Wer dieser Tage in IT-Führungskreisen das Wort „Cloud Exit“ in den Mund nimmt, erntet oft eine von zwei Reaktionen: Entweder ein nervöses Schweigen oder ein ungläubiges Stirnrunzeln. Zu groß scheint der vermeintliche Widerspruch: Man hat jahrelang in Cloud-Transformation investiert, Microsoft 365 ausgerollt, Azure-Workloads migriert, Teams zur zentralen Kommunikationsplattform gemacht und jetzt soll man über den Ausstieg nachdenken?
Die gute Nachricht: Darüber nachzudenken heißt nicht, auch wirklich aus der Cloud auszusteigen, es heißt aber im Falle des Falles vorbereitet zu sein.
Genau darum geht es in dieser Blogserie. Nicht um Abkehr, nicht um Ideologie, sondern um Handlungsfähigkeit.
Keine Zeit zum Lesen?
Dann hören Sie sich den Beitrag einfach an. Unsere Hörversion vermittelt Ihnen die wichtigsten Inhalte kompakt und verständlich – ideal für unterwegs oder zwischendurch.
„Cloud Exit“ klingt dramatischer, als es sein muss. Im betrieblichen Kontext beschreibt der Begriff schlicht die Fähigkeit eines Unternehmens, einen Cloud-Dienst oder einen Cloud-Anbieter geordnet, kontrolliert und innerhalb eines vertretbaren Zeitrahmens wechseln oder ablösen zu können, falls es dazu kommt oder kommen muss.
Ein Microsoft Exit ist dabei die spezifischere Variante: die strukturierte Vorbereitung auf ein Szenario, in dem Microsoft-Dienste, ob M365, Azure, Teams oder Entra ID, ganz oder teilweise durch Alternativen ersetzt werden müssten.
Entscheidend ist die Unterscheidung zwischen zwei Konzepten, die häufig verwechselt werden:
Dieser Unterschied ist fundamental. Die meisten Unternehmen werden keine Exit-Entscheidung treffen oder treffen müssen. Im Normalfall ist das auch völlig richtig. Denn der Plattformansatz von Microsoft macht nach wie vor sehr viel Sinn: Integrationskohärenz, breite Funktionsabdeckung, durchgängiger Support, kontinuierliche Innovation und ein ausgereiftes Ökosystem aus Partnern und Diensten. Pragmatisch gesehen bietet die Microsoft Plattform schlicht viel mehr Vorteile als Nachteile.
Aber eine Exit-Readiness sollte jedes Unternehmen anstreben. Denn die Fähigkeit, handlungsfähig zu bleiben, ist keine Frage der Präferenz, sie ist zunehmend eine Frage der Compliance, der Risikosteuerung und der unternehmerischen Resilienz.
Cloud Exit war lange ein Nischenthema, diskutiert in CISO-Zirkeln, gelegentlich in Aufsichtsratssitzungen, aber selten mit echtem Handlungsdruck verbunden. Das hat sich geändert. Insbesondere die Entwicklungen der geopolitischen Lage sowie regulatorische Anforderungen haben das Thema in den Fokus gerückt.
Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) verpflichtet amerikanische Unternehmen, darunter Microsoft, Google und Amazon dazu, US-Behörden auf Anfrage Zugang zu gespeicherten Daten zu gewähren. Unabhängig davon, wo diese Daten physisch liegen. Egal ob in München, Frankfurt oder Amsterdam.
Microsoft hat mit der EU Data Boundary Initiative und lokalen Cloud-Angeboten reagiert. Dennoch bleibt eine rechtliche Grauzone, die insbesondere für Unternehmen mit sensiblen Daten wie z.B. Sozialdaten, Behördennähe oder internationalen Kunden relevant ist. Aktuelle geopolitische Situationen, eskalierende Handelskonflikte und die wachsende Fragmentierung des digitalen Raums haben das Bewusstsein für technologische Abhängigkeiten von außereuropäischen Anbietern spürbar geschärft.
Die Frage, ob europäische Unternehmen ihre digitale Infrastruktur auf Basis von US-Hyperscalern aufbauen sollten, ist keine akademische mehr, sie landet in Aufsichtsräten, in Vergabeverfahren und in Regulierungsdokumenten.
Spätestens mit dem Inkrafttreten des Digital Operational Resilience Act (DORA), der seit Januar 2025 verpflichtend für Finanzunternehmen in der EU ist, ist Cloud Exit kein Kann-Thema mehr. DORA verlangt explizit, dass Unternehmen Exit-Strategien für kritische IT-Dienstleister dokumentieren und nachweisen können. Concentration Risk, also die übermäßige Abhängigkeit von einem einzelnen Anbieter, muss aktiv gesteuert werden.
NIS2, die überarbeitete EU-Richtlinie zur Netzwerk- und Informationssicherheit, erweitert den Anwendungsbereich erheblich und stellt höhere Anforderungen an Lieferkettensicherheit und Ausfallresilienz. Auch hier spielen Cloud-Abhängigkeiten eine zentrale Rolle.
Und die DSGVO, schon lange in Kraft, aber in der Praxis der Cloud-Nutzung noch immer nicht vollständig umgesetzt, fordert Datenportabilität, Löschbarkeit und Nachweisbarkeit. Wer nicht erklären kann, wo seine Daten liegen und wie er sie zurückbekommt, hat ein Problem. Spätestens beim nächsten Audit.
Fazit
Unser Standpunkt als IT-Dienstleister und Microsoft Partner: Offenheit aus Überzeugung
Wir sind Microsoft-Partner. Wir schätzen die Plattform, wir kennen ihre Stärken und wir helfen unseren Kunden täglich dabei, das Beste aus Microsoft-Technologien herauszuholen.
Und genau deshalb reden wir offen über Risiken.
Denn ein guter Partner sagt nicht nur, was man hören möchte. Ein guter Partner hilft dabei, die richtigen Fragen zu stellen, auch die unbequemen. Dazu gehört: Was passiert, wenn sich die Rahmenbedingungen ändern? Was, wenn ein Regulator Nachweise fordert, die wir nicht erbringen können? Was, wenn, aus welchen Gründen auch immer, von heute auf Morgen ein Microsoft-Exit nötig ist?
Diese Fragen zu stellen ist keine Kritik an Microsoft. Es ist gutes Risikomanagement.
Wir sind für Sie da.
Bei welchem Projekt oder welcher Herausforderung dürfen wir Sie unterstützen?
Wir sind gerne für Sie da.
HEIKO WESSELS
Wollen Sie immer up2date sein? Dann melden Sie sich jetzt zu unserem Newsletter an
Bleiben Sie auf dem Laufenden. Wir informieren Sie regelmäßig über aktuelle Trends und technologische Neuerungen sowie geplante Webinare und Events. Sie erhalten Einblick in interessante Kundenprojekte und werfen einen Blick hinter die Kulissen. Melden Sie sich jetzt an.
