Innovativ bleiben: Daten-Potenziale realisieren und Risiken managen
Die Nutzung von Cloud-Computing-Leistungen in Unternehmen ist weiter auf dem Vormarsch: Im Sommer 2024 nutzten laut einer repräsentativen bitkom Studie 81% der befragten Unternehmen in Deutschland bereits Cloud-Dienste, Tendenz weiterhin steigend. Unter den befragten Unternehmen herrscht Konsens darüber, dass die Cloud die Unternehmens-IT künftig dominieren wird.
77% der befragten Unternehmen gaben an, zukünftig in weitere Cloud-Dienste zu investieren, um Vorteile wie Skalierbarkeit und Flexibilität, die Vermeidung von Ausfällen sowie Kosteneinsparungen zu nutzen. Darüber hinaus wird auch die Möglichkeit, innovative Technologien zu nutzen, als wichtiger Faktor angesehen.
Die Cloud-Dienste ermöglichen es Unternehmen, den Wert ihrer Daten besser zu nutzen und als Grundlage für den Unternehmenserfolg zu sehen. Diese gesteigerte Bedeutung für die Wichtigkeit von Daten sensibilisiert aber auch für die Risiken und Herausforderungen:
- Ein aktuell vieldiskutierter Aspekt ist die geopolitische Lage mit zunehmenden Konflikten und Protektionismus. Steigende Zölle und drohende Sanktionen können dazu führen, dass Unternehmen Zugriff und Kontrolle über ihre Daten verlieren.
- Ein weiteres Risiko ist die angespannte Bedrohungslage im Bereich der Cyber-Sicherheit. Vorkehrungen gegen Cyberkriminalität, Cybersabotage oder Cyberspionage sind unerlässlich, um die Sicherheit der eigenen Daten zu gewährleisten.
- Auch die Einhaltung regulatorischer Maßnahmen ist ein weiterer wichtiger Faktor. Dazu gehören Vorschriften wie die DSGVO, der EU AI-Act, die NIS2-Richtlinie oder branchenspezifische Regelungen, die die Transparenz und Resilienz im europäischen Umfeld fördern sollen.
- Das Lock-In-Risiko, das mit der zunehmenden Abhängigkeit von einzelnen Public-Cloud-Anbietern einhergeht, ist ein weiteres Thema, das Unternehmen beschäftigt.
Im Spannungsfeld zwischen den Möglichkeiten der Cloud-Dienste für die Arbeit mit Daten und den Risiken gilt es, eine Balance zu finden, die beide Aspekte ausgleicht. Unternehmen müssen geeignete Maßnahmen ergreifen, um die Kontrolle über ihre Daten zu behalten und gleichzeitig die Vorteile der Cloud-Dienste zu nutzen. Eine individuelle Herangehensweise, die auf die Bedürfnisse und Anforderungen des Unternehmens zugeschnitten ist, ist hierbei unerlässlich.
Was bedeutet Datensouveränität?
Datensouveränität bedeutet, die Kontrolle über die Erhebung, Verarbeitung und Nutzung von Daten zu haben. Sie beinhaltet Recht, über die Verwendung der eigenen Daten bestimmen zu können und diese entsprechend den eigenen Vorstellungen und Wünschen zu schützen.
Besonders bei sensiblen Unternehmensdaten und personenbezogenen Daten, wie Personaldaten oder Kundendaten, ist Datensouveränität unerlässlich. Hier ist es wichtig, selbst bestimmen zu können, welche Daten mit wem geteilt werden sollen.
Die Möglichkeit, die eigene Datenlandschaft kontrollieren zu können, ermöglicht es, eine ausgewogene Lösung hinsichtlich Chancen und Risiken zu finden. Es ist jedoch zu beachten, dass Datensouveränität nicht ausschließlich durch On-Premise-Lösungen erreicht werden kann, sondern durch die Auswahl geeigneter Maßnahmen für die individuelle Situation des Unternehmens.
Zwei wichtige Schritte, um Datensouveränität erfolgreich zu managen!
Das Erreichen der Datensouveränität erfordert eine sorgfältige Planung und Herangehensweise. Im ersten Schritt werden Daten, die in der Cloud liegen oder dorthin migriert werden sollen, gesichtet sowie die Chancen und Risiken bewertet. Dabei werden auch regulatorische Anforderungen, branchenspezifische Kriterien, unternehmensweite Compliance-Regeln und besonders die Datenstrategie der jeweiligen Organisation berücksichtigt.
Aus dem Ergebnis dieser Analyse werden geeignete Maßnahmen definiert, die zum jeweiligen Unternehmen und dem eigenen Umfeld passen: Dazu gehört es, die „Kronjuwelen“ des Unternehmens zu identifizieren – also die Daten, die besonders schützenswert sind – und Maßnahmen zur Verbesserung der Souveränität über diese kritischen Daten zu planen. Unternehmen müssen auch überlegen, welcher Schutzbedarf für weniger sensible Daten erforderlich ist und wie diese Daten verarbeitet werden sollten.
Die Auswahl des passenden Cloud-Modells ist ein Baustein...
Die individuelle Einschätzung der Situation bedeutet auch, dass jedes Unternehmen sein passendes Cloud-Modell auswählt. Wie bei der Entscheidung für ein Anlageprodukt einer Bank ist abzuwiegen, welches Modell den besten Trade-off zwischen Innovation und Sicherheit bietet. Im Folgenden sind die gängigsten Modelle skizziert.
- Das Public-Cloud Modell: Das Public-Cloud-Modell ist ein Cloud-Computing-Ansatz, bei dem ein externer Anbieter eine gemeinsame Infrastruktur und Plattform für mehrere Kunden betreibt. Die Ressourcen, wie Server, Speicher und Anwendungen, werden über das Internet bereitgestellt und können von den Kunden je nach Bedarf genutzt und abgerechnet werden. Der Public-Cloud-Anbieter ist für die Wartung und den Betrieb der Infrastruktur und Plattform verantwortlich.
- Das Private-Cloud Modell: Beim Private-Cloud-Modell betreibt ein Unternehmen eine dedizierte Infrastruktur und Plattform in ihrem eigenen Rechenzentrum oder im dedizierten Rechenzentrum eines Dienstleisters. Die Ressourcen werden über ein internes Netzwerk bereitgestellt und können von den autorisierten Nutzern je nach Bedarf genutzt werden. Die Organisation ist für die Wartung und den Betrieb der Infrastruktur und Plattform verantwortlich und hat die vollständige Kontrolle über die Sicherheit und Compliance.
- Das Hybrid-Cloud Modell: Das Hybrid-Cloud-Modell ist eine Mischform, bei dem eine Organisation eine Kombination aus Public-Cloud- und Private-Cloud-Ressourcen nutzt, um ihre IT-Anforderungen zu erfüllen. Die Hybrid-Cloud ermöglicht es der Organisation, Workloads und Daten zwischen den verschiedenen Cloud-Umgebungen zu verschieben und zu verwalten, um die Kosten, Leistung und Compliance zu optimieren. Die Hybrid-Cloud erfordert eine sorgfältige Planung und Integration, um die Interoperabilität und Sicherheit zu gewährleisten.
- Das Multi-Cloud Modell: Ein Multi-Cloud-Modell ist ein Ansatz, bei dem nicht nur mehrere Public-Cloud- und Private-Cloud-Ressourcen genutzt werden, sondern diese auch zusätzlich von unterschiedlichen Anbietern bezogen werden. Somit können die Technologien und Stärken der Anbieter genutzt werden und das Risiko von Ausfällen und Datenverlusten wird reduziert. Die Verwaltung eines solchen Modells kann allerdings schnell komplex werden und muss somit wie beim Hybrid-Cloud Modell sorgfältig geplant werden.
- Souveräne bzw. Lokale Cloud Modelle: Eine souveräne Cloud ist ein spezieller Typ einer Private Cloud, der innerhalb der Grenzen eines bestimmten Rechtsraums betrieben wird und sicherstellt, dass die Daten den Gesetzen des jeweiligen Landes unterliegen. Es gibt zahlreiche europäische Anbieter, die eine solche Dienstleistung anbieten. Auch Hyperscaler bieten mittlerweile europäische Alternativmöglichkeiten an.
...aber es gibt noch mehr
Neben der Auswahl des Anbieters und des Cloud-Modells gibt es weitere Möglichkeiten, um Datensouveränität zu erreichen. So können bereitgestellte Konfigurations- und Verschlüsselungsfunktionen genutzt werden, um die Sicherheit und Kontrolle über die eigenen Daten zu erhöhen.
Eine weitere Maßnahme ist die Bewertung, welche Daten für die jeweiligen Use Cases tatsächlich benötigt werden. Durch die Übertragung nur der erforderlichen Daten in Cloud-Dienste kann das Risiko reduziert werden.
Bei personenbezogenen Daten kann eine Pseudonymisierung erfolgen, um das Risiko weiter zu minimieren.
Nur die Datenhaltung zu betrachten ist zu kurz gedacht
Daten werden in Zukunft eine immer wichtigere Rolle spielen und neue Chancen eröffnen: Data Sharing und Kollaboration sind wesentliche Bestandteile eines zukunftsorientierten, datengetriebenen Unternehmens. Datenbasierte KI-Anwendungen werden in vielen Bereichen eingesetzt und unterstützen in zahlreichen Prozessen. Daher dürfen Überlegungen zur Datensouveränität nicht bei der Datenspeicherung enden, sondern müssen auch die Ressourcen und Algorithmen für die Auswertung in Betracht ziehen.
Für Unternehmen stellt sich die Frage, welche Analytics-Services oder KI-Anwendungen im Unternehmen verwendet werden dürfen und ob bei der Verwendung dieser Services die vollständige Kontrolle über die Daten gewährleistet ist. Zudem müssen Überlegungen angestellt werden, wie mit dem vorübergehenden oder dauerhaften Ausfall eines Dienstes umgegangen werden kann.
Eine individuelle, ausbalancierte und gut durchdachte Planung ist hierbei unerlässlich, um das Risiko zu reduzieren und das volle Potenzial der eigenen Daten zu nutzen. Durch die Auswahl geeigneter Technologien und Rechenkapazitäten sowie die Berücksichtigung von Compliance-Regeln und Datenschutzbestimmungen kann ein Höchstmaß an Datensouveränität erreicht werden, das den Bedürfnissen und Anforderungen des Unternehmens gerecht wird.
Haben Sie Fragen? Sprechen Sie uns an!
Dr. Christoph Reiners
Head of Data Management Consulting