Auswahlkriterien für Cloud-Anbieter

ITM: Frau Vigoureux, anhand welcher Zertifizierungen oder Gütesiegel können mittelständische Verantwortliche die Qualität und Sicherheit von Cloud-Services bewerten?
Anja Vigoureux: Die Mindestanforderung, die ein Cloud-Anbieter erfüllen sollte, ist eine Zertifizierung nach der ISO 27001. Die Kriterien dieser Norm beaufsichtigt das Bundesamt für Sicherheit in der Informationstechnik (BSI). Ebenfalls ein Muss sind heute exakt definierte ITIL-konforme Service- und Supportprozesse.

ITM: Wie sollten Mittelständler am besten vorgehen, wenn sie bestehende Systeme in die Wolke eines Cloud-Service-Providers hieven möchten?
Vigoureux: Im ersten Schritt sollten sie genau festlegen, welche Prozesse sie über die Cloud beziehen möchten und welche gegebenenfalls weiter im eigenen Hause betrieben werden sollen. Danach gilt es, den passenden Anbieter zu finden. Dabei sollten Unternehmen auf jeden Fall hinterfragen, wo genau der Provider die ihm anvertrauten Daten speichert. Während das Auslagern in ein europäisches Rechenzentrum datenschutzrechtlich weitgehend unbedenklich ist, würde ich einen Datentransfer in die USA aktuell nicht empfehlen. Grundvoraussetzung für Cloud Computing sollte außerdem ein Vertrag sein, der nach hiesigem Recht geschlossen wird. Der Vertrag sollte zudem festlegen, welche Leistungen der Cloud-Anbieter in welcher Qualität erbringt, und die Service Level Agreements (SLAs) definieren.

ITM: Worauf sollte bei einer solchen Migration in die Cloud vor allem geachtet werden? Welche Hürden müssen gemeistert werden?
Vigoureux: Die größte Hürde ist die bestehende IT-Infrastruktur. Sie ist in den meisten mittelständischen Unternehmen über Jahre gewachsen und entsprechend heterogen. Für eine Migration in die Cloud, die ja auf Standardisierung basiert, müssen die Firmen ihre IT-Systeme daher zunächst vereinheitlichen. Dieser Schritt ist zwar arbeitsintensiv, und wird daher derzeit noch von vielen Mittelständlern gescheut. Aber die Chancen einer standardisierten IT-Landschaft in Bezug auf Themen wie Interoperabilität der Systeme oder den sich hieraus ergebenden Skalenvorteilen sind groß.

ITM: Wie können Unternehmen die einmal in die Cloud gegebenen Systeme bzw. Applikationen wieder in einen herkömmlichen Eigenbetrieb zurückholen? Oder ist die Entscheidung zugunsten einer Cloud per se eine Einbahnstraße?
Vigoureux: Grundsätzlich ist Cloud Computing keine Einbahnstraße. Wer jedoch einmal den Schritt in die IT-Wolke gemacht hat, verfügt in der Regel nicht mehr über die klassische Client-Server-Struktur und beschäftigt auch keine Fachleute mehr, die den Betrieb sicherstellen. Für Unternehmen, die die Vorzüge von Cloud Computing zwar nutzen möchten, aber eine Auslagerung der Systeme scheuen, bietet sich daher der Aufbau einer Cloud-Umgebung im eigenen Haus an.

ITM: Wie aufwendig ist die Migration von einem zum anderen Cloud-Service-Partner? Wie kann dies ohne Ausfallszeiten für den Kunden realisiert werden bzw. welche weiteren Hürden sind denkbar?
Vigoureux: Da Cloud-Anbieter heutzutage fast alle mit den gleichen technischen Standards arbeiten, ist ein Wechsel eher unproblematisch – vorausgesetzt, die Migration ist sauber durchgeplant. Allerdings: Ein Providerwechsel ist nicht wie „Schuhe kaufen“. Wer zu einem anderen Anbieter migriert, muss viele eingespielte Prozesse wieder neu aufbauen. Hinzu kommt, dass eine Migration heute in der Regel im Live-Betrieb und ohne Ausfallzeiten über die Bühne gehen sollte. Dafür müssen einige Strukturen doppelt aufgebaut werden, was mitunter kostspielig ist. Unternehmen sollten sich einen Wechsel daher immer gut überlegen.

ITM: Wie kann man vollkommen sichergehen, dass ein Cloud-Service-Provider nach Vertragsschluss auch wirklich alle Daten des Anwenderunternehmens löscht? Und dies auch noch sicher sowie datenschutz-/rechtskonform?
Vigoureux: Zunächst sollte man darauf achten, dass der Cloud-Anbieter über die gängigen Zertifikate verfügt. Ansonsten gilt: Nachfragen! Ich rate Unternehmen, den Provider bei Unklarheiten immer direkt anzusprechen. Was passiert beispielsweise im Fall einer defekten Festplatte? Wird der Speicher dann einfach mit allen Daten zum Hersteller zurückgeschickt? Oder vernichtet der Provider die Informationen vorher ordnungsgemäß? Gerade wenn es um Datenschutzaspekte geht, sollten Unternehmen derartige Punkte vertraglich festschreiben.

ITM: In bestimmten Branchen müssen Anwenderunternehmen ein Auditing ihrer eingesetzten IT-Lösungen vornehmen lassen (z.B. in der Pharma- oder Lebensmittelindustrie) – wie wird bei diesen Audits der Umgang mit Cloud-Lösungen derzeit gehandhabt?
Vigoureux: Wenn ein Audit stattfindet, ist die Cloud eine von vielen Einzelprüfungen. Unternehmen, die regelmäßig Audits durchführen müssen, sollten bei ihrem Provider vorab sicherstellen, dass sie im Fall einer Prüfung die notwenige Einsicht in die Cloud-Prozesse sowie in das Rechenzentrum bekommen. Viele Auditoren haben Fragenkataloge, in denen die zu prüfenden Aspekte genau aufgeführt sind. Ich empfehle, diese mit dem Cloud-Anbieter vorab durchzugehen, damit dieser bei einer Prüfung alle Fragen abschließend klären kann.

ITM: Wie sieht es in der Praxis aus: Welche Probleme können bei der Auditierung von Cloud-Lösungen auftreten?
Vigoureux: Oft muss der Cloud-Anbieter im Rahmen eines Audits bestimmte Dokumente vorlegen. Wurde das mit dem Provider vorher nicht geklärt, müssen diese Papiere nachträglich erstellt werden, was die Prüfung unnötig in die Länge zieht. Das kostet nicht nur Geld, sondern kann im schlimmsten Fall sogar zum Scheitern des Audits führen. Neben den zu klärenden Fragen im Rahmen eines Audits sollten Anwender daher auch die eventuell benötigten Dokumente gemeinsam mit dem Cloud-Anbieter erarbeiten.