Definition

Cloud-Vendor-Lock-in entsteht selten durch eine einzelne Entscheidung, sondern schleichend durch das Zusammenwirken mehrerer Abhängigkeitsmechanismen:

„Nicht die einzelne Abhängigkeit ist das Risiko, sondern ihre Unsichtbarkeit und Kumulation.“

Lock-in ist dann zum Governance-Problem geworden, wenn eine Organisation einen Anbieter theoretisch wechseln möchte, aber praktisch nicht kann, ohne dass dieser Zustand zuvor bewusst eingegangen wurde.

Ursachen von Cloud-Lock-in

• Proprietäre Datenformate und nicht-standardisierte APIs
• Anbietergebundene Identitäts- und Zugriffsdienste
• Tiefe Integration zwischen Plattformdiensten
• Verbrauchsbasierte Preis- und Lizenzmodelle mit Volumenabhängigkeit
• KI- und Copilot-Dienste mit nicht-portablen Workflows und Modellen

Funktionsweise

Lock-in wirkt auf mehreren Ebenen gleichzeitig:

• Technische Ebene: Daten, Konfigurationen oder Workflows lassen sich nicht ohne Datenverlust oder Funktionseinbuße exportieren
• Identitätsebene: Wenn Nutzerkonten und Berechtigungen ausschließlich über anbietereigene Dienste verwaltet werden, entsteht eine Abhängigkeit auf Plattformebene
• Integrationsebene: Je enger Dienste miteinander verknüpft sind, desto höher der Wechselaufwand
• Wirtschaftliche Ebene: Lizenz-Bundles machen Einzeldienste günstiger, erhöhen aber die Gesamtabhängigkeit
• KI-Ebene: Anbietergebundene KI-Modelle, Trainingsdaten und Agenten-Workflows sind häufig nicht portierbar

Lock-in ist oft erst beim Wechselversuch vollständig sichtbar.

Einsatzbereiche

Die Analyse und Steuerung von Vendor Lock-in ist relevant für:

• Strategische Cloud-Entscheidungen und Architekturplanung
• Vertragsverhandlungen mit Cloud-Anbietern
• Risikomanagement und Konzentrationsrisikoanalyse (DORA)
• Cloud-Exit-Planung und Exit-Fähigkeitsaufbau
• Beschaffungsprozesse im öffentlichen Sektor

Unterschiede zu ähnlichen Konzepten

• Strategische Plattformwahl: Nicht jede tiefe Integration ist problematischer Lock-in. Die entscheidende Frage ist, ob die Abhängigkeit bewusst eingegangen, dokumentiert und steuerbar ist – oder ob sie unbemerkt entstanden ist und Handlungsfähigkeit einschränkt.
• Konzentrationsrisiko: Konzentrationsrisiko (regulatorischer Begriff, u. a. in DORA) ist die Folge von unkontrolliertem Lock-in auf Systemebene: Wenn zu viele kritische Funktionen bei einem einzigen Anbieter liegen.
• Interoperabilität: Interoperable Systeme reduzieren Lock-in, eliminieren ihn aber nicht vollständig. Offene Schnittstellen sind eine notwendige, keine hinreichende Bedingung für Anbieterwechselbarkeit.

Vorteile und Nachteile

Verwandte Begriffe

• Cloud-Exit-Strategie
• Cloud-Exit-Fähigkeit
• Digitale Souveränität
• Datenportabilität
• Operative Resilienz
• Konzentrationsrisiko
• CLOUD Act
• Multi-Cloud-Strategie

Quellen

• DORA – Konzentrationsrisiko bei IKT-Drittdienstleistern https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022R2554
• ENISA – Cloud Computing Risk Assessment https://www.enisa.europa.eu/publications/cloud-computing-risk-assessment
• BSI – C5-Kriterien: Anbieterwechsel und Portabilität https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html
• ISO/IEC 19944 – Cloud portability and interoperability https://www.iso.org/standard/79573.html