Cloud Migration

Grundsätzlich ja, wenn die Konfiguration richtig aufgesetzt ist. Entscheidend sind Vertrags­variante (Enterprise mit AVV nach Art. 28 DSGVO), Konfiguration (EU Data Boundary für relevante Workloads, Tenant-Region, Telemetrie-Einstellungen), Rechtsgrundlage für die Verarbeitung personen­bezogener Daten und Drittland-Transfer-Rahmen (DPF-Zertifizierung von Microsoft). Microsoft 365 in einer EU-Data-Boundary-Konstellation mit den Standard-DPAs ist häufig der pragmatischste Weg im Microsoft-Ökosystem; die Restrisiken aus dem US-CLOUD-Act bleiben aber bestehen und sollten dokumentiert sein. Mehr Details auf unserer Microsoft 365 Beratungs-Seite.

Wenn Sie personen­bezogene Daten an einen aktiv DPF-zertifizierten US-Cloud-Anbieter übermitteln, gilt der Transfer als adäquat geschützt — Sie müssen keine Standardvertrags­klauseln (SCCs) mehr abschließen oder ein Transfer-Impact-Assessment durchführen. Voraussetzungen: aktive DPF-Listung des Anbieters, abgedeckte Datenkategorien (z. B. HR-Daten erfordern separate Listung), Kontrolle der Sub-Auftrags­verarbeiter. Das DPF wurde am 3. September 2025 vom EuG juristisch erstmalig bestätigt; eine NOYB-Klage in Schrems-III-Logik bleibt aber möglich. Wir empfehlen Risiko-Mitigation durch parallele SCCs und Datenresidenz, wo möglich.

Erheblich. Seit 12. September 2025 müssen Cloud-Verträge die Mindest­inhalte aus Art. 25 EU Data Act enthalten — zwei-monatige maximale Kündigungs­frist, Pflicht-Information zu Wechselentgelten, technische Wechsel-Unterstützung. Bis 12. Januar 2027 dürfen Anbieter nur noch die tatsächlichen Wechsel-Kosten berechnen, danach gar keine mehr. Für Bestands­verträge gelten Übergangs­fristen. In der Praxis heißt das: Wer in 2026 Cloud-Verträge verlängert oder neu abschließt, muss die Data-Act-Anforderungen sicher integrieren. Wir prüfen Vertrags-Konformität und begleiten Nachverhandlungen.

Kommt auf Datenklasse und Branche an. Für ausschließlich produktivitäts­getriebene Workloads ohne sensible Daten reicht häufig ein Hyperscaler-Setup mit EU-Datenresidenz. Bei besonders sensiblen Daten (Gesundheits­daten, Geschäfts­geheimnisse, regulatorisch sensible Daten im Finanzsektor) oder bei expliziter Anforderung an deutsche Jurisdiktion (BSI-C5-Testierung des Anbieters, kein US-CLOUD-Act-Zugriff) ist ein EU-souveräner Anbieter wie IONOS, OVHcloud, Plusserver oder T-Systems der bessere Pfad. Hybrid-Architekturen mit Workload-spezifischer Anbieter-Wahl sind im Mittelstand häufig der pragmatische Mittelweg — und werden laut Bitkom Cloud Report 2025 von 82 % der deutschen Unter­nehmen aktiv nachgefragt.

Beide haben ihre Berechtigung, je nach Workload. Hyperscaler (Microsoft, AWS, Google) bieten Funktions-Tiefe, KI-Integration, Skalierbar­keit und Ökosystem-Reife — schwer schlagbar bei produktivitäts­getriebenen Workloads. Europäische Anbieter (IONOS, OVHcloud, Plusserver, Hetzner, T-Systems) bieten Datenresidenz-Sicherheit, deutsche oder französische Jurisdiktion ohne CLOUD-Act-Risiko und häufig wirtschaftlichere Konditionen für klassische IaaS- und Storage-Workloads. Im Mandat bewerten wir Workload für Workload und vermeiden ideologische Pauschal­festlegungen — die Frage ist immer „welcher Anbieter für welchen Workload“, nicht „Hyperscaler oder Europa“.

Eng verzahnt. Laut Bitkom Cloud Report 2025 wären 62 % der Unter­nehmen ohne Cloud nicht mehr arbeitsfähig — Cloud ist damit kritische Infrastruktur und gehört in die Business-Impact-Analyse. Verfügbarkeits-SLAs, Recovery-Time-Objectives, Datenresidenz und Anbieter-Konzentrations-Risiken sind Pflicht-Themen jeder BCM-Aufstellung. Bei DORA-betroffenen Häusern sind ICT-Drittanbieter-Risiken besondere regulatorische Pflicht. Wir verzahnen Cloud-Strategie und BCMS, wenn beide Themen zusammen gemeint sind, und vermeiden Doppel-Welten in der Doku. Mehr zur BCM-Beratung.

Die Listenpreise der Anbieter sind transparent, die Real-Kosten unter­schätzen Mandanten häufig. Die wesentlichen versteckten Kosten: Egress-Gebühren für ausgehenden Datenverkehr, Premium-Support-Verträge, Lizenz-Eskalation bei Funktions-Erweiterung, FinOps-Aufwand zur Kosten-Kontrolle, Schulungs-Aufwand der IT- und Fach­bereiche, Compliance-Aufwand für Doku und Audits, Exit-Kosten bei Vendor-Lock-in. Eine seriöse TCO-Berechnung über fünf bis sieben Jahre integriert all diese Posten — und kommt häufig zu deutlich anderen Ergebnissen als die initiale Cloud-vs.-On-Prem-Rechnung.

Auf drei Ebenen. Erstens, Architektur — bevorzugte Nutzung anbieter­neutraler Standards (offene Container-Formate, S3-kompatible Storage-APIs, OpenSearch statt proprietärer Suchen), wo es wirtschaftlich vertretbar ist. Zweitens, Vertrag — explizite Exit-Klauseln, dokumentierte Datenmigrations-Konzepte, Reversibilitäts-Tests. Drittens, organisatorisch — interne Kompetenz erhalten, Multi-Cloud-Erfahrung im Team, jährliche Exit-Übung im Krisenstab-Rahmen. Mit dem EU Data Act ist der vertragliche Lock-in seit September 2025 stark eingeschränkt; technischer Lock-in bleibt aber bestehen und braucht aktive Architektur-Entscheidungen.

Der Finanzsektor hat die strengsten Cloud-Anforderungen. BAIT (Banken) und VAIT (Versicherer) verlangen ein Auslagerungs-Konzept mit Risiko­bewertung, Dienstleister-Steuerung und Exit-Strategie. DORA (Digital Operational Resilience Act, gilt seit 17. Januar 2025) ergänzt um Operational-Resilience-Anforderungen, ICT-Drittanbieter-Register, Threat-led Penetration Testing für signifikante Häuser und Aufsichts-Befugnisse für die EU-Aufsicht über kritische ICT-Dienstleister. Cloud-Mandate im Finanzsektor benötigen entsprechend tiefe Compliance-Begleitung — das ist ein eigener Beratungs-Strang, den wir bei betroffenen Mandanten gezielt aufstellen.

Realistisch sind drei bis fünf Monate vom Status-Check bis zur verabschiedeten Strategie, abhängig von Reifegrad, Anzahl der Workloads und regulatorischer Tiefe. Mandate werden als phasen­bezogener Festpreis ausgewiesen, ergänzt durch Tagessatz-Kontingente für laufende Begleitung. Ein kompaktes Strategie-Mandat mit Status-Check, Workload-Bewertung, Anbieter-Empfehlung und Roadmap für ein klar abgegrenztes mittel­ständisches Unter­nehmen liegt typischerweise im niedrigen bis mittleren fünf­stelligen Bereich. Eine breitere Beratung mit DORA-Tiefe oder Konzern-Strukturen entsprechend höher. Im Erst­gespräch erhalten Sie eine konkrete Aufwands­schätzung mit transparent ausgewiesenen Phasen.