Hauptsorge vieler Unternehmen in Sachen Cloud Computing ist speziell das Thema Sicherheit, wie u.a. die Frage: Wer hat auf welche Daten Zugriff?

Beginnen wir mit der Frage, wo denn überhaupt in den Unternehmen Cloud Computing zum Zuge kommt. Wie wir wissen, hat alles im Customer Relationship Management (CRM) begonnen und dann auch im HCM (Human Capital Management) Fuß gefasst. Inzwischen gibt es Angebote für viele Bereiche, auch ERP (Enterprise Resource Planning). Ganz oben auf der Liste der zukünftigen Einsatzmöglichkeiten steht aber laut Forrester das Thema „Collaboration“. Und in der Tat hat hier kürzlich die IBM einen Rekorddeal gemacht: Man rüstet 380.000 Arbeitsplätze bei Panasonic mit LotusLive aus, eine web-basierte eMail- und Kollaborationslösung. Das ist derzeit der größte bekannte Deal im Cloud Computing.

Ist ein solcher Deal in Deutschland denkbar? Wohl kaum, denn die Unternehmen im Land des Forschungs- und Entwicklungsvorreiters hinken hinter Frankreich und Großbritannien hinterher. So sieht es wenigstens die Gartner Group, die in einer Studie untersucht hat, wie stark SaaS in den Unternehmen bereits genutzt wird. Die Gartner-Meinung wird durch eine Untersuchung des Softguide unterstützt. Danach spielt SaaS im deutschsprachigen Raum eine Nebenrolle: Für die Mehrzahl der hiesigen Software-Anbieter ist SaaS als Geschäftsmodell kaum relevant. Das liegt insbesondere daran, dass sich seitens der potentiellen Kunden die Nachfrage nach SaaS in Grenzen hält. Das sagt auch CRM-Experte Wolfgang Schwetz in seinem Beitrag im CRM Beratungsbrief 01/2009: Er spricht von „CRM on Demand – ein Mauerblümchen“.

Weltweit gelten als Blocker Nr 1 für die Einführung von Cloud Computing Sicherheitsbedenken und die Angst davor, die Kontrolle über Daten und Systeme zu verlieren. In Deutschland ist in entsprechenden Studien der Anteil der Bedenkenträger um acht Prozentpunkte höher als weltweit. Diese Bedenken sind allerdings durchaus gerechtfertigt. Selbst John Chambers, CEO von Cisco Systems, sagt: "It is a security nightmare and it can't be handled in traditional ways." – kurzum, die Wolke sei ein Sicherheitsalptraum, der mit herkömmlichen Ansätzen nicht adäquat zu lösen sei.

In der InfoWorld findet man fünf Lektionen von der dunklen Seite des Cloud Computing:

• legale Aspekte: Wenn der Cloud-Anbieter beispielsweise geprüft wird, werden ihre Unternehmensdaten möglicherweise auch geprüft!
• man ist nicht Besitzer der Hardware: Das kann Probleme beim Testen bringen, da man die explizite Erlaubnis des Cloud-Betreibers bracht.
• Phishing-Angriffe sind schwieriger abzuwehren
• die Virtualisierung an sich: Wer garantiert bspw., dass bei einem Cloud-Anbieter eine Maschinen-Instanz auch wirklich keine Reste von Informationen der vorherigen Nutzers mehr enthält, und
• in einer virtuellen Umgebung können auch auf Applikationsebene Dinge passieren, die man nicht für möglich gehalten hat: Beispielsweise im analytischen Bereich können Algorithmen betroffen sein, die auf einmal nicht mehr so funktionieren wie gedacht: prominentestes Beispiel sind Zufallszahlengeneratore.  

Als Treiber für Cloud Computing dagegen gelten die typischen Cloud-Anbieter Argumente:

• schnell einsatzfähige Lösungen,
• an jedem Arbeitsplatz in der Welt identische Software,
• flexible, dynamisch anpassbare Kosten,
•  finanzielle Vorteile durch Miete statt Kauf,
• keine Hardware,
• keine Infrastruktur.

Mit diesen Mythen räumt Gartner auf und sagt unter dem Titel „Anwender unzufrieden mit SaaS-Lösungen“, dass die Implementierung zu lange dauert, Service-Kosten zu hoch sind und die Lösungen sich schlecht integrieren lassen. Unternehmen schaffen teilweise die Anwendungen wieder ab.

Security-Aspekte Hürde Nr. 1

Inzwischen sagt auch Google, dass sie ‚paranoid about security“ seien. Der Hintergrund: Beim Hack vor kurzem wurde der Quellcode des Google Passwort-Systems für Single-Sign-On (Codename Gaia) gestohlen (vgl. New York Times). Es wurden offensichtlich keine Passwörter gestohlen, aber das Wissen, dass nun Hacker in aller Ruhe den Code auf Schwachstellen untersuchen können, sollte die Gmail-Nutzer in Unruhe versetzen.

Darüber hinaus gibt es aber auch noch weitere Blocker für SaaS, die man nicht unterschätzen sollte. Ausfallzeiten wie in der Mobil-Telekommunikation, wo Millionen Nutzer nicht mehr telefonieren können, wie beispielsweise in 2009 in Deutschland passiert, sind auch beim SaaS möglich und treten auch auf. Das ist bei Google schon mehrfach passiert. Der letzte bekannte Gau war ein „Verkehrsstau“, bei dem für Millionen Nutzer Google im Mai 2009 während rund einer Stunde nur noch eingeschränkt oder auch gar nicht mehr verfügbar war. Ein Stromausfall legte im Dezember 2009 auch Amazon’s EC2 lahm. Und im April-Newsletter im Abschnitt „Kurzmeldungen“ haben Sie vom kärglichen Totalausfall bei YouTube lesen können. Das ist keine gute Werbung für die Cloud. Für 2010 erwarten Experten sogar einen „Wolkenbruch“ (vgl. „The Coming Cloud Catastrophe”).

Weiterer Blocker sind die versteckten Kosten des Cloud Computing. Auch wenn ein Preis von $100 pro Nutzer pro Jahr sehr attraktiv klingt, so stecken dahinter noch weitere Kosten, die man nicht unterschätzen sollte, wie beispielsweise

• die Kosten für die Umstellung,
• die Architektur (ohne SOA hat man Probleme und Kosten bei der Integration)
• und den Betrieb (vgl.  „Beware Cloud Computing's Hidden Costs”).

Rechtliche Aspekte der Vertragsgestaltung

Schließlich sind auch rechtliche Fragen zu klären. Sie sollten niemals in die Wolke gehen, ohne sich Rat bei ihren Rechtanwälten eingeholt zu haben. Tieferen Einblick in rechtlichen Fragestellungen vermittelt unter anderem der Beitrag von John Pavolotsky „Top Five Legal Issues For The Cloud”. Die rechtlichen Fallstricke in jedem Fall sind zahlreich. Es geht um Fragen zum Einhalten von Service Level Agreements (SLA), zum geistigen Eigentum (auch was die eigenen Daten betrifft) und zur Vertraulichkeit, wie bspw: Wer hat beim Cloud-Betreiber Zugang zu ihren Daten und wie wird Information geschützt? Hinzu kommt, dass Best-Practices in der Vertragsgestaltung beispielsweise noch fehlen, vor allem ja auch aus Mangel an Erfahrung. Erfreulich ist hier eine Initiative der EuroCloud, einer Sektion des eco-Verbandes, die hier Musterverträge zusammenstellen will.

Zum Schluss ist noch eine weitere, diesmal technische Hürde für SaaS zu nennen: Die manchmal doch recht eingeschränkte Anpassung der Lösung. Zwar gibt es bei den meisten SaaS-Lösungen offene Standardschnittstellen, aber das hilft nur, wenn man selbst auch eine SOA fährt. Und schließlich, was passiert, wenn der SaaS-Anbieter sang und klanglos vom Markt verschwindet wie vor einiger Zeit die Coghead. Da wurden die Kunden im Regen stehen gelassen. Mit anderen Worten: niemals SaaS ohne Exit-Alternative!

Allerdings – bei allen hier dargestellten Bedenken – SaaS ist durchaus ein Modell mit Zukunft, wenn man es richtig anpackt. Panasonic hat sich deshalb wohl auch für eine Cloud-Lösung entschieden, die unter den hier dargestellten Aspekten passt: Eine dem heutigen Stand an Security entsprechende Kollaborationslösung mit einem zuverlässigen Partner. Die hier dargestellten Risiken wurden ausgeschlossen, bzw. minimiert. Mit anderen Worten: Cloud Computing eignet sich (heute noch) nicht für alle Anwendungen und Anwendungsgebiete.

Fazit zur Cloud 2010

Unternehmen müssen heute individuell abwägen, ob eine SaaS-Lösung eine für sie attraktive Lösung sein kann, vor allem in Hinblick auf die eigene Unternehmensgröße, globale Ausrichtung und Finanzierungsaspekten, unter der Berücksichtigung der Stabilität und Zukunftssicherheit des Cloud-Anbieters, unter Berücksichtigung der unterschiedlichen SaaS-Angebotstypen und Einsatzfelder und auch unter den technologischen Gesichtspunkten einer Service- und Prozess-Orientierung. Und wie schon gesagt: niemals SaaS ohne Exit-Alternative. SaaS ja oder nein ist daher eine unternehmensindividuelle Entscheidung. Ein generelles „Go for SaaS“ macht (heute noch) keinen Sinn.

Ihre Meinung ist gefragt. Machen Sie mit beim XaaS Check 2010, einer Marktbefragung zum Thema Cloud Computing in D-A-CH. Hier geht es zum Fragebogen www.xaas-check.eu