Ein gefährlicher Schritt?

Individuelle Cloud-Bezugsmodelle haben unterschiedliche Anforderungen an die IT-Compliance zur Folge. Neben der Branche und Rechtsform spielen sowohl der Ort der Unternehmung bzw. Leistungserbringung und die angebotenen Produkte und Dienstleistungen eine große Rolle. Diese Anforderungen betreffen nicht nur die IT des Anwenders, sondern auch die Dienstleistungen von externen Anbietern. IT-Verantwortliche müssen sich darüber bewusst sein, dass sie zwar einzelne Aufgaben an einen Dienstleister delegieren können, die Verantwortung zur Erfüllung dieser Anforderungen sowie mögliche Konsequenzen bei Nichterfüllung aber beim Auftraggeber und Nutzer der Dienste verbleibt. Daher sollten Unternehmen genau wissen, wo und wie ihre IT insgesamt innerhalb und außerhalb der Cloud von diesen Anforderungen betroffen ist oder nicht.

Darüber hinaus unterliegen Unternehmen innerhalb der EU der neuen Datenschutznovelle. Damit soll sichergestellt werden, dass sich Netzwerke und Serviceprovider an das EU-Recht halten und dieses anwenden. Diese Vorgabe tritt auch dann in Kraft, wenn sich ein Anbieter außerhalb der EU befindet oder Daten in Clouds speichert. Das wirft allerdings Probleme für Anbieter mit Sitz im Ausland auf, speziell in den USA. Denn amerikanische Anbieter von Cloud Computing sind an den Patriot Act gebunden, der alle US-Firmen verpflichtet, auf Anfrage Daten ihrer Kunden an amerikanische Sicherheitsbehörden herauszugeben, auch wenn diese Informationen in Rechenzentren in Europa, Asien oder anderen Kontinenten lagern. Genau das untersagt die neue Datenschutznovelle der EU und ist daher derzeit noch sehr umstritten.

Neben Datenschutzanforderungen spielt gerade für deutsche Anwender das Thema Datensicherheit eine große Rolle bei der Nutzung von professionellen Cloud-Diensten. Welche Folgen ein Datenverlust in der Cloud haben kann, hat der Absturz des Cloud-Service von Amazon im letzten Jahr gezeigt, bei dem eine unbekannte Anzahl an Daten unwiederbringlich verloren gegangen ist. Dieser Vorfall war deswegen besonders bedenklich, weil der Ausfall eigentlich voneinander isolierte „Availability Zones“ betraf. Dennoch kann man mittlerweile davon ausgehen, dass die in der Cloud gespeicherten Daten sicher sind. Grundvoraussetzung dafür ist, dass Anbieter regelmäßig Backups durchführen und die Daten verschlüsselt sind. So ist es sehr unwahrscheinlich, dass Informationen verloren gehen oder von Kriminellen eingesehen werden können. Theoretisch sind die Daten in der Cloud sicherer als auf der eigenen Festplatte, solange sie verschlüsselt übertragen und auf Servern gespeichert wurden.

Kompliziertes Lizenzmanagement

Auch das Lizenzmanagement ist bei Cloud-Anwendungen komplex und kann durchaus kompliziert sein. Haben Unternehmen innerhalb einer Public Cloud noch relativ wenige Berührungspunkte damit, ist die Verwaltung von Lizenzen in einer Private Cloud und in Hybrid-Landschaften oftmals kompliziert. Unternehmen stehen vor der Herausforderung, sowohl ihre IT-Infrastrukturen als auch ihre Lizenzen technisch und strategisch zu planen und umzusetzen. Bei der Planung eines Cloud-Projektes müssen zudem Extremsituationen berücksichtigt werden. Wird beispielsweise ein Loadbalancing eingesetzt, werden beim Ausfall einzelner Maschinen schnell lizenzrechtliche Grenzen überschritten, wenn solche Szenarien nicht schon von Anfang an eingeplant wurden.

Auch beim Einkauf von Kapazitäten von Rechenzentren müssen Lizenzbestimmungen beachtet werden. Diese Kapazitäten können mit und ohne Lizenzen erworben werden. Sind Lizenzen im eingekauften Paket enthalten, sollten neben den Eigentumsverhältnissen auch die Rechte und Pflichten sehr genau überprüft und festgelegt werden.

Da die unterschiedlichen Lösungen der einzelnen Cloud-Anbieter oftmals nicht kom­patibel sind, besteht für die Nutzer von Cloud Computing zudem die Gefahr des Vendor-Lock-in. Hat sich ein IT-Verantwortlicher für einen bestimmten Anbieter entschieden, hat er aufgrund der mangelnden Kompatibilität der Produkte kaum die Möglichkeit, den Anbieter zu wechseln. Dies kann, bei Rückzug des Anbieters, sogar zu einem Kontrollverlust über die Cloud führen. Allerdings treiben die Anbieter derzeit Standardisierungsbemühungen voran, beginnend bei der Verschlüsselung, einem einheitlichen Identitäts- und Zugangsmanagement sowie Störungsverhalten und Managementtools.

Neben der technischen Planung ist bei der Migration in die Cloud auch eine umfassende kaufmännische ­Planung notwendig. Ausgehend vom Amortisationsmodell, das idealerweise im Business Case hinterlegt ist, müssen die Lizenzkosten einberechnet werden. Um die Wirtschaftlichkeit des Wechsels in die Cloud kaufmännisch kalkulieren zu können, sollte das Unternehmen neben dem Nutzungsverhalten der Mitarbeiter auch den tatsächlichen Bedarf genau kennen. Nur so kann definiert werden, welche Lizenzen im Unternehmen verbleiben und welche abgestoßen werden müssen. Aufgrund der hohen Komplexität bei der Migration in die Wolke, die umfassendes Know-how erfordert, was meistens nicht in der Kernkompetenz der Unternehmen liegt, sollte man sich einen Partner an die Seite nehmen, der von Basis-Setups bis hin zur Anpassung und Verwaltung des Cloud-Angebotes alle Leistungen in seinem Portfolio hat. IT-Beratungshäuser wie Insight unterstützen Unternehmen bei der Auswahl, Beschaffung und dem Management ihrer Hard- und Software-Anwendungen.

Anforderungen an An­bieter von Public-Cloud-Services

•   Sicherheitszertifikate
•   Compliance-Zertifikate
•   Branchenspezifika
•   Anbieter mit Sitz in Deutschland oder der EU
•   Erfüllung der EU-Datenschutzrichtlinien
•   Risikobewertung
•   Renommierte Auditoren
•   Passende Kundenstruktur des Providers

Quelle: Insight

Bildquelle: iStockphoto.com/vernonwiley