Wir gehen in die Wolken – SYNAXON stellt auf Google Enterprise um


Wir nutzen seit über 15 Jahren Lotus Notes. Dabei ging die die Anwendung deutlich über die bloße Nutzung von Mail, Kalender, Aufgaben und Adressen hinaus. Viele unserer Geschäftsprozesse und unser Wissensmanagement waren und sind in Lotus Notes abgebildet. Bis ca. 2004 gehörten auch die Kernprozesse, wie Einkaufsdatenbank und Warenbestellwesen dazu. Dieses System konnte mal also getrost als das Rückrat der SYNAXON bezeichnen. Wir haben Notes auch zu Zwecken genutzt, zu denen es eigentlich nicht entwickelt wurde. So ist der Einsatz als Einkaufsdatenbank für unsere Partner spätestens in 2003 als Sackgasse erkannt worden.

Nach und nach wurden wichtige Funktionen aus der Notes Welt herausgelöst. Als erstes kam 2004 mit EGIS die Herauslösung der Einkaufsplattform. Man kann aus heutiger Sicht sagen, dass dies eine der wichtigsten und besten Entscheidungen der SYNAXON war. EGIS dürfte heute die leistungsfähigste IT-Geschäftsplattform sein. Gestartet wurde mit einem Preisinformationssystem, in dem für die wichtigsten Lieferanten Preise und Verfügbarkeiten angezeigt wurden. Später kamen dann wichtige Funktionen, wie elektronische Bestellungen, Warenkorboptimierung, Logistik, Rückwärtsauktionen u.v.m. hinzu.

2006 war dann mit der Einführung unserer Wikis als Wissensmangementportal, Intranet und Prozesswerkzeug der nächste große Schritt von Lotus Notes weg.

Lotus Notes hat sich aus unserer Sicht in den letzten Jahren nicht gut entwickelt. Die Arbeit damit wurde immer unzumutbarer. Selbst einfache Funktionen, wie Mails oder Kalender waren gerade im mobilen Einsatz von der Geschwindigkeit und der Nutzerführung völlig inaktzeptabel. Wenn man einen Kalender eines Kollegen öffnen wollte, dauerte dies bis zu 5 Minuten und man konnte in der Zwischenzeit nichts anderes mehr machen. Die Nutzung von Blackberrys, iPhones und Android Handys waren eingeschränkt bis gar nicht möglich. Man kann andere Clients, wie Outlook, Thunderbird oder Apple Mail nicht wirklich angemessen nutzen. Die Darstellung von HTML Mails ist katastrophal. Die Notes Clients für andere Betriebssysteme als Windows wie Mac OS oder  Ubuntu sind instabil und noch langsamer. Außerdem finde ich Notes in Anbetracht der mittlerweile verfügbaren Alternativen schlicht zu teuer.

Wir haben uns deswegen intensiv mit möglichen Alternativen auseinander gesetzt und sind dann auf Google Enterprise Apps gestoßen. Das ist eine sogenannte Cloud-Computing Lösung bei der wir die Software und auch die Daten nicht mehr auf unseren eigenen Servern betreiben, sondern diese bei einem externen Anbieter über das Internet angeboten werden. Es gibt eine Menge Vorbehalte gegen Cloud Computing, gerade im deutschen Mittelstand. Hier wird immer wieder angeführt, dass man auf keinen Fall vertrauliche Daten aueßrhalb des Unternehmens speichern sollte. Wie man allerdings zu dem Schluss kommt, dass die Daten im eigenen Unternehmen sicherer sein sollen, als bei professionellen IT-Anbietern, war mir immer schon ein Rätsel. Wenn man sich den Zustand so mancher IT-Abteilung ansieht, können da schon Zweifel kommen. Hinzu kommt, dass bislang kein einziger Fall bekannt wurde, dass Google Enterprise Konten gehackt wurden, wobei es nicht schwer fällt, Beispiele für gehackte Firmenrechner zu finden.

Die Verträge für Google Enterprise sind in den Punkten Datensicherheit und Verfügbarkeit erfreulich eindeutig und passen auf unserer Anforderungen, die aufgrund unserer Börsennotiz nicht gerade trivial sind. Google stellt u.a. APIs zur Verfügung, die eine zusätzliche eigene Datensicherung und auch eine Beendigung der Nutzung mit Datenübernahme ermöglichen.

Der Service kostet 40 Euro/Nutzer/Jahr und in diesem Preis sind die Funktionen: Mail, Kalender, Adressen, Sites, Video, Text&Tabellen und Groups enthalten.

Ich bin seit 2 Tagen auf Google Apps aufgeschaltet und nutze es seitdem anstatt Notes. Bislang sind die Erfahrungen sehr erfreulich. Meine Altdaten wurden rübermigriert, so dass ich auf alle Adressen, Mails, Kalendereinträge und Aufgaben zugreifen kann. Es läuft schnell, stabil und vor allem die Kalenderfunktionen sind um Klassen besser als bei Notes.

Ich habe es bislang in der Browservariante, auf dem iPhone, auf meinem PC mit Thunderbird (inkl. Adresssyncro und Kalender) und auf meinem MacBook Air mit Apple Mail, iCal und dem Adressbuch getestet.

Alles funktioniert reibungslos. Es ist völlig gleichgültig, von welcher Plattform ich arbeite, wenn ich auf eine andere wechsel, sind in Echtzeit die Änderungen bei den Mails und Kalendern richtig vorgenommen und nach starten der Synchronisation sind auch die Adressen aktuell. Man ist nun plattformunabhängig und kann mit seinem Lieblingsclient arbeiten. Ich habe bei Thunderbird für die Kalenderfunktion Lightning und für die Adresssync Zindus im Einsatz.

In den nächsten Tagen werden nach und nach alle Kollegen auf Google Apps umgestellt und ich bin gespannt darauf, ob meine Begeisterung von ihnen geteilt wird. Es müssen vorläufig noch einige wenige Funktionen auf Notes bleiben, aber das wird auch in den nächsten Monaten Geschichte sein.

Ich werde hier in einigen Monaten mal berichten, wie es weitergegangen ist.

Rainer Nowak, 22. März 2010 um 10:22

Werden die Daten in der EU oder in den Staaten gehostet? Die Problematik wird gerade durch alle möglichen Instanzen hinweg abgehandelt und als extrem heißes Eisen bewertet. Man muss sicher gehen, dass personenbezogene Daten (unsere Mitgliederdaten) nicht über EU-Grenzen hinaus gespeichert werden. Ich empfehle dazu den Artikel Anwälte warnen: „Cloud Computing mit Datenschutz unvereinbar“. Eine Stellungnahme dazu Seitens des Konzerns wäre hilfreich.

Frank Roebers, 22. März 2010 um 14:13

Hallo Herr Nowak, vielen Dank für den Hinweis. Ich hatte den Artikel bereits gelesen und auf unsere Nutzung von Google als nicht anwendbar bewertet. Wir speichern keine Mitgliederdaten in Form von Datenbanken bei Google. Ich werde das aber noch mal prüfen und mich hier melden. Das kann aber ein paar Tage dauern.

Frank Roebers, 28. März 2010 um 09:41

Hallo Herr Nowak, es hat ein bisschen gedauert. Hier ist die Antwort auf Ihren Kommentar:

In letzter Konsequenz müssen wir als Unternehmen sicherstellen, dass wir u.a. im Umgang mit Ihren Daten die datenschutzrechtlichen Anforderungen erfüllen. Das ändert sich auch nicht durch die Nutzung von externen Diensten wie Google Apps. Dabei haben wir bei der Auswahl von Dienstleistern zu prüfen, ob sie den geltenden Anforderungen genügen.

„Google Apps ist SAS 70 Type II zertifiziert. Die SAS 70 Typ II-Zertifizierung umschließt alle Messaging- und Kollaborations-Services wie auch Message Security. Dies beinhaltet Google Mail, Google Talk, Google Kalender, Google Text und Tabellen (Texte, Tabellen und Präsentationen), Google Sites, iGoogle und das Control Panel.

Ein separates SAS 70-Zertifikat besteht für Google Message Security, Google Web Security, Google Message Discovery und Google Message Filtering.

Der unabhängige Auditor hat bestätigt, dass Google Apps in folgenden
Aspekten die Sicherheitsstandards ohne Ausnahmen erfüllt:
· Logische Sicherheit
· Datenschutzmaßnahmen
· Physische Sicherheit für Datenzentren
· Verwaltung von Vorfällen und Verfügbarkeit
· Entwicklungsmanagement
· Organisation und Verwaltung“

Das ist mehr als wir als kleines Unternehmen leisten können. Insoweit verbessert sich die Datensicherheit durch die Nutzung von Google.

Bleibt die Frage zu Datentransfers über die EU-Landesgrenzen hinweg. Eine Speicherung von personenbezogenen Daten in so genannten Drittstaaten, welche sich außerhalb der EU befinden, ist nämlich
nicht ohne Weiteres zulässig.

Eine rechtmäßige Übermittlung der Daten setzt die Gewährleistung eines
angemessenen Schutzniveaus im Drittland voraus, § 4b Abs. 2 und 3 BDSG. Die Entscheidung darüber, ob ein Drittstaat ein angemessenes Datenschutzniveau erfüllt, liegt bei der EU-Kommission. Danach verfügen z. B. die USA derzeit nicht über ein hinreichendes Schutzniveau. Eine Datenübermittlung in die USA ist aber möglich im Rahmen der sogenannten „Safe Harbour“-Regelungen.

Das setzt voraus, dass sich der Datenempfänger in den USA gegenüber der zuständigen US-Behörde zur Einhaltung bestimmter Datenschutzprinzipien verpflichtet hat.

Dazu Google:

„Ich befinde mich außerhalb der USA und muss mich an die
Datenschutzrichtlinien der Europäischen Kommission halten. Kann ich die
Google-Services bedenkenlos verwenden?

Ja, Google nimmt am Safe-Harbor-Programm der EU teil. Das
Safe-Harbor-Programm, das von der EU im Jahr 2000 genehmigt wurde, stellt ein wichtiges Instrument für US-Unternehmen dar, Unterbrechungen ihres Handels mit der EU oder die strafrechtliche Verfolgung von Behörden auf europäischer Ebene unter den europäischen Datenschutzbestimmungen zu vermeiden. Durch die Zertifizierung des Safe-Harbor-Programms gewährleistet Google gegenüber den europäischen Organisationen, dass das Unternehmen adäquaten Datenschutz gemäß den Richtlinien bietet.“

Im Übrigen erklärt Google zum Ort der Datenspeicherung:

„Die Standorte der Rechenzentren von Google sind nur intern bekannt und die Gebäude selbst werden zur Sicherheit diskret gehalten. Der Zugang zu den Rechenzentren ist nur auf bestimmte Google-Mitarbeiter beschränkt. Es gibt keine Garantie dafür, in welchem Rechenzentrum Daten aufgenommen werden. So kann Google die Sicherheit und Skalierbarkeit optimal gewährleisten sowie Nutzungsspitzen kontern und Redundanz vermeiden.“

„Ihre Daten werden mithilfe der weltweit vorhandenen und hoch entwickelten Rechenzentren von Google gespeichert.“

Wir haben uns auch die weiteren sehr ausführlichen Angaben von Google zu dem Thema Datensicherheit angesehen, die hier veröffentlicht sind: http://www.google.com/apps/intl/de/trust/security.html

Ich finde Google im Vergleich zu den meisten anderen Anbietern und vor allem im Hinblick auf unsere eigenen Möglichkeiten zur Gewährleistung von Datensicherheit vorbildlich.

Rainer Nowak, 28. März 2010 um 18:40

Hallo Herr Röbers,

vielen Dank für das ausführliche Statement. Es zeigt mir, dass sich Synaxon Gedanken über das Thema macht und das man den Ratschlägen der Advokaten zunächst gelassen entgegen tritt. Bisher gab es ja auch noch keine wegweisenden Urteile diesbezüglich, so dass auch noch keine klaren gesetzlichen Regeln dazu aufgestellt wurden. Ich verfolge das Thema SaaS und damit verbundene rechtliche Bedenken nur am Rande. Ich biete im (ganz) kleinen Segment eigene SaaS Dienste an, doch da stellt sich die Problematik zum Glück nicht. Die Server stehen in Deutschland, teilweise bei mir im Hause. Anders ist es allerdings bei global Playern wie google. Man liest in einschlägigen Publikationen, dass es recht viele Kritiker gibt. Viele befürchten sogar, dass im Falle eines erneuten Terroranschlages die US-Terrorabwehr den Datenschutz weiter aufweichen könnte und dann alle Daten auf RZ-Servern in den USA und amerikanischer Unternehmen regelmäßig von staatlichen Behörden durchsucht werden könnten. Offensichtlich gibt es bei google viele global verteilte Rechenzentren, was durchaus ein Gefahrenpotenzial für die dort gespeicherten Daten bietet, da google Rechenzentren eben auch in Staaten außerhalb der USA betreibt, bei denen die Safe-Harbor-Abkommen wiederum nicht automatisch gelten. Man stelle sich vor, aus Kostengründen oder Gründen der Lastverteilung lägen fragliche Daten auf Servern in China o.ä.. Mehr muss man dazu schon fast nicht sagen. Google sagt es ja selbst. Man garantiert nicht dafür, in welchem Rechenzentrum Daten verarbeitet werden, oder gespeichert werden. Das sehe ich gerade in Bezug auf die Safe-Harbor-Regeln als Problem. Wenn google garantieren würde, dass die Daten in den USA gespeichert und verarbeitet werden, wäre es wiederum ok. Ich kenne die AGB von den google Enterprise Services nicht im Detail. Darüber hinaus kann man nur hoffen, dass der Passus der „anonymisierten“ Datennutzung nicht implementiert ist. Diesen hat man bei den kostenlosen Diensten als „böse Überraschung“ im Gepäck. Die Erkenntnisse aus diesen verwendeten Daten werden unwiderruflich gespeichert und können dann für die Weiterverarbeitung verwendet werden. Nicht umsonst hat google den uncharmanten Spitznamen ‚Datenkralle‘. Selbst der Datenschutzbeauftragte der BRD warnt davor, dass einige private Unternehmen mehr Nutzerbezogene Daten sammeln, als der Staat. Als deutsches Unternehmer hätte ich es schon gern gesehen, wenn die Datenverarbeitung „unserer“ Konzernzentrale nicht auf der ganzen Welt verstreut erfolgen würde. Hätte es denn europäische oder gar deutsche Alternativen gegeben?

Mit freundlichen Grüßen.
Rainer Nowak

Rainer Nowak, 29. November 2011 um 12:59

Nachtrag:
Interessanter Beitrag im gleichen Zusammenhang: http://www.it-business.de/index.cfm?pid=2390&pk=340432&nl=1&cmp=newsletter_it-business%20today_29-11-2011

Schreiben Sie einen Kommentar

Ihre E-Mail Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert