In den letzten Postings haben sich wiederholt die Themen IT-Sicherheit und juristische Fallstricke in der Cloud, beim IT-Outsourcing und -Offshoring eingeschlichen. Passend hierzu eine Studie „Compliance im IT-Outsourcing. Theoretische und empirische Ermittlung von Eunfluss nehmenden Faktoren“ der Friedrich-Alexander-Universität Erlangen-Nürnberg, gemeinsam mit dem Beratungsunternehmen Accenture aus dem Jahr 2009. (In komprimierter Form auch als Artikel: „Compliance im IT-Outsourcing“  aus 2010).

In den Beiträgen werden detailliert Rechtsgrundlagen für mögliche Anforderungen angeführt, angefangen von Handelsrecht, Steuerrecht, den Grundlagen eines internen Kontrollsystems (AktG, SOX,…), Basel II bis hin zum Bundesdatenschutzgesetz. Ein wichtiger Rechtskomplex fehlt allerdings noch in der Auflistung: Das Thema Außenhandel.

Rechtsgrundlagen wären hier einmal auf EU-Ebene die Embargo-Verordnung und die Dual-Use-Verordnung, im deutschen Recht das Außenwirtschaftsgesetz (AWG), die Außenwirtschaftsverordnung (AWV) und das Kriegswaffenkontrollgesetz (KrWaffKontrG). Beim Bundesamt für Wirtschaft und Außenhandel (BAFA) genehmigungspflichtig ist die Ausfuhr von Produkten und Technoloigen, die entsprechend in der Ausfuhrkontrolliste erfasst sind. Und hier liegt der Hase im Pfeffer: Wenn also eine Stückliste, eine technische Zeichnung oder ähnliches in der Cloud liegt, stellt dies rechtlich  möglicherweise bereits einen Technologieexport dar und dies unabhängig davon, ob ein Zugriff darauf tatsächlich erfolgt oder nur möglich ist, denn das zugrundeliegende Recht soll ja bereits die Zugriffsmöglichkeit auf entsprechende Technologien in als kritisch angesehenen Ländern unterbinden. Mit der Dual-Use-Problematik (also der militärischen Einsatzbarkeit von Gütern und Technologien, die eigentlich für nicht militärische Zwecke gedacht waren) ergibt sich eine Relevanz dieser Anforderungen nicht nur für Waffenexporteure oder -hersteller, sondern für alle exportiernenden Unternehmen und exportierend bezieht sich hierbei nicht nur auf den eigentlichen Geschäftsvorgang, sondern möglicherweise auch schon auf die Datenhaltung, wenn also z.B. die Server für eine Inlandsfertigung aus dem Ausland administriert werden.

Bei der Vielzahl der Anforderungen ist das Thema aber noch nicht komplex genug: Zu berücksichtigen ist ja nicht nur die Rechtsgrundlage in Ursprungs- und Zielland, sondern aller beteiligter Länder (also z.B. wenn Teile oder Technologien aus einem Drittland stammen, wenn das Hosting der Daten in einem Drittland (oder der Cloud??) erfolgen, usw.. Eine Besonderheit stellt diesbezüglich US-Recht dar, das für sich einen gewissen extraterritorealen Rechtsanspruch erhebt.

Wer jetzt gedacht hat, wir würden in einer globalisierten Welt leben, der fragt sich, ob nicht die Realität in den Unternehmen und die Rechtslage weit auseinander klaffen. In den Diskussionen zur Cloud und zu IT-Outsourcing und -Offshoring lässt sich die Awareness für diese Themen noch weitgehend vermissen.

Während Thomas de Maiziere, der Bundesinnenminister, seine Kabinettskollegen vor dem Blackberry-Einsatz (aber auch vor dem iPhone) warnt (die Kritik läuft wie bei der BSI-Kritik an Google Waves darauf hinaus, dass die Daten bei einem externen Anbieter – nänlich RIM, dem Blackberry-Hersteller, gespeichert werden), ist das saudische Blackberry-Problem auf unkonventionelle Weise „gelöst“: Die Saudis bekommen jetzt eigene Server und dürfen mitlesen… Nachzulesen – nein, nicht bei RIM – sondern bei  Computerwoche  und Golem.

Man könnte unken, dass die aktuelle Blackberry-Thematik (siehe im IT-Reader oder hier) mit einem zu hohen Maß an IT-Sicherheit zu tun hat. Da ist es dem einen oder anderen Staat gar nicht Recht, von der Kommunikation, bzw. von der Mitverfolgung der Kommunikation ausgeschlossen zu sein. Es kann ja nicht jedes Land die entsprechenden Schlüssel besitzen…

• Nachdem hier schon öfter von Google Wave die Rede war, wollen wir auch über das Ende berichten – hier der Link zu heise online: Google Wave wird eingestellt
• Eine Accenture-Studie kommt zu dem Schluß, dass Cloud-Computing ein Vorreiter in Sachen IT-Sicherheit ist, denn die großen Anbieter hätten vergleichsweise hohe Sicherheitsstandards. Auf besondere juristische Fallstricke, die den Themen Cloud Computing/Offshoring /Outsourcing inne wohnen, geht der Artikel allerdings nicht ein.
• Das CIO-Magazin zitiert eine Rechenzentrums-Studie: Hochverfügbarkeitskonzepte und Disaster-Recovery-Pläne sind unzureichend vorhanden.
• Und noch einmal das CIO-Magazin: Mittelständler versuchen ihre Business Intelligence Projekte ohne Hilfe von außen umzusetzen.

Wir haben es imer schon gewusst: Datenschützer sind einsame Menschen!

Das meint zumindest meint Daniela Duda in der Computerwoche und als externe Datenschützerin muss sie es wissen: „Datenschutzbeaufragte sitzen in der Kantine alleine“.

In meinem Feedreader hängen geblieben bin ich an einem Beitrag von Torsten J. Koerting zum Thema Komplexität von (Prozess-)Projekten. Der Kollege hat einen generischen Ansatz entwickelt in dem er für bestimmte Ausprägungen in fünf vordefinierten Dimensionen konkrete Handlungsempfehlungen für Projekte gibt. Das Ganze ist sehr klug und inspirierend, aber hängen geblieben ist bei mir insbesondere das Zitat, in dem er diesen Ansatz als pragmatisch bezeichnet, den ich trotz seiner Vorzüge doch eher als theoretisch bezeichnen würde.

In den News des Projektmagazins findet sich der Hinweis auf eine „neue Projektmanagement Methode für IT-Großprojekte“. Eine ausführliche Beschreibung gibt es beim Bundesverwaltungsamt als pdf-Download.

Kennen Sie das Hey-Joe-Prinzip?
Im Editorial des aktuellen CIO-Magazins widmet sich Horst Ellermann dieser Vorgehensweise(?), dem Management auf Zuruf. Management auf Zuruf hat nichts zu tun mit Just-in-Time, denn gemacht wird nicht was gerade im Moment notwendig ist, sondern gemacht wird das, wonach im Moment am lautesten Geschrien wird. Das Hey-Joe-Prinzip gibt es nicht nur in der IT, aber durch den Servicecharakter der IT ist es hier noch weit verbreitet.
Auch in der Projektarbeit gibt es das Hey-Joe-Prinzip: Dann wird der Projektauftrag und das, was eigentlich im Augenblick ansteht, mal schnell vergessen und man verzettelt sich. Und das ist ganz schnell der Anfang vom Ende.

Das Verhältnis von Business und IT war z.B. hier oder hier  schon öfters thematisiert. Das CIO-Magazin berichtet aktuell über Verständnisprobleme zwischen diesen beiden Welten und zitiert mal wieder eine aktuelle Umfrage.

Das CIO-Magazin und natürlich auch schlossBlog berichteten schon im vergangenen Dezember über Peter Hinssen´s Thesen zur IT. Nun berichtet auch die Computerwoche.

Betrachtet man die Entwicklung vieler IT-Abteilungen kann man Peter Hinssen durchaus nachvollziehen, denn die IT(-Abteilungen) managen häufig nur noch sich selbst, die Fachabteilungen und die Dienstleister. Mitunter bilden sich Ketten von Managern an deren einem Ende das operative Business und am anderen Ende operative IT-Dienstleister hängt. Der Wasserkopf hat ein bedenkliches Ausmaß erreicht.