Cloud vs. On-Premises

Lesedauer: 56 Minuten

Wenn neue Software für Unternehmen angeschafft werden soll stellt sich mittlerweile immer die Frage, ob man diese wie gewohnt auf einem lokalen, eigenen Server installiert („On-Premises“) oder doch den in Deutschland vergleichsweise neuen Weg „in die Cloud“ geht. Dieser Artikel zeigt Vor- und Nachteile und wichtige Stolpersteine beider Lösungsansätze auf.

Die Tendenz ist seit Jahren klar zu erkennen, praktisch alle Systeme wandern nach und nach „in die Cloud“¹⁾https://www.computerwoche.de/a/der-trend-geht-zur-multi-cloud,3332352.

Deutschland ist da wohl weltweites Schlusslicht²⁾https://www.elektroniknet.de/deutschland-ist-schlusslicht-122602.html. Hierzulande arbeiten wir als einziges Land überhaupt noch mit Faxgeräten³⁾https://www.wiwo.de/technologie/digitale-welt/kommunikation-in-deutschen-unternehmen-warum-das-faxgeraet-einfach-nicht-ausstirbt/22868330.html die wir 1979 auch eingeführt haben, selbstverständlich hat jeder Mitarbeiter ein altbackenes Tisch-Telefon und nicht nur sein iPhone als Arbeitsgerät – noch⁴⁾https://www.welt.de/wirtschaft/article155304993/Telefonpionier-Siemens-kappt-das-Festnetz-im-Buero.html. Bei kleinen Unternehmen noch viel schlimmer als bei den großen⁵⁾https://blog.wiwo.de/look-at-it/2015/08/25/deutscher-mittelstand-schlusslicht-bei-cloud-nutzung-15-prozentpunkte-unter-durchschnitt/. Wir sind halt traditionell. Altbacken. Veraltet⁶⁾https://www.it-zoom.de/it-director/e/digital-workspace-statt-on-premise-anwendungen-16707/. Wir betreiben noch lokale Exchange Server beim Kunden⁷⁾https://www.theprojectgroup.com/blog/microsoft-cloud-deutschland-office-365/ – technisch gesehen mit das dümmste, was man überhaupt machen kann⁸⁾https://www.channelpartner.de/a/10-kriterien-fuer-den-wechsel-zu-exchange-online,2597284. Und speichern, ja speichern tun wir lieber auf unseren eigenen Servern statt bei Dropbox, OneDrive und Co⁹⁾https://www.interxion.com/de/news/2015/12/cloud-in-deutschland-trotz-skepsis-liegen-dropbox–co.-vorne-verbraucher-wunschen-rechenzentren-auf-deutschem-boden/.

Nichtsdestotrotz müssen wir uns darauf einstellen, dass neue Systeme zunehmend nur noch als Cloud-Anwendung verfügbar sein werden¹⁰⁾https://handelsjournal.de/unternehmen/technik/immer-mehr-anwendungen-kommen-aus-der-cloud.html.

Gründe aus Anbietersicht

Die Hauptgründe aus Anbieterseite liegen auf der Hand:

1. Durch Abo-Modelle verdienen Anbieter mehr¹¹⁾https://netzpalaver.de/2017/06/05/entscheidungshilfe-on-premise-cloud-oder-as-a-service-loesung/ und binden Kunden langfristig¹²⁾https://www.weltbild.at/artikel/buch/das-abo-zeitalter_25560872-1. Ein Wechsel ist schwer bis gar nicht möglich, weil man nicht an die Rohdaten kommt¹³⁾https://www.beck-shop.de/szer-cloud-computing-wissensmanagement-bewertung-wissensmanagementsystemen-cloud/product/12796714.
2. Die Entwicklung wird stark vereinfacht, da sich die Anbieter selbst um Server und Software kümmern¹⁴⁾(https://www.snowflake.com/blog/developing-cloud/ und nicht mehr jede zehn Jahre alte Kundenhardware irgendwie kompatibel machen müssen¹⁵⁾https://www.produktiver-entwickeln.de/Blog/Posts/2017/8/Warum-die-Cloud-fuer-alle-Entwickler-relevant-ist.
3. Der Betrieb wird günstiger, weil statt teurer Microsoft SQL Lizenzen beim Kunden kostenfreie „Bastellösungen“ eingesetzt werden können (ich denke da vor allem an Nicht-Standard SQL Datenbanken¹⁶⁾https://www.computerwoche.de/a/was-sie-ueber-nosql-wissen-sollten,2528753, veraltete JAVA Komponenten die noch kostenfrei nutzbar waren¹⁷⁾https://www.itk-security.de/brak-verzichtet-bei-bea-auf-sicherheitsupdates/ und Synergieeffekte, wenn sich alle Kunden einen Datenbankserver teilen¹⁸⁾https://azure.microsoft.com/en-us/pricing/details/sql-database/managed/¹⁹⁾https://cloud.google.com/sql/pricing – was man so nicht betreiben würde, könnte der Kunde draufschauen)
4. Da jeder Kunde praktisch dasselbe System bekommt²⁰⁾https://www.snowflake.com/blog/developing-cloud/, ist jeder Kunde automatisch kostenfreie Testperson²¹⁾https://lautfunk.uber.space/probepodcast/probe-podcast-18-unfreiwillig-beta-tester/ und der Anbieter bekommt Fehler sofort mit, sofern entsprechende Supportvereinbarungen vorliegen²²⁾https://www.snowflake.com/blog/developing-cloud/ – ansonsten Pech, bitte warten.
5. Solche Fehler durch schlechte Programmierung²³⁾https://www.techopedia.com/definition/18105/bug-fix können die Hersteller schnell ausbügeln, ohne abhängig vom IT Support des Kunden zu sein²⁴⁾https://www.snowflake.com/blog/developing-cloud/.

Soll heißen, über kurz oder lang wird es keine Alternative zur Cloud geben²⁵⁾https://www.computerwoche.de/a/der-trend-geht-zur-multi-cloud,3332352. Sogenante „On-premises“, „on premise“ oder „on prem“ Systeme – also solche, die am eigenen Standort betrieben werden²⁶⁾https://www.seo-united.de/glossar/on-premises/ – verschwinden immer mehr vom Markt. Irgendwann wird es diese nicht mehr geben²⁷⁾https://www.business-cloud.de/cloud-oder-on-premise/. Davon bin ich überzeugt.

Ausnahmen bestätigen die Regel

Für Systeme, die mit sehr großen Datenmengen arbeiten (Beispiel: professioneller Ultra-HD Videoschnitt²⁸⁾https://www.heise.de/select/ct/2019/1/1546321595891966) oder in Echtzeit funktionieren müssen (Beispiel: TV Liveübertragung²⁹⁾https://de.wikipedia.org/wiki/Streaming_Media), wird es wohl noch längerfristig lokale Alternativen geben. Was technisch heute noch nicht als Cloud-Produkt umgesetzt werden kann, das gibt es natürlich auch weiterhin lokal.

Viele Hersteller bieten übergangsweise beide Modelle an³⁰⁾https://rz10.de/1-noch/topf-sucht-deckel-connect-2018-sap-partner-summit/. Sei es als zwei getrennte Produkte mit ähnlicher Oberfläche, oder aber der Anbieter betreibt die eigentlich lokale Serverapplikation auf gehosteten Servern, die über Internet erreichbar gemacht werden. Das nennt sich dann oft „private cloud“³¹⁾https://www.cloudcomputing-insider.de/was-ist-eine-private-cloud-a-631415/. Ist eigentlich keine Cloud, sieht aber für den Anwender so aus³²⁾https://www.heise.de/ix/artikel/Heiter-bis-holprig-1229789.html?view=&artikelseite= und verkauft sich gut³³⁾https://www.it-finanzmagazin.de/so-werden-hybrid-clouds-wirklich-implementiert-68230/.

Genau hier setzen wir an. Dieser Artikel soll eine Hilfestellung sein um sich selbst darüber klar zu werden, welche Variante für das eigene Unternehmen besser geeignet ist. Vorausgesetzt natürlich, man hat die Wahl zwischen einer Cloud- und einer on premise Variante.

Eine individuelle Beratung können diese Anregungen nicht ersetzen³⁴⁾https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/CloudComputing/Zielgruppen/Anwender/AnwenderManagement/AnwenderManagement.html ³⁵⁾https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/bausteine/OPS/OPS_2_2_Cloud-Nutzung.html ³⁶⁾https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/CloudComputing/Zielgruppen/Anwender/AnwenderProfessionals/anwenderProfessionals_node.html. Im Detail hängen die Fragestellungen stark von individuellen Faktoren wie dem umgesetzten Workflow, der eigenen Präferenz, dem Datenschutz- und allgemeinen Schutzbedürfnis und vielen weiteren Faktoren. Für eine erste Orientierung wird es aber sehr hilfreich sein, zumindest einmal „neutral“ zu betrachten, welche Vor- und welche Nachteile es grundsätzlich gibt.

Vergleich Cloud und on prem

Auf alle Punkte aus der folgenden tabellarischen Übersicht gehen wir weiter unten im Detail ein. Die einzelnen Themengebiete sind auch über das Inhaltsverzeichnis am Anfang dieser Seite verlinkt.

Für einen besseren Überblick nehme ich hier jeweils die Zusammenfassung vorweg.

Bevor es richtig los geht

Cloud-Produkte sind dafür bekannt, dass man jederzeit mit einer Testversion starten kann ohne großartige Vorbereitungen treffen zu müssen. Bei on premise Systemen schaut das anders aus.

	Cloud	on Premise
erste Kosten	mit finaler Übergabe des Systems anin den Kunden, ggf. geringfügig vorher für Schulungen oder Workshops	deutlich vorher, da Netzwerk- und Rechnerinfrastruktur gemäß der Herstellervorgaben beschafft werden müssen
Anfangs-Invest	gering bis gar nicht	oft hohe Anschaffungskosten für Hardware
gebundenes Kapital	gering	hoch
Lizenzkosten	enthalten	Anschaffungskosten plus Maintenance

Die Hersteller von lokalen Softwaresystemen schreiben die benötigte Hardware vor und kalkulieren dabei Spitzenlasten ein. Dadurch bedingt sind Kunden oft zunächst sehr überrascht, wenn für eine Software für 50 Mann erst einmal drei bis vier neue Server und ein sogenanntes „Shared Storage“ für 200.000,- € angeschafft werden sollen. Anders lässt es sich aber oft nicht so darstellen, dass der Hersteller der Software einen reibungslosen Betrieb garantieren kann.

Bei der Cloud-Variante sind diese Spitzenlasten zwar auch einkalkuliert – im Zweifel sogar noch wesentlich mehr Puffer als man es in der eigenen Firma vorsehen würde – aber dort verteilt sich die Last immer auf alle Benutzer. Kein Cloud-Hersteller schafft für Sie eigene Hardware an³⁷⁾https://www.com-magazin.de/praxis/business-it/cloud-on-premise-qual-wahl-1704035.html, auch wenn sich das im Prospekt meist so liest.

Diese einkalkulierten Spitzenlasten haben in der Cloud noch einen weiteren sehr großen Nachteil. Kalkulieren Sie im eigenen Netzwerk auf on prem Systemen nur Ihre eigenen Spitzenlasten ein, so kalkulieren Sie Ihre Systeme auf maximal 90% Auslastung in Höchstzeiten. Der Cloudanbieter kalkuliert aber immer nur im Mittel. Wollen dann alle User unerwartet gleichzeitig Spitzenleistung, dann bricht das System zusammen und reagiert mitunter mehrere Tage nicht mehr.

Prominentes Beispiel: Automatisierte PDF Rechnungserstellung über gängige Cloud-Produkte dauern am ersten des Monats erfahrungsgemäß bis zu 50x so lange oder funktioinieren überhaupt nicht. Das lässt sich jeden Monat für Monat wiederholt im Praxistest nachstellen.

Festhalten lässt sich jedenfalls, dass die beworbene Flexibilität von Cloud-Anbietern zu einem erheblichen Teil nur Augenwirscherei ist. Wo es Vorteile für den Cloud-Anbieter gegenüber dem Eigenbetrieb gibt, das ist vor allem das Rechenzentrum an sich.

Um alles, worum sich der Cloud-Anbieter kümmern würde, müssen Sie sich bei einer lokalen Lösung selbst kümmern:

• Datensicherung³⁸⁾https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/umsetzungshinweise/CON/Umsetzungshinweise_zum_Baustein_CON_3_Datensicherungskonzept.html
• Klimatisierung³⁹⁾https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/elementare_gefaehrdungen/G_0_2_Ung%C3%BCnstige_klimatische_Bedingungen.html
• Serverschrank⁴⁰⁾https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/bausteine/INF/INF_2_Rechenzentrum_sowie_Serverraum.html
• Stromanschlüsse und Stormzufuhr⁴¹⁾https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/elementare_gefaehrdungen/G_0_8_Ausfall_oder_St%C3%B6rung_der_Stromversorgung.html
• redundante Stromzufuhr⁴²⁾https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Sicherheitsberatung/Redundanz-Modularitaet-Skalierbarkeit/redundanz-modularitaet-skalierbarkeit.pdf?__blob=publicationFile&v=1
• unterbrechungsfreie Stromversorgung⁴³⁾https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/bausteine/INF/INF_2_Rechenzentrum_sowie_Serverraum.html?nn=10137152#doc10095760bodyText13
• IT-Dienstleister, der alles in Schuss hält⁴⁴⁾https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzUeberblick/LeitfadenInformationssicherheit/leitfaden_node.html
• Monitoring (Überwachungssysteme)⁴⁵⁾https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Hochverfuegbarkeit/BandB/B10_Ueberwachung.pdf?__blob=publicationFile&v=1
• Serverraum als solches⁴⁶⁾https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-Grundschutz-Modernisierung/BS_Schutzschrank.pdf?__blob=publicationFile&v=9
• und vieles mehr⁴⁷⁾https://www.bsi.bund.de/DE/Themen/StandardsKriterien/ISi-Reihe/ISi-Server/server_node.html

Und wenn Sie all das vorbereitet und viel Geld dafür ausgegeben haben, steht noch kein bisschen von Ihrer eigenen Software im Haus. Dann dürfen Sie erst einmal teuer Lizenzen kaufen und vielleicht, ja vielleicht geht es dann so langsam mal los an die eigentliche Installation Ihrer Software.

So gesehen ist es auf den ersten Blick sehr verlockend, auf Cloud-Systeme zurück zu greifen. Insbesondere für Start Up Unternehmen, die schlicht und ergreifend noch keine Kapitaldecke aufbauen konnten, sind derartige Systeme von hohem Interesse.

Vorbereitungen am Standort

Die meisten Punkte haben wir gerade schon angesprochen, hier noch einmal übersichtlich zusammengefasst.

	Cloud	On Premise
Platzbedarf	entfällt	Serverraum mit ausreichend Platz für benötigte Server
Vorbereiten der Server	entfällt	hoher Aufwand
erforderliches Know-How	gering	hoch
USV	entfällt	notwendig
Klimatisierung	entfällt	notwendig
Datensicherung	nicht möglich	Sicherungskonzept muss umgesetzt werden
Internetverbindung	erhebliche Veränderungen nötig	keine Änderung

Ein besonderes Augenmerk möchte ich an dieser Stelle auf die Datensicherung legen. Dieses Thema lassen Cloud-Anbieter für meinen Geschmack leider viel zu häufig komplett unter den Tisch fallen.

Achtung: Datensicherung

Ja, eine eigene Datensicherung kostet Geld⁴⁸⁾https://www.storage-insider.de/datensicherung-gemaess-bsi-vorgaben-bei-behoerden-v-27462-13276/. Die Sicherungssoftware kostet, der Backupserver kostet und auch eine dezentrale Sicherung zum Beispiel zu uns ins Rechenzentrum kostet jeden Monat Geld⁴⁹⁾dezentrale Datensicherung ins Rechenzentrum.

Wie ich zu sagen pflege, Sicherheit gibt es eben nicht zum Nulltarif⁵⁰⁾https://www.sparkassenzeitung.de/betrieb-%26-banksteuerung/sicherheit-gibt-es-nicht-zum-nulltarif.html. Und ausgerechnet am Backup zu sparen ist immer der falsche Weg – aber gängige Praxis in Cloud-Systemen⁵¹⁾https://vaitrade.de/blog/nie-mehr-ohne-backup-datensicherung-fuer-unternehmen/.

Auch hier ist der Hintergrund einfach erklärt, wenn man sich den Unterschied zur lokalen Lösung ansieht. Denn bei Ihrem eigenen Server steht es Ihnen frei, den gesamten Datenbestand inklusive aller Software-Teile vollständig zu sichern. Es ist ja Ihr eigener Server und Ihre eigene Hardware. Damit können Sie tun und lassen was Sie wollen, etwas überspitzt formuliert.

Bei der Cloud-Lösung kaufen Sie aber keine Software und Sie kaufen auch keinen Server. Sie erwerben lediglich das Nutzungsrecht an einer Lösung. Es gibt weder einen Rohdatenzugriff, noch können Sie mal eben eine Datenbank sichern. Genau so wenig können Sie eine Vollsicherung „Ihres“ Servers erstellen, weil Sie erstens keinen administrativen Zugang dafür bekommen und zweitens gibt es ja in der Regel auch nicht „Ihren“ Server⁵²⁾https://www.computerweekly.com/de/meinung/Backup-und-Recovery-neue-Anforderungen-alte-Probleme. Sie teilen sich Server und dessen Leistung mit vielen anderen Kunden. Also ganz klar, dass Sie davon niemals ein Backup sehen werden.

Nun vermag ich nicht für jeden Cloud-Anbieter auf der Welt zu beurteilen, wie schlecht (oder wie gut) diese Backupstrategien festlegen und umsetzen können⁵³⁾https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/bausteine/CON/CON_3_Datensicherungskonzept.html. Ein Backup, das den akzeptierten Mindestanforderungen genügt, habe ich aber noch bei keiner einzigen Cloud-Lösung gesehen.

Selbst Microsoft braucht mitunter eine ganze Woche, um defekte Microsoft Cloud Server wiederherzustellen⁵⁴⁾https://www.heise.de/newsticker/meldung/Neuer-Ausfall-in-Microsofts-Cloud-Microsoft-365-betroffen-4292269.html ⁵⁵⁾https://www.zdnet.de/88202532/microsoft-azure-weltweit-mehrere-stunden-ausgefallen/. Bei Amazon und Wettbewerbern ist das ähnlich⁵⁶⁾https://www.zeit.de/digital/internet/2017-03/amazon-aws-s3-cloud-ausfall-infrastruktur-internet-der-dinge. Denn es ist bei gemeinsam genutzten Servern echt schwierig zu sagen, was sich bei wem seit dem letzten Backup verändert hat, wer woran weitergearbeitet hat und welche Auswirkungen die Wiederherstellung für alle Benutzer hat⁵⁷⁾https://www.heise.de/newsticker/meldung/Microsoft-nennt-Gruende-fuer-Cloud-Ausfaelle-4296544.html. Insofern technisch mehr als verständlich, dass man bei Cloud-Systemen kein Backup hat in dem Sinn, wie wir es verstehen. Im Notfall einfach mal ein Backup von letzter Nacht einzuspielen ist bei Cloud-Systemen in der Regel nicht möglich und dessen sollte man sich absolut bewusst sein. Man begibt sich diesbezüglich auf Gedeih und Verderb in die Hände von – nicht bös verstehen – Leuten, deren Kernkompetenz nicht unbedingt in der Planung von Sicherungssystemen⁵⁸⁾https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/bausteine/CON/CON_3_Datensicherungskonzept.html liegt⁵⁹⁾https://www.beck-shop.de/szer-cloud-computing-wissensmanagement-bewertung-wissensmanagementsystemen-cloud/product/12796714.

Achtung: Internetverbindung

Ein weiterer wichtiger Punkt, auf den ich gesondert eingehe, ist die Wahl der richtigen Internetanschlüsse und entsprechender Hardware, die das auch am Standort bereitstellen kann.

Bedenken Sie immer, dass Sie beim Wechsel auf eine Cloud-Lösung zu 100% vom Internet abhängen⁶⁰⁾https://www.internetworld.de/technik/internet/cloud-abhaengigkeit-nachteile-285042.html. Fällt die Internetleitung aus, geht keine Anwendung mehr und Sie können Ihre Mitarbeiter nach Hause schicken⁶¹⁾https://www.pixxio-bildverwaltung.de/inhouse-server-oder-cloud-was-ist-besser-fuer-mein-vorhaben/.

Eine LTE Fallback Lösung, bei der automatisch auf LTE gewechselt wird wenn die Hauptleitung ausfällt, bringt hier nur selten etwas. Alle bestehenden Verbindungen reißen schlagartig ab, VPN-Verbindungen funktionieren über LTE auch nicht – womit z. B. sämtliche „private Cloud“ Systeme auch nicht erreichbar sind.

Es ist also in jedem Fall zu empfehlen, mit drei Verbindungen über dieselbe Netzwerkinfrastruktur zu arbeiten:

1. Hauptleitung mit schneller synchroner Bandbreite und entsprechendem SLA („Supportzusage“ des Anbieters, z. B. 4 Stunden; besser wahrscheinlich 2 Stunden): beispielsweise Glasfaser⁶²⁾https://www.colt.net/de/resources/9999-prozent-verfugbarkeit-100-prozent-service/
2. eventuell eine weitere Leitung mittels anderer Übertragungstechnik, z. B. Kupfer S-DSL oder notfalls V-DSL (wenn man sich nichts anderes leisten kann) – je nachdem, wie sehr das Unternehmen auf die Verfügbarkeit des Cloud-Produkts angewiesen ist
3. in jedem Fall ein LTE Fallback für Notfälle, denn nur damit kann sich der IT-Support bei Komplettausfall sofort um Ihre Störung kümmern und herausfinden, was los ist (denken Sie an den berühmten Bagger vor der Haustür)

Da Sie bei der Cloud-Lösung komplett vom Internet und Ihrem Netzwerk abhängig sind, empfiehlt es sich, alle Netzwerkkomponenten redundant auszuführen⁶³⁾https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Hochverfuegbarkeit/BandB/B3_Netze.pdf?__blob=publicationFile&v=1. Das bedeutet, dass von allen Geräten mindestens zwei Stück im Schrank hängen die immer laufen, und jeweils ein Stück davon ist „scharf“. Ausfälle werden dadurch wirksam abgefedert und auch im Falle nötiger Wartungsarbeiten kommt es nicht zu Unterbrechungen⁶⁴⁾https://www.linux-magazin.de/ausgaben/2009/09/netz-und-doppelter-boden/.

Eine entsprechende Netzwerkinfrastruktur können wir Ihnen problemlos liefern. Aber: auch das gibt es nicht umsonst. Hier reden wir je nach Anforderung eher von mehreren Zehntausend Euro Anschaffungskosten und sicherlich nicht unter Tausend Euro monatlichen Kosten für die Netzanbindungen.

Investitionssicherheit

Bei der Investitionssicherheit geht es nicht ausschließlich um die Frage der monetären Investition in Hardware für on premise Lösungen. Auch beim Cloud-Produkt sind viele Faktoren zu berücksichtigen.

	Cloud	On Premise
Skalierbarkeit (Flexibilität)	sehr hoch	abhängig von lokaler Hardware
Zugriff auf Rohdaten	nicht vorgesehen	Vollzugriff
Wechsel auf andere Lösung	nicht vorgesehen	jederzeit möglich
Nutzen der Hardware für andere Systeme	nicht vorgesehen	vollständig in eigener Hand
„Einfrieren“ des Systems als Archiv bei Wechsel auf andere Software	nicht möglich	jederzeit möglich
Weiternutzung der Software nach Vertragsende	nicht möglich	jederzeit möglich (im Rahmen der Lizenzbedingungen)
Notfallplan für den Fall der Produkteinstellung, Änderung, Herstellerinsolvenz	keiner	vorübergehender Weiterbetrieb möglich

Der Weg in die Cloud ist, wie man sieht, eine ziemliche Einbahnstraße⁶⁵⁾https://www.com-magazin.de/praxis/business-it/cloud-on-premise-qual-wahl-1704035.html. Man muss sich selbst um deutlich weniger technische Vorbereitungen kümmern, dafür gibt man aber sein gesamtes Firmenwissen und seine Arbeitsgrundlage vollständig in die Hand eines einzigen externen Cloud-Anbieters. Ein nachträglicher Wechsel ist in aller Regel nicht oder nur extrem beschwerlich möglich (sogenannter „Lock-In-Effekt“⁶⁶⁾https://www.informatik-aktuell.de/betrieb/virtualisierung/vorbehalte-gegen-cloud-computing-erwartungen-und-realitaet.html). Das gilt natürlich auch für on prem Systeme, aber da Sie dort Vollzugriff auf alle Daten haben sind Sie bei einem Wechsel nicht zwangläufig auf vorhandene APIs und Schnittstellen der Cloud-Lösung gebunden⁶⁷⁾https://www.informatik-aktuell.de/betrieb/virtualisierung/vorbehalte-gegen-cloud-computing-erwartungen-und-realitaet.html.

Achtung: Kein Vollzugriff auf Daten

Es gibt weder Vollzugriff auf die eigenen Daten, noch einen Weg, diese wieder aus der Cloud zurück zu bekommen⁶⁸⁾https://www.com-magazin.de/praxis/business-it/cloud-on-premise-qual-wahl-1704035.html. Vorsicht ist deshalb geboten, wenn die eigenen Unternehmensprozesse doch eher speziell sind. Unangekündigte Softwareänderungen können beim Cloud-Produkt jederzeit auftreten und es gibt keinen Weg zurück⁶⁹⁾https://www.com-magazin.de/praxis/business-it/cloud-on-premise-qual-wahl-1704035.html. Wo beim on premise Produkt jeweils nur nach Absprache installiert wird und im Notfall⁷⁰⁾https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/CloudComputing/Zielgruppen/Anwender/AnwenderProfessionals/AnwenderProfessionals.html?cms_pos=3 auf die letzte Version zurück gerudert werden kann, gibt es bei Cloud-Produkten kein Wahlrecht⁷¹⁾https://www.snowflake.com/blog/developing-cloud/. Funktioniert nach Update ein Unternehmensprozess nicht mehr, so ist das das Problem des Kunden.

Besonders schwierig wird es in solchen Fällen, in denen aus welchem Grund auch immer die Einschränkungen so groß sind, dass ein Anbieterwechsel erforderlich wird. Gibt es bei on premise Systemen die Möglichkeit, Backups zu erstellen, einen Datenbankexport zu generieren oder ganze Dateien zu kopieren, so ist man beim Cloud-Produkt auf die mitgelieferten Möglichkeiten angewiesen. Und die sind „in der Cloud“ eher spärlich bis gar nicht vorhanden⁷²⁾https://www.handelsblatt.com/technik/it-internet/cloud-dienstleister-manche-anbieter-erschweren-absichtlich-wechsel/11252990-2.html?ticket=ST-52146745-jf9yStazpP3gFpiEgmJS-ap5.

Festzuhalten bleibt jedenfalls: Da Hersteller alles tun werden, um den Kunden zu binden, gibt es in aller Regel kein vollwertiges Backup.

Sollten Sie tatsächlich einmal in diese unliebsame Situation kommen, denken Sie nicht zuletzt auch an die sichere Vernichtung Ihrer Daten in der Cloud… gar nicht so einfaches Thema, das⁷³⁾https://www.cloudcomputing-insider.de/sicher-von-wolke-zu-wolke-a-434892/.

Achtung: Keine Archivsysteme

Selbst wenn ein Wechsel irgendwie vollzogen werden kann stellt sich dann die Frage, was man mit dem alten System macht. Bei einer on premise Lösung würde man die virtuellen Maschinen entweder archivieren oder sogar als Archivsystem abkapseln. Der „eingefrorene“ Stand kann dann jederzeit im Bedarfsfall herangezogen werden, um an fehlende Dokumente zu kommen oder den seinerzeitigen Echtdatenbestand für Unternehmensprüfungen bereitzustellen.

Bei der Alternative in der Cloud gibt es diese Möglichkeit nicht. Es kann entweder bis Ultimo weiterhin jeden Monat für die Lösung Geld abgedrückt werden die „eigentlich“ nicht mehr verwendet wird, oder man verliert seinen Zugang und seine Daten. Sollte die Migration zum neuen System nicht absolut reibungsfrei verlaufen sein, keinerlei Datenbestand als solches dabei verändert worden sein und man insbesondere Datensatz-Zeitstempel ein-eindeutig und gerichtsbelastbar im neuen System identisch wiederfinden, dann kann dies unter Umständen bei späteren Prüfungen sehr unangenehm werden. Man denke dabei insbesondere an Unternehmenssoftware, die über ein Audit-Protokoll für Auditoren und Revisoren verfügt. Hier muss unbedingt vorher sichergestellt sein, dass dieses bei Übertragung in das neue System weiterhin Gültigkeit behält.

Zu diesem Block kann ich auch gar keine Quellenangaben machen, denn kein Hersteller den ich zu diesem Thema angeschrieben habe wollte ein Statement abgeben. Einzig die Aussage „you can easily end your subscription and no further payments will be necessary, however you’ll no longer have access to your data“. Was so viel heißen soll wie alles kein Thema, es gibt keinerlei Vertragsbindung also alles stressfrei. Wenn Sie kündigen, dann haben Sie lediglich keinen Zugriff mehr auf Ihre Daten.

„Lediglich“…

Irrglaube: Skalierbarkeit

Mit einem Mythos können wir hier auch noch aufräumen. Eines der meistgenannten Hauptargumente für Cloud-Lösungen ist die Skalierbarkeit.

Es ist richtig, dass man bei Cloud-Lösungen üblicherweise beliebig skalieren kann⁷⁴⁾https://www.scaleuptech.com/de/blog/elastizitaet-und-skalierbarkeit-im-cloud-computing/. Der Anbieter verfügt über große Rechenleistungen verteilt über viele Server. Diese vielen Server stehen übrigens selten beim Anbieter, das ist einfach nur Marketinggedöns. Normalerweise wird man sich fast immer auf billigsten Servern von Amazon (AWS)⁷⁵⁾https://aws.amazon.com/de/ oder Microsoft (Azure)⁷⁶⁾https://azure.microsoft.com/de-de/ wiederfinden. Von wegen Hochverfügbarkeit und High End Server⁷⁷⁾https://www.beck-shop.de/szer-cloud-computing-wissensmanagement-bewertung-wissensmanagementsystemen-cloud/product/12796714. Glauben Sie nicht alles, was Ihnen der Vertrieb verklickern will sondern fragen Sie mal nach den TOMs und nach den Unterauftragnehmern des Anbieters. Dort muss es ja stehen, wo die Server wirklich stehen und wer diese wirklich wartet. Fakt⁷⁸⁾https://www.datenschutz-bayern.de/technik/orient/oh_auftragsverarbeitung.pdf.

Nun sehe ich ein, dass die Art der angepriesenen Skalierbarkeit reizvoll erscheint für ein Unternehmen, das extrem starken Schwankungen der Benutzerzahl unterliegt. Rechnet man mit einem Kernteam von vielleicht 30 Mitarbeitern und benötigt dann projektbedingt für einige Monate 500 Accounts, dann ist das Cloud-Modell wahrscheinlich eine echte Alternative⁷⁹⁾https://netzpalaver.de/2017/06/05/entscheidungshilfe-on-premise-cloud-oder-as-a-service-loesung/.

Rechnen wir jedoch mit einem Unternehmen, das in Spitzenzeiten die 30 Mitarbeiter beschäftigt und in weniger frequentierten Monaten vielleicht nur 20, dann fällt es mir schwer, die Skalierbarkeit überhaupt als Argument zuzulassen. Ob nun ein Server für 20 Mitarbeiter, für 30 oder auch für 50 Mitarbeiter angeschafft werden soll, in dieser Dimension ist das alles kein „Spielgeld“ mehr⁸⁰⁾https://www.vmware.com/de/solutions/smb.html. Hier reden wir von Investitionen, die auf mehrere Jahre ausgelegt sein müssen. Ein System so zu kalkulieren, dass es nur heute der Spitzenlast genügt, wäre von Grund auf der falsche Ansatz.

Server- und Netzwerkinfrastruktur sind immer vorausschauend zu planen. Entsprechende Leistungsreserven sind beim Kauf einzuplanen. Wir empfehlen ohne nähere Kenntnis des Anwendungsfalls etwa 100% Mehrleistung gegenüber heutigem Bedarf einzurechnen. Im Fall von Speicherplatz sogar mindestens das drei- bis fünffache des jetzt durch den Kunden ermittelten Bedarfs⁸¹⁾https://netzpalaver.de/2017/06/05/entscheidungshilfe-on-premise-cloud-oder-as-a-service-loesung/. So haben Sie eine faire Chance, die reguläre Abschreibungsdauer von regelmäßig drei bis fünf Jahren auch als Nutzungsdauer ohne Erweiterung aufzubrauchen. Woher ich so überdimensionierte Zahlen habe? 25 Jahre Erfahrung mit nicht einem einzigen Fall, bei dem diese Rechnung nicht stimmte. Es will generell niemand wahr haben, aber so ist es. Wer billig kauft, kauft zweimal.

Und dann können wir darüber nachdenken, ob die Cloud wirklich so viel skalierbarer ist als die on premise Lösung⁸²⁾https://www.beck-shop.de/szer-cloud-computing-wissensmanagement-bewertung-wissensmanagementsystemen-cloud/product/12796714. Ist unsere Grundannahme nämlich, dass wir eben nicht den billigsten Server kaufen, der gerade mit Ach und Krach die ihm zugeteilten Aufgaben übernehmen kann, dann sind wir sehr wohl skalierbar⁸³⁾https://www.zdnet.de/88258462/virtualisierung-optimale-auswahl-der-server/. Im ersten Schritt sogar ohne jegliche Kosten und ohne Anpassungen, höchstens vielleicht die Kosten einer weiteren Nutzerlizenz für die Software.

Ein Ende nach oben ist bei korrekt dimensionierten Servern und dem richtigen konzeptionellen Weg auch nicht angezeigt⁸⁴⁾https://www.computerweekly.com/de/tipp/Von-CPU-bis-Storage-Hardware-Ressourcen-fuer-Virtualisierung-richtig-bemessen. In einem sogenannten vSphere Verbund können wir beispielsweise auch mehrere Server „zu einem großen Server zusammenschalten“. Und dann sind der Dimensionierung des Gesamtsystems und damit der Skalierbarkeit der lokalen Lösung praktisch keine Grenzen gesetzt⁸⁵⁾https://www.vmware.com/de/products/vsphere.html.

Betriebssicherheit, Betriebskontinuität

Mit dem eben erwähnten Konzept werden nicht nur Leistungsspitzen auf drei oder mehr Geräte verteilt und die Gesamtleistung erhöht, zudem sind damit auch echte HA Szenarien möglich („High Availability“, Hochverfügbarkeitssysteme)⁸⁶⁾https://docs.vmware.com/de/VMware-vSphere/6.0/com.vmware.vsphere.avail.doc/GUID-33A65FF7-DA22-4DC5-8B18-5A7F97CCA536.html.

Bei Ausfall einer Hardware übernimmt die noch intakte vorübergehend mehr Aufgaben. Dadurch kommt es ggf. zu einer gewissen Beeinträchtigung der Leistung, aber es laufen alle Serversysteme nahtlos und unterbrechungsfrei weiter⁸⁷⁾https://docs.vmware.com/de/VMware-vSphere/6.0/com.vmware.vsphere.avail.doc/GUID-4ED552C3-0291-4553-A46A-290EF883BC8D.html.

Diese Technologie wird bei großen Anbietern glücklicherweise auch oft verwendet. Leider nicht von allen, Angaben ob ja oder nein erhält man nur selten. Und damit hört es bei Cloud-Anbietern dann auch auf.

	Cloud	On Premise
Datensicherung	in aller Regel keine, die den eigenen Ansprüchen gerecht wird	wie gehabt in eigener Hand
Dezentrale Datensicherung	nicht vorgesehen	in eigener Hand
Updates	regelmäßig, Zeitpunkt nicht beeinflussbar, Kunde ist Versuchskaninchen	durch eigene IT nach Absprache
Release-Wechsel	wenn es der Anbieter für richtig hält, selten beeinflussbar	ausschließlich nach Absprache durch eigene IT
Verfügbarkeit	hoch, aber nur im Rahmen vertraglicher Zusage	abhängig vom eigenen Geldbeutel

Die bei Cloud-Systemen fehlende Datensicherung wurde bei den Vorbereitungen am Standort bereits thematisiert. Das Thema ist jedoch äußerst wichtig und man muss sich über die Konsequenzen im Klaren sein, wenn man sich für eine Cloud-Lösung entscheidet. Deshalb hier noch ein weiterer Infoblock zur Datensicherung.

Bevor ich darauf eingehe, möchte ich der Vollständigkeit halber aber noch ein paar Sätze zu Updates, Release-Wechseln und der Verfügbarkeit verlieren. Wenn Sie gewohnt sind, selbst zu entscheiden wann ein Update eingespielt wird mit der Folge, dass danach „nichts mehr geht“… dann sind Sie in der Cloud falsch. Denn hier haben Sie keinen Einfluss und die Sorge um einen Kontrollverlust ist durchaus berechtigt⁸⁸⁾https://www.informatik-aktuell.de/betrieb/virtualisierung/vorbehalte-gegen-cloud-computing-erwartungen-und-realitaet.html. Wenn der Hersteller sagt es muss, dann muss⁸⁹⁾https://netzpalaver.de/2017/06/05/entscheidungshilfe-on-premise-cloud-oder-as-a-service-loesung/. Egal was im Vertrag steht, das ändert alles nichts daran wie es nun einmal ist. Und wenn es dann soweit ist, sagen Sie bitte nicht, ich hätte Sie nicht gewarnt.

Auch das Thema Verfügbarkeit als solches muss man ganz genau hinterfragen. Die ist nämlich im Durschnitt bei on premise Systemen signifikant höher als bei Cloud-Produkten⁹⁰⁾https://www.com-magazin.de/praxis/business-it/cloud-on-premise-qual-wahl-1704035.html. Allem Marketinggedöns zum Trotz.

Wenn der Hersteller sagt, dass das System wegen Wartungsarbeiten nicht zur Verfügung steht, dann haben Sie auch darauf keinen Einfluss. Dem Cloud-Anbieter ist es egal, wann Sie arbeiten. Betriebliche Besonderheiten wie z. B. die Möglichkeit, dass Mitarbeiter auch mal im Ausland unterwegs sein können und deshalb ein nächtliches Update nicht möglich ist, kann ein Cloud-Anbieter in der Regel nicht berücksichtigen. Sie müssen Ihre Arbeitsabläufe zwingend an die Cloud-Lösung anpassen, denn umgekehrt wird das nicht passieren.

Achtung: Keine Offsite-Sicherung

Achten Sie stets darauf, Ihr eigenes IT-Sicherheitskonzept nicht zu brechen⁹¹⁾https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/CloudComputing/Zielgruppen/Anwender/AnwenderProfessionals/AnwenderProfessionals.html?cms_pos=2, wenn Sie in die Cloud gehen. Möglicherweise sind Sie sogar vertraglich oder rechtlich verpflichtet, gewisse Mindeststands einzuhalten.

Nehmen wir ITK als Beispiel. Wir sind Auftragsverarbeiter für unsere Kunden und so schließen wir mit allen Kunden vor Aufnahme der Tätigkeit einen Vertrag zur Verarbeitung von Daten im Auftrag. Tolles Wort. In einem solchen Vertrag steht unter anderem – und dazu sind sowohl unser Kunde als auch wir rechtlich uneingeschränkt verpflichtet das so auszuformulieren (!) – wie wir die Daten des Kunden schützen⁹²⁾https://dsgvo-gesetz.de/art-28-dsgvo/. Und sei es nur dessen E-Mail-Adresse, die wir in unserer Kontaktverwaltung eintragen. Es muss klar festgelegt sein, welche technischen und organisatorischen Maßnahmen (TOMs⁹³⁾https://dsgvo-gesetz.de/art-28-dsgvo/) wir ergreifen, um ebendiese Daten unseres Kunden zu schützen.

Praxisbeispiel Passwortdatenbank Cloud oder On Premise?

Wir verwalten die administrativen Passwörter für den Kunden. Die Speicherung erfolgt auf eigenen Servern und das in einer nach Industriestandard AES 256 bit verschlüsselten Form⁹⁴⁾https://keepassxc.org/project/. Weitere Kopien der Passwortdatenbank sind nicht vorhanden, auch nicht auf dem Kundenserver. Um Datenverlust vorzubeugen, erfolgt mindestens täglich eine automatische Sicherung dieser Daten an vier dezentrale Standorte. Neben automatischem Monitoring erfolgt eine wöchentliche händische Sichtkontrolle inkl. revisionssicherer Arbeitsnachweisdokumentation. Dies ist in unserem Vertrag so als technische und organisatorische Maßnahme festgelegt.

Wir haben uns in den vergangenen Jahren immer und immer wieder Passwortverwaltungssysteme angesehen, die in Form einer Cloud-Lösung auch die einfache Bereitstellung an den Kunden möglich machen würde. Es folgt demnächst ein ausführlicher Bericht zu unseren Erfahrungen diesbezüglich, hier etwas vorgegriffen: wir haben nichts gefunden, das unserem Sicherheitsanspruch gerecht wird den wir unseren Kunden vertraglich zusichern.

Aber mal angenommen, es gäbe so ein System. Dann hätte das zur Folge, dass wir den Systemwechsel mit unseren Kunden abstimmen müssten⁹⁵⁾https://dsgvo-gesetz.de/art-28-dsgvo/. Wenn nun die bisherigen Standards weiterhin gelten, so dürfte das vergleichsweise einfach möglich sein. Dann ist es nur „nervig“, jeden Vertrag einzeln anfassen zu müssen.

Können wir aber auf der neuen Lösung kein automatisiertes dezentrales Backup mehr durchführen, dann ist das kein gleichbleibender Standard mehr. Wir müssten also weitreichende Änderungen im Vertrag vornehmen⁹⁶⁾https://dsgvo-gesetz.de/art-28-dsgvo/. Die Fairness gebietet, dass wir diese auch deutlich unseren Kunden kommunizieren würden.

Tatsächlich ist das der Grund, wieso es von uns noch keine cloudbasierte Passwortdatenbank für unsere Kunden gibt. Ich erkläre meinen Kunden sicherlich nicht, dass ich aus Kostengründen auf Sicherheit verzichte und deren gesamte Passwörter, mit denen unbeaufsichtigter Zugang zum Kundennetz aus der ganzen Welt möglich ist, jetzt ausschließlich bei irgend einem amerikanischen Anbieter liegen der uns nicht einmal ein Backup ermöglicht⁹⁷⁾https://www.security-insider.de/password-manager-nein-danke-a-689795/. Man stelle sich vor, der Anbieter würde gehackt. Oder ginge in die Insolvenz⁹⁸⁾https://www.beck-shop.de/szer-cloud-computing-wissensmanagement-bewertung-wissensmanagementsystemen-cloud/product/12796714. Oder würde völlig unerwartet verknackt und die Plattform dich gemacht. Alles schon passiert…

Datenschutz

	Cloud	On Premise
Datenschutz D-A-CH Anbieter	Vertrauenssache, zumindest augenscheinlich gegeben	liegt in der Hand des eigenen Unternehmens
Datenschutz internationale Anbieter	interessiert die wenigste	liegt in der Hand des eigenen Unternehmens
Mitwirkungspflichten nach Art. 28 DSGVO	Von was träumen Sie nachts?	liegt in der Hand des eigenen Unternehmens

Das ist jetzt so ein ganz schwieriges Thema. Einerseits bin ich Datenschutzbeauftragter, nehme den Schutz der Rechte Betroffener sehr ernst und beschäftigte mich praktisch sieben Tage die Woche damit.

Andererseits, manchmal sitzt man schon da und denkt sich, was soll das Ganze. Mit manchem Kunden diskutierte ich schon eineinhalb Jahre über unseren Vertrag zur Verarbeitung im Auftrag, weil sich da halt irgend so ein selbsternannter Datenschutzbeauftragter der die Fachkunde gar nicht nachweisen kann⁹⁹⁾https://www.tuev-sued.de/akademie-de/seminare-management/datenschutz/1711001 vor der Geschäftsführung profilieren will. Da braucht sich auch keiner meiner Kunden angesprochen zu fühlen, das ist mir nämlich schon bei mehr als nur ein, zwei Kunden so ergangen. Schlussendlich hat dann aber doch immer alles gepasst. Und dann sitzt man da und denkt sich, bei amerikanischen Lieferanten ist das irgendwie alles einfacher¹⁰⁰⁾https://www.datenschutz.org/usa/…

Schlussendlich ist es vor allem Vertrauenssache¹⁰¹⁾https://rz10.de/1-noch/stirbt-die-sap-basis/. Erkundigen Sie sich selber über Ihren neuen Anbieter. Gibt es andere Nutzer, mit denen Sie sprechen und sich über deren Erfahrungen austauschen können¹⁰²⁾https://www.capterra.com.de/? Gibt es Presseberichte oder finden sich Zeichen darüber, dass es schon einmal zu Datenlecks beim Cloud-Anbieter gekommen ist und wie ist der Anbieter damit umgegangen?

Achtung: Datenschutz in der Cloud

Als absolutes Negativbeispiel möchte ich ausdrücklich die Firma Zendesk¹⁰³⁾https://www.zendesk.de/ nennen. Sie präsentiert sich auf einer deutschen .de Domain zendesk.de¹⁰⁴⁾https://www.zendesk.de/, nennt lauter deutsche Referenzen und hat eine optisch schöne Webseite. Immerhin sind das wohl die Marktführer auf dem Bereich für Ticketsysteme wie sie alle großen und mittleren Unternehmen für den Kundensupport verwenden. Aber ein Impressum sucht man hier auf der Startseite vergebens. Die Datenschutzerklärung ist halb deutsch halb englisch¹⁰⁵⁾https://www.zendesk.de/company/customers-partners/privacy-policy/, zudem entsprechen sie inhaltlich nicht den Vorschriften (z. B. darf ich mich sehr wohl auch bei der Aufsichtsbehörde am Ort meines Arbeitgebers oder sogar in einem ganz anderen Bundesland meiner Wahl beschweren und nicht nur bei meiner örtlich zuständigen Behörde). Aber das interessiert da alles niemanden, denn man ist ein weltweit agierender Massenanbieter und der ist über den europäischen Datenschutz erhaben.

So erhaben, dass man selbst bei bemerkter Datenpanne die Kunden erst einmal tagelang gar nicht informiert und nach der verspäteten Meldung die Mitwirkungspflichten mit Füßen tritt¹⁰⁶⁾https://www.itk-security.de/datenpanne-bei-zendesk/. Anfragen an das Datenschutzteam werden nach Eingangsbestätigung und Wiederholung der FAQs vollständig ignoriert¹⁰⁷⁾https://www.itk-security.de/datenpanne-bei-zendesk/.

Eigentlich müsste jedes Unternehmen, das Zendesk für deren Kundensupport verwendet, eine Meldung an die Aufsichtsbehörde sowohl für das eigene Unternehmen als auch für Zendesk prüfen¹⁰⁸⁾https://www.lda.bayern.de/de/datenpanne.html. Zudem sind ggf. die Betroffenen über die Datenpanne zu unterrichten. Und was macht Zendesk derweil? Schweigt wie ein Grab. Wir berichteten¹⁰⁹⁾https://www.itk-security.de/datenpanne-bei-zendesk/.

Insofern muss man sich beim Vertrauen auf einen Cloud-Anbieter wirklich sicher sein. Eine „wird schon schief gehen“ Mentalität ist hier fehl am Platz.

Beispiel USA

Beachten Sie auch unbedingt den geografischen Standort des Anbieters, des Inverkehrbringers, des Vertragspartners und des Herstellers. Je nach Land können unterschiedliche Gesetze zum Tragen kommen. So haben amerikanische Systeme per Gesetz eine Hintertür, mit der U. S. Behörden ungefragt auf Daten zugreifen können¹¹⁰⁾https://www.justice.gov/archive/ll/highlights.htm. Der Datenschutz in den USA ist nun einmal ganz anders geregelt als in Europa.

Beispiel UK

Die Debatte, die bei mir gerade auf tagesschau24 im Hintergrund mit einer Live-Übertragung des britischen Parlaments zum Thema Brexit läuft¹¹¹⁾https://www.tagesschau.de/thema/brexit/, wird ebenfalls enorme Auswirkungen haben¹¹²⁾https://drschwenke.de/brexit-dsgvo-checkliste/. Sie glauben gar nicht, wie viele Hersteller und Cloud-Produkte aus UK und Irland kommen oder zumindest darüber technisch bereitgestellt werden.

In den früheren Hafen-Docks von Dublin sitzen mittlerweile Facebook, Amazon, Paypal, Twitter, Dropbox und Airbnb¹¹³⁾https://www.tagesspiegel.de/wirtschaft/unternehmensstandort-irland-die-angst-geht-um-im-steuerparadies/10766838.html. Auch Accenture, einer der weltweit größten Technologie- und Outsourcing-Dienstleister mit etwa 459.000 Mitarbeitern¹¹⁴⁾https://www.nach-welt.com/geschaft/accenture-wahlt-julie-sweet-als-geschaftsfuhrerin/, hat seinen Hauptsitz hier. In meiner ganz persönlichen Meinung ist, rein objektiv gesehen, England nach dem wahrscheinlichen Brexit als unsicheres Drittland ohne Beschluss zu betrachten. Und somit sind alle Verträge neu zu prüfen (!) und sämtliche Verarbeitungsverzeichnisse zu überarbeiten.

Ein wie ich finde gerade jetzt sehr brisantes Thema, das Boris Johnson bisher komplett ignoriert hat. Denn liegt kein Ausnahmetatbestand vor, weshalb Sie doch weiterhin mit dem UK Anbieter arbeiten dürfen, könnten Sie nach dem Brexit gezwungen sein, den Anbieter zu wechseln¹¹⁵⁾https://drschwenke.de/brexit-dsgvo-checkliste/.

IT-Sicherheit

	Cloud	On Premise
Virenscanner	„Was ist das?“	wird vom Unternehmen festgelegt und verwaltet
Firewall	„Wir haben da so eine Software, die macht das irgendwie.“	wird vom Unternehmen festgelegt und verwaltet
Sicherheitsupdates	kann sein, muss nicht	wird vom Unternehmen festgelegt und verwaltet
DS-GVO Verarbeitungsverzeichnis	Das, wenn ich mal von irgend einem Anbieter rechtskonform bekäme…	erstellen Sie als Verantwortlicher

Cloud-Anbieter sind naturgemäß von Profitmaximierungswünschen getrieben. IT-Sicherheit ist da zunächst einmal nachrangig¹¹⁶⁾https://netzpalaver.de/2017/06/05/entscheidungshilfe-on-premise-cloud-oder-as-a-service-loesung/. Natürlich werden auch Cloud-Anbieter versuchen, in deren eigenen Sinne die IT sicher zu halten. Aber entsprechen diese Ansprüche des Herstellers auch dem Sicherheitsgedanken Ihrer Firma¹¹⁷⁾https://www.beck-shop.de/szer-cloud-computing-wissensmanagement-bewertung-wissensmanagementsystemen-cloud/product/12796714?

Die Frage an Cloud-Anbieter nach Vorlage des IT-Sicherheitskonzepts¹¹⁸⁾https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/CloudComputing/Zielgruppen/Anwender/AnwenderProfessionals/AnwenderProfessionals.html?cms_pos=2 ruft nur all zu oft fragende Gesichter hervor. Ich würde mir dieses in jedem Fall vorher schriftlich geben und z. B. von uns aus fachlicher Sicht prüfen lassen. Kann ich nur jedem anraten der mit dem Gedanken spielt, mit einer Business-Software in die Cloud zu gehen.

Beispiel Online-Terminvereinbarung für Patienten

Onlinesysteme zur Vereinbarung von Terminen durch den Patienten selbst sind stark im Kommen. Werden doch freie Sprechzeiten optimal gefüllt (nicht nur so, wie es das Personal am liebsten hätte um bezahlte Freistunden zu haben) und der Empfang arbeitstechnisch erheblich entlastet. So weit so gut.

Natürlich benötigen diese Online-Tools („Cloud Programme“) Zugriff auf die Praxisverwaltung des Arztes. In Echtzeit. Bidirektional. Über Internet. Klasse.

Wie oft haben uns solche Cloud-Anbieter aufgefordert, wir mögen auf dem Kundenserver und im Kundennetz die Firewall abschalten und Virenscanner deaktivieren. Die Rückfrage nach einer Firewallmatrix, um die benötigen Einstellungen „sauber“ vornehmen zu können, endet fast immer in „so etwas haben wir nicht, danach hat bisher niemand gefragt“ wenn nicht sogar in der Frage „was soll das sein?“. Ich nöchte hier keine Namen nennen, aber das ist so die Erfahrung aus 25 Jahren IT Support.

Es muss die Frage erlaubt sein, ob das dem eigenen Schutzgedanken entspricht¹¹⁹⁾https://www.com-magazin.de/praxis/business-it/cloud-on-premise-qual-wahl-1704035.html.

Dies gilt – nicht ausschließlich aber ganz besonderes – für die Datensicherheit ganz im Allgemeinen. Wenn die Datensicherheit nach benötigtem Standard in der Cloud nicht erfüllt werden kann, dann muss es weiterhin eine On-Premises Lösung sein¹²⁰⁾https://www.com-magazin.de/praxis/business-it/cloud-on-premise-qual-wahl-1704035.html.

Beispiel Sicherheitsupdates beim beA Nachrichtensystem der Bundesrechtsanwaltskammer

Mein Kollege prägte den Begriff meiner neuen Lieblingsbeschäftigung des BRAK Bashings, nachdem ich meinen Artikel BRAK verzichtet bei beA auf Sicherheitsupdates¹²¹⁾https://www.itk-security.de/brak-verzichtet-bei-bea-auf-sicherheitsupdates/ veröffentlichte. Es geht mir halt einfach nicht in den Kopf, dass selbst eine so offizielle Stelle wie die Bundesrechtsanwaltskammer der Meinung ist, deren „sicheres Nachrichtensystem“ sei so sicher, dass man seit Januar diesen Jahres auf JAVA Sicherheitsupdates verzichten könne¹²²⁾https://www.itk-security.de/brak-verzichtet-bei-bea-auf-sicherheitsupdates/.

Bereitgestellt wird das Cloud-System durch deutsche Dienstleister. Der Kundenkreis sind vor allem Anwaltschaften und Gerichte, die darüber die gesamte Rechtskorrespondenz abwickeln sollen. Und selbst da klappt es nicht mit den Sicherheitsupdates.

Bloß, weil es ein deutscher Anbieter ist, heißt es also noch lange nicht, dass man das Thema IT-Sicherheit so beherzigt wie man es im eigenen Unternehmen tun würde¹²³⁾https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/CloudComputing/Anforderungskatalog/FAQ/Faq_Anforderungen_node.html.

Schlussendlich kann man auch hier nur raten, sich im Vorfeld genauestens zu erkundigen, eine IT-Sicherheitsrichtlinie einzufordern¹²⁴⁾https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/CloudComputing/Zielgruppen/Anwender/AnwenderProfessionals/AnwenderProfessionals.html?cms_pos=2 und diese auf alle relevanten Themen sorgfältig zu prüfen.

#brakbashing LOL.

Support und Service

Kurz und knapp: achten Sie auf die sogenannte SLA-Vereinbarung („Service Level Agreement“). Was bei on premise Systemen schon immer so war gilt auch für Cloud-Systeme¹²⁵⁾https://www.tecchannel.de/a/das-muessen-sie-bei-cloud-slas-beachten,3280170. Schneller, als vertraglich zugesichert, muss der Hersteller nicht reagieren.

Eher sollte man sich darauf einstellen, dass im Zweifel lieber ein witzloser Einmalschadenersatz gezahlt wird, als dass im Ernstfall wirklich jemand mehr tut als gerade noch vor Ablauf der SLA Frist eine E-Mail zu schicken „Ich schaue mir das mal an und melde mich…“.

	Cloud	On Premise
Supportzusage	Sie sind eine Nummer. Egal, wie groß Sie sind.	hauseigene IT kann sehr viel „abfedern“.
Notfallsupport	Pech gehabt	durch eigene IT
Servicekosten	gering	hoch

Wo beim onsite System in der Regel ein IT Dienstleister der erste Ansprechpartner ist und viel richten kann, ohne den Hersteller involvieren zu müssen, kann der IT Dienstleister beim Cloud System nicht eingreifen. Gibt es damit ein Problem, ist der Hersteller gefragt¹²⁶⁾https://www.tecchannel.de/a/das-muessen-sie-bei-cloud-slas-beachten,3280170.

Braucht der dann vier Stunden bis zur ersten Reaktion, können Sie dagegen nichts unternehmen. Der eigene IT Admin hat keinen Zugriff auf Fehlerprotokolle. Er kann nicht einmal auf Verdacht den Server neu starten.

Es ist also unumgänglich, nicht nur vertraglich festzuhalten wie der Support organisiert wird, sondern auch für das eigene Unternehmen zu entscheiden, ob das so in Ordnung ist¹²⁷⁾https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/umsetzungshinweise/OPS/Umsetzungshinweise_zum_Baustein_OPS_2_2_Cloud-Nutzung.html.

Es ist wie im richtigen Leben. Die Telekom beispielsweise sichert bei V-DSL Business Anschlüssen eine mittlere Verfügbarkeit von 97,00% zu¹²⁸⁾https://telekomhilft.telekom.de/riokc95758/attachments/riokc95758/710/1027402/1/44901.pdf. Der Anschluss darf also im blödsten Fall, hochgerechnet auf die tägliche Mitarbeiterarbeitszeit, an rund 33 Geschäftstagen im Jahr gestört sein und an diesen 33 Geschäftstagen nicht eine einzige Minute funktionieren. Also quasi eineinhalb Monate im Jahr nicht funktionieren. Ausnahmen wie höhere Gewalt kommen da noch oben drauf. Bei Serverprodukten der Telekom sind es immerhin 97,5%¹²⁹⁾https://telekomhilft.telekom.de/riokc95758/attachments/riokc95758/173/57847/1/43664.pdf. Wenn Ihnen das nicht für die „Business Continuity“ Ihres Unternehmens ausreicht, dann sollten Sie sich für ein anderes Produkt entscheiden. Genau so ist es auch mit der Wahl eines Cloud-Anbieters. Sehen Sie sich die Garantien und Zusagen genau an.

Betriebskosten als solches

Bei den Betriebskosten dürfte schnell klar sein, wer die Nase vorne hat.

	Cloud	On Premise
Strom	marginale Änderung	auch die umweltfreundlichsten Server brauchen nun einmal Strom
Klimatisierung	marginale Änderung	muss mit jedem weiteren Server überprüft und ggf. erweitert werden; Stromkosten beachten
Instandhaltung	Problem des Cloud-Anbieters	kann ungeplante Kosten verursachen, sofern nicht über Wartungsvertrag gedeckt

Die praktisch nicht gesondert ausweisbaren Betriebskosten sind ein absolutes Argument für Cloud-Lösungen. Da der Anbieter alle Kosten übernimmt und diese auf die Nutzungspauschalen umlegt, sind diese sehr kalkulierbar.

Natürlich zahlt schlussendlich immer der Kunde auch die Betriebskosten¹³⁰⁾https://www.cio.de/a/cloud-computing-wird-teuer,2211460, durch Synergieeffekte fallen diese beim Cloud-Anbieter aber deutlich geringer aus als bei einer on premise Lösung.

Performance

Bringen wir es auf den Punkt: Cloud ist immer langsamer.

	Cloud	On Premise
„gefühlte“ Performance	träge	reaktiv

Im Grunde ist es ja so. Cloud-Anbieter packen sehr, sehr viele Kunden zusammen auf eine Plattform und erhoffen sich dadurch Synergieeffekte. Das stimmt im Grunde auch, aber die Gesamtperformance kann trotzdem darunter leiden. Außerdem ist nicht jede Software per se für den Betrieb in der Cloud geeignet¹³¹⁾https://netzpalaver.de/2017/06/05/entscheidungshilfe-on-premise-cloud-oder-as-a-service-loesung/.

Cloud-Anbieter werben damit, dass sie auch in Spitzenlasten perfekte Leistung abliefern würden. Aber die wenigsten Anbieter haben überhaupt eigene Systeme, da wird ein Kauderwelsch aus Amazons AWS und Microsofts Azure Cloud Plattformen zusammengeschustert und gehofft, dass es schon irgendwie funktionieren wird¹³²⁾https://www.beck-shop.de/szer-cloud-computing-wissensmanagement-bewertung-wissensmanagementsystemen-cloud/product/12796714. In den vergangenen 20 Jahren habe ich mit vielen Softwareherstellern lange und ausführlich zu diesem Thema gesprochen. Kein einziger Softwarehersteller war dabei, der auch nur ansatzweise mit einer echten Kompetenz in Sachen Netzwerkmanagemet und Serverplanung aufwarten konnte. Das ist nicht abwertend gemeint, es ist einfach so.

Der Softwarehersteller erwartet von mir ja auch nicht, dass ich ihm erkläre was ein Datenbankindex ist und wie der korrekt gesetzt wird um seine Software 4.000% schneller zu machen. Das war ein echtes Beispiel aus der Praxis, traurig… wie auch immer, so erwarte ich vom Softwarehersteller nicht, dass er Spezialist in Sachen Netzwerk- und Servertechnik ist. Wird er zum Cloud-Anbieter, so wäre das aber besser der Fall. In der Realität sind das Cloud-Anbieter aber eben nicht – meiner Erfahrung nach – und so ist das mit der Skalierbarkeit, ja eher sogar möchte ich behaupten mit der generellen Performancefrage eine Sache.

Auf meinen eigenen Servern im Haus habe ich zumindest noch die Option, schlechte Programmierung teilweise mit Serverleistung zu erschlagen. Das ist nicht schön, aber gängige Praxis.

Was wir grundsätzlich auch nicht vergessen dürfen ist, dass die wenigsten Hersteller wissen, wie man „korrekt“ entwickelt. Von Cachingsystemen und Datenbankoptimierung haben die meisten wohl bisher noch nicht gehört. Also ist es nicht verwunderlich, dass Programme heute Unmengen an Datenpaketen mit irrsinnigen Datenmengen hin und her schicken.

Etwas mehr aus Entwicklersicht gesprochen: das ist schon alles wirklich komplex und kompliziert. Nachdem keiner extra dafür zahlt wenn ich ordentlich entwickle (was mich zwangzig Mal so viel kostet, wenn’s reicht), mache ich das auch nicht.

Die Anbindung der Software an den Server ist also ein ganz wichtiger Flaschenhals.

Schon ein kleiner lokaler Server einer 10-Mann-Firma ist üblicherweise per 10 Gigabit Ethernet am Netzwerk angebunden, um alle Rechner gleichmäßig gut mit Daten versorgen zu können¹³³⁾https://www.hpe.com/de/de/product-catalog/options/pip.hp-ethernet-10gb-2-port-530t-adapter.5357628.html. Die Rechner arbeiten heutzutage mit jeweils Gigabit Netzwerk. Das sind 1.000 Mbit/s pro Rechner oder 10.000 Mbit/s insgesamt, um es in der Einheit anzugeben in der Internetanschlüsse gemessen werden. Der 10 Mbit/s Upstream eines V-DSL 50 Anschlusses oder auch die 20 Mbit/s synchrone S-DSL Verbindung erscheinen plötzlich gar nicht mehr so schnell.

Selbst mit einer Internetleitung, die theoretisch – also wenn eigene Firewall, DSL Modem und Übertragungswege bis hin zum Internetprovider perfekt abgestimmt sind – vielleicht 400 Mbit/s schaffen würde weil man 500,- € im Monat dafür ausgibt, ist die lokale Variante noch immer 25 Mal so schnell. Das ist nicht wegzudiskutieren, ist einfache Arithmetik¹³⁴⁾https://www.heise.de/netze/tools/bandbreitenrechner/. Einfach mal verdauen, sacken lassen, darüber nachdenken. Und sich dann seine eigene Meinung zu der Aussage sämtlicher Cloud-Lösungsanbieter zu machen, dass Cloud-Systeme genauso schnell oder gar schneller seien als lokale on premise Lösungen.

Auch nicht zu unterschätzen sind die Latenzen, die bis zum Microsoft oder Amazon Rechenzentrum (Irland?) sowieso schon viel größer sind, als wenn der Server im eigenen Netzwerk stünde¹³⁵⁾https://www.pixxio-bildverwaltung.de/inhouse-server-oder-cloud-was-ist-besser-fuer-mein-vorhaben/. Ist ja auch logisch, schließlich errechnet sich die Latenz zum Cloud-Anbieter aus der Latenz im eigenen Netzwerk plus der Latenz vom eigenen Internetanschluss über alle Vermittlungsstellen bis zum Rechenzentrum des Anbieters.

Cloud wird deshalb also (unter gleichen Voraussetzungen, d. h. gleicher Hardware) niemals schneller sein können als eine lokale Anwendung. Das ist einfach Fakt und gilt so lange, bis die Gesetze der Physik aufgehoben werden.

Die alles entscheidende Frage ist also: Welche Performance brauche ich überhaupt und wie kann der Anbieter diese sicherstellen?

Beispiel: Office 365 vs. Exchange on prem

Der Mailserver von Microsoft kann sicherlich viel. Weitaus mehr, als es sich für einen Mailserver gehört. Über Jahrzehnte wurde an Outlook und Exchange herumgedoktert, bis daraus ein mehr oder minder funktionierendes Office Management Tool geworden ist¹³⁶⁾https://www.itk-security.de/wir-stellen-den-support-fuer-outlook-offiziell-ein/.

Das Ergebnis auf Serverseite ist dabei sehr ernüchternd. Kein anderer Mailserver braucht auch nur ansatzweise mehr Serverressourcen, als dieses Dreckstück von Software¹³⁷⁾https://www.msxfaq.de/exchange/sizing/exchange_latenz.htm. Achtung jetzt wird’s etwas technisch, gerne den Rest dieses Absatzes überspringen, es geht dabei wenig Kontext verloren. Wir weigern uns, so etwas beim Kunden zu installieren, außer er besteht ausdrücklich darauf. Und dann auch nur unter der Voraussetzung, dass er mindestens 32 GB Arbeitsspeicher ab 1 Benutzer und mindestens 64 GB Arbeitsspeicher ab 20 Benutzern bekommt. Mal ganz abgesehen von 8 CPU Cores im Minimum, 12 an der Zahl wären besser. Absoluter Wahnsinn, aber zumindest bekomme ich das so halbwegs vernünftig ans Laufen wenn dann auch noch die ein oder andere Software per COM Add-Ins darauf zugreifen muss und diverse Impersonation-Rollen aktiv sind. In jedem Fall wird die Hardware extrem überdimensioniert, sonst läuft der Exchange Server nicht rund.

Bei der Cloud-Variante desselben Systems – Office 365 – habe ich diese Möglichkeit nicht. Es ist halt so, wie es ist. Dass es dort seit fünf Tagen schon Probleme beim Mailversand gibt wenn man Bilder in die Nachricht einfügt („Can’t send email with embedded images“, EX193418, Exchange Online, Zuletzt aktualisiert: October 19, 2019 7:38 AM Startzeit: October 14, 2019 2:00 AM¹³⁸⁾https://admin.microsoft.com/Adminportal/Home?source=applauncher#/servicehealth), mei, das ist dann halt eben so. Nichts ists mit Server neu starten und schauen, ob die Performance danach wieder besser ist (was sie da meistens ist bei Exchange Servern), oder mit gezielter Fehlerdiagnose.

Ist die Leistung beeinträchtigt, dann muss der Cloud-Anwender damit leben. Im Zweifel auch dauerhaft, wenn das System als solches grundsätzlich funktioniert. Könnte ja schließlich auch am Kundennetz oder dem ISP liegen und die anderen Kunden haben sowieso nie irgend welche Performance-Probleme. Zwinkersmiley.

Trotzdem käme ich niemals auf die Idee, den Betrieb eines lokalen Exchange Servers zu empfehlen. Nein, auch nicht bei einem Unternehmen mit 5.000+ Postfächern, ganz im Gegenteil habe ich hier schon die ein oder andere Migration weg von bis zu zehn lokalen Exchange Servern in die Cloud begleitet¹³⁹⁾https://news.microsoft.com/de-de/prosiebensat1-digitalisierung-office365/. Aber es kommt auf den Einzelfall an. Ich habe Kunden, die 200 GB große Exchange Postfächer für „notwendig“ halten was Exchange per Spezifikation nicht kann und in der Onlinevariante auch nicht „aufgebohrt“ werden kann¹⁴⁰⁾https://docs.microsoft.com/de-de/office365/servicedescriptions/exchange-online-service-description/exchange-online-limits. Besteht der Kunde darauf, nicht seine Arbeitsweise an die verwendete Software anzupassen sondern das ganze entgegen besseren Wissens andersrum zu gestalten, dann muss er eben die on premise Variante nehmen und mit allen Konsequenzen leben. Zumindest, solange es die On-Premises Option noch gibt.

Die alles entscheidende Frage ist: Welche Performance wird benötigt? Für einen Exchange Server, dessen Hauptaufgabe nun einmal der Empfang und der Versand von E-Mails ist (was übrigens praktisch schon immer „Cloud“ war), sehe ich einfach nicht ein wieso das lokal betrieben werden sollte. Die US Regierung hat sowieso Zugriff darauf wenn sie will (Exchange ist ein amerikanisches Produkt), E-Mail ist generell unverschlüsselt und unsicher, in Echtzeit funktioniert E-Mail auch nicht. Und überhaupt ist E-Mail weit davon entfernt, ein zuverlässiges Medium zu sein weil ich nicht sehen kann, was mit meiner Nachricht passiert sobald sie ins Internet geschickt wurde. Also was will ich da bitte mit einer lokalen Serverinstallation? Über Sinn und Unsinn lässt sich wie so oft vorzüglich streiten.

Wie Sie sehen: Es kommt immer auf den Einzelfall an.

Folgekosten

Klarer Vorteil für die Cloud-Lösung.

	Cloud	On Premise
Hardware	gering bis gar nicht	kontinuierliche Hardware-Erneuerung notwendig
Lizenz- und Lizenzupdatekosten	enthalten	Kosten für Software Assurance oder Maintenance

Bei der Cloud-Lösung sind alle Kosten für Betrieb und Wartung des Systems enthalten¹⁴¹⁾https://www.iao.fraunhofer.de/lang-de/images/leistungen/cloud-chancen-und-nutzen-mittelstand.pdf.

Bei der on premise Variante brauchen Sie dagegen viel mehr eigene Hardware, die verwaltet und gewartet werden will. Einen IT Dienstleister oder eigenes IT Personal benötigen Sie ebenfalls und können trotzdem nicht auf den kostenpflichtigen Herstellersupport verzichten¹⁴²⁾https://rz10.de/1-noch/stirbt-die-sap-basis/. Denn nur er kennt die Tücken und Macken seines Systems und kann Programmfehler beheben.

Das gilt leider auch bzw. umso mehr für on premise Systeme. Nur führt das dort nicht zu einem unerkannten „extra“ Problem, denn on premise brauchte man immer schon einen IT Support und den Herstellersupport noch dazu.

Vorsicht bei Hybrid-Modellen

Teilweise bieten Hersteller mittlerweile auch Hybrid-Modelle an.

Hier wird die lokale Softwarekomponente genau so weiterverwendet wie gehabt, es werden weiterhin lokale Server betrieben die arbeitsintensive und dateimengenintensive Aufgaben übernehmen¹⁴³⁾https://rz10.de/1-noch/stirbt-die-sap-basis/ aber die eigentliche „Intelligence“ wird vom Provider bereitgestellt¹⁴⁴⁾https://www.silicon.de/blog/erst-revolutionaer-dann-redundant-verschwindet-der-cloud-begriff.

Das kann eine super Sache sein, wenn das System von Grundauf so konzipiert wurde¹⁴⁵⁾https://nextiteration.de/blog/hybrid-solutions-sharepoint-onpremise-cloud/, ich mahne hier aber zu äußerster Vorsicht.

Denn für den Kunden bedeutet dass leider oft nur genau eines:

• er ist abhängig von lokaler Hardware und vom Cloud-Anbieter,
• landet immer in der Abofalle ohne Weg zurück¹⁴⁶⁾https://www.com-magazin.de/praxis/business-it/cloud-on-premise-qual-wahl-1704035.html,
• die wirklich teuren Geräte muss der Kunde selber bereitstellen.

Bis auf einen möglichen Performance-Gewinn verbleiben dabei alle anderen Nachteile der reinen Cloud-Lösung unverändert und die Komplexität steigt erheblich¹⁴⁷⁾https://www.informatik-aktuell.de/betrieb/virtualisierung/vorbehalte-gegen-cloud-computing-erwartungen-und-realitaet.html. Das ist also in aller Regel mit Abstand die schlechteste Wahl.

Vorsicht bei angeblichen Teststellungen

Sollten Sie eine Teststellung für Cloud-Produkte erhalten, achten Sie unbedingt darauf, dass diese auf einem Produktivserver betrieben wird und nicht auf einem Testsystem.

Lassen Sie im Testsystem Testdatensätze einspielen in der Menge, in der sie bei Ihrem Einsatzzweck in fünf bis zehn Jahren zu erwarten sind. Nur so lässt sich die Performance objektiv bewerten. Denn ein neu aufgesetztes System mit 1.000 Testdatensätzen wird immer vergleichsweise schnell reagieren. Interessant wird es erst dann, wenn Sie viele Jahrzehnte Firmenhistorie in Millionen und Abermillionen Datensätzen importiert haben.

Wir haben in der Vergangenheit leider viel zu oft beobachten müssen, dass im Test durch den Kunden alles einwandfrei funktionierte und sobald dann das „echte“ System zur Verfügung stand nur noch geklagt wurde.

Fazit

Die Entscheidung muss im Einzelfall unter Abwägung aller Argumente erfolgen¹⁴⁸⁾https://netzpalaver.de/2017/06/05/entscheidungshilfe-on-premise-cloud-oder-as-a-service-loesung/. Wichtig ist dabei meiner Meinung nach, sich im Vorfeld über alle Punkte im Klaren zu sein¹⁴⁹⁾https://www.informatik-aktuell.de/betrieb/virtualisierung/vorbehalte-gegen-cloud-computing-erwartungen-und-realitaet.html. Es gibt Möglichkeiten sich vorab zu informieren und viele Dinge zu prüfen, aber man muss das eben auch machen und entsprechend sauber planen¹⁵⁰⁾https://www.silicon.de/blog/erst-revolutionaer-dann-redundant-verschwindet-der-cloud-begriff.

Das eigene Unternehmen muss die Ziele formulieren, die es mit dem Einsatz des Systems verfolgt. Daran angeknüpft wird die Bewertung des eigenen Anspruchs. Datenschutz, Datensicherheit und Verfügbarkeit spielen hier eine große Rolle.

Leider sieht es in der Realität oft so aus, dass die Kostenfrage allen anderen vorangestellt wird und dieser eine übergeordnete Rolle zugeordnet wird. In einer Gewichtung, die eigentlich nicht gerechtfertigt ist.

Die monetäre Entscheidung ist selbstverständlich wichtig. Der richtige Ansatz ist meiner Meinung nach jedoch, dies als allerletzte Frage hintanzustellen. Erst, wenn die grundlegenden Fragen geklärt sind¹⁵¹⁾https://www.informatik-aktuell.de/betrieb/virtualisierung/vorbehalte-gegen-cloud-computing-erwartungen-und-realitaet.html, sollte die finanzielle Frage als Entscheidungsgrundlage infrage kommen.

Vor allem unter dem Aspekt, dass einem der Weg in die Cloud einfach gemacht wird aber das Ganze eine Einbahnstraße ist¹⁵²⁾https://www.com-magazin.de/praxis/business-it/cloud-on-premise-qual-wahl-1704035.html. Denn der Weg aus der Cloud zurück ist mühsam und oft nur mit großen Einschränkungen möglich¹⁵³⁾https://www.it-zoom.de/it-director/e/digital-workspace-statt-on-premise-anwendungen-16707/. Dessen sollte man sich bei der Entscheidungsfindung jederzeit bewusst sein.

Schlussendlich gilt wie so oft: You get what you pay for.

Persönlicher Kommentar

Die ganze Überlegung, ob Cloud oder nicht Cloud, ist meiner Meinung nach wieder ein typisch deutsches Problem. Auf internationaler Ebene gibt es das gar nicht. Deutschland hat einfach seit Ende der 90er Jahre die weitere Digitalisierung verpennt.

Was die Bundesregierung uns weis machen will, ist von vorne bis hinten erstunken und erlogen. Von wegen Digitalisierung, von wegen Industrie 4.0. Alles nur Schlagworte, um die Wählerschaft bei Laune zu halten. Die letzte echte deutsche Innovation, an die ich mich bewusst erinnern kann, war zu meinen Informatikstudienzeiten um die Jahrtausendwende an der FAU in Erlangen, die wiederum mit dem Fraunhofer zusammenarbeitet¹⁵⁴⁾https://www.fau.de/research/forschungskooperationen-und-partnerschaften/fraunhofer-einrichtungen/. Damals kamen dort für mich bisher nie dagewesene Dinge auf wie MP3 und Musikerkennung einer gesummten Melodie auf. Das fand ich spannend und hatte es noch nie irgendwo anders auf internationaler Ebene gesehen (was dann ja auch tatsächlich so war – viele wissen gar nicht, dass wir damals ganz federführend waren¹⁵⁵⁾https://www.fau.de/research/forschungskooperationen-und-partnerschaften/fraunhofer-einrichtungen/). Auch die KI Programme, die wir damals in unseren Uni-Übungsfächern für Quake (altes Computerspiel) entwickelten, kamen mir damals vor wie der Weg in die richtige Richtung. Aber das ist jetzt schon zwei Jahrzehte her. Heute wandern Robotik und KI eher nach Asien¹⁵⁶⁾https://emergingmarkets.blog.franklintempleton.com/de/2018/11/07/das-wettrennen-um-die-nutzung-von-ki-technologien-in-asien/, selbst wenn sie mal „deutsch“ waren¹⁵⁷⁾https://www.welt.de/finanzen/article161813468/Wie-China-die-deutsche-Firmenlandschaft-leer-kauft.html…

Und sonst noch? Elektromobilität haben wir verpasst, das machen andere Länder¹⁵⁸⁾https://www.sueddeutsche.de/auto/elektroautos-europa-hat-den-anschluss-an-die-batterietechnik-verpasst-1.3713717. Quantencomputer ebenso, das macht jetzt der U.S. Riese Google¹⁵⁹⁾https://www.spiegel.de/netzwelt/gadgets/quantenueberlegenheit-google-meldet-durchbruch-beim-quantencomputing-a-1292901.html – der für sein europäisches Angebot praktisch nicht einmal Steuern in Europa zahlt¹⁶⁰⁾https://www.focus.de/finanzen/steuern/tid-31358/deals-und-geistertoechter-so-ertrickst-sich-apple-einen-steuersatz-von-zwei-prozent-google-zahlte-in-europa-nur-drei-prozent-steuern_aid_996273.html. 5G Auktionen waren überall in den Medien, was wurde das doch hierzulande medial hochgepusht als andere Länder schon mit dem Ausbau beschäftigt waren. ¹⁶¹⁾https://web.de/magazine/digital/5g-netzausbau-internationalen-vergleich-deutschland-mittelmass-33178626. Heute ist Deutschland Schlusslicht. Wenn Sie mich fragen, irgendwas ist da kaputt.

Keine andere führende Industrienation schaut bei der Digitalisierung so weit in die Röhre, wie Deutschland das tut. Neu ist das alles nicht. Schon die angeblichen 99% Netzausbau mit den ersten A-DSL Verbindungen waren eine Lachnummer¹⁶²⁾https://www.vdsl-tarifvergleich.de/vdsl-technik/geschichte-von-isdn-ueber-dsl-bis-vdsl.html, die flächendeckende Handynetz-Funkabdeckung ist genau so wenig vorhanden wie der 5G Ausbau. LTE gibt es seit 13 Jahren¹⁶³⁾https://www.informationszentrum-mobilfunk.de/technik/geschichte-des-mobilfunks/4-generation-4g#targetText=Zwei%20Monate%20sp%C3%A4ter%20erfolgte%20in,Bundesnetzagentur%20im%20Mai%202010%20eingef%C3%BChrt.. Gerade mal 2/3 LTE Abdeckung haben wir bisher, innerhalb der nächsten 14 Monate sollen es plötzlich 99% werden¹⁶⁴⁾https://www.spiegel.de/netzwelt/netzpolitik/mobilfunkausbau-bund-und-konzerne-schliessen-lte-vertrag-a-1285519.html.

Ob das klappen wird und überhaupt, wieso immer alles auf den letzten Drücker passiert wenn die Technik mittlerweile doch sowieso wieder überholt ist? Machen wir das doch lieber gleich mit dem Nachfolger 5G, nachdem wir schon Millarden über Milliarden Lizenzen dafür versteigert haben. Nur mal eben ein paar Zahlen zum Vergleich was LTE angeht: Südkorea 97%, Japan 94%, Norwegen 92%. Wir erinnern uns, Deutschland 66%. Wobei alle anderen auch mit durchschnittlich 40-44 Mbit/s unterwegs sind (Singapur, Niederlanden, Norwegen, Südkorea) und wir in Deutschland – richtig geraten – gerade mal mit der halben Geschwindigkeit¹⁶⁵⁾https://web.de/magazine/digital/5g-netzausbau-internationalen-vergleich-deutschland-mittelmass-33178626.

Gestern erst habe ich versucht, mit einem Kollegen zu telefonieren als er auf seinem Heimweg war. Was glauben Sie, wie gut ein Mobilfunkgespräch funktioniert wenn der Gesprächspartner einmal vom Münchner Südosten quer rüber in den Nordwesten muss und dabei 1,5 Stunden mit mir telefoniert? Also, dass wir für die Zukunft gut gerüstet sind, das sehe ich noch nicht. Wir schwelgen lieber in Vergänglichem.

Fun Fact: erzählte mir mein Kollege, dass man auf dem letzten Elternabend in der Schule darauf hingewiesen habe, Entschuldigungen und Krankschreibungen für die Kids seien am selben Morgen des Fernbleibens ausschließlich per Fax einzusenden. Eine Entschuldigung per E-Mail sei unzulässig, auch wenn es daheim kein Fax mehr gibt. Ersatzweise könne eine Entschuldigung durch persönlich in der Schule anwesende Elternteile erfolgen. Deutschland ist in seiner Denke veraltet, wo man nur hinsieht.

Und so wird auch der Begriff der Cloud meiner Meinung nach (und auch der Meinung verschiedener international in diesem Bereich tätiger Unternehmen¹⁶⁶⁾https://www.informatik-aktuell.de/betrieb/virtualisierung/vorbehalte-gegen-cloud-computing-erwartungen-und-realitaet.html ¹⁶⁷⁾https://www.industry-of-things.de/verschwindet-der-begriff-cloud-bis-2025-a-728545/#targetText=Eine%20aktuelle%20Studie%20zeigt%3A%20Mehr,werde%20bis%202025%20verschwunden%20sein. ¹⁶⁸⁾https://www.cloudmagazin.com/2018/07/17/der-begriff-cloud-wird-verschwinden/ ¹⁶⁹⁾https://www.silicon.de/blog/cloud-computing-so-selbstverstaendlich-wie-die-luft-zum-atmen ¹⁷⁰⁾https://blog.wiwo.de/look-at-it/2018/07/04/jeder-fuenfte-cio-glaubt-die-cloud-wird-bis-2025-so-selbstverstaendlich-dass-begriff-verschwindet/ ¹⁷¹⁾https://www.professional-computing.ch/klare-aussichten-verschwindet-die-cloud-aus-der-it-sprache/) in wenigen Jahren verschwinden.

Er wird ein deutsches Relikt sein, so wie das Faxgerät. Denn wenn wir mal außerhalb von Deutschland schauen, dann ist man da schon lange viel weiter in Richtung unabhängiges, dezentrales Arbeiten, Abschaffen eigener Server usw. unterwegs. Klassisch das, was wir eben unter Cloud verstehen.

Nur wegen der altertümlichen Einstellung, die bei uns vorherrscht, stehen wir überhaupt vor diesem Dilemma. Große deutsche Hersteller installieren ihre Software auf gemieteten Servern und verkaufen es als angebliche Cloud. Inperformant. Nie dafür gedacht gewesen. Nein, das ist nicht Cloud. Ich möchte niemandem ans Bein pinkeln, deshalb nenne ich keine Namen. Fragen Sie selbst Ihren Anbieter, wie er „Cloud“ entwickelt. Entweder bekommen Sie gar keine Antwort oder genau diese.

Junge Unternehmen, Start Ups, entwickeln als reine Webanwendungen, haben nur leider nie etwas in der Richtung gelernt oder studiert, programmieren unsauber und einfach nur schlecht. Und von Betriebswirtschaft und Datenschutz haben die meist sowieso keine Ahnung. Auch nicht unbedingt der anzustrebende Cloud-Gedanke, so zu arbeiten. Hier wird ganz klar nach dem amerikanischen Vorbild entwickelt. Erst einmal ein Produkt auf den Markt werfen und schauen was passiert. Sicherheit, Zuverlässigkeit usw. kommen erst, wenn man damit Geld verdient.

Und ausländische Lösungen dürfen wir je generell erst einmal nicht einsetzen, weil der hausinterne Datenschutzbeauftragte keine Ahnung von Technik hat und deshalb überall grundsätzlich erst einmal einen Riegel vorschiebt. Oft zurecht. Während die „Großen“ eine Datenschutzverletzung nach der anderen verzeichnen und wenig bis gar nichts passiert¹⁷²⁾https://www.handelsblatt.com/finanzen/banken-versicherungen/leak-von-nutzerdaten-datenpanne-bei-mastercard-weitet-sich-aus/24928480.html?ticket=ST-53575767-vICohmNfytHCGMck4bXu-ap5, kämpfen die Kleinen mit der korrekten Umsetzung aller Rechtsvorgaben. Warum nichts passiert fragen Sie? Zu kompliziert, zu komplex, nicht in unserem Verantwortungsbereich, zu wenig Personal, Überforderung auf allen Seiten. Lobbyismus. Gute Rechtsabteilungen auf der Gegenseite und Inkompetez auf Klägerseite¹⁷³⁾https://t3n.de/news/dumme-fragen-mark-zuckerberg-1017089/. Anders ist das nicht zu erklären. Weil’s so schön ist möchte ich eine Passage der eben angegebenen Quelle zitieren:

Der republikanische Senator Orrin Hatch fragte beispielsweise allen Ernstes: „Wie wollen Sie ein nachhaltiges Geschäftsmodell aufrechterhalten, wenn Ihre Nutzer nicht für den Dienst bezahlen?“ Zuckerbergs trockene Antwort: „Senator, we run ads.“ – „Senator, wir schalten Werbung.“

https://t3n.de/news/dumme-fragen-mark-zuckerberg-1017089/¹⁷⁴⁾https://t3n.de/news/dumme-fragen-mark-zuckerberg-1017089/

Wenden wir uns wieder ernsthaft dem eigentlichen Thema zu. Der Kunde braucht eine Lösung. Entscheidungen müssen her. Bei all dem Gewirr kann ich nur eines mit Sicherheit feststellen. Der Leidtragende – wie so oft auch hier – ist der Kunde. Er hat die Wahl zwischen Pest und Cholera. Man kann nur hoffen, dass sich die Qualität der für deutsche Unternehmen angebotenen Cloud-Produkte in den kommenden Jahren ganz erheblich verbessert. Bis dahin fährt man wohl nur allzu oft mit der On-Premise-Software deutlich besser.

Zusammenfassung

Abschließend fasse ich die einzelnen Themengebiete noch einmal anschaulich zusammen.

Anregungen, Fragen und Verbesserungsvorschläge wie immer gerne im Kommentar gesehen.