"Die Einfachheit war für uns das oberste Ziel"

Was ist Verdict-as-a-Service und wie funktioniert es?

Cornelia Lehle: Verdict-as-a-Service oder kurz VaaS ist im Prinzip eine klassische Antiviren-Engine, die wir in die Cloud verlagert haben. Der Vorteil dabei ist, dass die Cloud immer auf dem aktuellen Stand ist und neue Bedrohungen damit schnell erkannt werden. Dadurch belastet der Scanner beim Prüfen keine Systemressourcen. Das Software Development Kit (SDK) steuert den Scan über die Cloud, um die Daten dort zu prüfen. Danach kommt die Bewertung, das sogenannte Verdict, zurück. Es zeigt, ob das Dokument schädlich ist oder nicht beziehungsweise ob es sich um ein sogenanntes Probably Unwanted Program, ein unerwünschtes Programm, handelt. Die Kundinnen und Kunden  entscheiden in ihrem Produktkontext, wie es dann weitergeht, zum Beispiel, ob die schädliche Datei gesperrt oder gelöscht wird. Viele Schadprogramme erkennen wir allemal am Hashwert. Daher prüfen wir vor jedem Upload, ob die Datei nicht schon bekannt ist. So verhindert VaaS, dass die gleiche Datei immer wieder zum Scan hochgeladen wird und unnötiger Netzwerkverkehr entsteht. 

Welche Idee steckt hinter Verdict-as-a-Service?

Die Idee beziehungsweise der Wunsch wurde von Unternehmen an uns herangetragen. Sie haben eine einfache, skalierbare Lösung angefragt, die sich in ein eigenes Produkt einbauen lässt, um Dateien zu überprüfen. Dafür wollten die Firmen aber wenig Aufwand betreiben. Unsere eigenen Technologien in eine andere Lösung zu integrieren, wäre ein zu hoher Aufwand gewesen. Gleichzeitig standen wir vor einem vergleichbaren Problem: Wir müssen viele Daten schnell und skalierbar auf schädlichen Inhalt untersuchen. So haben wir VaaS als OEM-Produkt konzipiert.

Für welche Kundinnen und Kunden ist VaaS gedacht?

Viele Unternehmen bieten Produkte an, in denen Daten übertragen werden und die Anbieterseite gar nicht kontrollieren kann, ob diese Malware enthält. Gemeinsam genutzte Storage-Lösungen sind ein Beispiel. Anwenderinnen und Anwender könnten etwa schädliche Dateien hochladen und diese dann mit anderen Mitarbeitenden teilen. An dieser Stelle ist ein Virenscan sehr sinnvoll.

Worauf haben Sie bei der Entwicklung besonders Wert gelegt?

VaaS sollte für die Entwicklerinnen und Entwickler der Kundinnen und Kunden  leicht integrierbar sein – mit nur wenigen Zeilen Code. Die Einfachheit war für uns das oberste Ziel. Die Integration sollte nur eine kleine Hürde sein, damit jedes Unternehmen einen Virenschutz in seine Lösungen oder Dienste einbauen kann und sich dann um nichts mehr kümmern muss. Darüber hinaus sollte die Implementierung einfach mit Copy-and-paste möglich sein, weil nicht alle Entwicklerinnen und Entwickler auf Kundenseite über spezielle Security-Kenntnisse verfügen. Danach übergeben wir dem Unternehmen einen Access Token und die Integration ist abgeschlossen.

Welche Vorteile haben Unternehmen beim Einsatz von VaaS?

Unternehmen müssen keine zusätzliche Infrastruktur aufsetzen und unterhalten, zum Beispiel entfällt der Betrieb eines Scan-Servers. IT-Verantwortliche müssen sich nicht um Updates auf den Clients kümmern, weil die Cloud immer auf dem aktuellen Stand ist. Ein weiterer Vorteil ist die Skalierbarkeit. Es spielt keine Rolle, ob pro Tag eine Handvoll oder Zehntausende Dateien gescannt werden. Unternehmen können problemlos die zu überprüfende Datenmenge steigern. Ein limitierender Faktor bei VaaS ist die Geschwindigkeit, mit der die Dateien in die Cloud übertragen werden können. Im Regelfall sind die zu prüfenden Daten nicht sehr gross, sodass ein Scan in wenigen Sekunden abgeschlossen ist.

Wie arbeiten Sie mit Kundinnen und Kunden zusammen?

Unternehmen können direkt unser Entwicklungsteam kontaktieren, weil wir hier ein Produkt von und für ­Entwickler verkaufen. VaaS ist keine klassische Sicherheitslösung im Sinne eines fertigen Produkts, an dem alles unveränderbar ist. Der Dienst wird in die Lösung des Kunden integriert und dafür müssen Entwickler mit Entwicklern sprechen. So lassen sich Fragen und ­Unklarheiten schnell klären. Bisher ist gerade dieser Punkt bei den Kundinnen und Kunden sehr gut angekommen. Wir beantworten Fragen auf der Ebene, von der sie ­kommen, zum Beispiel wie VaaS integriert wird. Interessierten Unternehmen stellen wir auch kostenlose Test­accounts zur Verfügung. So können Firmen VaaS testen.

Sie haben Ionos als Cloud-Partner bei diesem Projekt ins Boot geholt. Warum fiel die Wahl auf genau dieses Unternehmen?

Wir wussten von Anfang an, dass wir für unser Projekt einen Cloud-Partner brauchen. Damit wir genau wie unsere Kundinnen und Kunden von der Skalierbarkeit profitieren können. Die zentrale Frage dabei war: Wie viele VaaS-Kunden haben wir in Zukunft und wie viele Dateien müssen wir scannen? Daher war eine Public Cloud die einzig sinnvolle Lösung. Natürlich in Deutschland. Daher haben wir uns für eine Zusammenarbeit mit Ionos entschieden. Natürlich betreiben die grossen Internetkonzerne auch Rechenzentren in Deutschland, aber hier mangelt es an Vertrauen auf der Seite unserer Kundinnen und Kunden, weil es US-amerikanische Firmen sind. Der Wunsch war klar: Wenn wir Daten in die Cloud hochladen und verarbeiten, muss es sich um ein deutsches Unternehmen mit deutschen Rechenzentren handeln. Wir müssen wirklich garantieren können, dass die Daten den deutschen Rechtsraum nicht verlassen. Und Ionos erfüllte zudem noch weitere Vorgaben, die für uns wichtig sind, wie Sicherheitszertifizierungen für die Rechenzentren. Ausserdem hat unser Partner eine gewisse Grösse und Stärke, sodass wir uns sicher sind, dass wir langfristig zusammenarbeiten können.

Wie lange haben Sie für die Entwicklung von VaaS gebraucht?

Die Entwicklung hat ein Jahr gedauert. Wir sind direkt mit einem Pilotkunden gestartet, mit dem wir im engen Austausch standen und wertvolles Feedback erhalten haben. Wir wollten von Anfang an ein kundenorientiertes Projekt realisieren, das den maximalen Nutzen bietet. Und direkt mit Kundinnen und Kunden zusammenzuarbeiten, ist das Beste, was man aus unserer Sicht machen kann.

Wie sieht die Langzeitplanung für das Verdict-as-a-Service-­Angebot aus? Entwickeln Sie den Dienst weiter?

Verdict-as-a-Service ist der Start für eine eigene Produktstrategie. VaaS ist der erste Schritt von G Data in Richtung Cloud Security. Denn immer mehr Daten gehen in die Cloud. Diese versetzt auch uns in die Lage, sämtliche Clients und Betriebssystemarten – vom Windows-Rechner über Android-Mobilgeräte bis hin zu Servern, Websites, Data Storages oder Diensten sicherheitstechnisch abzudecken. Das Grundprodukt ist fertig und einsatzbereit. Wir werden aber noch weitere Features entwickeln, wie die Anbindung von Malware-Sandboxen für dynamische Analysen. Kundinnen und Kunden  erhalten dann umfangreiche Reports, was der Schadcode im Detail macht. Eine weitere Idee ist die Prüfung von Domains oder URLs. Denn diese können auch schädlich sein. Das könnten wir auch in den Dienst einbauen, damit Websites für Unternehmen geprüft werden. Wir reagieren da auf die Wünsche unserer Kundinnen und Kunden.