Thought LeadershipEine Migration von Vmware-Umgebungen in die Cloud verspricht einfache Verwaltung und Kosteneinsparungen. Doch hinter dieser Verlockung lauern verborgene Kosten, regulatorische Herausforderungen und technische Fallstricke. Doc Storage erklärt, was Unternehmen vor einem Wechsel berücksichtigen sollten.
Leserfrage:
Angeblich migrieren immer mehr Unternehmen ihre Vmware-Umgebungen in die Cloud. Welche Vorteile und Nachteile hat eine solche Migration, auch in Hinblick auf die Kosten? Nachdem die A-Brands vor allem mit den großen US-Hyperscalern zusammenarbeiten, wie verhält sich das hierzulande im Hinblick auf Datenschutz und Compliance?
Antwort Doc Storage:
Viele Unternehmen meinen, sich durch die Verlagerung ihrer virtualisierten Umgebungen in die (Public-)Cloud die Verwaltung und den Unterhalt der ansonsten benötigten Rechen- und Speichersysteme sparen zu können. Das ist natürlich richtig, und vor allem kann das hierfür vor Ort verantwortliche Personal ausgedünnt werden. Wie ich niemals müde werde zu erwähnen, ist das Personal in dieser Rechnung natürlich in der Gesamtkostenrechnung der größte Faktor. Allerdings gibt es auch hier einige »Abers«, die zu berücksichtigen und leider auch nicht aus der Welt zu schaffen sind.
Das erste »aber« sind die auch auf der Cloud-Seite, vor allem bei Nutzung der größeren Anbieter wie Amazon oder Microsoft, anfallenden Kosten für Rechenleistung und Speicherplatz. Zu diesen Beträgen gesellen sich weiterhin die Preise, die für das Einspielen und Aufrufen der Daten anfallen. Diese sind in den Verträgen meist relativ versteckt aufgeführt und werden pro IO abgerechnet. Hierbei ist zu beachten, dass ja nicht nur das Kopieren vorhandener Daten in die Cloud, sondern auch das Arbeiten mit diesen Daten entsprechende IOs verursachen. In vielen Fällen kann es dann dazu kommen, dass diese IOs mehr kosten als die Rechenleistung oder der Speicherplatz.
Das zweite »aber« ist die bereits in der Frage erwähnte Erfüllung von Regularien wie der geliebten DSGVO, der GoB/GoBD oder anderen. Der Cloud-Anbieter muss zu jeder Zeit gewährleisten, dass die Daten des Unternehmens in Deutschland bzw. der EU gespeichert und verarbeitet und nicht nach Gutdünken des Betreibers nach anderswo außerhalb dieser Jurisdiktion verlagert werden. Vor allem im Rahmen der DSGVO muss weiterhin gewährleistet sein, dass Daten, die beispielsweise an einer Stelle gelöscht wurden (z. B. Art. 13), an keiner anderen Stelle durch Replikation, Backup, Archiv oder anderen Mitteln noch vorhanden sind. Hinzu kommen natürlich die von jedem RZ-Betreiber eingeforderten Erfüllungen von DIN-Normen wie ISO900x, ISO2700x und DIN50600, deren Erfüllung jederzeit gewährleistet sein muss. Und selbstverständlich muss auch der logische Zugangsschutz in das Netzwerk und auf die gemieteten Rechner und Speicher jederzeit nachweisbar gewährleistet sein.
Das dritte »aber« ist die Infrastruktur des Anbieters selbst. Ist es gewährleistet, dass die Daten des Unternehmens dort auf logisch oder physikalisch geschützten Datenträgern (also RAID) abgelegt sind, und dass die undiskutabel notwendigen Backups und Archive nicht auf denselben Speichersystemen in anderen logischen Abschnitten abgelegt sind? Sind diese getrennten Speichersysteme nicht in denselben Rechenzentren aufgebaut wie der Primärspeicher für die virtualisierten Systeme (Air-Gap)? Gibt es eine Möglichkeit, die Backups oder die Archivdaten physikalisch auf Bänder oder ähnliches abzuziehen und nochmals lokal in den eigenen Räumlichkeiten zu lagern?
Das vierte »aber« ist der physikalische Zugang zu den verwendeten Rechen- und Speichersystemen. Eine QoS-Vereinbarung ist gut und schön, allerdings nur so viel wert, wie ich diese Qualität auch als Nutzer jederzeit ungehindert überprüfen kann. Ist der Zugang und somit die Überprüfung der QoS nicht möglich, sind die Vereinbarungen nicht das Papier wert, auf denen sie festgehalten sind.
Das fünfte »aber« sind vor allem in Deutschland die vorhandenen Internet-Bandbreiten. Es muss jederzeit gewährleistet sein, dass die Daten zum und vom Cloud-Anbieter in derselben Bandbreite und Geschwindigkeit fließen können wie im eigenen Rechenzentrum. Und auch wie im eigenen Rechenzentrum ist, eine redundante Anbindung an die Cloud ein nicht zu diskutierendes Muss. In diesem Zusammenhang ist auch zu überprüfen, dass der Anbieter ebenfalls über eine redundante Anbindung nicht nur an das Internet, sondern auch an die öffentlichen Stromnetze und für den Notfall über eine ausreichende Notstromversorgung verfügt.
Das letzte »aber« ist die nahtlose Einbindung der Abläufe in den Rechenzentren des Cloud-Anbieters in diejenigen der lokalen Installation. Der Kunde hat jederzeit und unverzüglich über eventuelle Störungen auf Seiten des Cloud-Anbieters informiert zu werden, um seinerseits einen entsprechenden K-Fall ausrufen und nach den eigenen Vorgaben weiter handeln zu können. Cloud-Anbieter, die ihre Kunden lediglich über Mitteilungen auf öffentlichen Internetseiten informieren, sind ein absolutes Ausschlusskriterium.
Firmen sollten Vmware-Cloud-Migration überdenken
Man sieht – einfach mal eine VMware-Umgebung in die Cloud zu verlegen, und dann ist alles gut und vor allem billiger – so geht es nicht. Man muss zu jeder Zeit, 7x24x365, sicher sein können, dass der RZ-Betrieb beim Cloud-Anbieter genauso oder vielleicht sogar besser läuft als in den eigenen vier Wänden. Da ich in den letzten Jahren noch keinen einzigen Cloud-Anbieter gefunden habe, der alle oben genannten Punkte fähig oder willens ist zu erfüllen, bleibt diese Option das, was sie immer war – keine. Zumindest für die DV-Produktion.
Wenn Entwickler sich austoben möchten, bitte. Wenn Vorproduktion getestet werden muss, ebenfalls kein Problem. Aber nichts, was in irgendeiner Weise mit Produktion und damit im Ende mit der Existenz des Unternehmens zu tun hat, gehört in die Hände externer Anbieter, solange nicht alle genannten Punkte erfüllt werden.
Gruß
Doc Storage
Weiterführende Links:
