Compliance in der Cloud

Ein großes Plus der Cloud ist deren Flexibilität. Diese Flexibilität wollen die Cloud-Provider selbstverständlich beibehalten - statt technische Barrieren einzubauen, um mögliche Lizenzverstöße zu unterbinden. Verstöße gegen die Compliance sind in der Cloud ebenso ein Problem wie in der lokalen Umgebung eines Unternehmens. Benutzer können ohne Weiteres auf Services zugreifen, die sie gar nicht abonniert haben. Es drohen Gebühren und Bußgelder. Und unbenutzte und untergenutzte Software-Lizenzen verursachen teils erhebliche Kosten.

Bei vielen Cloud-Anwendungen fällt es überraschend leicht, einen Verbrauch zu erreichen, den die Lizenzen nicht abdecken. Im Admin-Portal von Microsoft 365 etwa lassen sich problemlos mehr Abos und Services zuweisen, als man bezahlt hat. Es gibt keinerlei technische Einschränkungen oder Alarme, wenn man die Limits der verfügbaren Lizenzen überschreitet oder Services einsetzt, die gar nicht in den bestehenden Lizenzen enthalten sind.

Ein anderes Beispiel: Das automatische Tracking von Social Media in der Salesforce Marketing Cloud stoppt nicht automatisch, wenn man das von den Lizenzen abgedeckte Limit erreicht hat. Es läuft einfach weiter, sodass eine unerwartet erfolgreiche Marketingkampagne möglicherweise unerwartete Kosten nach sich zieht. 

Die Software-Hersteller haben sich ganz unterschiedliche und oft verwirrende Regeln ausgedacht, wie Lizenznehmer Software in der Cloud nutzen dürfen. IBM etwa stellt Processor Value Units (PVU) in Rechnung. Dabei gelten bestimmte Voraussetzungen und Einschränkungen, wenn die Software in einer virtuellen Maschine läuft. SAP fordert seine Kunden einmal im Jahr zur Auskunft über die genutzten Lizenzen auf. Das Ganze nennt sich Systemvermessung. SAP liefert entsprechende Werkzeuge wie License Administration Workbench (LAW) mit, die die benötigten Daten sammeln. Allerdings sind die Funktionen zur Konsolidierung von LAW sehr rudimentär. Das Tool bietet zudem keine Hilfe bei der Optimierung und zeigt keine Informationen zur tatsächlichen Nutzung an. All dies leistet Software Asset Management.

Unternehmen, die in die Cloud migrieren wollen, sollten zunächst den Status quo sämtlicher Software-Lizenzen ermitteln und ganz genau wissen, welche Software unternehmensweit im Einsatz ist. Manche Software-Lizenzen schränken die Nutzung in Bezug auf die geografische Lage ein. Dabei können Sicherheits- und Datenschutzbedenken eine Rolle spielen, da regionale Standards mitunter recht unterschiedlich sind.

Salesforce etwa bietet abgestufte Lizenzen für neue und aufstrebende Märkte an, die oft noch über eine unzureichende Infrastruktur verfügen. Salesforce will die wirtschaftliche Entwicklung in diesen Märkten voranbringen, um dort Fuß zu fassen. Unternehmen müssen folglich sicherstellen, dass sie die korrekten Abonnements für ihre geografischen Regionen verwenden und nicht die Lizenzmodelle für die aufstrebenden Märkte. Andernfalls riskieren sie hohe Bußgelder.

Bei dem ein oder anderen Anbieter können Anwender Services auch dann weiterhin nutzen, wenn sie gar kein gültiges Abonnement mehr haben. Dies liegt wiederum an den nicht vorhandenen technischen Barrieren.

Wenn man über 99 abgelaufene und ein aktives Microsoft-365-Abo verfügt, dann können 99 Benutzer weiterhin auf ihre abgelaufenen Abonnements zugreifen. Ohne dieses eine aktive Abonnement würde sich die Tür zu Microsoft 365 für alle verschließen. Aber es braucht nur einen kleinen Spalt, um hereinzukommen. Wenig überraschend erwartet Microsoft von den Unternehmen, dass sie für alle Benutzer bezahlen, die ihre Abonnements nutzen, obwohl sie bereits abgelaufen sind. In einer kleinen Umgebung ist das wahrscheinlich nicht besonders teuer. In einer Enterprise-Umgebung aber kann ein einziges aktives Abonnement Hunderten von Benutzern mit abgelaufenen Abonnements den Zugriff auf Microsoft 365 ermöglichen.

Ein SAM-Tool übernimmt in diesem Fall die Funktion eines Türstehers. Es erkennt Einsparpotenziale, die im Gewirr zunehmend komplexer Lizenzmetriken per Excel-Akrobatik kaum mehr auszumachen wären. Zudem lassen sich oftmals Cloud-Monitoring-Tools wie Amazon Cloud Watch oder Google Stack Driver über Schnittstellen anbinden.