit dem Standard nicht machbar ist, wird durch eine individuelle Lösung ergänzt. Damit haben wir einen guten Mittelweg zwischen Manpower, Kosten und Kundenzufriedenheit. Das ist ein guter Mix. 

Was bedeutet das Thema Standard und individuelle Lösung in Bezug auf die Sicherheit?

Schoder: Das ist ein großes Thema. Im Standard macht man sich natürlich viele Gedanken über die Security, da wird das alles natürlich durchdefiniert. Wir sind zum Beispiel ISO 27001 zertifiziert und wenn wir ein neues Standardprodukt entwickeln, dann muss das durch einen definierten Prozess, muss durch unsere Security, da gibt es klare Richtlinien. Natürlich besteht die Gefahr mit individuellen Lösungen, solche Dinge aufzuweichen.

Und das passiert auch. So gut kann man gar nicht darauf achten, dass man nicht vielleicht doch unabsichtlich irgendetwas einbaut. In dem Beispiel, das ich vorher genannt habe, verlässt das Backup unsere abgesicherte Wolke und wird woanders hin transferiert.

Im Fall von Ransomware ist das wahrscheinlich kein Problem, weil das Backup ja doppelt vorhanden ist. Im Fall eines Data Breaches oder Verlusts von Daten, ist das doch ein Risiko. Die Daten gelangen in eine andere Hoheit und werden von jemand anderem – hoffentlich sehr gut – weiter betreut, aber wir wissen es nicht.

Hier finde ich die Sicherheit im Standard, wenn der Standard gut gemacht ist, als deutlich höher als bei individuellen Lösungen.

Sehr aktuell ist das Thema Künstliche Intelligenz. Jetzt setzen die Angreifer zunehmend auf KI, gleichzeitig nützen Firmen wie Veeam KI, um ihre Produkte sicherer zu machen. Wie sehen Sie dieses Spannungsfeld?

Schoder: Ja, das Spannungsfeld ist genau so, wie Sie es beschreiben. Security ist und war immer schon ein Katz-und-Maus-Spiel. Einmal ist der eine im Vorteil, einmal der andere. Das wechselt sich ab. KI ist ein weiteres Werkzeug, das beide Seiten nutzen. Natürlich wird jeder Angriff immer intelligenter, aber auch die Verteidigungsmechanismen werden immer intelligenter. KI wird genutzt, um Signaturen-Patterns automatisch zu erkennen. Im Vergleich zu früher passiert Security mit KI wie mit Magie. Zum Beispiel arbeiten SOCs (Security Operations Center) sehr stark mit Event-Erkennung und Log-Analysen – und alles KI-gestützt.

Im systemgestützten Bereich sehe ich Angriff und Verteidigung auf Augenhöhe. Meine Sorgen beziehen sich auf den Menschen. Man kann mit KI Bilder, Dokumente oder Texte generieren, die wirklich unglaublich schwer als Fake zu erkennen sind. Die User davor zu schützen, wird sehr schwer.

Phishing-Mails hat man früher sofort an den vielen Rechtschreibfehler erkannt. Wenn ich ein Mail von Chat-GPT schreiben lasse, wird kein Rechtschreibfehler enthalten sein. Oder ich lasse mir von einem Unternehmen eine Zusammenfassung erstellen und habe dann Hintergrundinformationen. Das geht alles sehr schnell. 

Hier mach ich mir schon Sorgen, und sehe die Angreifer im Moment im Vorteil.

Wie sieht es bei den Cloud-Backups, die Sie anbieten in puncto Nachhaltigkeit aus? 

Schoder: Das Thema Nachhaltigkeit wird natürlich immer mehr nachgefragt. Im Rechenzentrumsbereich ist vor allem der Energieverbrauch ein großes Thema. Da gibt es viele Ansätze. Von den Stromspar-CPUs, die manche Hersteller anbieten, halte ich aber nichts. Denn was macht der Hersteller? Er schraubt einfach im BIOS die Leistung herunter. Das ist kein Stromsparen, das ist einfach nur ein Leistungseinschnitt. Das bringt nichts. Aber was im Rechenzentrum hilft, ist das Arbeiten an den Effizienzkurven. Hier spielt der sogenannte PUE-Wert (Power Usage Effectiveness) eine Rolle. Dieser gibt an, wie effektiv die zugeführte Energie in Bezug auf die eigentliche Rechenleistung verbraucht wird – je niedriger der Wert, desto effizienter arbeitet das Rechenzentrum. 

Zudem setzen wir in unseren eigenen Rechenzentren auf Ökostrom. Mir fällt spontan das Beispiel Kubernetes und Container-Technologie ein. Hier wird sehr viel auf Basis-Images gesetzt. Und was machen dann viele in ihren CI/CD-Pipelines? Sie holen sich hundertmal am Tag von irgend einem Internet-Server das gleiche Image, das sich nicht ändert. Das wird ein einhundert Mal übertragen und braucht eine enorme Bandbreite, Strom, Switches Router und so weiter. Früher, als geringe Bandbreiten noch ein Problem waren, gab es Caching-Proxies. Da hat man die Daten bzw. Bilder gecached, nicht um Strom, sondern um Bandbreite zu sparen.

Heute ist das immer noch sinnvoll, aber eben um Wege und damit Strom zu sparen. Gerade bei Container-Technologie muss ich nicht das gleiche Image einhundert Mal holen, sondern wenn ich alles geschickt konfiguriere, liegt es sogar auf dem Server in der Nähe und ich kann es dann von dort abholen.

Wir setzen im Rechenzentrum auf Effizienz, also grünen Strom plus Vermeidung von Rechenlast, das ist üein effizienter Ansatz.

Auf welche Trends setzen Sie? Worauf sollen Ihre Kunden künftig achten? 

Osyos: Ich sehe, das sehr viel in die Cloud geht und sich sehr viele Unternehmen Gedanken machen, in welche Cloud sie gehen. Hier ist ein Trend in Richtung Hybrid-Cloud zu bemerken.

Beim Thema Backup haben wir Kunden, die sind bei einem Over-the-Top-Cloud-Anbieter, möchten aber ihre Sicherung nicht dort haben, sondern bei einem österreichischen Provider. Das heißt, man überlegt jetzt nicht nur den Schritt weg in die Cloud, sondern in welche. Ich kann nichts in die Cloud legen, wenn meine Mitarbeiter nicht mehr auf die Buchhaltung zugreifen können oder nur sehr langsam. Hier muss man sich überlegen, wie das geht. 

Der zweite große Trend ist hier Container-Technologien einzusetzen – nicht mehr monolithisch alte Programme, die irgendwie nur durch Server-Kraft erweitert werden können, sondern wirklich mit Container-Technologien, wie Kubernetes. Das ist aber jetzt nicht im Kommen, sondern bereits normal.

Das ist nicht nur von den Kosten gut, weil man effizienter ist, sondern jegliches Upgrade, Update passiert quasi auf Knopfdruck. Auch Ausfallsicherheit, wenn man über mehrere Standorte verteilt ist, ist gegeben. 

Schoder: Es ist ein Optimieren über mehrere Clouds, die zusammenspielen, zu sehen. Das Thema Cloud ist gesetzt. Die Backup-Verteilung – Cloud, Lokal, Multicloud – ist ein Thema. Kunden haben mehrere Anbieter. 

Datensouveränität und Portabilität sind auch ganz wichtige Themen. Hier ist Container-Technologie ein unglaublich gutes Mittel, um meine Workloads von A nach B zu transportieren. Klar, das Netzwerkthema bleibt. Ich habe natürlich meine IP-Adressen, aber ich glaube, darauf haben sich Applikationen mittlerweile eingestellt, dass die Adresse nicht mehr so wichtig ist.

Die Applikation selbst wird portabler durch die Containerisierung. Das wird verstärkt durch den agilen Softwareentwicklungspart mit CI/CD-Integrationen, den ganzen DevOps-Ansatz, der sich weiter in die Infrastruktur zieht. Man geht jetzt noch einen Schritt weiter mit Infrastructure-as-a-Code, wo dann die Infrastruktur auch wie Software beschrieben wird. Das sehen wir als starken Trend. In der Datensicherung und Storage-Technologie sind Object Stores wie S3 oder Azure Blob Cloud-Speicher, ein großes Thema, das immer mehr Use Cases findet. 

KI ist ebenfalls ein Riesenthema, zwar nicht so sehr für uns, die wir als Infrastruktur und Serviceanbieter selbst keine KI-Services anbieten, aber unseren Kunden ermöglichen, KI zu nutzen. 

Müssen Sie bei mittelständischen oder kleineren Unternehmern viel an Knowhow-Vorleistung machen? 

Schoder: Nicht für alle. Es ist natürlich für ein KMU oft so, dass es keine In-House-IT-Expertise oder wenig In-House-IT-Expertise gibt. Hier haben wir oft lokale EDV- und IT-Betreuer vor Ort, die die Kunden betreuen.

Unser Cloud-Backup-Produkt ist ja resellerfähig. Unser idealer Kunde wäre ein regionaler EDV-Betreuer, der wiederum 100 kleinere Kunden betreut und diese zu uns sichert. Er hat dann den Vorteil, das bei uns schön aufgetrennt zu haben, angefangen beim Interface bis hin zur Rechnung.

Und wir müssen nicht all diese kleinen Kunden betreuen, was wir auch nicht könnten, da wir dafür eine viel größere Support-Infrastruktur benötigten.