Cloud Computing bei KMU - Vor- & Nachteile von Cloud Services

Das Angebot am Cloud Services nimmt rasant zu. Dropbox verwendet praktisch jedermann, alternative Service (OneDrive, Google Drive, Swisscom myCloud) versuchen sich mit verschiedenen Vorteilen eine Installation auf möglichst allen Rechnern zu sichern, Spezialisierte Angebote wie Yammer erleichtern die Zusammenarbeit über Firmengrenzen hinweg, die grösseren Software-Hersteller versuchen mit Cloud-Angeboten die Kundenbindung zu erhöhen. Viele Firmen wechseln heute auf Office 365 mit hosted Exchange. Welche Vorteile können solche Cloud-Services bringen und was sind mögliche potentielle Risiken?

Dieser Beitrag wurde von Roland Portmann für secnovum verfasst.

Die Vorteile dieser Cloud-Lösungen können vielfältig sein. An erster Stelle steht vermutlich meistens die Kostenfrage. Viele Cloud-Services sind gratis, mindestens in einer Anfangsphase. Zunehmend werden aber Funktionen, die man in einem professionellen Umfeld benötigt, kostenpflichtig. Man muss aber keine Investitionen tätigen und keine Hardware verwalten.

• Dropbox & Co haben die Memory-Sticks verdrängt. Darüber ist eigentlich keine Firma traurig, denn es waren viele Sicherheits-Probleme im Zusammenhang mit Memory-Sticks zu lösen.
• Mit einem hosted Exchange Angebot lösen viele Firmen ihre Mail-Probleme, da Administratoren einer Mailinfrastruktur (meistens Exchange) von Kleinfirmen häufig mit der Verwaltung überfordert waren. Die Anbieter von hosted Exchange Angeboten beherrschen das Produkt in der Regel und implementieren ein Sicherheitsniveau, da in KMU kaum finanziert werden kann.
• Office 365 bringt klare und kalkulierbare Lizenzkosten mit sich und löst viele Lizenzierungsprobleme
• Die Zusammenarbeit über Firmengrenzen hinweg wird massiv vereinfacht (z.B mit Yammer).
• Der Mitarbeiter hat weltweit einen Zugang zu seinen Daten, ohne dass die Firma grosse Investitionen in VPN-Lösungen tätigen muss.
• Die Anbieter garantieren die Verfügbarkeit der Daten. Sie implementieren clevere Backup-Konzepte, auf die aber der Benutzer vielfach keinen Einfluss hat.

Diese Gründe haben dazu geführt, dass die Verwendung von Cloud-Services bei schweizerischen KMU geradezu explodiert sind. Kaum eine KMU-Firma kann es sich heute leisten, auf diese Dienstleistungen zu verzichten. Es gibt aber einige Problemfelder die man vor einem Einsatz von Cloud-Services geprüft haben sollte:

Daten ausser Haus:

Man muss sich bewusst sein, dass bei einer Verwendung von Cloud-Services Firmendaten ausserhalb der Firma gespeichert werden. Man hat damit wenig Einfluss auf die Sicherheit der Daten. Cloud-Anbieter sind eher im Fokus von Hackern oder Geheimdiensten. Sehr viele Cloud-Services wurden in letzter Vergangenheit gehackt. Viele Cloud-Services mussten sich zudem aus politischen Gründen Geheimdiensten öffnen. Was hier die Zukunft mit sich bringt, ist unklar. Bei Änderungen in der Sicherheitsansprüche und/oder  der politischen Situation wird es aber schwierig bis unmöglich den fremden Zugriff auf eigene Daten zu unterbinden. So wurde es  beispielsweise vor 2-3 Jahren es noch nicht als kritisch angesehen, wenn eine Firma sein Daten bei amerikanischen Firmen gehostet hatte. Heute wird das vielfach anders beurteilt.

Daten im Ausland:

Bei Daten im Ausland müssen die Gesetzgebungen der Schweiz, des Landes wo die Daten gespeichert sind und des Landes wo der Sitz der Firma ist berücksichtigt werden. Insbesondere aus Datenschutzgründen ist vielfach eine Speicherung der Daten aus rechtlichen Gründen im Ausland eingeschränkt oder ganz verboten.

Authentisierung:

Bei einer professionellen Verwendung von Cloud-Services ist eine sichere Authentisierung sehr wichtig. Ein Anwender will sich an der internen IT anmelden und dann ohne weitere Authentisierung auf externe Cloud-Services zugreifen. Dies wird heute in der Regel mit Konstrukten des federated Identity-Managements erreicht. Alle professionell einsetzbaren Services bieten heute entsprechende Konstrukte an. Damit wird zudem sichergestellt, dass bei einem Austritt eines Mitarbeiters aus der Firma gleichzeitig mit dem Firmenaccount auch der Zugriff auf die Cloud-Ressourcen deaktiviert wird.

Kosten:

Private Benutzer sind sich gewohnt, dass sie für Cloud-Services nichts bezahlen müssen. Bei einem professionellen Einsatz fallen hingeben Kosten an. Bei einem kostenpflichtigen Anbot sind in der Regel die Funktionen inbegriffen, die ein Arbeiten in einer Firma und auch ein firmenübergreifendes Arbeiten unterstützen. Vielfach ist es für KMU durchaus sinnvoll, diese Angebote anzunehmen. Man muss sich aber bewusst sein, dass sich die Kosten schnell ändern können und dass man als KMU kaum ein Diskussionspartner für global tätige Cloud-Anbieter ist.

Bindung an ein Produkt:

Die Anwender gewöhnen sich an ein Produkt. Damit wächst mit der Zeit die Bindung an das Produkt. Ein Wechsel auf ein anderes Produkt wird damit erschwert.

Zugriffschutz

Je nach Cloud-Service werden unterschiedliche Zugriffsschutz-Mechanismen unterstützt. Ein Cloud-Anbieter bietet kaum die gleichen Zugriffschutz-Konzepte an, wie eine interne IT.

Abhängigkeit

Das Internet funktioniert aktuell recht zuverlässig. Man muss sich aber bewusst sein, dass bei einem Ausfall des Internets ein Zugriff auf die in der Cloud gespeicherten Daten nicht mehr möglich ist. Auch in der Schweiz hatten wir in der letzten Zeit relativ viele Unterbrüche in der Internet-Anbindung.

Abhängigkeit von einer externen Firma:

Bei der Verwendung eines Cloud-Service baut man immer auch eine Abhängigkeit zu einer externen Firma auf. Man wird erpressbar. Zudem unterliegen alle Firmen politischen Rahmenbedingungen, die sich schnell ändern können.

Unklare Sicherheit:

Es ist praktische unmöglich die implementierte Sicherheit von externen Firmen zu überprüfen. Immer wieder wurden Cloud-Services in letzter Zeit gehackt. Zudem ist häufig unklar, wie die Daten gesichert werden.

Es gibt noch einige weitere Punkte, die man berücksichtigen kann. Für die meisten Problemfelder gibt es heute aber Lösungsansätze und Massnahmen. Diese muss man aber diese diskutieren, bevor ein Cloud-Service verwendet wird.