Start-up: Die Revolution des Linux-Kernels

In Zürich befindet sich eine der beiden Niederlassungen von Isovalent, einem schweizerisch-amerikanischen Start-up, das sich mit komplexer Open-Source-Technologie im Cloud-­Native-Bereich derzeit weltweit einen Namen macht und bereits mehrere erfolgreiche und grosse Finanzierungsrunden hinter sich bringen konnte. Der zweite Standort – wie könnte es anders sein – liegt im Silicon Valley. Unter den Investoren befinden sich grosse Namen wie Andreessen Horowitz, Google Cloud und Cisco und das Steckenpferd von Isovalent – eine Lösung für Netzwerksicherheit und -visibilität in Cloud-Umgebungen namens Cilium – wird von Google Cloud bereits als Standardlösung für Cloud-Netzwerke eingesetzt. Bei Isovalent geht es also steil nach oben.


Co-Gründer Thomas Graf, die schweizerische Hälfte des Isovalent-Gründerteams erklärt, wie es das Open-Source-­Projekt zur heutigen Grösse schaffte und wie die dem Produkt zugrunde liegende Technologie in greifbarer Zukunft dem Linux-Kernel einen gehörigen Schub verpassen soll.

Die Basis: Cloud Native

«Wir entwickeln das Open-Source-Projekt Cilium und haben eine Enterprise-Distribution, die Cilium Enterprise heisst. Cilium bietet Netzwerksicherheit und -visibilität für Cloud-Native-Umgebungen und richtet sich damit an Kunden, die in Richtung Cloud Native respektive Containers gehen», so Co-Gründer und CTO Thomas Graf.

Und damit startet er gleich mit der Definition der Begrifflichkeiten: «Bei Cloud Native geht es nicht nur um die Cloud im Sinn von Infrastruktur, sondern primär um Automatisierung. Ein immer grösserer Teil unserer Kunden setzt unsere Produkte auch in traditionellen Rechenzentren ein, um von den Cloud Nativen Vorteilen betreffend Sicherheit, Visibilität, aber auch Entwickleragilität in bestehenden Umgebungen zu profitieren.» Das ergibt Sinn, hat die Erfahrung doch gezeigt, dass ­Hybrid- oder Multicloud-Modelle mit Workloads auf etlichen unterschiedlichen Plattformen öfter der gängigen Unternehmenspraxis entsprechen als Cloud-Instanzen bei einem einzigen Anbieter.


Noch immer zu viele Buzzwords? Die Entstehungsgeschichte, so verspricht Graf, schaffe mehr Klarheit.

Software Defined Networks 2.0

Sowohl er selbst wie auch sein Mitbegründer, der US-Amerikaner Dan Wendlandt, haben langjährige Open-Source- und Netzwerk-Vergangenheiten. Graf war rund zehn Jahre lang Leiter des Netzwerkteams von Red Hat, Wendlandt war Mitarbeiter Nummer drei bei der heutigen Vmware-Tochter Nicira, laut Graf den Erfindern des heute allgegenwärtigen Software Defined Networking. «Wir haben als Entwickler und als Produktmanager damit sowohl die physischen Netzwerke wie auch das Software Defined Networking miterlebt», so Graf. «Das Software Defined Networking entstand in der Virtualisierungsära. Damit sprach man aber immer noch von virtuellen Maschinen. Doch als Docker, Kubernetes und Container den Markt stürmten, machte das keinen Sinn mehr.» Der Grund für die Existenz von Cilium ist, so der Gründer, dass es ein «Software Defined Networking 2.0» brauche, das für Container und Cloud Native statt für (virtuelle) Maschinen konzipiert ist.


«Und darum haben wir Cilium vor fünf Jahren als Open-Source-Projekt gestartet und ein Jahr später Isovalent dazu gegründet», so Graf.

Der Container-Hasenbau

Cilium ist damit vereinfacht gesagt eine Netzwerklösung, die Applikationen – egal wo diese laufen – sicher miteinander verbinden kann. Die Isovalent-Lösung läuft auf der Betriebssystemebene und hat damit keine Schnittstellen zum physischen Netzwerk. «Wenn ein unterstütztes Betriebssystem da ist, kann Cilium eingesetzt werden und verbindet die Anwendungen wie über einen VPN-Tunnel», so Graf.

Auch sorgt Cilium für die nötige Security dank Segmentierung und Verschlüsselung und für Visibilität. Damit ist die gesamte Übersicht im Netzwerk mit all seinen Reports, Logs und Metriken gemeint, die für die Sicherheit, Datenintegrität aber auch Troubleshooting notwendig ist. «Wenn Kunden in Richtung Cloud Native und Container gehen, verlieren sie oft viel der Netzwerkvisibilität. Diese können wir mit Cilium wieder gewährleisten.» Ein einleuchtendes Beispiel dazu: Wenn Unternehmen den Vorgaben von Datenschutzgesetzen (wie der DSGVO) unterliegen und mit dem Schritt zur Containertechnologie Teile der Visibilität im Netzwerk verlieren, könnten Sie die Kontrolle über die Daten nicht mehr wahren. Mit Cilium kann wieder eine Übersicht geschaffen werden, wo die sensiblen Personendaten liegen und welche Applikationen sie verarbeiten. Ein weiterer Need für den Einsatz von Cilium entsteht bei Unternehmen, die viele Firmenkäufe getätigt haben und damit Workloads auf vielen verschiedenen Cloud-Plattformen oder Hybrid-Plattformen erben, die bezüglich Sicherheit und Visibilität zusammengeführt werden müssen.

Standardlösung für Google Cloud

Cilium kommt fast auschliesslich im Enterprise-Bereich zum Zug, in der Schweiz gehört beispielsweise Postfinance zum Kundenkreis von Isovalent. Die «Quick Wins» lande man denn auch vor allem, wenn man mit einer sogenannten Service Map einem neuen Kunden in kurzer Zeit aufzeigen kann, welche Applikationen miteinander interagieren und wo die Daten hinfliessen, wie der CTO ausführt.


Seit Google Cloud im Sommer 2020 verkündete, dass Cilium fortan als Standard für alle Managed Kubernetes Produkte eingesetzt werde, schreitet das Wachstum nochmal schneller voran. Graf betont aber, dass Cilium in keiner Weise abhängig von einem bestimmten Cloud Provider ist. Isovalent verkauft das Produkt in der Regel direkt an die Kunden, die selbst auf mehreren Cloud-Plattformen aktiv sind.

Das Herzstück, die Revolution: eBPF

Die Technologie hinter Cilium heisst eBPF und sei eine Revolution für den Linux Kernel, wie Graf versichert. Aus seiner Zeit bei Red Hat weiss er, dass ein Kernel Feature für Linux zwischen fünf und zehn Jahren hat, bis es in einem produktiven Build landet. «Das führte stets zu einer Diskrepanz zwischen dem, was der Linux Kernel kann und dem, für was er verwendet wird.» Mit eBPF sei es nun endlich möglich, auf dem Linux Kernel schnelle Innovation zu betreiben.

«Ähnlich wie damals Javascript für den Browser macht eBPF den Linux-Kernel nun programmierbar. Damit kann er dynamisch und sicher erweitert werden», so Thomas Graf. Es sind also bedeutend schnellere Entwicklungsschritte auf dem Kernel möglich – und das alles völlig transparent, sicher und effizient, wie er betont.


Seiner Einschätzung nach wird eBPF alles was Netzwerke, Sicherheit und Visibilität betrifft, grundlegend verändern. «Man muss in diesen Bereichen sämtliches Tooling, was man zuvor gemacht hat, neu denken, weil die Möglichkeiten so viel grösser sind. Es ist mächtiger, es ist schneller, es ändert die Gleichung komplett», so Graf abschliessend. Wir werden, wenn er Recht behält, damit nicht zum letzten Mal von eBPF gehört haben. Und mit der Ankündigung, dass Microsoft ebenfalls plant, eBPF auf Windows zu portieren, wird sich diese Entwicklung voraussichtlich auch nicht nur auf Linux-Plattformen beschränken.

Die Technologie wird von einer Open-Source-Gesellschaft betreut, die von Isovalent und Facebook angeführt wird. Interessierte finden auf ebpf.io mehr Informationen.

Nach amerikanischem Vorbild

Grafs Truppe ist remote und flexibel aufgestellt, die meisten Angestellten arbeiten aber von der Schweiz und den USA aus. Das Isovalent-Team besteht aus verschiedenen Spezialisten, mehrheitlich zusammengesetzt aus der Vergangenheit der beiden Gründer. «Wir sind hoch technologisch unterwegs und arbeiten mit sehr spezialisierten Leuten aus dem Linux-Kernel-, Security- und Networking-Bereich», so der Co-Gründer. Das hohe technologische Niveau und die Kompetenzdichte mache Isovalent denn auch zu einem sehr attraktiven Arbeitgeber. Man habe daher keine Probleme, die richtigen Leute zu finden, wie Graf versichert. Etwa 45 Personen arbeiten derzeit bei Isovalent, 60 bis 70 Prozent der Belegschaft ist in Europa stationiert, die Mehrheit davon in der Schweiz.

Ein Jahr lang wurde Cilium als Open-Source-Projekt aufgebaut. Währenddessen erstellten Wendland und Graf einen Businessplan suchten damit Venture Capital Investoren in den USA. Andreessen Horowitz hat zuerst angebissen und die erste Series-A-Finanzierungsrunde gestellt. Die zweite Finanzierungsrund wurde eben abgeschlossen, angeführt durch Google Cloud und Cisco.


«Wir befinden uns derzeit in einer steilen Wachstumsphase, in der die Nachfrage des Produkts schneller wächst als wir organisch selber wachsen könnnen», so Graf zur finanziellen Situation abschliessend. «Mit den finanziellen Investitionsmitteln aus den USA bauen wir unser Go-To-Market Team weiter aus und skalieren Verkauf und Customer Success, um unseren Kunden nicht nur technologisch, sondern auch qualitativ zu überzeugen.» Und damit ist Isovalent auf seine Art zwar ein technologisch getriebenes Unternehmen mit Schweizer Wurzeln, aber eben doch ganz nach amerikanischem Vorbild. (win)