„Cloud first!“ wird oft als Begründung bei der Wahl von Infrastrukturlösungen genannt. Doch fragt man „Warum?“, erhält man nicht selten keine Antwort. Wer oft mit IT-Beschaffung zu tun hatte, weiß, dass alles Vor- und Nachteile besitzt und Entscheidungen daher abgewogen werden müssen.

Es gibt dabei kein binäres „Schwarz“ oder „Weiß“, sondern unendlich viele Grautöne. Den optimalen Farbton wird man selten bestimmen können und man ist schon froh nah dran zu sein. Wobei auch das schwierig ist, da sich die Rahmenbedingungen ändern können.

Was also sind die Vor- und Nachteile und worauf sollte man insbesondere bei der Auswahl von Cloud-Diensten achten?

Beginnen wir erstmal damit, was Cloud überhaupt ist. Nachfolgend, frei übersetzt, die Definition des National Institutes of Standards and Technology (NIST):

„Cloud Computing ist ein Modell zur Ermöglichung eines allgegenwärtigen, bequemen Netzwerkzugriffs auf Abruf auf einen gemeinsam genutzten Pool konfigurierbarer Computerressourcen (z. B. Netzwerke, Server, Speicher, Anwendungen und Dienste), die mit minimalem Verwaltungsaufwand oder Interaktion mit Dienstanbietern schnell bereitgestellt und freigegeben werden können.“

Nicht alles, was als „Cloud“ bezeichnet wird, ist nach dieser Definition eine Cloud. Insbesondere bei der Bereitstellung gibt es Unterschiede. Aber verlassen wir die akademische Sicht und schauen aus am Beispiel der IBM Cloud an.

Wie man sieht gibt es verschiedene Arten von Servicemodellen. „Grün“ liegt in der Verantwortung des Cloud Providers, „schwarz“ in der Verantwortung des Cloud Nutzers.

IBM i beispielsweise ist ein sogenanntes „Infrastucture as a Service“ Angebot, d. h. IBM stellt alles bis zum Betriebssystem, inklusive Lizenzprogrammen, bereit, aber schon das IBM i PTF Management liegt in der Verantwortung des Nutzers, genauso wie Datensicherheit und Backups. Natürlich versucht der Cloud Provider das Risiko zu minimieren, aber dafür verantwortlich ist er nicht.

Die erste Lehre daraus ist, dass man vor dem Abschluss eines Cloud Vertrages erstmal genau die Verantwortlichkeiten klären muss, um nicht böse Überraschungen hinterher zu erleben. Dazu gehört auch Haftung bei Ausfällen von Cloud-Diensten. Lesen Sie die Service Level Agreements!

Weitere Herausforderungen bringen die Wahl des Anbieters und der Cloud-Architektur mit sich.

Es gibt nicht „DIE Cloud“ und nicht jede Workload ist für eine Public Cloud geeignet und manchmal braucht es mehr Kontrolle und Security, die nur im eigenen Rechenzentrum realisierbar ist. Nicht umsonst gibt es Angebote, wie die IBM Power Virtual Server Private Cloud am Standort des Kunden oder den Aufbau einer eigenen Private Cloud im Unternehmen.

Stellen sie sich z. B. die Frage: „Wo werden meine Daten bzw. die meiner Kunden gespeichert?“. Unter Berücksichtigung gesetzlicher Regelungen, wie der DSGVO. Benötigen Sie gegebenenfalls die Einwilligung ihrer Kunden zur Speicherung ihrer Daten in einer Cloud? Machen Sie sich Gedanken über Netzwerkarchitektur in und zur Cloud, sowie der Netzwerksicherheit. Beispielsweise ist es kein Problem eine IBM i Instanz als Power Virtual Server aufzubauen und dieser eine Public IP Adresse zuzuordnen, aber dann steht diese Umgebung im Internet und ist für Jedermann erreichbar. Besser sind VPN-Verbindungen.

Öffentliche IP-Adressen sollten nur für Dienste benutzt werden, die dies auch wirklich erfordern.

Überprüfen Sie auch die daraus resultierende Anwendungsperformance. Latenzen in der Datenübertragung könnten zunehmen oder die Bandbreite für den Transfer von Daten in und von der Cloud nicht ausreichend sein. Manchmal werden durch die Verlagerung der IBM i Instanz in die Cloud auch die Migration weiteren Server notwendig. Der Einsatz von Verschlüsselung für Daten und Netzwerkkommunikation ist ebenfalls empfehlenswert.

Meistens sind hybride Lösungen der Schlüssel zum Erfolg. Das, was Vorteile in einer Cloud bringt, migriert man dorthin, alles andere bleibt im eigenen Rechenzentrum. So können auch Dienste von verschiedenen Cloud Providern bezogen werden.

Wie immer, ist gute Planung sinnvoll und hilfreich.

Doch kommen wir zurück auf „Cloud first!“ oder der Frage, was eigentlich eine sinnvolle Unternehmensstrategie bezüglich Cloud ist. Im CIO-Magazin fand ich dazu:

„Eine gute Cloud-Strategie, die den Business-Nutzen einer teuren, komplizierten Hybrid-Cloud-Lösung klar umreißt, ist auf jeden Fall ein Anfang … Überprüfen Sie Ihren erwarteten Gewinn. Warum wollen Sie eine hybride Lösung? Sehen Sie sich Ihre Umgebung an. Welche Arbeitslasten werden voraussichtlich von der hybriden Architektur profitieren? Und wie? Tun Sie es nicht nur um der Sache willen.“

Dem kann man nur zustimmen.

Das Bundesamt für Sicherheit in der Informationstechnik hat dazu ein Strategiepapier veröffentlicht, was sich auf die Nutzung von Cloud Computing bei der Erbringung kritischer und vergleichbarer Dienstleistungen fokussiert.

Die dort formulierten Fragen sind hilfreich bei der Entwicklung einer Cloud Strategie – einige haben wir bereits erwähnt:

Festlegen und begründen der strategischen Aspekte der Cloud-Nutzung, u. a. zu erreichende (wirtschaftliche) Ziele und welche (kritischen) Prozesse und/oder (kritischen) Daten ausgelagert werden sollen oder können und welche nicht.
Festlegen von Verantwortlichkeiten für Cloud-Dienste.
Festlegen der Sensibilität auszulagernder Daten sowie Prüfung auf Compliance-Aspekte gemäß DSGVO und anderen Rechtsgrundlagen.
Festlegen der notwendigen Dienst-Qualitäts-Nachweise, u. a. Testate, Zertifikate, Dienstleistersteuerungs- und Kontrollmechanismen im Sinne der Lieferantenbewertung zur Risikoreduzierung und Strategien für Audits bei Lieferanten8 und Dienstleistern.
Festlegen der technischen Voraussetzungen für die Cloud-Nutzung, vor allem unter dem Aspekt der Benutzerverwaltung (Authentifizierung und Autorisierung) und der generellen technischen Einbindung von Diensten sowie deren (Betriebs-)Kontrolle.

Insbesondere sollte man auch die Chancen und Risiken abwägen.

Besonders bei den Kosten erwarten viele erhebliche Einsparungen. Meist ist dies nicht der Fall, weil hier die Service Dienstleistungen mitberücksichtigt werden müssen. Die monetären Vorteile einer Cloud Nutzung sollte man eher im Nutzen einer skalierbaren und flexiblen Infrastruktur sehen und dem daraus resultierenden Gewinn.

In einigen Fällen kann eine Cloud Lösung aber tatsächlich günstiger sein als on-prem Installation – beispielsweise, wenn dadurch die Kosten eines weiteren Standorts wegfallen. Solche Fälle könnte z. B. der Aufbau eine Desaster Recovery Umgebung sein oder eines Hosts in einer geografisch entfernten Umgebung, wo man neue Kunden gewinnen will, aber durch die Entfernung die Netzwerkperformance zum eigenen RZ zu schlecht ist.

Einige Risiken, vor allem durch die Cloud-Architektur bedingt, haben wir schon behandelt. Aber das BSI sieht weitere potentielle Probleme.