Zu Beginn die Weichen stellen

Der Markt für Cloud-Services befindet sich in einer Evolutionsphase, die dadurch charakterisiert ist, dass Provider kurzfristig den Markt betreten und verlassen. Die Steigerung von Marktanteilen der Provider steht im Vordergrund und das Produktangebot wird schnell umfangreicher. Erst die Standardisierung von Services schafft eine Stabilisierung des Marktes, was jedoch noch einige Jahre dauern wird. Allerdings können Unternehmen, die den Einsatz von Cloud-Services heute planen, durch den richtigen Umgang mit den Providern von der aktuellen Marktdynamik profitieren.

Cloud-Services haben bereits Einzug in die IT-Strategien der Unternehmen gefunden. Häufig werden die Services als „Early Adopter“ in unkritischen Bereichen (temporäre Testumgebungen, Verlagerung von Lastspitzen usw.) eingesetzt. So können Segmente für den späteren Produktiveinsatz identifiziert werden. Dieses Vorgehen ist allerdings opportunistisch. Es führt schleichend zu einer gefährlichen Abhängigkeit von Providern, da technische Lösungen den Einsatz bestimmen und das „Kleingedruckte“ im Providervertrag unwichtig erscheint.

Eine richtig geplante Einführung von Cloud-Services stellt die Beziehung mit einem Provider von Anfang an auf das gleiche Niveau wie die technische Lösung. Vorteilhaft ist es, diese Lieferantenbeziehung nicht über die Einkaufsfunktion des Unternehmens aufzubauen, sondern als Bestandteil des strategischen Supplier-Managements gemäß Itil V3 in der IT zu verankern. Damit werden technische und kommerzielle Belange aus einer Hand geführt und dem Provider eine durchgängige Schnittstelle geboten. Aber welche Faktoren entscheiden über eine erfolgreiche Partnerschaft mit einem Provider?

Cloud-Services stellen eine Auftragsdatenverarbeitung durch einen Dritten dar. Dieser verarbeitet die Daten eines Unternehmens und speichert die Ergebnisse. Bei den Daten kann es sich um Files und E-Mails der eigenen Mitarbeiter handeln, um Geheimnisse wie Produktionszahlen oder auch um Daten von Endkunden des Unternehmens. Für die Auftragsdatenverarbeitung gelten in Deutschland besondere gesetzliche Auflagen aus dem Bundesdatenschutzgesetz (BDSG), die in der Lieferantenbeziehung als Vertragspflichten zu berücksichtigen sind. Lieferanten, die in ihren Angeboten die Einhaltung der BDSG-Auflagen zusichern, sind gegenüber anderen im Vorteil. Ausländische Provider unterliegen häufig Auflagen ihres eigenen Landes, die deutschen Unternehmen nicht bekannt sind und im Widerspruch zu den Anforderungen des BDSG stehen. Beispielhaft ist hier der Patriot Act der USA. Er zwingt Cloud-Provider mit Hauptsitz in den USA in bestimmten Fällen zur Offenlegung aller Kundendaten. Diese Verordnung ist mit dem BDSG nicht vereinbar.

Neben dem BDSG unterliegen deutsche Unternehmen einer Reihe weiterer gesetzlicher Auflagen u.a. aus dem Bereich des Steuer-, Handels- und Aktienrechts, die direkten Einfluss auf die IT haben. Sie regeln die gesetzeskonforme Aufbewahrung von Unternehmensdaten für Prüfer und Auditoren und sollen sicherstellen, dass Firmen aktuelle und vollständige Informationen zur Risikoerkennung und Steuerung verwenden. Kreditgeber bewerten die Bonität eines Unternehmens daran. Lieferanten, die diese spezifischen deutschen (oder teilweise auch europäischen) Anforderungen kennen und berücksichtigen, sind beim Aufbau einer Geschäftsbeziehung im Vorteil. Die Beziehung mit Lieferanten aus außereuropäischen Regionen ist vor allem deshalb schwierig, weil selten Bereitschaft besteht, diese Anforderungen zu erfüllen.

Schutz vor Datenverlust

Eine weitere Anforderung ist der Schutz von Unternehmensdaten gegen Verlust und unberechtigten Zugriff. Cloud-Provider haben gegenüber dem firmeneigenen Rechenzentrum häufig den Vorteil einer professionellen Notfallplanung und Vorsorge. Das heißt, Stromausfall, Brand oder Hardwaredefekte führen eben nicht zum Totalausfall und Datenverlust. In einer Lieferantenbeziehung ist die Dokumentation der vorhandenen Vorsorgemaßnahmen sowie das Konzept zum Schutz gegen unberechtigten Zugriff zu empfehlen. Ein partnerschaftlich agierender Lieferant gibt bereitwillig Einsicht und unterstützt regelmäßige Vorortaudits durch IT-Spezialisten des Unternehmens oder Externe.

Vervollständigt wird die Lieferantenbeziehung durch die Regelungen zum Servicelevel und kommerziellen Konditionen, d.h. Preise, Laufzeiten, Haftung, Schadensersatz und weitere Vertragspflichten wie Softwarelizenzierung. Provider nutzen eine virtuelle Infrastruktur zur Bereitstellung von Cloud-Services. So hat jeder Kunde seinen „eigenen“ Server nur als logische Instanz. Die physikalische IT-Infrastruktur wird geteilt und ihre Verfügbarkeit und Performance ist meist eine technische Konstante, die nicht kundenindividuell (für einen virtuellen Server) angepasst werden kann. Für eine erfolgreiche Lieferantenbeziehung ist deshalb die genaue Ausformulierung des Servicelevels, seiner Messkriterien und der Vertragsstrafen im Falle der Verletzung ein unverzichtbarer Vertragsbaustein.

Für den Kunden positiv sind hohe Verfügbarkeiten (über 99 Prozent), die bei kurzen Messintervallen (z.B. im Monatsmittel) zugesagt werden. Vertragsstrafen dienen als Motivation für einen Provider, wenn sie in spürbarer Höhe zu leisten sind, wie etwa eine Monatsgebühr bei Verletzung der Verfügbarkeit. Die vorgenannten Regelungen stellen das Minimum für einen Servicelevel dar.

Provider ist nicht gleich Provider

Cloud-Services werden als Katalogprodukt (Public Services) oder über einen Einzelvertrag (Virtual ­Private Services) angeboten. Im Falle eines öffentlichen Service sind die im Internet ausgewiesenen Produktbeschreibungen und die Bestellung über das Portal des Providers meist die einzigen Vertragsdokumente. Der Servicelevel ist in den Produktbeschreibungen enthalten, kommerzielle Regelungen wie Haftung und Schadensersatz finden sich in den AGB. Letztere sind häufig zum Vorteil des Providers stark eingeschränkt oder sogar ausgeschlossen. Die Lieferantenbeziehung mit ­einem Public-Service-Provider ist selten ausgewogen, Unternehmen nehmen die Rolle eines Abonnenten von fest definierten Leistungen ein.

Virtual-Private-Service-Provider agieren dagegen kundenorientiert. Eine Gestaltung des Service-Levels und der Haftungs- und Schadensersatzregelungen im Einvernehmen mit den Bedürfnissen eines Kunden ist über Rahmen- oder Einzelvertrag in der Regel möglich. Im wirtschaftlichen Vergleich haben Public Services zwar einen besseren „technischen“ Preis, die Defizite in der Lieferantenbeziehung durch fehlende Com­pliance oder ungenügende Reaktion auf Kundenanforderungen werden dadurch nur in seltenen Fällen kompensiert.

Die Analyse des Kleingedruckten in AGB, Angeboten oder Verträgen von Cloud-Service-Providern offenbart zahlreiche Fallstricke. Vertragsmuster werden typischerweise vom Provider vorgegeben. Eine Vertretung der Kundeninteressen auf Augenhöhe bei Vertragsverhandlungen erfordert neben juristischem Sachverstand auch Erfahrung in den notwendigen inhaltlichen Vereinbarungen. Eine vom Provider bewusst weggelassene Klausel kann für ein Unternehmen dramatische Konsequenzen haben, man denke nur an die gesetzlichen Auflagen. Beratungsunternehmen, die über Erfahrung mit Cloud-Providern und Kompetenz in der IT-Organisation verfügen, können wertvolle Unterstützung leisten.

Bildquelle: iStockphoto.com/zoommer