Diagramm-Tools - Teil 1: Testkriterien
Mal Dir Deine Welt
"Ein Bild sagt mehr als tausend Worte." Der Spruch könnte von einem Auditor stammen. Wo komplexe Systeme für Fremde durchschaubar gemacht werden müssen, geht es nicht ohne Diagramme. Viele Arbeitgeber spendieren allerdings nur widerwillig teure Lizenzen für MS Project, Visio und Co. LANline widmet den typischen IT-Diagrammen und dazu passenden Freeware-Editoren daher eine kleine Serie.
Netzwerk- und Datenflussdiagramme, Gantt-Charts für Projekte, Concept Maps und Mindmaps - wenn es schwierig wird, Zusammenhänge mit vielen Ebenen und Abhängigkeiten nachvollziehbar zu machen, greift der Mensch gern zum Bild. In der IT ist dies besonders oft der Fall. Dort tritt nicht nur der Komplexitätsgrad, der visuelle Darstellungen wünschenswert macht, sehr häufig auf, sondern auch jene Situation, in denen Fremde Erklärungen für Systeme benötigen. "Fremd" ist dabei jeder, der an der Entstehung eines Netzwerks oder einer Infrastruktur nicht vollständig beteiligt war: neue Mitarbeiter im IT-Team, Kollegen aus IT-fremden Fachabteilungen, externe Berater, das obere Management - und vor allem Auditoren.
Kein Audit ohne Diagramm
Bei einem Security-Audit etwa ist es kaum vorstellbar, ohne bildliche Darstellungen zu arbeiten. Immerhin muss der Prüfer in einer vertretbaren Zeit zu einem Urteil über die IT-Systeme beim Anwender kommen. Das Vorlegen von Netzwerkdiagrammen und Datenflussdiagrammen - dazu später mehr - gilt deshalb als Standardvorgehen und kann - je nach Norm - sogar Pflicht sein. Nicht minder häufig treffen moderne IT-Teams auf die Notwendigkeit, komplexe Projekte mit ihren Meilensteinen und Abhängigkeiten bildlich darzustellen, um den Überblick über Fortschritte und Probleme zu behalten und die Ressourcen sinnvoll einzuteilen. Microsoft Project, MS Visio und noch ein paar weitere kommerzielle Programme haben sich als Standardeditoren für solche Aufgaben etabliert. Oder eben nicht, denn viele Arbeitgeber stellen diese recht teuren und zugleich nur an wenigen Arbeitsplätzen benötigten Programme ihren Mitarbeitern nur ungern zur Verfügung. Da liegt der Griff nach alternativer Freeware nahe, und genau an diesem Punkt setzt diese LANline-Serie an: Im Test kommen frei verfügbare Editoren für Diagrammtypen unter die Lupe, die in der IT häufig erfordert sind.
Kleine Diagrammkunde
Bevor die Werkzeuge in den Mittelpunkt rücken, lohnt sich ein kurzer Blick auf die wichtigsten Diagrammtypen, die in IT und IT-Security immer wieder anzufertigen sind. Die bekannteste Form ist das klassische Netzwerkdiagramm, das die physisch vorhandenen oder mit IP-Adressen ausgestatteten Systeme einer Organisation mitsamt ihren Verbindungen abbildet und dabei die Funktionen der dargestellten Systeme sowie Segmentierungen erkennbar macht. Lange Zeit bildeten diese Repräsentationen einfach das "Local Area Network" eines Unternehmens ab und zeigten an einer Seite dann eine einsame Linie nach außen, die in ein Wolken-Icon mit der Aufschrift "WWW" mündete.
Dies war einmal und kommt nicht wieder. Genau darin liegt der Grund, warum Netzwerkdiagramme allein heute immer seltener ausreichen, um die Funktionalität der IT einer Organisation darzustellen. Die statischen Netzzeichnungen nämlich fransen an den Rändern zunehmend aus, weil sie zum Beispiel dynamische Cloud-Ressourcen unterschiedlicher Ausprägung, mobile User und ausgelagerte Datenverarbeitungsdienste unterschiedlichster Art eigentlich ebenfalls darstellen müssten, dies aber ihres Konzepts wegen nicht vollständig können. Obsolet oder weniger wichtig wird das gute alte Netzwerkdiagramm jedoch keineswegs.
Eine immer häufiger benötigte zweite Diagrammform ist aufgrund der oben beschriebenen Situation das Datenflussdiagramm, in der Praxis häufiger mit dem englischen Namen "Data Flow Diagram" betitelt. Ursprünglich haben Anwender Darstellungen dieser Art eher zu dem Zweck gezeichnet, Datenflüsse innerhalb von Programmen oder Einzelsystemen nachvollziehbar zu machen oder während der Entwicklung erst einmal von Grund auf zu gestalten. Heute gewinnt dieser Grafiktyp wachsende Bedeutung auf der übergeordneten Ebene des Datenaustauschs zwischen den logischen Teilsystemen eines Informationsverarbeitungsprozesses. Er dient dabei unter anderem dem Zweck, Sicherheitsaspekte zu verdeutlichen. Ein Datenflussdiagramm dieser Kategorie stellt dar, welchen Weg Daten eines bestimmten Typs durch ein Netzwerk oder eine IT-Infrastruktur nehmen und welche Systeme sie dabei verarbeiten oder speichern. Eingebundene Systeme, die außerhalb eines LANs liegen, also etwa Systeme in der Cloud, gehören dabei automatisch mit ins Bild.
Datenflussdiagramme werden wichtiger
Es gibt für eine funktionierende IT neben dem Netzwerkdiagramm also nicht einfach auch "das" Datenflussdiagramm, sondern potenziell mehrere - etwa für personenbezogene Daten, für Steuerungsdaten von Produktionsmaschinen, für wirtschaftliche Kenndaten etc. Ein gutes Beispiel sind Data-Flow-Diagramme, die PCI-DSS-Auditoren von Unternehmen fordern, die mit Kreditkartendaten arbeiten und deren IT dazu unter Security-Gesichtspunkten zertifiziert werden soll. PCI DSS oder Payment Card Industry Data Security Standard ist die für diese Branche maßgebliche Norm für Sicherheitsmaßnahmen.
Der Prüfer erkennt anhand des Datenflussdiagramms, welche Systeme er bei seiner Bewertung berücksichtigen muss, welche also - um den typischen Jargon aufzugreifen - im "Scope" seines Audits liegen. Dazu gehören alle Infrastrukturelemente, die entsprechende Informationen weiterreichen, speichern oder verändern, zumindest sofern sie nicht durch vollständige Verschlüsselung komplett vor einem Zugriff gesichert sind. Der Auditor zieht dabei automatisch auch das Netzwerkdiagramm heran, um festzustellen, welche außerhalb des jeweiligen "Flows" liegenden Systeme dennoch einen Einfluss auf die Sicherheit der betrachteten Einheiten haben können - etwa dadurch, dass sie einen Management-Zugriff erlauben und damit Änderungen an sicherheitsrelevanten Parametern ermöglichen.
In diesem Kontext werden gute Datenfluss- und Netzwerkdiagramme übrigens auch zur Basis echter Einsparungspotenziale, denn auf ihrer Basis legen die Auditoren gewöhnlich fest, welche Netzwerksegmente (so vorhanden) vom Audit ausgeschlossen werden können und somit nicht den verschärften Sicherheitsbestimmungen der Norm unterliegen.
An heutigen Data-Flow-Diagrammen lässt sich nebenbei ein Phänomen beobachten, dass später im Abschnitt über die Testkriterien noch eine besondere Rolle spielen wird: Die Diagramme werden bunter, eleganter und individueller. Legt eine Bank oder ein Finanzdienstleister etwa einem PCI-DSS-Auditor heute ein Data-Flow-Diagramm vor, sieht es bei Weitem nicht mehr so nüchtern aus wie das Beispiel, das die deutsche Wikipedia bis heute (Anfang 2018) zeigt (Bild oben).
Bekannte Softwarelösungen sind in modernen Zeichnungen dieser Art mit ihrem Logo eingebunden, die Point-of-Sales-Geräte gleich als Foto abgebildet und Segmente farblich abgegrenzt. Manchmal macht dies die Diagramme besser verständlich, da sich nicht mehr jedes Element erst durch Lesen der Beschriftung erschließt, manchmal stecken dahinter jedoch auch lediglich ein gewisser Spieltrieb und das Streben nach Modernität und Chic. Der zuletzt genannte Aspekt ist allerdings zuweilen durchaus dann von Bedeutung, wenn die Grafiken auch unternehmensintern der Präsentation vor dem Management dienen, wo man heute allzu nüchtern und altbacken gestaltete Grafiken zuweilen nicht einmal mehr ernst nimmt oder fälschlich als minderwertig erachtet.
Durchblick im Projekt
Moderne IT- und IT-Security-Projekte erreichen heute fast immer Komplexitätsgrade, die eine rein sprachliche Ablaufbeschreibung ad absurdum führen. Teilprojekte zeigen typischerweise multiple Abhängigkeiten, die bei Verzögerungen einzelner Schritte auch immer wieder Modifikationen der weiteren Abläufe notwendig machen. Der bekannteste Lösungsansatz ist die Darstellung als "Gantt-Chart", das Einzelaktivitäten eines Projekts als waagerechte Balken auf einer Zeitachse repräsentiert und dabei zeigt, welche Vorgänge beispielsweise nur vor oder nach anderen Teilschritten absolviert werden können und welche parallel voranschreiten dürfen.
Gantt-Charts haben sich bewährt, erreichen jedoch ihre Grenzen, wenn hochkomplizierte, große Projekte mit vielen Anhängigkeiten als Ganzes und zugleich in großer Detailtiefe abzubilden sind. Ganz praktisch: Ein Projekt, das nach Vorbereitung per Gantt-Chart im Ausdruck ein 1,5×2,5 Meter großes Feld an der Wand belegt, sich aufgrund seines Detaillierungsgrads jedoch nur aus dem üblichem Betrachtungsabstand für ein Buch oder eine Zeitschrift lesen lässt, weist darauf hin, das es die Beteiligten besser in separate Einzelprojekte zerlegen sollten, damit die sie angesichts der Aufgabe der zeitgerechten Steuerung nicht verzweifeln.
Auch der Versuch, mithilfe eines derartigen Monstrums bei Geschäftsführern oder Vorständen Vertrauen in ein Projekt zu wecken und Mittel freizusetzen, ist von vornherein zum Scheitern verurteilt. Dennoch sind Gantt-Charts so oft nötig, dass sich ein Blick auf die entsprechenden Editoren lohnt. Noch relativ neu im Diagrammzoo eines Unternehmens sind Concept- und Mindmaps. Sie dienen dazu, die inneren Zusammenhänge von Problemlösungen mit mehreren Komponenten anschaulich zu machen. Mindmaps sind dabei eher zur strukturierten Darstellung einer Herangehensweise an ein Problem gedacht oder zeigen, was einer Einzelperson oder einem Team beim "Brainstorming" in den Sinn kommt. Nicht jeder mag das Prinzip der visuellen Ideenentwicklung. Es kann jedoch durchaus dabei helfen, Probleme mit größerem Komplexitätsgrad durchschaubarer zu machen, sie für sich selbst zu ordnen und so das eine oder andere "Brett vor dem Kopf" zu durchbohren.
Concept- und Mindmaps
Hinzu kommt, dass Mitglieder eines Teams mittels Mindmaps zeigen können, welche Assoziationen sie mit einem bestimmten Thema verbinden, wodurch sich zuweilen unüberwindbar scheinende Verständigungsschwierigkeiten überwinden lassen, die bei näherem Hinsehen nur auf unterschiedlichen Auffassungen der jeweiligen Problemstellung beruhen. "Mindmaps" sind somit Hilfswerkzeuge für kreative Prozesse. Es gilt allerdings zu berücksichtigen, dass nicht jeder "Denker" gern unmittelbar visuell vorgeht, und dass der Zwang zum Mindmap-Einsatz in einem Projektteam somit auch kontraproduktiv sein kann.
Concept Maps sehen ähnlich aus wie Mindmaps, dienen jedoch eher der Veranschaulichung fertiger Systeme aus multiplen Komponenten. Anbieter von Sicherheitslösungen etwa nutzen diese Form der Darstellung gern, um zu zeigen, wie ihre Lösungen zwecks Herstellung eines "Schutzschilds" für die Anwender zusammenarbeiten und welche Komponenten dabei welche Sicherheitsziele abdecken. Diese Nutzung sollten auch IT- und Security-Teams in den Organisationen in Betracht ziehen, etwa um zeigen zu können, warum sie welche Software oder Dienstleistung einsetzen und teuer bezahlen und welche Rolle die Komponenten in ihrem jeweiligen Gesamtkonzept spielen.
Neben den genannten Beispielen gibt darüber hinaus natürlich Bedarf für weitere Formen von Diagrammdarstellungen - etwa für normale Ablaufdiagramme, die Incident-Management-Prozesse darstellen. Sie sind allerdings generischer als die hier speziell aufgeführten Varianten und lassen sich deshalb mit den meisten Editoren, die für die Tests in Frage kommen, ohne Probleme ebenfalls erstellen.
Testkriterien
Die Testkriterien für die Diagrammeditoren, die in den nächsten Folgen vorgestellt werden sollen, ergeben sich aus den Charakteristika der angesprochenen Diagrammtypen und aus der Arbeitssituation, in der die Grafiken gewöhnlich entstehen. Letztere ist dadurch gekennzeichnet, dass kaum eines der angesprochenen Diagramme gewöhnlich unter Beteiligung professioneller Grafiker entsteht - mit Ausnahme vielleicht jener Concept Maps, die der Präsentation komplexer Systeme vor einem größeren Publikum dienen. Netzwerk- und Data-Flow-Grafiken werden von Fachleuten für die jeweiligen IT-Bereiche erstellt, wobei dafür überdies oft nicht einmal genügend Zeit zur Verfügung steht.
Demnach sollten alle Editoren
- leicht zu bedienen sein, also analog zu gängigen Office- und anderen Grafikprogrammen funktionieren,
- von sich aus dazu beitragen, dass die mit dem Editor erzeugten Diagramme "modern" und ansprechend aussehen,
- für alle Standardelemente, die immer wieder einzubinden sind, fertige Logos, Clips oder Zeichnungen bieten,
- mit importierten Grafiken arbeiten können,
- flexible Druck- und Präsentationsfunktionen bieten,
- Teamarbeit unterstützen sowie
- möglichst umfangreiche Import- und Exportfunktionen für die Interaktion mit gängigen kommerziellen Programmen oder weiterer Freeware umfassen.
Der zuerst genannte Punkt greift die im Abschnitt zu den Data-Flow-Diagrammen bereits genannte Überlegung auf, dass die Grafiken von Diagrammeditoren möglichst ohne zusätzlichen Aufwand des Anwenders modern und hochwertig anmutende Resultate erzeugen sollten. Dazu müssen die typischen Symbole für Server, Switch und Firewall und die verbindenden Pfeile und die Beschriftungsboxen deshalb eine gewisse Eleganz aufweisen nicht gar zu "billig" daherkommen.
Zudem sollten die getesteten Programme möglichst Grafiken mit den kommerziellen "Platzhirschen" ihres jeweiligen Genres austauschen können - also etwa mit Visio oder Microsoft Project - zugleich jedoch möglichst einfache Möglichkeiten zur Weiterverwendung der Ergebnisse in Produkten wie Microsoft Word, PowerPoint und Excel bieten.
Lesen Sie mehr zum Thema
