Das müssen Mittelständler in der Cloud beachten

Die Cloud ist heute in der IT allgegenwärtig. Immer mehr Dienste werden als Cloud-Dienste angeboten, von Speicher über E-Mail bis hin zu Business-Anwendungen.

Außer Frage steht, dass die Cloud auch für kleinere und mittlere Unternehmen Chancen bietet. Gerade für sie sind etwa die Einrichtung und der Betrieb von File- und E-Mail-Servern oft eine Herausforderung – mit hohen Kosten, der Abhängigkeit von Dienstleistern und oft auch Verfügbarkeitsproblemen („unser Server war abgestürzt“). Die Cloud lockt als Alternative zu den Servern im eigenen Haus mit standardisierten und sofort nutzbaren Diensten.

Diesen Chancen stehen auch aber Risiken gegenüber, die man kennen muss, bevor man den Schritt in die Cloud wagt. Sonst kann der Ausflug im Desaster enden.

Bei den Risiken lassen sich organisatorische, technische und finanzielle Risiken unterscheiden. Bezüglich der rechtlichen Aspekte ist die Situation häufig noch unklar, weswegen sie hier außer Acht gelassen werden.

Im organisatorischen Bereich ist die wichtigste Frage: Gibt es einen Weg zurück? Vor der Entscheidung über einen Cloud-Dienst steht die Überlegung, wie man gegebenenfalls den Anbieter wechseln oder zu einer internen Lösung zurückkehren kann. Die Abhängigkeit von einem einmal gewählten Anbieter – das Vendor-Lock-in – kann sich als teure Fehlentscheidung erweisen.

Was beim Dateispeicher oder auch bei E-Mail-Diensten noch recht einfach geht, stellt sich in anderen Fällen möglicherweise als kaum zu lösendes Problem heraus. Während sich eine strukturierte Dokumentenbibliothek in einem Dienst für die Zusammenarbeit im Team noch mit mehr oder weniger Aufwand von eigenen Servern in die Cloud migrieren lässt, kann das bei Business-Anwendungen anders aussehen und teuer werden. Zuerst gilt es daher, die Was-wäre-wenn-Frage zu beantworten.

Wenn man einen Anbieter gefunden hat und alles passt und wenn man auch eine gute Antwort darauf erhalten hat, wie man Daten im Trennungsfall zurückbekommt, dann gibt es immer noch ein Risiko: Der Anbieter beendet seinen Dienst. Nur wenn das geplant und mit genügend Vorwarnung geschieht, kann man darauf reagieren.

Wenn man auf die frühen Tage des Internets zurückblickt, gab es auch andere Fälle: Hosting-Anbieter – und das ist nichts anderes als ein Cloud-Dienst – waren von einem Tag auf den anderen verschwunden. Dieses Risiko besteht auch bei anderen Cloud-Diensten. Die langfristige Solidität der Anbieter ist deshalb ein wichtiges Kriterium, damit man nicht auf einmal ohne Dienst und ohne Daten dasteht.

Die Alternative – der Aufbau einer internen Backup-Infrastruktur und die regelmäßige Sicherung der Daten zurück dorthin – ist oft technisch komplex und manchmal überhaupt nicht umsetzbar. Dieser Weg kann Cloud-Dienste schnell unattraktiv machen, weil die Vorteile der Einfachheit und der erhofften Kostenersparnis damit entfallen können. Deshalb muss man sich genau überlegen, was man in der Cloud macht und wie groß das Risiko eines Totalverlusts von Daten ist.

Die Entscheidung für die Cloud ist immer auch eine Entscheidung für Konfektionsware statt für den Maßanzug. Ein wesentliches Merkmal der Cloud ist die standardisierte Bereitstellung von Diensten. Das ist gerade für kleinere Unternehmen aber oft mehr Chance als Risiko, weil man nämlich einen breiten Funktionsumfang zu einem festen Preis bekommt.

Die andere Seite der Medaille: Der Cloud-Anbieter bestimmt den Umfang der Dienste. Die Verträge sind in hohem Maße standardisiert. Änderungen im Leistungsumfang und in den Vertragsvarianten werden vom Cloud-Anbieter vorgegeben, ohne dass man als kleinerer Kunde darauf wirklich Einfluss hätte. Die einzige Wahlfreiheit ist typischerweise die, den Anbieter im Fall von Vertragsänderungen zu wechseln – und das ist eben nicht immer eine echte Option.

Durch die Konfektionsware wird dafür die Verwaltung viel einfacher. Es müssen keine Server gekauft, installiert und angepasst werden. Der administrative Aufwand ist üblicherweise sehr gering. Allerdings müssen auch Cloud-Dienste – zumindest die für Firmen, bei denen es mehrere Benutzer gibt – vom Kunden verwaltet werden. Die Schnittstellen sind meist einfach, aber nicht immer ganz intuitiv. Und es gilt: Nicht alles geht, weil es sich eben um einen standardisierten Dienst handelt.

Deutlich aufwendiger wird es, wenn man eine größere Zahl von Benutzern hat, die auch noch auf Cloud-Dienste verschiedener Anbieter zugreifen sollen. Was für das kleine Unternehmen mit wenigen Mitarbeitern kein Problem ist, kann für den Mittelständler die Wahl zwischen erhöhtem Administrationsaufwand oder einer oft komplexen Integration mit der eigenen Benutzerverwaltung, also beispielsweise dem Microsoft Active Directory, erfordern. Das sind keine unlösbaren Probleme und manche Anbieter haben gerade die Integra­tion mit einem bestehenden Active Directory gut gelöst. Die Integration kann dann aber genau wieder zu dem Projekt mit hohem Aufwand führen, das man eigentlich vermeiden wollte.

Den individuellen Service, den Dienstleister heute für KMUs in der IT liefern – mit allen Vor- und Nachteilen –, gibt es in der Cloud nicht mehr. Es fehlt der persönliche Ansprechpartner, der sich um die Belange des Kunden kümmert. Stattdessen sind Online-Support oder der Kontakt mit Callcentern beim Cloud-Anbieter angesagt, wenn es zu Problemen kommt. Das klappt mal gut und mal weniger gut.

Letztlich muss man auch bei der Nutzung von Cloud-Diensten etwas eigene Kompetenz mitbringen – weniger als bisher, aber ohne geht es nicht. Und auch hier gilt: Je mehr man machen möchte, desto mehr muss man wissen. Wer Microsoft SharePoint als Cloud-Dienst an seine Bedürfnisse anpassen will, muss sich weiterhin mit SharePoint auskennen. Und wer SAP-Dienste aus der Cloud nutzen will, muss sich natürlich auch mit SAP auskennen. Kurz gesagt: Der IT-Dienstleister, der einem hilft, wird durch die Cloud nicht völlig überflüssig.

Eines der meistdiskutierten Risiken, gerade seit Edward Snowden, ist die Sicherheit der Cloud. Doch nicht nur das Handeln staatlicher Stellen führt bei vielen zu Besorgnis, sondern auch die vielen Meldungen über gestohlene Kennwörter und andere Angriffe auf Internetdienste.

Auch wenn sich eine differenzierte Sicht empfiehlt: Es gibt tatsächlich das Risiko, dass ein Cloud-Anbieter angegriffen wird und Kennwörter oder Daten in die falschen Hände geraten. Auf der einen Seite sind die größeren Cloud-Anbieter professionell aufgestellt und können viel mehr für die IT-Sicherheit tun als ein kleines oder mittelständisches Unternehmen. Auf der anderen Seite sind sie aber auch ein viel attraktiveres Ziel für Angreifer jeder Couleur, von staatlichen Stellen bis hin zur organisierten Kriminalität.

Ein Sicherheitsrisiko gibt es also zweifelsohne. Allerdings stellt sich die Frage, ob nicht das viel größere Risiko beim Kunden selbst besteht. Wie gut sind dessen Rechner und sein internes Netzwerk geschützt? Realistisch betrachtet ist das Risiko hier meist viel größer als beim Cloud-Anbieter – die Auswirkungen eines erfolgreichen Angriffs auf einen Cloud-Anbieter dürften aber höher sein.

Als Vorteil der Cloud wird häufig die Elastizität der Dienste und die Verfügbarkeit genannt. Die Elastizität, also die Möglichkeit, bei Bedarf mehr Leistung einzukaufen oder den Dienst auch wieder kleiner zu gestalten, kann aus technischer Sicht für kleine und mittlere Unternehmen als gegeben angenommen werden. Der zusätzliche Bedarf eines Kunden wird den Cloud-Anbieter kaum an die Leistungsgrenze bringen.

Während die technische Elastizität unproblematisch sein sollte, kann die Verfügbarkeit zur Herausforderung werden. Dabei dürften Ausfälle beim Cloud-Anbieter selbst, wie sie auch große Anbieter wie Amazon Web Services und Microsoft Azure schon zu verzeichnen hatten, meist das kleinere Problem sein.

Das in der Praxis viel heiklere Thema ist die Verbindung zum Cloud-Anbieter. Soll heißen: Die Internetverbindung muss stehen. Sie muss schnell genug und stabil genug sein. Der Server steht eben nicht mehr im Gebäude, sondern irgendwo, und ist nur über das Internet erreichbar.

Gerade bei kleineren und mittleren Unternehmen erweist sich das oft als die größere Hürde, insbesondere bei Unternehmen in Regionen, die immer noch schlecht ans Internet angebunden sind. In jedem Fall sollte man sich, gerade bei Diensten, die eine hohe Verfügbarkeit benötigen, auch Gedanken über Backup-Verbindungen ins Internet machen.

Wenn man auf die Kosten schaut, stellt man bei vielen Cloud-Diensten fest, dass es mit der Elastizität doch nicht so weit her ist. Langfristige Verträge mit Laufzeiten von sechs, zwölf oder mehr Monaten sind vielleicht bei einer Business-Anwendung sinnvoll, bei anderen Diensten aber aus Kundensicht nicht der richtige Weg.

Grundsätzlich sollte man in der Lage sein, weitere Benutzer einfach dazu- und auch wieder abzubestellen. Die Laufzeit der Verträge sollte sehr kurz sein. Und vor allem müssen die Kosten kalkulierbar sein.

Insbesondere Kosten, die an Datentransfers, am gespeicherten Datenvolumen und an anderen Größen hängen, die sich schnell ändern können, sind heikel. Das kann dazu führen, dass die Kosten auf einmal viel höher als geplant sind. Je mehr Flatrate-Charakter das Kostenmodell von Cloud-Anbietern hat, desto besser.

Wenn man sich für die Cloud entschieden hat, stellt sich die Frage, wie man an den richtigen Anbieter kommt. Der erste Schritt ist einfach: Im Internet lassen sich Cloud-Dienste schnell finden. Neben den Cloud-Anbietern selbst gibt es auch Internet-Provider und andere Dienstleister, die Cloud-Dienste liefern, gerade für KMUs. Oft kann man darüber auch Standarddienste wie Microsoft Office 365 beziehen.

---

Der Blick auf die drei größten organisatorischen, technischen und finanziellen Risiken ist der nächste Schritt. Die genannten Kriterien helfen schnell, die Spreu vom Weizen zu trennen. Oft gibt es auch Test-Accounts, um einen Cloud-Dienst vorab näher kennenzulernen.

Bevor man dann den Vertrag abschließt, bleiben noch zwei Dinge zu klären. Das eine ist die Migration in die Cloud. Wie kommt man vom heute genutzten Dienst in die Cloud? Nicht nur der Weg zurück, sondern auch der Weg in die Cloud muss geplant sein.

Die andere Pflichtaufgabe ist die genaue Prüfung von Leistungsumfang und Vertrag. Hier gilt es, nicht nur zu klicken, sondern zu lesen. Auch wenn die Verträge oft sehr lang sind und vor allem aus Klauseln zugunsten des Cloud-Anbieters bestehen, sollte man sich diese Mühe machen. Gerade das kann noch einmal helfen, eine realistische Erwartungshaltung zu haben, wenn man den Schritt in die Cloud schließlich tut.