Wolfgang Schmidt, SaaS-EcoSystem

IT-DIRECTOR: Auf welche Service Level Agreements sollte ein IT-Verantwortlicher beim Abschluss eines Cloud-Vertrags – etwa hinsichtlich der Dienstgüte, Verfügbarkeit und Datensicherheit – auf jeden Fall bestehen?
W. Schmidt: Dies hängt von der Art von Cloud-Vertrags ab. Geht es um eine Verlagerung interner Workloads in die Cloud, muss der Kunde hinsichtlich Verfügbarkeit und Datensicherheit die gleichen SLA garantiert bekommen wie bisher bei der Bereitstellung durch den internen Provider. Soll ein neuer Service zusätzlich zu den internen Services genutzt werden, kommt es ganz auf die Anforderungen der Fachbereiche im Unternehmen an. Benötigt zum Beispiel die Vertriebsabteilung bei Nutzung eines CRM-Services bestimmte garantierte Verfügbarkeiten, müssen diese mit dem Cloud-Anbieter verhandelt werden. In den Service Levels gilt es dann zu definieren, ob Verfügbarkeiten zum Beispiel auch außerhalb der üblichen Bürozeiten gegeben sein müssen. SLA zu Datensicherheit und Datensicherungsmaßnahmen hängen wiederum ganz von der Art der zu bearbeitenden Daten ab.

IT-DIRECTOR: Worin liegen die Unterschiede bei der Ausgestaltung von SLAs für Private Clouds und für Public Clouds?
W. Schmidt: Bei Public Clouds hängt die Ausgestaltung der SLAs stark davon ob, ob es um die Verlagerung bestehender oder die Nutzung neuer, zusätzlicher Services gilt. Was die Security angeht, müssen in Public Clouds natürlich grundsätzlich höhere Maßstäbe angesetzt werden, als wenn ein Unternehmen Dienste in eine Privat Cloud auslagert. Der letztere Fall versetzt ein Unternehmen in die Lage, seine bisherigen internen Service Level noch zu optimieren und auf die neuen technischen Möglichkeiten abzustimmen. Zum Beispiel ist die in der Privat Cloud mögliche Automatisierung von Provisioning-Vorgängen in den internen SLAs abzubilden und so dafür zu sorgen, dass die IT die Geschäftsanforderungen noch besser erfüllt als zuvor.

IT-DIRECTOR: Für Anwenderunternehmen sind allgemein verbindliche Cloud-Standards wünschenswert. Welche Bemühungen gibt es an dieser Stelle seitens Verbänden und Herstellern? Und wie weit sind diese Bemühungen bereits gediehen?
W. Schmidt: Verbindliche Cloud-Standards sind derzeit erst in der Entwicklung, unter anderem von der Cloud Security Agency im Bereich Security und Interoperabilität. Diese Standardisierung geht aber vom US-amerikanischen Markt aus und ist kaum lokalisiert auf hiesige Verhältnisse. Der Zweck von Cloud-Standards ist es ja, eine bessere Vergleichbarkeit und eine höhere Zuverlässigkeit in der dauerhaften Nutzung von Services in diesem Bereich zu erreichen. Das SaaS-EcoSystem als deutsche Cloud-Initiative beschäftigt sich daher intensiv mit der Schaffung von Standards, um Kundenunternehmen den Zugang zu SaaS-/Cloud-Services zu vereinfachen und eine Vergleichbarkeit von Anbietern zu ermöglichen. Das Instrument hierfür ist „Trust in Cloud“, ein neues Qualitätszertifikat für SaaS- und Cloud-Lösungen, an dem sich Hersteller entsprechender Lösungen freiwillig beteiligen können. Innerhalb eines Fragebogens können diese dort unter anderem auch angeben, welche Standards sie gegebenenfalls bereits unterstützen. So wollen wir die bislang noch im Aufbau befindliche Standardisierung im Cloud-Sektor ausgleichen und Anwendern eine Brücke bauen.  

IT-DIRECTOR: Externe Cloud-Anwendungen müssen auch mit internen, nicht-cloud-fähigen Applikationen interoperabel sein. Inwieweit verlieren Cloud-Lösungen ihren Reiz, wenn hierfür erst teure Schnittstellen aufwendig programmiert werden müssen?
W. Schmidt: Cloud-Lösungen würden definitiv ihren Reiz verlieren, müsste man für diese Interoperabilität erst aufwendig Schnittstellen programmieren. Genau dies ist jedoch nicht notwendig, denn es existieren am Markt bereits Cloud-Integrationslösungen mit fertigen Konnektoren zu Cloud-Services einerseits und internen Anwendungen andererseits. Sie ermöglichen eine lose Kopplung zwischen Cloud und Nicht-Cloud-Applikationen. So ist es nurmehr eine Frage von template-basierter Konfiguration und visuellem Integrationsdesign, nicht mehr der Programmierung. Eine Kommunikation eines internen mit einem externen Service ist heute binnen weniger Tage kostengünstig realisierbar. Eben darum haben Cloud-Lösungen einen erhöhten Reiz, weil sie viel schneller in die internen Prozesse integriert werden können als neue On-Premise-Lösungen, für die dann oft aufwendige Schnittstellen-Programmierungen notwendig sind.   

IT-DIRECTOR: Apropos Interoperabilität: Wie aufwendig ist nach einer Vertragskündigung die Migration von einem Public-Cloud-Anbieter zu einem anderen?
W. Schmidt: Ich würde an diesem Punkt eher von Migrationsfähigkeit sprechen. Diese ist umso einfacher, je deutlicher man mit seinem Cloud-Anbieter im Vorhinein solche Migrationsszenarien definiert. Die lose Kopplung von Cloud-Services in die interne IT und Prozesslandschaft mittels Cloud-Integrationslösungen erleichtert überdies den Anbieter-Wechsel. Im „Trust in Cloud“-Zertifikat des SaaS-EcoSystem kann der Cloud-Anbieter aus diesem Grunde detailliert Auskunft zu solchen Punkten geben. Zum Beispiel, ob der Kunde ein Format definieren kann, in dem er seine Daten vom Cloud-Anbieter bei Kündigung auch garantiert wieder ausgeliefert bekommt.

IT-DIRECTOR: Ist eine solche Migration überhaupt möglich, oder scheitert es an fehlender Interoperabilität?
W. Schmidt: Interoperabilität würde bedeuten, einen Service aus Kosten-, SLA- oder anderen Gründen von einem Cloud-Betreiber on-the-fly zum nächsten zu transferieren und wieder zurück. Dies ist gegenwärtig noch nicht möglich. Es gibt aber Initiativen wie das vom BMWi geförderte Projekt „CloudCycle“, an dem unter anderem auch die X-Integrate als assoziierter Partner mitwirkt. Dort werden gegenwärtig Standards für genau solche Formen der Interoperabilität erarbeitet. Generell gilt: Der schnelle Wechsel von einem zum nächsten Anbieter ist umso einfacher, je genauer der Kunde definieren kann, in welcher Form er beim Wechsel seine Daten zurückerhält.

IT-DIRECTOR: Das Internet vergisst nichts – wie können IT-Verantwortliche dennoch sichergehen, dass ihre beim alten Cloud-Anbieter verbliebenen Unternehmensdaten sicher und gesetzeskonform gelöscht werden?
W. Schmidt: Auch beim bisherigen Outsourcing und Hosting treffen Unternehmen mit ihren Providern ja vertragliche Regeln, dass die Daten anschließend physikalisch gelöscht werden. Nicht anders ist es mit dem Cloud-Betreiber. Auch um solche Fragen geht es im BMWi-geförderten Cloud-Cycle-Projekt. Ziel ist es, den gesamten Lifecycle eines Cloud-Services zu managen und dies beinhaltet selbstverständlich den Wechsel eines Providers, alle damit verbundenen rechtlichen und Sicherheitsanforderungen sowie letztlich auch die physikalische Löschung.