Definition

Cloud-Exit-Fähigkeit bezeichnet den Zustand, in dem eine Organisation nicht nur eine Exit-Strategie auf Papier besitzt, sondern nachweisen kann, dass ein kontrollierter Anbieterwechsel technisch möglich, organisatorisch vorbereitet und operativ erprobt ist.

„Die Strategie setzt den Rahmen. Die Fähigkeit beweist, dass er trägt.“

Fähigkeit ist der Schritt von der Planung zur geprüften Realität. Aufsichtsbehörden, interne Revision und externe Prüfer verlangen diesen Nachweis, Dokumente allein reichen nicht.

Merkmale nachgewiesener Exit-Fähigkeit

• Daten und Konfigurationen sind exportierbar und in Zielsystemen nutzbar
• Identitäts- und Zugriffsdienste sind nicht ausschließlich anbietergebunden
• Mindestens eine Zielarchitektur-Option ist operativ vorbereitet
• Exit-Szenarien wurden in Tabletop-Übungen oder technischen Tests erprobt
• Governance, Rollen und Entscheidungsverantwortung sind definiert und bekannt

Funktionsweise

Exit-Fähigkeit wird durch ein strukturiertes Programm aufgebaut und laufend gepflegt:

• Portabilitätsprüfung: Können Daten, Konfigurationen und Workflows tatsächlich exportiert werden?
• Zielarchitektur-Vorbereitung: Ist mindestens eine Alternative technisch evaluiert und vorbereitet?
• Identitätsunabhängigkeit: Existieren Identitätsdienste, die nicht vollständig am Anbieter hängen?
• Exit Drills: Werden Ausstiegsszenarien regelmäßig getestet – analog zu DR-Tests?
• Dokumentation: Sind Testergebnisse audit-fähig dokumentiert?
• Governance-Aktivierung: Wissen die richtigen Personen, was im Ernstfall zu tun ist?

Exit-Fähigkeit ist kein einmaliger Zustand, sondern eine laufend zu pflegende operative Kapazität.

Einsatzbereiche

Exit-Fähigkeit ist relevant überall dort, wo:

• Cloud-Dienste kritische Geschäftsprozesse tragen
• Aufsichts- oder Prüfungsanforderungen den Nachweis von Resilienz verlangen
• Vertragsverhandlungen mit Cloud-Anbietern stattfinden (Hebel durch nachgewiesene Alternative)
• Konzentrationsrisiken gegenüber einzelnen Anbietern reduziert werden sollen

Digitale Souveränität operativ belegt werden muss

Unterschiede zu ähnlichen Konzepten

• Cloud-Exit-Strategie: Die Strategie ist der dokumentierte Plan. Exit-Fähigkeit ist der Nachweis, dass der Plan trägt. Ohne Fähigkeit bleibt die Strategie ein nicht geprüftes Dokument.
• Disaster Recovery: DR stellt den Betrieb nach einem Systemausfall beim selben Anbieter wieder her. Exit-Fähigkeit adressiert den kontrollierten Wechsel des Anbieters selbst.
• Portabilität: Technische Portabilität ist eine notwendige, aber nicht hinreichende Bedingung für Exit-Fähigkeit. Fähigkeit umfasst zusätzlich Governance, getestete Abläufe und dokumentierte Nachweise.

Vorteile und Nachteile

Verwandte Begriffe

• Cloud-Exit-Strategie
• Operative Resilienz
• Digitale Souveränität
• Vendor Lock-in
• Workload-Portabilität
• Datenportabilität
• Exit Drill
• DORA

Quellen

• DORA – Art. 28 – Anforderungen an Exit-Pläne für IKT-Drittdienstleister https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022R2554
• BSI – Leitfaden Cloud-Computing https://www.bsi.bund.de
• ISO/IEC 19944 – Cloud data portability https://www.iso.org/standard/79573.html
• ENISA – Cloud Exit Guidelines https://www.enisa.europa.eu