Cloud Computing

Im Kontext unternehmensexterner Speicherung und Datenverarbeitung ist Cloud Computing eine der wesentlichen Entwicklungen in den letzten Jahren (Reichmann, Kissler & Baumöl, 2017, S. 564). Dazu tragen die "Verfügbarkeit hoher Bandbreiten und eine grosse Endgerätevielfalt“ bei (Gerpott & May, 2014, S. 172). Das Cloud-Computing-Modell ermöglicht dabei allgegenwärtigen und bequemen Netzwerkzugriff auf einen gemeinsamen Pool konfigurierbarer Computing-Ressourcen (z. B. Netzwerke, Server, Speicher, Anwendungen und Dienste), welche schnell und mit minimalem Verwaltungsaufwand oder geringer Dienstleistungsanbieter-Interaktion bereitgestellt und freigegeben werden können (NIST, 2013, S. 8). Cloud Computing zeichnet sich durch fünf wesentliche Charakteristiken aus und wird auf Basis von Service- und Organisationsmodellen klassifiziert (Reichmann et al., 2017, S. 565).

Begriff und Herkunft

„Für Cloud Computing existieren zahlreiche Definitionen, wobei sich bisher keine Definition als allgemeingültig durchgesetzt hat“ (Thorenz & Zacher, 2013, S. 29). Die in Fachkreisen am häufigsten zitierte Definition stammt vom National Institute of Standards and Technology (NIST), der US-amerikanischen Standardisierungsbehörde, auf welche sich auch die European Network and Information Security Agency (ENIA) referenziert (BSI, online).

Charakteristiken

Gemäss NIST (2013) zeichnet sich Cloud Computing durch fünf wesentliche Charakteristiken aus (S. 8):

• On-Demand Self-Service: Ein Kunde kann automatisch und ohne Interaktion mit dem Dienstanbieter Computing-Fähigkeiten wie Serverzeit und Netzwerkspeicher anfordern.
• Broad Network Access: Die Dienste sind mittels Standardmechanismen über ein Netzwerk zugänglich, wobei der Zugriff durch heterogene Client-Plattformen (z. B. Mobiltelefone, Tablets, Laptops oder Workstations) erfolgt.
• Resource Pooling: Durch Bündelung der Computing-Ressourcen des Anbieters können mehrere Kunden mit einem mandantenfähigen Modell bedient werden. Die unterschiedlichen physischen und virtuellen Ressourcen werden gemäss Kundenanforderung zugewiesen, wobei der Kunde in der Regel keine Kontrolle oder Kenntnis über den genauen Standort der bereitgestellten Ressourcen hat.
• Rapid Elasticity: Die Dienste können teilweise automatisch, flexibel und schnell freigegeben werden. Für den Kunden erscheinen die verfügbaren Kapazitäten oft unbegrenzt und jederzeit verfügbar.
• Measured Service: Durch den Einsatz von Messverfahren steuern und optimieren Cloud-Systeme die Nutzung der Dienste. So wird für den Anbieter als auch für den Konsumenten des genutzten Dienstes Transparenz geschaffen.

Servicemodelle

Eine weitgehend akzeptierte Beschreibung der Anatomie der Cloud ist das Drei-Ebenen-Modell (Münzl, Pauly & Reti, 2015, S. 9), welches auf der erstmals im Jahre 2011 veröffentlichten Cloud Computing Standards Roadmap des NIST basiert. Abbildung 1 zeigt die Elemente der drei verschiedenen Servicemodelle.

Infrastructure as a Service (IaaS)

Abb. 1: Servicemodelle einer Cloud (Microsoft Corporation, online)

Auf der untersten Ebene wird dem Cloud-Anwender Rechen-, Speicher- und Netzkapazität als IT-Dienstleistung zur Verfügung gestellt (Münzl et al., 2015, S. 10). Der Cloud-Anwender kann darauf beliebige Software ausführen (NIST, 2013, S. 9) und seine virtuellen Computercluster selbständig gestalten (Rickmann, Diefenbach & Bruening, 2013, S. 6). Beispiele im B2B-Umfeld sind Amazon mit EC2 (Rechenleistung), S3 (Speicher) und Rackspace. Im B2C-Umfeld ist die iCloud von Apple ein solches Angebot (Münzl et al., 2015, S. 10). Primäre Nutzergruppen sind IT-Betriebe und -Dienstleister, Fachabteilungen und Cloud-Anbieter (Münzl et al., S. 9).

Platform as a Service (PaaS)

Gemäss Münzl et al. (2015) wird auf der mittleren Ebene (“Middleware-Layer”) „eine standardisierte Umgebung mit optimierten Middleware- und Datenbank-Services für die Portal- und Anwendungsentwicklung ... Services für Integration, Zugriffskontrolle, Sicherheit, Synchronisierung und Datenhaltung” zur Verfügung gestellt (S. 10). Der Cloud-Anwender hat dabei die Kontrolle über die bereitgestellten Anwendungen und kann die Umgebung konfigurieren (NIST, 2013, S. 9). Beispiele sind Azure von Microsoft, App Engine von Google oder Business By Design Studio von SAP (Münzl et al., 2015, S. 11). Primäre Nutzergruppen sind IT-Architekten und Anwendungsentwickler (Münzl et al., S. 9).

Software as a Service (SaaS)

Auf der dritten Ebene stehen dem Cloud-Anwender standardisierte Anwendungsservices zur Verfügung (Münzl et al., 2015, S. 11). Die Anwendungen sind von verschiedenen Client Devices zugänglich, entweder durch ein Thin Client Interface wie z. B. einem Web Browser ... oder ein Programm Interface (NIST, 2013, S. 9). Beispiele für SaaS sind salesforce.com, SAP Business By Design oder Microsoft Office 365 (Münzl et al., 2015, S. 12). Primäre Nutzergruppen sind Business Analysten, Wissensarbeiter, Fachabteilungen oder Privatkunden (Münzl et al., S. 9).

Organisationsmodelle einer Cloud

Das NIST definiert vier Modelle, wie eine Cloud bereitgestellt werden kann (NIST, 2013, S. 9-10).

Public Cloud

Bei einer Public Cloud wird die Cloud-Infrastruktur der Allgemeinheit zur Benutzung bereitgestellt. Eigentümer, Verwalter und Betreiber dieser Infrastruktur können geschäftliche, akademische oder staatliche Organisationen oder eine Kombination davon sein. Die Infrastruktur befindet sich dabei auf dem Gelände des Cloud-Anbieters (NIST, 2013, S. 10). Auf die Cloud wird normalerweise über das Internet zugegriffen (Thorenz & Zacher, 2013, S. 30; Münzl et al., 2015, S. 13).

Private Cloud

Bei einer Private Cloud wird die Cloud-Infrastruktur exklusiv einer einzelnen Organisation zur Verfügung gestellt. Eigentümer, Verwalter und Betreiber dieser Infrastruktur kann die Organisation selbst, eine dritte Partei oder eine Kombination dieser sein. Die Infrastruktur muss sich nicht zwingend auf dem Gelände des Anbieters befinden (NIST, 2013, S. 9). Auf die Cloud wird normalerweise über ein Intranet (Virtual Private Network) zugegriffen (Münzl et al., 2015, S. 14).

Community Cloud

Bei einer Community Cloud wird die Cloud-Infrastruktur exklusiv für eine spezifische Gemeinschaft von Organisationen, welche gemeinsame Anliegen haben, bereitgestellt. Eigentümer, Verwalter und Betreiber dieser Infrastruktur kann eine oder mehrere dieser Organisationen, eine dritte Partei oder eine Kombination dieser sein. Die Infrastruktur muss sich nicht zwingend auf dem Gelände dieser Organisation befinden (NIST, 2013, S. 10).

Hybrid Cloud

Eine Hybrid Cloud besteht aus zwei oder mehreren unterschiedlichen Cloud-Infrastrukturen (Public, Private oder Community) (NIST, 2013, S. 10). Diese Clouds bleiben für sich eigenständig, können aber über standardisierte Schnittstellen gemeinsam genutzt werden (BSI, online). Diese Mischform eignet sich insbesondere für das Management von Spitzenlasten. Dabei stellt der Anwender mit einer Private Cloud die Ressourcen für die Grundlast bereit. Lastspitzen werden aber dann durch Public Clouds abgedeckt (Giegerich, 2014, S. 321).

Weitere Modelle

Eine Erweiterung der Hybrid Cloud ist die Multi Cloud, welche mehrere Cloud-Modelle integrieren kann. Zusätzlich werden aber IaaS, PaaS oder SaaS von verschiedenen Dienstleistern bezogen (Karlstetter, 2017b, online). Gemäss Münzl et al. (2015) existieren noch zahlreiche weitere Formen wie beispielsweise Virtual Private Cloud, Application Cloud, Communication Cloud, aber auch Marketing-Fantasienamen, deren Systematisierung sich schwieriger gestaltet (S. 12-13).

Anwendungsbereiche im Controlling

Die Unterscheidung zwischen den Aspekten „Controlling von Cloud-Lösungen“ und „Cloud-Lösungen im Controlling“ wird oft nicht vorgenommen (Ploss, 2016, S. 60). Das Controlling von Cloud-Lösungen setzt sich mit klassischen Controller-Aufgaben auseinander (finanzielle Beurteilung und zukünftige finanzielle Steuerung) und setzt ein finanzielles Verständnis des Controllers für das Thema Cloud Computing voraus (Ploss, S. 60). Die folgenden Erläuterungen beziehen sich auf den Aspekt der Cloud-Lösungen im Controlling.

Abolhassan (2015) bezeichnet die Cloud als „Rückgrat und Intelligenz der gesamten Digitalisierung“ (S. 15). Cloud-Lösungen sind eine „wirkliche Neuerung und tatsächliche Herausforderung für den Controller“ (Ploss, 2016, S. 60) und eine Technologie zur Digitalisierung im Controlling. Sie sind in erster Linie auf der SaaS-Ebene zu finden (Reichmann et al., 2017, S. 568). Die Bereitstellung der Controlling-Applikationen erfolgt durch einen Cloud-Anbieter, sodass Berechtigte jederzeit über geeignete Datenverbindungen Zugriff auf die Software nehmen können (Ploss, 2016, S. 62). Es existieren zahlreiche Softwarelösungen für das Controlling sowie BI-Lösungen zur Entscheidungsunterstützung, wobei die Wahl des Organisationsmodells sowie der konkreten Lösung eine strategische Entscheidung ist. Basis für diese Entscheidung ist die Analyse der Charakteristiken sowie der Vor- und Nachteile einer Lösung (Reichmann et al., 2017, S. 568). Folgende Tabelle zeigt insbesondere im deutschen Raum verfügbare Cloud-Computing-Lösungen für das Controlling (in Anlehnung an: Reichmann et al., 2017, S. 569):

Anbieter	Webseite	Lösung
SAP SE, Walldorf, Deutschland	www.sap.com	SAP S/4HANA Cloud
DATEV eG, Nürnberg, Deutschland	www.datev.de	DATEV Mittelstand Faktura mit Rechnungswesen
Diamant Software GmbH & Co. KG, Bielefeld, Deutschland	www.diamant-software.de	Diamant®/3 Rechnungswesen
Microsoft Corp., Redmond, USA	www.microsoft.com	Excel
Seneca Business Software GmbH, München, Deutschland	www.seneca-control.com	Seneca

Die folgende Tabelle zeigt BI-Lösungen für die Entscheidungsunterstützung (in Anlehnung an: Reichmann et al., 2017, S. 570):

Anbieter	Webseite	Lösung
Oracle Corp., Redwood City, USA	www.oracle.com	Oracle Business Intelligence 12c
Qlik Technologies Inc., Radnor, USA	www.qlik.com	QlikView
Microsoft Corp., Redmond, USA	www.microsoft.de	Microsoft Power BI
International Business Machines Corp., Armonk, USA	www.ibm.com	IBM Business Intelligence
IDL GmbH Mitte, Schmitten, Deutschland	www.idl.eu	IDL CPM Suite

Im deutschsprachigen Raum existieren zahlreiche Statistiken und Studien zur Verbreitung des Einsatzes von Cloud Computing. Die Analyse der Informations- und Kommunikationsinfrastruktur zeigt, dass im Jahr 2015 23 % der schweizerischen Unternehmen mit Cloud-Anwendungen arbeiteten, wobei der Anteil der Cloud-Anwender bei Unternehmen mit mehr als 250 Beschäftigten mit 35 % wesentlich höher war (BFS, 2017).

Chancen und Gefahren für das Controlling

Gärtner und Rockenschaub (2015) gehen ausführlich auf die Chancen und Gefahren des Cloud Computing ein (S. 710-712):

Chancen

• Hochverfügbarkeit und Datenmobilität: Controllingdaten sind jederzeit und überall über internetfähige Endgeräte verfügbar.
• Echtzeitverarbeitung: Informationen sind immer auf dem aktuellsten Stand.
• Self Service: Direkter Zugang von Führungskräften zu entscheidungsrelevanten Daten kann gewährt werden.
• Mandantenfähigkeit: Effizienzsteigerungen werden durch die Möglichkeit paralleler Auswertungen erreicht.
• Pay-per-Use: Kosten entstehen in Abhängigkeit des genutzten IT-Systems, was die Kostentransparenz erhöht und eine verursachergerechte Zuordnung fördert.
• Elastizität: Mehrbedarf an IT-Ressourcen kann kurzfristig und verursachergerecht bezogen werden ohne Investitionskosten zu generieren.
• Systemunterhalt: Für Wartung, Updates und IT-Security ist der Cloud-Anbieter verantwortlich.

Gefahren

• Information Overload: Echtzeitverarbeitung und Hochverfügbarkeit können bewirken, dass eine Filtrierungs- und Qualitätssicherungsfunktion nicht ständig durchgeführt werden kann und es zu einem Information Overload des Anwenders kommt.
• Self Service: Kann zur Rationalisierung des Controllings führen.
• Datenschutz und Datensicherheit: Die externe Datenhaltung von sensiblen Informationen können Cyberkriminelle anlocken.
• Entkoppelung von der Cloud: Bereits bei Vertragsgestaltung eines Service Level Agreements (SLA) ist die Möglichkeit des Rückzugs von der cloudbasierten Lösung in Betracht zu ziehen.

Datenschutz, Datensicherheit und rechtliche Aspekte

Auf Stufe des Gesamtunternehmens existieren Risiken, welche „von Störungen in der Abwicklung von Geschäftsprozessen aufgrund nicht abrufbarer Dienste bis zur Gefährdung des Geschäfts“ führen können (Reichmann et al., 2017, S. 567). Durch die Speicherung der Daten ausserhalb des Unternehmens und dem damit notwendigen Zugriff über das Internet setzen sich Unternehmen zahlreichen Gefahren aus, welche zu folgenden Problemen führen können (Karlstetter, 2017a, online):

• Verlust von Daten
• Manipulation von Daten
• Diebstahl und Missbrauch der Zugangserkennung
• Unberechtigter Zugriff auf Daten

Der Cloud-Anbieter kann den Anforderungen an den Datenschutz nur gerecht werden, wenn die technische Datensicherheit gewährleistet ist. Diese wird durch die verwendete Hard- und Software des Cloud-Anbieters bestimmt, wie z. B. Verschüsselungstechniken (VPN), Intrusion Detection (IDS) oder Firewallkomponenten. Die organisatorische Sicherheit regelt zudem den physischen Zugriff auf das Rechenzentrum (Karlstetter, 2017a, online).

Die rechtlichen Aspekte des Datenschutzes sind länderspezifisch (Karlstetter, 2017a, online). Die verantwortliche Stelle im Sinne des Datenschutzes wird zudem durch die Art des Cloud-Angebots bestimmt (Hansen, 2012, S. 86). Gemäss Borges (2014) wird „Cloud Computing datenschutzrechtlich meist als Auftragsdatenverarbeitung durchgeführt“, wobei die „erforderliche Kontrolle des Cloud-Anbieters durch den Cloud-Nutzer ... am besten mittels einer datenschutzrechtlichen Zertifizierung des Cloud-Anbieters“ durchzuführen ist (S. 165).

In der Schweiz ist die Auftragsdatenbearbeitung in Art. 10a des Bundesgesetzes über Datenschutz (DSG) geregelt. Dieses entspricht nicht mehr den heutigen Anforderungen, weshalb der Bundesrat am 15. September 2017 die Botschaft zur Totalrevision des Datenschutzgesetzes verabschiedet hat. Die schweizerische Datenschutzgesetzgebung soll sich dabei an den Anforderungen der EU-Verordnung 2016/679 annähern (BJ, online). Der Abschluss der Totalrevision ist für April 2018 geplant (Schweizerische Eidgenossenschaft, online).

Lern- und Praxismaterialien

Fallstudien
Asago AG – Cloudbasierte Vetriebssoftware

Quellen

Literaturverzeichnis

• Abolhassan, F. (2015). Digitalisierung als Ziel - Cloud als Motor. In F. Abolhassan (Hrsg.). Was treibt die Digitalisierung? Warum an der Cloud kein Weg vorbeiführt (S. 15-26). Wiesbaden: Springer.
• BFS - Bundesamt für Statistik (2017): IKT Infrastruktur in den Unternehmen. Abgerufen am 30.11.2017 von https://www.bfs.admin.ch/bfs/de/home/statistiken/kataloge-datenbanken/tabellen.assetdetail.3782233.html
• BJ - Bundesamt für Justiz (ohne Datum). Stärkung des Datenschutzes. Abgerufen am 28.11.2017 von https://www.bj.admin.ch/bj/de/home/staat/gesetzgebung/datenschutzstaerkung.html
• Borges, G. (2014). Cloud Computing und Datenschutz. Zertifizierung als Ausweg aus einem Dilemma. Datenschutz und Datensicherheit, 38 (3), S. 165-169.
• BSI - Bundesamt für Sicherheit in der Informationstechnik (ohne Datum). Cloud Computing Grundlagen. Abgerufen am 27.10.2017 von https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/CloudComputing/Grundlagen/Grundlagen_node.html
• Gärtner, B. & Rockenschaub, T. (2015). Cloud Computing und Controlling - Chancen und Risiken. Controlling, 27 (12), S. 709-714.
• Gerpott, T. & May, S. (2014). Anbietergruppen im Cloud Computing-Markt. WiSt - Wissenschaftliches Studium, 43 (4), S. 172-178.
• Giegerich, H. (2014). IT-Sicherheitsmanagement in der Cloud. Chancen und Herausforderungen für das Controlling. Controlling, 26 (6), S. 320-324.
• Hansen M. (2012). Datenschutz im Cloud Computing. In G. Borges & J. Schwenk (Hrsg.). Daten- und Identitätsschutz in Cloud Computing, E-Government und E-Commerce (S. 79-95). Berlin: Springer.
• Karlstetter, F. (2017a). Was ist beim Datenschutz in der Cloud zu beachten? Abgerufen am 30.11.2017 von https://www.cloudcomputing-insider.de/was-ist-beim-datenschutz-in-der-cloud-zu-beachten-a-607518/
• Karlstetter, F. (2017b). Was ist eine Multicloud? Abgerufen am 29.10.2017 von https://www.cloudcomputing-insider.de/was-ist-eine-multi-cloud-a-654964/
• Microsoft Corporation (ohne Datum). Was ist SaaS? SaaS (Software as a Service). Abgerufen am 26.11.2017 von https://azure.microsoft.com/de-de/overview/what-is-saas/ https://azure.microsoft.com/de-de/overview/what-is-saas/
• Münzl, G., Pauly, M. & Reti, M. (2015). Cloud Computing als neue Herausforderung für Management und IT. Essentials. Berlin: Springer.
• NIST - National Institute of Standards and Technology (2011). NIST Cloud Computing Standards Roadmap, Special Publication 500-291, Version 1.0. Abgerufen am 28.10.2017 https://www.gpo.gov/fdsys/pkg/GOVPUB-C13-dffc62da0a16e88ec242ce13b0d7f5a4/pdf/GOVPUB-C13-dffc62da0a16e88ec242ce13b0d7f5a4.pdf
• NIST - National Institute of Standards and Technology (2013). NIST Cloud Computing Standards Roadmap, Special Publication 500-291, Version 2. Abgerufen am 24.10.2017 von http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.500-291r2.pdf
• Ploss, R. (2016). Der digitale Controller. Controlling & Management Review, 60 (2), S. 60-65.
• Reichmann, T., Kissler, M. & Baumöl, U. (2017). Controlling mit Kennzahlen. Die systemgestützte Controlling-Konzeption. München: Franz Vahlen.
• Rickmann, H., Diefenbach, S. & Bruening, K. (2013). Effizienz und Effektivität im IT-Outsourcing: KPI-basierte Messung der Strategieumsetzung. In H. Rickmann, S. Diefenbach & K. Bruening (Hrsg.). IT-Outsourcing. Neue Herausforderungen im Zeitalter von Cloud Computing (S. 1-24). Berlin: Springer.
• Schweizerische Eidgenossenschaft (ohne Datum): Geplante Vernehmlassungen. Abgerufen am 28.11.2017 von https://www.admin.ch/ch/d/gg/pc/preview.html
• Thorenz, L. & Zacher, M. (2013). Cloud-Computing. Neue Chancen für das Outsourcing. In H. Rickmann, S. Diefenbach und K. Bruening (Hrsg.). IT-Outsourcing. Neue Herausforderungen im Zeitalter von Cloud Computing (S. 25-38). Berlin: Springer.

Weiterführende Literatur

• Baumöl, U. & Herter, W. (2011). Software as a Service aus dem Blickwinkel des Controllings. Controlling, 23 (4-5), S. 255-257.
• Benz, N. (2013). Cloud Computing. 10 Chancen und 10 Risiken. Abgerufen am 29.10.2017 von https://www.kalaidos-fh.ch/de-CH/Blogs/Posts/2013/06/cloud-computing-10-chancen-und-10-risiken
• BFS - Bundesamt für Statistik (2014): Cloud-Computing und private Internetnutzung. Ergebnisse der „IKT-Haushaltserhebung 2014“. Abgerufen am 30.11.2017 von https://www.bfs.admin.ch/bfs/de/home/aktuell/neue-veroeffentlichungen.assetdetail.350174.html
• Bundesgesetz über den Datenschutz [DSG] vom 19. Juni 1992, SR 235.1.
• Clauss, T. & Laudien, S. (2017). Digitale Geschäftsmodelle. Systematisierung und Gestaltungsoptionen. WiSt - Wirtschaftswissenschaftliches Studium, 46 (10), S. 4-10.
• Eurich, M. & Füllemann, M. (2012). Cloud Computing. Controlling hilft, die Wolke fassbar zu machen. Controlling, 24 (6), S. 301-306.
• KPMG (2015). Cloud-Monitor 2015. Cloud Computing in Deutschland. Status quo und Perspektiven. Abgerufen am 25.10.2017 von https://www.bitkom.org/noindex/Publikationen/2015/Studien/Cloud-Monitor-2015/Cloud-Monitor-2015-KPMG-Bitkom-Research.pdf
• Link, B. (2017). Software as a Service oder on premise? Controlling & Management Review, 61 (5), S. 72-77.
• Verordnung des Europäischen Parlaments und des Rates vom 27. April 2016, EU 2016/679.

Autoren

Ivo Betschart, Barbara Kläy-Mischler, Alexandra Zumbühl-Dober