Das Angebot an Cloud-Computing-Diensten wächst fast täglich. Neben Branchengrößen wie IBM, Amazon, Google oder Microsoft entdecken immer neue Anbieter eine Nische für spezielle IT-Services aus der Cloud (siehe auch: Experton-Analyse der führenden Cloud-Anbieter). Doch längst nicht jeder Cloud-Provider passt zu den individuellen Anforderungen der Unternehmens-IT. "Ein Fertigungsunternehmen hat eine andere Checkliste als ein Dienstleister oder ein Einzelhändler", sagt Bernhard Golden, CEO der auf Cloud Computing spezialisierten Beratungsfirma HyperStratus. Trotzdem gebe es einige wesentliche Fragen, die jeder CIO oder IT-Einkäufer stellen sollte, bevor er sich auf einen Cloud-Anbieter einlässt.
Frage 1: Wie schnell reagiert der Cloud-Provider?
"Reagiert der Anbieter sofort auf Ihre Anfrage?", fragt etwa James McKnee, Chef des amerikanischen Dienstleistungsunternehmens United Resource Systems. "Natürlich sagt das nicht alles, aber ich möchte gerne wissen, wie wichtig ich für den Anbieter bin und wie schnell er reagiert. Meine Kunden erwarten eine rasche Reaktion auf Anfragen, ich erwarte das Gleiche von meinen Lieferanten." Einige Cloud-Computing-Anbieter gäben sich zu Beginn viel Mühe, berichtet Berater Golden. Später lasse das Engagement oft nach. Er rät Interessenten, sich auch bei anderen Kunden des Anbieters über die Reaktionszeiten zu informieren.
Frage 2: Wie transparent ist der Cloud-Service?
"In der Cloud gibt es viele Geheimnisse", warnt Chris Wolf, Analyst bei der Burton Group. Wer nur den Google-Mail-Service Gmail nutzt, müsse nicht wissen, welche IT-Infrastruktur dahinter steht oder welche Upgrade-Pläne der Konzern gerade verfolgt. Anders verhalte es sich bei wichtigen Business-Aufgaben, die in der Cloud erledigt werden sollen. Unternehmen hätten ein Recht darauf zu erfahren, welche Technik der Cloud-Computing-Anbieter einsetzt und welche Dienstleister und möglicherweise weitere Subunternehmen dabei eingebunden sind. Am Ende gehe es um die Frage, wie zuverlässig der Anbieter vereinbarte Dienste erbringen kann.
Frage 3: Wie gut kann der Cloud-Provider Fragen nach der Sorgfaltspflicht beantworten?
Einige der kritischsten Fragen sind gleichzeitig die simpelsten: Was tut der Cloud-Computing-Provider, um die physikalische Sicherheit zu gewährleisten? Welche Server und Software setzt er ein und wie sehen die Maßnahmen zum Katastrophenschutz (Disaster Recovery) aus? Sind die Mitarbeiter gut ausgebildet und wurden sie einem Security-Check unterzogen? Gerade die vermeintlich selbstverständlichen Rahmenbedingungen sollten Cloud-Kunden genau prüfen, empfiehlt Analyst Wolf. Wie steht es beispielsweise mit der Fluktuation des Providers? Hat er redundante Telekommunikations-Optionen und hochverfügbare Systeme, sodass etwa ein Stromausfall nicht die Service-Lieferung für mehrere Tage lahmlegen kann?
Frage 4: Wie zugänglich ist der Cloud-Anbieter?
Der Cloud-Provider sollte bereit sein, gemeinsam mit dem Kunden einen Kriterienkatalog abzuklopfen und alle Fragen zu klären, fordert Berater Golden. Dieses Prozedere müssten die Geschäftspartner in regelmäßigen Abständen wiederholen und dabei prüfen, ob der Anbieter die Erwartungen erfüllt. Golden: "Insbesondere bei großen Service-Verträgen ist es wichtig, regelmäßig SLAs, Compliance-Vorgaben und Sicherheitsstandards zu kontrollieren."
Frage 5: Wie sehr verweigert sich der Cloud-Dienstleister?
Andererseits, so Golden, könne es sich kein Service-Provider leisten, seine ganze Zeit mit dem Beantworten von Kundenfragen zu verbringen: "Die Anbieter müssen schließlich ihre Services bereitstellen." Zwar gebe es durchaus Cloud-Dienstleiser, die Kunden zu jeder Zeit für eine vollständige Überprüfung aller Punkte zur Verfügung ständen. Doch IT-Einkäufer sollten sich fragen, ob ein derart entgegenkommender Anbieter noch effizient arbeiten kann. Wenn beispielsweise ein Großteil der Fragen auch andere Nutzer betrifft, empfehle sich ein anderer Weg. Amazon beispielsweise stelle Kunden ein Whitepaper zur Verfügung, in dem alle Datenschutz- und Sicherheitsprozesse beschrieben sind. Golden: "Es liegt dann in der Verantwortung des Kunden zu prüfen, ob die Maßnahmen zu den eigenen Anforderungen passen."
Frage 6: Welche Erfolgskriterien legt der Cloud-Provider an?
Die meisten IT-Serviceverträge definieren SLAs auf der Grundlage von Bits und Bytes, anstatt auf die Kundenerwartungen hinsichtlich des von einem Service erhofften Effekts einzugehen, beobachtet Vince DiMemmo, Chef des amerikanischen Dienstleisters Equinix, der unter anderem die Data-Center-Infrastruktur für Amazons Cloud-Services EC2 zur Verfügung stellt. Der Manager empfiehlt ein anderes Kriterium, das er "Quality of Experience" nennt. Dahinter steckt eine Metrik, mit der sich messen lässt, wie gut eine Anwendung aus Sicht des Endbenutzers abschneidet. DiMemmo: "Wir verwenden diese Methode für viele unserer Endkundenverträge, und immer mehr Kunden fragen danach."
Frage 7: Welche Cloud-Services nutzt der Provider selbst, um seine Dienste zu erbringen?
Zu den grundlegenden Fragen an den Cloud-Anbieter gehört, welche Data-Center- oder Co-Location-Dienstleister die Infrastruktur bereitstellen, auf der die offerierten Services aufsetzen. "Cloud-Systeme basieren oft auf anderen Clouds", erläutert DiMemmo. Das könne durchaus ein Vorteil sein. Wenn etwa ein Cloud-Provider die meisten oder alle seine Services auf ein und derselben Infrastruktur eines spezialisierten Dienstleisters aufsetze, falle es Kunden leichter, diese auf wichtige Kriterien hin zu prüfen. Andernfalls müsste er womöglich für jeden einzelnen Service checken, ob die genutzte Infrastruktur zu den Anforderungen passt.
Frage 8: Was erwartet der Cloud-Provider von Ihnen?
Marketingprofis in Sachen Cloud Computing preisen die Vorteile des Konzepts mit allen möglichen Versprechen (siehe auch: Neun Mythen um Cloud Computing). Dabei wird oft übersehen, dass nicht nur der Cloud-Provider sondern auch der Nutzer seinen Teil zum Gelingen beitragen muss. Wer das vergisst, wird weder mit der Arbeitsteilung im Rahmen von Cloud-Serviceverträgen noch mit der Qualität der Services zufrieden sein, warnt Cloud-Berater Golden. "Die Infrastruktur liegt in der Verantwortung des Providers, die Anwendung in Ihrer", führt er als Beispiel an: "Wenn die Anwendung nicht für einen Cloud-Betrieb ausgelegt ist, die Schnittstellen unsauber definiert sind oder die darunterliegende Datenbank an die Leistungsgrenze stößt, ist das nicht das Problem des Providers."