Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von YouTube und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/2519 Danke!
[Musik]
Thomas wird euch was erzählen über wie
es um Open Source in der Verwaltung
bestellt ist und welche Projekte es da
so gibt und der beantwortet alle
relevanten wfragen die er beantworten
darf soweit der Kram veröffentlicht ist
der Talk Talk heiß public money bei der
Arbeit die deutsche Verwaltung und Open
Source dann bitte eine Runde Applaus und
ich
übergebe ja danke schön ist ja hier
ausverkauft würde ich sagen gut so viel
Interesse gut fangen wir mal an ich
stelle mich noch mal kurz ausfühlicher
vor was mache ich eigentlich
wenn jetzt hier noch der die Bilder
kommen würden wäre das
perfekt danke schön
ich beschäftige mich eigentlich
hauptberuflich mit kubernettis und
Security also Cloud Security habe auch
irgendwann mal zwei Firmen gegründet die
eine hat als Open Source firmer
angefangen ist in der Google Cloud
gelandet sonst versuchen wir gerade
Fehler in Azure und AWS zu finden was
auch eine dankbare Aufgabe
ist letzten Projekte die ich gemacht
habe waren im Wesentlichen Security und
ganz besonders in kritische
Infrastruktur weil die das kubernetes
Thema auch entdeckt haben ich mache Open
Source schon sehr lange also seit 0.95
ohne mein alter verraten zu wollen könnt
ihr daraus
hochrechnen und mach jetzt hier Open
Source und im Wesentlichen Cloud native
für die deutsche
Verwaltung Historie ich war auch mal im
bundestach das ist also alles in den
Folien die sind verlinkt 2001 da haben
die Abgeordneten aus Nürnberg die
Bildzeitung gelesen als wir für Suse da
versucht haben das durchzubekommen wir
haben es auch durchbekommen aber nicht
auf dem Client das Geschäft gemacht hat
nicht Suse sondern
IBM das war dann im Wesentlichen auf für
lange Zeit das was passiert ist
und ja es gab so einen halbherzigen
Wunsch damals nach Open Source aber
nicht so wirklich irgendwann 2019 ist
eine Strategie aufgetaucht von pricew
houseus Coopers das hat dann eine
strategische Marktanalyse gemacht und
festgestellt dass die Verwaltung von
Microsoft abhängig
ist ja es gibt auch eine von DELO die
sagt dass die Datenbanken entweder von
Oracle oder von Microsoft abhängig sind
das überrascht uns jetzt alle nicht
wirklich dann wurde ich eingeladen weil
die letzte Bundesregierung das schon
ändern wollte dass wir mal über dieses
Thema digitale Souveränität reden
und dann ehrenamtlich ging es dann los
mit diesem Projekt das hieß ein Ort für
öffentlichen Code das ist also open
code.de da gehe ich gleich noch etwas
weiter drauf ein
ich habe dann noch gelegentliche
Beiträge auch zur AG Cloud gemacht das
ist also die deutsche
verwaltungscloudstategie Rahmenwerk der
Zielarchitektur das Dokument ist da
verlinkt das ist so gefühlt anderthalb
Jahre später nachdem ich da eingeladen
wurde tatsächlich veröffentlicht wurden
vom IT planungsrat
und parallel 2020 habe ich noch eine
Anfrage gehabt ja wir könnten hier mal
Open Source sicherheitstechnisch auf
fororderdermann bringen und würden dafür
auch einen sogenannten sverin techfond
einrichten und da habe ich auch ein
kleines Gutachten
zugeschrieben so allmählich haben wir
Infrastruktur das heißt opencode.de was
eigentlich ein gitlab
ist das verlangt OSI liizenzen wir haben
damals sehr lange über Lizenzen
diskutiert und konnten uns eigentlich
nur darauf einigen ja OSI liizenzen da
müssen wir können wir die ganze
Diskussion im Prinzip über Lizenzen von
der Linux Foundation übernehmen und
haben das auch in dieser deutschen
verwaltungsstrategie
verankert da findet ihr z.B den ist
Messenger
und
ja man kann schauen ich würde auch dazu
noch was erzählen was es noch für andere
Projekte
gibt der sereine techfond ist jetzt
gegründet worden der ist also sehr
interessant für
Infrastrukturprojekte der
protottimeefond das ist eigentlich die
kleine Schwester schiebt die Projekte an
und der der Server techfond hat also
richtig durchaus ein Budget was sich
lohnt 10 Millionen im ersten Jahr ich
hoffe dass das durch die
Haushaltsverhandlungen
ungefähr so geblieben ist und damit kann
dann können dann auch größere Dinge die
sonst niemand an fasst mal überprüft
werden parallel dazu ist jetzt das
zendis entstanden das ist also keine
marmeladensorte das ist das Zentrum für
digitale Souveränität die suchen gerade
leute das ist in Bochum für die Leute
aus dem rohrgebiet das wird tendenziell
ein Open Source program Office für die
öffentliche Verwaltung im Wesentlichen
für den Bund und die Länder aber da
werden dann irgendwann Open Source
Strategien entwickelt also wer sich für
sowas interessiert
einfach mal auf den Seiten gucken die
gematik baut übrigens auch ein ospo auf
München baut eins auf Dortmund hat eins
schon also da passieren gerade viele
Dinge im in der Richtung Open Source
program Office gucken wir uns open Code
mal genauer an
äh das Problem mit opencode ist ja es
ist nicht GitHub ja da war eine Frage
ähm da ein Teil des also die die Frage
die Frage war die die Länder bauen jetzt
auch äh ostpos auf ob das
äh generell eine gute Idee ist das
föderal zu organisieren die Open Source
programmofices sollen ja auch nach innen
wirken die sollen auch der eigenen
Verwaltung erklären wie man Open Source
richtig benutzt von daher ist die
Antwort ja die werden nicht alle alle
Strategien zu allen Open Source
Projekten machen können die sollten
zusammenarbeiten aber wenn irgendwie
eine Verwaltung was besonderes braucht
dann ist es natürlich auch gut wen wenn
Sie ein ospo hat was nach innen wirkt
ja
ja opencode.de da war die Diskussion
wieso nehmen wir nicht einfach GitHub
auf giitub ist viel
mehr g gilt genau dasselbe was für den
Abgrund gilt du blickst lang genug in
einen Abgrund irgendwann guckt der
Abgrund zurück also aus
Datenschutzgründen was GitHub mit den
Daten der User macht die auf giitub
unterwegs sind kann man GitHub nicht
verpflichtend für die öffentliche
Verwaltung machen wir wissen nicht was
da mit dem Code passiert jetzt mit den
Code Pilot Sachen wir wissen nicht
bleibt das vertraulich da werden von
Microsoft in Teams bereits die das
Userverhalten aus gewertet passiert das
auch auf giitab wissen wir nicht also
ist es nicht möglich das verpflichten zu
machen ich kann natürlich ein Repository
auf Github machen und auf opencode
spiegeln oder umgekehrt das ist mir
unbenommen aber aus Gründen der
Rechtssicherheit der Verwaltung ist also
openord opencode das führende System für
die Verwaltung
ähm ja es gibt die lizenzcliance wenn
man sich das anguckt da sind erstmal am
Anfang fürchterlich
triviale Sachen also ein Adventskalender
mit irgendwelchen awareness Tips vom
BSI da ist aber auch sowas wie wie len
äh zur Gestaltung von vitalen
Innenstädten was wir da auch gesehen
haben ist dieser bundesmessenger
abgekürzt bum
äh das ist im im Grunde ein Matrix für
die Bundeswehr
jeder Drehbuchschreiber hätte das aus
dem Skript gestrichen bekommen wenn er
sich diesen Namen ausgedacht hätte aber
das so ist die Verwaltung halt manchmal
da findet man z.B auch wie die
entsprechenden Container gebaut werden
von
Matrix da finden wir auch
äh von vom Robert Koch Institut
inzwischen covidsequenzen die stehen
also unter
irgendeiner Creative Commons Lizenz da
stehen aber auch solche Dinge wie die
was uns nie begegnen wird wenn wir uns
wenn als deutsche die vorab Erfassung
der
einreisebefragung
Werb das ist also etwas was man
ausfüllen kann bevor man nach
Deutschland einreist dann hat man hier
weniger Ärger mit dem zollball bei der
Einreise das wusste ich auch nicht dass
es sowas gibt aber ich reise ja auch
nicht als Ausländer nach Deutschland ein
das muss man sich
angucken was ich jetzt bei der
Vorbereitung festgestellt habe es gibt
auch so etwas wie erste Ansätze einer
elektronischen Gesetzgebung also die
Amerikaner sind da wesentlich weiter die
machen ihre Gesetzgebung in
gitreositories und dann kann jeder
commit getraced werden welcher Lobbyist
hat da welchen Beitrag geliefert das
wäre etwas was wir uns wahrscheinlich in
Deutschland auch wünschen würden es gibt
Ansätze das müsst ihr halt eben in der
lokalen Politik
einfordern ich möchte eigentlich wissen
wenn ein Gesetz entsteht wer hat wann
welche Beiträge gemacht was sind welche
Diskussionen gewesen ähm das könnte ein
Ausgangspunkt sein das wird sicherlich
nicht von heute auf morgen passieren
weil man das auch noch erklären muss was
äh was es halten GB ne wenn ich also
jemandem erklärre der bisher nur
Microsoft Word Dokumente schreiben kann
wie man mit git umgeht am Ende ist es
natürlich einfacher aber das ist nicht
das ist nicht so straight forward
ja doch jetzt ja möchte die Justiz nicht
explizit getrennt von der
Verwaltung sein und deswegen da auch
vielleicht nicht dran hängen das könnte
man überlegen das müsste da müsste die
Justiz sich irgendwann eine eigene
Instanz
aufbauen
ja aber erstmal erstmal ist es gut dass
es dass es anfängt wie man das hinterer
organisiert da wird sicherlich noch ganz
viel drüber diskutiert aber ich ich ich
sehe das Argument
ja so ihr könnt das alles anklicken in
den PDF was ich da verlinkt habe in den
Vortrag also da seid ihr direkt in den
entsprechenden
Repositories warum open Code mein mein
persönlicher im Wesentlichen mit der
Rechtssicherheit nicht so klar war mir
eigentlich auch egal ich komme aus der
technischen Ecke
es muss unter staatlicher hohard sein
mit OS Lizenzen und so weiter aber was
ich eigentlich haben will ist hier diese
Möglichkeit DevOps zu machen und zwar
später auch DevOps in richtig das heißt
dieses gitlab alsoer dieses
opencode.de kann bildprozesse anstoßen
das heißt ich kann lokal in meiner
anstaltöffentlichen rechts tatsächlich
die Com one macht sowas Dataport macht
sowas viele machen sowas kann ich bei
der Änderung in Open Code einen
bildprozess für Software
anstoßen das ist ein großer
alleinstellungsvorteil von Open Source
ich kann halt keinen bildprozess
anstoßen für Closed Source weil ich habe
den Source nicht das heißt wenn ich da
jetzt eine Änderung mache läuft bei mir
im Prinzip eine Pipeline ab die im
einfachsten falls so aussieht ich mache
hier also im Prinzip etwas was
continuous integration fähig wäre das
heißt es könnte eigentlich vom Bau bis
zur Produktion durchlaufen natürlich die
Regularien würden es nicht erlauben dass
ich hier an der Stelle überall
gleich auf Produktion deploy
Sicherheitsüberprüfungen müssten da
passieren aber für einfache
Sachen wäre das sicherlich möglich also
der Kalender der awareness Kalender wäre
sicherlich ein Kandidat wo man sagen
kann wieso muss das eigentlich noch
jemand
freigeben das kann man sicherlich
unkritisch
machen worauf ich euch auch noch
hinweisen der awarenness kalalender wenn
der kritisch ist
dann dann haben wir ja gut wir können
hier noch
gucken irgendwo ist jetzt hier ein
Fenster aufgegangen eine Frage Z
Pipeline also ist hier bekannt hier
das bmbk Arbeit an der
vergaberechtsreform und ich einfach
dannagen festlegen möchte in D vi Jahren
muss einfach jeder Code der geliefert
wird auch in die Pipeline reinkommen und
auf Open Code geliefert werden sagen
wenn das Einzel einz ausschreiben möchte
ja keine Angebote sondern muss mit der
marktmach der öffentlichen Hand sagen
wir hätten jetzt gerne hier ein kommit
im git und wir hten den bom dazu und
irgendwie die Pakete dazu muss als
Deutschland fordern weil dass sie nicht
jetzt das comon
ausschreibt keine Angebote rein oder nee
die Com ist eigentlich ausführendes
Organ die lässt diese Pipeline laufen
aber natürlich die Regularien wer diese
Pipeline fordern kann das ist ja
irgendwie Beschaffung und das wird
natürlich dauern weil in dem Moment wo
ich sowas fordere werden alle bisherigen
Open Source oder alle bisherigen
softwarelieferer in der Verwaltung sagen
nee das ist viel zu kompliziert das geht
nicht cicd das ist ja irgendwie
fehleranfällig und ich ich kenne die
Argumentation ich habe die erste cicd
Pipeline größeren Stil vor 12 oder 13
Jahren
eingeführt die Argumente sind alle durch
Gewöhnung hinfällig aber die Gewöhnung
dauert je nachdem wie ich die zeitmesse
zwischen 2 und 5 Jahren da müssen sich
auch Leute dran gewöhnen dass das ihnen
das Leben
erleichtert Übergangsfristen also schön
wenn das bmwk das jetzt jetzt macht 5
Jahre wäre großzügig hätte zwei Jahre
reingeschrieben und dann gehofft dass
sie in 5 Jahren fertig sind
aber das ist so da sind immer so diese
strategischen
Dinge das ist tatsächlich Legislatur
also die Frage war das sollte in einer
Legislaturperiode sein das ist
Legislatur übergreifend das hat bisher
einen Regierungswechsel überlebt die
Hoffnung ist dass es auch einen weiteren
Regierungswechsel überleben wird
das muss ich aber dann in der Zukunft
zeigen weil da ich werde gleich auch
noch
verargumentieren was da alles im Moment
dran
hängt ja dann bei der Diskussion haben
wir auch überlegt
wie machen wir
Metainformationen sichtbar zu diesen
ganzen Sachen in Open Code und da kam
aus Italien die Rettung die Italiener
sind da an der Stelle schon weiter das
ist also Doc Italia die haben ein public
Code jammel sich ausgedacht und dieses
public Code jammel beschreibt halt wofür
das ganze ist unter welcher lizenzer
steht welche Varianten es
gibt die haben also schon einen
nationalen softwarekatalog also einen
italienischen und die haben uns also
mehr oder weniger eingeladen ja macht
doch die deutschen Erweiterungen es wäre
tatsächlich sogar möglich
landespezifische Erweiterung auf
Bundesländerebene zu
machen wie weit das Sinn macht weiß ich
nicht also das haben wir dankbar damals
angenommen und einfach gesagt das kann
man sofort verwenden worauf wir hin
wollen in diesem ganzen
Betrieb das ist dieses gitops das heißt
die operations soll so automatisiert
sein dass jeder Zustand im Betrieb aus
einem gitrepository kommt das heißt es
läuft auch unter dem
Thema configuration Code also
Konfiguration von Servern wird genauso
verwendet wie Code oder genauso
verwaltet wie Code das heißt eine
serveränderung kommt aus dem
gitrepository hat ein paar
Sicherheits Implikation weil ich kann
natürlich nicht alles in GIT Repository
speichern aber das kann man alles
abfangen und
handändeln wo wollen wir eigentlich lich
hin und das Thema heißt
deathops das heißt wir wollen nicht nur
diesen naiven defops Ansatz machen wir
wollen da auch Security tief verankern
das weiteste was wir da gesehen haben
kommt im Moment aus den USA zusammen mit
der Cloud native Computing
Foundation cncf ist ein Teil der Linux
Foundation das heißt das ist im
amerikanischen Open Source context
überhaupt kein Problem dass sie mit dem
Verteidigungsministerium zusammen
Arbeiten ich bin nicht so ein großer
Freund des Militärs aber die Ansätze
sind vernünftig das heißt wir nehmen
diesen death secops Prozess und fügen
überall wo es nötig
ist noch security checks dazu von diesen
insgesamt WN ich richtig gezählt habe 14
Checks kann ich 11
automatisieren bis auf das Red modelling
bis auf manuelles penesten und bis
hinterher die Security Bewertung damit
habe ich die
Möglichkeit im Prinzip diese Pipeline
sicher
aufzubauen das ist BSI
konform das man muss jetzt nur diese nur
ist eine gute Frage man muss das nur auf
den it Grundschutz und die
entsprechenden technischen Richtlinien
des BSI abbilden das ist durchaus eine
ganze Menge
Arbeit Datenschutz da war doch was
ja Utz
äh
ja wir kriegen das hin äh in äh
äh das ist das ist noch das ist noch
eine Aufgabe ich bin da im
Moment bei das mit dem BSI zu
verhackstücken Hauptsache also wir
müssen uns auch überlegen BSI
Grundschutz kann keiner mehr lesen das
sind 4000 Seiten ich muss das Abbilden
das ist im Prinzip die die große
Flughöhe und das jetzt runterzubrechen
auf technische Richtlinien und
Grundschutz die in den
einzelnen Behörden auch die
Anforderungen erfüllen ist eine nicht so
unterschätzende
Aufgabe was haben wir noch drin
bemerkenswert ja das kann alles aus
opencode getriggert werden wir können
automatische Security Scans einfügen das
heißt wir können den Code statische
codeanalyse im Prinzip noch bauen wir
können die Container
mit sowas wie
overs Zap prüfen können das bis in die
Produktion liefern inklusive logging
Monitoring und alerting das kriegen wir
also idealerweise alles mit wir werden
natürlich niemals in kritischer
Infrastruktur komplett automatische
Prozesse kriegen aber dadurch dass wir
die bis im Prinzip zu dem letzten ich
möchte jetzt hier releasen zu dem Button
den vielleicht jemand drücken muss
automatisieren kriegen wir eine ganz
andere Geschwindigkeit in das Thema also
wir warten jetzt nicht mehr 6 Monate auf
dem Patch oder sowas sondern wir äh
müssen in die in in uns in die Lage
versetzen dass wir halt die Patches
deutlich schneller
ausspülen was die öffentliche Hand
eigentlich will was sie alle wollen und
wovon sie nicht reden sie wollen
eigentlich eine death secup Software
Factory weil alle sind scharf hier auf
dieses enabling wir wollen den Leuten in
der Verwaltung so viel Freiheiten wie
möglich geben
einige beschäftigen sich nur mit dem
agilen mindset andere nur mit Cloud
Software aber der Schatz der gehoben
wird und da wo die die Arbeit drin
steckt das ist hier diese ganze
Automatisierung wo ich also diese cicd
Pipelines macht also dieser Teil
zusammen hier mit den Regularien das ist
der anstrengende Teil wo man also
wirklich das in der Einführung schon
in ja kommerziellen Unternehmen sagen
muss das dauert z Jahre um für die 8020
Regel und Vorbereitung Nachbereitung 5
Jahre ist eine gemessene Größe habe ich
erlebt in dem ersten Projekt halt ne das
war das war eine von den großen
internetbuden in Berlin ich kann es auch
sagen das ist Immobilienscout die gehen
ser offen damit um das war vor den
kuberneteszeiten da gab es noch kein git
wir haben gitops gemacht aus CVS heraus
kann man auch machen mit G ist es
einfacher aber das das funktioniert halt
und das ist halt das ist halt die große
Aufgabe die man nicht unterschätzen
darf genau hier habe ich z.B wenn ich
defs machen will will ich eigentlichs
machen dann habe ich ja Audits zu
berücksichtigen und so weiter ja
dchutz okay gut ähm da fehlt quasi noch
das Gesetzespaket zum Thema wie kann ich
diesen gesamten Prozess noch agiler
machen weil zusagen so regelmäßige
Freigaben die man dann braucht für
Datenschutz für sicherheitsfreigaben
Sicherheitskonzepte BSI Geschichten
wo man so festgelegt ist auch we nicht
ne
die trifft sich vier mal im Jahr und
dann werden Dinge freigegeben und das
ist halt so ein wöchentlichen Prozess
eher nicht so machbar das ist hier ich
habe Regulierung
also das das ist jeder dieser Punkte
wird euch irgendwie wenn ihr das
Einführen wollt Monate eures Lebens
Kosten
so ja was ist eigentlich jetzt als
Strategie rausgekommen das ist jetzt
eine ich hat Cloud native schon als
bword verwendet das ist jetzt eine Cloud
native
Strategie Cloud native kommt aus dem
Google Umfeld das ist also aus dem
bgpjekt das ein interner Witz von
denen gekommen das war halt die nicht
veröffentlichenbare Infrastruktur von
Google und haben sich irgendwann
überlegt greifen wir noch mal Amazon an
machen unsere Infrastruktur Open
Source und holen uns dann im Prinzip
Anteile von von
Amazon ja
und rausgekommen ist dann irgendwann ein
Ökosystem das ist hier die landscape
der Cloud native Computing Foundation
das waren zu dem Zeitpunkt wo ich das
gemacht habe knapp 1200 Kacheln das
werden immer mehr
äh die Amerikaner legen immer sehr viel
Wert auf Börsenbewertung und äh sowas
also das da da stecken einige Milliarden
an Startup Geschichten drin das muss man
jetzt nicht alles ernst nehmen wichtig
ist halt wir haben ja ein Ökosystem von
Dingen die wir über wegen verwenden
können auf Basis der Apache licens und
die sind alle kompatibel mit dieser Idee
von wir können jetzt gitops machen
Konfigurationen kommen immer aus
Repositories also hier irgendwo sind die
Netzwerke ich kann also eine
netzwerkdefinition machen aus einem
gitreository raus hier an der Stelle
erschrecken immer die Netzwerker weil
die wollen natürlich ihre komischen
netzwerkkonstruktionen auf keinen Fall
mit irgendjemand anders Teilen SMer sehr
viel Überzeugungsarbeit ihnen zu sagen
dass es damit eine zusätzliche
Sicherheit gibt und keiner will ihnen
ihre f5s Junipers und Ciscos wegnehmen
ähm und dann sind sie immer meistens
beruhigt wir müssen
hier wir wir müssen hier ein bisschen
aufpassen die Automatisierung ist
eingebaut aber
es gibt jetzt auch die ersten Tendenzen
dieses Ökosystem in Richtung Edge gehen
zu lassen das heißt Edge devices sind
eigentlich devices ich könnte einen
Laptop zum Edge device einer Cloud
machen und das im Prinzip komplett aus
der Cloud heraus verweisen das kann man
beliebig
weitreiben Vorsicht wir hatten immer
früher diese netten T-Shirts die Cloud
das sind ja nur die Computer anderer
Leute ich habe den Satz einfach mal
umgedreht dein Edge device oder dein
dein dein Laptop ist eigentlich nur das
Edge device meiner Cloud das zeigt auch
diesen totalitären ansz möglich ist auf
den wir ein bisschen aufpassen müssen
weil ich kann damit auch Konfigurationen
erzeugen wo ich sage in diesem
Netz ist kein Computer mehr den ich
nicht kontrolliere da ist durchaus die
Gefahr eines totalitären Anspruchs ich
will das jetzt nicht nach vorneben also
schlimmste was ein passieren kann ist
man hat irgendwann edice das ist ein
Implantat oder SAS und dann wird es aus
der Cloud
herausverwaltet glaube ich nicht da wo
wir hin wollen aber das ist noch weit
weg und gucken wir halt weiter haben wir
eigentlich die Kompetenz in Deutschland
sowas zu machen fragt sich ja immer ja
Cloud das ist immer irgendwie das sind
die großen hyperskyer nein haben wir
sind sie nicht wir hatten z.B den sing
clouds Deck das einzige Projekt aus dem
gia x Projekt was irgendwie scheinbar
Erfolg verspricht von der Hochschule
osner Brück gibt es Ansätze einfach eine
Cloud in dem Container
auszuliefern das sieht dann so aus das
heißt ich habe ganze Cloud die wird im
Container aus ich schließ dann an Strom
an an Netz an und da fährt sich voll
automatisch die entsprechende Cloud
Software hoch und ist dann in der Lage
die entsprechenden Arbeiten
durchzuführen also ich habe eine
Installation die voll automatisierbar
ist g digital guckt schon in diese
Richtung das heißt viele Anstalten
öffentlichen Rechts werden gerade damit
konfrontiert und bringen sich gerade in
die Lage SAS
auszurollen da drin steckt tatsächlich
noch eine ganze Menge mehr wer noch mehr
Komplexität haben möchte also Open
Source und Jura reicht nicht am Samstag
gebe ich noch ein Vortrag über
Energieverbrauch von Rechenzentren
deswegen habe ich auch dieses Bild
ausgewählt man kann tatsächlich
inzwischen kleine Einheiten so
einrichten dass sie komplett aus
Photovoltaik betrieben werden gerechnet
wir wird im Container und die kühle die
die Kühlleistung geht in das lokale
Fernwärme oder Nahwärmenetz und da drin
läuft nur Open Source
Software wenn ich das ernsthaft im
großen Maßstab machen würde müsste ich
mir natürlich über die Sicherheit dieser
Container Gedanken machen allein über
die physische Sicherheit
irgendwelche blechcontainer sind ja
nicht irgendwie ein großes Hindernis
äh gegen
äh
Angriffe
so wie s so eine deployment pipelineus
das hatte ich eigentlich schon mal
erwähnt vorne machen wir commit hier
machen wir Produktion oben sind die
defops Schritte und unten sind also
angedeutet schon mal die die Schritte
die man wirklich braucht wenn man das
Ganze sicher machen
möchte was wir uns jetzt leisten können
jetzt können wir wieder bei Google
abgucken was hat Google eigentlich für
Maßstäbe oder für KPIs oder so etwas um
äh die CCD Pipelines zu bewerten und da
stehen dann im Wesentlichen Sachen drin
wie deployment frequency oder leadtime
for changes oder time to restore Service
oder change failure Rad das sind die
einzigen Parameter das heißt an diesem
Paar das ist das einzige was Google für
sich misst
weil viel mehr auch nicht messbar ist
also können wir jetzt einfach mal
anfangen
äh das in die Standards reinzuschreiben
die wir haben
bedauerlicherweise haben wir im Moment
das ist tatsächlich bestätigt von BSI
BSI hat weder eine richtige Cloud
Strategie noch eine Supply Chain
Strategie es gibt da so jetzt die ersten
brauchbaren Container und
kubernetesbausteine die ersten zwei die
sie produziert haben als
grundschutzbausteine waren Schrott die
waren einfach kompletter
unsin was man dann auch sieht es fehlen
hier noch ganz viele Sachen also wir
haben überhaupt keine Definition was ist
die Sicherheit von deployment
Pipelines wir haben sowas nicht wie
signaturrichtlinien von Container
natürlich dürfen Container also die die
die Software Container nur ausgeliefert
werden wenn sie irgendwie vernünftig
abgesichert und signiert sind wir haben
ja noch nicht mal letzt encrypt für die
Verwaltung
rfc8555 ne das ist alles was eigentlich
eingerichtet werden muss als umgeben der
Infrastruktur alles das hat
sicherheitsimplikationen das
gelöst und geregelt werden was wir
eigentlich in Zukunft anstreben ist dass
wir in der Lage sind sowas zu machen wie
ja in Open Source Software time to fix
sind 24 Stunden inklusive Tests und wenn
wir dann einen geprüften und getesteten
Container haben können wir den in 20
Minuten überall deployen die 20 Minuten
habe ich noch aus der Immobilien
scoutzeit mitgebracht 20 Minuten wir
können no in 5 Minuten deployen aber 20
Minuten brauche ich um deploz sten an
der Kaffeemaschine vorbeizugehen und zum
Betrieb zu laufen und zu gucken ob wir
dann noch irgendwelche anderen Schäden
angerichtet
haben das lässt sich alles machen
ja was haben wir noch in den clouds also
das ist alles halbwegs
modern was wir auch gesehen haben ist in
dieser deutschen verwaltungsstrategie da
gab es also auch durchaus ein hin und
her
was man dann da reinschreiben musste war
z.B das digitale Souveränität das lieben
die Juristen dass das nicht nur heißt
dass das Rechenzentrum in Deutschland
steht sondern das gefälligst auch die
Schlüssel und die kryptoalgorithmen
austauschbar sein müssen für die
Verwaltung das heißt ich kann mich nicht
auf kryptoalgorithmen anderer Hersteller
verlassen ich muss sie selber bestimmen
können wenn ich die Idee habe hier was
das was aus der sekunet und und
plutoecke von Siemens kommt nationale
Kryptographie
zu machen das heißt eigene nicht
veröffentlichte kryptoalgorithmen dann
muss ich die auch ausrollen können und
spätestens da waren dann auch die Leute
von bwii sehr dafür das heißt wir haben
hier in der deutschen
verwaltungsstrategie etwas was wirklich
dafür sorgt dass die dass die Krypto
jedenfalls im Prinzip auf dieser
Flughöhe das muss natürlich alles
implementiert werden unter der Kontrolle
der Verwaltung ist oder unter Kontrolle
des
BSI das hat dann eine Diskussion gegeben
also das W hat anderthalb Jahre gedauert
bis das veröffentlicht wurde dann hat
noch mal vier Monate gedauert bis das
alle gelesen haben und dann kam auf
einmal die drei großen hyperscaler und
die BITCOM an und sagen er will die nein
die deutsche verwaltungsstrategie will
die public clouds verbieten nein das
geht auch in public clouds aber ihr
müsst es halt
hinkriegen ja was haben wir hier
angerichtet äh
wir haben jetzt also ein eine Schachtel
defops gemacht in
der in dieser Version also ganz viel
jammel wenn euch die Augen bluten von
von spaces dann wahrscheinlich zu viel
jammel
editiert und dann findet man hier so wir
haben diese Evolution gemacht mal gucken
was
rauskommt ja an
Witzen so zusätzlich ich gehe da jetzt
schnell durch
hab den saverin techfond
eingerichtet das sind drei Frauen die
ein mit ein bisschen
Hile einfach mal die entsprechenden
Budgets bereitgestellt haben wenn wir
uns das angucken ich hab also für diese
Studie mit den entsprechenden
Software Leuten mit insgesamt vier
Leuten Interview gemacht und alle haben
irgendwie gesagt ja wir stoßen auf
dieses Problem alle moderne
Infrastruktur das gleich viermal zu
erleben an vier verschiedenen Stellen
das war bei GPG das war bei Python das
war bei K9 für
Android und das war
fürpine Container die sagen alle ja wir
sind gut ausgestattet dann fragt man den
Prozessen wie hab wie macht ihr eure
Qualitätssicherung hab wie seid ihr mit
dem letzten Audits umgegangen wir haben
den Code noch nicht eingearbeitet wir
hatten ein Audit der von redhead bezahlt
wurde aber wir haben wir hatten keine
Ressourcen das einzuarbeiten das war
also die erschreckendste Antwort dann
sage ich das ihr seid halt nicht gut
ausgestattet weil halt die elementaren
sicherheitsprozesse nicht
hinbkommt ne also es heißt nicht nur
Code strullen sondern es heißt auch Code
sicher verwalten Code sicher kriegen und
Code
sicherhalten W man sich die Projekte
anguckt die der sin techf macht da ist
also open MLS bei also message Layer
Security das hat jetzt ein RFC gekriegt
es haben die geerbt von vom
prototypefond
da ist aber auch sowas bei wie Sicherung
Verbesserung der Infrastruktur von
Javascript und von pyon wenn man
die Hochschulprofessoren für IT security
fragt die fassen javaript nicht
an was man verstehen kann das löst aber
unser Problem nicht das heißt ich bin
relativ dankbar dass S das machen da
sind auch ein paar Exoten dabei ich
wusste gar nicht dass Vortr ein Package
Manager hat und der supportet werden
muss die älteren unter uns erinnern sich
an Fortran aber das ist praktisch in
jeder KI Anwendung drin weil pyon das
exzessiv benutzt unten drunter python
ist darf eigentlich nur glue Code zen
ist wie gesagt frisch gegründet mit
genau
einem geschäftsführer Andreas rard
Lodde wird in Bochum
eingerichtet das was er so erklärt ist
dass dass das Bundesministerium nicht in
den Markt
greifen darf er selbst darf nur talks
durfte nur talks halten innerhalb der
Verwaltung und jetzt darf er auch als
Geschäftsführer auf z.B auf der
frostconn auftauchen und da erzählen
guckt euch den Vortrag wenn ihr da
interessiert seid im Detail
an es ist also wirklich ein Sprung jetzt
wo wir hoffen dass das alles erfolgreich
ist ich selber bin so ein bisschen
Partei hier also ich bin im souveränen
Arbeitsplatz der jetzt openesk
enthält der basiert irgendwie auf dem
phönixprjekt von Dataport ist aber jetzt
die Cloud native Version das heißt es
klingt nach ein deutlichen Umbau also da
wird nicht wird nicht werden nicht viel
Steine auf den anderen
bleiben es wird Cloud native kuberntis
sein DVS konform kann überall selber
gehostet werden also in der Basisversion
in minibe auf eurem Arbeitsplatzrechner
oder auf eurem Laptop das ist also das
Ziel die deployment Pipeline komplett
auf
opencode und womit kämpfen wir im Moment
ja wir müssen im Prinzip jedes Produkt
austauschbar machen also es ist nicht
nur jits drin es ist entweder jits oder
big blue button oder irgendwas anderes
drin Matrix ist drin von
Element es gibt aber Behörden die sagen
s hätten lieber was anderes dann muss
man dann halt schauen dass das alles
passt das hat mich dann
dazu gebracht irgendwie ja wir haben
jetzt nicht mehr den Jahr des Linux
Desktops sondern wir haben den Jahr des
Desktops im das Jahr des Desktops im
Browser mal gucken das soll Ende des
Jahres also in der betreibbaren Version
Basisversion auf opencode.de auftauchen
die ersten Leute sagen sie haben schon
was
installiert das sind die Randbedingungen
ganz viel Container helmcharts das ist
der jammelteil das ist also wirklich
nicht angenehm aber kein
Konfigurationsmanagement System war
bisher angenehm es ist BSI konform BSI
arbeitet also mit im Sinne von
defsops was wir sehen wir zwingen die
kleinen Open Source Hersteller ihren
ihre Kronjuwelen Open Source zu machen
also für Google ist sowas wie kubernetes
überhaupt kein Problem das Open Source
zu stellen aber wenn jetzt ein kleiner
Hersteller sagt mein Geschäftsmodell
hängt davon ab und das ist mein einziges
Produkt dann gibt's natürlich die
entsprechende
Bedenken also wir können wir müssen das
hinkriegen
äh großer Promoter von Open Source ist
die Bundeswehr über ihren Dienstleister
bwii GmbH ich wusste gar nicht dass sie
irgendwie das Herkules Projekt überlebt
haben und dann noch
äh äh positiven turn gemacht haben die
Interviews zu
Element und
von von bwii und von Element gibt's bei
Heise
die sind halt sehr Cloud native affin
und die sind auch sehr Open Source affin
so und das ist jetzt ein Wimmelbild
geworden was wir also hier
sehen der blaue Teil das ist
hier message Layer Security da haben
mitgewirkt meiner Meinung nach
mindestens der Server Tech V der
prototype bwii fordert das das wird
jetzt von Element in Matrix
implementiert und diese diese
verwaltungsstrategie kommt aus dem it
planungsrat das ist sind also oben ganz
klein 16 Länder und der Bund
m das ist dieses schwerfällige gr
Gremium was entscheidet
äh das hat diese deutsche
verwaltungsstrategie geschrieben wo Open
Source eigentlich bevorzugt jetzt ist
und damit müssen wir an der Stelle
äh umgehen der Vorteil ist wenn das 16
Bundesländer und der Bond entscheiden
ist das auch relativ schwer umkehrbar
äh wird natürlich die entsprechenden
Versuche geben also das erste was da
rausgekommen ist message Layer Security
jetzt mit RFC eigentlich ist das
schachmat
für für Open Source
aber ich hoffe dass wir nicht mit
taubenschach Spielen wer dieses Bild
kennt weiß dass
das manchmal passieren kann hier sieht
man uns bei der beim Entwurf einer
verwaltungsstrategie
wo bleibt eigentlich das Online
zugangsgesetz ich mache hier einfach mal
schneller das war auf der
republicaa das hat ist entstanden vor
diesem ganzen Kram und ist jetzt in
Version 200 gescheitert wenn die sich
nicht an die Software Factory halten
dann wird es auch in Version 3 und 4
Scheitern das ist mit
Ansage Haushaltskürzungen hat es gegeben
ich Überblick das ganze noch nicht so
sehr weil das ist teilweise sind
teilweise einfach Mittel umgeschichtet
worden das ging aber durch die Medien ja
und wenn wir Desktop sagen wir haben ja
übrigens auch bereits ein lauffähiges in
sicherheitskritischen Umgebungen
zertifiziertes Desktop das ist von VNC
lagun Bernt ist hier
bevor ich hier das Verkaufsgespräch
beginne fragt ihn lieber das heißt wir
haben insgesamt vier Lösungen die in
verschieden Ausprägung mit verschiedenen
Details
es erlauben eigene clouds
aufzusetzen es gibt also wenige Gründe
noch jetzt irgendwelche anderen clouds
zu machen außer meine äh die Politiker
wollen
das das sind tatsächlich Sachen die man
beobachten muss bianca ist hier die hat
für die Gesundheitsämter das ganze schon
abgefeuert und ein der Talk war auch auf
der
frostcon wir haben da auch so ein
bisschen gezeigt dass man Container
relativ einfach signieren kann jetzt in
der neueren
Version mit Lukas und ja das ist also
Software die ist aus gerollt in 100
Gesundheitsämtern und Bianca fragt
natürlich wie hätte das denn anders als
mit Open Source gehen sollen da ist
alles drin zotrust Datenschutz
betriebsmodelle und jetzt komme ich zum
Schluss wenn noch Fragen sind ich bin
hier noch die nächsten Tage fragt mich
halt sonst schickt mir Mails und ich
habe eine Konferenz organisiert im
September über Open Source security in
Berlin danke für
E
vielen Dank für den
Tor ich glaube wir haben tatsächlich
noch Zeit für ungefähr genau eine
Frage oder zwei oder drei je nachdem wie
lange antwortutzen ist auch relativ kurz
aber sie ist aufgeladen wir steuern
langsam aber sicher auf den Cyber
resilience Act zu und in ihm sind
verschiedene Implikationen die dafür
sorgen könnten dass Open Source
Entwicklung auf jeder Ebene und auch auf
verwaltungsstrategischer in die brdolie
kommen könnte wenn wir in kritischen
Komponenten Stufe 2 landen dann sind wir
da wo eine CE Kennzeichnung durch Dritte
Audits gemacht werden muss habt ihr
bereits Mechanismen mit denen ihr dieser
bedrohungnen K ich treff morgen Mirko BM
von der Linux Foundation Europe die sich
da sehr intensiv drum kümmern das ist
ein europäisches Problem es geht im
Wesentlichen um die Definition des
Begriffs commercial das ist ein echter
watzlerwig was heißt commercial in dem
Zusammenhang
und die Juristen wollen jede Aktivität
auch diese hier ist eigentlich
kommerziell weil ich bin Freiberufler
ich mache hier Werbung als commercial
deklarieren und das ist natürlich nicht
im Sinne des Erfinders ich weiß aber
nicht was da jetzt gerade raus ist ich
hoffe ich erfahre morgen genaueres aber
diese CAA ich halte ihn also schwanke
inzwischen so zwischen ist eigentlich
völlig harmlos ist nur Missverständnis
und es ist ein sehr ernster Angriff auf
Open Source ich weiß es halt nicht wie
die kämpfen dahinter den Kulissen sind
hinter den Kulissen laufen manchmal sehr
unfaire
Kämpfe danke der Signal Angel hat noch
eine Frage aus dem Internet ja Matthias
möchte gerne wissen was ist die Rolle
der bundescloud in diesem Konstrukt in
Bezug auf Open desk hyperscaler und so
weiter fragt hier die wollen das ja
selber hosten genau das kann also das
wahrscheinlich das ITDZ Bund dass das
selber hosten kann dann müssen s die
Kompetenzen aufbauen kuberneeskluster
sich DAH hinstellen dann können die das
alles machen kubernetesklaster
hinstellen ist nicht die trivialste
Arbeit wenn ich nicht einfach ganz
Kleinen auf meinem Laptop
installiere das ist halt ein richtiges
Rechenzentrum also kubernetes hat die
Komplexität eines Rechenzentrums das
müssen die dann machen dann haben die
aber eine Private Cloud und dann müssen
die richtig verwalten also die Security
davon ist auch nicht ohne was ich hier
so leicht angedeutet habe ist in der
Realität eine ganze Menge
Arbeit und die letzte Frage aus dem
Publikum es gibt ja so tausende kleine
Projekte und so Wimmelbilder von Dingen
hast du den Eindruck dass das im ganzen
koordiniert wird alsstategie oder hat
das Kanzler noch keinen Überblick
drüber so Dinge wie Vergaberecht undbt
und verweitungsstrategie und Dinge die
müssen irwi miteinander zusammenpassen
damit du halt dann
nichtst die Leute entdecken das gerade
und da wird natürlich irgendwie da
werden triviale Sachen landen neben ganz
wich Dingen das ist halt das wird so wie
auf Github aber im Grunde kann man sich
drauf
verlassen dass es einfach gewisse
gesetzliche Regularien hat die Projekte
dürfen auch nicht verweist sein oder so
und und da muss also auch jemand
hinterstehen muss auch Bezug zur
öffentlichen Verwaltung haben also das
ist das findet sich gerade das dauert
halt ich ich bin da durchaus
optimistisch aber manchmal frage ich
mich auch muss das jetzt auf Open Code
stehen aber es gibt keine zentrale
Stelle es gibt nur so eine so eine so
ein Blick äh passt das jetzt ist das aus
der Verwaltung initiiert worden oder aus
dem verwaltungsnahen Umfeld
äh mehr gibt's eigentlich nicht und
irgendwann wird man halt die dieses J
diesen jammelfile verlangen public Code
jammel dass man sagt wofür ist das gut
kann ich das Einsetzen und dann
hoffentlich danach suchen können dann
vielen Dank für den Talk Fragen gerne
weiter dann draußen und gerne noch mal
eine Runde Applaus
[Applaus]
[Musik]
[Applaus]
[Musik]