Bis dass der Tod euch scheidet?

Flexibilität, Variabilisierung von Fixkosten, Skalierbarkeit – dies sind einige der Argumente, die für eine Verlagerung der Unternehmens-IT in die Cloud sprechen. Dem gegenüber stehen die klassischen Outsourcing-Risiken in potenzierter Form: die Gefahr des Kontrollverlustes, die erschwerte Dienstleisterüberwachung und der letztlich unbekannte Speicherort der Daten. Wenn es im Betrieb zu Konflikten mit Dienstleistern kommt, kann eine mangelhafte Planung einen Anbieterwechsel fast unmöglich machen – so die Befürchtung vieler CIOs. Wer jedoch die Risiken kennt und von Anfang an systematisch plant, kann Cloud-Sourcing-Hindernisse abbauen und zugleich die Option auf einen späteren Wechsel des Anbieters offen halten.

Der Einsatz von Cloud-Technologie ist so vielfältig, wie die unterschiedlichen Architekturen selbst: Software, Plattformen oder ganze Infrastrukturen lassen sich abbilden. Gemeinsam ist ihnen, dass sie primär als Services von Dritten gesehen werden. Dabei darf nicht in den Hintergrund geraten, dass Gegenstand der Dienstleistungen Daten sind, die sich nicht in einer undefinierten Wolke, sondern an einem realen Ort befinden. An diesen Ort sind in der Regel vielfältige Anforderungen geknüpft, die es zu beachten gilt: Personenbezogene Daten etwa dürfen außerhalb des europäischen Wirtschaftsraums und in wenigen anderen Ländern nur unter besonderen Bedingungen verarbeitet werden. Viele Unternehmen haben zudem interne Restriktionen festgelegt, beispielsweise die Übermittlung von Finanzdaten betreffend. Dass der Ort der Cloud-Hardware sogar während der Leistungserbringung verändert werden kann und dem Auftraggeber nicht immer vollständig transparent ist, erschwert den Sachverhalt zusätzlich. Daher ist es unablässig, dass am Anfang jedes Projektes eine Analyse betroffener Datenbestände steht.

Altbekannte Risiken

Grundsätzlich werden die Daten in der Cloud von denselben Risiken bedroht, die sich auch im traditionellen Outsourcing finden: unbefugter Zugang mit geratenen oder gestohlenen Logins, Veränderung von Daten, Abstreitbarkeit von Handlungen, Vertraulichkeitsverlust, Verfügbarkeitsvorfälle und Eskalation von Rechten. Diese Bedrohungen lassen sich bei Software-as-a-Service-Lösungen (SaaS) nur erschwert steuern. Die größten Bedrohungen lauern aber im Verhältnis zum Dienstleister: Auch wenn nach Analyse der Datenbestände ein Szenario sicher erscheint, muss das Sicherheitsniveau für die Dauer des Vertragsverhältnisses aufrechterhalten werden. Zentraler Baustein ist die Dienstleisterüberwachung sowie die teilweise gesetzlich geforderte Auditierung von Dienstleistern vor Ort. Schließlich müssen solche Risiken im Vorfeld abgefangen werden, die zum Beispiel durch Vertragsstreitigkeiten entstehen können – hier besteht gerade bei SaaS die Gefahr formatbedingter Herstellerabhängigkeit, dem sogenannten Vendor-Lock-in.

Die technische Architektur ist eine der größten Herausforderungen bei der Wahl eines Cloud-Providers. Bei Legacy-Applikationen schränken oft die Anforderungen die Auswahl der Plattformen ein. Diese sollte man aber nicht als hauptsächlichen Treiber des Sourcing-Prozesses verstehen. Oft können minimale Anpassungen die Applikationen „cloud ready“ machen. Generell gilt: je proprietärer die Applikation, desto eingeschränkter die Partnerwahl. Erfahrungen haben gezeigt, dass es möglich ist, Java-EE-Applikationen mit sehr kleinen Anpassungen auf eine PaaS-Lösung wie VMware Cloud Foundry oder Spring vFabric zu migrieren. Gleiches gilt für die .Net-Welt mit Microsoft Azure. Durch die Migration auf eine PaaS-Lösung kann man direkt von den Einsparungen im Infrastrukturmanagement profitieren. Bei einer Migration sollte man jedoch darauf achten, dass alle plattformspezifischen Features von der Applikation abstrahiert werden, um so die Gefahr des Vendor-Lock-in zu adressieren. Die gleichen Prinzipien gelten bei Applikationsservern. Wichtig ist, dass man Klarheit über die Architektur der Applikation schafft, bevor man mit der Evaluation eines Cloud-Partners beginnt.

Service Level vielfältig gestalten

An erster Stelle in jedem Cloud-Projekt sollte daher eine Analyse der bestehenden Architektur sowie der betroffenen Datenbestände stehen. Die Analyse sollte zugleich den Charakter einer Bestandsaufnahme, wie auch einer Risikobetrachtung haben. Wichtig ist die Einbeziehung von Compliance-Anforderungen. In diesem Zusammenhang dürfen auch bestehende Unternehmensregeln durchaus in Frage gestellt werden, wenn sie nicht mehr begründet sein sollten. Selbstverständlich bleiben Kostenerwägungen der zentrale Motor eines solchen Projektes, aber auch der Cloud-Betrieb muss mit den spezifischen Risiken im Rahmen des bestehenden Internen Kontrollsystems oder Risikomanagements abgebildet werden.
Das IT-Beratungshaus Logica hat die wichtigsten Punkte ausgearbeitet, die bei der Planung des Projektes zu berücksichtigen sind, die zum Teil auch im Vertragswerk fixiert werden und für die Dauer der Leistungserbringung präsent sein müssen:

• Welche Service-Lösung ist geeignet und zulässig?
• Welche Formate sind vereinbart?
• Welche Kennzahlen werden erhoben und ausgewertet?
• Wie wird die Leistungserbringung überwacht und auditiert?
• Welche Maßnahmen sind zur Authentifizierung von Usern, Administratoren und Schnittstellen erforderlich?
• Sind die Übertragungswege und die Speicher hinreichend gesichert und verschlüsselt?
• Wie muss ein sinnvolles Backup-Konzept aussehen auch im Hinblick auf ein Vertragsende?
• Welche Recovery-Szenarien gibt es?
• Werden die Daten in separaten Speicherbereichen gelagert und wie werden die Speicher gelöscht bei Verschiebungen innerhalb der Cloud?
• Wo werden die Daten geografisch gespeichert und lässt sich Rechenschaft über den aktuellen Standort ablegen?
• Sind zukünftige Anpassungen bei beispielsweise gesetzlichen Änderungen möglich?
• Wie wird bei Incidents verfahren, wer wird vom Dienstleister informiert und wen muss man gegebenenfalls selbst informieren?

Die Vielfalt der am Markt verfügbaren Cloud-Lösungen erlaubt eine gezielte Anpassung der Services an die jeweiligen Bedürfnisse. Die Kenntnis der eigenen Datenbestände, Architektur sowie der Risiken ist unerlässlich, will man die Kostenvorteile nicht fahrlässig durch einen zu geringen Sicherheitsstandard erkaufen bzw. durch zu teure Maßnahmen aufbrauchen. IT-Unternehmensberatungen wie Logica unterstützen Unternehmen bei der Analyse der eigenen Landschaft und Evaluation der am Markt angebotenen Produkte – vom SaaS-Massenprodukt zur hochsicheren Private Cloud. Für fast jedes Projekt gibt es die richtige Cloud-Lösung, sie ist nur nicht bei jedem Projekt die gleiche.


Cloud-Technologie

SaaS: Software as a Service – geeignet bei geringen Anforderungen an die Kontrolle über Datenbestände
PaaS: Platform as a Service – gute Kompromisslösung bei standardisierten Applikationen und gleichzeitiger Kontrolle über Datenflüsse und Formate
IaaS: Infrastructure as a Service – Lösung für komplexe und Legacy Applikationen
Public Cloud: öffentliche Cloud-Infrastruktur – geeignet für Lösungen mit geringerem Sicherheitsbedarf
Private Cloud: separierte Cloud-Infrastruktur – geeignet für Lösungen mit höherem Sicherheitsbedarf
Hybrid Cloud: Lösungen mit Schnittstellen zu öffentlichen und internen Bereichen

Bildquelle: Johanna Ljungblom/sxc.hu