Amazon Web Services (AWS) S3 auf LagederNation.org

Lage-Technik
1

Auf der LagederNation.org-Webseite wird u.a. der Cloud Dienst AWS s3 von amazon eingebunden. Es ist irgendwie nicht ganz ersichtlich wieso.

Auch weil es es datenschutzrechtliche Problematiken geben könnte.

Der Wissenschaftliche Dienste des deutschen Bundestages hatte zur Thematik „DSGVO und Cloud-Computing“ eine Ausarbeitung angefertigt in der es auf Seite 13 heißt:

„Zum Teil wird auch vorgeschlagen, dass der Cloud-Anbieter seinen Sitz in der EU einrichtet oder eine Niederlassung in der EU gründet, um einem Eingriff der US-Sicherheitsbehörden vorzubeugen. Hierzu ist allerdings anzumerken, dass sich die Zugriffsbefugnisse der US-Sicherheitsbehörden nicht allein nach dem Sitz des Unternehmens bestimmen. Vielmehr kann auch eine rechtliche Verknüpfung des Unternehmens mit den USA ausreichen. Dies ist laut Literatur beispielsweise dann der Fall, wenn der Server des Cloud-Anbieters seinen Standort in den USA hat. Auch bei einem Konzernverbund, bei dem der Mutterkonzern seinen Sitz in den USA hat, oder bei einer (Zweig)Niederlassung des Unternehmens sind Zugriffe der US-Sicherheitsbehörden möglich. In der Literatur wird zudem darauf hingewiesen, dass das US-Recht teilweise sogar dann für anwendbar erklärt wird, wenn ein Mitarbeiter des Unternehmens in den USA anwesend war, z.B. durch eine Dienstreise. Auch das kontinuierliche und systematische Betreiben von Geschäften in den USA könne einen Anknüpfungspunkt bilden. Damit ist festzuhalten, dass nur, weil der Cloud-Anbieter oder die Server, welche die Cloud bilden, in der EU gelegen sind, nicht schon davon ausgegangen werden kann, dass keine Zugriffsmöglichkeit der USA auf die Daten besteht.“

Quelle: https://www.bundestag.de/resource/blob/852984/fd554bd62a8e949d8c2fd986cbd99b69/WD-3-102-21-pdf-data.pdf

=> Warum wird auf LagederNation.org - obwohl es hierbei rechtliche Probleme geben könnte - konkret auf Amazon Web Services (AWS) verwendet?

2

Wir selbst setzen AWS nicht ein, sondern hosten unsere Website komplett selbst. Offenbar hat der Web-Player von Podlove sich entschieden, auf AWS zu setzen. Darauf haben wir leider keinen Einfluss.

3

Ah, okay, danke für die schnelle Rückmeldung. Ließe sich vielleicht insoweit Einfluss nehmen, wenn der LagederNation-Podcast über eine selbst (in einem Rechenzentrum (RZ) bei Hetzner oder einer/-m anderen Anbieter*in) betriebene Instanz der frei und quelloffenen (Open Source), für Podcasts ausgelegte, Plattform unter einer subdomain, wie podcast.lagedernation.org ?

Informationen zu funkwhale siehe: Your free and decentralized audio platform - Funkwhale

4

Wieso ist das eigentlich relevant für den Webplayer des Podcasts? Da sind ja nun keine schützenswerten Informationen drinn, alles was gesagt wird im Podcast ist ohnehin öffentlich.

5

Diese AWS Nummer ist schwer für mich.

@sysadmi : Wo soll man denn deiner Meinung nach die ganzen Dienste, die es dort aus einer Hand gibt in europa klicken?

Dazu einige Fragen an dich:

  1. Wie stellst du dir ein ordentliches CDN vor, das Daten weltweit (on the edge) bereit stellt ohne dabei den EUR Bereich zu verlassen?
  2. Wie willst du einen Dienst aus Europa aufbauen, der Daten lokal verarbeitet (z.B. indische Daten in Indien und Deutsche Daten in Deutschland), aber beiden Usern sowas wie einen Chat und das teilen von Dateien erlaubt?
  3. Wie viel sicherer wird denn ein System für die User wenn ich alle 25 Dienste die ich bei AWS hoste hier über die passenden Angebote in Europa verteile (es gibt sie für genau 10 davon) und die anderen als Open Source Replacement selbst betreibe?
  4. Für ein IT Team mit 4 Personen und eine Firma die ca. 10 Personen ernährt, wie würde sich der extra bedarf an Sysadmins zum hosten und betreuen der Anwendungen auf die zu erwartenden Gewinne auswirken? Basierend auf 3 erfahrenen Sysadmins die einen 24/7-365 Betrieb erlauben ohne dabei geltende Arbeitsschutzgesetze zu verletzen.
  5. Wie soll denn dann z.B. eine Applikation gebaut werden, in der ein Service erlaubt EU und nicht EU Usern zusammen zu arbeiten?

Ich gebe dir die Antworten dazu:

  1. Geht nicht per definition (der US Server antwortet mit dem selben Cert wie der in der EU)
  2. Geht nicht. Was du forderst ist eine ‚Great firewall of Europe‘. Das lustige dabei: Es gibt selbst in China AWS
  3. Gar nicht. Die Verteilung der Daten müsste über diverse Dienste erfolgen, in verschiedenste Rechenzentren und ich müsste für einiges was in Europa eher esotherisch ist, z.B: function as a Service oder events aus logs generieren einfach selbst was zu betreiben.
  4. Wirtschaftlicher Totalschaden. So viel Budget haben wir gar nicht. Serviceful Computing macht es möglich.
  5. Auf das Paper dazu bin ich gespannt!

Ich kann echt hoffen, dass die Schremms-III Entscheider es nicht übertreiben und verstehen, dass es nicht reicht über Papiertiger wie Gaia-X immer wieder durch die Presse zu jagen, sondern man am Ende mal auch funktionierende Software zu aktzeptablen Preisen liefern muss.

Auch der so hoch gelobte Hetzner ist in Amerika aktiv und hat dort Standorte. Auch Hetzner wird sich der lokalen Gesetzgebung nicht widersetzen können und auch dort werden die Netzwerke miteinander verbunden sein. Sonst kannste dir aus Kastrop-Rauxel keinen Server in Virginia clicken und im selben admin panel angezeigt bekommen. Was soll denn US Hetzner machen, wenn da der CIA(NSA vor der Türe steht und mal ‚das Terminal mit root‘ nutzen will? Nein sagen und schmollen?

Es wäre total nett, wenn man sich während man Forderungen für mehr Datenschutz stellt auch mal Gedanken dazu macht, wie diese in der Praxis umzusetzen sind und ob es nicht manchmal dabei auch aus versehen dazu führt den Kollegen von T-Systems und Co. dabei zu helfen über Panikmache weiter an Fördertöpfe zu kommen um Dinge zu kopieren, die in USA Ganz normal sind (z.B. die SAP eigene AWS Cognito Kopie).

Wenn man sich mal anschaut, wo denn die ganzen Datenbanken mit geleakten, personenbezogenen Daten so herkommt, dann ist eine Quelle davon halt auch ‚zu wenig gemangete, selbst betriebene Hardware‘ und diese Gefahr ist defacto viel größer als der ‚NSA, der sich ohne das Wissen von AWS in die Kundensysteme Einloggt‘.

Vielleicht ist die Sicherheit der User-Daten ja auch anders zu gewährleisten als sich mit Hosting bei AWS auseinander zu setzen und gleich zu unterstellen der CIA würde die IP Adressen der Lage Hörer (das sind die Daten die im genannten Dienst zum Großteil anfallen) weiterverarbeiten obwohl es eben offene Vereinbarungen dazu gibt.

Es bleibt spannend zu sehen was Schremms weiter bringt, ich mag das jetzt nicht nur kritisch betrachten hier, aber es gibt für AWS, Azure und Google Cloud nichts in Europa vergleichbares. Wenn geltendes Recht wird was z.B. hier verbloggt wird dann wird es spannend und viele Leute arbeiten dann für amerikanische Firmen. Eigentlich nicht das, wofür ich und viele Andere uns die letzten 25 Jahre lang Arbeit gemacht haben. Denn technologisch hat es Europa leider nicht über 2010 hinaus geschafft was Server Infrastruktur angeht.

2 „Gefällt mir“
6

Ich bin zwar nicht @sysadmi aber sorry, mir juckt es so unglaublich in den Fingern, diese Fragen zu beantworten…

Gar nicht. Die Lage der Nation wird als deutschsprachiger Podcast wohl primär in Deutschland gehört. Die 10% Traffic aus anderen Ländern kriegst du völlig problemlos ohne weltweites CDN auch von einem Server in Deutschland bedient.

Gar nicht. Die Website der Lage der Nation ist ein deutschsprachiges Podcast-Angebot. Kein Filesharing-Dienst. Es benötigt kein „teilen von Dateien“ von Usern. Schon gar nicht von indischen Usern.

Die Website zur Lage der Nation benötigt wohl kaum „25 AWS-Dienste“. Einen Podcast zu verteilen benötigt primär einen Webserver zum Anbieten von Downloads und ein Webfrontend mit irgendeinem Redaktionssystem, das vermutlich datenbankbasiert ist. Also drei Dinge. Die KI-getriebene Blockchain zur intelligenten Empfehlung des passenden Weins zur Podcast-Folge gehört nicht unbedingt dazu, auf diesen AWS-Dienst kann man also verzichten. Und auf die meisten anderen auch.

Ich könnte mich täuschen, aber ich glaube, die Lage der Nation hat noch kein IT-Team mit 4 Personen, und die Erreichbarkeit des Podcasts ist vermutlich auch noch nicht ganz so hochkritisch, dass ein 24/7 365 Tage im Jahr jederzeit ein Sysadmin im Volleinsatz verfügbar gehalten werden muss.

Die Website der Lage der Nation ist ein Podcast-Angebot, kein Online-Office.

4 „Gefällt mir“
7

Es tut mir sehr leid, dass ich es nicht so verständlich geschrieben habe.

Das zitierte Paper bezieht sich nicht nur auf die ‚Lage‘, sondern auf alle Dienste die personenbezogene Daten verarbeiten. ich dachte das ginge aus meinem Post hervor. Sorry dafür.

8

Deiner Antwort kann ich inhaltlich nichts hinzufügen. In Summe wäre meine Antwort inhaltlich wohl auf selbiges rausgekommen. :sweat_smile:

9

In diesem Fall geht es nicht darum, die Podcasts vertraulich zu halten, sondern die Nutzerdaten (vor allem IP-Adressen) der Downloader.

10

Wenn nur der Webplayer eine Verbindung zu AWS hat werden keine Nutzerdaten generiert. Der Abonnent kommt anders an den Podcast selbst.

11

Jeder get request generiert eventuell irgendwo ein Log das eine IP Adresse enthält - das Anfragen einer Datei von einem Server enthält die IP des Anfragers als Teil des Protokolls. Die ist ein personenbezogenes Datum bei den Datenschützern. Ich gehe aber davon aus, dass AWS nicht per default alle s3 bucket zugriffe ‚geheim‘ loggt.

Die angesprochenen S3 Buckets sind allerdings super easy ‚Datenschutzfreundlich‘ zu konfigurieren. Access logging ist nicht per default aktiviert und jeder der etwas aufs Geld schaut, der hat es sowieso für solche Dinge aus. Dinge, die im Betrieb ‚auf Blech‘ gerne mal schief gehen, wie z.B. konsistentes löschen von Logs > 30 Tagen sind mit S3 super easy umzusetzen und auch einfach über die ganze Organisation zu erzwingen - inklusive des Toolings das dann auch zu prüfen. Das sind alles Dinge die man bei ‚Ich betreib mir mal ne Instanz von X bei Hoster Y‘ erst wieder von Hand eingerichtet, gewartet und beaufsichtigt werden müssen und als erstes hinten runter fallen wenn sich der Mensch mal ändert der es betreut.

Ich hab mal grade die Lage homepage angeschaut und irgendwas Mailchimp kommt tatsächlich sichtbar von AWS. Statt aber erst mal nach AWS ist Böse zu argumentieren könnte man die Logik des OP auch auf Mailchimp anwenden. Wir haben tatsächlich die letzten Monate auf Mailjet gewechselt im Lichte von Schrems II. Das war aber eher eine Sache der Reduktion des Blast Radius und weniger Zwang. auch Mailchimp hat alles Vertragswerk für Post-Schremms II bereit gestellt. So generell merkt man da wird total drauf geachtet das nicht X Quellen angefragt werden um 1 Sache auszuliefern.

Ich habe mich auch nochmal in einem etwas weiteren Umfeld aus Datenschutzverantwortlichen und IT Verantwortlichen umgehört und das Feedback war sehr eindeutig: ‚Not a Problem‘. Etwas weniger sprachliche Hyperbel und mehr praktische Herangehensweise lässt einen besser schlafen und man kümmert sich dann vielleicht um andere Probleme. Klar, es kann gerne nochmal versucht werden das ganze mit einem Argumentum ad populum und einem Ad Hominem ins lustige zu ziehen. Inhaltlich bringt das halt niemenaden weiter.

Ich bin gespannt was bei Schrems weiter passiert. Ist halt so ne Frage von: Was haben die Römer je für uns gemacht. Und in seinem Fall eigentlich ganz schön viel Gutes.