Sparen mit der Cloud

CW: Das Thema Cloud Computing wird stark durch das Kostenargument getrieben. Wie viel kann denn ein Unternehmen nach Ihrer praktischen Erfahrung sparen, wenn es sich für eine Cloud-Lösung entscheidet?

Schramböck: Cloud Computing ist für viele Unternehmen ein tiefer Eingriff in die IT-Strategie. Für die Entscheidung Ja oder Nein spielt die Total Cost of Ownership (TCO) eine wesentliche Rolle. Wie lassen sich die Gesamtkosten möglichst exakt kalkulieren? Softwarelizenzen, der Energiebedarf, die Data-Center-Räumlichkeiten sowie die Betriebskosten machen meist einen Großteil der gesamten Data-Center-Kosten aus.

Bei diesen Kostenarten kann das Unternehmen kräftig sparen. Noch wichtiger ist die strategische Betrachtung bei der Entscheidung für das Cloud Computing: Geht man in die Private oder Public Cloud? Dabei ist intensiv abzuwägen, welche Anwendungen für die Private und welche für die Public Cloud geeignet sind.

CW: Und wie kann der Anwender nun herausfinden, ob die Cloud für ihn in Frage kommt?

Schramböck: Seriös geht das nur, wenn das Unternehmen zuerst eine genaue Ist-Analyse seiner Umgebung vornimmt und eine strategische Roadmap für drei bis fünf Jahre entwickelt. Die TCO-Analyse liefert hier ein klares Bild über das Investment und mögliche Einsparungen.

CW: Greift eine Kostenanalyse nicht zu kurz? Die Entscheidung für oder gegen Cloud Computing hat doch auch eine strategische Seite!

Schramböck: Sie sprechen einen wichtigen Punkt an. Ohne eine Strategie mit formulierten und messbaren Zielen und ohne eine geeignete Kommunikationsstrategie im Unternehmen geht es nicht. Zuerst gilt es herauszufinden, welche Anwendungen man weiter selbst betreiben und welche man outsourcen möchte. Bei dieser Entscheidung sind die absehbare Geschäftsentwicklung sowie die Erwartungen und Anforderungen der Geschäftsbereiche an die IT-Abteilung zu berücksichtigen.

Speziell bei der Private Cloud gilt es, sich Gedanken über eine geeignete Technologieplattform und die technischen Voraussetzungen zu machen. Dabei ist das vorhandene technische Know-how in der IT-Abteilung zu berücksichtigen. Besonders wichtig ist dabei auch die Integration von Sprache und Daten. Bei SaaS beziehungsweise der Public Cloud spielen andere Aspekte eine Rolle.

Sparpotenziale im Detail

CW: Haben Sie Beispiele für das Sparpotenzial im Detail?

Schramböck: Wenn wir ein herkömmliches Data Center mit einer virtualisierten Umgebung beziehungsweise mit der Private Cloud vergleichen, ist die mögliche Einsparung individuell, da sie von der beim Kunden vorhandenen Umgebung abhängt. Über den Daumen gepeilt, können im Networking in manchen Fällen sogar bis zu 90 Prozent eingespart werden. Auf der Server-Seite sind 50 Prozent nicht unrealistisch und beim Storage etwa 30 Prozent. Für die einzelnen Komponenten lässt sich also die Ersparnis relativ gut berechnen. In der Summe sind in der Regel Einsparungen bis zu 30 Prozent realisierbar.

CW: Welche Anwendungen bergen für Sie das größte Sparpotenzial?

Schramböck: Das ist sicher im Bereich von Voice und Collaboration zu finden, außerdem bei allen Anwendungen, die sich in bestimmten Branchen stark standardisieren lassen: etwa CRM und ERP.

CW: Welche Anwendungen sollten nicht in die Cloud wandern?

Schramböck: Für mich sind das Applikationen, bei denen sich eine Geschäftsleitung überlegen muss, ob das Unternehmen untergeht, wenn die betroffene Anwendung in einer kritischen Phase ausfällt. Ob dies bei Unternehmen die E-Mail betrifft, ist fraglich. Selbst ERP-Lösungen können heute in bestimmten Branchen durchaus ausgelagert werden. Jedes Unternehmen muss sich daher überlegen, welche Prozesse für seinen Fortbestand notwendig sind.

CW: Das klingt jetzt aber sehr einschränkend.

Schramböck: Nein, ein anderer positiver Aspekt von Anwendungen in der Cloud ist, dass sie Unternehmen ein rasches Wachstum ermöglichen. Eine Firma kann schnell auf Veränderungen wie Mitarbeiterzuwachs reagieren, ohne selbst unmittelbar investieren zu müssen. Gerade mittelständischen Unternehmen ermöglicht die Cloud somit Wachstum - denn sie werden deutlich flexibler.

So finden Sie den richtigen Cloud-Anbieter
Sicherheit und Kontrolle in der Cloud? Das muss sich nicht widersprechen, wenn der Anwender bei der Auswahl seines Cloud-Anbieters auf einige Kriterien achtet. Fünf Aspekte, die Sie bei der Wahl des Providers berücksichtigen sollten.

1. Datenspeicherung in der EU
Der Cloud-Anbieter muss preisgeben, an welchen Orten er Daten und Anwendungen speichert und verarbeitet. Es sollten ausschließlich Standorte in der EU, besser noch in Deutschland, akzeptiert werden. Wenn weitere Subunternehmer beteiligt sind, müssen diese benannt werden.

2. Sicherheitsarchitektur
Der Provider sollte die Konzeption seiner Sicherheitsarchitektur darlegen können. Dies schließt einzelne Systemkomponenten ebenso wie infrastrukturelle und technische Aspekte ein. Insbesondere sollte dabei klar werden, wie bei mandantenfähigen Systemen - so genannten Multi-Tenant-Systemen - eine verlässliche Trennung der Kunden gewährleistet wird. Angaben zur Sicherheitsarchitektur umfassen zum Beispiel Informationen zum Rechenzentrum, zur Netzsicherheit und zur Verschlüsselung.

3. Rechte-Management
Der Anbieter sollte erklären können, wie er Nutzer sicher identifiziert. Dazu gehört etwa eine Erläuterung seines ID-Managements und wie er damit sicherstellt, dass der "normale" Anwender etwa im Unterschied zum Administrator nur Zugriff auf Daten hat, die für ihn vorgesehen sind.

4. Datenschutz
Speichert oder verarbeitet der Cloud-Anbieter personenbezogene Angaben, dann ist ein Datenschutz nach deutschem Recht zu gewährleisten. Dar- über hinaus sollte der Anwender prüfen, inwieweit Datenschutzrichtlinien und -gesetze, denen er selber unter- liegt, vom Cloud-Anbieter eingehalten werden können.

5. Datenimport und -export
Grundsätzlich sollte klargestellt werden, dass die Daten im Besitz des Kunden bleiben. Der Nutzer muss deshalb auch die Möglichkeit haben, seine Daten jederzeit wieder exportieren zu können. Das ist nur möglich, wenn relevante Daten in einem anbieterunabhängigen Format gespeichert oder aber in ein solches umgewandelt werden können.

Worauf sollte geachtet werden?

CW: Wir haben viel über das Potenzial der Cloud diskutiert. Woran erkennt man, dass ein Provider vertrauenswürdig ist?

Schramböck: Gute IT-Entscheider werden zuerst auf den Sicherheitsaspekt achten. Entscheidend ist die Frage, ob der Service-Provider in der Lage ist, die nötige Security zu gewährleisten. Wie schon gesagt: Kritische Applikationen, deren Ausfall die Existenz des Unternehmens gefährden kann, gehören zum heutigen Zeitpunkt nicht in die Cloud.

CW: Das heißt in der Praxis?

Schramböck: Unternehmen sollten ihre Sicherheitsanforderungen analysieren und berücksichtigen. Zudem ist eine vorsichtige, schrittweise Migration in die Cloud empfehlenswert. Dabei lassen sich wertvolle Erfahrungen sammeln, insbesondere, ob die Zusammenarbeit mit dem Partner funktioniert. In der Regel sind standardisierbare Anwendungen mit einem geringen Change-Management verbunden und für Cloud-Umgebungen gut geeignet.

CW: Sie haben das Sparpotenzial detailliert beschrieben. Gibt es Bereiche, wo der Anwender vorab investieren muss, um den Sparschatz überhaupt zu heben?

Schramböck: Durchaus. Cloud- und Outsourcing-Ansätze sparen nicht immer kurzfristig Kosten, denn sie bedürfen vorher in gewissen Fällen einer Investition. Deshalb ist ja die TCO-Berechnung - abgesehen von den strategischen Aspekten - von so großer Bedeutung.

CW: Wo verstecken sich teure Überraschungen?

Schramböck: Die finden Sie etwa beim Thema Lizenzen. Wenn Sie wirklich in der Cloud sind, also nicht nur hosten, dann sind bereits vorhandene Lizenzen relativ nutzlos. Die Anbieter verwenden ganz andere Lizenzen für ihre SaaS-Angebote. Deshalb sollten Unternehmen darauf achten, wie lange ihre vorhandenen Lizenzen noch gültig sind, sonst zahlen sie unter Umständen doppelt.

CW: Wenn Sie in die Glaskugel blicken, wo werden wir in zwei bis drei Jahren stehen?

Schramböck: Vermutlich wird in unserem Wirtschaftsraum das Hosted-Modell noch immer das dominierende Cloud-Modell sein.

Security-Tipps für die Cloud
Wer sich für Cloud Computing entscheidet, sollte den Anbieter nach den Standards ISO 27001 und 27002 fragen. Dieser und sieben weitere Ratschläge von Cyber-Ark.

1. Management privilegierter Benutzerkonten:
Der Service-Provider muss ein Privileged-Identity-Management-System für die Verwaltung privilegierter Accounts im gesamten IT-Betrieb implementiert haben. Das soll dem Nutzer der Cloud garantieren, dass Policies, Prozesse und Practices seine Anforderungen an die Datensicherheit erfüllen. Dabei sollte der Dienstleister Standards wie ISO 27001 oder 27002 einhalten.

2. Policy-Konformität:
Die Policies und Prozesse des Privileged Identity Management auf Providerseite müssen denen des Unternehmens entsprechen. Im Idealfall sind alle ISO-basiert.

3. Evaluierung:
Im Auswahlprozess sollten Entscheider die Security-Struktur des Service-Providers genau überprüfen und evaluieren. Dabei ist insbesondere darauf zu achten, dass Tools für das Privileged Identity Management eingesetzt werden, die die Security-Policies und -Prozesse automatisch unterstützen.

4. Dokumentation:
Die Richtlinien und Prozesse des Privileged Identity Management müssen Audit- und Reporting-Anforderungen erfüllen. Die verwendeten Lösungen und Technologien sollten dabei schriftlich in Verträgen und Service Level Agreements festgehalten werden.

5. Definition von Rollen:
Policies müssen den privilegierten User-Zugang regeln und limitieren. Dabei ist eine "Separation of Duties" zwingend erforderlich.

6. Keine versteckten Passwörter:
Es sollten keine eingebetteten Applikationspasswörter verwendet werden, die Zugang zu Backend-Systemen oder Datenbanken bieten.

7. Überwachung:
Der Service-Provider muss die privilegierten Benutzerkonten permanent kontrollieren und überwachen.

8. Reporting:
Zu allen privilegierten User-Accounts muss es hinsichtlich Zugriffen und Aktivitäten Protokolle und Reportings geben. Dabei sollte der Service-Provider seinem Kunden ein wöchentliches oder zumindest monatliches Reporting zur Verwendung privilegierter Accounts zur Verfügung stellen.