Sicherheitsprobleme und Risiken
CW: Wo sehen Sie konkrete Sicherheitsprobleme?
HÜLSMANN: Neben der Frage, ob das eigene Unternehmen überhaupt Cloud-bereit ist, sehe ich hier vor allem zwei Security-Aspekte. Zum einen sind das rechtliche Risiken etwa im Zusammenhang mit Datenschutz, Governance, EU-Recht oder Safe Harbor, und auf der anderen Seite technische Risiken. Und hier gibt es Unterschiede zur dedizierten Welt. Was passiert etwa, wenn ein Server beschlagnahmt wird, auf dem auch noch andere Kunden laufen? Hier ist die Rechtsprechung noch nicht in der Cloud angekommen.
CW: Sehen Sie noch andere technische Risiken?
HÜLSMANN: Ja, ein Punkt wird oft übersehen. So wie die IT heute in eine Produktionsumgebung eingebunden ist, hat das Unternehmen in der Regel keine Probleme mit der Leitungsanbindung. In der Cloud dagegen gehen die Daten aus der Produktionsumgebung über Leitungswege in ein Rechenzentrum, das irgendwo stehen kann.
Und diese Verbindungen haben ebenfalls eine gewisse Verfügbarkeit, weshalb gemanagte und überwachte Leitungen verwendet werden sollten, damit der Zugang zur Cloud gewährleistet ist. Was nutzt eine fast 100 Prozent verfügbare Cloud, wenn für die Leitungen keine belastbaren SLAs existieren?
CW: Gibt es Unterschiede zwischen großen und kleinen Unternehmen in Sachen Cloud-Readyness?
HÜLSMANN: Die Großunternehmen achten bei der Cloud sehr viel stärker auf Kostenvorteile, da sie bereits seit zehn Jahren Erfahrungen in Sachen Outsourcing haben. Mittelständler halten dagegen noch viel mehr die IT im eigenen Haus. Gleichzeitig haben wir die Erfahrung gemacht, dass bei Cloud-Projekten häufig nicht mehr der IT-Leiter der Ansprechpartner ist, sondern die Fachabteilung.
Die interessiert sich oft nicht für die technische Plattform, sondern nur noch für die Time to Market und die Kosten. Die Cloud versetzt letztlich die Fachabteilungen in die Lage, sich sehr schnell den Zugang zu Produktionumgebungen zu verschaffen, wo früher der IT-Leiter als eine Art Monopolist im Unternehmen über die Verfügbarkeit bestimmte.
Hier entsteht ein neues Sicherheitsrisiko, denn mit den Cloud-Services kann schnell und einfach ein Bypass an der IT-Abteilung vorbei gelegt werden. Wenn die IT-Abteilung also nicht aufpasst und selbst eine Cloud-Strategie entwickelt, läuft sie Gefahr, von der Entwicklung überrollt zu werden.
CW: Wie kann ein IT-Leiter gegensteuern?
HÜLSMANN: Der IT-Leiter muss sich mehr als Enabler verstehen und in Prozessen denken. Sein Personal muss weg vom Image des IT-Betreibers und Systemadministrator und sich zu einem Servicepartner wandeln.
CW: Wer haftet, wenn der Provider zum Beispiel 100 Prozent Virenfreiheit zusichert?
HÜLSMANN: Pauschal kann ich das nicht beantworten, denn das hängt vom jeweiligen Cloud-Modell ab. Hier sehe ich in der Public Cloud folgende Entwicklung: Weil die Anwender ja Services laufend ab- und zubestellen wollen, wird man zu Standard-AGBs kommen, in denen Sicherheit dann ein Unterpunkt ist.
Der User wird also ein Standard-Set mit Standard-Services und -Verträgen erhalten, die ein schnelles Kommen und Gehen ermöglichen. Verschärfte SLAs etc. wird es in meinen Augen in der Public Cloud nicht geben, da dies weg vom On-Demand-Gedanken führen würde. Anders sieht es in der Private Cloud mit festen Laufzeiten und Verträgen aus.
T-Systems-Tochter Itenos
Die Itenos GmbH mit Sitz in Bonn ist ein IT-Dienstleister, der sich mittlerweile auf Sicherheitsthemen spezialisiert hat. Das Unternehmen entstand 1993 als Expertengruppe für Datenkommunikation und Netzwerk-Management. Heute ist die Firma, die rund 165 Mitarbeiter beschäftigt, eine 100-prozentige Tochter der T-Systems und in den Telekom-Konzern integriert. Ursprünglich konzentrierte sich Itenos auf Themen wie Datenkommunikation und Netz-Management, jetzt liegt der Schwerpunkt auf Security-Services. in der Cloud.