Fest geregelter Datenzugriff in der Cloud

ITM: Herr Rindle, anhand welcher Zertifizierungen oder Gütesiegel können mittelständische Verantwortliche die Qualität und Sicherheit von Cloud-Services bewerten?
Kurt Rindle: Es gibt viele Anstrengungen, Zertifizierungen am Markt zu etablieren. Beispiele dafür sind der ISO 27001 oder die geplanten ISO-28017- und ISO-27018-Zertifizierungen. Wichtig für Kunden ist zu überprüfen, ob ihr Cloud-Anbieter nur Teile seines Cloud-Angebots zertifiziert hat oder ob er sich auch den vorgeschriebenen Überprüfungen und Re-Zertifizierungen unterzieht.

ITM: Wie sollten Mittelständler am besten vorgehen, wenn sie bestehende Systeme in die Wolke eines Cloud-Service-Providers hieven möchten?
Rindle: Die Wahl des richtigen Providers – und damit das Angebots seiner Leistungen und Erfahrungen – ist entscheidend. Unternehmen sollten vorab sorgfältig prüfen, ob der Anbieter entscheidende Bedingungen erfüllt: Bietet er zunächst eine umfängliche Beratung an und kann er eine herstellerunabhängige Gesamtstrategie entwickeln? Dazu gehört zum einen die Migration bestehender Systeme, wobei Erfahrungen mit ähnlichen Projekten sehr hilfreich sind. Ebenso wichtig ist auch die Fähigkeit, hybride Systeme zu unterstützen und beispielsweise nicht-virtualisierte Altsysteme in das Gesamtkonzept einbinden zu können. Weitere Kriterien sind eine Gesamtkostenbetrachtung sowie ein Konzept zur Regelung der Datenzugriffe.

ITM: Worauf sollte bei einer solchen Migration in die Cloud vor allem geachtet werden? Welche Hürden müssen gemeistert werden?
Rindle: Die Cloud ist kein Selbstzweck. Unternehmen sollten mit einem Berater überprüfen, welche Teile ihrer Infrastruktur von einer Cloud-Architektur profitieren können. Der große Vorteil von Cloud-Technologien liegt weniger in der Migration bestehender Lösungen, sondern vielmehr darin, neue Ideen schnell zu testen und dann zu entscheiden, ob sie die Geschäftsstrategie fördern, beispielsweise bei neuen Service-Angeboten. Wenn Cloud die Geschäftsziele unterstützt und die zu erwartenden anfallenden Arbeitslasten klar sind, wird die passende Cloud-Infrastruktur gewählt. Die Private Cloud entfaltet ihre Vorteile vor allem in der Automation von Anwendungen und Prozessen, die Public Cloud punktet besonders im Bereich Flexibilität und Schnelligkeit.

ITM: Wie können Unternehmen die einmal in die Cloud gegebenen Systeme beziehungsweise Applikationen wieder in einen herkömmlichen Eigenbetrieb zurückholen? Oder ist die Entscheidung zugunsten einer Cloud per se eine Einbahnstraße?
Rindle: Hier müssen wir zwischen Infrastructure as a Service (IaaS), Platform as a Service (PaaS) und Software as a Service (SaaS) unterscheiden. Je weiter Unternehmen sich zu einem SaaS-Modell hinbewegen, desto mehr nutzen sie die „Eigenheiten“ – und Vorteile – eines Anbieters. Bei letzterem bleibt ihnen häufig nicht mehr, als über einen „Datentransportmechanismus“ nachzudenken und diesen schon vor Vertragsabschluss zu definieren.

Bei IaaS und PaaS empfehlen wir schon beim Entwurf der Architektur auf ein Pattern-Konzept wie beispielsweise den Tosca-Standard zu setzen und den Betrieb für alle Cloud-Arten – Public wie Private – zu planen. Ist die Architektur einmal nach diesen Designrichtlinien entwickelt, macht es keinen Unterscheid mehr, ob die Anwendung in der Cloud läuft oder im traditionellen Betrieb. Eine ideale Lösung kann dann ihre Infrastruktur auf einer Private Cloud oder auf einer Public Cloud auf Knopfdruck ausrollen.

ITM: Wie aufwendig ist die Migration von einem zum anderen Cloud-Service-Partner? Wie kann dies ohne Ausfallszeiten für den Kunden realisiert werden beziehungsweise welche weiteren Hürden sind denkbar?
Rindle: Folgen Architekturen und Anwendungen dem Pattern-Designkonzept und sind weitgehend herstellerunabhängig entworfen, spielt die Plattform keine Rolle und ein Wechsel stellt kein Hindernis dar. Alles andere sollte man sich zweimal überlegen – ein Wechsel ist wie ein Umzug und damit keine kurzfristige, sondern mittel- bis langfristige Entscheidung, die Auswirkungen auf das gesamte Unternehmen hat.

ITM: Wie kann man vollkommen sicher gehen, dass ein Cloud-Service-Provider nach Vertragsschluss auch wirklich alle Daten des Anwenderunternehmens löscht? Und dies auch noch sicher sowie datenschutz- und rechtskonform?
Rindle: Unternehmen sollten im Vertrag festlegen, was mit den Daten nach Ablauf des Vertrags geschieht und dabei auch auf Rechtskonformität achten.

ITM: In bestimmten Branchen müssen Anwenderunternehmen ein Auditing ihrer eingesetzten IT-Lösungen vornehmen lassen (zum Beispiel in der Pharma- oder Lebensmittelindustrie) – wie wird bei diesen Audits der Umgang mit Cloud-Lösungen derzeit gehandhabt?
Rindle: Verschiedene Branchen haben sich Zertifizierungen als Qualitätsstandards gesetzt. Wir raten in einem solchen Fall, mit einem Provider zusammenzuarbeiten, der sich in der betreffenden Branche bewegt und diese kennt. Zudem sollte er die entsprechenden Branchenzertifizierungen vorweisen können. Damit sollten auch Audits von Cloud-Lösungen keine Probleme darstellen.

ITM: Wie sieht es in der Praxis aus: Welche Probleme können bei der Auditierung von Cloud-Lösungen auftreten?
Rindle: Zertifizierungen sind zeitaufwendig und teuer und müssen in der Regel wiederkehrend auditiert und re-zertifiziert werden. Dies ist für kleine Unternehmen häufig nur schwer darstellbar. Je komplexer eine Lösung ist und je länderübergreifender sie entworfen wird, desto umfangreicher werden die Anforderungen. Hier ist die Erfahrung eines Partners gefragt, der nicht nur in einem Land aktiv ist. So etwas wie eine „Deutschland-Cloud“ gibt es einfach nicht – auch wenn manch einer uns das glauben machen will.