Cloud-Service-Modelle: Auf diese Kriterien kommt es bei der Auswahl an

Cloud Computing unterscheidet grundsätzlich die vier Infrastrukturtypen Private-, Public-, hybride und Multi-Clouds. Sie stellen die IT-Grundlagen für drei Arten Cloud-Service-Modelle dar: IaaS (Infrastructure-as-a-Service), PaaS (Platforms-as-a-Service) und SaaS (Software-as-a-Service). Schon diese vielen Kombinationsmöglichkeiten machen die Entscheidung für Unternehmen nicht gerade einfach.

Cloud-Service-Modelle: Bereitstellung macht den Unterschied

Sowohl IaaS als auch PaaS und SaaS übermitteln Daten vom Client per Internet zu den Systemen des Serviceanbieters und zurück – unterscheiden sich allerdings in der Art der Bereitstellung. Einfach aus­gedrückt: Mit IaaS mietet der Kunde die Infrastruktur, verwaltet Komponenten wie Betriebssystem, Apps und Middleware. Der Anbieter stellt Hardware, Netzwerk, Festplatten, Storage und Server zur Verfügung und ist für Ausfälle, Reparaturen und Hardware-Probleme verantwortlich. Beim PaaS-Modell werden nicht nur die Hardware, sondern auch die Plattform für die Anwendungssoftware vom externen Anbieter gehostet und verwaltet.

Der Kunde betreut lediglich die Apps und die Daten selbst. Bei SaaS handelt es sich um eine Dienstleistung, die Anwendern eine vom Serviceanbieter gemanagte Software bereitstellt. Der Zugriff erfolgt normalerweise über einen Webbrowser oder APIs. SaaS macht es damit sogar überflüssig, Apps lokal zu installieren und Geschäftslogiken können darin als FaaS (Function as a Service) bereitgestellt werden.

Relevanz von Branchenwissen steigt

Entscheidend ist jedoch nicht mehr nur die Art der Bereitstellung. Auch das Branchen-Know-how des Providers spielt mehr und mehr eine zentrale Rolle bei der Auswahl von Cloud und Servicemodellen. Während es beispielsweise für Organisationen aus finanzfremden Wirtschaftszweigen und mitunter auch für Behörden völlig ausreicht, Verordnungen wie die DSGVO oder Zertifizierungen nach DIN EN ISO/IEC 27001 beziehungsweise BSI-Grundschutz einzuhalten, so sieht es beispielsweise im Bankenwesen völlig anders aus. Hier erwartet schon die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), dass Organisationen die „Bankaufsichtlichen Anforderungen an die IT“ (BAIT) einhalten.

Diese BAIT fordern von Finanzinstituten die Festlegung einer nachhaltigen IT-Strategie mit konkreten Zielen und Maßnahmen zu deren Umsetzung. Zur Dokumentationspflicht gehören nicht nur die strategische Konzeption der IT-Architektur und -Abläufe. Sogar personelle Zuständigkeiten in der Organisation, zugrundeliegende Standards sowie die im Betrieb verwendeten Komponenten unterliegen dieser Dokumentationspflicht.

Cloud-Service-Modelle und Risk-Management: Prozesse unter der Lupe

Hinzu kommt das Thema Risikomanagement, dass neben dem Bankenwesen unter anderem auch Unternehmen aus Branchen wie Energieversorgung oder Fertigung, Verlage oder Chemiekonzerne besonders betrifft. Es umfasst die Implementierung von Überwachungs- und Steuerungsprozessen und stellt die für Unternehmen aus diesem Bereich essenziellen Aspekte Integrität, Verfügbarkeit, Authentizität und Vertraulichkeit von verarbeiteten Daten sicher. Dazu zählen technische Vorkehrungen wie das Schwachstellenmanagement, der Perimeterschutz, die Netzwerksegmentierung, Penetrationstests, simulierte Angriffe und die Verschlüsselung von Daten. Ein Notfallmanagement wiederum sorgt dafür, dass sowohl die Wiederherstellung der vollen Funktion als auch die Geschäftsfortführung während Notfällen abgedeckt ist. Dazu muss allerdings zunächst vom Cloud-Anbieter erfasst werden, welche Abhängigkeiten es in den IT-Systemen und in der Zusammenarbeit mit dem externen Dienstleister gibt, und welche Ressourcen notwendig sind, um eine eingeschränkte Fortführung zeitkritischer Geschäftsprozesse sicherzustellen.

Zertifizierungen bestätigen IT-Sicherheitsniveau

Wichtig in diesem Zusammenhang: die Zertifizierungen des Anbieters der Cloud-Service-Modelle. Hierzulande sorgen Zertifizierungsinstanzen wie der BSI oder TÜV dafür, dass Service-Provider über ein bestätigtes IT-Sicherheitsniveau verfügen. Und um auch für den Katastrophenfall eine Verfügbarkeit und Absicherung garantieren zu können, sollten Anbieter zudem eine Georedundanz ermöglichen können. Rechenzentren müssen mindestens 100 Kilometer voneinander entfernt stehen, um die Folgen von Naturkatastrophen abfedern zu können, weil im Fall der Fälle das zweite Datacenter bei einem Totalausfall des ersten den gesamten IT-Betrieb übernehmen kann.

Unabhängig davon, ob Public-, Private- oder Hy­brid-Clouds zum Einsatz kommen, stellt sich auch in kleinen und mittelständischen Unternehmen die Frage, wie und wer die IT-Sicherheit kontrolliert, wie sich Compliance-Metriken überprüfen lassen und wie das Audit erfolgen muss, um einer Prüfung standzuhalten. Aber auch das Business Continuity Management (BCM) zählt zu den zwingenden Anforderungen beim Management von hybriden Cloud-Infrastrukturen. Dabei stellt der Anbieter seinen Kunden ein nachhaltiges und sich geschlossenes BCM zur Verfügung, das sämtliche IT-Komponenten und Dienstleistungen umfasst.

Standortwahl: Datenschutz nach europäischem Recht

Fest steht, auf dem Weg in die Wolke spielen längst nicht mehr nur die Art des Service-Modells und die zugrundeliegende Cloud eine Rolle. Besonders im Bereich Multi-Cloud müssen Provider auch spezifische Branchenkenntnisse aufweisen können und individuelle Anforderungen von Unternehmen im Blick haben, um einen besonderen Mehrwert bieten zu können. Unabhängig davon ist es darüber hinaus von Bedeutung, wo Daten gelagert werden. Populäre Cloud-Anbieter wie Amazon Web Services (AWS), Microsoft Azure oder die Google Cloud punkten zwar mit Skalierbarkeit und Flexibilität, leiden allerdings darunter, dass Datensicherheits- und Datenschutzaspekte US-amerikanischen Gesetzen wie dem USA Patriot Act unterliegen und die Hoheitsgewalt über sensible Informationen nicht mehr gegeben ist. Hier spielen Anbieter mit Standort in Europa ihre Stärken aus.

Der Autor Johannes Meyer ist Principal Technical Product Manager bei noris network.