Kurt Porkert und Joachim Schuler

Transkript

1 IT aus den Wolken wenn das Angebot passt Kurt Porkert und Joachim Schuler 1 Cloud-Computing als kontrovers bewertetes IT-Trendthema S Vielfalt der Cloud-Service-Modelle S Chancen und Risiken beim Einsatz von Cloud-Services S Konzept für die Einsatzentscheidung bestimmter Cloud-Services S AbschlieSSende Bewertung S

2 Kurt Porkert und Joachim Schuler 1. Cloud-Computing als kontrovers bewertetes IT-Trendthema Bereits seit vielen Jahren gibt es Lösungen, Teile der Unternehmens-IT von externen Dienstanbietern betreiben zu lassen. Eine Lösungsvariante, die im Moment im Blickpunkt steht, ist Cloud-Computing. 1 Durch sogenannte Cloud-Services werden von Anbietern mittels einer (metaphorischen) Wolke virtualisierte IT-Ressourcen über ein Netzwerk bereitgestellt. Zahlreiche Beobachter des Markts für IT-Produkte und IT-Dienstleistungen, beispielweise Gartner 2, und vor allem Lösungsanbieter bescheinigen dem Cloud-Computing gegenwärtig ein riesiges Potenzial. Nach ihrer Einschätzung werden die IT-Landschaften in den kommenden Jahren erheblich durch die Nutzung von Cloud-Services geprägt. Andere Analysten sehen in dieser Darstellung dagegen nur einen Medienhype, dessen Verwirklichung in der Praxis sehr fraglich erscheint. 3 Somit ist zu klären, wie die Unternehmen und Institutionen herausfinden können, ob sie bestimmte Cloud-Services in ihre IT-Landschaft einbinden sollten. 2. Vielfalt der Cloud-Service-Modelle Die Entscheidungsfindung zum Serviceeinsatz muss die unterschiedlichen Möglichkeiten berücksichtigen, wie Cloud-Services gestaltet sein können. Dafür liegen verschiedene Service-Modelle vor, die nach verschiedenen Ebenen- und 1 Vgl. Mell, P.; Grance, T. (2011): The NIST Definition of Cloud Computing - Recommendations of the National Institute of Standards and Technology. Special Publication , National Institute of Standards and Technology, Gaithersburg, nist.gov/publications/nistpubs/ /sp pdf (abgerufen: ). 2 Vgl. O.V. (2012): Gartner s 2012 Hype Cycle for Emerging Technologies Identifies Tipping Point Technologies That Will Unlock Long-Awaited Technology Scenarios Hype Cycle Special Report, (abgerufen: ). 3 Vgl. Wiehr, H. (2011): Prognose vom Forrester-CEO: Die Cloud is dead. CIO-Online, ( ). Liefermodellen differenziert werden können. Aus Sicht des Nutzers gelten nach Biebl 4 für Cloud-Dienste als essenziell die Eigenschaften On-Demand, Pay per Use und Elasticity. On-Demand umschreibt, dass der Nutzer über das Web selbständig und automatisiert einen Service einrichten, starten und auch wieder kündigen kann. Zusammen mit dem nutzungsorientierten Abrechnungsmodell Pay per Use, das Nutzeneinheiten wie Zeit, Speicherverbrauch oder Transaktionen zur Abrechnung heranzieht, wird ein sehr flexibler Einsatz von IT-Ressourcen möglich. Dabei stehen anscheinend unbegrenzte Ressourcen zur Verfügung, so dass der Anwender den Service beliebig an sein aktuelles Belastungsprofil anpassen, also skalieren kann. Neben diesen prinzipiellen Merkmalsbeschreibungen ist die Klassifikation der Cloud-Services in Servicemodelle nach mindestens drei Ebenen der Anwendungsarchitektur verbreitet: Infrastructure as a Service (IaaS) Platform as a Service (PaaS) Software as a Service (SaaS) IaaS beschreibt eine virtuelle IT-Infrastruktur, über die Kunden Prozessorleistung und/oder Speicherkapazitäten für beliebige Anwendungen beziehen. Das bedeutet, dass die Kunden die physikalische Infrastruktur über viele, einzeln konfigurierbare virtuelle Maschinen anteilig (multi tenant) nutzen. Damit ist eine flexible Deckung eines stark schwankenden Ressourcenbedarfs einzelner Anwender möglich. Bei PaaS werden Programmier- oder Laufzeitumgebungen als Services bereitgestellt. Diese bieten Anwendungsentwicklern bestimmte Funktionen der Tool-Integration und Benutzerverwaltung sowie eine verbesserte Systemverfügbarkeit. Betreffende Kunden können entweder eigene Applikationen 4 Vgl. J. Biebl (2012): Wofür steht Cloud Computing eigentlich? In Wirtschaftsinformatik & Management 2, S

3 IT aus den Wolken wenn das Angebot passt vollständig neu entwickeln oder aber auch bestehende Lösungen erweitern. Von SaaS spricht man, wenn eine Anwendungssoftware online zur Verfügung gestellt wird. Jedoch ist der Anwender auf das Nutzungsangebot seines Anbieters beschränkt und kann die Applikation sowie die zugrunde liegende Technologie nicht beeinflussen. Nach den Organisationsformen, das heißt nach der Zuständigkeit und dem Ort des Erbringens der Services, ist eine Einteilung in folgende Hosting- oder Liefermodelle üblich: Public Cloud Private Cloud Hybrid Cloud Bei der Public Cloud erfolgt der Zugriff über das Internet. Viele Unternehmen teilen sich eine virtuelle Infrastruktur. Die Cloud-Umgebung gehört einem externen IT-Dienstleister. Die Private Cloud ist auf die Anforderungen einzelner Anwender ausgelegt und nur für diese in der Regel über ein Intranet oder ein Corporate Network zugänglich. Diese Cloud-Umgebung kann in unterschiedlichen Varianten 5 betrieben werden als rein private, als managed private oder als outsourced private. Bei der reinen Private Cloud betreibt der Anwender die Ressourcen als ihr Eigentümer mit eigenem Personal in seinem Unternehmen oder seiner Einrichtung. Wenn nur die Zuständigkeit für den Betrieb der beim Anwender lokalisierten Ressourcen an einen externen Dienstleister übertragen wird, liegt eine Managed Private Cloud vor. Bei einer Outsourced Private Cloud betreibt der externe Dienstleister die Lösung in seinem Haus als eine dedizierte Cloud-Infrastruktur für einen einzelnen Kunden. Die Integration der IT-Ressourcen aus Lösungen für Private Cloud, Public Cloud und tra- ditionelle IT-Umgebungen wird auch als Hybrid Cloud bezeichnet. Durch die verschiedenen Cloud-Service-Modelle und durch zahlreiche Kooperationsmöglichkeiten bei der Service-Bereitstellung ergibt sich eine Vielfalt an Wertschöpfungsketten und -netzen für die Cloud-Services. In bestimmten Fällen können mehrere Leistungserbringer Vertragspartner des Anwenders werden. So kann für die Cloud-Service-Arten SaaS und PaaS entweder das Vertragsverhältnis Cloud aus einer Hand oder das Vertragsverhältnis Cloud Provider als Generalunternehmer vorliegen Chancen und Risiken beim Einsatz von Cloud-Services Mit der Anwendung solcher Services sind Erwartungen verbunden, dass sich einige Verbesserungen einstellen: Kostensenkungen durch Umverteilung von Investitions- zu Betriebskosten und durch benutzungsabhängige Bezahlung Bereitstellung anforderungsgerechter Softwarefunktionen auch bei fehlendem Know-how zum Betrieb der IT-Lösung Schnelleres Wirksamwerden der Softwarefunktionen durch kurze Einführungsdauer Schnelle Anpassung der IT-Ressourcen an veränderte Anforderungen Leichter mobiler Benutzerzugriff Allgemein werden Kosteneinsparungen und Kostentransparenz als ein Hauptargument für Cloud-Services gesehen. Durch eine hohe Auslastung der IT-Infrastruktur, Skaleneffekte, Standardisierung und Automatisierung können Cloud-Anbieter oft ein höheres Niveau garan- 5 BITKOM (Hrsg.) (2009): Cloud Computing - Evolution in der Technik, Revolution im Business. Leitfaden, Berlin, S. 31, URL: documents/bitkom-leitfaden-cloudcomputing_web.pdf ( ). 6 Vgl. BITKOM (Hrsg.) (2010): Cloud Computing Was Entscheider wissen müssen. Leitfaden, Berlin, S. 31 ff., URL: bitkom.org/files/documents/bitkom_leitfaden_cloud_computing-was_entscheider_wissen_muessen.pdf ( ). 47

4 Kurt Porkert und Joachim Schuler tierter Verfügbarkeit zu gleichen oder geringeren Kosten anbieten als dies bei einer eigenen, konventionellen Lösung möglich wäre. Zusätzlich sparen die Cloud-Anwender Investitions- und Installationskosten ein, was Liquiditätsvorteile bringt. Fixkosten werden durch dynamische Anpassungen des Leistungsbezuges und der Abrechnung nach tatsächlicher Nutzung vermieden. Da die finanziellen Einstiegshürden sinken, können auch kleine Unternehmen temporär auf große Rechenressourcen zugreifen und sich neue Wettbewerbsmöglichkeiten eröffnen. Dabei verringern sich ihre Aufwendungen für die Bereitstellung der IT-Ressourcen, da sie sich nicht um den Betrieb und die Wartung der Hard- und Betriebssystemsoftware sowie nicht um deren Verfügbarkeit und Sicherheit kümmern müssen. Zum anderen werden beim Einsatz von SaaS auch Personalaufwendungen für Updates, Backup, Installation und Administrationsarbeit eingespart. Allerdings müssen auch Risiken in Betracht gezogen werden, die aus der Cloud-Service-Nutzung resultieren können: Gefährdungen der Informationssicherheit Verlust der Kontrolle über die Daten Abhängigkeit von der Netzverfügbarkeit und von hohen Übertragungsraten Abhängigkeit vom externen Dienstleister und vom Netzanbieter Probleme bei der Integration der Cloud Services in bestehende Lösungen Datenschutz und Datensicherheit werden heute als Hauptgrund genannt, warum Cloud Services nicht eingesetzt werden. Dominierend sind Ängste, dass Dritte unberechtigt auf sensible Daten zugreifen könnten, und die mangelnde Kontrolle, wo die Daten tatsächlich gespeichert sind. So besteht die Gefahr, dass deutsche Datenschutzvorschriften verletzt werden, wenn z.b. personenbezogene Daten in Rechenzentren außerhalb der EU verarbeitet und gespeichert würden. Das Risiko durch den Bezug der Cloud-Services über das Internet und damit die Verfügbarkeit der IT-Ressourcen erhöht sich durch die Abhängigkeit von zwei Lieferanten, vom Dienstleister und vom Netzanbieter. So relativiert sich eine Verfügbarkeit von 99,9999% des Cloud-Anbieters, wenn nicht entsprechende Service Level Agreements für die Verfügbarkeit des Netzes, insbesondere des Internets, auch bestehen. Mit der Nutzung von Cloud-Services geht dem Anwender Know-how verloren. Interne Mitarbeiter kennen die technischen Hintergründe nicht mehr, der Cloud-Anbieter ist im Vorteil, man wird abhängig. Verhandlungen und Diskussionen werden schwieriger, Probleme können nicht mehr aus eigener Kraft gelöst werden. Eine weitere gravierende Unsicherheit betrifft die Unterstützung bei einem Anbieterwechsel und die Folgen einer Insolvenz des Anbieters. Die genannten Risiken vermindern sich oder entfallen, wenn eine Private Cloud anstelle einer Public Cloud genutzt wird. Insbesondere eine reine Private Cloud kann die Gefahren weitgehend ausschließen. Andererseits sinken bei ihrem Einsatz zugleich auch die potenziellen Vorteile und damit die Attraktivität der Services erheblich. 4. Konzept für die Einsatzentscheidung bestimmter Cloud-Services Für die Entscheidung der Unternehmen und Institutionen darüber, ob sie bestimmte Cloud-Services in ihre IT-Landschaft einbinden sollten, eignet sich ein in der Tab. 1 dargestellter dreistufiger Prozess. 7 7 Vgl. Porkert, K. (2012): Entscheidungskonzept für die Transformation einer IT-Landschaft durch Cloud-Service-Einsatzszenarien. In: Barton, T., Erdlenbruch, B., Herrmann, F., Müller, C., Schuler, J. (Hrsg.): Management und IT. S , News & Media, Berlin. 48

5 IT aus den Wolken wenn das Angebot passt Tab. 1: Entscheidungsprozess für einen Cloud-Service-Einsatz STUFE ZIEL INHALT ERGEBNISSE 1 Bestimmen des Handlungsbedarfs für Änderungen in der IT-Landschaft 2 Ermittlung der Erfolgsaussichten für die Beseitigung von Schwachstellen in der IT-Landschaft durch Cloud- Services 3 Entscheidungsfindung zum Einsatz konkreter Cloud-Service-Angebote Analyse der Schwachstellen in der IT-Landschaft Analyse der Bedingungen für einen erfolgreichen Einsatz von Cloud-Services im Unternehmen bzw. in der Institution Analyse relevanter Cloud- Service-Angebote auf der Basis eines Kriterienkatalogs Ziele der erforderlichen Veränderungen in der IT- Landschaft Bewertete Erfolgsaussichten der Beseitigung definierter Schwachstellen in der IT-Landschaft durch verschiedene Cloud-Service-Varianten Einsatzentscheidung für bewertete Cloud-Service- Angebote Ein Handlungsbedarf für Änderungen in der IT-Landschaft kann sich ergeben, wenn festgestellt wird, dass die Erfüllung der Geschäftsanforderungen oder die Qualität der Struktur der Anwendungslandschaft, der technischen Plattform oder des Betriebs der IT-Landschaft nicht ausreichen. Daraus leiten sich als mögliche Änderungsziele unter anderem das Schließen von Funktions-, Sicherheits- oder Integrationslücken, die Beseitigung von Redundanz, Heterogenität oder Regelungskonformitätsmängeln sowie die Senkung des Aufwands bzw. der Kosten ab. Ob Cloud-Services zur Zielerreichung geeignet sind, wird aus einem Vergleich der im Anwendungsbereich vorliegenden Bedingungen mit den Voraussetzungen für einen erfolgreichen Cloud-Service-Einsatz deutlich. Diese Voraussetzungen variieren, wie oben aufgeführt, bei den verschiedenen Cloud-Service-Modellen sowie nach Anwendungsgebieten und Typen von Anwendern. So verbessern sich zum Beispiel die Erfolgsaussichten für Anwender, die mit anderen Anwendern einen Teil der in der Cloud verwalteten Datenbasis teilen möchten. Das trifft unter anderem für Unternehmen zu, die sich in einer SRM-Lösung aus der Cloud einen gemeinsamen Artikelstamm durch Freischaltung des SRM-Cloud-Anbieters schaffen. Die Entscheidung über den Einsatz eines konkreten Cloud-Service-Angebots beruht auf den definierten Änderungszielen der IT-Landschaft und weiteren Anforderungen, die sich nicht zuletzt aus Vorgaben der IT-Strategie des Anwenders oder der Geschäftspartner und Behörden ergeben. Sie sollte auf der Basis eines Kriterienkatalogs fallen, der eine Bewertung folgender Anforderungskomplexe ermöglicht: Funktionale Anforderungen an den Service, wie Abdeckungsgrade der Muss - und der Kann -Funktionen, Umfang des Funktionsballasts, Grad der Individualisierbarkeit der Funktionen, Service-Ergänzungsmöglichkeiten Nicht funktionale Anforderungen an den Service, wie Preise, Referenzen, Informationssicherheit, Compliance, Leistungsfähigkeit, Zuverlässigkeit, Anpassungsfähigkeit, Integrationsfähigkeit, Benutzerfreundlichkeit, Rückführbarkeit, Detailliertheit und Aussagekraft der Service-Level-Agreements Anforderungen an das Service-Management, wie Qualitätsniveau im Sicherheitsmanagement (insbesondere Identity Management und Notfall-Management), Change Management, 49

6 Kurt Porkert und Joachim Schuler Incident Handling, Capacity Management, SLA-Management, Service Desk, Management der Vertragsvorbereitung, -überwachung und -beendigung Anforderungen an den Anbieter, wie finanzielle Stabilität des Providers, Ansehen, Abhängigkeit von anderen Anbietern, Zertifizierungen, Bereitschaft zur Auditierung, Auskunftsbereitschaft über die Lokationen der Anbieters und des Betriebs sowie über geltende Rechtsregelungen und über Maßnahmen im Service-Management. Unternehmen (KMU), die keine oder nur eine kleine IT-Abteilung besitzen, sind sie interessant. Komplexe integrierte Lösungen können sie kaum ersetzen. Sie so einzubinden, dass keine neuen Daten-Silos entstehen, bedeutet eine besondere Herausforderung, die ohne Vereinheitlichung und Standardisierung kaum zu bewältigen ist. Einerseits müssen die Cloud-Services offene Schnittstellen bereitstellen und komplexe Anbindungsmöglichkeiten unterstützen. Andererseits erleichtern vereinheitlichte Geschäftsprozesse und homogene IT-Landschaften die Service-Integration. 5. Abschließende Bewertung In welchem Umfang Cloud-Services von den Unternehmen und Institutionen zukünftig wirklich genutzt werden, richtet sich danach, inwieweit sie die aufgeführten Anforderungen erfüllen können. Dies zu prüfen ist eine zentrale Aufgabe der Chief Information Officers (CIOs). Dabei ist der entscheidende Faktor, welches Vertrauen in den Anbieter der Cloud-Services besteht, dass dieser ohne Vereinbarung keine Daten weiterverarbeitet oder weitergibt. Wenn Zweifel bestehen, dass die Prozesse und Sicherheitsmaßnahmen den vereinbarten Levels entsprechen, wird bei vielen Unternehmen und Institutionen weiterhin Zurückhaltung bestehen, Cloud-Services einzusetzen. Voraussichtlich werden Cloud-Services vor allem zum Einsatz gelangen, um schnell und selektiv ausgewählte Veränderungen herbeizuführen. Davon profitieren vor allem Anwender mit stark schwankendem Bedarf an IT-Ressourcen oder mit temporären Lastspitzen. Sie müssen kein System vorhalten, das meist nicht ausgelastet ist, sondern können flexibel die Ressourcen aus der Cloud beziehen und nach Aufwand bezahlen. Nach Unternehmensgrößen differenziert werden Cloud-Services unterschiedlich große Bereiche der IT-Landschaft vorteilhaft abdecken können. Besonders für kleine und mittlere Dr. Kurt Porkert ist seit 1991 Professor für Wirtschaftsinformatik an der Hochschule Pforzheim. Dr. Joachim Schuler ist seit 1998 Professor für Wirtschaftsinformatik an der Hochschule Pforzheim. 50