Die Bereitschaft, Cloud-Anwendungen zu nutzen, steigt enorm, sowohl bei kleineren, mittleren als auch großen Unternehmen. Wo es an Erfahrung mangelt, da können externe Experten helfen, typische Fehler zu vermeiden. Cloud-Architect Christian Decker von ACP verrät im Interview: Die Cloud ist oft schon weiter verbreitet, als den Verantwortlichen bewusst ist. Darauf bietet er eine Wette über knapp 1.000 Euro an.
Frage: Noch vor Jahren waren gerade kleine und mittlere Unternehmen oft skeptisch gegenüber dem Einsatz von Cloud-Services. Manche pflegten sogar eine strikte No-Cloud-Strategie. Wie sieht das heute aus?
Antwort: Die No-Cloud-Strategie stirbt aus, der Mittelstand öffnet sich dem Thema zusehends. Dort, wo es noch Ablehnung gibt, ist es meist weniger eine dedizierte Strategie der Unternehmensleitung als vielmehr das Wirken einzelner IT-Leiter. Eine Ausnahme bildet der Bereich der öffentlichen Hand, hier ist der Widerstand gegen Cloud-Angebote noch weit verbreitet.
Frage: Woher rührt die zunehmende Offenheit des Mittelstandes für dieses Thema?
Antwort: Entscheidend ist hier das gewachsene Vertrauen. Zum Beispiel hat Microsoft inzwischen 135 Millionen Cloud-User weltweit, andere Dienste, die ebenfalls professionelle Services bieten, legen ebenfalls zu. Daher steigt die Bereitschaft, solche Angebote zu testen, und mit der Erfahrung, dass ein Cloud-Service tatsächlich in der Praxis funktioniert, ohne dass es zu größeren Problemen kommt, öffnen sich die Unternehmen immer weiter für dieses Thema. Inzwischen kann man sagen: der Mittelstand gewöhnt sich zusehends an die Cloud.
Frage: Wie vollzieht sich dieser Wandel in der Praxis?
Antwort: Bis vor einem Jahr war „Cloud“ für die meisten dieser Kunden ausschließlich Mail und Office. Inzwischen haben sie realisiert, dass es noch sehr viel mehr gibt. OneDrive und Sharepoint, Yammer und Teams, und noch vieles mehr. Das wirft natürlich Fragen auf: Welche Anwendung ist für die eigenen Bedürfnisse geeignet? Wie können diese in das eigene Unternehmen, in die IT-Strukturen und in die Arbeitsprozesse, integriert werden? Wir bei ACP sehen, dass es hier einen enormen Beratungsbedarf gibt. Wenn es dann konkreter wird, müssen auch Sicherheitsfragen und -konzepte diskutiert werden, auch das ist ein stark nachgefragtes Thema. Und gerade hier kommt es oft zu Überraschungen.
Frage: Welcher Art sind diese Überraschungen?
Antwort: Dass die Cloud längst im Unternehmen Einzug gehalten hat, ohne dass es den IT-Verantwortlichen bewusst geworden ist. Wenn im Unternehmen Aufgaben zu bewältigen sind, die mit einer Cloud-Anwendung einfach realisiert werden können, das Unternehmen selbst aber keine solchen Angebote zur Verfügung stellt, werden auf Ebene der Line of Business einfach Cloud-Services gebucht – ohne die IT-Abteilung einzubeziehen. Oder die private Drop-Box, die für Unternehmensaufgaben genutzt wird. Diese sogenannte Schatten-IT ist aus Security-Sicht natürlich ein Horror-Szenario. Wenn die Cloud nicht von der eigenen IT-Administration gemanaged wird, hat sie keine Kontrolle über die IT-Sicherheit, über die Sicherheit von Unternehmensdaten, sie kann die Einhaltung der Datenschutz-Grundverordnung nicht garantieren und hat auch keinen Überblick über die Kosten-Nutzen-Relation, wenn beispielsweise verschiedene Abteilungen jeweils für sich gleichartige Services buchen, die im größeren Paket günstiger zu beziehen wären. Bitte nicht falsch verstehen: Es geht nicht darum, dass bestimmte Cloud-Dienste per se unsicher wären. An erster Stelle geht es um die Frage, wo die Verantwortung und Kontrolle liegt: Beim Unternehmen oder beim User. Und im Falle einer Schatten-IT liegt sie eben beim Nutzer und ist damit der Durchsetzung von Unternehmens-Policies entzogen.
Frage: Kann man diese Art der Cloud-Nutzung nicht einfach untersagen oder auf technischem Weg blockieren?
Antwort: Das wäre die schlechteste Methode, mit diesem Thema umzugehen. Unserer Erfahrung nach werden die Mitarbeiter dann sehr kreativ, um weiterhin an bewährten Tools festzuhalten – nicht aus bösem Willen, sondern weil sie ihre Aufgaben möglichst schnell und gut erledigen wollen. Echte Kontrolle gewinnt ein Unternehmen so nicht. Der sicherste Weg, die Schatten-IT auszutrocknen besteht darin, zunächst einmal aufzudecken, welche Cloud-Dienste bereits genutzt werden und den Mitarbeitern dann diese oder funktionsgleiche Dienste so anzubieten, dass diese von der IT-Abteilung gemanaged werden. Nur so können IT-Sicherheit und die Einhaltung von Compliance-Vorgaben sichergestellt werden. Einen vom Unternehmen verwalteten OneDrive-Account anzubieten ist in diesem Sinne die bessere Alternative als einfach ein DropBox-Verbot auszusprechen.
Frage: Dann bleibt natürlich die Frage: Wie kann man die Schatten-IT aufdecken und Alternativen entwickeln? Gerade Unternehmen, die noch keine bis wenig Erfahrung mit der Cloud haben, können das doch wohl kaum aus eigener Kraft stemmen, oder?
Antwort: Ja, das ist richtig. ACP hat genau für solche Kunden die Cloud-Nutzungs-Analyse konzipiert. Dazu gehört beispielsweise eine Analyse der Firewall-Logs, um den Datenverkehr zu typischen Cloud-Angeboten zu entdecken. Um diese Dienste bewerten zu können, muss man wissen, wo diese die Daten ablegen, welchem internationalen Recht sie unterliegen, ob es kritische Klauseln in den Nutzungsbedingungen gibt, wie das Preismodell aussieht, welche Zertifizierungen sie vorweisen können und ähnliches. Alles das besprechen wir mit Unternehmen im Rahmen dieses Angebots und versetzen Unternehmen damit in die Lage zu entscheiden, ob die Dienste in Form von Managed Accounts fortgeführt werden können oder ob auf alternative Business-Angebote umgestellt werden muss, die sicher und Compliance-konform sind. Im nächsten Schritt geht es dann darum, wie die Cloud-Services in die Arbeitsprozesse und in die Infrastruktur integriert werden können – nicht nur in technischer Hinsicht, sondern zum Beispiel auch mit Blick auf mögliche Synergie-Effekte. Hier profitieren Mittelständler stark von unserer umfangreichen Erfahrung.
Frage: Gibt es denn in jedem Unternehmen eine Schatten-IT?
Antwort: Darauf gibt es nur eine Antwort: Ja. In diesem Punkt sind wir uns so sicher, dass wir mit unseren Kunden sogar darauf wetten.
Frage: Wie sieht die Wette denn konkret aus?
Antwort: Der Einsatz beträgt 990 Euro. Entstanden ist die Idee, weil ich Kunden hatte, die davon überzeugt waren, dass sie keine Schatten-IT haben. Das konnte ich nicht glauben. Diesen Kunden haben wir ein Angebot gemacht: ACP führt die Cloud-Nutzungs-Analyse durch und versucht Schatten-IT aufzudecken. Wenn tatsächlich keine versteckte Cloud-Nutzung zu finden ist, muss der Kunde keinen Cent bezahlen. Wenn wir aber fündig werden, muss er den üblichen Preis für diese Dienstleistung – das sind die genannten 990 Euro – bezahlen, bekommt aber dann eben auch die oben beschriebene Hilfestellung, wie er mit der Schatten-IT umzugehen hat.
Frage: Und wie ist die Trefferquote bisher?
Antwort: Die liegt bei 100 Prozent. Wir haben die Wette noch nie verloren. Oder anders gesagt: Wir warten noch immer auf den Kunden, der tatsächlich frei von jeder Schatten-IT ist.
