Die öffentliche Verwaltung steht unter erheblichem Transformationsdruck. Dabei spielen Cloud-Technologien eine entscheidende Rolle. Es wird intensiv über Begriffe wie Private/Public Cloud, Deutsche Verwaltungscloud, Containerisierung, Microservices usw. diskutiert. Welche Möglichkeiten stehen heute bereits zur Verfügung? Welche Systeme sind im Einsatz? Die Anstalt für Kommunale Datenverarbeitung in Bayern (AKDB) und das Kommunale Rechenzentrum Niederrhein (KRZN) untersuchen hier die Vorteile eines Cloud-Ökosystems, die Herausforderungen und wie die Zusammenarbeit zwischen öffentlich-rechtlichen Rechenzentren erfolgen kann.

Bei einer Cloud handelt es sich abstrakt gesprochen um ein technisches Ökosystem, das Computerressourcen zur Verfügung stellt. Diese Ressourcen können Rechenleistung, Speicher oder auch Software sein. In aller Regel werden diese Leistungen über das Internet ortsunabhängig angeboten. Nutzer der Cloud wissen daher nicht, welches Rechenzentrum die Leistungen bereitstellt.

Datenschutz muss in der Cloud gewährleistet sein

Daher stellen sich sofort datenschutzrechtliche Fragen. Der hohe Stellenwert von Datenschutz und Datensicherheit in der öffentlichen Verwaltung steht nicht im Widerspruch zum „Cloud-Gedanken“. Neben den großen Cloud-Anbietern (Google, Microsoft, IBM, Telekom) besteht auch die Möglichkeit, eine Unternehmens- oder eine private Cloud aufzubauen. Diese wird dann an einem oder mehreren ausgewählten Standorten, etwa in den öffentlich-rechtlichen Rechenzentren in Deutschland, betrieben. Das ist auch der Grundgedanke der „Deutschen Verwaltungscloud“.

Ausfallsicher und skalierbar

Eine Cloud muss nicht nur Ressourcen zur Verfügung stellen, sondern auch passend zum jeweiligen Bedarf. Bei traditionellen Systemen werden Anwendungen auf einem Server betrieben. Es stehen also in einem abgeschlossenen System bestimmte Ressourcen wie Rechenleistung oder Arbeitsspeicher bereit. Ein starres und monolithisches System, in dem Lastspitzen schnell zum Ausfall führen können. Außerdem sehr kostenintensiv, da sich die Ressourcen ja an den Lastspitzen orientieren müssen. Um Risiken und Kosten zu reduzieren, gibt es das Technologie- und Architekturprinzip der „virtuellen Maschinen“. Dabei werden Computersysteme als Software abgebildet und verfügen über ein eigenes Betriebssystem und eigene Ressourcen. Verschiedene virtuelle Maschinen können über mehrere Server verteilt werden. Dadurch wird eine flexiblere Verwaltung der Ressourcen und eine höhere Skalierung der Anwendungen erreicht. 

Bereit für morgen: Container-Technologie

Aber für Herausforderungen moderner Systeme – insbesondere im Internet – ist dies noch nicht ausreichend. Daher wurde die Containerisierung als weitere Technologie entwickelt. Container sind wesentlich schlanker als „virtuelle Maschinen“. Ein Container ist ein kleines Computersystem, das rudimentär über Ressourcen und ein kleines Betriebssystem verfügt. In einem Container läuft als Anwendung ein „Microservice“. Software, etwa ein Online-Verwaltungsdienst, besteht aus mehreren Microservices, die in verschiedenen Containern laufen. 

Hier kommt Kubernetes ins Spiel, eine Software, die die Verwaltung der Container ermöglicht. Und zum Beispiel für einen Lastausgleich sorgt. Je nachdem werden Container hinzugefügt oder wieder abgeschaltet. Kubernetes besitzt auch „Selbstheilungskräfte“: Fällt ein Container aus, wird er ersetzt. Der Betrieb ist nicht mehr an ein Rechenzentrum gebunden, sondern kann sich über mehrere verteilen. Genau ein solches Ökosystem haben das KRZN und die AKDB gemeinsam aufgebaut und übernehmen bei verschiedenen Anwendungen bereits den produktiven Betrieb.

Kubernetes: eine flexible Technologie 

Das KRZN ist vor sieben Jahren in diese Technologie der Containerisierung eingestiegen. 2019 fiel die strategische Entscheidung für Kubernetes. Eine der größten Herausforderungen aus systemtechnischer Sicht war dabei, Konzepte für Systemumgebungen zu entwickeln, obwohl viele zukünftige IT-Anforderungen noch nicht absehbar waren. Neue Anwendungen, die containerisiert werden, führen zu neuen Anforderungen. Die hohe Flexibilität und Skalierbarkeit einer Kubernetes-Umgebung bietet hier aber gute Möglichkeiten, den sich verändernden Anforderungen zu begegnen.

KRZN Erfahrung seit 2019

Das KRZN betreibt seine Kubernetes-Cluster im eigenen Rechenzentrum als „private Cloud“. Innerhalb der Cluster verrichten mehr als 2.500 Container ihren „Dienst“. In allen wesentlichen Netzbereichen wurden aus Sicherheitsgründen eigene Cluster etabliert. Hinzu kommen Entwicklungscluster für verschiedene Fachbereiche. Bei den Kubernetes-Servern (Knoten) handelt es sich um eine Mischung aus virtuellen Systemen und dedizierter Hardware. Welche der beiden benutzt werden, hängt von den jeweiligen Anforderungen der Anwendungen ab. Eine Mischung beider Typen ist dabei problemlos möglich. Erreicht die Auslastung der Knoten ein gewisses Maß, kann der Cluster durch Hinzufügen weiterer Knoten skaliert werden. Dies ist innerhalb weniger Stunden möglich, inklusive der Bereitstellung des Systems (Installation des Betriebssystems, und gegebenenfalls Anlegen des virtuellen Systems). 

Lastspitzen abfangen beim Online-Antrag Briefwahlunterlagen 

Die AKDB hat im gleichen Zeitraum eine entsprechende Infrastruktur aufgebaut. Hauptgrund war unter anderem, dass es bei verschiedenen Online-Diensten zu erheblichen Lastspitzen kam, die mit herkömmlichen Systemen nicht abgedeckt wurden, etwa beim Antrag auf Briefwahlunterlagen. Innerhalb Bayerns wurden binnen kurzer Zeit mehr als 600.000 Online-Anträge gestellt. Die AKDB betreibt aktuell 16 Kubernetes-Cluster im eigenen Rechenzentrum als „private Cloud“. Insgesamt sind das rund 60 Worker Nodes, auf denen über 3.000 Container unterschiedliche Online-Dienste zur Verfügung stellen.

Für jede Applikation existieren eigene Cluster, um die Netzbereiche aus Sicherheitsgründen voneinander zu trennen. Die AKDB stellt baugleiche Kubernetes-Cluster bereit, von der Entwicklung bis zur Produktion. Die Kubernetes-Nodes werden auf virtuellen Maschinen und explizit dafür bereitgestellter Hardware (ESX) betrieben. Mittels Monitoring wird die Auslastung der Nodes ständig überwacht. Es können bei Bedarf innerhalb kurzer Zeit sowohl Rechenkapazität der Nodes erhöht werden als auch dem Cluster weitere Worker Nodes hinzugefügt werden.

Die Keimzelle der Deutschen Verwaltungscloud

Mit diesem Ökosystem wurde ein produktives Cloud-Ökosystem für die öffentliche Verwaltung geschaffen, das alle Anforderungen an eine moderne Cloud erfüllt. Die Betriebsstätten liegen bei dem KRZN und der AKDB, das heißt bei öffentlich-rechtlichen und BSI-zertifizierten Rechenzentrumsbetreibern. Durch standardisierte und abgestimmte Infrastruktur ist der Austausch von Containern und somit von Software problemlos möglich. Eine Installation ist in dem jeweiligen Rechenzentrum nicht erforderlich, da die Container einfach ausgetauscht werden. Besonders wichtig: Sämtliche Betriebskomponenten des Cloud-Ökosystems beruhen ausschließlich auf Open-Source. Dadurch ist die digitale Souveränität der Cloud gewährleistet. 

In der nächsten Zukunft könnten und sollten Rechenzentren miteinander so vernetzt sein, dass ein verteilter Betrieb der Cloud-Anwendungen möglich wird. Dies erhöht nochmals die Ausfallsicherheit und erweitert die Skalierbarkeit der Systeme. Weiterhin laden wir alle öffentlich-rechtlichen Rechenzentren ein, sich an unserem Cloud-Ökosystem zu beteiligen.

Wir betrachten die bestehende Cloud als Keimzelle für die deutsche Verwaltungscloud und nehmen hier unsere Verantwortung als öffentlich-rechtliche Dienstleister für Bund, Länder und Kommunen wahr.

Autoren: Jürgen Backes ist Produktverantwortlicher System-Management beim KRZN; Michael Diepold ist Senior Vice President Digital Government bei der AKDB.