Michael Rosbach, Scopevisio

IT-DIRECTOR: Auf welche Service Level Agreements sollte ein IT-Verantwortlicher beim Abschluss eines Cloud-Vertrags – etwa hinsichtlich der Dienstgüte, Verfügbarkeit und Datensicherheit – auf jeden Fall bestehen?
M. Rosbach: Grundsätzlich sollte ein IT-Verantwortlicher genau prüfen, welche technischen und organisatorischen Schutzmaßnahmen der Anbieter trifft, um Daten sicher zu verarbeiten. Sofern es sich hier um personenbezogene Daten handelt, muss das Bundesdatenschutzgesetz beachtet und insbesondere die sogenannten „Acht Gebote des Datenschutzes“ – Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle und Trennungskontrolle – komplett umgesetzt werden. Rechtlich gesehen wird der Anbieter als Auftragsdatenverarbeiter für das Unternehmen tätig. Auftragsdatenverarbeitung setzt nun allerdings voraus, dass Daten nur in Rechenzentren innerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Darauf sollte ein IT-Verantwortlicher bestehen.

Was die Verfügbarkeit angeht, muss jedes Unternehmen individuell entscheiden, welche Betriebszeiten erwünscht und welche Wartungszeiten tolerierter sind bzw. welche Verfügbarkeitsquote erreicht werden muss. Auf jeden Falls sollten die Leistungen aber detailliert vertraglich festgehalten werden, um späteren Missverständnissen vorzubeugen. Mit Blick auf die Dienstgüte sollten natürlich Vereinbarungen zum Support und zur Fehlerbehebung getroffen werden – schließlich können Systemausfälle gravierende Folgen haben. Reaktions- sowie Problemlösungszeiten können deshalb durchaus detailliert festgehalten werden. Pauschale Aussagen sind hier aber nur schwer zu formulieren, weil jedes Unternehmen eigene Anforderungen hat. Wichtig ist, die genannten Punkte sorgfältig zu regeln und festzuhalten.

IT-DIRECTOR: Worin liegen die Unterschiede bei der Ausgestaltung von SLAs für Private Clouds und für Public Clouds?
M. Rosbach: Zwischen Private und Public Clouds gibt es keine technischen, sondern vielmehr organisatorische Unterschiede: Private Clouds werden von Unternehmen selbst innerhalb eines eigenen Rechenzentrum betrieben. Der Zugang erfolgt zum Beispiel über ein firmeninternes Intranet oder ein Virtual Private Network. Nutzer und Anbieter befinden sich in diesen Fall also im selben Unternehmen. Da eine Private Cloud auf einen organisatorisch und auch technisch abgeschlossenen Unternehmensbereich beschränkt ist, lassen sich rechtliche Fragen einfacher klären. Bei Public Clouds ist der Betreiber dagegen ein Dritter, der seine IT-Dienste verschiedenen Cloud-Nutzern zur Verfügung stellt. Somit sind die rechtlichen Anforderungen bei der Ausgestaltung von SLAs für Public Clouds ungleich höher. Der Public-Cloud-Anbieter muss Fragen zur Datenspeicherung beantworten und aufzeigen, wie und wo er Daten speichert. In diesem Zusammenhang sollte er darlegen können, wie seine Sicherheitsarchitektur (Stichworte: Rechenzentrum, Netzsicherheit, Verschlüsselung) konzipiert ist. Darüber hinaus muss er Aussagen zum Rechtemanagement machen und – sofern personenbezogene Daten gespeichert werden – den Datenschutz nach deutschem Recht gewährleisten. Auch sollte der Kunde darauf bestehen, seine Daten jederzeit wieder exportieren zu können. Nur so ist er in der Lage, problemlos zu einem andern Anbieter zu wechseln.

IT-DIRECTOR: Wie ist es um den Support für Public-Cloud-Lösungen bestellt? Kratzt dieser nur an der Oberfläche oder kann Nutzern auch individuell geholfen werden?
M. Rosbach: Cloud-Lösungen erfordern in jeder Hinsicht eine sehr konsequente Kundenorientierung, da die langfristige Kundenbindung in diesem Geschäftsmodell enorm wichtig ist. Schließlich handelt sich ja in der Regel um Mietmodelle, aus denen der Kunde gegebenenfalls kurzfristig aussteigen kann – was es natürlich zu vermeiden gilt. In diesem Zusammenhang erhält der Support ein sehr großes Gewicht. Ziel muss es hier sein, mit optimalem Ressourcen-Einsatz die größtmögliche Kundenzufriedenheit zu erzielen. Hilfreich ist es, den Kunden mit Kurzanleitungen, Video-Tutorials und Webbinare zu begleiten, damit er möglichst selbstständig in der Cloud-Anwendung zurechtfindet. Daneben ist der individuelle Support unverzichtbar. Eine professionelle und zeitnahe Beantwortung von Anfragen steigert die Kundenzufriedenheit, die wiederum Voraussetzung für eine langfristige Kundenbindung ist. In vielen Fällen erfordert Cloud-Software geringe individuelle Serviceleistungen, die oftmals von Kunden vor Ort angefragt werden. Cloud-Anbieter sollten sich daher überlegen, ob sie bestehende dezentrale externe Servicestrukturen – z.B. Berater – in das Cloud-Angebot integrieren und somit ein regionales bzw. lokales „Gesicht“ bekommen.

IT-DIRECTOR: Für Anwenderunternehmen sind allgemein verbindliche Cloud-Standards wünschenswert. Welche Bemühungen gibt es an dieser Stelle seitens Verbänden und Herstellern? Und wie weit sind diese Bemühungen bereits gediehen?
M. Rosbach: Tatsächlich wächst der Markt der Cloud-Services rasant, was den Anwenderunternehmen die Auswahl sicherer und rechtlich unbedenklicher Cloud-Lösungen immer schwieriger macht. Sowohl Verbände als auch Hersteller haben diesen Wunsch der Anwender nach allgemeingültigen Standards erkannt und in zum Teil enger Zusammenarbeit Richtlinien erarbeitet. So hat etwa der Verband EuroCloud Deutschland in diesem Jahr auf der Cebit ein SaaS-Gütesiegel, das EuroCloud Star Audit, vorgestellt. Alle mit diesem Gütesiegel zertifizierten Anbieter müssen bestimmte Richtlinien im Hinblick auf SLA, Vertragsgestaltung, Handhabung der Nutzerdaten und Wechselmöglichkeiten erfüllen. Ähnliche Bemühungen gibt es beim Verband Bitkom, der eine eigene Initiative „Cloud Practice“ ins Leben gerufen hat, die ausführliche Informationen zum Thema Vertragsgestaltung, Datenschutz, Informationssicherheit und Compliance bereitstellt. Darüber hinaus haben sich verschiedene Cloud-Anbieter in der Initiative „Cloud Services made in Germany“ zusammengeschlossen. Mitglieder dieser Initiative haben ihren Sitz in Deutschland, schließen mit ihren Kunden Verträge sowie Service Level Agreements nach deutschem Recht und stellen für Kundenanfragen einen lokal ansässigen, deutschsprachigen Service und Support zur Verfügung.