Warum der Rechenzentrumsstandort wichtig ist – und welche Fragen Unternehmen zusätzlich stellen sollten.
Wer seine Unternehmensdaten bisher auf eigenen Servern speichert, kennt deren Standort.
Der Server steht im eigenen Büro, in einem Technikraum oder an einem anderen Unternehmensstandort.
Bei einer Cloud-Lösung verändert sich das.
Die Daten werden auf Infrastruktur gespeichert, die ein externer Anbieter bereitstellt.
Für viele Geschäftsführer entsteht daraus eine berechtigte Frage:
Wo befinden sich unsere Daten eigentlich, wenn wir sie in die Cloud verlagern?
Für eine fundierte Entscheidung sollten Unternehmen darauf eine nachvollziehbare Antwort erhalten.
Allerdings reicht es nicht immer aus, nur das Land zu nennen, in dem sich ein Rechenzentrum befindet.
Denn für die Beurteilung spielen auch der Betreiber, beteiligte Dienstleister und mögliche Zugriffe auf die Daten eine Rolle.
Die Cloud ist kein Ort ohne festen Standort
Der Begriff Cloud kann den Eindruck vermitteln, Daten befänden sich an einem nicht näher bestimmbaren Ort im Internet.
Tatsächlich werden sie auf physischen Systemen verarbeitet und gespeichert.
Diese Systeme stehen in Rechenzentren.
Je nach Anbieter und gebuchter Leistung können sich die Systeme in Deutschland, in anderen europäischen Ländern oder außerhalb Europas befinden.
Manche Anbieter ermöglichen die Auswahl einer bestimmten Region.
Andere betreiben ihre Leistungen an festgelegten Standorten.
Für ein Unternehmen ist deshalb wichtig zu wissen, welche Standorte für die konkret genutzten Dienste vereinbart sind.
Cloud bedeutet nicht, dass Daten keinen Standort mehr haben. Es bedeutet, dass die zugrunde liegende Infrastruktur nicht mehr zwingend im eigenen Unternehmen betrieben wird.
Bedeutet ein Rechenzentrum in Deutschland, dass alle Daten in Deutschland bleiben?
Nicht zwangsläufig.
Zunächst muss geklärt werden, welche Daten und Verarbeitungsvorgänge gemeint sind.
Dazu gehören möglicherweise:
Produktivdaten der eingesetzten Anwendungen
Datensicherungen und Wiederherstellungskopien
Protokolle und technische Betriebsinformationen
Daten, die durch zusätzliche Dienste verarbeitet werden
Informationen, auf die im Rahmen von Supportleistungen zugegriffen werden kann
Für diese Bereiche können unterschiedliche Vereinbarungen gelten.
Wenn ein Anbieter angibt, dass Daten in Deutschland gespeichert werden, sollte geprüft werden, auf welche Dienste, Datenarten und Verarbeitungsschritte sich diese Aussage bezieht.
Ebenso wichtig ist, ob Daten für bestimmte Funktionen oder Supportprozesse an anderen Standorten verarbeitet werden können.
Ein deutscher Speicherort ist eine wichtige Information. Er ist aber nicht automatisch eine vollständige Beschreibung aller Datenflüsse.
Drei Fragen, die Unternehmen unterscheiden sollten
Bei der Auswahl einer Cloud-Lösung werden häufig unterschiedliche Aspekte miteinander vermischt.
Dabei lohnt es sich, drei Fragen getrennt zu beantworten.
1. Wo steht die technische Infrastruktur?
Diese Frage betrifft den physischen Standort der Systeme, auf denen Anwendungen und Daten betrieben werden.
Ein festgelegter Rechenzentrumsstandort kann für die Planung und die Prüfung betrieblicher oder rechtlicher Anforderungen wichtig sein.
2. Wer betreibt die Infrastruktur?
Hier geht es um das Unternehmen, mit dem der Vertrag geschlossen wird, und um weitere Beteiligte.
Relevant sind beispielsweise der Unternehmenssitz, die vertraglichen Zuständigkeiten und eingesetzte Unterauftragnehmer.
3. Wer kann auf Daten zugreifen?
Diese Frage betrifft die tatsächlichen technischen und organisatorischen Zugriffsmöglichkeiten.
Dabei kann es um eigene Mitarbeiter, Administratoren, Dienstleister oder andere berechtigte Stellen gehen.
Der Standort allein beantwortet diese Frage nicht.
Erst die gemeinsame Betrachtung dieser drei Aspekte ermöglicht eine fundierte Entscheidung.
Warum der Standort Deutschland für Unternehmen interessant sein kann
Viele deutsche Unternehmen bevorzugen Cloud-Infrastruktur, die in Deutschland betrieben wird.
Dafür kann es nachvollziehbare Gründe geben.
Ein klar definierter Standort erleichtert beispielsweise die Prüfung, wo die vereinbarte Infrastruktur betrieben wird.
Ein Anbieter mit Unternehmenssitz in Deutschland kann außerdem die vertragliche und organisatorische Zusammenarbeit vereinfachen.
Auch für interne Vorgaben oder Anforderungen von Geschäftspartnern kann der Standort relevant sein.
Allerdings sollte daraus nicht abgeleitet werden, dass eine Cloud-Lösung in Deutschland grundsätzlich sicherer ist als jede andere.
Datensicherheit hängt von technischen und organisatorischen Maßnahmen ab.
Und die datenschutzrechtliche Bewertung hängt nicht allein von der Anschrift eines Rechenzentrums ab.
Deutschland als Standort kann ein wichtiges Auswahlkriterium sein. Es ersetzt aber nicht die Prüfung der konkreten Cloud-Leistung.
Was bedeutet der Standort für den Datenschutz?
Wenn ein Unternehmen personenbezogene Daten verarbeitet, muss es die geltenden datenschutzrechtlichen Anforderungen berücksichtigen.
Dazu gehört unter anderem die Frage, welche Dienstleister an der Verarbeitung beteiligt sind und welche vertraglichen Regelungen erforderlich sind.
Liegt eine Auftragsverarbeitung im Sinne der DSGVO vor, ist grundsätzlich ein entsprechender Vertrag erforderlich.
Auch eingesetzte Unterauftragsverarbeiter sowie mögliche Zugriffe und Übermittlungen in Drittländer sind zu berücksichtigen.
Wichtig ist dabei eine Unterscheidung:
Ein Unternehmen kann seine Infrastruktur in einem deutschen Rechenzentrum betreiben und trotzdem zusätzliche Dienste nutzen, bei denen Daten an anderen Orten verarbeitet werden.
Umgekehrt bedeutet der Einsatz eines international tätigen Anbieters nicht automatisch, dass jede Datenverarbeitung außerhalb Europas stattfindet.
Für den Datenschutz kommt es auf die tatsächliche Verarbeitung, die beteiligten Stellen und die geltenden rechtlichen Voraussetzungen an.
Die konkrete rechtliche Bewertung sollte bei Bedarf mit der zuständigen Datenschutzberatung erfolgen.
Was ist mit Microsoft 365?
Viele Unternehmen nutzen bereits Microsoft 365 für E-Mail, Dokumente und Zusammenarbeit.
Damit befinden sich bestimmte Unternehmensdaten möglicherweise schon heute außerhalb der eigenen Serverumgebung.
Wenn zusätzlich ein Cloud-Server für eine Geschäftsanwendung eingerichtet wird, entsteht dadurch nicht automatisch ein einheitlicher Speicherort für sämtliche Unternehmensdaten.
Denn Microsoft 365 und die neu eingerichtete Serverinfrastruktur sind unterschiedliche Dienste mit eigenen vertraglichen und technischen Rahmenbedingungen.
Auch die Speicherorte und Datenverarbeitungen müssen entsprechend getrennt betrachtet werden.
Für Geschäftsführer ist deshalb zunächst wichtig, welche Anwendungen heute überhaupt noch auf eigenen Servern laufen.
Vielleicht betrifft die geplante Cloud-Entscheidung nur eine einzelne Geschäftsanwendung.
Vielleicht sollen mehrere Systeme verlagert werden.
Wer wissen möchte, wo seine Unternehmensdaten liegen, muss zunächst wissen, welche Dienste das Unternehmen tatsächlich nutzt.
Was passiert mit Datensicherungen?
Ein weiterer wichtiger Punkt ist der Speicherort der Datensicherung.
Denn die produktiven Daten und ihre Sicherungskopien müssen nicht zwangsläufig am selben Standort liegen.
Je nach Sicherungskonzept kann eine räumliche Trennung sinnvoll oder ausdrücklich vorgesehen sein.
Das kann beispielsweise das Risiko verringern, dass ein einzelner Standortausfall sowohl Produktivdaten als auch Sicherungskopien betrifft.
Allerdings sollte bekannt sein, wo die Sicherungen gespeichert werden, wer darauf zugreifen kann und welche vertraglichen Regelungen gelten.
Ebenso wichtig ist die Frage, wie die Daten im Bedarfsfall wiederhergestellt werden.
Der Speicherort der produktiven Daten ist nur ein Teil des Gesamtbildes. Auch die Datensicherung gehört in die Standortbetrachtung.
Ein Beispiel: Ein Unternehmen nutzt mehrere Cloud-Dienste
Stellen wir uns ein Unternehmen mit 30 Mitarbeitern vor.
Die E-Mail-Kommunikation und gemeinsame Dokumentenbearbeitung erfolgen bereits über Microsoft 365.
Eine zentrale Geschäftsanwendung läuft dagegen noch auf einem eigenen Server.
Nun soll geprüft werden, ob diese Anwendung künftig in einer Cloud-Umgebung betrieben werden kann.
Die Geschäftsführung möchte sicherstellen, dass die neue Infrastruktur in Deutschland bereitgestellt wird.
Das ist eine nachvollziehbare Anforderung.
Allerdings würde die Verlagerung der Geschäftsanwendung nicht automatisch den Standort sämtlicher Unternehmensdaten verändern.
Die bereits genutzten Microsoft-365-Dienste bleiben eigenständige Leistungen.
Auch für Datensicherungen und weitere Anwendungen können gesonderte Regelungen gelten.
Deshalb sollte das Unternehmen zunächst eine Übersicht erstellen, welche Daten durch welche Dienste verarbeitet werden.
Erst danach lässt sich die Standortfrage vollständig beurteilen.
Die entscheidende Frage lautet nicht nur: „Wo steht unser neuer Cloud-Server?“ Sondern auch: „Welche unserer Daten werden eigentlich wo verarbeitet?“
Dieses Beispiel dient der Veranschaulichung und beschreibt kein konkretes Kundenprojekt.
Welche Fragen sollten Sie einem Cloud-Anbieter stellen?
Vor einer Entscheidung sollten Unternehmen nachvollziehbare Antworten auf einige grundlegende Fragen erhalten.
Wo wird die gebuchte Infrastruktur betrieben? Sind die Standorte eindeutig festgelegt?
Wo befinden sich Datensicherungen und zusätzliche Kopien? Gelten dafür dieselben Standortvereinbarungen?
Welche Unternehmen sind an der Leistung beteiligt? Gibt es relevante Unterauftragnehmer?
Wer kann administrativ auf die Systeme oder Daten zugreifen? Wie werden solche Zugriffe geregelt und geschützt?
Können Daten außerhalb der vereinbarten Region verarbeitet oder übermittelt werden? Wenn ja, unter welchen Voraussetzungen?
Welche vertraglichen und technischen Nachweise stehen zur Verfügung? Lassen sich die vereinbarten Leistungen und Zuständigkeiten nachvollziehen?
Nicht jede Frage muss in jedem Unternehmen denselben Stellenwert haben.
Aber die Antworten sollten zur Bedeutung der verarbeiteten Daten und zu den betrieblichen Anforderungen passen.
Warum wir für Cloud-Infrastruktur auf Deutschland setzen
Wir von novotec haben uns für Terra Cloud der WORTMANN-Gruppe aus Hüllhorst als Anbieter unserer Cloud-Infrastruktur entschieden.
Damit setzen wir bewusst auf einen deutschen Anbieter und dessen Cloud-Angebot.
Für uns ist es wichtig, dass wir die Infrastruktur und die damit verbundenen Leistungen auf einer nachvollziehbaren vertraglichen Grundlage auswählen und betreuen können.
Der Standort Deutschland ist dabei ein wesentliches Kriterium.
Gleichzeitig unterscheiden wir zwischen der bereitgestellten Infrastruktur und zusätzlichen Anwendungen oder Diensten, die unsere Kunden darauf oder daneben nutzen.
Denn ein deutscher Infrastrukturstandort bedeutet nicht automatisch, dass sämtliche Datenverarbeitungen eines Unternehmens ausschließlich in Deutschland stattfinden.
Welche Standorte, Zugriffsregelungen und weiteren Bedingungen konkret gelten, muss anhand der jeweils gebuchten Leistungen und Vereinbarungen geprüft werden.
Unsere Entscheidung für einen deutschen Cloud-Anbieter ist bewusst getroffen. Sie ersetzt aber keine sorgfältige Betrachtung der tatsächlich eingesetzten Dienste.
[Warum wir für Cloud auf Deutschland setzen]
Wie unterstützt novotec bei der Standortfrage?
Wir von novotec möchten zunächst verstehen, welche Anwendungen und Daten in Ihrem Unternehmen genutzt werden.
Dabei betrachten wir auch vorhandene Cloud-Dienste wie Microsoft 365.
Anschließend können wir gemeinsam klären, welche Systeme künftig auf eigenen Servern verbleiben und welche möglicherweise in eine Cloud-Umgebung verlagert werden sollen.
Für geeignete Cloud-Infrastruktur berücksichtigen wir die Leistungen und vertraglichen Rahmenbedingungen von Terra Cloud.
Dabei geht es nicht nur um den Standort des Rechenzentrums.
Ebenso wichtig sind die benötigten Anwendungen, Datensicherungen, Zugriffsrechte und Verantwortlichkeiten.
Unser Ziel ist, dass Sie als Geschäftsführer nachvollziehen können, wo Ihre wichtigen Systeme betrieben werden und welche Vereinbarungen für den Umgang mit Ihren Daten gelten.
Wissen Sie, wo Ihre Unternehmensdaten liegen?
Vielleicht betreiben Sie heute noch eigene Server.
Vielleicht nutzen Sie bereits mehrere Cloud-Dienste.
Oder Sie möchten vor einer geplanten Migration sicherstellen, dass bestimmte Daten in Deutschland verarbeitet werden.
Dann lohnt sich eine strukturierte Betrachtung der vorhandenen Anwendungen und der dazugehörigen Datenverarbeitung.
Weiterführende Informationen finden Sie hier:
[Sind Unternehmensdaten in der Cloud wirklich sicher?]
[Wer kann auf meine Unternehmensdaten zugreifen?]
[Warum wir für Cloud auf Deutschland setzen]
Mit unserem Cloud-Check erhalten Sie eine erste Orientierung zu wichtigen Entscheidungsfaktoren.
Oder sprechen Sie mit uns über Ihre Anforderungen an Datenstandort und Cloud-Infrastruktur.