Definition

Eine Cloud-Exit-Strategie ist ein organisatorisches und technisches Rahmenwerk, das beschreibt, unter welchen Bedingungen und auf welchen Wegen eine Organisation einen Cloud-Dienst kontrolliert, vollständig und ohne kritische Betriebsunterbrechung verlassen kann.

Sie beantwortet vier Kernfragen:

„Warum, Wann, unter welchen Bedingungen und Wer entscheidet?“

Im Gegensatz zu einem Migrationsprojekt ist die Exit-Strategie keine operative Handlungsanweisung, sondern ein strategischer Rahmen: Sie sichert Handlungsfähigkeit, ohne eine Entscheidung zu erzwingen.

Kernziele

• Definierte Auslöser und Schwellenwerte für einen möglichen Exit
• Bewertete Zielarchitektur-Optionen als reale Alternativen
• Nachgewiesene Datenportabilität und Übergangspfade
• Klare Governance: Rollen, Eskalation, Entscheidungsverantwortung
• Audit- und aufsichtsfähige Dokumentation der Exit-Fähigkeit

Funktionsweise

Eine Cloud-Exit-Strategie entsteht nicht durch ein einzelnes Dokument, sondern durch ein strukturiertes Programm mit mehreren Elementen:

• Workload-Analyse: Welche Systeme, Daten und Prozesse sind betroffen?
• Abhängigkeitskartierung: Proprietäre Formate, APIs, Identitätsdienste, Schnittstellen
• Zielarchitektur-Bewertung: Welche Alternativen existieren – EU-SaaS, Hybrid, On-Premises, Open Source?
• Portabilitätsprüfung: Können Daten und Konfigurationen exportiert und in Zielsystemen genutzt werden?
• Governance-Modell: Wer löst den Exit aus? Wer entscheidet über das Tempo?
• Testplan: Wurden Szenarien erprobt? (Exit Drills, Tabletop-Übungen)

Eine Exit-Strategie ist kein einmaliges Projekt, sondern ein laufend gepflegtes Steuerungsinstrument.

Einsatzbereiche

Eine Cloud-Exit-Strategie ist relevant für:

• Finanzinstitute und Versicherungen (DORA-Pflicht ab 2025)
• Betreiber kritischer Infrastrukturen (KRITIS-Dachgesetz)
• Behörden und öffentliche Einrichtungen mit Souveränitätsanforderungen
• Unternehmen mit hoher Regulierungsdichte (Gesundheit, Energie, Justiz)
• Jede Organisation, die Cloud-Dienste als wesentliche IKT-Drittdienstleister einsetzt

Besonders relevant ist sie dort, wo Aufsicht, Revision oder Risikomanagement den Nachweis verlangen, dass keine unkündbaren Abhängigkeiten bestehen.

Unterschiede zu ähnlichen Konzepten

• Migration: Eine Migration ist die operative Umsetzung eines bereits beschlossenen Anbieterwechsels. Die Exit-Strategie ist der strategische Rahmen davor. Sie macht Migration im Bedarfsfall erst möglich.
• Disaster Recovery (DR): DR sichert den Wiederanlauf im selben System nach einem Ausfall. Die Exit-Strategie beschreibt den Wechsel des Anbieters selbst, als Risikoantwort auf Anbieterkrise, regulatorischen Zwang oder strategische Neuausrichtung.
• Business Continuity Management (BCM): BCM hält kritische Funktionen während eines Störereignisses aufrecht. Exit-Fähigkeit ergänzt BCM um die Anbieterebene: Was, wenn der Dienst selbst dauerhaft nicht mehr nutzbar ist?

Vorteile und Nachteile

Verwandte Begriffe

• Cloud-Exit-Fähigkeit
• Digitale Souveränität
• Vendor Lock-in
• Datenportabilität
• Operative Resilienz
• DORA (Digital Operational Resilience Act)
• Workload-Portabilität

Quellen

• DORA – Art. 28 Abs. 8 – Exit-Strategien für IKT-Drittdienstleister https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022R2554
• BSI – Empfehlungen zur Cloud-Nutzung https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/cloud-computing_node.html
• ENISA – Cloud Security for Critical Infrastructure https://www.enisa.europa.eu/publications/cloud-security-for-critical-infrastructure
• ISO/IEC 19944 – Cloud services and data portability https://www.iso.org/standard/79573.html