Cloud-Journey bei Siemens: Cyber-Security-Pioniere auf dem Weg zum „Next Big Thing“

300.000 Mitarbeiter:innen an 125 Standorten in 43 Ländern haben ein gemeinsames Ziel: Transforming the everyday. Unter diesem Claim entwickeln sie bei Siemens neueste Technologien, die die digitale Transformation beschleunigen, Unternehmen und ganze Industrien neu erfinden und nachhaltiger aufstellen. Das Portfolio reicht dabei von ressourceneffizienten Fabriken und widerstandsfähigen Lieferketten über intelligente Gebäude und Stromnetze bis hin zu emissionsarmen Zügen und einer fortschrittlichen Gesundheitsversorgung. Für die weltweit vernetzte Zusammenarbeit der Siemens-Mitarbeiter:innen sind digitale Tools und Prozesse unverzichtbar – was bei einem so komplexen Konzern ganz besondere Herausforderungen mit sich bringt: „Heute laufen immer mehr Apps und Prozesse in der Cloud oder über Software-as-a-Service. Das stellt uns vor andere Security- und Infrastrukturfragen als noch vor zehn Jahren, als alles noch on-premises lief“, erinnert sich Thomas Müller-Lynch, der als Global Director Digital Identities für IT die Cloud- und Cyber-Security-Transformation bei Siemens mitgestaltet, und ergänzt: „Früher galt die Cloud als unsicher, heute findet Security-Entwicklung genau dort statt. Das Verhältnis hat sich um 180 Grad gedreht. Darauf müssen wir im Rahmen unserer Security- und Cloud-Strategie reagieren.“

NextGen AD: Kick-Start Richtung Cloud

Wirft man einen Blick in die Vergangenheit, kann von „Reaktion“ nicht wirklich die Rede sein. Vielmehr hat Siemens bereits 2013 – lange vor vielen anderen Unternehmen – erkannt, dass ein Redesign des damaligen on-premises Active Directory notwendig war. „Wir hatten damals weltweit 250 Standorte für unser AD. Hardware, Maintenance, Upgrades: All das fiel für jeden davon an. Gleichzeitig war eine so komplexe Infrastruktur nicht für die Skalierbarkeit, Performance, Ausfall- und Zugriffssicherheit ausgelegt, die wir für unsere tägliche Arbeit bei Siemens benötigen. Durch die Konsolidierung und den Wechsel auf unser NextGen AD konnten wir das lösen“, beschreibt Thomas Müller-Lynch den Auslöser für die Transformation. Heute gibt es nur noch 50 On-premises-Standorte, die weiter reduziert werden sollen. „Beim Start des Projekts war uns das Ziel bereits klar, der Weg allerdings noch nicht. Ein Projekt dieser Größenordnung wurde zum damaligen Zeitpunkt einfach noch nie von jemandem umgesetzt – es war völliges Neuland. Wir brauchten also Unterstützung von sehr spezialisierten Experten mit tiefem Know-how in den Bereichen Cloud, Identity Management und Cyber-Security. Das war der Beginn der Partnerschaft mit Comma Soft,“ so Thomas Müller-Lynch.

Comma Soft unterstützte Siemens bei Design und Konzeption der kompletten Architektur des Active Directory und des Azure AD und ist bis heute Teil des Teams, wenn es um die fortlaufende Optimierung geht. Dass die damalige Entscheidung zur AD-Migration sinnvoll war, zeigt sich heute immer wieder, bestätigt Philipp Bergmann, Senior Key Expert für IT-Security & Senior Global Identity Architect bei Siemens: „Auch wenn aus IT-Security-Sicht die Cloud von Vorteil ist, entscheidet am Ende immer das Business, ob Fachanwendungen in der Cloud oder on-premises laufen. Wir haben die Voraussetzungen für beides geschaffen. Wo eine App gehostet ist, darf für den User dabei keinen Unterschied machen. Authentifizierungen sollen schnell und einfach ablaufen, gleichzeitig muss die Sicherheit gewährleistet sein. Bei Comma Soft habe ich im Vergleich zu anderen Partnern immer das Gefühl, dass wir über unsere Ziele auf Augenhöhe sprechen können und sofort verstanden werden.“

Next Step: Modern Workplace

Nachdem das Identity & Access Management abgebildet war, war der Weg frei für die weltweite Einführung von Office 365 und für das „Enhanced Microsoft Security“-Projekt. Damit wurde der Modern Workplace für Siemens-Mitarbeter:innen bereits lange vor der pandemiebedingten Umstellung auf digitales, ortsunabhängiges Arbeiten Realität. „Wir haben uns relativ früh vom Intranet als dem zentralen und einzigen Faktor, der über den Zugriff auf eine Applikation oder Information entscheidet, verabschiedet. Stattdessen können wir von überall und mit jedem Firmengerät Zugriff erhalten, ob im Büro oder im Homeoffice, wenn bestimmte Kriterien erfüllt sind“, sagt Philipp Bergmann. Solche Kriterien sind z. B. Standort, Gerät, Authentifizierungsstärke und bisherige Zugriffsversuche, welche Rückschlüsse auf die Identität zulassen. Das heißt allerdings auch, dass die Identität von Mitarbeiter:innen unter Umständen häufiger als früher geprüft wird, wenn sie Geräte und Orte wechseln. In der Regel passiert diese Überprüfung im Hintergrund, sodass es Nutzer:innen in den meisten Fällen gar nicht merken. Was aus Security-Sicht sinnvoll ist, bringt für User eine Umstellung mit sich, für die Verständnis geschaffen werden muss. Das ist laut Philipp Bergmann bei Siemens allerdings kein großes Problem: „Unsere interne Kommunikation ist sehr gut und schafft Akzeptanz bei der Belegschaft, wenn es solche Veränderungen gibt.“

Next Level: Zero Trust

Durch die Umsetzung des „Enhanced Microsoft Security“-Projekts war Siemens wiederum seiner Zeit voraus: Hierdurch wurden bereits die Weichen für Cyber-Security nach dem Zero Trust-Prinzip gestellt. Dabei werden alle Zugriffsversuche überprüft, auch die von Anwendungen untereinander. Das hebt die Sicherheit auf ein weiteres Level, erfordert aber auch weitere Optimierungen hinsichtlich der Schnelligkeit der Prüfung und der Usability. Warum Comma Soft den Konzern auch dabei begleitet, liegt für Thomas Müller-Lynch auf der Hand: „Die Microsoft-Expertise und der hohe Wissensstand, den wir bei unseren Projekten benötigen, ist in dem Umfang generell bei Consultants schwer zu finden. Bei uns kommt noch hinzu, dass wir auch neues Wissen über neue Technologien und Konzepte brauchen, die bisher kaum oder nicht in der Größenordnung umgesetzt wurden. Das ist anspruchsvoll, das kann nicht jeder.“ Mit dieser Unterstützung will Siemens die Cloud- und Security-Reise nun fortführen: Es sollen noch mehr Anwendungen in die Cloud verlagert, die Leistung optimiert und Zero Trust in Operational Technology (OT) eingesetzt werden. „Wir suchen immer das ‚Next Big Thing‘. So kommen wir dem Zielbild, dass wir von Cyber-Security haben, immer näher“, sind sich Thomas Müller-Lynch und Philipp Bergmann einig.

Sie möchten mehr darüber erfahren, wie Siemens und andere Unternehmen die Themen Cloud und Cyber-Security angehen oder wünschen sich selbst Unterstützung bei der Umsetzung? Sprechen Sie gerne mit Dr. Andreas Künsken oder Dr. Jan Ciupka und ihren Kolleg:innen: Hier können Sie Kontakt mit ihnen aufnehmen.