Was gilt es bei Data Centern zu beachten?

von Bartlomiej Kluska, ICT Consulting Director, Comarch

Pro Jahr fließen laut Studie des eco Verbands der Internetwirtschaft (https://www.eco.de/…) von 2018 allein in Deutschland über acht Milliarden Euro in Rechenzentren, sieben Milliarden werden in IT-Hardware und eine Milliarde Euro in Neubau und Modernisierung von Gebäuden investiert. Diese Investitionen verlagern sich jedoch mehr und mehr: Wurden Data Center früher selbst von Organisationen aus Wirtschaft, Wissenschaft betrieben, so hat sich in den letzten Jahrzehnten das Auslagern solcher Rechenzentren immer stärker durchgesetzt. Es kann sich dabei sowohl um Rechenzentrumsleistungen handeln als auch um Cloud-Dienste, die über gesichertes Internet zur Verfügung stehen.

Onshoring vs Nearshoring vs Offshoring

Die hohen Stromkosten und der Fachkräftemangel sind nur zwei der Gründe, warum Unternehmen auf externe Anbieter ausweichen statt Server und weitere Hardware-Kapazitäten in den eigenen Räumen zu betreiben. Allerdings treffen diese beiden Probleme auch die Anbieter. Während im europäischen Vergleich gerade Skandinavien mit niedrigen Stromkosten punktet, ist der Fachkräftemangel europaweit einer der Gründe, warum von einigen Experten ein stärkeres Gewicht des asiatischen Raumes prognostiziert wird. Je weiter die Anbieter geografisch entfernt sind, desto ferner sind sie mitunter auch in kultureller Hinsicht und gerade auch, was die rechtlichen Regelungen angeht. Der Vorteil von Offshoring sind die niedrigeren Kosten, die zumindest auf den ersten Blick ins Auge fallen. Allerdings können On- und Nearshoring beim Detailcheck oftmals mit Stärken punkten, die für den laufenden Betrieb essenziell sind. Zwar haben die Entwicklungen der letzten Jahre nicht erst seit der Corona-Pandemie zu einer schier unüberblickbaren Vielfalt an Dienstleistern für Rechenzentren geführt. Mit Blick auf die Umsetzung der DSGVO gilt es aber einiges zu beachten, zum Beispiel den Speicherort der Daten. Sind alle Prozesse DSGVO-konform, ist die eingesetzte Hardware technologisch hochwertig, liegen wichtige Prüfzertifikate vor? Gerade auch hinsichtlich des neuen Lieferkettengesetztes stellt sich die Frage: Erfüllt der Dienstleister wichtige Standards hinsichtlich Arbeits- und Umweltschutz? All dies ist bei einem geografisch nahen Unternehmen leichter zu überprüfen und kontrollieren. Unterliegen die Anbieter EU-Rechtsvorschriften, vielleicht sogar deutschen Recht oder sogar in derselben Stadt wenige Straßen weiter? All diese Faktoren werden die Kommunikation und die Prozesse deutlich erleichtern.

Schrems II und CLOUD Act – Sind die USA ein sicheres Drittland für Daten?

Technologisch sind die USA wohl derzeit die führende Nation der Welt, kommen doch viele digitale Dienste von Amazon über Google bis hin zu Microsofts Anwendungen aus den Vereinigten Staaten von Amerika. Milliarden nutzen diese Services ganz selbstverständlich im Alltag. In Sachen Daten und Datenschutz gibt es allerdings die größtmöglichen Unterschiede. So hat der Europäische Gerichtshof mit seiner Entscheidung „Schrems II“ klargestellt, dass personenbezogene Daten von EU-Bürgern nur an Drittländer mit im Wesentlichen gleichwertigem Datenschutz übermittelt werden dürfen. Auf die USA trifft dies laut Urteil nicht zu. „Für Datenübermittlungen in die USA, wenn nötig ggf. auch für Datenübermittlungen in weitere Drittländer, ist mit zusätzlichen Maßnahmen sicherzustellen, dass die personenbezogenen Daten auch im jeweiligen Drittland stets angemessen geschützt sind“, so der Bundesbeauftragte für den Datenschutz und die Informationssicherheit im Kommentar zur Entscheidung: https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Europa-Internationales/Auswirkungen-Schrems-II-Urteil.html. Mit Gesetzen wie USA PATRIOT Act und seit 2018 CLOUD Act (Clarifying Lawful Overseas Use of Data) gibt es weiteres Problempotential: Tochterfirmen von US-Unternehmen, welche ihre Niederlassungen in anderen Ländern haben, sind verpflichtet, den US-Behörden Zugriff auf ihre Server zu gewähren, auch wenn dies den Gesetzen in diesen Ländern widerspricht. Europäische Firmen geraten so schnell in die Zwickmühle, wenn US- und EU-Recht kollidieren.

Datenschutz und DSGVO-Konformität

Seit Einführung der DSGVO ist es für Kunden eines Data Centers essentiell, absolute Transparenz im Unternehmen herzustellen und auch mit den Cloud-Dienstleisters entsprechende Verträge zu unterzeichnen: Welche Daten sind an welchen Stellen gespeichert, wie lässt sich dies nachweisen und auf Wunsch die Datenlöschung umsetzen? Es gilt hier, personenbezogene Daten nur zweckgebunden verwalten und auf diese Daten nur denjenigen Personen Zugriff gestatten, die für die Durchführung des Zweckes verantwortlich sind – dieser Vorgabe widersprechen zum Beispiel die Bestimmungen des US CLOUD Acts. Ferner sind Änderungen von personenbezogenen Daten zu protokollieren und die Weitergabe von personenbezogenen Daten zu beschränken. Eine Weitergabe (z.B. Exporte aus dem CRM- oder ERP-System) von personenbezogenen Daten muss protokolliert werden. Auch nachweise und Löschungen müssen ermöglicht werden. Als personenbezogene Daten gelten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Davon sind alle Unternehmen im Rechtsraum der EU betroffen, selbst wenn sie weniger als 250 Mitarbeiter beschäftigen.

Onshoring ist die beliebteste Variante

35% beauftragen laut einer Umfrage unter 130 westeuropäischen Unternehmen einen Anbieter, der im gleichen Land tätig ist mit der Übernahme von IT Dienstleistungen (Quelle: https://www.comarch.de/service-und-support/whitepaper-und-webcasts/whitepaper-it-outsourcing/). Für Nearshoring mit Providern in Nachbarländern oder Offshoring mit weltweit tätigen Dienstleistern werden bei 18 Prozent der Befragten eingesetzt. 28 Prozent setzen auf eine Kombination der verschiedenen Modelle. Klarer Favorit bleibt jedoch die Verlagerung im eigenen Land.

Die Verteilung von Data Centern in Deutschland zeigt diese Karte, basierend auf den Informationen von http://www.rechenzentrum-datacenter.de/ und https://www.eco.de/presse/rechenzentren-erhoehen-regionale-wettbewerbsfaehigkeit/. Die höchste Dichte an Rechenzentren (sowohl hinsichtlich Fläche als auch Kapazität) gibt es in Frankfurt am Main. Über ein Viertel der deutschen Gesamtfläche lässt sich hier lokalisieren. Mit einem Hosting in Frankfurt und Umgebung sind sowohl Vor- als auch Nachteile verbunden. Positiv anzuführen sind die große Auswahl an Providern und der Zugriff auf Knotenpunkte von allen Providern. Auf der Negativliste schlagen vor allem die Georisiken zu Buche, etwa wenn es zu Stromausfällen in der Umgebung kommt. Ferner ist mir Leistungsabgrenzungen zu rechnen, z.B. für Stromkapazitäten, da sich so viele Rechenzentren an einem Ort sich befinden.

Georedundanz durch weit verteilte Data Center

Im Idealfall sollten mehrere, voneinander entfernte Standorte von Data Centern genutzt werden, um Georedundanz und eine deutlich erhöhe Ausfallsicherheit zu erreichen. Comarch verfügt zum Beispiel in Deutschland und Europa über mehrere Speicherorte für Daten, wie die Karte zeigt:

Wir empfehlen einen zuverlässigen und lokal in Deutschland ansässigen IT-Partner, der langfristig und ganzheitlich bei der Digitalisierung begleitet. Comarchs Data Center Services werden zum Beispiel aus einem Rechenzentrum im zentral in Deutschland gelegenen Dresden angeboten und kann bei Bedarf auf weitere Speicherorte innerhalb Deutschlands, der EU oder weltweit ausgedehnt werden. Die IT-Infrastruktur kann flexibel an die Bedürfnisse Ihres Unternehmens angepasst werden. Einen virtuellen Rundgang durch ein deutsches Data Center sehen Sie unter https://www.comarch.de/…