Braucht die Techbranche eine bessere Fehlerkultur? - t3n

Jeden Dienstag blicken wir im Pro-Briefing für unsere Pro-Member auf ein dringendes Thema der IT. Heute geht es um Fehlerkultur und den Umgang mit Tech-Newbies in der Community. Den Impuls gab ein Artikel über Secrets in Kubernetes auf dem Redhat-Blog. Redhat ist ein US-amerikanischer Softwarehersteller mit Fokus auf Linux-, Hybrid-Cloud- und Containertechnologien. Das Unternehmen besteht seit 1993 und ist aktiv an der Entwicklung, Einführung und dem Management von Linux- und Open-Source-Lösungen für Netzwerk-Infrastrukturen beteiligt und bietet neben einer breiten Produktpalette auch Trainings und Zertifikate an. Alles in allem gilt das Unternehmen als vertrauenswürdige Informationsquelle mit viel Expertise in diesen Bereichen. Nun wurde auf dem internen Unternehmensblog ein Blogpost über die Verwaltung sogenannter Secrets in Kubernetes veröffentlicht. Kubernetes, auch k8s genannt, ist eine Open-Source-Plattform, die den Betrieb sogenannter Container automatisiert. Dabei werden viele der manuellen Prozesse, die mit der Bereitstellung und Skalierung von containerisierten Anwendungen einhergehen, eliminiert. Verstanden? Nein? Die Technologie zu verstehen, ist ein Skill für sich – und auch erwachsene Menschen, die sich einen Überblick darüber verschaffen wollen, was Kubernetes ist und bisher keine Berührungspunkte damit hatten, finden im Illustrated Children's Guide to Kubernetes wohl eine der am leichtesten zu verdauenden Ressourcen zum Thema. Komplexe Sachverhalte hinreichend begriffen zu haben, ist das eine, darüber zu schreiben bringt noch einmal andere Schwierigkeiten mit sich. Der Blogpost trägt den Titel „Managing Secrets for Kubernetes Pods“ und beinhaltete – mittlerweile wurde der Post offenbar editiert – laut eines Tweets von 1Password-Gründer Roustem Karimov die Aussage, dass sogenannte Secrets in Kubernetes Base64-enkodiert und damit ziemlich sicher seien: [twitter 1411744813037334530] Das stimmt offensichtlich nicht. In den Kubernetes-Docs ist zum Thema Secrets nachzulesen, dass diese per Default als unverschlüsselte Base64-enkodierte Strings gespeichert werden. Jeder mit API-Zugang oder mit Zugang zu Kubernetes zugrundeliegendem Datenspeicher kann sie abrufen – im Klartextformat. Zur sicheren Verwendung von Secrets wird daher empfohlen, diese zu verschlüsseln und sogenannte RBAC-Regeln zu konfigurieren, die den Zugriff auf Secrets einschränken. Ein Schnitzer also, der sich hätte vermeiden lassen. Der Tweet des 1Password-Gründers wurde mehr als 400 Mal geteilt und in den Kommentaren brach ein kleiner Shitstorm los. Neben zahlreicher Facepalm-Gifs in allen denkbaren Ausführungen und Witzen wie „Base65 is even moar secure“ verwechselte ein Teil der Meute den Blogpost mit offizieller Dokumentation und bemängelte unzureichende Review-Praktiken bei Redhat. Das Unternehmen setze damit seinen Ruf als vertrauenswürdige Quelle solcher Inhalte aufs Spiel. Die Anmerkung, dass fehlerhafte Informationen der Reputation eines Unternehmens nicht zuträglich sind, ist zwar nicht von der Hand zu weisen, jedoch weist Redhat unübersehbar darauf hin, dass es sich bei auf dem Blog veröffentlichten Artikeln nicht um unternehmenseigene Inhalte und schon gar nicht um offizielle Dokumentation handelt, sondern diese Texte alleinig durch die jeweiligen Autoren verantwortet werden. Viel schwerer, als dass viele Kommentatoren offenbar Schwierigkeiten haben, die Textsorte Blogpost von offizieller Doku zu unterscheiden, wiegt allerdings die Tatsache, dass sich hier Sicherheitsexperten und IT-Fachleute mit großem Wissen und viel Expertise auf den Fehler einer Anfängerin stürzen, als gäbe es keinen Morgen mehr. Die Jobbezeichnung der Verfasserin des Blogposts – Associate Technical Support Engineer – weist darauf hin, dass sie wohl noch relativ am Anfang ihrer Karriere stehen dürfte. Umso schlimmer, dass der Großteil der Kommentatoren hämisch belustigt reagiert anstatt konstruktive Kritik zu üben. Dabei wäre es so einfach, darauf hinzuweisen, dass und an welchen Stellen ihr Artikel fehlerhaft ist und im selben Zug Ressourcen zu verlinken, die die Thematik verständlich erklären. Wenn dieses Beispiel eines zeigt, dann dass es wohl nicht verwunderlich ist, wenn Anfänger das Gefühl haben, nicht willkommen zu sein und nur akzeptiert zu werden, wenn sie schon alles wüssten, was es in den Bereichen Software-Entwicklung und Security zu wissen gibt. Um den dringenden Bedarf an talentiertem Nachwuchs in diesen Bereichen zu decken, wäre es vielleicht eine allererste Maßnahme, wenn gestandene Experten lernen würden, eine offenere Fehlerkultur zu leben, statt jemanden, die es aufgrund ihres Expertise-Levels vielleicht nicht besser wissen kann, öffentlich zu demütigen.