Transparenz in der Cloud

ITM: Herr Kederer, anhand welcher Zertifizierungen oder Gütesiegel können mittelständische Verantwortliche die Qualität und Sicherheit von Cloud-Services bewerten?
Andreas Kederer: Es gibt vier Kriterien, anhand derer Unternehmen Qualität und Sicherheit von Cloud-Services bewerten können: die ISO-Zertifizierungen 27001, 9001 und 14001, die Service Level Agreements, die eine Verfügbarkeit von mehr als 99,9 Prozent garantieren sollten, der Standort des Rechenzentrums, der bestimmt, welche Datenschutzgesetze gelten sowie die Sicherheitsstufe des Rechenzentrums, die 3 oder höher sein sollte.

ITM: Wie sollten Mittelständler am besten vorgehen, wenn sie bestehende Systeme in die Wolke eines Cloud-Service-Providers hieven möchten?
Kederer: Die Unternehmen sollten die Ziele festlegen, die sie erreichen wollen, wenn sie ihre Infrastruktur in die Cloud geben. Fragen zu Sicherheit, Verfügbarkeit, Skalierbarkeit und Haftung sollten mit dem Provider vorab besprochen werden, um sicherzustellen, dass die Anforderungen erfüllt werden können. Die Mittelständler sollten sich nicht scheuen, einen externen Berater hinzuzuziehen, wenn sie selbst nicht über das notwendige Know-how verfügen.

ITM: Worauf sollte bei einer solchen Migration in die Cloud vor allem geachtet werden? Welche Hürden müssen gemeistert werden?
Kederer: Es gibt keine Patentlösung für die Migration von Anwendungen oder Infrastruktur in die Cloud. Unternehmen sollten die Migration sorgfältig planen, um das richtige Werkzeug auszuwählen, das auf moderne Verschlüsselung und Synchronisation setzt, um eine nahtlose und sichere Ende-zu-Ende-Migration von Daten und Anwendungen in die Cloud zu erreichen.

ITM: Wie können Unternehmen die einmal in die Cloud gegebenen Systeme bzw. Applikationen wieder in einen herkömmlichen Eigenbetrieb zurückholen? Oder ist die Entscheidung zugunsten einer Cloud per se eine Einbahnstraße?
Kederer: Cloud Computing macht mittelständische Unternehmen flexibler. Eine Rückverlagerung in den Eigenbetrieb bedeutet dagegen eine Rückkehr zu Ineffizienz und Mehrkosten, die mit den Investitionen in Hardware und den Kosten für Wartung, Upgrades und Support verbunden sind. Daten aus der Cloud zurückzuführen kann sehr umständlich sein, wenn die Datenstruktur für den Kunden nicht transparent ist. Daher ist es wichtig, im Vertrag mit dem Provider festzulegen, dass die Daten in einem bestimmten Format zur Verfügung gestellt werden.

ITM: Wie aufwendig ist die Migration von einem zum anderen Cloud-Service-Partner? Wie kann dies ohne Ausfallszeiten für den Kunden realisiert werden bzw. welche weiteren Hürden sind denkbar?
Kederer: Die Komplexität einer Migration von einem Anbieter zum anderen hängt davon ab, wie kompatibel die beiden Angebote sind. Es gibt Werkzeuge, die speziell dafür entwickelt wurden, die Migration zu vereinfachen und das Mapping sowie die Replizierung der Daten, Anwendungen und Infrastrukturen von einem Serviceprovider zum anderen nahtlos zu ermöglichen. Im schlimmsten Fall kann die Migration in eine andere Cloud ein manueller Prozess sein. Im besten Fall nutzen die Cloud-Anbieter kompatible Technologien und es funktioniert voll automatisiert. Daraus kann man schließen, dass es besser sein kann, sich für einen Anbieter zu entscheiden, der eine weit verbreitete Technologie einsetzt, statt für einen Nischenanbieter.

ITM: Wie kann man vollkommen sicher gehen, dass ein Cloud-Service-Provider nach Vertragsschluss auch wirklich alle Daten des Anwenderunternehmens löscht? Und dies auch noch sicher sowie datenschutz-/rechtskonform?
Kederer: Alle seriösen Serviceprovider bieten vertragliche Garantien hinsichtlich der Löschung von Daten. Sie sind gesetzlich dazu verpflichtet, diese Garantien einzuhalten. Ansonsten riskieren sie ihren guten Ruf oder müssen gar ihren Betrieb einstellen. Auf diese Garantien sollten Unternehmen achten.

ITM: In bestimmten Branchen müssen Anwenderunternehmen ein Auditing ihrer eingesetzten IT-Lösungen vornehmen lassen (z.B. in der Pharma- oder Lebensmittelindustrie) – wie wird bei diesen Audits der Umgang mit Cloud-Lösungen derzeit gehandhabt?
Kederer: In stark regulierten Branchen müssen die Daten noch sorgfältiger analysiert und auf Basis ihres Schutzbedürfnisses kategorisiert werden, um hinsichtlich der Compliance die beste Wahl bei der Cloud-Installation, der Verschlüsselung und der Sicherheitslevel zu treffen. Dafür gibt es verschiedene Arten von Audits, die Aufschluss geben über die Authentizität, Integrität und Vertraulichkeit elektronischer Aufzeichnungen. Die Art der Information, die dabei zur Verfügung gestellt wird, ist abhängig von der Cloud-Lösung (IaaS, SaaS, PaaS) und der Haftungsvereinbarung, die auf den verschiedenen Ebenen des Service greift.

ITM: Wie sieht es in der Praxis aus: Welche Probleme können bei der Auditierung von Cloud-Lösungen auftreten?
Kederer: Da ein sorgfältiges Audit verschiedene Aspekte der Cloud-Installation und der Compliance im Detail betrachtet, können verschiedene Probleme auftreten. Spezielle geografische oder gesetzliche Anforderungen für Datenschutz, Speicherung und Zugriffsrichtlinien nicht zu beachten, kann zu falschen Sicherheits- oder Haftungsregelungen führen. Darüber hinaus können die Audit-Logs und der Zugangsgrad zu den physischen und netzwerkbasierten Ressourcen Herausforderungen mit sich bringen.