Cloud-Zertifizierungen beachten

ITM: Herr Reese, wie können Mittelständler die einmal in die Cloud gegebenen Systeme wieder in einen herkömmlichen Eigenbetrieb zurückholen? Oder ist die Entscheidung zugunsten einer Cloud per se eine Einbahnstraße?
Hendrik A. Reese: Eine solche Entscheidung muss keine Einbahnstraße sein, wenn man bei der Auswahl der Cloud-Services ein paar Dinge beachtet. So sollte beispielsweise die Datenportabilität gewährleistet sein, um Daten zurück ins Unternehmen holen zu können. Eine wichtige Rolle spielen dabei auch die Schnittstellen. Für den Fall der Kündigung des Vertragsverhältnisses muss sich der Provider dazu verpflichtet haben, die Daten rückstandslos zu löschen. Beides muss auch im Falle einer Insolvenz des Providers gewährleistet sein. Dies sind auch Aspekte, die wir im Rahmen unserer Zertifizierung „Certified Cloud Service“ prüfen: Ist ein Provider in der Lage, in jedem Fall Portabilität und Löschung von Daten sicherzustellen?

ITM: Geht mit der Nutzung externer Cloud-Services nicht das IT-Know-how eines Unternehmens verloren?
Reese: Das ist ein weitverbreiteter Irrtum. Für die Abbildung von Geschäftsprozessen in Cloud-Services ist schließlich ebenfalls ein gewisses Applikations- und Systemwissen erforderlich. Generell muss auch der Einsatz in der Wolke gesteuert werden. Will man die Cloud-Nutzung aus bestimmten Gründen wieder rückgängig machen, sollte weiterhin Unternehmenswissen abrufbar sein. Bei dem Einsatz von Cloud Services wandelt sich das IT-Know-how erfahrungsgemäß in eine stärker managementorientierte Aufgabe, die jedoch technisches Fachwissen nicht ausschließen sollte.

ITM: Wie aufwendig ist die Migration von einem zum anderen Cloud-Service-Partner?
Reese: Die reibungslose Migration ist zunächst eine Frage der vorausschauenden Steuerung. In fast allen Fällen gilt es, die kompletten Altdatenbestände zu migrieren. Dies kann man jedoch nicht von einem Tag auf den anderen umsetzen und  es hängt auch stark von der Kompatibilität der Dienste zueinander ab.

Bislang ist der Wechsel von einem zu einem anderen Cloud-Service-Provider ähnlich aufwendig wie klassische IT-Projekte, beginnend mit der Auswahl des neuen Providers und der benötigten Funktionalitäten bis hin zur strukturierten Migration sowie – falls erforderlich – der Anwenderschulung. Mit zunehmender Standardisierung über einzelne Provider hinweg, wie sie z.B. für den Infrastructure-a-as-Service-Bereich (IaaS) durch den Marketplace der Deutschen Börse Cloud Exchange entstehen, gestalten sich diese Dinge einfacher.

ITM: Wie kann man sichergehen, dass ein Cloud-Service-Provider nach Vertragsschluss auch wirklich alle Daten des Anwenderunternehmens löscht?
Reese: Im Vertrag sollten alle Verfahren zur Datenlöschung beschrieben sein, was auch die Löschung der Backup-Daten einschließen sollte. Bei kritischen Unternehmensdaten sollte es sich in jedem Fall um ein zertifiziertes Verfahren handeln, ein einfaches Überschreiben stellt keine Option dar.

Von daher gilt: „Bereits zu Anfang ans Ende denken.“ Dies bedeutet, man sollte schon vor dem Vertragsabschluss überprüfen, ob der Provider zertifiziert ist und ob im Prüf­umfang auch Themen wie Datenschutz und ein rechtskonformer Löschvorgang enthalten sind. Denn Zertifikat ist nicht gleich Zertifikat. Man sollte genau hinsehen, welche Punkte jeweils geprüft wurden, welche Leistungen und Services der Provider demnach erbringt und wie nachvollziehbar die Prüfaussage ist.

Was TÜV Rheinland bei Cloud-Service-Providern prüft, kann man beim Onlineservice „Certipedia“ nachlesen ­(www.certipedia.com). Hier reicht die wahlweise Eingabe von Zertifikatsnummer, Unternehmensname oder eines Suchbegriffs wie „Cloud“ oder „Datenschutz“ aus.

ITM: In der Pharma- oder Lebensmittelindustrie müssen Anwender ein Auditing ihrer eingesetzten IT-Lösungen vornehmen lassen – wie wird bei diesen Audits der Umgang mit Cloud-Lösungen gehandhabt?
Reese: In der Praxis können Unternehmen das Audit eines genutzten Cloud-Services nur sehr aufwendig selbst durchführen. In diesem Zusammenhang fällt häufig das Schlagwort „Prüftourismus”, da ja nicht nur ein Unternehmen die entsprechende Kontrolle vornehmen müsste, sondern im Grunde jeder Kunde des Providers.

Wirtschaftlich sinnvoller für alle Beteiligten und in der Praxis überhaupt umsetzbar ist es deshalb, die Prüfung in unabhängige Hände zu geben. Durch die Zertifizierung eines neutralen Dritten erhält der Cloud-Service eine Prüfaussage, die für alle Kunden des Providers Relevanz besitzt.

ITM: Wie sieht die Praxis aus: Welche Probleme können bei der Auditierung von Cloud-Lösungen auftreten?
Reese: Neben der Tatsache, dass die Provider eine Prüfung durch die Vielzahl ihrer Kunden kaum zulassen, ist für eine Auditierung von Cloud-Services umfassendes Spezialisten-Know-how notwendig. Im Fokus stehen nicht nur die Technik, sondern auch Prozesse, Organisation und Compliance. Insgesamt erfordert ein solches Audit vielfältige Kompetenzen, die Anwenderunternehmen selbst nur aufwendig vorhalten können.