Chancen und Risiken von Cloud Services
Anlässlich der Verleihung des europäischen EuroCloud Awards 2012 am 8. Oktober in Luxenburg, haben wir uns mit Herrn Ing. Hubert Deutsch, Geschäftsführer und Gesellschafter der XIT-cross information technologies GmbH, ein Unternehmen der SCC EDV-Beratung AG, getroffen und über Chancen und Risiken von Cloud Services gesprochen. Ein Thema dem Herr Deutsch aufgrund steigender Relevanz seine Master These widmet. Herr Deutsch, wie lange sind Sie schon in der IT-Branche tätig?
Eigentlich mein ganzes Berufsleben. Ich habe mich schon als Jugendlicher für Informatik interessiert und mich für die HTL entschieden, auch wenn die Ausbildung damals noch sehr Hardware lastig war. Gleich nach der Matura 1995 habe ich bei HP Österreich als Computertechniker angefangen. Zur damaligen Zeit war das IT-Geschäft noch sehr stark von der Hardware geprägt. Dieses Verhältnis hat sich heutzutage um 180 Grad gedreht.
Die Hardware ist ein Comodity und damit eher nebensächlich geworden, während Softwareapplikationen und IT-Services unsere Businessprozesse wesentlich beeinflussen. Nach knapp drei Jahren wechselte ich zur Großkundenbetreuung und kam erstmals mit Großrechnern und Massenspeichern in Kontakt. Bei einem internationalen Meeting in Atlanta bot sich mir die Chance für eine dreimonatige Ausbildung zum Spezialisten nach Georgia in die USA zu gehen. Danach gehörte ich mit nur 25 Jahren schon zu den Top IT-Spezialisten bei HP in Europa und übernahm immer mehr internationale Großprojekte. Meine Freude am konzeptionellen Arbeiten bescherte mir immer mehr Managementaufgaben. Um dieser Aufgabe gerecht zu werden, begann ich an der Kepler Universität Wirtschaftsinformatik zu studieren. Nach 10 Jahren entschied ich mich HP zu verlassen um neue Aufgaben im Bereich SAP zu suchen.
Ich arbeitete anfänglich für ein deutsches Systemhaus, welches nach drei Jahren von der österreichischen AI gekauft wurde. Nach der Übernahme veränderte sich die Unternehmenskultur dermaßen, dass ich beschloss mit einigen Partnern das SAP-Geschäft von HP im Bereich SAP Basistechnologie zu übernehmen und dies in die Firma AICON einzubringen. Nach 7 Jahren beschloss ich das Unternehmen zu verlassen und nahm mir eine kurze Auszeit um mich neu zu orientieren.
Es reifte der Entschluss wieder ein eigenes IT-Unternehmen zu gründen. Bei meiner Suche bin ich auf das Team von SCC gestoßen, wo die Business-Attitude mit meiner übereinstimmte – nämlich getragen von Fairness und Partnerschaft. Und so gründete ich 2004 die XIT-cross information technologies als Teil der SCC-Gruppe. Gemeinsam sind wir eines der großen SAP-Beratungsunternehmen in Österreich.
Unser heutiges Thema ist ja der neue IT-Trend Cloud Compunting. Bieten Sie in Ihrem Unternehmen auch Cloud Services an?
Da müssen wir erst definieren was darunter zu verstehen ist. Das herkömmliche IT-Model ist das sogenannte On-Premise-Model, wo alle Server beim jeweiligen Unternehmen selbst stehen und sich dort alle Unternehmensdaten befinden. Die hauseigene IT-Abteilung ist für die Planung, Bereitstellung und Wartung von Hardware und Softwareapplikationen, sowie für die Datensicherheit und –verfügbarkeit, das Intra- und Internet, die Datenspeicherung u.v.m. verantwortlich.
Die nächste Stufe wäre das Outsourcing oder Outtasking-Model, was wir häufig für unsere Kunden machen. Das bedeutet es werden bestimmte Komponenten oder Aufgaben einem Outsourcing-Partner übertragen, weil man z.B. entweder das Know-how nicht im eigenen Unternehmen hat, auch nicht haben will oder die Skalierbarkeit nicht im selben Ausmaß gegeben ist.
Ein typisches Beispiel hierfür ist ein outgesourctes Rechenzentrum. Der Outsourcing-Partner stellt die klimatisierten und gegen diverse Risiken abgesicherten Räume für die Hardware zur Verfügung und sorgt für den Betrieb der Server und die Sicherheit der Daten. Die Hardware befindet sich zwar außerhalb des jeweiligen Unternehmens, wird aber exklusiv von diesem genutzt und ist auch meistens in dessen Eigentum.
Aus diesen großen Rechenzentren ist die Idee der gemeinsam genutzten Ressourcen entstanden. Also, das mehrere Unternehmen ihre Software und ihre Daten auf einem sehr großen, leistungsstarken Server haben und jeder einen Teil davon nutzt. Damit hat man die Vorteile eines wesentlich leistungsstärkeren Rechners (also höhere Geschwindigkeit, bessere Verfügbarkeit und Skalierbarkeit, etc.) zu einem wesentlich geringeren Preis. Allerdings wirft dieses Model die Fragen nach Mandantenfähigkeit und Datensicherheit auf. Also, wie kann sichergestellt werden, dass auf meine Daten nur ich zugreifen kann.
Der nächste Level wäre Infrastructur as a Service. Hier ist es dem Kunden völlig egal welche Hardware im Hintergrund läuft, ob seine Daten auf einem oder mehreren Servern liegen, es geht nur darum wie viel CPU, Memory und Plattenplatz zu welchen Bedingungen sogenannten Service Level Agreements (z.B. Verfügbarkeit, Bandbreite, Supportverfügbarkeit, etc.) zur Verfügung gestellt werden soll. In diesem Fall kann man schon von einer Private Cloud sprechen. Im Gegensatz zur Public Cloud, dem Internet, wo man nicht einmal mehr weiß in welchem Land der Server steht.
Für wen ist nun Cloud Computing zu empfehlen bzw. was sind die Vorteile?
Die Vorteile liegen einfach in der besseren Skalierbarkeit. Durch die gemeinsam genutzten Ressourcen können Kapazitätsengpässe ausgeglichen bzw. Spitzten abgedeckt werden, ohne dass man die Kosten dafür permanent zu tragen hat. Typischerweise erfolgt die Abrechnung ausschließlich nach der tatsächlichen Nutzung der Ressourcen. Man erspart sich langfristige Kapazitätsplanung für kurzfristigen Bedarf und hat keine teuren Überkapazitäten nach Downsizing-Projekten. Also eigentlich ideal für Mittelbetriebe ohne große eigene IT-Abteilung. Allerdings stellt sich hier die Frage, ob diese Unternehmen auch in der Lage sind die Bedeutung der vertraglich festgelegten Service Level Agreements zu erkennen und dementsprechend mit ihrem Cloud Service Provider zu verhandeln.
Also bestehen auch gewisse Risiken beim Outsourcing in die Cloud?
Ja, aber das betrifft generell das gesamte Thema Outsourcing. Dieses Thema wird ein wesentlicher Punkt in meiner Master These. Die Kunden sind sich oft gar nicht bewusst was sie alles vertraglich regeln sollten, damit sie hinterher keine böse Überraschung erleben. Der Service Provider bzw. Outsourcing-Partner ist in der Regel bemüht seine Verantwortung und damit seine Haftung möglichst gering zu halten. Das bedeutet seine Interessen sind in diesem Punkt den Kundeninteresse diametral entgegengesetzt. In meiner These werde ich mich detailliert mit allen wesentlichen Risiken beschäftigen und konkrete Lösungsvorschläge anbieten.
Auch die Wirtschaftsprüfer haben bestimmte Anforderungen an einen Outsourcing-Vertrag. Obwohl die Daten in einem ausgelagerten Rechenzentrum zwar oft besser gegen Risiken wie Feuer, Wasser oder Diebstahl geschützt sind, ergeben sich Fragen betreffend Verfügbarkeit der Systeme oder des Kundensupports, oder was mit den Daten passiert, wenn der Outsourcing-Partner in Konkurs geht oder von einem anderen Unternehmen gekauft wird? Wie sieht es bei einer Kündigung des Vertrages aus? Bekomme ich meine Daten wieder und in welcher Form? Wie ist mit Schlecht- oder Minderleistung umzugehen und in welcher Höhe haftet der Provider für direkte Schäden (z.B. Datenverlust) und Folgeschäden (z.B. Imageverlust, Geschäftsentgang, etc.).
All diese Punkte müssen über SLAs in einem Vertrag geregelt sein.
Was würden Sie nun einem typischen Mittelstandsbetrieb raten bzw. wer kann hier bei der Vertragsgestaltung helfen?
Auf keinem Fall sollte man einen vom Service Provider vorgelegten Standardvertrag ohne eingehende Überprüfung unterschreiben. Es ist wichtig, dass man sich vorher über seine betrieblichen Anforderungen an das Service im Klaren ist und eine schriftliche Anforderungsliste erstellt.
Alle Punkte auf der Anforderungsliste sollten dann auch im Servicevertrag genau geregelt sein. Wenn man einen Rechtsanwalt hinzuzieht, dann sollte dieser auf dieses Thema spezialisiert sein. Neben den ganzen technischen, zeitlichen, kommerziellen Themen, kommen noch Aspekte der in jedem Land anders geregelten Datenschutzbestimmungen dazu. Das bedeutet, es ist nicht unerheblich wo (also in welchem Land) die Daten tatsächlich verarbeitet und gespeichert werden. In vielen Ländern ist es nämlich nach wie vor verboten Daten im Ausland zu speichern. Diese Tatsache macht es Unternehmen allerdings wieder schwer echte Cloud Services für ihr Kerngeschäft zu nutzen.
Der Verein EuroCloud ist bemüht das Bewusstsein für Cloud Computing zu schärfen und die dafür hinderlichen unterschiedlichen Datenschutzbestimmungen zumindest innerhalb Europas zu vereinheitlichen. Noch größer ist das Risiko, in ein massives datenschutzrechtliches Problem zu laufen, mit anderen Wirtschaftsräumen wie Asien, USA und Afrika.
Zusammenfassend kann gesagt werden, dass das Cloud Computing höhere Service Level zu günstigeren Preisen bereitstellen kann. Das typische Abrechnungssystem dahinter ist „pay what you use“, ohne hohe Investitionskosten und auf Peakleistungen ausgelegte Überkapazitäten. Man muss sich allerdings bewusst sein, dass ein Teil der Ersparnis in die Kosten der Vertragsgestaltung und –verhandlung investiert werden muss. Weiters sind nicht alle Services gleich gut für Cloud Computing geeignet.
Meiner Meinung nach sollten nur hoch standardisierte Services wie z.B. Mail-Services oder Archivierungsservices in die Cloud ausgelagert werden, niemals aber bzw. derzeit noch nicht, unternehmenskritische Applikationen!
Zum Abschluss interessiert uns natürlich wie immer was Ihre Motivation für ein MBA-Studium war?
Ich bin nun seit 17 Jahren in der SAP-Branche tätig und habe im Laufe der Jahre immer mehr Managementaufgaben übernommen. Nun ist die Zeit für mich gekommen mich nicht mehr mit technischen Schulungen zu beschäftigen, sondern mich meinen Aufgaben entsprechend weiter zu bilden.
An IMADEC gefällt mir die internationale Ausrichtung der Professoren, wodurch man einen anderen Blickwinkel im Vergleich zu den staatlichen Unis geboten bekommt. Das sehe ich als den größten Vorteil.
Herzlichen Dank für das interessante Gespräch!