Selbst entwickeln oder kaufen? - Akamai...Social Login – Authentifizierung über Facebook, Google,...

WHITEPAPER

Ein Leitfaden für CIAM (Customer

Identity and Access Management)

Selbst entwickeln oder kaufen?

Eine Erläuterung der Vor- und Nachteile verschiedener Varianten der CIAM-Implementierung, von der internen Softwareentwicklung bis hin zu kommerziellen Standardlösungen

1Selbst entwickeln oder kaufen? Ein Leitfaden für CIAM (Customer Identity and Access Management)

Zusammenfassung Digitale Identität und Kundenprofile stehen im Mittelpunkt der digitalen Transformation eines jeden Unternehmens. Heutzutage zählen die Identität der Kunden und die damit verbundenen persönlichen Daten zu den wichtigsten und wertvollsten Ressourcen jedes Unternehmens. Sie sind entscheidend für den geschäftlichen Erfolg.

Die Verwaltung dieser digitalen Identitäten (von der ersten Registrierung und Anmeldung bis zu den späteren Phasen der Kundenbeziehung) und die Verwertung der dazugehörigen Daten sind komplexe Aufgaben, die häufig als CIAM (Customer Identity and Access Management) bezeichnet werden.

Wenn Unternehmen die Konzepte, Prozesse und Technologien implementieren, die zur Erfassung, Verwaltung und Nutzung von Daten zu digitalen Identitäten und Kunden erforderlich sind, haben sie grundsätzlich zwei Möglichkeiten: Sie können ein eigenes Produkt entwickeln oder eine dedizierte Lösung von einem auf CIAM spezialisierten Anbieter kaufen.

In diesem Whitepaper werden die Vor- und Nachteile einer internen Softwareentwicklung im Vergleich zu kommerziellen Standardlösungen untersucht. Dabei berücksichtigen wir verschiedene Varianten, z. B. Implementierungen vor Ort, Colocation und verschiedene Cloudumgebungen.

Das Whitepaper kommt zu dem Ergebnis, dass in den meisten Situationen und für die meisten Unternehmen ein „Kauf“ der „Entwicklung“ vorzuziehen ist und dass cloudbasierte Standardlösungen besser auf die Ziele, Anforderungen und Ressourcen der meisten Unternehmen zugeschnitten sind. Dies gilt insbesondere dann, wenn nicht nur die erste Implementierung in Betracht gezogen wird. Wichtig ist auch, dass der Betrieb und die langfristige Wartung einer Lösung aufgrund immer neuer Anforderungen vonseiten der Technik, Verbraucher, Märkte und Regulierungsbehörden erheblich aufwändiger werden.

An wen richtet sich dieses Whitepaper?An Entscheidungsträger in technischen und nichttechnischen Rollen, die fundierte Entscheidungen zur optimalen CIAM-Implementierung in ihrem Unternehmen treffen müssen.

2Selbst entwickeln oder kaufen? Ein Leitfaden für CIAM (Customer Identity and Access Management) 2Selbst entwickeln oder kaufen? Ein Leitfaden für CIAM (Customer Identity and Access Management)

WIE WICHTIG SIND IDENTITÄTSLÖSUNGEN?

Wenn es um Implementierungsoptionen für das Identitätsmanagement geht und auch eine interne Entwicklung in Betracht gezogen wird, sollte in einem ersten Schritt die allgemeine Bedeutung der Aufgabe bedacht werden: Wie relevant ist sie für das Unternehmen und welcher Schaden könnte im Falle einer Serviceunterbrechung oder eines Ausfalls entstehen?


Kundenidentitäten als Grundvoraussetzung für das digitale GeschäftDer Wert von mit Kundenidentitäten verknüpften Profildaten ist in den letzten zehn Jahren drastisch gestiegen und heute zu einem der wichtigsten Erfolgsfaktoren für Unternehmen geworden. Kundenprofildaten bilden die Grundlage für die Analyse, das Verständnis und die Vorhersage des Verhaltens von Kunden und von Customer Journeys – vom Erstkontakt bis hin zu Kaufentscheidungen und langfristiger Markentreue.

Eine ebenso große Rolle spielen Kundendaten als Vorbedingung für Personalisierung in all ihren Formen, von einfachem personalisiertem Marketing bis hin zu Personalisierung in Echtzeit. Letztere Variante macht die Zielgruppenansprache noch einmal wesentlich komplexer, da nicht nur im Voraus entschieden wird, welche Nachricht ein Kunde bei seinem nächsten Kontakt sieht, sondern auch während einer Interaktion mit dem Kunden in Echtzeit automatisierte und datengesteuerte Entscheidungen getroffen werden. Durch die Personalisierung in Echtzeit können Nutzererlebnis und Inhalte auf die jeweilige Person abgestimmt werden – auf einer Website, in einer App, auf IoT-Geräten (Internet of Things) oder über andere Kanäle.

Grundsätzlich sind digitale Identitäten eine wesentliche Voraussetzung für funktionierende Online-Einzelhandelswebsites oder andere Transaktionsanwendungen, bei denen Kunden sicher authentifiziert werden müssen, um sich anzumelden, auf Daten und Dienste zuzugreifen und mit dem Unternehmen Geschäfte zu tätigen.

Mit einfachen Worten: Wenn sich Kunden aufgrund eines Fehlers im Identitätsmanagementsystem nicht anmelden können, kann dies Geschäfts- und Umsatzeinbußen nach sich ziehen. Außerdem bedeutet es Mehrarbeit für den Support und mögliche Image-Schäden durch frustrierte Nutzer, die ihrem Unmut in sozialen Medien und Bewertungsforen Luft machen.

Aspekte des Kundenerlebnisses: Nutzeroberfläche, Performance und Zuverlässigkeit

Ein weiterer wichtiger Faktor für ein gutes CIAM ist das Kundenerlebnis bei der Registrierung, Kontoerstellung, Anmeldung und Verwaltung der Nutzereinstellungen. Neben den eigentlichen Aspekten der Nutzeroberfläche (wie Webformularen) sind hier Performance und Zuverlässigkeit besonders wichtig. Untersuchungen haben ergeben, dass sich lange Ladezeiten und zähe Nutzererlebnisse verheerend auf die Konversionsraten auswirken. Darüber hinaus hat eine von Dynatrace und T-Mobile durchgeführte Studie gezeigt, dass Besucher in frühen Stadien des Verkaufsvorgangs empfindlicher auf schlechte Performance reagieren als bei der Anzeige späterer Seiten.1

Digitale Identitäten sind der Schlüssel zu jeder transaktionsbasierten Anwendung.

?


Registrierung, Anmeldung und Authentifizierung gehören zu den ersten Eindrücken des Kunden auf seiner Customer Journey. In diesen Phasen entscheidet sich schnell, ob sich das Nutzererlebnis positiv oder negativ entwickelt. Umgekehrt gilt: Je weiter eine Transaktion bereits vorangeschritten ist, desto geduldiger und entschlossener bemüht sich der Kunde, sie abzuschließen. Die Ladezeit von Seiten ist außerdem ein Bewertungsfaktor bei Google-Suchen sowohl auf Desktop-PCs als und auch Mobilgeräten.2

Kundenzufriedenheit und Support Natürlich können problematische Nutzererlebnisse in jeder Phase der Customer Journey vorkommen, auch nach der erfolgreichen Kontoerstellung. Vergessene Kennwörter oder ähnliche Probleme mit dem Konto können sich auf die Kundenzufriedenheit auswirken und führen in der Regel zu ausbleibender Kontonutzung, geringerer Markentreue und letztendlich zu Umsatzeinbußen. Laut Chatbots Magazine kehren 91 % der unzufriedenen Kunden nicht zurück, um erneut Produkte oder Dienstleistungen zu erwerben.3

Darüber hinaus muss bei Problemen mit dem Nutzererlebnis kostenintensiver Support geleistet werden. Schätzungen von Aspect Software, einem Softwareanbieter für Contact Center, belaufen sich die Kosten für jede telefonische Interaktion des Kundendienstes auf 35 bis 50 US-Dollar. Selbst der Support per SMS-Chat kostet etwa 8 bis 10 US-Dollar pro Sitzung.4 IBM schätzt, dass jährlich 265 Milliarden Kundensupportanfragen gestellt werden, für deren Beantwortung die betreffenden Unternehmen rund 1,3 Billionen US-Dollar aufwenden müssen.5

Ein langsamer Registrierungs- oder Anmeldevorgang kann verheerende Auswirkungen auf die Konversionsrate haben.

35 bis 50 $geschätzte Kosten für eine Telefoninteraktion mit dem

Kundendienst

265 MilliardenKundensupportanfragen

pro Jahr

91 %der unzufriedenen Kunden

kehren nicht zurück

$

Unternehmen geben pro Jahr 1,3 Billionen US-Dollar für Kundensupportanfragen aus – und verlieren dennoch Kunden.


Einer der Kunden von Akamai, ein großes internationales Einzelhandelsunternehmen, schätzte die durchschnittliche Anzahl abgebrochener Anmeldungen auf ca. 200.000 pro Monat, was zu einem Umsatzverlust von ca. 45 US-Dollar pro Kunde und Monat führte. Dies (und die Kosten für Kontowiederherstellungen über die Service-Hotline des Unternehmens) waren die Hauptgründe für diesen Kunden, von einer intern entwickelten Identitätslösung zur CIAM-Lösung von Akamai, der Identity Cloud, zu wechseln.

Mit der internen Lösung des Unternehmens konnten die Kunden nicht über alternative Authentifizierungsmethoden wie Social Login, Sicherheitsfragen oder SMS-Benachrichtigung eigenständig erneut Zugriff auf ihre Konten erhalten. Der Entwicklungsaufwand für die Implementierung dieser Funktionen in die eigene vorhandene Lösung wurde als höher und riskanter eingestuft als die Migration zur Akamai Identity Cloud, einer kommerziellen Lösung, die diese Funktionen sofort bereitstellt.

FALLSTUDIE

$9M$45

Fehlgeschlagene Anmeldungen können hohe Kosten nach sich ziehen. Und die Entwicklungskosten für Self-Service-Funktionen zur Wiederherstellung von Anmeldedaten können höher sein als die Bereitstellungskosten der Akamai Identity Cloud.


PRO NUTZER UND MONAT

GESCHÄTZTER UMSATZVERLUST

= 2.000 NUTZER

ANMELDUNG FEHLGESCHLAGEN

ANMELDEN


Die Fähigkeit zu Weiterentwicklung und Innovation

Die Voraussetzungen für ein erfolgreiches Kundenerlebnis ändern sich ständig. Da die digitale Landschaft weiterwächst und das Kundenspektrum um neue demografische Kohorten erweitert wird, entwickelt sich das Kundenidentitätsmanagement rasant weiter.

Dabei gilt es, den Erwartungen der neuen Nutzer, z. B. Anmeldung ohne Passwort, und strukturellen Veränderungen bei der Interaktion mit Kunden (über Internet, Mobilgeräte und IoT) gerecht zu werden. Ohne umfassenden Omnichannel-Support lassen sich die Erwartungen moderner Verbraucher heutzutage nicht mehr erfüllen. Kunden möchten sich jederzeit, überall und auf jedem Gerät anmelden können und dabei dieselben oder sehr ähnliche Navigationsabläufe und Personalisierungsmerkmale vorfinden.

Wenn das Unternehmen nicht hinter der Konkurrenz zurückbleiben will, muss das Identitätsmanagement auf neue, sich schnell verändernde und schwer vorherzusagende Anforderungen und Entwicklungen reagieren können. Um eine interne Identitätslösung aufzubauen, muss ein Unternehmen weit über die anfängliche Implementierungsphase hinaus enorme finanzielle Mittel aufwenden, Mitarbeiter einsetzen und Know-how sichern.

Compliance- und SicherheitsaspekteKundenidentitäten sind nicht nur für Unternehmen, sondern auch für die betroffenen Personen selbst wertvoll. Da immer mehr Bereiche unseres Lebens digitalisiert werden, enthalten unsere Profildaten vertrauliche persönliche Daten – von Name, Adresse, Telefonnummer, Geschlecht und Zahlungsinformationen bis hin zu persönlichen Vorlieben, Einkaufs- und Browserverläufen und anderen Verhaltensdaten. Die online gespeicherten Kundendaten müssen in zunehmendem Maße gesichert und geschützt werden. Auf diese Anforderungen reagieren Regulierungsbehörden auf der ganzen Welt.

Compliance- und Sicherheitsfragen erhöhen die Komplexität und Bedeutung des Identitätsmanagements noch einmal enorm. Kundendaten enthalten PII (persönlich identifizierbare Informationen), die einer zunehmenden Zahl verschiedener Vorschriften und Datenschutzgesetzen unterliegen.

Diese Vorschriften unterscheiden sich je nach Region und Gerichtsbarkeit. Dennoch müssen globale Unternehmen sicherstellen, dass ihre Websites allen Gesetzen folgen. Beispiele hierfür sind die DSGVO (Datenschutz-Grundverordnung) der Europäischen Union, der PIPEDA (Personal Information Protection and Electronic Documents Act) in Kanada, der CCPA (California Consumer Privacy Act) von 2018 und andere branchenspezifische Vorschriften wie die Datenschutzgesetze in Bezug auf die Veröffentlichung medizinischer Informationen in den USA.

Kunden wünschen sich bei jeder Anmeldung dasselbe personalisierte Erlebnis, ob auf einem Desktop-PC, einem Mobilgerät oder per IoT.


Da Identitätsdaten leicht missbraucht und verwertet werden können, sind sie mittlerweile das Hauptziel von Hackerangriffen. Laut der Studie „Cost of a Data Breach“ („Kosten durch Datendiebstahl“) von IBM Security und dem Ponemon Institute aus dem Jahr 2018 war bei fast der Hälfte der befragten Unternehmen (48 Prozent) ein böswilliger oder krimineller Angriff Grundursache eines Datendiebstahls, wobei sich die durchschnittlichen Kosten auf 157 US-Dollar pro gestohlener Datensatz beliefen.6 Da Verstöße häufig Hunderttausende (oder sogar Millionen) von Datensätzen umfassen, können die daraus resultierenden Kosten den betreffenden Unternehmen erheblichen Schaden zufügen – selbst wenn man die Umsatzeinbußen durch Image-Schäden und Vertrauensverlust außer Acht lässt.

Unternehmen müssen umfassende Sicherheitsmaßnahmen anwenden – nicht nur zu ihrem eigenen Schutz, sondern auch zum Schutz ihrer Kunden. Im schlimmsten Fall werden Kunden Opfer eines Identitätsdiebstahls, der erhebliche Auswirkungen auf ihre finanzielle, berufliche und persönliche Sicherheit haben kann und möglicherweise Haftungsansprüche und Sammelklagen gegen das Unternehmen nach sich zieht.

Aufgrund der genannten Faktoren hat das Kundenidentitätsmanagement in den meisten Fällen und in den meisten Unternehmen eine extrem hohe Bedeutung.Abteilungen, die an der Auswahl und Implementierung von Identitätslösungen beteiligt sind, sollten die kritischen Faktoren in ihrem jeweiligen Fall sorgfältig ermitteln und untersuchen. Sie sollten die Beteiligten und Entscheidungsträger in allen Abteilungen des Unternehmens auf ihre Ergebnisse aufmerksam machen, um ein gemeinsames Verständnis und Übereinkommen zu erreichen. Dies hilft bei der Zuweisung der für eine erfolgreiche CIAM-Implementierung erforderlichen Budgets, Ressourcen und Prioritäten.


Auswahl einer CIAM-Lösung für Unternehmen

Omnichannel-Nutzererlebnis – die Nutzeroberfläche und das Nutzererlebnis (Webformulare, Schnittstellen, Datenflüsse), über die die genannten Aufgaben über Internet, Mobilgeräte, IoT und andere Kanäle ausgeführt werden.

Datenaggregation und -speicherung – alle zugehörigen Kundendaten müssen sicher und unter Einhaltung der Datenschutzvorschriften gespeichert werden.

Integration – in bereits vorhandene Systeme für CMS, CRM, ERP, Marketing-Automatisierung, Analyse und SIEM (Security Information and Event Management).

Compliance- und Auditbereitschaft – die Fähigkeit, alle genannten Schritte durchzuführen und gleichzeitig die Vorschriften und/oder Branchenstandards einzuhalten sowie Nachweise für Audits zu erbringen.

Skalierbarkeit und Zuverlässigkeit – die zuverlässige, großangelegte Durchführung aller oben genannten Funktionen ohne Performance-Einbußen in Spitzenzeiten mit einem SLA über eine Verfügbarkeit von 99,95 % über mehrere Kanäle und Domänen hinweg und für Millionen von gleichzeitig aktiven Nutzern.

Registrierung, Anmeldung und Authentifizierung – einschließlich Multi-Faktor-Authentifizierung (bei der zur Erhöhung der Sicherheit zwei oder mehr Anmeldeinformationen angefordert werden).

Social Login – Authentifizierung über Facebook, Google, LinkedIn oder andere Identity Provider im Bereich Social Media.

SSO (Single Sign-on) und föderierte Identität – Zugriff auf mehrere Standorte und Systeme mit einer einzigen Anmeldung.

Zugriffskontrolle – die Möglichkeit, Zugriffsrichtlinien festzulegen und durchzusetzen, die kontrollieren, was Kunden auf einer Website tun können und was nicht.

Einstellungsverwaltung – die Möglichkeit für Kunden, bestimmte Einstellungen in ihrem Konto anzuzeigen und zu bearbeiten.

Zustimmungsmanagement – die meisten Datenschutzvorschriften verlangen von Unternehmen, dass sie vor der Erfassung persönlicher Daten eine ausdrückliche Zustimmung der Kunden einholen. Kunden müssen die Möglichkeit haben, ihre Zustimmung anzuzeigen, zu ändern oder zu widerrufen.

WAS ALLES DAZUGEHÖRT


SELBST ENTWICKELN ODER KAUFEN?

Der Wert und die allgemeine Bedeutung digitaler Identität scheint Unternehmen einen guten Grund zu bieten, nach vollständiger Kontrolle zu streben, eine eigene Lösung zu entwickeln und das Schicksal in die eigene Hand zu nehmen. Wie in diesem Whitepaper beschrieben, ist dies jedoch eine sehr komplexe Aufgabe. Daher kann es passieren, dass Unternehmen – mehr oder weniger offensichtlich – ihre Fähigkeiten überschätzen und die von ihnen entwickelten Kundenidentitätslösungen geschäftliche, gesetzliche oder kundenseitige Anforderungen nicht erfüllen.



Die mit der Implementierung des Identitätsmanagements betrauten Abteilungen sehen sich in manchen Fällen mit unerwarteten Problemen konfrontiert. Der daraus resultierende Druck kann sich zu einer erheblichen Belastung für die Motivation, Produktivität und Leistungsfähigkeit des Unternehmens entwickeln. Dadurch werden wiederum möglicherweise Fristen versäumt, Verzögerungen bei der Produkteinführung verursacht, Budgets überschritten und andere negative Folgen hervorgerufen.

Auch wenn die technische Implementierung und der Betrieb wie erwartet ablaufen, bleibt die Frage, ob eine interne Entwicklung unter Berücksichtigung von Geschäftskennzahlen wie Gesamtbetriebskosten, Return on Investment oder Kapitalausgaben wirtschaftlich sinnvoll ist. Darüber hinaus müssen Unternehmen sicherstellen, dass sie nicht nur die heutigen Anforderungen an Funktionalität, Sicherheit, Verfügbarkeit und Skalierbarkeit erfüllen, sondern die Lösung auch weiterentwickeln können, um mit neuen Marktentwicklungen Schritt zu halten.

Die Auslagerung peripherer Kompetenzen wie CIAM bietet mehrere Vorteile.7

Wertvolle Zeitersparnis

Kostensenkung

Kapitaleinsparungen Förderung von Innovationen

Höhere Nutzungsgeschwin-

digkeit

Qualitätsverbes-serungen

Fokus auf Kernkompetenzen

Gründe für eine Auslagerung


Entwicklungsoptionen

78 % der Geschäftsführer und IT-Führungskräfte geben an,

dass die Projektanforderungen „normalerweise nicht“ oder „nie“ auf

die Geschäftsabläufe abgestimmt werden.8

25 % der IT-Projekte schlagen vollständig fehl, 50 % erfordern eine umfangreiche Überarbeitung, 20 % bis 25 % zeitigen keinen Return on

Investment.9

52,7 % aller Softwareprojekte überschreiten die Zeit- und

Budgetvorgaben, 31,1 % werden vollständig abgebrochen.10

Unabhängig davon, ob ein Unternehmen sich für die Entwicklung oder den Kauf einer CIAM-Lösung entscheidet, muss es entscheiden, wo diese gehostet werden soll. Es folgt nun eine Auflistung der wichtigsten Optionen, der damit verbundenen Vorteile und möglicher Probleme.

Rechenzentren vor Ort und/oder ColocationsWenn die CIAM-Lösung in einem unternehmenseigenen Rechenzentrum gehostet wird, muss das Unternehmen eigene physische Rechen- und Speicherkapazitäten besitzen und betreiben. Besitzt ein Unternehmen die gesamte Infrastruktur selbst, hat es volle Kontrolle über den Betrieb, bis hin zur Auswahl der verwendeten Servermodelle und Netzwerk-Switches.

Rechenzentren vor Ort werden häufig in Szenarien verwendet, in denen die verarbeiteten Daten zu vertraulich sind, um über öffentliche Netzwerke übertragen zu werden, bzw. in denen die Datenübertragung außerhalb eines privaten Netzwerks durch Vorschriften untersagt ist. Rechenzentren vor Ort können außerdem dann die einzige Option sein, wenn das Datenvolumen ganz einfach so groß ist, dass eine Übertragung über öffentliche Netzwerke zu lange dauern würde.

Zu guter Letzt müssen sie auch entscheiden, ob interne Ressourcen bei der Erstellung und Inbetriebnahme einer Kundenidentitätslösung optimal genutzt werden.

Angesichts all der Dinge, die schief gehen können, empfehlen viele Experten, interne IT-Projekte auf geschäftskritische Funktionen zu beschränken, für die es keine geeignete Alternative gibt.


Wenn es jedoch um CIAM geht, trifft in der Regel keine der genannten Varianten zu. Kundenwebsites sind mit dem Internet verbunden, sodass die Kunden ihre Daten von Vornherein über öffentliche Netzwerke bereitstellen. Es gibt zwar viele strenge Datenschutzvorschriften für den Einsatz von CIAM-Lösungen, doch diese untersagen in keinem Fall die Nutzung öffentlicher Netzwerke. Die Verschlüsselung von Daten bei der Übertragung und im Ruhezustand kann – in Kombination mit anderen Sicherheitsmaßnahmen – für ein angemessenes Sicherheitsniveau sorgen. Auch wenn das Volumen der Identitätsdaten sehr hoch ist, kann (und muss) es über das Internet abgewickelt werden, denn dort sind die Kunden und dort interagieren sie mit den Systemen des Unternehmens.

Die Kosten und der Aufwand, die der Besitz und die Wartung eigener Rechenzentren mit sich bringen, sind erheblich. Sie umfassen die Kosten für das Rechenzentrum selbst einschließlich des Grundstücks, für Hardware wie Server, Router, Firewalls und Load Balancer, für die Klimaanlage, für Energie, für redundante Stromleitungen, für die unterbrechungsfreie Stromversorgung, für die Einhaltung von Richtlinien zur Gebäudesicherheit und vieles mehr. Außerdem fallen für den Betrieb der Infrastruktur zusätzliche Personalkosten an.

Unternehmen können sich auch für Colocation entscheiden, wobei Teile oder die Gesamtheit der physischen Ressourcen von einem Drittanbieter gemietet werden und die Einstiegspreise daher niedriger liegen. In diesem Fall müssen jedoch Ressourcen, Servicelevel sowie Sicherheits- und Betriebsmodelle genau festgelegt werden, damit eine reibungslose Zusammenarbeit zwischen dem Unternehmen und der Hosting-Einrichtung gewährleistet wird. Damit steigt jedoch der administrative Mehraufwand.

Datenschutzvorschriften wie die DSGVO nehmen Unternehmen für den Umgang ihrer Zulieferer mit personenbezogenen Daten allgemein in die Verantwortung. Dies muss bei der Auswahl von Colocation-Anbietern berücksichtigt werden.11

Der beschriebene Aufwand vergrößert sich um ein Vielfaches, wenn das Unternehmen mehrere Rechenzentren in verschiedenen Regionen benötigt. Dies dürfte vor allem dann gelten, wenn geringe Latenzzeiten für Zielgruppen in verschiedenen Regionen oder Kontinenten gewährleistet werden müssen, damit sich die Performance der Websites und Dienste nicht negativ auf das Nutzererlebnis auswirkt. Wie bereits erwähnt, kann die Kundenunzufriedenheit aufgrund störungsanfälliger oder langsamer Digitalangebote hohe Absprung- und Abbruchraten, erhöhte Supportkosten und Geschäftseinbußen mit sich bringen.

Ein weiterer Hauptgrund, mehr als ein Rechenzentrum oder eine Colocation zu nutzen, ist der Bedarf an hoher Verfügbarkeit. Wenn ein Rechenzentrum aus irgendeinem Grund ausfällt, muss im Rahmen eines umfassenderen Plans für Geschäftskontinuität und Notfallwiederherstellung ein Failover auf ein anderes Rechenzentrum durchgeführt werden.

Bei internen CIAM-Lösungen können erhebliche zusätzliche Kosten für das Rechenzentrum anfallen.


Private CloudEine Private Cloud ist im Grunde ein Rechenzentrum vor Ort oder eine Colocation mit gemeinsam genutzten Ressourcen für das Cloud Computing.

Cloudumgebungen haben gegenüber einer herkömmlichen Infrastruktur gewisse Vorteile. Sie ermöglichen eine einfachere und schnellere Konfiguration von Diensten und eine schnelle Bereitstellung von Anwendungen. Außerdem passen sie besser zu modernen Softwareentwicklungs-Paradigmen und -Technologien wie agiler Entwicklung, kontinuierlicher Integration und Bereitstellung, DevOps, Containern und Microservices.

Clouds ermöglichen eine wesentlich wirtschaftlichere Skalierung, da sie auf eine gemeinsame Nutzung von Ressourcen durch verschiedene Dienste ausgelegt sind. Die Möglichkeit, Ressourcen innerhalb eines Unternehmens gemeinsam zu nutzen, ist jedoch relativ begrenzt. Die Infrastruktur der Private Cloud muss in der Lage sein, das höchstmögliche Aufkommen an Traffic und Workloads zu bewältigen. Dieses Aufkommen kann bei CIAM-Systemen zu Spitzenzeiten hoch sein. Wenn ein Unternehmen beispielsweise eine große und erfolgreiche, aber saisonal begrenzte Marketingkampagne durchführt, kann die Anzahl der Kunden, die sich anmelden, Konten erstellen und auf einer Website interagieren, um ein Vielfaches auf Dutzende Millionen gleichzeitig aktiver Nutzer steigen. Dabei steigt auch die Menge der systembezogenen Betriebsdaten (z. B. Protokoll- und Ereignisdaten) stark an.

Die Hardwareressourcen zur Bewältigung dieses temporär höheren Bedarfs an Rechenleistung und Speicherplatz müssen physisch verfügbar sein. Das bedeutet, dass das Unternehmen sie besitzen oder mieten und bezahlen muss, wenn sie für den Rest des Jahres nicht genutzt werden. Damit steigen die Investitions- und Gesamtbetriebskosten, während der Return on Investment geschmälert wird.

Der benötigte Puffer für Trafficspitzen ist der Grund, warum Cloudumgebungen in der Regel über höhere Kapazitäten als nötig verfügen. Geringere Kapazitäten bereitzustellen ist gefährlich, denn das Nutzererlebnis kann dadurch erheblich beeinträchtigt werden – von langen Ladezeiten bei den Registrierungsformularen bis hin zu Totalausfällen. Die Ironie besteht darin, dass dies ausgerechnet dann geschieht, wenn eine Dienstleistung, ein Produkt oder eine Kampagne das Trafficvolumen und den Umsatz ansonsten sehr erfolgreich steigert. In diesem Moment sollte die IT dem Geschäftserfolg auf keinen Fall in die Quere kommen.

Die Kosten und die Komplexität eines selbst entwickelten CIAM-Systems steigen um ein Vielfaches, wenn mehrere Rechenzentren für verschiedene Regionen benötigt werden.


Entscheidungsträger müssen sich darüber im Klaren sein, dass viel Zeit- und Arbeitsaufwand, Erfahrung und Fachwissen nötig ist, um das richtige Maß an Kapazitäten bereitzustellen und generell eine Private-Cloud-Umgebung in großem Maßstab zu entwerfen, zu implementieren und zu betreiben. Dies bringt eine weitere umfangreiche und komplexe Technologieebene ins Spiel, die viele zusätzliche Single Points of Failure enthalten kann, wenn sie nicht richtig entwickelt und betrieben wird.

Eine beliebte Variante des Hostings von CIAM-Lösungen ist der Rückgriff auf Public-Cloud-Anbieter wie AWS (Amazon Web Services), Microsoft Azure oder Google Cloud anstelle firmeneigener Hardware und Rechenzentren.

Public CloudPublic Clouds machen den Betrieb von Rechenzentren und Hardwareplattformen überflüssig. Diese werden stattdessen als Services über das Netzwerk bereitgestellt. Mit solchen PaaS- (Platform as a Service) und IaaS-Angeboten (Infrastructure as a Service) kann eine ansonsten intern entwickelte CIAM-Lösung gehostet werden. Bei Bedarf lassen sich Public Clouds mit dem Hosting von Teilen der Infrastruktur vor Ort oder in einer Colocation (Hybrid Cloud) kombinieren.

Bei Public Clouds entfällt nicht nur der mit dem Betrieb von Rechenzentren verbundene Aufwand, sie sind auch wesentlich kosteneffizienter. Da die Infrastruktur der Cloud nicht nur von einem, sondern von vielen Unternehmen (mandantenfähiges Modell) gemeinsam genutzt wird, haben Cloudanbieter gegenüber einer Private Cloud vor Ort erhebliche Größenvorteile.

Darüber hinaus bieten die meisten Anbieter von Public Clouds flexible Preismodelle an, bei denen Kunden nur die Services in Rechnung gestellt werden, die sie nutzen und die aktiv auf Systemressourcen zugreifen. Wenn eine in der Public Cloud bereitgestellte Anwendung aufgrund von geringem Trafficvolumen inaktiv ist, fallen nur wenige oder keine Kosten an. Hingegen steigen die Kosten, wenn der Traffic zunimmt und die Anwendung Rechenzyklen benötigt oder Speicherplatz auf den Servern beansprucht.

14

Selbst entwickelte CIAM-Lösungen, die in der Public Cloud ausgeführt werden, profitieren nicht automatisch vom selben Niveau an Sicherheit, Servicequalität und Support wie der Cloudanbieter.

15Selbst entwickeln oder kaufen? Ein Leitfaden für CIAM (Customer Identity and Access Management) 15

Abwägen der Cloudkosten gegen die Kosten für die Infrastruktur vor OrtMicrosoft und Amazon bieten Onlinerechner zum Vergleich der Gesamtbetriebskosten für vor Ort bzw. in den jeweiligen Public Clouds gehostete Konfigurationen an.12 Zum Entstehungszeitpunkt dieses Whitepapers stellt Google dagegen nur einen Preisrechner ohne Vergleich der Gesamtbetriebskosten zur Verfügung. Darüber hinaus sind im Internet weitere ähnliche Rechner verfügbar.

Sie können allerdings alle nur zur groben Schätzung der tatsächlichen Kosten dienen. In der Realität werden die Kosten durch eine Vielzahl von Faktoren beeinflusst und jeder Einzelfall ist getrennt zu betrachten.

Risiko der Bindung an CloudanbieterDie großen Public-Cloud-Anbieter stellen eine wachsende Vielfalt an Serviceleistungen bereit. Das macht es verlockend, sich voll und ganz auf einen einzigen großen Cloudanbieter zu verlassen. Im Zeitalter der großen Unternehmenssoftwarebereitstellungen wählten viele CIOs ein derartiges Modell, wie Larry Dignan von ZDNet hervorhebt.13 Sobald Unternehmen ihre Anwendungen und Daten auf eine Cloudplattform verschoben haben, kann es jedoch sehr kompliziert und teuer werden, diese wieder zu verlassen. Das kann sogar dazu führen, dass ein Unternehmen nicht zu einem anderen Cloudanbieter wechselt, auch wenn dieser bessere Preise oder innovativere Technologien zu bieten hat.

Eine Cloudstrategie mit mehreren Anbietern würde das Risiko einer Bindung verringern, dafür aber zusätzlichen Aufwand und mehr Ressourcen bei der Entwicklung der CIAM-Lösung beanspruchen. Dazu müssten sich Teams Kenntnisse über die Technologien verschiedener Anbieter aneignen und immer auf dem neuesten Stand bleiben.

Sicherheit, Servicelevel und SupportCIAM-Lösungen, die eine der großen Public Clouds nutzen, profitieren von den enormen Ressourcen, die diese Anbieter in die Technologie, Infrastruktur und Sicherheit ihrer Angebote investieren. Viele dieser Serviceleistungen haben eine Verfügbarkeit von 99,5 % und werden mit Sicherheits- oder Branchenzertifizierungen beworben.


Dies kann den trügerischen Schein erwecken, dass das eigene Sicherheits- und Zuverlässigkeitsniveau automatisch dem des Anbieters entspricht. Jedes Softwareprojekt, das auf einer Public-Cloud-Umgebung aufbaut, hat nicht automatisch dasselbe Maß an Verfügbarkeit und Sicherheit und wird nicht zwingend durch die Zertifizierungen abgedeckt, die diese Cloudanbieter für ihre Services erhalten haben. Dies gilt auch für CIAM-Lösungen – und zwar unabhängig davon, ob es sich um intern entwickelte oder kommerzielle Produkte handelt.

Es sind ein enormer Aufwand sowie viel Fachwissen und Erfahrung nötig, um eine CIAM-Lösung mit gleicher (oder besserer) Verfügbarkeit und Sicherheit als die der zugrunde liegenden Cloudinfrastruktur aufzubauen.

Die Akamai Identity Cloud verfügt zum Beispiel über überwachte bzw. geprüfte Zertifizierungen/Konformität für eine Vielzahl von Sicherheitsprogrammen, darunter ISO 27001:2013, ISO 27018:2014 (PII-Schutz in der Cloud), SOC 2 Typ II (alle fünf Trust-Prinzipien), HIPAA (Speicherung von Gesundheitsdaten), HITECH (Übertragung von Gesundheitsdaten), Cloud Security Alliance (CSA Star), das EU-US-Datenschutzschildabkommen (geprüft von TRUSTe) und das TRUSTe-Datenschutzprogramm. In der Regel ist es weder machbar noch wirtschaftlich vertretbar, ein derartiges Niveau an zertifizierter und überprüfter Sicherheit und Compliance mit einer firmeninternen Lösung zu erreichen.



Nutzung von FOSS (Free/Open-Source-Software): Grundlagen und häufige Fehler Die meisten Unternehmen verlassen sich weitgehend auf FOSS, wenn sie eigene CIAM-Lösungen entwickeln. Fast jede Infrastruktur und jeder Anwendungs-Stack nutzt heutzutage eine Vielzahl von FOSS-Komponenten unter einer Lizenz, die es Unternehmen gestattet, den Quellcode einzusehen, weiterzugeben und zu verändern. Zu den wichtigsten Beispielen gehören das Linux-Betriebssystem, der Apache-Webserver und OpenSSL (ein Toolkit zur sicheren Datenverschlüsselung). Zur Entwicklung von FOSS trägt meist eine offene Community von Mitwirkenden bei, die auch für den Vorgang der Sicherheitsüberprüfung zuständig ist und festlegt, welche Beiträge und Codeänderungen Teil des Hauptquellbaums werden.

Bei der Einschätzung, ob sich eine bestimmte FOSS-Komponente für ein intern zur Nutzung im Unternehmen entwickeltes Projekt eignet, sind diese Grundlagen zu berücksichtigen. DevOps-Teams konzentrieren sich häufig nur auf die eigentliche Funktionalität und Qualität einer FOSS-Komponente: Erfüllt sie ihre Aufgabe und erfüllt sie sie gut? Wird die Frage so gestellt, bestehen viele FOSS-Komponenten die Prüfung mit Bravour. Viele sehr funktionsreiche, qualitativ hochwertige und weit verbreitete Softwareprojekte werden als FOSS entwickelt.

Es gibt jedoch häufige Missverständnisse in Bezug auf FOSS, die zu falschen Annahmen über den Arbeits- und Kostenaufwand verleiten, der mit FOSS-Komponenten im Anwendungs- oder Infrastruktur-Stack eines größeren kommerziellen Projekts verbunden ist. Diese Missverständnisse hängen mit den bereits erwähnten grundlegenden Eigenschaften „freier“ Software zusammen.

„Freie“ Software ist nicht gleich „kostenfreie“ Software Die Software kann zwar in der Regel kostenlos heruntergeladen und verwendet werden, doch die Ausführung von FOSS-Komponenten erfordert so viel Arbeit und Ressourcen, dass die Kosten schnell in die Höhe schießen können. Mit dem Begriff „free“ („frei“) war nie die Bedeutung von „kostenfrei“ beabsichtigt, wie Richard Stallman von der Free Software Foundation erklärt: „Freie Software ist Software, die die Freiheit und Gemeinschaft der Nutzer respektiert. Grob gesagt bedeutet das, dass die Nutzer die Möglichkeit haben, die Software auszuführen, zu kopieren, zu verbreiten, zu studieren, zu ändern und zu verbessern. Somit geht es bei freier Software um Freiheit – nicht um Preise. Denken Sie fürs eigene Verständnis etwa an das Wort frei in Redefreiheit und nicht an das in Freibier.“14

Unternehmen müssen bei jedem Update durch die FOSS-Community enorme Ressourcen aufwenden, um die Neuerungen zu testen und schließlich einzuführen. Es gibt bei einer neuen Version keine Garantie, dass die benötigten Funktionalitäten und Kompatibilitäten beibehalten werden.

WAS SIE BEACHTEN SOLLTEN



Die Community übernimmt nicht die gesamte Entwicklung und Fehlerbehebung für SieWenn Software von der Community entwickelt wird, hat dies unter anderem den Vorteil, dass Softwareprojekte nicht mehr vom Interesse einer oder sehr weniger Personen gelenkt werden. Die Entwicklercommunity kann die Kompatibilität zwischen Releases unterbrechen, radikale Veränderungen an den Programmier- und Nutzerschnittstellen oder Datenstrukturen vornehmen und jederzeit Funktionen verwerfen oder hinzufügen, ohne Rücksicht auf die Anforderungen großer kommerzieller Nutzer zu nehmen, für die solche Änderungen möglicherweise schwer verdaulich und teuer umzusetzen sind.

Diese Flexibilität ermöglicht zwar erstaunlich schnelle Innovationszyklen, sie kann sich jedoch als problematisch erweisen, wenn große kommerzielle Nutzer enorme Ressourcen für die Einführung und Erprobung von Updates und neuen Versionen der Komponenten aufwenden müssen, aus denen sich der Anwendungs-Stack zusammensetzt. Wenn die Community sich für eine bedeutende Codeänderung entscheidet und die Kompatibilität mit anderen Teilen der Anwendung beeinträchtigt wird, können die Kosten und der Aufwand für die Überarbeitung (bzw. den Neuaufbau) des Stacks beträchtlich sein. Wenn eine solche Änderung im Rahmen eines wichtigen Sicherheits-Updates erfolgt, gibt es unter Umständen nicht einmal die Möglichkeit, mit der Implementierung zu warten, da die Websites und Kundendaten in der Zwischenzeit angreifbar wären.

Zwar ist in der Regel nicht für jede neue Version einer FOSS-Komponente eine Aktualisierung erforderlich, doch wenn von der Community bereitgestellte Code-Patches und Versionsaktualisierungen über längere Zeit ignoriert werden, führt dies fast immer zu einem Punkt, an dem sich dringende Sicherheits-Updates und/oder Fehlerbehebungen nicht auf die ältere Version anwenden lassen.

Einhaltung von LizenzbestimmungenZum Zeitpunkt der Entstehung dieses Whitepapers gibt es 83 verschiedene von der Open Source Initiative genehmigte Open-Source-Lizenzen und buchstäblich Hunderte anderer Lizenzen, die nicht von ihr genehmigt wurden.15 Bei der Nutzung von FOSS-Komponenten muss die Einhaltung dieser Lizenzen sichergestellt werden und klar sein, welche Verpflichtungen sie mit sich bringen. Insbesondere bei einer Weitergabe der Open-Source-Software kann dies auch Auswirkungen auf eigenes geistiges Eigentum haben.

Open-Source-Projekte sind nicht immer zuverlässigOpen-Source-Projekte können sich aus verschiedenen Gründen verändern. Manchmal entscheidet die Community, das Projekt in eine neue Richtung zu lenken, weil sich die Bedürfnisse und Anforderungen, die den Anstoß für die Entwicklung gegeben haben, geändert haben. Wenn sich die Community nicht auf eine Richtung, Technologie oder Lizenzierung einigen kann, kommt es in manchen Fällen zu Spaltungen, wobei neue Projekte und Quellcodeverzweigungen entstehen. Im Bereich des Identitätsmanagements trifft dies beispielsweise auf die Softwareprojekte OpenDS und OpenSSO zu, die ursprünglich von Sun Microsystems erarbeitet wurden, dann als Grundlage für ein kommerzielles Angebot von ForgeRock dienten und nach einer Lizenzänderung eine Spaltung und Teilung der Community erlebten.16



Kaufoptionen

Herkömmliche IAM-Lösungen (Identity Access and Management)

Es gibt zwei Arten von dedizierten kommerziellen Identitätslösungen:

• Herkömmliches IAM (Identity Access and Management)

• CIAM (Customer Identity Access and Management)

Es ist ein häufiges Missverständnis, dass für CIAM dieselbe Technologie wie für herkömmliches IAM benötigt wird. Herkömmliche IAM-Lösungen, auch als Unternehmens-, Mitarbeiter- oder Belegschafts-IAM bezeichnet, sind die IT-Systeme, die dafür sorgen, dass nur die eigenen Mitarbeiter oder bekannte Geschäftspartner eines Unternehmens auf das Unternehmensnetzwerk und dessen Ressourcen zugreifen können.

Herkömmliche IAM-Lösungen sind in der Regel gut bewährte Systeme, weswegen einige Unternehmen die folgende falsche Annahme treffen: „Da wir diese Technologie bereits intern haben, kann es doch nicht so schwierig sein, diese auf unsere Kunden auszuweiten.“ Dieser Ansatz basiert auf einer erheblichen Unterschätzung der Unterschiede zwischen IAM-Systemen für Belegschaften und solchen für Kunden. Auch die Komplexität, was das Verwalten von Kundenidentitäten für die öffentlichen Digital Properties eines Unternehmens betrifft, wird dabei gern unterschätzt. Für das CIAM gelten grundverschiedene – und weitaus anspruchsvollere – Anforderungen als für das IAM für Belegschaften. Daher kann es problematisch werden, wenn IAM-Lösungen für Belegschaften einfach umfunktioniert werden.

Da das herkömmliche IAM Mitarbeitern den Zugriff auf interne Systeme erleichtern soll, kann es keine Einblicke in die Identität eines Nutzers bieten. Im Gegenteil: Es wird eine Identität angenommen und erweiterte Daten können nicht nachverfolgt werden (wie die Aktionen, die ein Nutzer durchführt, und Aspekte, die seine Journey und sein Verhalten innerhalb der digitalen Welt beeinflussen). Doch Unternehmen benötigen diese Art von Einblicken in Daten, um ihre Kunden zu verstehen und im digitalen Marktsegment wettbewerbsfähig zu sein.

Aus sicherheitstechnischer Sicht stellt es ein Risiko dar, die Identität des Kunden einfach vorauszusetzen. IAM-Systemnutzer sind persönlich bekannte Mitarbeiter des Unternehmens und ihre Zugriffsrechte werden in der Regel von der Personal- oder IT-Abteilung festgelegt. Umgekehrt können und dürfen Anwendungen oder Programme, die CIAM-Lösungen nutzen, nicht voraussetzen, dass unbekannte Nutzer bei der Registrierung über das Internet ihre wahre Identität angeben. Betrüger können ohne Weiteres in krimineller Absicht Konten erstellen und selbst gutwillige Nutzer geben bei der Registrierung manchmal falsche Daten an. Ein Identitätsmanagementsystem muss diesen Unterschied berücksichtigen können.

Funktionen und Anforderungen unterscheiden sich grundlegend, wenn IAM-Lösungen für den Kundenstamm und nicht für die Belegschaft eingesetzt werden.


Ein weiterer entscheidender Unterschied zwischen herkömmlichem IAM und CIAM ist die Skalierbarkeit. In außergewöhnlich großen Unternehmen muss das Personal-IAM-System unter Umständen mehrere Zehntausend Mitarbeiteridentitäten verwalten. Bei Marken mit hohen Volumina liegt die Anzahl der Kundenkonten, die gleichzeitig verarbeitet werden müssen, dagegen im zwei-, wenn nicht gar dreistelligen Millionenbereich.

CIAM-LösungenDedizierte CIAM-Plattformen wie Akamai Identity Cloud sind von vornherein darauf ausgelegt, eine sehr große Zahl von Kundenidentitäten so zu verarbeiten, dass Unternehmen maximalen Nutzen aus den Kundenprofildaten ziehen.

Darüber hinaus ermöglichen CIAM-Lösungen ein nahtloses und reibungsloses Kundenerlebnis, sodass Aufgaben wie Anmeldung, Authentifizierung oder Verwaltung von Nutzereinstellungen die Verbraucher nicht bei ihren Aktivitäten aufhalten und so der Konkurrenz in die Arme treiben. Außerdem sorgen CIAM-Technologien für den wichtigen Schutz personenbezogener Daten in öffentlichen Netzwerken. Ferner ermöglichen sie globalen Unternehmen, die vielfältigen und sich häufig ändernden Datenschutzbestimmungen zuverlässig einzuhalten.

Vor OrtÄhnlich wie bei den Entwicklungsoptionen gibt es auch in diesem Bereich kommerzielle CIAM-Lösungen, die auf firmeneigener Hardware in firmeninternen Rechenzentren ausgeführt werden. Diese Option macht die Entwicklung der eigentlichen CIAM-Funktionalität überflüssig, aber der bereits erwähnte Arbeits- und Kostenaufwand für den Besitz und Betrieb der Hardware und der Anlagen fällt dennoch an. Auch die Herausforderungen im Hinblick auf Geschäftskontinuität, Notfallwiederherstellung und Zuverlässigkeit sowie potenzielle Performance- und Latenzprobleme durch fehlende physische Rechenzentren für Failover und Verteilung des Traffics bleiben ungelöst.

Gehostetes CIAM („Pseudo-Cloud“)Unternehmen, die sich für eine kommerzielle, cloudbasierte CIAM-Lösung entscheiden, sparen diesen Aufwand und können die Komplexität weiter reduzieren. Sie sollten genau hinschauen, wenn sich ein Anbieter als cloudbasiert bezeichnet und, wie häufig in solchen Fällen, von IDaaS (Identity as a Service) die Rede ist.

Schon die technischen Grundlagen der Akamai Identity Cloud waren von Anfang an auf die Verarbeitung großer Mengen an Kundenidentitäten und die maximale Verwertung von Kundenprofildaten ausgelegt.


Viele CIAM-Lösungen haben ihre Wurzeln in herkömmlichem IAM: Die ursprüngliche Architektur dieser Lösungen entspricht oft der einer klassischen monolithischen Anwendung, die Unternehmen vor Ort auf ihrer eigenen Hardware installieren und betreiben müssen.

Um diese Lösungen „cloudtauglich“ zu machen, hosten viele Anbieter sie einfach auf einem Server in der Cloud. Dieses Konzept hat zwar den Vorteil, dass es die Ausführung der Software sowohl vor Ort als auch in Private und Public Clouds ermöglicht, doch die inhärente Architektur der CIAM-Lösung kann die Vorteile einer modernen Cloudumgebung nicht voll ausschöpfen. Dadurch sind Funktionen wie die flexible Skalierung zur Bewältigung von Trafficspitzen oder der schnelle Failover zwischen Instanzen und Regionen nicht verfügbar.

Außerdem können Lösungen mit einer solchen „Pseudo-Cloud“ meist nicht alle wirtschaftlichen Vorteile ausschöpfen, die eine gemeinsame Nutzung von Ressourcen in der Cloud mit sich bringt. Ihre Architektur ist nicht auf eine hochgradig modularisierte und verteilte, mehrmandantenfähige Umgebung ausgelegt. In der Regel duplizieren diese Lösungen viele funktionale Komponenten, die bei nativ für die Cloud entwickelter Software zur gemeinsamen Nutzung bereitstehen.

Cloudbasiertes (cloudnatives) CIAMFür die Ausführung in einer modernen Cloud entwickelte und konzipierte CIAM-Lösungen profitieren wesentlich leichter von einer gemeinsamen Nutzung von Ressourcen und den Größenvorteilen in dieser Umgebung. Sie können häufig nicht vor Ort in einer Private-Cloud-Umgebung bereitgestellt werden.

Bei diesem cloudnativen Modell müssen Unternehmen keine Ressourcen für Hardware oder Rechenzentren aufwenden oder sich Gedanken über die Wahl eines Cloudanbieters machen. Darüber hinaus ermöglicht es ein hohes Maß an Effizienz und Optimierung.

Architektur als zentraler FaktorSelbst bei nativ für die Cloud entwickelten Lösungen sollten Sie sich vom Anbieter erläutern lassen, wie die Architektur im Einzelnen aussieht, wie skalierbar, zuverlässig und sicher sie ist, welche Verfügbarkeit im SLA festgelegt wird und wie verfügbar sie in den letzten 12 bis 36 Monaten tatsächlich war.

Folgender Fall mag als Beispiel dienen: An einem Wochenende im Jahr 2016 führte in Australien eine gewaltige Sturmfront von Brisbane bis zur Südküste von New South Wales zu großflächigen Überschwemmungen und Küstenerosionen. Davon waren unter anderem die Rechenzentren betroffen, in denen die regionalen Server eines Public-Cloud-Anbieters gehostet wurden. Dessen Cloudservices fielen aus und dies bekamen auch die Kunden zu spüren.

Eine gehostete CIAM-Lösung ist nicht dasselbe wie eine Cloudlösung. Sie kann möglicherweise nicht skaliert werden, wenn Trafficspitzen zu bewältigen sind oder ein schnelles Failover zwischen Instanzen und Regionen nötig wird.

vs.


Ein australischer Kunde von Akamai – eine der größten B2C-Marken der Region – nutzt die Public Cloud dieses Anbieters für einen Großteil seiner Kundenwebsites. Diese waren von dem Ausfall stark beeinträchtigt. Während der Cloudanbieter sein System innerhalb von etwa sechs Stunden wiederherstellen konnte, dauerte es bei den Websites des Kunden mehrere Tage.

Die Akamai Identity Cloud war hingegen kaum von dem Sturm betroffen. Die schnelle Wiederherstellung ohne Datenverluste gelang Akamai aufgrund der cloudnativen, auf maximale globale Verfügbarkeit ausgelegten Architektur.

Die Identity Cloud leitete automatisch ein Failover auf andere geografische Regionen ein, die den Traffic entsprechend übernahmen und umleiteten. Eine dieser Regionen übernahm das Backup und weitere nicht vom Sturm betroffene Regionen wurden wiederum zu Reservesystemen bei einem Ausfall des Backups erklärt. Die Kundenidentitätsdaten waren bereits bei der regelmäßig von Akamai durchgeführten Datensicherung in den Failover-Regionen hinterlegt worden.

Die Akamai Identity Cloud ist darauf ausgelegt, selbst bei einem gleichzeitigen Ausfall der Rechenzentren und Stromversorgung in mehreren Regionen den Betrieb fortzusetzen und die Performance-SLAs einzuhalten. Die überregionalen Failover-Szenarien und Daten-Backups werden regelmäßig getestet und ihre Funktionalität wird durch unabhängige Audits bestätigt.

Aufgrund des Sturms in Australien bat der Kunde Akamai um Unterstützung bei der Modifizierung seiner Systeme, um ähnliche Vorfälle in Zukunft zu verhindern.

Die Bedeutung der geografischen VielfaltAls ein gewaltiger Sturm die Rechenzentren eines Public-Cloud-Anbieters in Südaustralien außer Gefecht setzte, war die Akamai Identity Cloud schnell wieder einsatzbereit – ganz ohne Datenverluste.


FazitKommerzielle CIAM-Lösungen haben mehrere wesentliche Vorteile gegenüber dem Versuch, in internen IT-Abteilungen eine eigene Lösung zu entwickeln. Von globaler Verfügbarkeit und Skalierbarkeit bis hin zu garantierten SLAs und Sicherheitszertifizierungen – dank der Kompetenz, der Ressourcen und der kontinuierlichen Forschungs- und Entwicklungsarbeit des Drittanbieters kann sich Ihr IT-Team auf andere wichtige Geschäftsinitiativen konzentrieren.

Wenn die Architektur von CIAM-Lösungen darauf ausgelegt ist, die Möglichkeiten einer modernen Cloud zur gemeinsamen Nutzung von Ressourcen, flexiblen Skalierung sowie überregionalen Failover-Bereitstellung und Notfallwiederherstellung auszuschöpfen, bieten die Lösungen IDaaS mit einer Funktionsfülle und auf einem Sicherheitsniveau, wie dies mit intern entwickelten Produkten kaum zu erreichen ist. Gleichzeitig sorgen sie dafür, dass der Betrieb eigener Rechenzentren und Hardware verzichtbar wird.

Auch wenn der Aufbau eines eigenen Identitätsmanagementsystems machbar erscheint, besteht ein erhebliches Risiko, dass der Aufwand unterschätzt wird, zu wenig Finanzmittel bereitgestellt werden und langfristig nicht genügend interne Ressourcen und Fachkenntnisse vorhanden sind, um die Lösung zu unterstützen, zu warten und im Hinblick auf sich ändernde Marktanforderungen und Kundenerwartungen weiterzuentwickeln. Kommerzielle CIAM-Anbieter können mit den von Technologie, Verbrauchern, Märkten und Regulierungsbehörden vorgegebenen Änderungen eher Schritt halten – sie sind ganz einfach dazu gezwungen, ihre Dienstleistungen weiterzuentwickeln, damit ihre Angebote wettbewerbsfähig und relevant bleiben.

In den meisten Fällen ist für das Identitätsmanagement eher die Option „Kauf“ statt „Entwicklung“ zu empfehlen, wobei sich cloudnative Standardlösungen für die Ziele, Anforderungen und Ressourcen der meisten Unternehmen am besten eignen. Dennoch sollten Unternehmen zunächst ihre jeweilige Situation prüfen und dann eine Einschätzung vornehmen, welche Option sich für ihren konkreten Fall am besten eignet.

Weitere Informationen finden Sie unter akamai.com/ciam oder in unserer „Checkliste für Käufer: Die 10 wichtigsten Überlegungen bei der Auswahl einer CIAM-Lösung.“


https://www.akamai.com/de/de/solutions/security/customer-identity-and-access-management.jsp

https://www.akamai.com/de/de/multimedia/documents/brochure/buyers-checklist-top-10-considerations-in-selecting-a-ciam-solution.pdf

https://www.akamai.com/de/de/multimedia/documents/brochure/buyers-checklist-top-10-considerations-in-selecting-a-ciam-solution.pdf


QUELLEN

1) https://www.dynatrace.com/news/blog/how-fast-is-fast-enough-tmobile/

2) Google: Using page speed in mobile search ranking. Januar 2018.

3) https://chatbotsmagazine.com/how-with-the-help-of-chatbots-customer-service-costs-could-be-reduced-up-to-30-b9266a369945

4) https://blogs.aspect.com/web-chat-faq-average-costs-vs-handle-time-and-efficiency/

5) https://www.ibm.com/blogs/watson/2017/10/how-chatbots-reduce-customer-service-costs-by-30-percent/

6) https://www.ibm.com/security/data-breach

7) Gonzalez et al. „Information Systems Outsourcing Reasons and Risks.“ 2010

8) https://www.wrike.com/blog/complete-collection-project-management-statistics-2015/

9) Improving IT Project Outcomes by Systematically Managing and Hedging Risk. IDC-Bericht von Dana Wiklund und Joseph C. Pucciarelli.

10) The Standish Group: CHAOS-Studie, 2016.

11) DSGVO, Erwägungsgrund 22: „Jede Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer Niederlassung eines

Verantwortlichen oder eines Auftragsverarbeiters in der Union sollte gemäß dieser Verordnung erfolgen, gleich, ob die Verarbeitung in oder

außerhalb der Union stattfindet.“

12) Microsoft: Gesamtbetriebskostenrechner; AWS: Gesamtbetriebskostenrechner

13) https://www.zdnet.com/article/enterprises-learning-to-love-cloud-lock-in-too-is-it-different-this-time/

14) Free Software Foundation: Freie Software. Was ist das? Freie-Software-Definition, https://www.gnu.org/philosophy/free-sw.de.html

15) Open Source Initiative: Lizenzen nach Namen geordnet, https://opensource.org/licenses/alphabetical

16) http://www.timeforafork.com/

Akamai stellt sichere digitale Erlebnisse für die größten Unternehmen der Welt bereit. Die Intelligent Edge Platform umgibt alles – vom Unternehmen bis zur Cloud –, damit unsere Kunden und ihre Unternehmen schnell, intelligent und sicher agieren können. Führende Marken weltweit setzen auf die agilen Lösungen von Akamai, um die Performance ihrer Multi-Cloud-Architekturen zu optimieren. Akamai hält Angriffe und Bedrohungen fern und bietet im Vergleich zu anderen Anbietern besonders nutzernahe Entscheidungen, Anwendungen und Erlebnisse. Das Akamai-Portfolio für Website- und Anwendungsperformance, Cloudsicherheit, Unternehmenszugriff und Videobereitstellung wird durch einen herausragenden Kundenservice, Analysen und Rund-um-die-Uhr-Überwachung ergänzt. Warum weltweit führende Unternehmen auf Akamai vertrauen, erfahren Sie unter akamai.de, im Blog blogs.akamai.com/de oder auf Twitter unter @AkamaiDACH sowie @Akamai. Unsere globalen Standorte finden Sie unter akamai.de/locations. Veröffentlicht: Mai 2019

https://www.dynatrace.com/news/blog/how-fast-is-fast-enough-tmobile/

https://chatbotsmagazine.com/how-with-the-help-of-chatbots-customer-service-costs-could-be-reduced-up-to-30-b9266a369945

https://blogs.aspect.com/web-chat-faq-average-costs-vs-handle-time-and-efficiency/

https://www.ibm.com/blogs/watson/2017/10/how-chatbots-reduce-customer-service-costs-by-30-percent/

https://www.ibm.com/security/data-breach

https://www.wrike.com/blog/complete-collection-project-management-statistics-2015/

https://www.zdnet.com/article/enterprises-learning-to-love-cloud-lock-in-too-is-it-different-this-time/

https://www.gnu.org/philosophy/free-sw.de.html

https://opensource.org/licenses/alphabetical

http://www.timeforafork.com/

https://www.akamai.com/de/de

https://blogs.akamai.com/de

https://twitter.com/AkamaiDACH

https://twitter.com/Akamai

https://www.akamai.com/de/de/locations.jsp

Selbst entwickeln oder kaufen? - Akamai...Social Login – Authentifizierung über Facebook, Google,...

Documents

Transcript of Selbst entwickeln oder kaufen? - Akamai...Social Login – Authentifizierung über Facebook, Google,...