Cloud Computing: Chancen nutzen und Risiken steuern

Im Fokus: Neue Geschäftsmodelle

Cloud Computing: Chancen nutzen und Risiken steuern

Urs Küderli
Partner and Leader Cybersecurity and Privacy

Cloud Computing ist eine treibende Kraft der digitalen Revolution. Es verändert sowohl die Gesellschaft als auch die Arbeitswelt und bietet Organisationen jeden Formats enorme Chancen. Die Risiken mögen abschrecken, doch für einen erfolgreichen Gang in die Cloud bieten zahlreiche hilfreiche Informationen und professionelle Institutionen Hand.

Cloud Computing ist ein komplexer Begriff. Vorab also ein Wort zur Definition. Cloud Computing kennt drei grundlegende Nutzungsmodelle: Infrastructure as a Service (IaaS), Platform as a Service (PaaS) und Software as a Service (SaaS).

IaaS: Bei dieser Nutzungsart verzichten Sie auf eine eigene IT-Infrastruktur. Diese wird Ihnen von einem globalen oder lokalen Anbieter zur Verfügung gestellt. Sie mieten Ihre virtuelle Infrastruktur in der Cloud, können diese aber genauso verwenden wie einen eigenen Server. Der Vorteil liegt auf der Hand: Sie sparen Investitionen in die Infrastruktur und bezahlen lediglich, was Sie beanspruchen.

PaaS: Bei diesem Modell nutzen Sie die Plattform eines Cloud-Anbieters für die Entwicklung, den Betrieb und die Verwaltung von Webanwendungen, anstatt diese auf eigenen Servern zu betreiben. Dadurch sparen Sie sich die Komplexität des Aufbaus und der Verwaltung einer ausgeklügelten IT-Infrastruktur. Für PaaS hat sich eine Reihe von globalen Anbietern etabliert, und auch die Zahl der lokalen Dienstleister nimmt zu. Dieses Modell ist eine interessante Alternative für Unternehmen mit Vorbehalten gegenüber dem Unterbringen Ihrer Dienste im Ausland.

SaaS: Dieser Service ist den meisten Nutzern von sozialen Netzwerken bekannt. Plattformen wie Facebook und LinkedIn verwenden dieses Modell. Dabei befindet sich die Software in der Cloud und ist nicht auf dem Computer des Benutzers installiert. Im Unternehmenskontext funktioniert das Prinzip gleich: Hier verwenden die Firmen CRM(Customer Relationship Management)- und ERP (Enterprise Resource Planning)-Software auf Dienstleistungsbasis. Als Anwender wissen Sie nicht, wo sich die Software befindet.

Alle drei Arten des Cloud Computing können entweder von einem externen Anbieter bereitgestellt werden, dessen Infrastruktur auch andere nutzen (als «Public Cloud»), von einer Organisation speziell für den internen Gebrauch aufgesetzt sein («Private Cloud») oder in Kombination implementiert werden («Hybrid Cloud»). Globale Konzerne, die für Skaleneffekte gross genug sind, investieren gerne in den Aufbau eigener Infrastrukturen für eine Private Cloud. Für die meisten Unternehmen wäre ein solcher Aufwand allerdings schwer zu rechtfertigen, weshalb Public- und Hybrid-Cloud-Lösungen auf Dienstleistungsbasis beliebt sind.

Cloud Computing birgt ein signifikantes Potenzial für IT-Kosteneinsparungen durch den Wechsel von einem Investitionskostenmodell zu einem Betriebskostenmodell. Mehr Flexibilität entsteht durch die Skalierbarkeit der Dienstleistungen.

Viele Gründe sprechen dafür

Es gibt zahlreiche überzeugende Argumente für die Cloud-Modelle IaaS, PaaS und SaaS. Allen gemeinsam sind ein klarer Kostenvorteil und eine hohe Flexibilität. Cloud Computing birgt ein signifikantes Potenzial für IT-Kosteneinsparungen durch den Wechsel von einem Investitionskostenmodell («Capital Expenditure», Capex) zu einem Betriebskostenmodell («Operational Expenditure», Opex). Mehr Flexibilität entsteht durch die freie Skalierbarkeit der Dienstleistungen.

IaaS bietet zudem den Vorteil, dass sich zusätzliche Kapazitäten auch sehr kurzfristig verfügbar machen lassen. Das ist beispielsweise für Sportevents und grosse Unterhaltungsveranstaltungen besonders interessant. IT-Abteilungen sind nur noch marginal mit der zeitraubenden Verwaltung einer Infrastruktur beschäftigt und können ihr Hauptaugenmerk auf die Schaffung von Mehrwert richten.

Mit SaaS erübrigen sich wiederholte Software-Aktualisierungen, Upgrades und Patch-Installationen. Stattdessen bezahlen Sie für die Nutzung der Software, ohne diese zu besitzen, und Sie verwenden trotzdem immer die aktuellste Version. Mit vielen SaaS-Paketen können Sie flexibel auf veränderte Anforderungen reagieren. So buchen Sie bei Bedarf die Konfiguration und einen gewissen Funktionsumfang einfach hinzu, statt diese selber anzupassen oder zu entwickeln.

SaaS ist auch für mobile Arbeitskräfte ideal. Ihre Mitarbeiter brauchen für den Zugriff auf Ihre Unternehmenssoftware lediglich einen Internetzugang. Viele Firmen entscheiden sich für Softwarepakete mit Zusatzdienstleistungen, so etwa für Buchhaltungssoftware, die mit einer monatlichen Buchhaltungsdienstleistung kombiniert ist. Eine solche Lösung kann gerade für kleinere Firmen interessant sein, da diese so weder eigene Software oder Hardware noch eine interne Buchhaltungsabteilung benötigen. Insgesamt bietet sich die Entscheidung für ein Cloud-Modell überall dort an, wo hauseigene Spezialabteilungen (wie etwa IT) mehr kosten, als sie einbringen.

Die Vorzüge von PaaS sind denen von SaaS sehr ähnlich. Allerdings erhalten Sie bei PaaS zusätzlich eine Plattform für die Entwicklung von Funktionen. Damit können Sie Ihre Lösung besser auf Ihre individuellen Anforderungen ausrichten, als dies beim SaaS-Modell der Fall ist.

Wer von der Cloud profitiert

Gerade für Unternehmen, die Analysedienstleistungen einkaufen, ist die Cloud besonders attraktiv. Zum Beispiel können Sie in der Vorweihnachtszeit, wenn die Arbeitsauslastung sehr hoch ist, eine zeitlich begrenzte Bereitstellung und Nutzung einer Analysedatenbank in der Cloud buchen. Innerhalb von ein bis zwei Stunden können Sie die Website des Anbieters besuchen, Ihre Kreditkartendaten eingeben und die gewünschte Infrastruktur nutzen. In vielen Fällen sind derartige Dienstleistungen sogar die einzige realistische Lösung – vor dem Aufkommen der Cloud-Technologie war das undenkbar.

Auch im öffentlichen Bereich wird Cloud Computing immer beliebter. Die britische Regierung betreibt bereits seit Jahren die sogenannte G-Cloud («Government Cloud»). Mit dieser hat sie das Bereitstellen von Dienstleistungen durch öffentliche Einrichtungen über die Cloud fast schon obligatorisch gemacht. Die australischen Bundesstaaten verfolgen ebenfalls eine Cloud-Strategie. Allerdings können Institutionen dort die Verwendung der Cloud zunächst einfach erwägen und müssen sich nur rechtfertigen, wenn sie sich dagegen entscheiden. Die Schweizer Regierung verwendet ergänzend zur E-Government-Richtlinie eine Cloud-Computing-Lösung, die sich speziell an Bund, Kantone, Gemeinden und öffentliche Unternehmen richtet. Die Anforderungen sind hier ganz ähnlich wie in der Privatwirtschaft, jedoch mit einem etwas anderen Fokus: Im Mittelpunkt stehen Fragen der Vertragsgestaltung und der Datensicherheit.

Projektbasierte Organisationen profitieren ebenfalls von der Cloud, also Bauunternehmen, Ingenieurbüros und Infrastrukturanbieter. Bisher musste jedes Bauprojekt aufwändig mit Hardware ausgestattet, verkabelt und ans Netz angebunden werden. Mit dem Cloud-Modell brauchen die Mitarbeiter nur noch einen Zugang zum Internet (etwa über eine SIM-Karte) und können gleich ab dem ersten Tag produktiv sein. Und nach Abschluss des Projekts bleibt keine zu entsorgende Hardware zurück.

Gut zu wissen

Cloud Security Alliance (CSA)

Die CSA ist mit Ausnahme der Antarktis auf jedem Kontinent vertreten und die weltweit führende Organisation für die Dokumentation und Publikation standardisierter Vorgehensweisen im Cloud Computing. Damit trägt sie grundlegend zu einer sicheren Cloud-Computing-Umgebung bei. Die CSA nutzt das umfangreiche Fachwissen von Wirtschaftsakteuren, Verbänden, Regierungen, Mitgliedsunternehmen und privaten Mitwirkenden für ein Cloud-sicherheitsspezifisches Angebot an Forschungsergebnissen, Bildungsinhalten, Zertifizierungen, Veranstaltungen und Produkten.

Webseite: cloudsecurityalliance.org
Allgemeine Anfragen: info@cloudsecurityalliance.org
Mitgliedschaft: membership@cloudsecurityalliance.org

CSA Security, Trust & Assurance Registry (STAR)

Das STAR ist das weltweit bekannteste Zertifizierungsprogramm für Cloud-Sicherheit. Das dreistufige Zertifizierungsmodell besteht aus Selbstprüfung, Drittanbieteraudit und kontinuierlichem Monitoring.

Webseite: cloudsecurityalliance.org/star

Cloud Security Alliance Switzerland Chapter (CSACH)

Klaus Gribi, Präsident der CSACH, beschreibt seine Mission wie folgt: «Das Angebot der CSACH konzentriert sich auf den Informations- und Datenschutz sowie auf rechtliche Aspekte im Zusammenhang mit der Schweizer Gesetzeslage, womit wir Cloud-Benutzer sowie Cloud-Service-Anbieter in der Schweiz unterstützen. Aus diesem Grund betreibt die CSACH eine Reihe von Forschungsinitiativen zum Zweck der Zusammenstellung und Publikation von Leitfäden und bewährten Vorgehensweisen. Wir organisieren Cloud-Security-Veranstaltungen in der gesamten Schweiz und stellen Cloud-Security-Expertenplattformen für den Austausch von Informationen, Erfahrungen und Know-how bezüglich Cloud-Sicherheit zur Verfügung.»

Webseite: cloudsecurityalliance.ch
Allgemeine Anfragen: board@cloudsecurityalliance.ch
Mitgliedschaft: chapters.cloudsecurityalliance.org/switzerland/about/membership-form

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)

Der EDÖB dient in beaufsichtigender und beratender Funktion bei Fragen des Datenschutzes und informationsrelevanten Anliegen. Seine Aufgaben im Privatsektor sind überwiegend konsultativer Natur: Erteilen von Informationen zu gesetzlichen Bestimmungen in Bezug auf den Datenschutz und Beratung bei der Registrierung von Dateien und internationalen Datenflüssen sowie bei Anfragen im Zusammenhang mit Zugriffsrechten. Der EDÖB berät auch bei technischen und rechtlichen Fragen und kann in Konfliktsituationen als Vermittler hinzugezogen werden.

Webseite: www.edoeb.admin.ch
Cloud-Computing-Leitfaden: www.edoeb.admin.ch/datenschutz/00626/00876/01203/index.html?lang=de

Die wahren Vorteile der Cloud

Die eigentlichen Vorteile der Cloud liegen nicht in der blossen Nutzung. Es geht um die richtige Zusammensetzung des digitalen Transformationspuzzles, also um die kluge Kombination von Analyse, mobilen Arbeitslösungen und sozialen Netzwerken.

Haben Sie die Komponenten einmal zusammengestellt, werden Sie die wahren Vorzüge der Cloud schnell schätzen lernen. In Zukunft werden es die Skalenvorteile der Cloud für Unternehmen unabdingbar machen, Cloud-Infrastrukturen einzukaufen. Davon ausgenommen sind vielleicht sehr grosse Konzerne. Der Energiesektor kennt eine sehr ähnliche Entwicklung: Das Stromnetz hat es mit der Zeit überflüssig gemacht, Fabriken mit eigenen Generatoren auszustatten. Genauso werden Netz- und Rechenleistung durch die Cloud universell verfügbar.

Ihr Unternehmen wird seine Wertschöpfungskette also dynamisch konfigurieren können. Damit werden Sie flexibler sein und Ihre Wertschöpfung agiler gestalten können. Sie analysieren den erbrachten Mehrwert und die Art der Erbringung und stellen sich Ihren Anforderungen entsprechend ein Paket von Software, Dienstleistungen und Infrastruktur bei einem Cloud-Anbieter zusammen. Wenn Sie mit einem Dienstleister unzufrieden sind, können Sie diesen einfach wechseln, ohne dass Mitarbeiter oder Anlagen auf der Strecke bleiben.

Das Potenzial der Cloud ist gewaltig – und erfordert ein gewisses Umdenken. An die Stelle einer aufwändigen hauseigenen Wertschöpfungskette tritt ein System mit einer frei konfigurierbaren Wertschöpfung. Dabei werden für jeden Bereich die jeweils besten Spezialisten eingesetzt. Um im digitalen Zeitalter erfolgreich zu sein, brauchen Sie die bestmögliche Handhabung und effektivste Verwertung von Informationen, ohne dass sie die zugrunde liegenden Wertschöpfungsketten besitzen oder selber steuern müssen. Die Gewinner dieser Entwicklung werden jene Unternehmen sein, die das detaillierteste Bild ihrer Wertschöpfungskette haben und diese Informationen am besten verwerten – nicht unbedingt jene mit der weitreichendsten Kontrolle.

Und die Nachteile?

Paradoxerweise betreffen die meistgeäusserten Vorurteile und Bedenken zur Cloud Themen wie Datensouveränität, Datenschutz und Sicherheit, für die es grösstenteils bereits gute Antworten und etablierte Lösungen gibt. Internationale Institutionen wie die Cloud Security Alliance (siehe Kasten) bestehen bereits seit Jahren. Sie haben bewährte Methoden und Leitfäden zu Fragen des Cloud- und damit des Risiko-Managements erarbeitet und hervorragende Arbeit geleistet.

Selbstverständlich müssen Unternehmen beim Gang in die Cloud gesetzliche Bestimmungen beachten. Aber auch diese sind umfassend dokumentiert und mit vielen nützlichen Informationen bestückt. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (siehe Kasten) hat einen Leitfaden zum Cloud Computing unter Berücksichtigung der Schweizer Datenschutzbestimmungen herausgegeben.

Gewisse Risiken, die Neuankömmlinge in der Cloud gerne unterschätzen, sind weniger dokumentiert. Die meisten davon sind vertraglicher Natur. Eine Schlüsselfrage ist zum Beispiel, ob Sie über die Geschäftsbedingungen Ihres Vertrags überhaupt verhandeln können. Bei grossen Anbietern sind die Vertragsbedingungen sehr wahrscheinlich nicht verhandelbar. Zum Beispiel könnte es Ihnen daran gelegen sein, eine Servicelevel-Garantie zu vereinbaren. Falls Ihnen die Verfügbarkeit der Dienste nicht zugesichert wurde, haben Sie bei eventuellen Dienstausfällen rechtlich keinerlei Handhabe. Auch Kündigungsvereinbarungen können sich schwierig gestalten. Was tun Sie, wenn Ihr Cloud-Anbieter einen kritischen Schaden erleidet, Ihnen kurzfristig kündigt, Ihnen den Zugriff auf Ihre Daten verweigert? Oder wenn Ihnen zu wenig Zeit bleibt, um Ihre Daten bei einem neuen Anbieter unterzubringen? Ein weiterer zentraler Risikoaspekt, der häufig übersehen wird: die Lebensdauer Ihres Cloud-Anbieters. Ein Anbieter – ob klein oder gross – kann Konkurs gehen. Für Sie wird es schwierig sein, an Daten zu kommen, wenn der Anbieter zur Geschäftsaufgabe gezwungen ist oder übernommen wird.

Vorsicht ist auch bei der Sicherstellung elektronischer Unterlagen als digitale Beweisstücke («E-Discovery») geboten. Bei rechtlichen Problemen kann Ihnen der Zugriff auf Ihre Daten verweigert werden – oder er ist nur für eine kurze Zeit möglich, zum Zweck der E-Discovery. Die Aufbewahrung Ihrer Daten sowie Ihre Archivierungsanforderungen sind absolute Schlüsselkriterien. Sie sollten diese kennen und das Angebot und die Fähigkeiten Ihres Cloud-Anbieters in diesem Bereich prüfen. Wenn Sie etwa rechtlich dazu verpflichtet sind, Ihre Daten sieben Jahre lang aufzubewahren, Ihr Cloud-Anbieter aber nur eine einjährige Datenarchivierung anbietet, stehen Sie vor einem Problem.

Ein weiteres Risiko besteht in der Kosteneinschätzung. Häufig wird bei der ersten Bewertung des Geschäftsanwendungsfalls der anstehende Sicherheitsaufwand im Rahmen von Technologien für die Verschlüsselung und Segmentierung von Inhalten unterschätzt. Dieser Aufwand soll gewährleisten, dass sensible Daten vor fremden Zugriffen geschützt bleiben. Da dieser Posten kostspielig werden kann, sollten Sie ihn realistisch einschätzen.

Die Cloud birgt ausserdem Steuerrisiken, die vom Ort der Leistungserbringung abhängen. Auch diese sollten Sie berücksichtigen. Weitaus interessanter sind allerdings die steuerlichen Vorteile: Mit der Cloud können Sie einen Teil Ihrer Wertschöpfung in steuergünstige Regionen verschieben. Angenommen, Sie möchten Ihre Forschungs- und Entwicklungsabteilung an einem Ort mit rechtlich vorteilhaften Rahmenbedingungen unterbringen, können Sie dies dank der Cloud tun, ohne vor Ort eine teure Infrastruktur aufzubauen.

«Schatten-IT» nennt sich eine weitere Herausforderung der Cloud – vor allem für grosse Organisationen und ihre IT-Mitarbeiter. Dass alle Angestellten einer Firma Cloud-Dienste nutzen können, ohne diese zuvor bei der IT-Abteilung beantragen zu müssen, kann Kosten und Leistungen generieren, für die es keine Buchhaltungsposten gibt. Deshalb stellen weitsichtige Unternehmen für die Nutzung ihrer Cloud-Dienste Richtlinien auf. Diese sollen gewährleisten, dass derartige Risiken angegangen werden und entsprechende Massnahmen (regulatorischer oder anderer Art) greifen.

Alle hier aufgeführten Risiken sind handhabbar und keines sollte Sie davon abhalten, sich für eine Cloud zu entscheiden und von den vielen Vorteilen zu profitieren.

Unterstützung vorhanden

Wie erwähnt gibt es nationale und internationale Einrichtungen und Rahmenprogramme, die den Umgang mit der Cloud vereinfachen und fördern. Professionelle Dienstleister mit Spezialisten aus den Bereichen Cyber-Business und digitale Transformation bieten umfassende Unterstützung, vom Aufsetzen einer digitalen Strategie bis zum eigentlichen Migrationsprozess. So vereinfachen sie den Unternehmen den Gang aus bestehenden Umgebungen in die Cloud. Der Löwenanteil dieser Unterstützung besteht für rechtliche und Risikobewertungen sowie für die Einhaltung gesetzlicher Vorgaben (beispielsweise auch durch unabhängige Berichterstattung an Behörden). Häufig beinhalten diese Dienstleistungen den Aufbau von Business Cases [1], Steuerberatung usw.

[1] Im Vorfeld einer geplanten Auslagerung werden mit dem Business Case die Wirtschaftlichkeit und die Auswirkungen des Projekts untersucht. Dabei werden die Prozesse und die Organisation, die die Prozesse nach der Auslagerung bedienen wird, entworfen. Danach wird analysiert, wieviel der ausgelagerte Teil der Organisation im Vergleich zu heute kosten wird, und wann der ausgelagerte Prozess innerhalb eines Zeitraumes der nächsten fünf Jahre rentabel sein wird.

Cloud-Berater können Ihnen zudem helfen, die Gesamtsituation und Anforderungen zu erfassen, um unterschiedliche Cloud-Services in Ihre Wertschöpfung zu integrieren. Gerade grössere Organisationen schaffen häufig interne Abteilungen für die Koordination ihrer Cloud-Bausteine. Zudem gibt es bereits zahlreiche Cloud-Brokering-Technologien (für die Integration von Cloud-Diensten, für deren Verwaltung sowie für die Steuerung von Leistung und Toleranz gegenüber Störungen), die diese Bestrebungen unterstützen.

Professionelle Dienstleister helfen den Cloud-Anbietern, indem sie ihnen eine unabhängige Verfügbarkeitsgewährleistung erteilen. Diese Zusicherung bescheinigt den Cloud-Anbietern auf deren Website, dass sie die globalen Standards einhalten. Dank aktiven Mitwirkens bei Standardisierungsinstitutionen, Industriegremien und Best-Practice-Organisationen wie der Cloud Security Alliance unterstützen solche Dienstleister die Entwicklung eines zuverlässigen globalen Rahmens für die digitale Transformation und Cloud Computing.

Fazit

Die Cloud hat den Geschäftsverkehr im privaten und öffentlichen Bereich revolutioniert. Sie birgt Risiken, doch diese sind handhabbar. Einige sind sehr gut bekannt und dokumentiert, und es existieren umfangreiche Informationen darüber, wie Sie am besten vorgehen. Andere Herausforderungen sollten Sie umsichtig planen – aber auch hier können Sie auf Hilfe zählen. Entscheidend ist, dass Sie die Cloud als Teil eines Ganzen verstehen: Sie ermöglicht es Ihrem Unternehmen, die Wertschöpfung dynamisch aufzusetzen und so sowohl intelligentere als auch effektivere Werte zu schaffen. Schliesslich müssen Sie sich fragen, ob es sich Ihr Unternehmen leisten kann, nicht in die Cloud umzuziehen.

Artikel-Übersicht