Was ist die Cloud?
Cloud steht für Cloud Computing.
Cloud bezeichnet Rechenleistung, Speicher oder Software, die ein Anbieter über das Internet nach Bedarf bereitstellt und nach Nutzung abrechnet, statt dass Sie eigene Geräte betreiben.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite3 Abschnitte
Einfach erklärt
Cloud heißt: Sie nutzen Rechenleistung, Speicher oder Programme über das Internet, statt Geräte selbst zu kaufen und aufzustellen. Bezahlt wird nach Verbrauch oder pro Monat, mehr Leistung ist schnell gebucht. Das ist wie Strom aus der Steckdose statt eines eigenen Generators. Wo die Rechner stehen, sehen Sie nicht. Es gibt sie trotzdem, in den Rechenzentren eines Anbieters.
Drei Stufen
Cloud-Angebote unterscheiden sich darin, wie viel der Anbieter übernimmt:
- IaaS (Infrastruktur als Dienst): Sie mieten Server und Speicher. Alles darauf richten Sie oder Ihr IT-Dienstleister ein.
- PaaS (Plattform als Dienst): Der Anbieter stellt eine fertige Umgebung, etwa eine Datenbank. Sie bringen nur Ihre Anwendung mit.
- SaaS (Software als Dienst): Sie nutzen fertige Software im Browser, etwa ein Office-Paket. Um alles Technische kümmert sich der Anbieter. Mehr unter SaaS.
Worauf Sie achten sollten
„Cloud“ sagt nichts darüber, wo Ihre Daten liegen und wer darauf zugreifen kann. Fragen Sie nach dem Standort der Rechenzentren und nach dem Sitz des Anbieters. Anbieter mit Sitz in den USA unterliegen US-Recht, auch wenn die Server in Europa stehen, mehr dazu unter CLOUD Act. Klären Sie außerdem, wie Sie Ihre Daten wieder herausbekommen, falls Sie den Anbieter wechseln wollen.
Einordnung: Die Cloud nimmt Ihnen Arbeit ab, aber nicht die Verantwortung. Wer Zugriff hat und ob Ihre Daten zusätzlich gesichert sind, bleibt Ihre Entscheidung.
Definition nach NIST
NIST SP 800-145 (2011) definiert Cloud Computing über fünf Merkmale: Selbstbedienung nach Bedarf, Zugriff über das Netz, gemeinsam genutzte Ressourcen (Resource Pooling), schnelle Elastizität und gemessene Nutzung. Dazu kommen drei Servicemodelle und vier Bereitstellungsmodelle: Private, Community, Public und Hybrid Cloud.
| Modell | Kunde kontrolliert | Anbieter kontrolliert |
|---|---|---|
| IaaS | Betriebssystem, Speicher, Anwendungen, eingeschränkt Netzfunktionen wie Host-Firewalls | Hardware, Netz, Virtualisierung |
| PaaS | eigene Anwendungen, Einstellungen der Laufzeitumgebung | Netz, Server, Betriebssystem, Speicher |
| SaaS | höchstens nutzerbezogene Einstellungen | alles Übrige |
Geteilte Verantwortung
Unabhängig vom Modell bleiben Konten, Rechte und Daten beim Kunden. Der BSI-Baustein OPS.2.2 „Cloud-Nutzung“ verlangt, die Verantwortungsbereiche zwischen Anbieter und Kunde klar erkennbar abzugrenzen und zu dokumentieren (A4). Bei erhöhtem Schutzbedarf soll der Kunde prüfen, ob er zusätzlich zu den Sicherungen des Anbieters eigene Datensicherungen braucht (A16). Als Nachweis legen Anbieter etwa ein Zertifikat nach ISO/IEC 27001 vor oder ein Testat nach dem Kriterienkatalog C5 des BSI, das Wirtschaftsprüfer erteilen. Beide gelten nur für ihren jeweiligen Prüfungsumfang.
Typische Fehler
- Region mit Rechtsraum verwechselt. Eine Region „Frankfurt“ sagt etwas über den Speicherort, nicht über den Sitz des Anbieters und das anwendbare Recht.
- Keine Ausstiegsplanung. Exportformate, Fristen und Kosten für den Datenabzug fehlen im Vertrag. OPS.2.2.A14 behandelt die geordnete Beendigung.
- Freigaben unbemerkt öffentlich. Speicher-Buckets oder geteilte Links sind für alle lesbar.
- Kosten ohne Grenze. Elastizität gilt auch für die Rechnung, Budgetwarnungen fehlen.
Prüfen
Für jeden Cloud-Dienst eine Zeile in der Dienstleisterliste: Modell (IaaS, PaaS, SaaS), Sitz des Anbieters, Speicherort, Nachweise mit Geltungsbereich, Vertrag zur Auftragsverarbeitung, Exportweg und Verantwortlicher im eigenen Haus. Wie abhängig ein Betrieb von einzelnen Anbietern ist, zeigt der Souveränitäts-Check.