Warum so viele Betriebe „ohne Cloud" suchen
Der Reflex ist verständlich. „Cloud" wird im Gespräch oft mit „amerikanischer Konzern" gleichgesetzt, dazu kommen Schlagzeilen über Datenabflüsse und der schlichte Satz: Meine Daten gehören mir. Wer jahrzehntelang mit Stundenzetteln im Ordner gearbeitet hat, empfindet den Ordner als sicher — er liegt schließlich im eigenen Büro.
Nur misst dieser Reflex die falsche Größe. Ob Daten sicher sind, entscheidet nicht, in welchem Raum der Rechner steht, sondern wer ihn pflegt, wer die Sicherung prüft und wer im Schadensfall einsteht. Genau diese drei Aufgaben fallen bei „ohne Cloud" auf den Betrieb zurück — meist auf eine Person, die nebenbei auch noch Aufträge abwickelt.
Was der eigene Server tatsächlich mitbringt
Die Sicherung ist der wunde Punkt. Fast jeder Betrieb hat eine, kaum einer hat je versucht, sie zurückzuspielen. Eine Sicherung, die nie geprüft wurde, ist keine Sicherung, sondern eine Annahme — und das zeigt sich erst an dem Tag, an dem sie gebraucht wird.
Dazu kommt die Angriffsfläche. Verschlüsselungstrojaner suchen gezielt nach genau solchen Geräten: dem NAS im Büro, dem Rechner unter dem Schreibtisch, der Fernwartung, die vor zwei Jahren einmal eingerichtet und seitdem nicht mehr angefasst wurde. Wo niemand Aktualisierungen einspielt, bleiben bekannte Lücken jahrelang offen.
Und es gibt den ganz banalen Ausfall. Der Server stirbt Freitagabend; Montag früh erfasst niemand Zeiten, während die Kolonne schon auf der Baustelle steht. Feuer, Wasserschaden oder Einbruch treffen die Daten außerdem am selben Ort wie den Betrieb — dieselbe Adresse, dasselbe Ereignis.
Der Punkt, an dem es im Handwerk praktisch scheitert
Zeiterfassung im Handwerk passiert nicht im Büro, sondern auf der Baustelle, im Objekt, im Fahrzeug. Ein Server im eigenen Haus ist von dort schlicht nicht erreichbar — es sei denn, man öffnet ihn ins Internet, womit der vermeintliche Vorteil dahin ist, oder man richtet für jedes Gerät einen gesicherten Zugang (VPN) ein und pflegt ihn.
In der Praxis endet das häufig damit, dass Zeiten abends aus dem Gedächtnis nachgetragen werden. Damit ist das eigentliche Problem nicht gelöst, sondern verschoben: Nachträglich erfasste Zeiten sind schwer nachvollziehbar — und die Nachvollziehbarkeit ist genau der Grund, aus dem überhaupt aufgezeichnet wird.
Die Fragen, die wirklich zählen
Wo stehen die Server geografisch? Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO? Werden Daten in ein Drittland übermittelt — und wer ist die Muttergesellschaft des Anbieters? Ein US-Konzern mit Rechenzentrum in Frankfurt bleibt ein US-Konzern. Das ist kein Ausschlusskriterium, aber es gehört benannt und vertraglich abgesichert.
Dann die Fragen, die seltener gestellt werden und im Zweifel mehr wert sind: Komme ich jederzeit vollständig wieder heraus, mit allen Daten in einem lesbaren Format? Was geschieht bei einer Insolvenz des Anbieters? Und werden die Sicherungen tatsächlich getestet — oder existieren sie nur auf dem Papier?
Ein einfacher Prüfstein für jedes Verkaufsgespräch: Bitten Sie um die Liste der Unterauftragsverarbeiter. Wer sie nicht binnen Minuten vorlegen kann, hat sie nicht — dabei schreibt Art. 28 DSGVO vor, dass es sie geben muss.
Die Alternativen nebeneinander
Eigener Server im Betrieb: volle Kontrolle, volles Risiko. Sinnvoll, wenn jemand da ist, der Sicherungen prüft, Aktualisierungen einspielt und im Störfall erreichbar ist — und wenn mobile Erfassung keine Rolle spielt.
Betreuter Server beim örtlichen IT-Dienstleister: der verbreitete Mittelweg im Handwerk. Die Verantwortung liegt vertraglich bei jemandem, der es kann. Das kostet laufend, und es lohnt sich, im Vertrag nachzulesen, ob Sicherung und Wiederherstellung wirklich enthalten sind.
Software als Dienst mit europäischer Datenregion: kein eigener Betrieb, Sicherung und Aktualisierung gehören zum Dienst. Der Preis dafür ist Abhängigkeit — weshalb Exportmöglichkeit und Vertragslage vor der Entscheidung geprüft gehören, nicht danach.
Und schließlich der Fall, der die ursprüngliche Sorge tatsächlich verdient: ein Anbieter, der weder Datenregion noch Unterauftragsverarbeiter benennt. Nicht die Cloud ist das Problem, sondern die Undurchsichtigkeit.
Wie ShiftScan es hält: Die Anwendung läuft in der EU-Datenregion Frankfurt, ausgeliefert über einen Server in Deutschland. Die vollständige Liste der Unterauftragsverarbeiter steht öffentlich in der Auftragsverarbeitungsvereinbarung — einschließlich der Anbieter mit US-Muttergesellschaft und der jeweiligen Absicherung über das EU-US Data Privacy Framework beziehungsweise Standardvertragsklauseln. Wer einen Betrieb ganz ohne Anbieterabhängigkeit braucht, ist mit einer eigenen Installation besser bedient; im Handwerk ist das selten, aber es kommt vor.