Cloudmigration ist heute Chefsache. Es geht um Agilität, Compliance und Risiko-Resilienz — und darum, Entscheidungen nachvollziehbar zu machen. Studien zeigen: Die Cloud ist Standard, Investitionen steigen, und zugleich verschärfen Regulierung und Bedrohungslage die Anforderungen an Governance und Sicherheit.
Die Kernfrage lautet daher nicht „Welcher Anbieter?“, sondern „Wie treffen wir eine belastbare, auditierbare Entscheidung, die unabhängig vom Anbieterlogo ist?“
Mein Vorschlag: ein Entscheidungs-Kompass auf zwei Ebenen mit insgesamt 23 Kategorien:
- Die Essentials: Was muss in jedem Fall passen (Souveränität/Compliance, Sicherheit, Skalierbarkeit, Verfügbarkeit, Kosten-/Vertragsklarheit, Mandantenisolation)?
- Die Differenziatoren: Was schafft Wettbewerbsvorteile (Integrationsfähigkeit, Exit-Fähigkeit & offene Standards, Partnerökosystem & lokaler Support, Branchenfit, Nachhaltigkeit und Developer Experience)?
Dieser Kompass fasst Anforderungen aus den Bereichen Recht, Technik und Betrieb zusammen und hilft dabei, aus einem Bauchgefühl strukturierte Governance zu entwickeln.
Die Essentials – woran Entscheidungen scheitern oder gelingen
Der Kompass nennt zehn wesentliche Kategorien, die bei der Auswahl eines Cloud-Anbieters zu berücksichtigen und zu bewerten sind. Exemplarisch fünf davon:
- Datensouveränität & rechtliche Kontrolle. Datenlokation allein reicht nicht aus. Entscheidend ist, wer rechtlich Zugriff nehmen darf. Im europäischen Kontext zählen Datenschutz, Datenresidenz, betriebliche Autonomie und Schutz vor extraterritorialen Zugriffen (Debatte rund um den CLOUD Act). Souveränität ist gestaltbar — mit technischen und organisatorisch-rechtlichen Kontrollen, auch bei internationalen Providern.
- Compliance & Nachweise. Zertifizierungen (z. B. BSI C5, ISO/IEC 27001, SOC 1–3) und prüffähige Evidenzen sind die Basis für Audits, insbesondere in regulierten Branchen. Wichtig ist die Durchgängigkeit: Policy-as-Code, Audit-Trails und regelmäßige Reviews.
- Sicherheit & Betriebszuverlässigkeit. Von der Verschlüsselung „at rest/in transit“ über IAM bis hin zum DDoS-Schutz und SOC: Sicherheit ist kein Papierkriterium, sondern ein Betriebsprinzip. Verfügbarkeit und Resilienz (AZ-Design, DR-Pläne, SLAs) sind zwingende Voraussetzungen.
- Skalierbarkeit & Kostenklarheit. Elastische Ressourcen sind wertlos, wenn das Kostenmodell intransparent bleibt. Entscheidend ist die Vorhersehbarkeit: Was kosten Last, Datenverkehr und Support? Welche Vertragsklauseln greifen wann?
- Mandantenfähigkeit & Isolation. Eine strikte Isolation zwischen Tenants, saubere Identitäten, Verschlüsselung pro Mandant und keine gegenseitigen Beeinflussungen sind unerlässlich.
Die Differenziatoren – wo sich strategische Vorteile entscheiden
Der Kompass nennt 13 Differenziatoren, die bei der Auswahl eines passenden Cloud-Anbieters unterstützen. Exemplarisch fünf:
- Exit-Fähigkeit & offene Standards. Architekturprinzipien (z. B. hexagonale Architektur), IaC-Reproduzierbarkeit und offene Schnittstellen sichern Wahlfreiheit — heute und morgen. So bleibt ein Anbieterwechsel nicht nur theoretisch machbar.
- Integrationsfähigkeit & Hybridfähigkeit. Nahtlose Kopplung an AD/Entra ID, SAP, ITSM, Observability-Stacks (OpenTelemetry), Multi-Cloud-Optionen oder Edge-Konzepte — Integration spart Zeit, Kosten und Risiko.
- Partnerökosystem & lokaler Support. Souveränität entsteht in Projekten. Relevante DACH-Kompetenz, geprüfte Partner, deutschsprachiger 24/7-Support und klare Eskalationspfade sind echte Beschleuniger.
- Branchen-Fit & Zertifizierungs-Roadmaps. Sektor-Blueprints (z. B. BaFin, KRITIS, MDR) und geprüfte Referenzarchitekturen reduzieren Einführungsrisiken.
- Nachhaltigkeit & Transparenz. Messbare CO₂-Footprints, PUE-Werte und verifizierte ESG-Ziele zählen zunehmend zu den Vergabekriterien der öffentlichen Hand und sind ein Differenzierungsmerkmal in Ausschreibungen.
Anbieterlandschaft: Wahlfreiheit statt Lagerdenken
Die Optionen in Deutschland reichen von europäischen Clouds (z. B. IONOS, STACKIT, Open Telekom Cloud) bis hin zu internationalen Anbietern mit europäischen Souveränitätsmodellen. Ein Beispiel ist die AWS European Sovereign Cloud (ESC): EU-betriebene, rechtlich separierte Infrastruktur, EU-basierte Metadatenhaltung, unabhängige IAM-/Billing-Systeme. Für Entscheider heißt das: Souveränität ist auch mit Public-Cloud-Anbietern erreichbar, sofern Governance, Technik und Recht ineinandergreifen.
Praxis: So wird aus dem Kompass eine Strategie
- Essentials prüfen (Souveränität, Compliance, Sicherheit, Verfügbarkeit, Kostenklarheit, Isolation).
- Differenziatoren priorisieren (Integration, Exit-Fähigkeit, Partner, Branche, Nachhaltigkeit, DX).
- Gewichten und begründen (Management-Scorecard, Policy-as-Code, Evidenzen).
- Pilot-Workloads mit IaC und Guardrails sowie Gate-Entscheidungen (Security-/Data-Protection-Gate).
- Continuous Compliance im Betrieb (Audits, Reviews, Evidenzmanagement).
Souveränität ist kein Anbieter-Label, sondern eine Eigenschaft des eigenen Betriebsmodells.
Der nächste Schritt: interaktiv statt abstrakt
Wer den Kompass praktisch ausprobieren möchte: Unter anbieter.cloud steht ein KI-gestütztes Tool bereit. Man gibt Prioritäten vor (z. B. Souveränität vs. Innovation), das Tool bewertet anhand der oben skizzierten Essentials und Differenziatoren, erklärt die Gewichtung und liefert eine nachvollziehbare Empfehlung — inklusive Evidenzen.
Für mehr Tiefe gibt das begleitende Whitepaper „Souveräne Cloud-Strategien für Deutschland“ Hintergründe, Referenzen (u. a. Bitkom, BSI, ZEW) und praxisnahe Leitplanken — von der Strategie bis zum Betrieb, einschließlich der Detaillierung aller 23 Kategorien.
