Leseprobe
Inhaltsverzeichnis
Abbildungsverzeichnis
Tabellenverzeichnis
Abkürzungsverzeichnis
1 Einleitung
1.1 Problemstellung der Arbeit
1.2 Aufbau und Zielsetzung der Arbeit
1.3 Methodik
2 Begriffsdefinitionen
2.1 Cloud Computing
2.2 Server based Computing
2.3 Informationssicherheit
2.4 Datenschutz
3 Cloud Computing
3.1 Technologiekonzept und Herkunft des Cloud Computing
3.2 Eigenschaften des Cloud Computing
3.3 Varianten des Cloud Computing
3.4 Servicemodelle und Ebenen des Cloud Computing
4 Server based Computing
4.1 Client-Server-System
4.2 Charakteristika des Server based Computings
4.3 On-Premises
5 Rechtliche Analyse der Systemmodelle
5.1 Rechtliche Analyse aus Sicht der Informationssicherheit
5.2 Rechtliche Analyse des Datenschutzes im Kontext der beiden Systemmodelle
5.3 Chancen und Risiken der beiden Systemmodelle im Kontext der Informationssicherheit und des Datenschutzes
6 Evaluierung der Ergebnisse
6.1 Analyse der KPMG-Studie
6.2 Auswertung der Chancen und Risiken des Cloud Computings im Kontext der KPMG-Studie
6.3 Zusammenfassung der Erkenntnisse im Kontext des SbC
7 Schlussbetrachtung
7.1 Fazit
7.2 Kritische Reflektion der Arbeit
7.3 Ausblick
Literaturverzeichnis
Internetquellenverzeichnis
Bibliografische Information der Deutschen Nationalbibliothek:
Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.
Impressum:
Copyright © Science Factory 2020
Ein Imprint der GRIN Publishing GmbH, München
Druck und Bindung: Books on Demand GmbH, Norderstedt, Germany
Covergestaltung: GRIN Publishing GmbH
Abbildungsverzeichnis
Abbildung 1: schematischer Aufbau der Thesis
Abbildung 2: IT-Schutzziele nach BSI
Abbildung 3: Datenschutzgrundsätze
Abbildung 4: Eigenschaften des Cloud Computing
Abbildung 5: Übersicht der Varianten von Cloud Computing
Abbildung 6: Verteilung der Service-Modelle im Kontext der Varianten des Cloud Computings
Abbildung 7: Gegenüberstellung und Aufgabenverteilung der Client Systeme
Abbildung 8: Grundkonstrukt Server based Computing
Abbildung 9: Übersicht KonTraG
Abbildung 10: Zusammenhang zwischen DSGVO und Systemmodelle
Abbildung 11: Prozentuelle Verteilung der Unternehmensgröße
Abbildung 12: Entwicklung der Nutzer/Planer des Cloud Computings seit 2014
Abbildung 13: Ausfälle im Cloud Computing prozentual nach Grund
Abbildung 14: Hürden zur Nutzung des Cloud Computing gemäß KPMG-Studie
Abbildung 15: Entwicklung der Speicherung von Daten in der Cloud
Tabellenverzeichnis
Tabelle 1: Sub-Kategorien der Private Cloud
Tabelle 2: Vergleich der Chancen und Risiken im Cloud Computing
Tabelle 3: Vergleich der Chancen und Risiken im Server based Computing
Abkürzungsverzeichnis
Abs. Absatz
Art. Artikel
BGB Bürgerliches Gesetzbuch
BSI Bundesamt für Sicherheit in der Informationstechnologie
BSIG Gesetz über das Bundesamt für Sicherheit in der Informationstechnik
bspw. beispielsweise
bzw. beziehungsweise
CSP Cloud Service Provider
ebd. ebenda
ENISA European Network and Information Security Agency
etc. et cetera
EU Europäische Union
EU-DSGVO Europäische Datenschutz-Grundverordnung
gem. gemäß
ggf. gegebenenfalls
GoB Grundsätze ordnungsgemäßer Buchführung
grds. grundsätzlich
IaaS Infrastructure as a Service
i. d. R. in der Regel
inkl. inklusive
insb. insbesondere
ISM Informationssicherheitsmanagement
ISMS Informationssicherheitsmanagementsystem
IT Informationstechnologie
IT-SiG IT-Sicherheitsgesetz
KonTraG Gesetz zur Kontrolle und Transparenz im Unternehmensbereich
NIST National Institute of Standards and Technology
PaaS Platform as a Service
SaaS Software as a Service
SbC Server based Computing
SLA Service-Level-Agreement
TOM technische und organisatorische Maßnahmen
u. a. unter anderem
u. U. unter Umständen
z. B. zum Beispiel
z. T. zum Teil
1 Einleitung
Die Informationstechnologie (IT) ist heutzutage omnipräsent. In nahezu allen Lebensbereichen ist die Abwesenheit der IT undenkbar und hat einen entsprechend hohen Einfluss auf den Alltag der Menschen. Seit vielen Jahren findet eine stetige Weiterentwicklung der IT statt, wodurch ein großer Wandel in dem Bereich festzustellen ist. Viele Unternehmen haben diesen Wandel verstanden und digitalisieren kontinuierlich die betrieblichen Aktivitäten. Diese stetige Digitalisierung fordert immer höhere Ressourcen, Speicherkapazitäten und eine steigende Rechenleistung der IT.
Eine Möglichkeit zur Erfüllung dieser Anforderungen kann das Cloud Computing sein. Das Cloud Computing bietet augenscheinlich unbegrenzte Möglichkeiten IT-Ressourcen zu beziehen, welche sich der Nutzer kurzfristig „ausleihen“ und nach Gebrauch wieder abgeben kann. Diese Flexibilität in der Ausgestaltung der IT-Infrastruktur lässt das Cloud Computing entsprechend attraktiv wirken.1 Zusätzlich werden Unternehmen von Cloud-Service-Providern (CSP) Möglichkeiten zur Senkung der IT-Kosten durch Auslagerung der IT-Ressourcen in die Cloud suggeriert. Mit diesen Eigenschaften etabliert sich das Cloud Computing in immer mehr Unternehmen und verdrängt dabei die klassische IT.2 Die Zahlen der Unternehmen die Cloud nutzen ist stetig steigend. Waren es im Jahre 2014 noch 44 % der Unternehmen, sind es im Jahre 2018 73 %.3 Dies zeigt, dass der Bedarf an sicheren und vertrauenswürdigen Clouds steigt.
1.1 Problemstellung der Arbeit
Neben den suggerierten Vorteilen, gibt es einige Risiken, welche bei einer Auslagerung der IT auftreten können. Am 29.01.2019 gab es einen großflächigen Ausfall bei Microsofts Cloud „Microsoft Azure“, wodurch die Systeme nicht mehr zu erreichen waren. Dabei ist es, laut Aussage von Microsoft, bei einer Routinewartung zu Netzwerkproblemen gekommen, wodurch viele der Azure-Dienste nicht verfügbar waren. Zusätzlich gab es Probleme bei einem DNS-Provider von Microsoft, welcher ein Update einspielen wollte. Dadurch kam es zu einer Datenbeschädigung, welche sich auf den Netzwerkverkehr auswirkte, wodurch die weiteren Azure-Dienste ebenfalls nicht verfügbar waren.4 Dadurch waren einige Unternehmen in ihren Tätigkeiten eingeschränkt, was finanzielle Schäden aufgrund des Stillstands als Folge hatte. Daher darf ein Unternehmen nicht nur die technischen und finanziellen Vorteile beim Cloud Computing in Betracht ziehen, sondern muss auch die Risiken in der Informationssicherheit und in der Compliance, zu welcher der Datenschutz gehört, betrachten.5
Solche Bedenken, wie der Ausfall einer Cloud sowie weitere Sicherheitsbedenken haben viele Unternehmen bei der Einführung bzw. Nicht-Einführung von Cloud Computing. Viele Unternehmen haben Angst, dass durch unberechtigten Zugriff Daten abgegriffen werden. Vor allem die Sorge um sensible Unternehmensdaten sowie der daraus resultierende Know-how-Verlust sind wesentliche Hemmnisse. In diesem Kontext entstand die Idee dieser Thesis: Aufgrund der immer weiter steigenden Nutzerzahlen und Beliebtheit des Cloud Computings und dem zuvor genannten Ausfall einer großen Cloud war es interessant, Alternativen zu prüfen. Dabei fiel die Entscheidung auf den Gegenpol des IT-Outsourcings, in diesem Falle wurde daher das Server based Computing als Insourcing-Modell gewählt.
In Anbetracht der Sorgen der Unternehmen gegenüber des Cloud Computings war es interessant, eine Analyse unter Berücksichtigung der Informationssicherheit und auch des Datenschutzes beider Systemmodelle durchzuführen. Insbesondere der Datenschutz, der im Mai 2018 durch das Ende der zweijährigen Übergangsfrist der Einführung der EU-Datenschutzgrundverordnung DSGVO eine große Novellierung in der Gesetzgebung erhalten hat, hat einen großen Fokus.
1.2 Aufbau und Zielsetzung der Arbeit
Ziel dieser Arbeit ist es, durch Analyse der Merkmale der Systemmodelle, der rechtlichen Evaluierung sowie der Ergebnisse der Studie herauszufinden, ob eines der beiden Systemmodelle das, unter Berücksichtigung der Informationssicherheit und des Datenschutzes, sicherere und zuverlässigste ist.
Abbildung in dieser Leseprobe nicht enthalten
Abbildung 1: schematischer Aufbau der Thesis6
Das grobe Schema lässt sich der Abbildung 1 entnehmen. Für die Ermittlung des Ziels der Arbeit, wird zunächst im zweiten Kapitel eine allgemeine Begriffsdefinition der wesentlichen Begriffe der Thesis durchgeführt.
Das dritte Kapitel beinhaltet die Analyse des Cloud Computings. Das Kapitel wurde in die Bereiche Technologiekonzept, Eigenschaften und Charakteristika, die verschiedenen Varianten des Cloud Computings sowie in die unterschiedlichen Servicemodelle aufgeteilt. Diese Eigenschaften bilden die Grundlage, mit welcher in den Folgekapiteln weiter gearbeitet wird.
Das vierte Kapitel ist die Analyse des Server based Computings (SbC). Dieses Kapitel beginnt mit der Grundlage des SbC, dem Client-Server-System, dessen Eigenschaften aufgeführt werden. Anschließend werden die individuellen Charakteristika des SbC erfasst sowie das Software-Lizenzmodell, das dem SbC zugrunde liegt.
Im fünften Kapitel findet anhand einer Literatur- und einer Gesetzesanalyse die rechtliche Prüfung der beiden Systemmodelle statt. Es wird mit einer Analyse der Informationssicherheit begonnen, bei der beide Systemmodelle separat mittels sog. Mindeststandards geprüft werden. Danach erfolgt in Kapitel 5.2 die rechtliche Analyse der Systemmodelle im Kontext des Datenschutzes. Nach der Analyse findet eine Evaluierung der Chancen und Risiken beider Systemmodelle im Kontext der thematischen Schwerpunkte der Thesis statt.
Die Prüfung der im zuvor genannten Kapitel ermittelten Ergebnisse in der Praxis folgt in Kapitel sechs. Dieses beginnt mit der Zusammenfassung der für diese Thesis relevanten Ergebnisse im Rahmen der Studie der KPMG. Anschließend werden die Chancen und Risiken des fünften Kapitels mit der Studie abgeglichen. Dies erfolgt für jedes Systemmodell einzeln.
Das letzte Kapitel dieser Thesis stellt ein Resümee der Ergebnisse dar. Es beginnt mit einem Fazit der im sechsten Kapitel evaluierten Ergebnisse, danach wird die Thesis im Rahmen einer kritischen Eigenreflektion bewertet und final erfolgt ein Ausblick auf die Thematik sowie mögliche Entwicklungen in dieser Thematik.
1.3 Methodik
Für die Masterthesis wurden Fachliteratur und Internetquellen verwendet, um die Systemmodelle zu beschreiben und zu analysieren. Die rechtliche Analyse fand unter Einbeziehung gesetzlicher Vorgaben statt. Dafür wurden in der Betrachtung der Informationssicherheit die Standards des Bundesamts für Sicherheit in der Informationstechnologie (BSI) verwendet. Die BSI-Standards sind geclusterte gesetzliche Vorgaben, die u.a. die ISO 2700X-Reihe, die IT-Grundschutzkataloge und weitere Vorgaben berücksichtigt. Hierbei ist zu beachten, dass es sich um Mindeststandards handelt. Dass bedeutet, dass diese Standards eingehalten werden müssen. Das jeweilige Unternehmen darf jedoch mehr Maßnahmen treffen, als dafür vorgesehen wird. Das BSI wurde verwendet, da es sich um eine öffentliche Institution handelt, die dem Bundesministerium des Innern, für Bau und Heimat zugeordnet ist. Daher stellt sie eine neutrale und unabhängige Anlaufstelle dar, welche gut geeignet ist, solche Empfehlungen und Mindeststandards auszugeben.
Für den Datenschutz wurde die DSGVO analysiert, die seit dem Mai 2018 für alle Unternehmen verpflichtend gilt. Diese gesetzliche Verordnung ist die aktuellste im Bereich des Datenschutzes und ist für die EU geltendes Recht.
Um eine objektive Bewertungsmöglichkeit in dieser Thesis zu erhalten, wurde die Studie der KPMG AG Wirtschaftsprüfungsgesellschaft, welche durch die Bitkom Research GmbH durchgeführt wurde, zugrunde gelegt. Mit der Studie werden die aus der Fachliteratur und den Gesetzen abgeleiteten Chancen und Risiken verglichen und eine Relevanz der festgestellten Punkte geprüft. Die Studie dient hierbei als objektives Messkriterium.
Aus den gewonnen Erkenntnissen wird ein Fazit und eine Bewertung des Themas durchgeführt sowie ein möglicher Ausblick.
2 Begriffsdefinitionen
In diesem Kapitel werden einige, für diese Arbeit wesentliche, Begriffe definiert. Die Definition ist dabei jedoch recht allgemein gehalten, da sie lediglich der Orientierung und ersten Einschätzung der Thematik dient. In den Folgekapiteln werden diese Begriffe detaillierter aufgearbeitet und für das jeweilige Schwerpunktthema des Kapitels genauer beschrieben.
2.1 Cloud Computing
Der Begriff „Cloud Computing“ ist weltweit nicht einheitlich definiert und stellt einige Autoren vor Problemen, weshalb sie oftmals jeweils eigene Definitionen des Begriffs verwenden oder ausschließlich die Charakteristika von Cloud Computing aufgeführt werden.7 Für diese Arbeit eignen sich insb. zwei Definitionen. Die erste stammt vom National Institute of Standards and Technology (NIST), dem Institut für Standardisierung der USA, da diese gemäß Bedner die am weitesten reichende und am detailliertesten ist. Zudem ist sie, verglichen mit Definitionen privatwirtschaftlicher Unternehmen, am objektivsten.8 Demnach sei Cloud Computing ein Ansatz, alle On-Demand Services wie bspw. Netze, Server, Speichersysteme, Anwendungen und Dienste, über ein Netz bei Bedarf sofort und überall verfügbar zu machen. Diese Services sollen dabei schnell, mit geringem Management-Aufwand und niedriger Interaktionsrate seitens des Providers zur Verfügung gestellt werden. Diese Definition wird auch von ENISA, der European Network and Information Security Agency, genutzt.9 Das NIST hat dem Cloud Computing wesentliche Eigenschaften, drei verschiedene Service-Modelle und vier Technologieformen zugeordnet.10 Die Anzahl der Eigenschaften variieren in der Literatur, daher werden in dieser Arbeit acht wesentliche Charakteristika bearbeitet. Auf diese Charakteristika wird im dritten Kapitel eingegangen.
Eine weitere Definition stammt vom BSI: Das BSI definiert Cloud Computing als ein Modell, das dynamisch an den Bedarf des Kunden Rechner-Ressourcen von IT-Dienstleistungen und Infrastruktur über ein Netz zur Verfügung stellt, was über definierte (technische) Schnittstellen und Protokolle erfolgt. Die IT-Dienstleistungen sind alle in der IT denkbaren Services und Dienstleistungen wie bspw. die Infrastruktur, Plattformen und Softwaresysteme. Diese Dienstleistungen sind mit minimalem Aufwand sowohl durch den Kunden als auch durch den CSP verfügbar.11
2.2 Server based Computing
Das SbC ist eine spezielle Form eines Client-Server-Netzwerks. Ein klassisches Client-Server-Netzwerk besteht aus einer zentralen Einheit, dem Server, und mehreren dezentralen Clients, die beim Anwender vor Ort sind. Auf den Clients befinden sich alle für die Nutzung des Clients notwendigen Ressourcen wie bspw. Betriebssystem, Anwendungen etc.. Daten, die auf dem Client verarbeitet werden, können dabei entweder auf dem Client selbst (z.B. auf der Festplatte) oder auf dem Server gespeichert werden.12 Beim SbC kann der Nutzer mit einem Thin-Client arbeiten, der eine preiswerte Alternative zu einem normalen Arbeitsplatzrechner darstellt, da die eigentliche Rechnerleistung auf den Servern in Rechenzentren erfolgt.13 Der Thin-Client (auch Terminal genannt) dient hier als Möglichkeit zur Darstellung und Anzeige von Bildschirminformationen. Die Interaktion selbst erfolgt über den Server, welcher auf den Bildschirmen des Thin-Clients dargestellt wird. Die Daten werden zentralisiert auf dem Server gespeichert, da oftmals keine Festplatte in den Thin-Clients verbaut wird.14
2.3 Informationssicherheit
Informationssicherheit wird oftmals mit dem Begriff IT-Sicherheit gleichgesetzt. Die beiden Begriffe schließen sich zwar inhaltlich nicht gegenseitig aus, jedoch wäre dies aus Sicht der Informationssicherheit zu wenig. Während die IT-Sicherheit ausschließlich das technische Risiko betrachtet, beinhaltet die Informationssicherheit zusätzlich den Menschen als Risikofaktor im Gesamtkonzept.15 Im Rahmen dieser Arbeit wird der Fokus überwiegend auf der technischen Betrachtungsweise, also der IT-Sicherheit liegen. In einigen Fällen kann es jedoch vorkommen, dass aufgrund der oftmals nahtlosen Übergänge zwischen den beiden Bereichen, diese synonym verwendet werden.
Gemäß des BSI wird IT-Sicherheit als der Schutz von Daten anhand der Anforderungen an die IT-Schutzziele definiert.16 Die nachfolgende Abbildung zeigt die vom BSI definierten und gängigsten IT-Schutzziele, es gibt jedoch auch weitere.
Abbildung in dieser Leseprobe nicht enthalten
Abbildung 2: IT-Schutzziele nach BSI17
Auf die Möglichkeiten und Definitionen der Zielerreichungsgrade wird in den jeweiligen Unterkapiteln eingegangen. In einigen Fällen kommt es vor, dass die IT-Schutzziele nicht vollständig erreicht werden. Die daraus resultierenden Gap-Risiken werden in einem Risikomanagement-Prozess analysiert. Dort wird die Wahrscheinlichkeit des Eintretens eines Schadensfalls im Verhältnis mit der Schadenshöhe ermittelt und geprüft, ob es sich um einen wirtschaftlich oder rechtlich relevanten Ausfall handelt. Das Unternehmen hat daraufhin die Möglichkeit, durch bestimmte Strategien dem Risiko entgegenzuwirken. Mögliche Strategien sind hierbei die Risikovermeidung, -minimierung, -transfer und –übernahme.18 Bei gravierenden Restrisiken ist es ggf. notwendig risikoreduzierende Maßnahmen zu treffen, um das (Informations-) Sicherheitsniveau zu steigern und die Restrisiken in einen tolerierbaren Rahmen zurückzuführen. Die Erreichung der IT-Schutzziele erfolgt durch unternehmensindividuelle technisch-organisatorische Maßnahmen.19 Die IT-Schutzziele werden nun erläutert.
2.3.1 Verfügbarkeit
Das Schutzziel Verfügbarkeit von Informationen, Systemen oder sonstigen Daten zeigt die Notwendigkeit, dass die zuvor genannten IT-Objekte einem bestimmten und speziell dafür berechtigten Nutzerkreis, bei Bedarf, in einer definierten Zeitspanne verfügbar gemacht werden. Der Nutzerkreis hat dann einen Bedarf, wenn dieser für die Verarbeitung der IT-Objekte zugelassen ist und für seine Tätigkeit benötigt wird. Die definierte Zeitspanne ist unternehmensindividuell festgelegt.20 Die Einstufung erfolgt bspw. in prozentualer Schreibweise inkl. einer unternehmensindividuellen Klassifizierung.21
2.3.2 Vertraulichkeit
Als Vertraulichkeit gilt bei den Schutzzielen, dass Informationen nur einem ausgewählten Personenkreis zugängig gemacht werden. Daher wird bestrebt, die Informationen für unberechtigte Personen unzugänglich zu machen, was ein bestimmtes Maß an Sicherheitsanforderungen notwendig macht.22 Je höher der Schutzbedarf der Informationen, desto höher die Sicherheitsanforderungen. Dies ist notwendig, um einen Datenmissbrauch zu verhindern. Die Klassifizierung dieses Schutzziels kann, wie das Schutzziel Verfügbarkeit, durch eine unternehmensindividuelle Einstufung wie bspw. „gering“, „mittel“, „hoch“ und „sehr hoch“ erfolgen.23 Vor allem die IT-Schutzziele Vertraulichkeit und Verfügbarkeit können Gegenpole zueinander darstellen. Aufgrund einer hohen Anforderung an Vertraulichkeit kann es passieren, dass die Verschlüsselungssystematik so komplex ist, dass die Verfügbarkeit nicht mehr in gewünschtem Maße gegeben ist24 (z.B. Verarbeitung beruflicher E-Mails auf privatem Smartphone ist aufgrund von Restriktionen untersagt).
2.3.3 Integrität
Das Schutzziel Integrität bezeichnet die Eigenschaft, dass ausgewählte Daten nur von Befugten in der dafür vorgesehenen Art und Weise bearbeitet werden können. Die Bearbeitung kann sowohl die Änderung als auch die Löschung der Daten implizieren.25
Ein hohes Maß an Integrität gibt an, dass durch die technisch-organisatorischen Maßnahmen sichergestellt wird, dass die Daten/Informationen unversehrt, vollständig, unverändert und korrekt verarbeitet werden. Die Sicherstellung der Korrektheit der Daten wird anhand bestimmter Attribute wie z.B. Autor, Zeitpunkt der Erstellung und Bearbeitung der Daten festgehalten. Der Verlust von Integrität im Kontext von Daten bedeutet, dass diese unerlaubt verändert oder manipuliert wurden, was anhand der Historie der Informationen nicht nachvollzogen werden kann.26 Die Klassifizierung der Integrität kann analog der Klassifizierung der Vertraulichkeit erfolgen.
2.3.4 Authentizität
Authentizität bezeichnet die Eigenschaft, dass der Absender einer Information oder von Daten, der tatsächlich gewünschte Absender ist. Die erhaltenen Informationen sind daher eindeutig der angegebenen Quelle zuzuordnen.27 Hier kann ebenfalls die Klassifizierung durch eine unternehmensindividuelle Einstufung erfolgen wie bspw. „gering“, „mittel“, „hoch“ und „sehr hoch“.
2.4 Datenschutz
Der Begriff Datenschutz kann nominell zwei Bedeutungen haben. Zum einen kann es der Schutz von gespeicherten Daten und die unerlaubte Verarbeitung derer aufgrund unerwünschtem Zugriff oder ein möglicher Verlust von Daten sein. Zum anderen kann es der Schutz des Bürgers davor sein, unerwünschte Folgen durch den Verlust oder den unerwünschten Zugriff auf personenbezogene Daten zu erleiden. Personenbezogene Daten liegen dann vor, wenn anhand von Daten und Informationen eine identifizierbare natürliche Person ermittelt werden kann. Die Identifizierung ist dann gegeben, wenn die natürliche Person aufgrund von Kennungen, Nummern, Standortdaten eindeutig zuzuordnen ist oder daraus Rückschlüsse zu ihren physischen, genetischen, wirtschaftlichen, religiösen, kulturellen Interessen sowie Identität gezogen werden können. Dazu zählen, neben eindeutigen Informationen wie dem Namen, bspw. auch IP-Adressen.28 Es bleibt festzuhalten, dass die beiden Definitionen sich nicht ausschließen, sondern die erste Definition die Voraussetzung dafür ist, dass die zweite Beachtung finden kann.29 Ein oftmals synonym verwendeter Begriff ist die Datensicherheit. Anders als beim Datenschutz geht es hier jedoch um die Einhaltung der IT-Schutzziele, die in den vorherigen Kapiteln beschrieben wurden. Dabei geht es nicht nur um personenbezogene Daten, sondern um sämtliche Daten und Informationen.30
Der Datenschutz findet sich in mehreren Artikeln des Grundgesetzes (GG) wieder auch wenn er nicht namentlich erwähnt ist. In Art. 1 wird dies durch die Unantastbarkeit der Menschenwürde deutlich, in Art. 2 geht es um die freie Entfaltung der eigenen Persönlichkeit.31 Die erste offizielle Version eines Datenschutzgesetzes stammt aus dem Jahre 1970. Das Bundesland Hessen verabschiedete das Hessische Datenschutzgesetz (HDSG), welches weltweit als erstes Datenschutzgesetz überhaupt gilt.32 Sieben Jahre später wurde das Bundesdatenschutzgesetz verabschiedet.33 Mit dem Volkszählungsurteil von 1983 wurde der Grundstein zur Bildung des Persönlichkeitsrechts gelegt, welches durch das Bundesverfassungsgericht in Form des Grundrechts zur informationellen Selbstbestimmung untermauert wurde. Dieses Grundrecht besagt, dass jeder Bürger über die Preisgabe und Weiterleitung personenbezogener Daten selbst bestimmen darf. Dieses Recht gilt auch dem Staat gegenüber, welcher die Pflicht hat, den Bürger zu schützen.34 Im Jahre 1995 wurde durch die Verabschiedung der europäischen Datenschutzrichtlinie EG 95/46 ein Mindeststandard für die Mitgliedsstaaten der EU sichergestellt, welcher jedoch durch den einzelnen Mitgliedsstaat unterschiedlich diversifiziert wurde. Der Mindeststandard galt für jedes Unternehmen, das seinen Firmensitz innerhalb der EU-Staaten hatte.35 Die Datenschutzrichtlinie wurde am 25. Mai 2018 durch die EU-Datenschutzgrundverordnung (DSGVO) abgelöst.36 Ebenso wie die EG 95/46 gibt die DSGVO sog. Datenschutzgrundsätze vor, nach denen die Verarbeitung personenbezogener Daten erfolgen muss, welche aus der nachfolgenden Grafik ersichtlich sind und anschließend erläutert werden:
Abbildung in dieser Leseprobe nicht enthalten
Abbildung 3: Datenschutzgrundsätze37
- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: die Daten müssen rechtmäßig und für den betroffenen nachvollziehbar verarbeitet werden
- Zweckbindung: es muss ein legitimer und eindeutiger Zweck bei der Erhebung der Daten vorliegen
- Datenminimierung: für den Zweck der Verarbeitung auf ein Minimum reduzierte Datenmenge sowie angemessen und erheblich
- Richtigkeit: die Daten müssen richtig und auf dem aktuellsten Stand sein; falsche Daten müssen mit angemessenen Maßnahmen gelöscht oder berichtigt werden
- Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie sie für den jeweiligen Zweck verwendet/gebraucht werden; bei Vorhandensein von technisch organisatorischen Maßnahmen können unter bestimmten Umständen die Daten länger gespeichert werden
- Integrität und Vertraulichkeit: Daten müssen so verarbeitet werden, dass diese nicht durch Unbefugte oder unrechtmäßig verarbeitet, verloren oder beschädigt werden
- Rechenschaftspflichtig: Der Verantwortliche ist für die Einhaltung der zuvor genannten Aspekte zuständig und muss dies nachweisen können38
Eine weitere wichtige Änderung, die sich durch die DSGVO ergeben hat, ist das Marktortprinzip. Durch dessen Einführung ist es nicht mehr notwendig, dass die personenbezogenen Daten innerhalb der EU verarbeitet werden müssen. Stattdessen ist es nun relevant, wo die jeweilige Dienstleistung angeboten wird. Sobald die Dienstleistung innerhalb des EU-Binnenmarkts angeboten wird, greift die DSGVO. Die Nationalität der Kunden spielt beim Marktortprinzip ebenfalls keine Rolle und Anbieter sind u. U. dazu verpflichtet, einen Vertreter innerhalb der EU zu bestellen, der als Anlaufstelle für die betroffenen Personen und für die Aufsichtsbehörden agieren soll.39
Für die vollständige Umsetzung und Einhaltung der DSGVO ist die Geschäftsführung der Unternehmen verantwortlich.40 Für die Einhaltung muss sie zudem geeignete technische und organisatorische Maßnahmen verwenden, welche sicherstellen müssen, dass die Verarbeitung gemäß der DSGVO erfolgt, was die Geschäftsführung bei Bedarf nachweisen muss. Diese Maßnahmen müssen regelmäßig getestet und, insb. bei Veränderungen, dokumentiert werden.41
Ebenfalls neu ist, dass nun die Geschäftsführung der Gesellschaft verpflichtet ist, die Einhaltung der Grundsätze auch bei Auftragsverarbeitern, Dienstleistern und sonstigen Subauslagerungsnehmern, welche personenbezogene Daten der eigenen Kunden verarbeiten, zu gewährleisten.42 Dies muss sie ebenfalls bei Nachfragen nachweisen können.
3 Cloud Computing
Bevor im fünften Kapitel auf Chancen, Risiken, Vorteile und Nachteile von Cloud Computing eingegangen wird ist es sinnvoll, die Systematik hinter dem Cloud Computing zu analysieren. Deshalb wird in Kapitel 3.1. eine Übersicht inkl. weiterer Details über das Technologiekonzept und der Entstehung von Cloud Computing gegeben und erläutert. In Kapitel 3.2. werden spezielle Eigenschaften des Cloud Computings und besondere Charakteristika beschrieben.
3.1 Technologiekonzept und Herkunft des Cloud Computing
Das Cloud Computing hat sich aus verschiedenen Technologieformen entwickelt. Die Basistechnologien, welche dem Cloud Computing zugrunde liegen, werden nun in den nachfolgenden Kapiteln, der Chronologie ihres Erscheinens nach, erläutert. Es werden zudem die Gemeinsamkeiten des jeweiligen Technologiekonzepts sowie etwaige Analogien mit dem Cloud Computing herausgearbeitet.
3.1.1 Grid Computing
Das Technologiekonzept von Cloud Computing vereint einige bereits bestehende Technologien. Eine Technologieform ist das Grid Computing, welches bereits Mitte der 1990er-Jahre entstanden ist.43 Bengel et al. definieren Grid Computing als Technik, welche für die Integration und der gemeinsamen, institutsunabhängigen-/übergreifenden sowie lokal unabhängigen Nutzung von verteilten Ressourcen, genutzt wird.44 Der Grundgedanke des Grid Computings stammt aus dem Bereich der Stromnetze. Damals wurde es mittels eines standardisierten Adapters (z.B. Steckdose) dem Nutzer ermöglicht, Zugriff auf die Stromnetze zu erhalten, jedoch hatte der Nutzer keinen Zugriff auf die technische Realisierung, sondern nutzte lediglich die Dienstleistung. Dieses Prinzip sollte sich ebenfalls auf die IT-Landschaft ausweiten.45 Analog dazu, verhält es sich beim Grid Computing: Hierbei bezieht der User Ressourcen von unterschiedlichen Rechenzentren, welche zentralisiert auf seinem Endgerät zur Verfügung gestellt werden. Die gemeinsame Nutzung wird in sog. virtuellen Organisationen durchgeführt, welche die Ressourcen den jeweiligen Nutzern zuweisen. Sollten die Ressourcen nicht mehr benötigt werden hat der User innerhalb kürzester Zeit die Möglichkeit die Rechenleistung seines Endgeräts aufzustocken und wieder zu deaktivieren,. Dies zeigt die Elastizität und Flexibilität, welche es auch beim Cloud Computing gibt.46
3.1.2 Utility Computing
Utility Computing stellt ein wichtiges Konstrukt zur Verwendung von Cloud Computing dar. Vielfach wird es als Bindeglied zwischen Grid Computing und Cloud Computing gewertet.47 Hierbei handelt es sich jedoch nicht um eine Technologieform, sondern um ein Geschäftsmodell, welches die IT-Ressourcen (Utilities) wie Rechnerleistung, Speicher etc. nutzungsabhängig bepreist.48 Die Idee des Utility Computings gab es sehr früh, jedoch scheiterte es an der Umsetzung, da es zum damaligen Zeitpunkt weder allgemeinen Zugang zum Internet gab, noch war die dafür nutzbare Hardware kostengünstig und flächendeckend verfügbar. Dies änderte sich in den 1990er Jahren als das Cloud Computing und Applikationen on demand erschienen und die Grundidee des Pay-per-Use vom Utility Computing in das Cloud Computing integriert wurde.49 Die Grundidee des Utility Computing ist, gelegentliche Belastungsspitzen kurzfristig auszugleichen indem man Ressourcen zur Optimierung des eigenen Systems bezieht. Cloud Computing hingegen ist als eine längerfristigere Optimierung gedacht.50 Die kurzfristige Nutzungsmöglichkeit oder Abbestellung der gebuchten Leistungen zeigt die Elastizität des Utility Computings sowie auch der späteren Technologie, dem Cloud Computing.51 Die Elastizität wird im Kapitel 3.2 kurz erläutert.
3.1.3 Virtualisierung
Die Virtualisierungstechnologie ist eine grundlegende Technik, derer sich das Cloud Computing bedient. Durch Virtualisierung ist es möglich, dass eine Hardware durch mehrere Benutzer gleichzeitig und unabhängig verwendet wird.52 Dabei werden physikalische Ressourcen wie bspw. Prozessoren etc. zu virtualisierten Einheiten zusammengefasst und bestehende Ressourcen aufgeteilt. Dadurch ist es möglich, das eigene System je nach Anforderung zu optimieren und die Auslastung den Anforderungen anzupassen. Erreicht wird dies dadurch, dass das Betriebssystem von der Hardware durch bestimmte Software getrennt wird.53 Dem Betriebssystem wird dadurch suggeriert, dass es auf eine Hardware zugreift, welche nicht existiert.
Man kann drei Varianten unterscheiden:
1. Partitionierung: Die Ressource(n) werden in mehreren virtuellen Systemen aufgeteilt. Dabei werden gering ausgelastete Ressourcen durch die Aufteilung und Verteilung besser ausgelastet.
2. Aggregation: Hier ist das Ziel, dass einzelne Systeme zu einem großen, leistungsstarken System zusammengefasst werden. Dadurch kann eine höhere Rechenleistung erzielt werden, als auf den einzelnen Systemen.
3. Emulation: Ein System wird auf einem anderen System nachgebildet. Dadurch ist es möglich, die Anzahl und Komplexität der verschiedenen Systemarchitekturen geringer zu halten, da das abbildende System das Original nachbildet.54
3.1.4 Serviceorientierte Architekturen
Unter einer serviceorientierten Architektur versteht man ein Konzept, bei dem IT-Ressourcen gebündelt und auf die Ebene abstrakter Geschäftsprozesse angehoben werden.55 Das Ziel ist es, eine Optimierung der Ressourcennutzung zu erzielen. Das Konzept dahinter ermöglicht es, dem Nutzer Dienstleistungen anzubieten, ohne dass dieser seine Technik der des Anbieters angleichen muss.56 Dies ist deshalb möglich, weil eine plattform- und sprachunabhängige Verwendung der einzelnen Systemkomponenten stattfindet, was auch erforderlich ist. Durch die Verwendung einzelner Komponenten können durch Zusammenlegung komplexe Systeme zusammengefasst werden. Hierbei wird mit einem hohen Standardisierungsgrad gearbeitet, sodass diese Zusammenlegung und die plattformunabhängige Verwendung leicht ermöglicht werden kann.57
3.2 Eigenschaften des Cloud Computing
Wie im zweiten Kapitel beschrieben, hat das Cloud Computing wesentliche Eigenschaften auf die in diesem Kapitel kurz eingegangen wird. Die Übersicht beinhaltet sieben wesentliche Eigenschaften, welche anhand der nachfolgenden Abbildung dargestellt und anschließend kurz erläutert werden:
Abbildung in dieser Leseprobe nicht enthalten
Abbildung 4: Eigenschaften des Cloud Computing58
3.2.1 On-Demand Self-Service:
Dieser Service bezeichnet die Möglichkeit, die Systeme im Rahmen einer Selbstbedienung zu konfigurieren. Damit hat der Cloud-Nutzer jederzeit die Möglichkeit, Rechenkapazitäten und Storage-Platz zu beziehen, was ohne Interaktion des Anbieters und mithilfe des Internets möglich sein soll.
3.2.2 Broad Network Access
Der breite Netzwerkzugriff wird mittels eines Netzwerks zur Verfügung gestellt. Damit ist die Verfügbarkeit des Cloud Computings durch standardisierte Schnittstellen und Systeme möglich. Durch das Broad Network Access ist eine Multi-Plattform-Nutzung möglich und unterschiedliche Geräteklassen nutzbar.
3.2.3 Ressource Pooling:
Das Ressource Pooling impliziert, dass der CSP physikalische und virtuelle Ressourcen bereitstellt, um seine Services anzubieten. Die Ressourcen werden dabei dynamisch dem Kunden zugewiesen, allerdings kann er vor der Nutzung der Ressourcen dem CSP Bedingungen an die Infrastruktur stellen. Hierbei ist ein Mietmodell die Basis für die Nutzung der vom Anbieter angebotenen Infrastruktur.59
3.2.3.1 Mandantenfähigkeit
Die Mandantenfähigkeit des Cloud Computing beinhaltet die Eigenschaft, dass sich mehrere Benutzer gemeinsame Ressourcen teilen, weshalb diese Fähigkeit vorliegen muss. Jedoch werden die Daten und Anwendungen auf den gemeinsamen Ressourcen völlig isoliert abgelegt.60
3.2.3.2 Rapid Elasticity
Die Elastizität stellt die schnelle Anpassung an den aktuellen Bedarf dar. Damit lassen sich kurzzeitige Lastspitzen und hohe Ressourcenanforderungen kurzzeitig problemlos bedienen, da der Cloud-Anwender jederzeit eine nahezu unbegrenzte Menge an Ressourcen zur Verfügung hat.61 Die Anpassung erfolgt meist automatisch und schnell und der Kunde kann daher unmittelbar auf geänderte Anforderungen reagieren.62
3.2.3.3 Measured Service
Measured Service bezeichnet die Möglichkeit, dass die Nutzung der Ressourcen durch den User automatisch gemessen werden kann. Durch diese Transparenz bei der Messbarkeit der Nutzung können entsprechende Ressourcen bedarfsgerecht den Nutzern angeboten werden. Dadurch ist ein bestimmtes Pricing für den Cloud-Nutzer nach dem gemeinsam vereinbarten Preismodell möglich.63
3.2.3.4 Pay-per-Use Prinzip:
Das Pay-per-Use Prinzip ergänzt den Measured Service. Durch die zuvor genannte Messung ist es möglich, dass der Nutzer nur die IT-Ressourcen bezahlen muss, die er auch tatsächlich beansprucht. In einigen Fällen ist dies auch als Flatrate möglich.64
3.3 Varianten des Cloud Computing
Grundsätzlich lassen sich bei den Varianten zur Bereitstellung des Cloud Computings zwei wesentliche Cloud-Formen unterscheiden: Zum einen gibt es die Public Clouds und zum anderen die Private Clouds. Dazu gibt es noch einige Mischformen der beiden „Hauptvarianten“. Dies ist zum einen die Hybrid Cloud sowie die Community Cloud und weitere Unterkategorien der Hauptvarianten.65 Die Abbildung 4 zeigt das grobe Schema der jeweiligen Cloud-Formen. Diese werden in den nachfolgenden Unterkapiteln genauer beschrieben und voneinander abgegrenzt.
Abbildung in dieser Leseprobe nicht enthalten
Abbildung 5: Übersicht der Varianten von Cloud Computing66
3.3.1 Private Cloud
Bei einer Private Cloud werden IT-Services für einen bestimmten und ausgewählten Teilnehmerkreis zur Verfügung gestellt. In den meisten Fällen handelt es sich um unternehmenseigene Rechenzentren, die nicht für die Öffentlichkeit zugänglich sind.67 Es ist allerdings nicht zwingend der Fall, dass das Unternehmen auch Inhaber der Infrastruktur sein muss. Es kann einen CSP oder einen externen IT-Dienstleister damit beauftragen, am eigenen Standort ein Rechenzentrum aufzubauen, ohne dass es dafür die Infrastruktur kauft. Die Inhaberschaft kann weiterhin beim IT-Dienstleister oder dem CSP liegen sowie auch das Hosting kann dadurch erfolgen.68 Diese Unterschiede lassen die nachfolgende Unterkategorisierung der Private Cloud zu:
Abbildung in dieser Leseprobe nicht enthalten
Tabelle 1: Sub-Kategorien der Private Cloud69
Der Zugriff auf die Private Cloud erfolgt bspw. über das Intranet, bei dem der Nutzer über ein Virtual Private Network zwischen seinem Endgerät und der Private Cloud interagiert.70
3.3.2 Public Cloud
Der Begriff „Cloud“ wird oftmals als Synonym für die Public Cloud verwendet.71 Bei der Public Cloud handelt es sich um eine Variante des Cloud Computings, bei der die Cloud Umgebung vollständig im Eigentum eines CSP ist.72 Dabei teilen sich mehrere Nutzer, welche bspw. Unternehmen oder Privatpersonen sein können, die gleichen Ressourcen untereinander.73 Der Zugriff auf die Public Cloud erfolgt in der Regel über das Internet, wodurch eine globale Nutzung durch den Anwender möglich ist und die Infrastruktur durch den CSP weltweit angeboten werden kann.74 Obwohl sogar im Wettbewerb stehende Unternehmen die gleiche Infrastruktur des CSP nutzen können, gibt es untereinander keinen Zugriff, es sei denn, dieser ist ausdrücklich gewünscht. Die Daten werden voneinander isoliert, obwohl die gleichen Ressourcen verwendet werden.75
Die Anwender erhalten gegen Bezahlung vom CSP bestimmte vorher definierte Leistungen (Pay-per-Use, siehe Kapitel 3.2.), die oftmals auf Basis von Subskriptionsmodellen oder nach der Menge tatsächlich genutzter Ressourcen abgerechnet werden.76 Da die Nutzung durch den Anwender dynamisch ist, aber die Ressourcen des Anbieters begrenzt, werden Service-Level-Agreements (SLA) geschlossen. In diesen SLA ist in der Regel eine Mindesterreichbarkeit definiert, aber keine Garantie für physische Kapazitäten oder ähnliches.77 Hierbei handelt es sich um eine Exclusive Open Cloud, bei welcher individualisierte Verhandlungen stattfinden. Der zweite Typ einer Public Cloud ist die Open Cloud. Bei der Open Cloud werden standardisierte Cloud-Dienste mit standardisierten Dienstverträgen inkl. der Akzeptanz der AGB abgewickelt und angenommen.78
Da der CSP im Besitz der Public Cloud ist, gibt er auch die Sicherheitsmaßnahmen dafür vor, worauf der Anwender keinen Einfluss hat. Er kann die Art und den Standort der physischen Infrastruktur erfahren sowie Sicherheitsmaßnahmen beim CSP erfragen, um eine eigene Sicherheitseinstufung durchzuführen.79 Bei einer Public Cloud ist eine hohe Standardisierungsrate angestrebt, um die Kosten möglichst günstig zu halten, weshalb Individualisierungen, wie zuvor beschrieben, nicht oder nur gegen deutlichen Aufpreis möglich sind.80
3.3.3 Hybrid Cloud
Die Hybrid Cloud ist eine Mischvariante der beiden zuvor genannten Cloud-Formen Public Cloud und Private Cloud. Hierbei werden einige IT-Services und Prozesse in eine Public Cloud ausgelagert und andere wesentliche Kernprozesse und Services bleiben im Regelbetrieb auf der (unternehmenseigenen) Private Cloud.81 Diese Mischform dient vor allem dazu, die Private Cloud bei Leistungsspitzen durch die Nutzung der Ressourcen einer Public Cloud zu entlasten.82 In den meisten Fällen werden dabei unkritische Geschäftsprozesse und Applikationen durch eine Hybrid Cloud dargestellt.83 Daraus ergibt sich die Herausforderung, dass die bestehende IT-Infrastruktur des Unternehmens sowohl mit der einen Variante, als auch mit der anderen Variante ohne Probleme miteinander interagieren können um keine Leistungsbrüche zu erzeugen und die Schnittstellen daher perfekt abgestimmt sein müssen. Die Erwartungshaltung des Nutzers ist es, eine flexible Lösung zu erhalten mit derer er seine Geschäftsprozesse optimal unterstützen kann, egal mit welcher Plattform bzw. Cloud-Lösung er gerade arbeitet, was er nicht einmal wissen muss.84 Dieses Modell ist auf absehbare Zeit das sich durchsetzende Modell, da das Unternehmen die eigene IT-Infrastruktur lange ausnutzen kann. Bspw. wenn die eigenen Ressourcen ausgelastet sind oder die eigene Infrastruktur wirtschaftlich nicht mehr tragbar ist, kann auf die Public Cloud umgerüstet werden.85
3.3.4 Community Cloud
Bei einer Community Cloud teilen sich mehrere Unternehmen und Organisationen die gleiche Private Cloud. Die Unternehmen haben oftmals die gleichen oder ähnliche Anforderungen, gemeinsame Ziele oder ähnliche Sicherheitsbedürfnisse in ihrer Unternehmung, weshalb sie diese gemeinsam errichten.86 Die Anforderungen insb. zur Sicherheit und zum Datenschutz werden dabei gemeinsam vereinbart und festgelegt.87 Der Nutzerkreis beschränkt sich dabei auf die teilnehmenden Organisationen, die mit dem gemeinsamen Betrieb der Clouds die vorhandenen Ressourcen besser aufteilen und Einsparungen erzielen können. Beispiele für die Nutzung von Community Clouds sind größere Behörden und die öffentlichen Verwaltungen.88
3.4 Servicemodelle und Ebenen des Cloud Computing
Nachdem im zuvor genannten Kapitel die verschiedenen Varianten der Cloud-Modelle vorgestellt wurden wird in diesem Kapitel nun auf die Servicemodelle sowie die unterschiedlichen Ebenen des Cloud Computings eingegangen. Ein weitgehend verbreitetes und akzeptiertes Modell, welches auch vom NIST verwendet wird, ist ein 3-Ebenen-Servicemodell.89 Dieses Modell ist auch als „Everything-as-a-Service“-Paradigma oder auch „X-as-a-Service“ bekannt. Die einzelnen Ebenen werden als „Infrastructure-as-a-Service“ (IaaS), „Platform-as-a-Service“ (PaaS) und „System-as-a-Service“ (SaaS) bezeichnet und decken einen Großteil der Cloud-Modelle ab.90 Anhand der Bezeichnungen lässt sich feststellen, welche Gemeinsamkeit die Ebenen haben und damit ein wesentliches Charakteristikum des Cloud Computings ist: Alle zur Verwendung freigegebenen Ressourcen werden als Dienst zur Verfügung gestellt.91 Die nachfolgende Grafik zeigt den Zusammenhang der Servicemodelle und wie diese im Kontext der im vorherigen Kapitel genannten Varianten stehen:
Abbildung in dieser Leseprobe nicht enthalten
Abbildung 6: Verteilung der Service-Modelle im Kontext der Varianten des Cloud Computings92
Anhand der Grafik ist zu erkennen, dass sich die Service-Modelle des Cloud Computings auf alle Varianten des Cloud Computings anwenden lassen können. In den nachfolgenden Unterkapiteln wird auf die jeweiligen Service-Modelle näher eingegangen.
3.4.1 Infrastructure as a Service (IaaS)
Bei Infrastructure as a Service (IaaS) handelt es sich um ein Modell, das die unterste Ebene darstellt, zu welcher ein Cloud Computing-Anwender Zugriff hat. Diese Ebene stellt die IT-Basisinfrastruktur als Dienst bereit. Hierbei kann der Nutzer von einem Anbieter elementare Ressourcen beziehen, welche die Implementierung weiterer Applikationen ermöglichen.93 Der IT-Dienstleister/ -Anbieter kauft dabei die IT-Infrastrukturkomponenten, ist Eigentümer derer und verwaltet, wartet und administriert diese Infrastruktur, welche er an den Nutzer vermietet.94 Die Infrastruktur kann bspw. Speicher, Netzwerkkapazitäten oder Rechenleistung sein.95 Der Nutzer verwendet dabei die Ressourcen und gibt diese, nach Gebrauch, für andere Nutzer wieder frei. Die Ressourcen kann er bei IaaS nach seinem tatsächlichen Bedarf verwenden und verantwortet diese eigenständig.96 Dabei muss er sich jedoch nicht darum kümmern, ob der Dienstleister die dafür notwendigen Ressourcen physisch besitzt. Dafür hat er einen i.d.R. einen SLA mit dem Anbieter geschlossen, wodurch dieser dem Nutzer die Ressourcen vertraglich zugesichert hat.97 Ein Aspekt, den der Nutzer dabei berücksichtigen sollte, ist der Standort der beziehenden Ressource des Anbieters, da ggf. die Datenschutzregularien und rechtlichen Vorgaben berücksichtigt werden müssen. Auf diese Thematik wird in Kapitel 5.2.1 weiter eingegangen.
IaaS-Infrastruktur findet oftmals Verwendung, wenn die Infrastruktur sehr komplex und kostenintensiv wird und nicht mehr alleine (z.B. durch ein Unternehmen allein) geleistet werden kann.98 Die Abrechnung dieses Service-Modells erfolgt mittels eines vom Anbieter festgelegten Preises pro Zeiteinheit je nach der benötigten Menge der Ressourcen.99
3.4.2 Platform as a Service PaaS
Aufbauend auf die IaaS-Ebene lässt sich die PaaS-Ebene aufsetzen, welche oftmals als Middleware bezeichnet wird. Diese Ebene bietet Entwicklungsplattformen und –werkzeuge, welche zur Entwicklung und dem Betrieb von Software benötigt wird. Innerhalb dieser Umgebung hat der Nutzer freie Gestaltungsmöglichkeiten auf der Plattform, welche er als Dienstleistung bezieht.100 Der Dienstleister kümmert sich um die Wartung der Betriebssysteme, welche der Plattform zugrunde liegen, sowie der Administration der Systemsoftware. Der Nutzer ist an die vom Dienstleister vorgegebene Programmiersprache gebunden. Ebenfalls gibt der Dienstleister die architektonischen Rahmenbedingungen der Plattform vor.101 Der Anwender entwickelt hierbei mithilfe standardisierter Frameworks Software, welche für die nächst höhere Ebene (Saas) genutzt werden kann. Die dafür notwendigen Ressourcen (z.B. Speicher, Rechnerleistung) werden durch den Anbieter bereitgestellt. Die Abrechnung der verwendeten Leistung erfolgt ebenfalls im Pay-per-Use-Prinzip.102
Die PaaS-Anbieter sind bestrebt, möglichst viele Software-Produzenten auf ihrer Plattform zu haben. Dies zum einen aus monetären, jedoch auch aus strategischen Gründen: Je mehr SaaS-Entwickler auf der PaaS-Umgebung arbeiten, desto präsenter ist die PaaS-Umgebung und demnach kann der PaaS-Anbieter seine Plattform als de-facto-Standard im Markt positionieren.103 Da die Schnittstellen herstellerübergreifend nicht sehr ausgeprägt sind, macht sich der Software-Entwickler (als möglicher Kunde) vom Cloud-Plattform-Anbieter abhängig.104 Die Abhängigkeit wird insb. auch dadurch deutlich, dass die Designerstellung, das Testen, die Implementierung und die Verteilung der Software in der gleichen Cloud (in der PaaS-Ebene) durchgeführt wird.105
3.4.3 Software as a Service SaaS
Die dritte Ebene, welche die höchste Abstraktion der Ebenen des Cloud Computings darstellt, wird als Software as a Service (SaaS) bezeichnet. Auf dieser Ebene werden dem Anwender standardisierte Anwendungen bereitgestellt, welche er direkt nutzen kann. Die Software wird mithilfe des Internets sowie einem Service-Anbieter zur Verfügung gestellt ohne dass diese lokal auf dem Nutzer-Client installiert werden muss.106 Die Anwendung wird meist mit den dazugehörigen Services aus der PaaS-Ebene sowie der IaaS-Ebene mitgeliefert. Hierfür ist es erforderlich, dass die Anwendung in einem einheitlichen PaaS-Systemumfeld entwickelt wurde, um einer Schnittstellenproblematik auszuweichen.107
Der Anwender benötigt für die Ausführung der Anwendung oft lediglich einen Browser, um die Software aufzurufen. Die Anforderung an die Rechenleistung der Clients beim Endanwender kann sehr gering sein, da die eigentliche Rechenleistung auf der Infrastruktur des Dienstanbieters erfolgt. Die Administration, Installation, Updates und meist auch die Speicherung der Daten obliegen dem Softwareanbieter und werden vertraglich mit dem Endanwender vereinbart.108 Die Art der Nutzung erfolgt auf Basis eines Dienstleistungsmodells, welches ebenfalls, wie alle anderen Servicemodelle auch, als Pay-per-Use-Prinzip verrechnet wird. Der Anwender hat bei SaaS-Anwendungen kein klassisches Lizenzmodell und somit kein individuelles Nutzungsrecht an der Anwendung, stattdessen findet die Nutzung im Multi-Mandanten-Modus statt. Dies ist, wie in Kapitel 3.2 beschrieben, ebenfalls eine wesentliche Eigenschaft des Cloud Computings.109
[...]
1 Vgl. Reinheimer, S. (2018), S. 4.
2 Vgl. Franke, M. R. (2017), S. 1.
3 Vgl. KPMG (2019), S. 7.
4 Vgl. Heise Medien GmbH & Co. KG - Microsoft nennt Gründe für Cloud-Ausfälle, aufgerufen am 29.07.2019, 18:54 Uhr.
5 Vgl. Adelmeyer, M.; Petrick, C.; Teuteberg, F. (2018). S. 1.
6 Eigene Darstellung
7 Vgl. Kroschwald, S. (2016), S. 7.
8 Vgl. Bedner, M. (2013), S. 24.
9 Vgl. Kroschwald, S. (2016), S. 7.
10 Vgl. Blokland, K.; Mengerink, J.; Pol, M.; Rubruck, D. (2016), S. 6.
11 Vgl. BSI (2012a), S. 15 f.
12 Vgl. Lampe, F. (2010), S. 91.
13 Vgl. Lampe, F. (2010), S. 92 f.
14 Vgl. Knermann, C.; Köchling, C. (2007), S. 11.
15 Vgl. Sowa, A. (2017), S. 8.
16 Vgl. BSI (2012b), S. 14.
17 Eig. Darstellung in Anlehnung an BSI (2012b), S. 14
18 Vgl. Gellert, R. (2017), S. 2.
19 Vgl. Kersten, H.; Klett, G.; Reuter, J.; Schröder, K.-W. (2016), S. 40.
20 Vgl. Kersten, H.; Klett, G.; (2015), S. 66 f.
21 Weitere und tiefergehende Informationen zur Schutzbedarfsfeststellung sowie der Kategorisierung können dem Kapitel 8.3 Schutzbedarfsfeststellung, des Werks BSI-Standard 200-2 IT-Grundschutz-Vorgehensweise entnommen werden. Dieser Standard kann als Praxisleitfaden dienen. Das Werk ist im Literaturverzeichnis aufgeführt.
22 Vgl. Brenner,M.; Felde, N.; Hommel, W.; Metzger, S.; Reiser, H.; Schaaf, T. (2011), S. 3f..
23 Vgl. Tiemeyer, E. (2011), S. 533.
24 Vgl. Harich, T.W. (2018), S. 316.
25 Vgl. Kersten, H.; Klett, G., (2015), S. 65.
26 Vgl. Hofmann, J.; Schmidt, W. (2010), S. 291.
27 Vgl. IT-Grundschutz 4 Glossar und Begriffsdefinitionen, aufgerufen am 11.03.2019, 14:56 Uhr.
28 Vgl. Krcmar, H; Eckert, C.; Roßnagel, A.; Sunyaev, A.; Wiesche, M. (2018), S. 33.
29 Vgl. Witt, B. C. (2010), S. 3.
30 Vgl. Sodtalbers, A.; Volkmann, C.; Heise, A. (2010) S. 271
31 Vgl. Art. 1 + Art. 2 GG
32 Vgl. Langhanke, C. (2018), S. 7.
33 Vgl. Petrlic, R.; Sorge, C. (2017), S.141.
34 Vgl. Petrlic, R.; Sorge, C. (2017), S.143.
35 Vgl. Loomans, D.; Matz, M.; Wiedemann, M. (2014), S. 11.
36 Vgl. Voigt, P.; von dem Bussche, A. (2018), S. 2.
37 Eigene Darstellung in Anlehnung an Art. 5 DSGVO.
38 Vgl. Art. 5 DSGVO
39 Vgl. Voigt, P.; von dem Bussche, A. (2018), S. 31.
40 Vgl. Art. 24 Abs. 1 DSGVO.
41 Vgl. Deters, H.; Eckert, T. (2017), S. 93.
42 Vgl. Art. 82 DSGVO.
43 Vgl. Reinheimer, S. (2018), S. 5.
44 Vgl. Bengel, G.; Baun, C.; Kunze, M.; Stucky, K.-U. (2015), S. 447.
45 Vgl. Reinheimer, S. (2018), S. 5.
46 Vgl. Bengel, G.; Baun, C.; Kunze, M.; Stucky, K.-U. (2015), S. 447.
47 Vgl. Lissen, N.; Brünger, C.; Damhorst, S. (2014), S. 12.
48 Vgl. Franke, M. R. (2017), S. 53.
49 Vgl. Vossen, G.; Hasselmann, T.; Hoeren, T. (2012), S. 19.
50 Vgl. Franke, M. R. (2017), S. 53.
51 Vgl. Vossen, G.; Hasselmann, T.; Hoeren, T. (2012), S. 19.
52 Vgl. Metzger, C.; Reitz, T.; Villar, J. (2011), S. 3.
53 Vgl. Schlegel, H. (2010), S. 208.
54 Vgl. Schlegel, H. (2010), S. 209.
55 Vgl. Lissen, N.; Brünger, C.; Damhorst, S. (2014), S. 11.
56 Vgl. Franke, M. R. (2017), S. 56.
57 Vgl. Lissen, N.; Brünger, C.; Damhorst, S. (2014), S. 11.
58 Eigene Darstellung in Anlehnung an Jaekel, M.; Bronnert, K. (2013), S. 48f.
59 Vgl. Franke, M. R. (2017), S. 38.
60 Vgl. Jaekel, M.; Bronnert, K. (2013), S. 48f.
61 Vgl. Franke, M. R. (2017), S. 38.
62 Vgl. Blokland, K.; Mengerink, J.; Pol, M.; Rubruck, D. (2016), S. 7.
63 Vgl. Franke, M. R. (2017), S. 38.
64 Vgl. Jaekel, M.; Bronnert, K. (2013), S. 48f.
65 Vgl. Barton, T.; Burkhard, E.; Herrmann, F.; Müller, C.; Schuler, J. (2012), S. 87f.
66 Labes, S. (2012), S. 15.
67 Vgl. Krcmar, H.; Leimeister J. M.; Roßnagel, A. (2016), S. 21.
68 Vgl. Franke, M. R. (2017), S. 42.
69 Eigene Darstellung in Anlehnung an Labes, S. (2012), S. 16f.
70 Vgl. Münzl, G.; Pauly, M.; Reti, M. (2015). S. 14.
71 Vgl. Barton, T.; Burkhard, E.; Herrmann, F.; Müller, C.; Schuler, J. (2012), S. 87.
72 Vgl. Münzl, G.; Pauly, M.; Reti, M. (2015). S. 13.
73 Vgl. Franke, M. R. (2017), S. 43.
74 Vgl. Barton, T.; Burkhard, E.; Herrmann, F.; Müller, C.; Schuler, J. (2012), S. 87.
75 Vgl. Krcmar, H.; Leimeister J. M.; Roßnagel, A. (2016), S. 21.
76 Vgl. Reinheimer, S. (2018), S. 7.
77 Vgl. Reinheimer, S. (2018), S. 8.
78 Vgl. Labes, S. (2012), S. 16.
79 Vgl. Münzl, G.; Pauly, M.; Reti, M. (2015). S. 13.
80 Vgl. Barton, T.; Burkhard, E.; Herrmann, F.; Müller, C.; Schuler, J. (2012), S. 87.
81 Vgl. Reinheimer, S. (2018), S. 8.
82 Vgl. Labes, S. (2012), S. 17.
83 Vgl. Reinheimer, S. (2018), S. 8.
84 Vgl. Barton, T.; Burkhard, E.; Herrmann, F.; Müller, C.; Schuler, J. (2012), S. 88.
85 Vgl. Bedner, M. (2013), S. 35.
86 Vgl. Waschke, M. (2012), S. 51.
87 Vgl. Franke, M. R. (2017), S. 43.
88 Vgl. Bedner, M. (2013), S. 36.
89 Vgl. Münzl, G.; Pauly, M.; Reti, M. (2015). S. 9.
90 Vgl. Reinheimer, S. (2018), S. 9.
91 Vgl. Bengel, G.; Baun, C.; Kunze, M.; Stucky, K.-U. (2015), S. 461.
92 Eigene Darstellung in Anlehnung an Reinheimer, S. (2018), S. 8.
93 Vgl. Adelmeyer, M.; Petrick, C.; Teuteberg, F. (2018). S. 4.
94 Vgl. Reinheimer, S. (2018), S. 10.
95 Vgl. Adelmeyer, M.; Petrick, C.; Teuteberg, F. (2018). S. 4.
96 Vgl. Münzl, G.; Pauly, M.; Reti, M. (2015). S. 10.
97 Vgl. ebd.
98 Vgl. Reinheimer, S. (2018), S. 10.
99 Vgl. Hilber, M. (2014), S. 39.
100 Vgl. Münzl, G.; Pauly, M.; Reti, M. (2015). S. 10.
101 Vgl. Bengel, G.; Baun, C.; Kunze, M.; Stucky, K.-U. (2015), S. 463.
102 Vgl. Hilber, M. (2014), S. 64.
103 Vgl. Münzl, G.; Pauly, M.; Reti, M. (2015). S. 11.
104 Vgl. ebd.
105 Vgl. Reinheimer, S. (2018), S. 11.
106 Vgl. Reinheimer, S. (2018), S. 11.
107 Vgl. Barton, T.; Burkhard, E.; Herrmann, F.; Müller, C.; Schuler, J. (2012), S. 84.
108 Vgl. Bengel, G.; Baun, C.; Kunze, M.; Stucky, K.-U. (2015), S. 462.
109 Vgl. Barton, T.; Burkhard, E.; Herrmann, F.; Müller, C.; Schuler, J. (2012), S. 84.
- Arbeit zitieren
- Miguel Fonseca (Autor:in), 2020, Cloud Computing und Server-based Computing. Chancen und Risiken von serverbasierten IT-Infrastrukturen, München, GRIN Verlag, https://www.grin.com/document/539284
Ähnliche Arbeiten
Kostenlos Autor werden
Kommentare