Was darf Datensicherheit kosten? 

Kennen Sie noch das Mooresche Gesetz? Es besagte lange Zeit, dass sich die Komplexität integrierter Schaltkreise regelmäßig verdoppelt. Ganz so schnell geht es heute nicht mehr – allerdings bekommt Moore Konkurrenz: Unternehmensdaten haben sich in den letzten 24 Monaten verdoppelt – und sie wachsen weiter. Vor allem in der Cloud.

Die Kombination aus wachsenden Datenbeständen und Cloud wird zur Gefahr für die Datensicherheit. Verschiedene Studien belegen: Mehr als 70 % aller Unternehmen hatten im vergangenen Jahr schon mit kritischen Datenverlusten oder regulatorische Herausforderungen zu kämpfen. Aber nicht alle handeln. Warum? Manchen fehlt Know-how, manche verdrängen das Risiko, andere kapitulieren im Kostendschungel. Daher stellen wir die Frage: Was darf Datensicherheit kosten – is there really no glory in prevention?

Der wertvollste Rohstoff des 21. Jahrhunderts

Daten sind der wertvollste Rohstoff des 21. Jahrhunderts – das haben Sie sicher schon einmal gehört. Und dennoch ist der Umgang mit Daten bestenfalls fröhlich pfeifend. Fragen Sie zehn Unternehmen nach ihren Daten-Backup-Strategien, werden Ihnen neun deren Nichtexistenz bestätigen. Fühlen Sie den Befragten fester auf den Zahn, wird Ihnen die Hälfte antworten, dass Daten gar nicht gesichert werden. Es ist dabei fast egal, wie es zum Datenverlust kommen kann: Ransomware, Admin-Fehler oder Anwenderfehler – eine umfassende und durchgängige Daten-Backup-Strategie ist kein Nice-to-Have mehr – es ist Pflichtaufgabe.

Fehlendes Know-how: „Ich dachte, Microsoft macht das.“

Backup ist ein komplexes Thema. Das Rechenzentrum ist nicht länger der Nabel unserer Daten – diese Rolle haben SaaS-Cloud-Dienste übernommen. Dabei ist die „Cloud“ eigentlich nur ein Marketing-Konstrukt. Ihre Daten liegen lediglich auf dem Server eines anderen, den Sie mieten und auf den Sie kostengünstig von überall zugreifen können – so wie eine Wolke, die immer über Ihnen schwebt.

Geht es um die Reise in die Cloud, suchen die meisten Unternehmen nach einer All-in-One-Lösung, die Daten-Sicherung und -Management gleichzeitig übernehmen kann. Mit M365 hat man vermeintlich eine solche Lösung gefunden. Daten aus Office-Anwendungen, Mail-Postfächern oder auch SharePoint-Daten werden nun nicht mehr im eigenen Rechenzentrum gespeichert und mittels des Datensicherungssystems gesichert, sondern werden in der Cloud gehalten. Damit stieg die Akzeptanz für SaaS-Modelle steil an. Microsoft ist sich der Wichtigkeit von Datensicherheit sehr wohl bewusst und beschreibt die geteilte Verantwortung auf seiner Website. Doch hier beginnt häufig das Missverständnis. Zwischen Microsoft und M365 einsetzenden Unternehmen besteht lediglich folgender Deal: Microsoft kümmert sich um die Infrastruktur und stellt die vereinbarte Dienstverfügbarkeit sicher. Für die regelmäßige Sicherung Ihrer Daten sind die Unternehmen selbst verantwortlich. Sie müssen sich also um eine zusätzliche Backup-Lösung kümmern.

Wunschdenken oder Realitätsverleugnung: „Uns betrifft das doch nicht“

Zusätzliche Lösungen kosten Geld. Und Kosten für solche zusätzliche Datensicherungsmaßnahmen stehen schnell im Fokus der Finanzabteilung. „Warum bezahlen wir dafür so viel Geld?“. Aus der Finance-Perspektive nachvollziehbar, denn für das Business bleibt die Leistung einer Backup-Lösung lange unsichtbar. There is no glory in prevention – finanzielle Mittel für Eventualitäten sind im Management nicht attraktiv. Man verdrängt Risiken und deren Gefahren so lange, bis man ihnen ausgesetzt ist.

Es existieren allerdings Wege, Sicherheit und Kosten im Sinne eines vernünftigen Risikomanagements in Einklang zu bringen. Eine davon ist, Backup-Lösungen „as-a-Service“ einzukaufen. Wichtig ist, dass diese Lösungen es ermöglichen, durch Elastizitäts- und Scale-Out-Funktionen der Cloud den Datenschutz und das Management von Unternehmens-Workloads zu zentralisieren. Eine solche Lösung ist idealerweise zu 100 % Cloud-nativ, damit keine zusätzliche Hard- oder Software nötig ist. Wenn sie auch noch automatisiertes Speicher-Tiering für kosteneffizienten Speicher bietet und eine globale Deduplizierung ermöglicht, kann die Nutzung der Bandbreite massiv reduziert und die Speicherkapazität entsprechend minimiert werden.

Die richtige Cloud-Backup as-a-Service-Lösung bietet ein verbrauchsbasiertes Modell ohne Transfergebühren bei der Wiederherstellung. Es wird nur der Speicherplatz berechnet, der nach Deduplizierung in der Cloud verbraucht wird, Cloud-to-Cloud Transferkosten sind inkludiert. Dennoch haben Sie regelmäßige Kosten – und auch hier wird der CFO irgendwann Fragen stellen. Welche Möglichkeiten gibt es heute also, die Kosten für solche Lösung abzuschätzen, zu steuern und auch noch verursachergerecht zuzuordnen, um dem Business jederzeit Rede und Antwort zu stehen?

Fehlende Kostentransparenz: „Wieso bezahlen wir dafür so viel Geld?“

Das erste Problem ist, dass die entstehenden Kosten für die Sicherung, Wiederherstellung und das Monitoring der Daten und der Assets unzureichend betrachtet wird. Erschwerend kommt hinzu, dass die Anbieter mit zum Teil undurchsichtigen oder extra komplexen Preisstrukturen nicht hinreichend miteinander anwendungsbezogen verglichen werden können. Um also wirklich sagen zu können, was Ihre Datensicherung kostet und kosten darf, brauchen Sie volle Transparenz über ihre IT-Assets, Services und Business-Prozesse. Insbesondere, wenn Prozesse übergreifend definiert sind und in hybriden Umgebungen laufen.

Was darf Datensicherheit kosten?

Sie können sich diesen Überblick mit clever verformelten Spreadsheets verschaffen. Oder IT Financial Management Tools nutzen. Beide Wege bedingen, dass Sie relevante Kennzahlen und KPIs für alle Assets verarbeiten können. Spreadsheet-Versuche enden meist in Excel-Spaghetti. Und anders als auf dem Teller, kann Ihnen da schnell der Appetit vergehen. IT Financial Management- und IT-Asset-Management-Tools können entscheidungsrelevante Daten aus unterschiedlichen Systemen zusammenführen. Dies reicht hin bis zur Provider-Steuerung. Die Daten der Assets werden strukturiert angeliefert, aufbereitet, visualisiert und bis zu Business Services logisch in der IT-Organisation verknüpft. Weitentwickelte Lösungen sind dabei in der Lage, bestehende Systeme wie CMDBs, ITSM-Tools, ERP-Systeme und Cloud-Umgebungen als Datenbasis zu nutzen und ebenso ergänzend zu beliefern.

So bringen Sie – auch ohne Data Scientist – Transparenz in die Daten. Sie identifizieren Anomalien und leiten deren Ursache ab und erkennen erfolgreiche bzw. gescheiterte Backups aller Systeme. Viele dieser Software-Lösungen lassen Sie auch in die Glaskugel schauen. Sie stellen valide Informationen über das Spektrum möglicher Kosten- und Ressourcen-Veränderungen bis zu drei Monate im Voraus zur Verfügung. Fehlentwicklungen können somit frühzeitig erkannt, korrigiert und Risiken minimiert werden. Diese Kostenprognosen bilden eine solide Basis für die Forecast- und Budgetplanung der IT und Business-Services.

Erst Transparenz lässt echte Kostenberechnungen zu 

Die Frage, was Datensicherung in der Cloud als SaaS tatsächlich kostet und kosten darf – und wie sich diese Kosten entwickeln werden – ist erst möglich, wenn Sie volle Transparenz hergestellt haben. Gleichzeitig müssen diese Kosten auf die IT-Services übertragen werden. Nur so kann den Business-Verantwortlichen transparent gemacht werden, wie auch ihr Verhalten Auswirkungen auf die IT-Kosten hat. Denn Leistung wird weiterhin der größte Kostentreiber bleiben. Im Ergebnis steht die richtige Technologie mit der optimalen Leistung bei gleichzeitiger Transparenz trotz erhöhter Komplexität.

Um eine konkrete Summe zu nennen: In jedem Jahr befragt Dell 1.000 IT-Führungskräfte in seinem Global Data Protection Index, wie hoch die Durchschnittskosten von Datenverlust sind. Heraus kamen 959.493 US-Dollar. Darin inbegriffen sind unwiederbringliche Daten, die Datenwiederherstellung und der damit verbundene geschäftskritische Ausfall einzelner Abteilungen. Verrechnen Sie diese Kosten einmal mit jenen, die Sie durch den Einsatz von IT Financial Management für Ihre Datensicherung tatsächlich identifiziert haben. Wir sind sicher, dass danach niemand mehr behaupten würde, there is no glory in prevention.

Michael Hensche, https://www.dextradata.com/