Modul 2 · 2.4
Deutsch
Anbieter vergleichen, ohne sich verführen zu lassen
Modul 2: Was ist eine europäische Cloud wirklich? · Lesezeit: 11 Minuten
Lernziel: Nach dieser Lektion können Sie mit einer eigenen Anforderungsliste europäische Anbieter inhaltlich vergleichen, Gütesiegel nach ihrem tatsächlichen Wert einschätzen und zwischen einer Komplettlösung, einzelnen Diensten oder dem Eigenbetrieb wählen.
Kernbegriffe: Anforderungsliste (muss, soll, kann), ISO/IEC 27001, Geltungsbereich (Scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, Verfügbarkeit, Support-Sprache, Testphase, Referenzen, Komplettlösung, Einzeldienste, Eigenbetrieb
Erst Ihre Anforderungen, dann die Anbieter
Wer damit beginnt, sich Websites von Anbietern anzusehen, lässt sich von dem leiten, was diese am schönsten darstellen: eine grosse Speicherzahl, eine KI-Schaltfläche, ein schlankes Logo. Beginnen Sie deshalb bei sich selbst. Bakkerij De Korrel schrieb zuerst auf, was sie wirklich braucht, und schaute erst danach, was es gibt.
Nutzen Sie dafür drei Stufen:
- Muss: Ohne dies scheidet der Anbieter aus. Zum Beispiel: Daten und Backups im EWR, europäischer Eigentümer, Auftragsverarbeitungsvertrag (AVV) mit Liste der Unterauftragsverarbeiter, E-Mail auf eigener Domain, IMAP und CalDAV, Zwei-Faktor-Authentifizierung.
- Soll: Wichtig, aber Sie können auch ohne auskommen. Zum Beispiel: Online-Office-Paket im Browser, Support auf Deutsch, Smartphone-App für Fotos.
- Kann: Nett, wenn es dabei ist. Zum Beispiel: Videotelefonie, Formulare, KI-Unterstützung.
Halten Sie die Muss-Liste kurz. Eine Muss-Liste mit dreissig Punkten erfüllt niemand, und dann entscheiden Sie am Ende doch nach Gefühl.
Drei Arten von Angeboten
Europäische Clouddienste gibt es grob in drei Formen.
| Form | Was es ist | Vorteile | Worauf Sie achten sollten |
|---|---|---|---|
| Komplettlösung | Ein Anbieter liefert E-Mail, Speicher, Kalender, Dokumente und Chat zusammen, wie die Suiten grosser amerikanischer Anbieter | Ein Vertrag, ein Login, alles arbeitet zusammen | Sie sitzen wieder bei einem einzigen Anbieter; prüfen Sie die Exportmöglichkeiten besonders gründlich |
| Einzeldienste | E-Mail bei dem einen Anbieter, Dateien und Kalender bei einem anderen, Chat bei einem dritten | Pro Bereich die beste Wahl; weniger Abhängigkeit | Mehr Verträge, mehr Logins, mehr Verwaltungsaufwand |
| Eigenbetrieb | Sie betreiben Open-Source-Software (zum Beispiel Nextcloud) auf einem eigenen oder gemieteten Server | Maximale Kontrolle | Sie übernehmen Updates, Sicherheit und Backups; das kostet Wissen und Zeit, jede Woche |
Viele kleine Organisationen wählen einen Mittelweg: einen verwalteten Dienst auf Basis von Open-Source-Software. Dabei verwaltet ein Anbieter den Server, aber Sie können mit derselben Software zu einem anderen Anbieter oder in den Eigenbetrieb wechseln, falls das irgendwann nötig wird. Eigenbetrieb ist nur dann eine gute Idee, wenn jemand dauerhaft Zeit dafür hat und weiss, was er tut. Ein Nextcloud, das ein Jahr lang keine Updates erhält, ist weniger sicher als ein gut verwalteter Dienst, europäisch oder nicht.
Gütesiegel: Was sie sagen und was nicht
Anbieter nennen gerne Zertifizierungen. Sie sind nützlich, aber Sie müssen wissen, was sie bedeuten.
| Gütesiegel | Was es aussagt | Worauf Sie achten |
|---|---|---|
| ISO/IEC 27001 | Das Unternehmen hat ein Managementsystem für Informationssicherheit: Risiken erfasst, Massnahmen ergriffen, jährliche Kontrolle durch eine Zertifizierungsstelle | Den Geltungsbereich (Scope): Gilt er für den Dienst, den Sie nutzen, oder nur für das Rechenzentrum oder eine einzelne Abteilung? Ist das Zertifikat gültig und von einer akkreditierten Stelle ausgestellt? |
| ISO/IEC 27701 | Erweiterung von 27001 für Datenschutzmanagement | Dieselben Fragen zum Geltungsbereich |
| NEN 7510 | Niederländische Norm für Informationssicherheit im Gesundheitswesen | Nur relevant, wenn Sie Gesundheitsdaten verarbeiten; dann oft eine Anforderung |
| BSI C5 | Deutscher Anforderungskatalog für Clouddienste des Bundesamts für Sicherheit in der Informationstechnik | Bericht mit Feststellungen, kein einfaches "bestanden" |
| SecNumCloud | Französische Qualifikation der ANSSI für Clouddienste, mit Anforderungen gegen Zugriff durch Gesetze ausserhalb der EU | Streng; sagt viel über rechtliche Unabhängigkeit aus |
| SOC 2 | Amerikanischer Prüfbericht (AICPA) über Sicherheitsmassnahmen | Kein Zertifikat, sondern ein Bericht; fordern Sie den Bericht an, nicht nur das Logo |
Zwei Fallstricke. Erstens: Das Rechenzentrum ist zertifiziert, der Anbieter selbst nicht. Dann sagt das Zertifikat etwas über Strom, Kühlung und Zugangskontrollen aus, aber nichts darüber, wer auf Ihre Daten zugreifen kann. Zweitens: Ein Gütesiegel beantwortet nicht die fünf Fragen aus Lektion 2.1. Ein amerikanischer Dienst kann ISO 27001 besitzen und trotzdem unter den CLOUD Act fallen.
Kleine Anbieter haben manchmal keine Zertifizierung, weil diese viel kostet. Das macht sie nicht unsicher. Fragen Sie dann konkret, welche Massnahmen sie ergreifen: Zwei-Faktor-Authentifizierung für Administratoren, Verschlüsselung, Backups an einem anderen Standort, Update-Richtlinien, ein Meldeverfahren bei Datenpannen.
Die SLA lesen
Eine SLA (Service Level Agreement) beschreibt, was ein Anbieter verspricht: Verfügbarkeit, Reaktionszeit des Supports, Wartungsfenster und was Sie erhalten, wenn er sein Versprechen nicht einhält.
Rechnen Sie Verfügbarkeit immer in Zeit um. 99,9 % pro Monat klingt fast perfekt, bedeutet aber, dass der Dienst gut 43 Minuten pro Monat nicht erreichbar sein darf. Bei 99 % sind das gut sieben Stunden. Prüfen Sie auch, ob geplante Wartung mitzählt, und wie die Entschädigung aussieht: oft ein kleines Guthaben, kein Ausgleich Ihres Schadens.
Lesen Sie auch, was nicht darin steht. Wichtige Punkte, die in eine SLA oder die Geschäftsbedingungen gehören:
- wie lange und wo Backups aufbewahrt werden, und ob Sie selbst etwas wiederherstellen können;
- wie schnell eine Sicherheitslücke behoben wird;
- wie Sie bei einer Störung informiert werden (Statusseite, E-Mail);
- was mit Ihren Daten nach der Kündigung geschieht (Lektion 2.3 und 8.2).
Ausprobieren, fragen, testen
Papier ist geduldig. Vergleichen Sie deshalb nicht nur anhand der Website:
- Nehmen Sie eine Testphase oder ein kleines Paket, und richten Sie dort einen echten Testbestand ein: ein paar Postfächer, einen Kalender mit wiederkehrenden Terminen, einen Ordner mit Ihren schwierigsten Dokumenten (Lektion 6.5).
- Stellen Sie dem Support eine echte Frage, zum Beispiel "Wie exportiere ich alles, wenn ich kündige?" Achten Sie auf die Geschwindigkeit, die Sprache und ob die Antwort stimmt.
- Fordern Sie die Dokumente an: Auftragsverarbeitungsvertrag, Liste der Unterauftragsverarbeiter, SLA, Zertifikate mit Geltungsbereich.
- Fragen Sie nach Referenzen einer Organisation, die Ihrer ähnelt, und rufen Sie diese an.
- Führen Sie einen Exporttest durch, bevor Sie unterschreiben.
Eine Vergleichstabelle, die funktioniert
Setzen Sie die Anbieter in Spalten und Ihre Anforderungen in Zeilen. Tragen Sie pro Zelle eine Tatsache mit Quelle ein, keinen Eindruck. Beispiel einiger Zeilen für die Bäckerei:
| Anforderung | Stufe | Anbieter A | Anbieter B | Anbieter C |
|---|---|---|---|---|
| Europäischer Eigentümer | muss | ja (Handelsregister) | nein (Mutterkonzern in den USA) | ja (Jahresbericht) |
| Daten und Backups im EWR | muss | ja (AVV Anlage 1) | ja | ja, Backup in CH (angemessen) |
| IMAP, CalDAV, CardDAV | muss | ja (getestet) | nur eigene App | ja (getestet) |
| Export aller Daten in Standardformaten | muss | ja (getestet) | teilweise | ja |
| Online-Office-Paket | soll | ja | ja | nein |
| Support auf Deutsch | soll | ja | nein | ja |
Anbieter B scheidet bei zwei Muss-Anforderungen aus, wie schön der Rest auch ist. Zwischen A und C entscheiden Sie anhand der Soll-Anforderungen.
In der Praxis: So sieht es bei einem Anbieter aus
Ein WebOké Nextcloud ist ein Beispiel für einen verwalteten Dienst auf Open-Source-Software: Sie können zwischen einer gemeinsam genutzten Umgebung und einem eigenen Server pro Paket wählen, und die Software ist dasselbe Nextcloud, das Sie auch bei anderen Anbietern oder im Eigenbetrieb nutzen können. Andere europäische Anbieter bieten vergleichbare Formen an: Komplettlösungen mit E-Mail, Speicher und Kalender (zum Beispiel mailbox.org, Infomaniak, Proton oder IONOS), einzelne E-Mail-Dienste (zum Beispiel Posteo oder Tuta) und Server zum Selbstbetreiben (zum Beispiel bei Hetzner, OVHcloud, Scaleway oder STACKIT). Dieser Kurs trifft die Entscheidung nicht für Sie: Nutzen Sie die Anforderungsliste.
Zusammenfassung
- Beginnen Sie mit Ihren eigenen Anforderungen, unterteilt in muss, soll und kann. Halten Sie die Muss-Liste kurz.
- Entscheiden Sie bewusst zwischen Komplettlösung, Einzeldiensten und Eigenbetrieb; Eigenbetrieb kostet dauerhaft Wissen und Zeit.
- Ein Gütesiegel sagt vor allem etwas innerhalb seines Geltungsbereichs aus und beantwortet nicht die Eigentümerfrage.
- Rechnen Sie Verfügbarkeit in Zeit um und lesen Sie, was nicht in der SLA steht.
- Testen Sie mit einer Testphase, einer echten Supportanfrage und einem Exporttest, bevor Sie unterschreiben.
Quiz
Aufgabe
Aufgabe E2.4: Ihre eigene Anforderungsliste und Vergleich. Erstellen Sie eine Anforderungsliste mit mindestens fünf Muss-Anforderungen und drei Soll-Anforderungen. Vergleichen Sie damit zwei oder drei Anbieter in einer Tabelle wie oben, mit einer Tatsache und einer Quelle pro Zelle. Erläutern Sie in drei Sätzen, welchen Anbieter Sie wählen würden und warum.
Aufgabe E2.4: Ihre eigene Anforderungsliste und Vergleich
Erstellen Sie eine Anforderungsliste und vergleichen Sie zwei oder drei Anbieter (Spalten: Anforderung, Stufe Muss/Soll/Kann, Anbieter 1, 2, 3).
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in diesen Artikeln gelten für die Dienste von WebOké; bei anderen Anbietern funktioniert es ähnlich.
- Nextcloud-Anleitung 1.4: Nextcloud Free, Personal, Family und Max: Unterschiede und Wechsel
- WebOké Anleitung 2.2: Ein Hostingpaket auswählen (Webhosting, E-Mail-Paket, Nextcloud, AI Builder)
- Nextcloud-Anleitung 6.6: Backups bei WebOké: was wir sichern und was Sie selbst tun können
- ISO/IEC 27001:2022, Information security management systems (iso.org, Norm 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html