Cloud-Computing in Schweizer Unternehmen: Verbreitung und Nutzungsarten

Ausgangslage: Warum Schweizer KMU die Cloud überhaupt prüfen

Langsame, träge Systeme, teure Wartung, veraltete IT-Infrastruktur: nexplore beschreibt damit eine Ausgangslage, die viele Unternehmen teilen. Updates dauern lange, Server verursachen laufenden betrieblichen Aufwand. Daraus entsteht der Anlass, Cloud-Dienste zu prüfen.

Die Bundesplattform für KMU hält fest: Outsourcing in die Cloud ist für Unternehmen häufig günstiger als das interne Management der Daten. Ein Betrieb ohne die notwendigen IT-Ressourcen muss nicht in einen eigenen IT-Park investieren.

Cloud-Dienste bieten einen einfachen Zugang zu Dokumenten, was laut kmu.admin.ch besonders für zeitlich befristete Stellen nützlich ist. Speicherkapazität, Dauer der Mitgliedschaft und Zahl der Nutzer lassen sich dem Bedarf anpassen.

Der Bund ergänzt: Ein professioneller Dienstleister gewährleistet die Vertraulichkeit häufig besser. ncloud.swiss beschreibt sein Angebot in vier Leistungsbereichen: Cloud-Infrastruktur, Arbeitsplatz und Zusammenarbeit mit E-Mail und Ablage, Cyber Security sowie Betriebssicherheit.

Daraus ergibt sich für Schweizer Betriebe die Frage, welche Nutzungsart und welche Anwendungsfälle infrage kommen. Zur Wahl stehen Infrastruktur, Plattform oder fertige Software, dazu die Betriebsform Public, Private oder Hybrid Cloud.

Was Cloud-Computing im Unternehmenskontext bedeutet

Der Eidgenössische Datenschutzbeauftragte (EDÖB) definiert Cloud-Computing technisch als bedarfsorientierten Bezug von Anwendungen und Software, Speicherkapazitäten, Entwicklungstools, Netzwerkkapazitäten oder Rechenleistung über ein Netzwerk, zum Beispiel das Internet, von einer Cloud-Anbieterin.

Das Portal kmu.admin.ch formuliert es einfacher: Speicherung und Zugang zu Daten über das Internet statt über die Festplatte eines Computers. Die Datenwolke entspricht einer Remote-Infrastruktur aus Servern, Hardware, Netzwerken oder Rechenzentren, die ein Unternehmen mieten kann.

Für die breite Öffentlichkeit sind vor allem Google Drive, Dropbox, OneDrive und iCloud bekannt. Davon zu unterscheiden sind Cloud-Angebote für die Geschäftswelt; eine Reihe Schweizer Unternehmen bietet solche Dienste kleineren und mittleren Betrieben an.

Schweizer Anbieter decken dabei unterschiedliche Rollen ab: ncloud.swiss plant, betreibt und schützt die IT von KMU in Schweizer Rechenzentren, betreut von einem festen Team. Seit über 25 Jahren kommen Server und Speicher dazu, mit Referenzen von Gesundheitswesen und Industrie bis zur öffentlichen Hand. Für Private- und Public-Cloud-Umgebungen stehen Angebote von Swisscom und Microsoft Azure zur Verfügung.

Verbreitung: Wo Cloud-Dienste im Unternehmensalltag ankommen

Der EDÖB nennt als typische Einsatzfelder Office 365 und Tools für die Online-Zusammenarbeit zwischen Mitarbeitenden, Online-Verwaltungstools von E-Mail-Adressen für Newsletter oder Kundenberatung sowie ein Online-CRM-System. Auch das Hochladen von Videos auf Streaming-Plattformen und das Hochladen von Dateien auf einen über das Internet abrufbaren Server gehören dazu.

Die Bundesplattform für KMU hält fest, dass Cloud Computing bei Unternehmen immer mehr Anklang findet. Genutzt werden gehostete Anwendungen, Software für die gemeinsame Nutzung und die Zusammenarbeit an Projekten, bei der Informationen und Anwendungen geteilt werden. Die gespeicherten Datenmengen liegen auf externen, sicheren Servern.

Nach Nutzungsart verteilen sich die Dienste auf drei Modelle: SaaS für Standardsoftware, IaaS für gemietete Server, Speicher und Netzwerke, PaaS für eigene Anwendungen und neue Projekte. IaaS kommt zum Zug, wenn bestehende Anwendungen wie ERP, Telefonie oder Datenbanken unverändert weiterlaufen sollen; die Kontrolle über Betriebssystem und Software bleibt beim Betrieb.

Konkrete Nutzungsarten im KMU-Alltag sind E-Mail und Ablage, Office-Anwendungen, Online-CRM, Buchhaltung sowie Backup. Dazu kommen gemietete Server und Speicher für bestehende Anwendungen und Entwicklungs- und Testumgebungen für eigene Anwendungen.

Neben SaaS, IaaS und PaaS unterscheiden Anbieter die Betriebsform: Public Cloud, Private Cloud oder Hybrid Cloud. Für Public-Cloud-Umgebungen nennen Schweizer Anbieter Microsoft Azure und Swisscom.

Eine BFS-Erhebung zur Verbreitung von Informations- und Kommunikationstechnologien in der Schweizer Wirtschaft liefert die Basiswerte: PC, E-Mail und Internet nutzen über 90% der Schweizer Unternehmen. Intranet und Extranet sind deutlich weniger verbreitet. Die Umfrage wurde im Herbst 2002 von der Konjunkturforschungsstelle der ETH Zürich im Auftrag des Bundesamts für Statistik durchgeführt.

Internetgestützter E-Commerce dient Schweizer Unternehmen vor allem der Beschaffung von Waren: 44% aller Unternehmen nutzen ihn dafür, auf der Verkaufsseite sind es 16%. Bei einzelnen Technologien erreichen die Schweizer Unternehmen das Niveau der führenden skandinavischen Länder, beim E-Verkauf besteht Rückstand.

Im SaaS-Modell nennt nexplore Microsoft 365, ein CRM-System aus der Cloud sowie Standardlösungen für E-Mail, CRM und Buchhaltung. Abgerechnet wird meist im Abo-Modell.

Im KMU-Alltag stehen Standarddienste im Vordergrund: Microsoft 365 bündelt Office-Anwendungen und Kommunikationstools in einer integrierten Lösung. Dazu kommen Cloud-Speicher mit flexiblem Speicherplatz sowie vollständig verwaltete Cloud-Dienste inklusive Support und Wartung.

ncloud.swiss ordnet Backup, Wiederanlauf und Archivierung der Betriebssicherheit zu; Schutz, Prüfung und Sensibilisierung der Cyber Security. Das Angebot reicht vom einzelnen Dienst bis zur vollständig ausgelagerten Informatik.

Der Bund hält fest: Die Schweiz belegt Platz 2 der für Data Center attraktivsten Länder in Europa, nach den Niederlanden; 2021 zählte das Land laut CBRE 93 Data Center. Damit sind auch lokal erbrachte Cloud-Dienste für KMU verfügbar.

IaaS, PaaS oder SaaS: drei Modelle, drei Grade an Kontrolle

nexplore unterscheidet drei Modelle nach Grad an Kontrolle, Flexibilität und Standardisierung. Welches passt, ergibt sich aus dem Anforderungsprofil der eigenen Anwendungen, nicht aus dem Modell an sich.

Bei IaaS werden IT-Ressourcen wie Server, Speicher und Netzwerke gemietet, vergleichbar mit einem virtuellen Rechenzentrum, etwa virtuellen Maschinen bei Anbietern wie Microsoft Azure. Typisch ist der Einsatz, wenn bestehende Anwendungen wie ERP, Telefonie oder Datenbanken eins zu eins in die Cloud gebracht werden sollen («lift & shift») und volle Kontrolle über Betriebssystem und Software gebraucht wird.

Red Hat beschreibt IaaS als Pay-as-you-go-Service mit Infrastruktur wie Storage und Virtualisierung nach Bedarf. Die nutzende Seite bleibt für Betriebssystem, Daten, Anwendungen, Middleware und Runtimes verantwortlich; die Infrastruktur wird über eine API oder ein Dashboard gesteuert und lässt sich horizontal oder vertikal skalieren.

Für Entwicklungs- und Testumgebungen lässt sich IaaS schnell hoch- und wieder herunterfahren. Bezahlt wird nur die tatsächlich genutzte Infrastruktur; niedrige Betriebsausgaben und entfallende Wartungskosten machen das Modell günstig.

PaaS stellt eine Plattform für die Entwicklung eigener Anwendungen bereit, inklusive Betriebssystem, Middleware und Datenbank. Um Wartung und Updates muss sich der Betrieb nicht kümmern; das Modell eignet sich für neue Projekte, die Modernisierung eigener Anwendungen und Cloud-native Anwendungen.

SaaS bedeutet, fertige Software direkt über den Browser zu nutzen, ohne Installation oder Wartung, abgerechnet im Abo. Es ist die Wahl für Standardlösungen wie E-Mail, CRM oder Buchhaltung.

Für Schweizer KMU heisst das: SaaS für E-Mail, CRM und Buchhaltung, IaaS für ERP, Telefonie und Datenbanken, PaaS für eigene Anwendungen und Cloud-native Projekte. Angebote mit Rechenzentren in der Schweiz stehen für alle drei Modelle bereit.

Vergleich der Cloud-Service-Modelle: IaaS, PaaS und SaaS

Wo die Daten liegen: Betriebsformen, Rechenzentren und Datenschutz

Neben dem Servicemodell entscheidet die Betriebsform: Public, Private oder Hybrid Cloud. Die Private Cloud bietet laut convotis eine kontrollierte, dedizierte Infrastruktur, oft in einem lokalen oder nationalen Rechenzentrum, mit Speicherung und Verarbeitung in der Schweiz oder der EU.

Public Cloud, Private Cloud und Hybrid Cloud unterscheiden sich im Grad der Exklusivität. Die Public Cloud bietet kostengünstige, skalierbare Lösungen mit Microsoft Azure und Swisscom, die Private Cloud eine Umgebung mit exklusivem Zugriff, die Hybrid Cloud verbindet lokale Infrastruktur mit öffentlichen Cloud-Diensten.

Als Vorteile der Private Cloud nennt convotis Rechtssicherheit, volle Datenkontrolle und individuell anpassbare Sicherheitsvorgaben. Extraterritoriale Zugriffsrechte, wie sie der CLOUD Act für US-Anbieter vorsieht, entfallen damit.

Für viele Schweizer Unternehmen gilt neben dem DSG auch die DSGVO: Rund 20% der in der Schweiz verarbeiteten Personendaten stammen von EU-Bürgern. Wer Daten von EU-Bürgern bearbeitet, muss sich an die strengeren Vorgaben halten.

Der EDÖB nennt drei datenschutzrechtliche Aspekte, denen bei Cloud-Diensten besondere Aufmerksamkeit gilt: Einsatz von Auftragsbearbeitern und Unterauftragsbearbeitern, Sicherheit der Datenbearbeitung und Übermittlung von Personendaten in Drittländer.

Die Cloud-Anbieterin handelt in der Regel als Auftragsdatenbearbeiterin des Kunden im Sinne von Art. 9 DSG. Der Kunde kann Verantwortlicher oder selbst Auftragsbearbeiter sein. Als Verantwortlicher trägt er die Verantwortung dafür, dass die ausgelagerten Bearbeitungen datenschutzkonform erfolgen, und muss dies vertraglich absichern; eine Bekanntgabe ins Ausland ist vorher zu prüfen.

Der EDÖB empfiehlt eine sorgfältige Risikoanalyse. convotis weist darauf hin, dass US-Behörden gestützt auf den CLOUD Act auch dann auf Daten zugreifen können, wenn diese physisch in der EU oder in der Schweiz liegen – ohne Information der Betroffenen.

Der Europäische Gerichtshof hat mit dem Schrems-II-Urteil entschieden, dass die USA kein angemessenes Datenschutzniveau bieten. EU-Datenschützer untersagen deshalb die Nutzung bestimmter US-Dienste wie Mailchimp, wenn dabei Personendaten in den USA verarbeitet werden; in der Schweiz ist die Rechtslage noch nicht abschliessend geklärt.

Verschlüsselung wirkt nur begrenzt: Sobald Daten in der Cloud verarbeitet werden müssen, liegen sie entschlüsselt vor. Nur bei reiner Speicherung bleibt sie wirksam, was für viele Anwendungsfälle unpraktikabel ist.

kmu.admin.ch erinnert daran, dass die Cloud per Definition zum Teilen gedacht ist und die Speicherung eine Abhängigkeit vom Anbieter schafft. Es bleibt ratsam, die sensibelsten Daten intern zu speichern.

Vorteile und Risiken der Private Cloud im Schweizer Kontext

Auswahl und nächste Schritte: worauf Schweizer Betriebe achten sollten

Erst das Anforderungsprofil, dann das Modell: bestehende Anwendungen mit voller Kontrolle über Betriebssystem und Software sprechen für IaaS, eigene Entwicklungen für PaaS, Standardsoftware im Browser für SaaS.

Bei den Kosten lohnt der Blick auf das Abrechnungsmodell. SaaS wird meist im Abo abgerechnet, IaaS nach Verbrauch; ncloud.swiss nennt transparente Kostenmodelle und Datenhaltung in Schweizer Rechenzentren.

Bei ncloud.swiss umfasst der Bereich Betriebssicherheit Backup, Wiederanlauf und Archivierung; einen festen Ansprechpartner nennt der Anbieter als weiteres Merkmal. Wer Daten ins Ausland übermitteln lässt, muss die Auftragsbearbeitung und die Bekanntgabe ins Ausland vorgängig prüfen und vertraglich regeln.

Die entscheidende Prüffrage bleibt: Welche Daten gehören überhaupt in die Cloud, und welche bleiben besser intern? Die sensibelsten Bestände gehören nach Einschätzung von kmu.admin.ch nicht in einen geteilten Dienst.

Standardsoftware im Abo, gemietete Infrastruktur und Plattformdienste bleiben Mittel zum Zweck. Entscheidend ist, welche Anwendungsfälle ein Betrieb tatsächlich abdecken will und wo die Daten liegen sollen.