Professionelle Videosicherheitssysteme: Per Cloud, on-premise oder lieber hybrid? Teil 3
Professionelle Anwender von Videosicherheit müssen die Architektur ihres Systems technisch zukunftsfähig gestalten und gleichzeitig der steigenden Bedrohung durch Cyberangriffe begegnen. Die ideale Lösung soll hochverfügbar, sicher und kosteneffizient im Betrieb sein, die Schutzziele der Organisation erfüllen, und möglichst die operativen Prozesse unterstützen. Wie also sieht die ideale IT-Architektur für professionelle Videosicherheit aus?
In drei aufeinanderfolgenden Beiträgen für GIT SICHERHEIT beleuchtet Katharina Geutebrück das Thema umfassend.
- Teil 1 befasste sich mit den architektonisch bedingten Vor- und Nachteilen von Cloud- und on-premise Lösungen.
- Teil 2 nahm hybride Modelle und ihren Nutzen in den Blick.
Der abschließende dritte Teil nun fasst die Kriterien zusammen – als praxisnahe Entscheidungshilfe.
Die Entscheidung für eine „reine“ on-premise oder Cloud-Architektur oder auch eine hybride Variante ist so individuell wie die Standorte, Organisationen und Strukturen, die zu schützen sind. Daher gibt es keine „one-fits-all“ Empfehlung. Im Folgenden werden daher Entscheidungskriterien aufgeführt, die Anwendern helfen, die für sie passende Architektur zu identifizieren.
1. Zahl und Größe der Standorte, Anzahl der Kameras pro Standort
Große Standorte mit vielen Kameras generieren viel Bandbreite. Kontinuierlich steigende Anforderungen an Bildauflösung und Flüssigkeit der Darstellung bedingen trotz massiver technischer Fortschritte in der Videokompression, dass die generierten Datenmengen dauerhaft ansteigen.
Bei der heute verfügbaren Netzwerkinfrastruktur ist ein Upload aller Livesignale in die Cloud bei einer Anlage mit einer durchschnittlichen Kameraanzahl von 20 bis 50 pro Standort ein hoher Kostenfaktor. Hinzu kommt die schwer kontrollierbare Verfügbarkeit, da zu den internen Verbindungen noch weitere externe Datenwege hinzukommen, die alle in der benötigten Qualität zur Verfügung stehen müssen. Soll Upload-Bandbreite vom Provider garantiert werden, wird dieser Service zusätzlich kostenpflichtig.
Viele Kameras stellen mittlerweile mehrere Streams in verschiedenen Auflösungen zur Verfügung, damit jede Anwendung innerhalb des Videomanagementsystems die passende maximal benötigte Auflösung erhält. Livestreams, die in kleinen Viewern dargestellt werden, benötigen weniger Auflösung (und sparen so Bandbreite), während Speicherstreams meist in der maximal möglichen Auflösung konfiguriert werden, um für die forensische Untersuchung nach einem Vorfall so viele Details wie möglich zu liefern. Das erhöht die Anforderungen an die Bandbreite und damit die Kosten zusätzlich.
Dagegen kann es sinnvoll sein, viele kleine Standorte mit wenigen Kameras, auf die nicht unbedingt immer live zugegriffen werden muss, z.B. für die Absicherung von Geldausgabeautomaten in abgeschlossenen Räumen, in einer Cloud-Infrastruktur zusammenzufassen. So wird die kosten- und wartungsintensive Installation einzelner VMS-Server in jedem Standort vermieden. Bei Verbindungsproblemen können die Videostreams in der Kamera zwischengespeichert und anschließend auf den zentralen Server hochgeladen werden.
2. Zugriffsanforderungen
Gibt es einen eigenen, dedizierten Kontrollraum und Bediener vor Ort, macht ein Upload der Bilder und Events zu einem Cloud-basierten VMS-Server mit anschließendem Download in den Kontrollraum wenig Sinn, da zusätzliche Datenflüsse generiert werden. Auch ist die Verfügbarkeit aufgrund der Komplexität der Datenverbindungen aufwendiger zu gewährleisten.
Generell stellt sich die Frage, ob und wenn ja, wie häufig, überhaupt ein Zugriff aus der Ferne benötigt wird. Wenn grundsätzlich alle oder ein Großteil der Bilder und Ereignisse überwiegend vor Ort genutzt werden, ist ein Upload in die Cloud und anschließender Download überflüssig, generiert Kosten und keine zusätzliche Effizienz. Dann sollte die Realisierung und Administration on-premise bevorzugt werden, bei Bedarf über einen Dienstleister.
3. Live-Nutzung oder Recherche
Die Übertragung von Bildern in die Cloud geht in der Regel mit erhöhten Latenzen im Vergleich zu einer lokalen Implementierung einher. Bei der Live-Nutzung von Systemen ist die Latenz, also die Zeitspanne zwischen Bildgenerierung und -verarbeitung oder -anzeige, aber auch die Zeitspanne zwischen Bedienhandlung und Systemreaktion ein wichtiger Faktor – nicht nur für die Bedienerfreundlichkeit, sondern auch für die Sicherheit. Daher ist es in Systemen mit intensiver Live-Nutzung grundsätzlich empfehlenswert, möglichst viele Systemkomponenten innerhalb des lokalen Netzwerks zu konzentrieren.
Werden Videodaten vornehmlich für Recherchen genutzt, z.B., um nach Vorfällen anhand von Prozess- oder Transaktionsdaten nachzuvollziehen, was genau passiert ist, dann sind Latenzen zwar wenig komfortabel, aber in vielen Anwendungen eher akzeptabel.
4. Verfügbarkeitsanforderungen
Eine hohe Verfügbarkeit der VMS-Server selbst kann in einer Cloud-Infrastruktur einfacher aufgesetzt werden als on-premise. Der Cloud-Dienstleister organisiert das Verfügbarkeitsniveau je nach Anforderung bis hin zur Georedundanz, wobei zwei identische Server an räumlich getrennte Rechenzentrumsstandorten gespiegelt implementiert werden.
Allerdings geht eine Cloud-basierte Installation mit zusätzlichen Schwachstellen einher, denn die Übertragung über das Datennetz ist ein weiterer Point-of-Failure, der die entsprechend hohe Verfügbarkeit aufweisen muss.
Daher ist bei besonders hohen Anforderungen an die Verfügbarkeit des Systems tatsächlich eine on-premise Lösung empfehlenswert. Die benötigten Redundanzen vor Ort aufzubauen, kostet zwar zusätzlichen Aufwand, garantiert aber eine bessere Kontrolle.
5. Individualisierte Schnittstellen
Ein Aspekt, der bei zunehmender Konvergenz verschiedener Systeme eine zunehmende Rolle spielt, sind Schnittstellen zu Drittsystemen. In Sicherheitsanwendungen sind dies meist Einbruchmeldesysteme oder Zutrittssteuerungen. Aber auch Schrankensteuerungen, Intercom-Systeme oder, in der Prozessdokumentation, operative Systeme wie Scanner und ERP- oder Warenwirtschaftssysteme werden immer häufiger mit VMS vernetzt.
Je nachdem, wie das Drittsystem aufgebaut ist und welche Latenzen in der Kommunikation zwischen den Systemen gefordert ist, kann die Anpassung der Architektur des VMS an die des Drittsystems sinnvoll sein.
6. Anpassbarkeit
Werden Standorte häufig umgebaut oder ein System nur vorübergehend an einem Ort benötigt, kann eine Cloud-basierte Architektur sinnvoll sein, da über pay-per-use kostenseitig leichter Anpassungen möglich sind. Gerade bei temporären Installationen ist die Skalierbarkeit der VMS-Serverausstattung ein großer Kostenvorteil. Auch der einfache Remote-Zugriff auf das in der Cloud zentralisierte VMS ist ein Vorteil, da Benutzer einheitliche Prozesse und einheitliche Wege für den Datenzugriff nutzen können, unabhängig vom Standort der Kameras.
7. Regulatorische Anforderungen
Ein letztes Kriterium, das immer mehr an Bedeutung gewinnt, sind die regulatorischen Anforderungen, die anwendungsspezifisch stark variieren. Allgemeingültig sind in der EU, aber auch in der Schweiz die Anforderungen zum Datenschutz, die zumindest die Auswahl sowohl des Standorts als auch des Betreibers von Cloud-Rechenzentren sowie des Dienstleisters des Cloud-Dienstes in allen Anwendungen einschränken, in denen personenbezogene und personenbeziehbare Daten verarbeitet werden. Dazu gehören auch Videodaten, in denen Personen oder Fahrzeugkennzeichen erkennbar sind. Diese sollten nicht von US-amerikanischen Unternehmen verarbeitet werden, da ein Zugriff von US-amerikanischen Behörden im Rahmen des CLOUD-Acts jederzeit und auch ohne gerichtlichen Beschluss möglich ist, was im Konflikt mit den Anforderungen an den EU-Datenschutz steht.
Weitere regulatorische Anforderungen können sich aus dem individuellen Anwenderumfeld ergeben. So sind beispielsweise für Schweizer Spielbanken explizite Verfügbarkeitsniveaus für Videostreams vorgeschrieben: Für die Videoüberwachung des Spielbetriebs muss die Übertragung und Speicherung von 25 Bildern pro Sekunde pro Kamera sichergestellt werden. Auch aus Betriebsvereinbarungen können sich regulatorische Anforderungen ergeben. Ebenso kann die im Januar 2024 in Kraft getretene NIS2-Richtlinie der europäischen Union Anforderungen stellen, die on-premise einfacher und kontrollierbarer umsetzbar sind als in einer Cloud-Lösung.
Prinzipiell ist daher davon auszugehen, dass regulatorische Anforderungen die Möglichkeiten öffentliche, Cloud-basierte Architekturen zu nutzen, deutlich einschränken, denn die Kontrolle der Datenflüsse, Datenspeicherung und Datenzugriffe ist on-premise transparenter realisierbar.
8. Fazit
Cloud-basierte Anwendungen als Ergänzungstechnologie ergeben sehr oft Sinn. In sicherheitsrelevanten Anwendungen von Videoüberwachungssystemen, die mit entsprechend hohen Anforderungen an Performance, Qualität und Support einhergehen, bleibt on-premise allerdings aktuell noch ein unverzichtbarer Baustein. Hybride Architekturen ermöglichen individuelle Flexibilität und eröffnen neues Potential für Anwender und IT-Verantwortliche.
Abschließend kann festgehalten werden, dass nicht immer der allgemeine Trend oder das technisch Machbare oder „Angesagte“ die beste Lösung für jede Anwendung und jeden Anwender ist. Andererseits können technische Neuerungen sinnvolle Optionen bieten. Um herauszufinden, welche Architektur im Einzelfall die optimale Lösung bietet, sollten Anwender sich von Experten beraten lassen, die nicht auf eine einzelne Lösung oder Architektur fixiert sind, sondern flexible und individuell angepasste Alternativen erarbeiten.
