Auf die rechte Weichenstellung kommt es an

Aus Sicht der Marktforscher von Forrester schwingt sich Cloud Computing in den kommenden Jahren zum Top-Thema der IT-Industrie auf. Besonders die Public Cloud. Dienste werden den IT- Markt verändern. Anwender erhalten damit die Möglichkeit, IT-Lösungen über ganz neue Beschaffungswege zu beziehen. Dennoch gehen viele Firmen schrittweise beim Transfer ihrer Anwendungen in die Cloud vor und überstürzen nichts. Was zählt sind schließlich verlässliche Erfahrungswerte.

Die Anwendungen die derzeit am häufigsten in die Cloud wandern sind für die Unternehmen eher unkritisch: E-Mail und Kalender, Collaboration-Lösungen oder Backoffice-Applikationen und Customer Relationship Management (CRM). Unternehmenskritische Anwendungen dagegen betreiben die meisten Firmen nach wie vor bevorzugt auf der eigenen IT-Infrastruktur. Bedenken um die Sicherheit der Daten, schwammige oft ungeklärte Compliance- und Haftungsfragen sowie die Ausfallsicherheit der Infrastruktur des Cloud-Providers liegen dieser Zurückhaltung zugrunde. Dass diese Haltung berechtigt ist, bestätigt auch der jüngste Störfall im Amazon-Rechenzentrum. Und wieder stellt sich die Kardinalfrage: welche Daten können der Cloud anvertraut werden, welche nicht?

Ralf Schneider, CIO der Allianz Versicherung, gibt an, wo der Knackpunkt bei den Cloud-Services für sein Unternehmen liegt:  „Wir wollen unsere zentralen Anwendungen, vor allem aber unsere Daten selbst unter Kontrolle behalten. Als Versicherer stehen wir mit Compliance und Data Protection vor zwei riesigen Herausforderungen. Ich habe überhaupt keine Lust von einem Provider abhängig zu sein wenn es um die Verbindung zu unseren Daten geht.“ Das Versicherungsunternehmen will keinesfalls, dass der Cloud-Anbieter entscheiden kann, ob er seinem Kunden den Zugang zu den Daten erlaubt oder nicht. „Selbst wenn ein Provider durch wasserdichte Verträge gebunden ist, darf der Abschaltknopf nicht auf seiner Seite sein“, ist seine klare Forderung.

„Im Interesse beider Parteien sollten Verträge immer so effektiv wie möglich gestaltet werden, um die Zuverlässigkeit und Qualität der eingekauften Services beurteilen und potenzielle Risiken minimieren zu können“, rät deshalb Heiko Schmidt, Managing Consultant bei PA Consulting. Er betreut umfangreiche Cloud-Projekte und weiß daher, was in der Praxis gefragt ist. So kennt Schmidt auch nur zu gut den Stellenwert offener Compliance-Fragen im Zusammenhang mit Cloud-Projekten. „Deshalb sollten neben den Anwälten von Anfang an Compliance-Vertreter und Sicherheitsspezialisten in die Organisation eines Cloud-Projektes integriert werden“, so sein Vorschlag. „Viele Compliance-Fragestellungen können dadurch bereits von Anfang an im Anforderungsmanagement berücksichtigt werden.“

Aber nicht nur für Konzerne gilt, von Anfang an rechtliche Fragestellungen mit ins Kalkül nehmen zu müssen. Auch für Entscheider aus mittelständischen Unternehmen ist die Aufnahme des Cloud-Betriebes eng an rechtliche Bedenken gekoppelt. Auch sie müssen die Schritte in die Wolke genau abwägen, da auch hier die Geschäftsführer teils persönlich haften. Aber schließen sich das Arbeiten über die Cloud und das gleichzeitige Einhalten  von Compliance-Vorgaben nicht per Definition schon aus?

Dem widerspricht Dr. Jan Geert Meents, Partner der international tätigen Wirtschaftskanzlei DLA Piper: „Hier besteht zwar kein Widerspruch, allerdings gewinnen manche Compliance-Aspekte in der Cloud an Bedeutung.“ Der IT-Rechtsexperte merkt dazu an, dass sich Compliance-Anforderungen zunächst aus dem, auf das jeweilige Unternehmen anwendbaren gesetzlichen Grundlagen sowie Best Practices ergeben. „Sollen Anwendungen und Daten in der Cloud gespeichert werden, muss en detail überprüft werden, ob diese Speicherung nach den zugrunde liegenden Lizenzverträgen respektive den anwendbaren Datenschutzregelungen zulässig ist“. 

Keinen Sinn mache unter datenschutzrechtlichen und Compliance-Gesichtspunkten die Speicherung personenbezogener Daten in der Public Cloud. „Und Cloud Computing, bei dem die Datenspeicherung außerhalb der EU stattfindet, scheidet im Zusammenhang mit sensitive personenbezogene Daten völlig aus“, so sein klares Urteil.  Deshalb hält er es für besonders wichtig, die eigene Cloud-Infrastruktur zu verstehen, daraus den entsprechenden Bedarf abzuleiten und auf der Basis der so gewonnenen Erkenntnisse den passenden Cloud-Provider auszuwählen. Mit dieser Vorgehensweise könne man weitestgehend sicher sein, dass man sich als Unternehmen für ein Cloud-Angebot entscheidet, das den eigenen Compliance-Anforderungen entsprechen kann.

Aber woran kann sich der Anwender orientieren, um sicherzugehen, dass er sich entlang der Compliance-Richtlinien bewegt? Ist die gesamte IT-Infrastruktur im eigenen Haus, stellt sich diese Frage in der Regel nicht. Sollte man vor dem Schritt in die Cloud zunächst den Blick auf das eigene Datenmanagement legen? Wo werden die personenbezogenen Daten bisher gespeichert und wie sieht der Plan für die Zukunft aus? PA-Consultant Schmidt empfiehlt vor dem Schritt in die Cloud eine dedizierte Überprüfung der eigenen IT-Infrastruktur auf deren Cloud-Fähigkeit. Vielfach ist es möglich und auch sinnvoll, erste Anwendungen in der Private Cloud des eigenen Unternehmens zu belassen und zunächst auf die Zusammenarbeit mit einem Provider zu verzichten.

„Die Frage, ob ein Unternehmen generell cloud-fähig ist, lässt sich nicht pauschal beantworten“, so Schmidt. Deshalb sollten bereits im Vorfeld eines Projektes verschiedene Fragen geklärt werden: Will ein Unternehmen in erster Linie die Virtualisierung in Form von Cloud Computing nutzen oder geht es einen Schritt weiter und trägt auf der Anwendungen und Services Standards in die eigene Organisation? Ein weiterer Aspekt ist, ob das Unternehmen auf der organisatorischen Ebene in der Lage ist, wirtschaftliche Vorteile mit den Anforderungen an Compliance und Sicherheit auszubalancieren, so die Einschätzung des Consultants.

Geht es um die Verlagerung bestimmter Anwendungen oder Prozesse in die Cloud, müssen die beteiligten Parteien bereits bei der Vertragsgestaltung einige wichtige Ausfall-Szenarien, die den Betrieb behindern könnten, ins Kalkül ziehen. Das ist keineswegs kleinlich, sondern geschäftlich von enormer Bedeutung. Hier geht es konkret um die Risikoverteilung und die entsprechenden Verantwortlichkeiten, die entstandenen Verluste sowie die Haftung. Dreh- und Angelpunkt für ein rechtlich abgesichertes Cloud-Szenario sind laut Rechtsanwalt Meents ein dedizierter Anforderungskatalog an den Cloud-Provider sowie wasserdichte Service-Verträge. „Compliance-Anforderungen sind generell die gleichen wie beim klassischen Outsourcing.

Das ist eines der Hauptprobleme beim Cloud Computing“, sagt Jan Geert Meents. Nur führt der Einsatz von Cloud-Services gegenüber dem klassischen Outsourcing zum Kontrollverlust. Das Unternehmen ist noch weniger in der Lage, Art, Umfang und Qualität der Leistungen zu kontrollieren. Und die Provider tendieren zudem dazu, die mit den Services verbundenen Risiken vertraglich auf den Kunden zu verlagern.  Das äußert sich auch in einer deutlich reduzierten Bereitschaft der Provider, sich im Bezug auf Cloud Services auf Service Level Agreements (SLAs) einzulassen“, so seine Erfahrung. „Das Gleiche gilt hinsichtlich der Haftung der Service-Provider. Hier gibt es Bestrebungen, die Haftung noch weiter als bisher zu begrenzen.“

Die Bedeutung effektiver Verträge, in denen die Zuverlässigkeit und Qualität eingekaufter Services festgeschrieben wird, unterstreicht auch PA-Consultant Heiko Schmidt: „Um die versprochene Flexibilität gewährleisten zu können, muss im Bereich des Cloud Computing auf Vertragsebene im Gegensatz zum klassischen Outsourcing aber anders gedacht werden. Wir gehen daher in unseren Projekten folgendermaßen vor:  konkrete Leistungsbestandteile werden in Einzelverträgen („work order“) definiert, wobei diese neben dem Service Level Agreement (SLA) auch weitere rechtliche Regelungen beinhalten, wie Gewährleistung und Haftung, Vertragslaufzeit, Kündigungsmöglichkeiten oder Vertraulichkeitsverpflichtungen. So lässt sich auf der Ebene des Einzelvertrages die Compliance-Vorgabe für einen bestimmten Service prüfen (z.B. Datenverteilung) und bei Schlechtleistung oder Nichterfüllung (z.B. Portierung zu einem anderen Anbieter) entsprechende Maßnahmen in die Wege leiten.“

Bildquelle: Penny Mathews/Stock.xchng