147
}
Beispiele sind zu nennen: die Möglichkeit der Zusage eines bestimmten
Mindestmaßes an Verfügbarkeit und Datensicherheit, die Vereinfachung
oder Erschwernis eines Anbieterwechsels durch Nutzung einer proprietären
oder standardisierten IT-Infrastruktur.
Eine weitere Entscheidungshilfe für die Auswahl des Dienstleisters stellen
Auditierungen und Zertifizierungen dar, etwa nach bereits langjährig
bestehenden Verfahren wie beispielsweise die ISO-27000-Reihe oder SSAE
16.
Während diese und andere Standards zwar etabliert sind, so wurden sie
jedoch nicht für die Prüfung von Cloud-Computing-Dienstleistungen
entworfen. Daher geben manche Auditierungsverfahren einen starren
Rahmen vor, der aber nicht alle für Cloud-Computing relevanten Aspekte
abdeckt (so befasst sich die ISO-27000-Reihe ausschließlich mit
Informationssicherheit). Auf der anderen Seite stehen Verfahren wie SSAE
16,
die zwar anpassungsfähiger sind, dazu aber notwendigerweise auch
einen großen Freiraum bei der Auswahl der zu prüfenden Kriterien
einräumen. Näheres hierzu unter Abschnitt 6.3. Besser geeignet sind neue,
eigens für Cloud-Computing-Dienstleistungen entwickelte
Zertifizierungsverfahren, wie etwas das EuroCloud Star Audit (siehe dazu
Kapitel 6), das derzeit jedoch nur für SaaS existiert. In jedem Fall
ermöglichen derartige Zertifizierungen einen wichtigen Kurzüberblick über
die Befähigung und Zuverlässigkeit eines Cloud-Computing-Anbieters, nicht
nur in technischer, sondern auch in rechtlicher Hinsicht (insbesondere im
Bereich Datenschutz).
3.15.5
Risiko eines Vendor Lock-ins
Bei der erstmaligen Nutzung von Cloud-Diensten entscheiden sich
Unternehmen in aller Regel für einen einzigen Anbieter. Es stellt sich daher
die Frage, ob man diesen Anbieter zu einem späteren Zeitpunkt wechseln
kann oder ob dies, beispielsweise durch übermäßig hohe Kosten einer
Migration, nicht wirtschaftlich möglich ist, ob man somit also an einen
Anbieter mehr oder minder für immer gebunden ist (Vendor Lock-in). Im
Gegensatz zum Wechsel eines Produzenten oder Lieferanten genügt es beim
Wechsel des Cloud-Anbieters nicht, lediglich den Vertrag zu beenden und
einen neuen Anbieter zu suchen. Vielmehr müssen zusätzlich sämtliche
Daten vom ehemaligen Anbieter zum neuen übertragen werden und
überdies muss die einwandfreie Funktionalität und Nutzbarkeit der
übertragenen Daten für den gesamten Zeitraum der Migration gewährleistet
sein. Aus diesem Grunde spielen Überlegungen über die Vertragsauflösung
bei Cloud-Computing-Verträgen eine deutlich größere Rolle als bei anderen
Vertragstypen.
