08.08.2011 Worauf es in Hybrid, Public und Private Clouds ankommt

Cloud Computing in der (Rechts-)Falle?

Von: Andreas Stein, Managing Director bei Dell Services

Beim Cloud Computing dürfen nationale Gesetzenicht außer Acht gelassen werden.

Rechtliche Aspekte dürfen auf dem Weg in die Cloud nicht vernachlässigt werden.

Die Potentiale des Cloud Computing sind verlockend. Skalierbarkeit ohne Fixkosten, nutzungsabhängige Kosten und Unabhängigkeit von spezifischen Technologien sind die meistgenannten Vorteile. In der Praxis ergeben sich aber auch neue Herausforderungen: Beim Cloud Computing können die Daten grundsätzlich in der ganzen Welt zu Hause sein. Trotzdem müssen sich Auftraggeber und Provider an nationale Gesetze halten. Dabei stellt sich die Grundsatzfrage, inwieweit die geltenden Vorschriften noch zu dieser neuen Form der IT-Nutzung passen.
Cloud Computing ist wohl das am meisten diskutierte IT-Thema der letzten Zeit und es dürfte heute keinen IT-Lösungsanbieter mehr geben, der nicht auf die eine oder andere Weise Produkte oder Leistungen aus der Cloud im Portfolio hat.

In den Rechenzentren ist bis dato vor allem das Konzept der Private Cloud angekommen: dezidierte Nutzung der Cloud-Technologie innerhalb der Unternehmensgrenzen. Für das Konzept der Public Cloud sieht es ein wenig anders aus. Die Unternehmen sehen hier zwar zum Teil die noch größten Potentiale, die IT effizienter zu gestalten, sind aber bei der tatsächlichen Umsetzung von Public Clouds zurückhaltend. Diese Zurückhaltung bei der Realisierung liegt nicht in der Technik begründet, sondern vor allem in organisatorischen und juristischen Fragen. Hinsichtlich der Technik sind viele Mechanismen des Cloud Computing ja tatsächlich schon lange bekannt: Die nutzungsbezogene Abrechnung war schon auf Mainframes üblich, Verfahren wie ASP, Distributed und Remote Computing oder Outsourcing sind ebenfalls schon länger bekannt. Allein die aufgrund hoher Bandbreiten und überall verfügbarer Anschlussmöglichkeiten heute bereitstehende leistungsfähige Infrastruktur lassen diese Verfahren nun mit Cloud Computing zu einer wirklich universellen Art der IT-Nutzung werden.

Der direkten Kontrolle entzogen

Das Grundprinzip des Cloud Computing, die flexible Bereitstellung von externen IT-Ressourcen und deren nutzungsabhängige Abrechnung, beinhaltet aber auch ein Grundproblem: Die IT ist der direkten Kontrolle des Auftraggebers weitgehend entzogen; dieser will sie auch nicht kontrollieren, denn kontrollieren hieße auch investieren, implementieren und administrieren. Der Cloud Provider organisiert diese Ressourcen nach betriebswirtschaftlichen Kriterien, um Synergieeffekte zu nutzen. Dabei hält sich die örtliche Verteilung von Rechenzentren und Servern nicht notwendigerweise an juristische Geltungsbereiche – ein Provider, der weltweit Kunden bedient, wird in aller Regel auch seine Rechenzentren möglichst breit verteilen. Er wird sich außerdem vorbehalten, Subunternehmer zu beauftragen, etwa um die Verfügbarkeit bei Spitzenbelastungen aufrechtzuerhalten oder auch einfach, um Kostenvorteile zu realisieren.

Es gehört daher zum Wesen des Cloud Computing, zumindest in der Variante Public Cloud, dass Daten in der ganzen Welt zu Hause sind und dass sich nicht im Voraus bestimmen lässt, wo das sein wird. Damit ist aber nicht mehr klar, welcher Rechtsordnung sie im Einzelfall unterliegen. Im Zweifel gilt das Recht des Orts, an dem das jeweilige Rechenzentrum steht – eine aus Sicht des Cloud Computing eher zufällige Konstellation. Das hier gültige Recht kann jedoch gravierend von dem abweichen, was im Land des Auftraggebers vorgeschrieben ist. Dabei geht es nicht um eventuell unzulängliche Sicherheitsmaßnahmen und -strukturen beim jeweiligen Provider – wenn beispielsweise eine nationale Behörde im Land X Daten beschlagnahmen will, so muss der Provider dem Folge leisten, auch wenn im Herkunftsland Y eine solche Maßnahme unzulässig sein sollte.

Da es vor allem bei personenbezogenen Daten in verschiedenen Staaten sehr unterschiedliche Regelungen zum Schutz der „Eigentümer“ solcher Daten gibt, kann dies für Auftraggeber wie Provider problematisch werden. So schreibt beispielsweise das Bundesdatenschutzgesetz in Paragraph 11 explizit vor: „Werden personenbezogene Daten im Auftrag durch andere Stellen erhoben, verarbeitet oder genutzt, ist der Auftraggeber für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz verantwortlich.“
Dies gilt auch im internationalen Datenaustausch und führt zu der zuletzt häufig diskutierten Einschränkung des Cloud Computing, nach der personenbezogene Daten die Grenzen der EU eigentlich nicht verlassen dürfen. In der Praxis dürfte ein Auftraggeber eine entsprechende Vereinbarung gegenüber einem international operierenden Provider aber nur schwer durchsetzen können.

Weniger bekannt dürfte in diesem Zusammenhang allerdings sein, wie weit die Regelungen des Bundesdatenschutzgesetzes (BDSG) tatsächlich gehen. Es genügt nämlich nicht, wenn sich ein Unternehmen die Einhaltung dieser Vorschriften beispielsweise in einem SLA zusagen lässt. Die Regelung verlangt von den Unternehmen, die Einhaltung dieser Vorschriften sicherzustellen und damit letztlich immer eine gewisse Kontrolle über diese Daten zu behalten. Diese Kontrolle widerspricht natürlich der grundlegenden Logik des Public Cloud Computing.
Unter diesen Aspekten haben insbesondere die Branchen, bei denen die Arbeit mit personenbezogenen Daten zu den Kernaufgaben zählt, z.B. Anwälte, Krankenhäuser oder Krankenversicherungen, nur wenig Spielraum für die Nutzung von Public Clouds; nach Paragraph 203 StGB können sie sich in diesem heiklen Feld sogar strafbar machen. Neben hoheitlichen Maßnahmen in Drittländern sollte ein anderer Aspekt nicht übersehen werden: Auftragnehmer und alle Subunternehmer müssen gewährleisten, dass nach Ende einer Geschäftsbeziehung die Daten und eventuell auch Datenträger vernichtet werden, was der Auftraggeber wiederum zu überwachen hat. Natürlich lässt sich auch eine Ausstiegsstrategie in Verträgen regeln, aber es ist fraglich, ob man diese immer durchsetzen kann. Dies gilt besonders im Fall der Insolvenz eines Providers, denn vermutlich verfügen nur wenige Unternehmen über Know-how in ausländischem Insolvenzrecht.

Die hier nur angerissenen rechtlichen Probleme rund um das Cloud Computing verweisen auf eine grundsätzliche Problematik: Es ist offenkundig so, dass das Verfahren, die IT als Dienstleistung zu nutzen, zwar zu den Anforderungen der Unternehmen passt, nicht aber zu dem, was im bisherigen (nationalen) IT-Recht abgedeckt wird. Das darf nicht überraschen: Weltumspannende Hochleistungsnetze und um den Globus wandernde Daten sind eben erst seit wenigen Jahren technisch realisierbar, und die Regularien stammen aus der Prä-Cloud-Ära und gehen von klaren, lokal definierbaren Zuständigkeiten aus. Es dürfte aber auf Dauer wenig Erfolg versprechend sein, die alten Regeln an die neuen Verfahren anzupassen. Man muss wohl andere Wege beschreiten und sich über grundsätzlich neue Regularien Gedanken machen, die auf die speziellen Gegebenheiten des Cloud Computing ausgerichtet sind.

Da die grenzüberschreitende Anwendung eine wesentliche Grundlage des Cloud Computing ist, stellt es auch spezifische und ganz neue Anforderungen an die Rechtsvorschriften. Zwischenstaatliche Regelungen – und eventuell sogar supra-nationale Gremien – werden daher ein zentraler Bestandteil einer solchen Ordnung sein müssen, die wiederum eine Voraussetzung für den allgemeinen Durchbruch des Cloud Computing ist. Dass dergleichen keineswegs eine Utopie ist, zeigen andere Industrien: Auch der Luftverkehr ist seit jeher grenzüberschreitend, und hier haben sich weltweit verbindliche Regelungen etabliert, die trotz mancher Friktionen einen erfolgreichen Betrieb nicht behindern, sondern letzten Endes vorangebracht haben. Bis es im Cloud Computing auch so weit ist, müssen Unternehmen eine differenzierte Strategie umsetzen: Kritische, personenbezogene Daten müssen Private Clouds vorbehalten bleiben, bei denen der Provider den Unternehmen die volle Kontrolle über die Daten gewährleisten kann. Auch hier kann das Management nach außen gegeben werden, wenn die entsprechenden Service Levels auch die Datenschutzbedürfnisse abdecken.

Community Clouds geben die Möglichkeit, besondere Anforderungen einzelner Branchen etwa im Gesundheitswesen unter spezifischen Service Level Agreements abzudecken. Public Clouds bleiben vorerst „unkritischen“ Daten vorbehalten. Auch wenn die Abgrenzung zwischen beiden im Einzelfall schwierig sein mag, so lässt sich dadurch doch ein Einstieg ins Cloud Computing realisieren. Hybride Lösungen kombinieren die Vorteile des Cloud Computing mit einem intelligenten Datenmanagement, das neben der physischen Lokation der Daten auch die Backup-Prozesse steuert. Ein detailliertes Berechtigungskonzept rundet das hybride Cloud-Computing-Szenario ab.

Die Varianten der Cloud

Public Cloud: unbekannte Verteilung von Daten und Ressourcen; offener Nutzerkreis
Community Cloud: exklusiv für eine Vereinigung gleichgesinnter Organisationen, z.B. Verbände oder Industrievereinigungen; dezidierte Ressourcen, geschlossener Nutzerkreis
Private Cloud: exklusiv für eine Organisation; dezidierte Ressourcen geschlossener Nutzerkreis
Hybrid Cloud: Brücke zwischen Private und Public
Cloud; unterschiedliche Modelle für unterschiedliche Anwendungen