Public Cloud, souveräne Cloud oder Eigenbetrieb? Das passende Betriebsmodell für jeden Workload finden

Anbieter zum Thema

Cloudgermany.de GmbH

Yorizon GmbH & Co. KG

Eine zukunftsfähige Cloud-Strategie folgt keinem Entweder-oder. Unternehmen und Verwaltungen sollten jeden Workload nach Schutzbedarf, Lastprofil, Regulierung, Kosten und Exit-Fähigkeit bewerten. So lassen sich Public Cloud, Private Cloud, souveräne Angebote und eigener Rechenzentrumsbetrieb gezielt kombinieren und Abhängigkeiten von einzelnen Anbietern begrenzen.

Die Abhängigkeit von außereuropäischen Technologieanbietern ist in Deutschland strukturell verankert. Rund 96 Prozent der Organisationen beziehen digitale Technologien oder Dienstleistungen aus dem Ausland, rund 90 Prozent stufen die eigene Abhängigkeit als stark oder zumindest spürbar ein. Zugleich betreiben rund drei Viertel der Organisationen hybride Umgebungen aus lokaler Infrastruktur und Cloud-Diensten. Ein Entweder-oder zwischen Rechenzentrum und Hyperscaler bildet die Realität damit kaum noch ab. IT-Verantwortliche ordnen einzelne Workloads dem Modell zu, das Schutzbedarf, Lastprofil und Budget am besten abdeckt.

Cloud-Betrieb als strategische Portfolioentscheidung

Der Eigenbetrieb im eigenen Rechenzentrum sichert vollständige Datenhoheit und kalkulierbare Kosten bei konstanter Auslastung. Hardware, Strom, Fläche und Fachpersonal binden dafür Kapital über mehrere Jahre. Grenzen zeigt das Modell bei Lastspitzen und kurzfristigen Erweiterungen, da neue Kapazitäten Beschaffungsvorlauf benötigen. Workloads mit gleichbleibender Last, hoher Schutzbedarfsklasse oder engen regulatorischen Vorgaben bleiben in diesem Umfeld gut aufgehoben.

Hyperscaler liefern das Gegenprofil. Elastische Skalierung, ein breites Dienstportfolio und kurzfristig verfügbare GPU-Kapazitäten für KI-Projekte sprechen für die Public Cloud. Der Preis dafür liegt in (oft komplexen) nutzungsabhängigen Kosten, tiefen Plattformbindungen und einem außereuropäischen Rechtsrahmen. Zwischen beiden Polen positionieren sich die Private Cloud bei einem Dienstleister mit dedizierter Infrastruktur, hybride Architekturen mit internen Kernsystemen und ausgelagerten elastischen Workloads sowie Multi-Cloud-Konstrukte mit mehreren Anbietern parallel. Jede zusätzliche Plattform erhöht aber den Aufwand für Identitätsverwaltung, Kostensteuerung und einheitliche Sicherheitsrichtlinien.

Souveränität hängt nicht nur vom Serverstandort ab

Der Speicherort allein sagt wenig über die Kontrolle aus. Der CLOUD Act verpflichtet Anbieter mit US-Bezug zur Herausgabe von Daten an amerikanische Behörden, auch bei Speicherung in europäischen Rechenzentren. Für die Bewertung zählt deshalb, wer die Schlüssel verwaltet, wer Metadaten einsehen kann und welchem Recht der Betreiber unterliegt. Verwaltungen und Unternehmen mit sensiblen Datenbeständen analysieren neben der Technik die rechtliche Zugriffsebene ihrer Provider und deren Subunternehmer.

Der Markt reagiert mit zwei Ansätzen. Hyperscaler legen souveräne Ableger auf, bei denen europäische Gesellschaften den Betrieb übernehmen, Kunden eigene Schlüssel über Customer Managed Keys halten und vertragliche Zusicherungen die Datenhaltung regeln. Das Dienstportfolio bleibt dort breit, die rechtliche Belastbarkeit gegenüber extraterritorialen Zugriffen ist gerichtlich noch nicht abschließend geprüft. Europäische Anbieter unterliegen dagegen vollständig dem EU-Recht und bieten damit einen eindeutigen Rechtsrahmen, decken aber oft (noch) ein schmaleres Servicespektrum ab. Für Workloads mit hohem Schutzbedarf kommt zusätzlich der Rückbau in eigene Infrastruktur in Betracht.

Private Cloud als stabiles, cyberresilientes Fundament

Hybride Multicloud-Umgebungen: Der richtige Ansatz

Deutsche Verwaltungscloud setzt Leitplanken für Behörden

Für Behörden in Deutschland definiert die Deutsche Verwaltungscloud (DVC) verbindliche Leitplanken. Die Plattform ist im Produktivbetrieb, rund 70 DVC-konforme Cloud-Services stehen über den Marktplatz Deutschland Digital zur Beschaffung bereit. Konforme Dienste erfüllen Mindestkriterien, darunter DSGVO-Konformität, Datenhaltung ausschließlich in EU, EWR oder der Schweiz, sichere Mandantentrennung und geregelte Wiederherstellung im Notfall. Standardisierte Vertragsmodelle vereinfachen die föderale Nachnutzung über Bund, Länder und Kommunen hinweg.

Als souveräne Variante einer Hyperscaler-Plattform baut sich der Betrieb der Delos Cloud schrittweise auf. Die SAP-Tochter Delos Cloud GmbH stellt Microsoft Azure und Microsoft 365 in einer separierten Umgebung bereit, verarbeitet Daten in Rechenzentren in Berlin und Frankfurt am Main und setzt auf sicherheitsüberprüftes Personal in Deutschland. Bei der Prüfung von Cloud-Diensten hilft zudem der Kriterienkatalog C5 des BSI. Ein C5-Testat bestätigt allerdings nur die Kontrollen des Providers. Konfiguration, Schlüsselverwaltung und Protokollierung im eigenen Tenant weist der Betreiber separat nach, was Prüfer zunehmend auf Ebene einzelner Services erwarten.

Repatriierung lohnt sich bei stabilen Lasten

Wirtschaftlich trennt das Finanzierungsmodell die Ansätze. Der Eigenbetrieb verlangt Investitionen in Hardware mit Abschreibung über mehrere Jahre, die Public Cloud rechnet nutzungsbasiert ab. Bei konstanter, hoher Auslastung fällt die Gesamtkostenrechnung über den Lebenszyklus häufig zugunsten eigener oder dedizierter Infrastruktur aus, bei variabler oder unvorhersehbarer Last punktet das elastische Modell. Unterschätzte Positionen liegen im Datenverkehr. Ausgehende Transfers, API-Aufrufe und Speicherzugriffe summieren sich bei datenintensiven Anwendungen zu erheblichen Beträgen und verzerren anfängliche Kalkulationen.

Mehrere Anwender haben ihre Rückverlagerung öffentlich dokumentiert. Der Softwarehersteller 37signals beziffert die Einsparung durch den Ausstieg aus der Public Cloud nach Eigenangabe auf über sieben Millionen US-Dollar über fünf Jahre, unabhängig validiert ist der Wert nicht. Der Umgang mit Cloud-Kosten professionalisiert sich parallel. Rund 71 Prozent der Organisationen steuern laut aktuellem Flexera-Report die Nutzung über zentrale Cloud-Teams, 63 Prozent betreiben FinOps-Strukturen zur laufenden Kostenkontrolle und 64 Prozent messen den Erfolg ihrer Strategie am Beitrag zum Geschäftswert. Repatriierung bedeutet dabei selten einen vollständigen Cloud-Ausstieg. Sie betrifft ausgewählte Workloads mit stabilem Lastprofil und hohem Datenvolumen.

EuroStack geht in die Offensive

Der europäische Schutzschild gegen den US-„Kill Switch“

Der Data Act erleichtert den Cloud-Wechsel

Die Verordnung (EU) 2023/2854, der Data Act, gilt seit dem 12. September 2025 und verpflichtet Anbieter von Datenverarbeitungsdiensten zum Abbau vertraglicher, technischer und finanzieller Wechselhindernisse. Kunden erhalten das Recht, zu einem anderen Anbieter oder in die eigene Infrastruktur zu wechseln. Der Übergang muss innerhalb von 30 Tagen abgeschlossen sein, auf Wunsch verlängert um weitere 30 Tage, die maximale Kündigungsfrist liegt bei zwei Monaten. Wechselentgelte dürfen bis zum 12. Januar 2027 nur noch kostendeckend berechnet werden, danach fallen sie vollständig weg.

Die Regeln lösen einen Teil der Anbieterbindung, nicht die gesamte. Vertragliche Mindestlaufzeiten und Volumenzusagen bleiben zulässig, und proprietäre Plattformdienste lassen sich beim Zielanbieter nur durch Nachbau ersetzen. Exit-Fähigkeit bleibt damit eine Architekturfrage. Standardisierte Datenformate, dokumentierte Schnittstellen, Container-Orchestrierung über Kubernetes und Infrastructure as Code halten Workloads portabel und geben dem gesetzlichen Wechselrecht erst seine praktische Wirkung.

Rechtliche Vorgaben zum Cloud-Wechsel

Sind Cloud Switching und Data Portability das gleiche?

Fünf Kriterien für die Zuordnung einzelner Workloads

Für die Zuordnung einzelner Workloads zu einem Betriebsmodell haben sich mehrere Prüfdimensionen bewährt:

• 1. Schutzbedarf und Datenrisiken bewerten: Personenbezogene Daten mit Drittstaatenrisiko, Fachverfahrensdaten der Verwaltung und Betriebsdaten kritischer Anlagen sprechen für souveräne Angebote, dedizierte Umgebungen oder den Eigenbetrieb. Anonymisierte Trainings- und Testdaten vertragen die Standard-Public-Cloud.

• 2. Lastprofil und Skalierungsbedarf analysieren: Konstante Grundlast über lange Zeiträume rechnet sich in eigener oder dedizierter Infrastruktur. Lastspitzen, Projektphasen und GPU-intensives Modelltraining profitieren von elastischer Kapazität auf Abruf.

• 3. Regulatorische Nachweise frühzeitig einplanen: Vorgaben aus DSGVO, NIS2, DORA oder dem EU AI Act bestimmen Nachweispflichten, Meldewege und Anforderungen an die Lieferkette. Der Nachweis gelingt leichter, wenn Datenstandort, Schlüsselhoheit und Subunternehmerkette dokumentiert steuerbar sind.

• 4. Betriebskompetenz und Personal realistisch einschätzen: Eigenbetrieb und Private Cloud verlangen Fachwissen für Plattform, Sicherheit und Lebenszyklus der Hardware. Fehlt dieses Personal dauerhaft, verlagert ein Managed-Modell den Betrieb, ohne die Steuerung über Verträge und Schlüssel aufzugeben.

• 5. Exit-Fähigkeit als Architekturziel verankern: Portable Formate, offene Schnittstellen und ein dokumentiertes Wechselszenario je Workload begrenzen die Bindung an einzelne Anbieter und halten spätere Kurskorrekturen bezahlbar.

Fazit: Der Workload bestimmt die Cloud-Strategie

Die Cloud-Strategie des Jahres 2026 ist eine Portfolioentscheidung auf Workload-Ebene. Der Eigenbetrieb sichert Kontrolle und planbare Kosten für konstante Lasten, Hyperscaler liefern Skalierung und Dienstebreite, souveräne Angebote und die Deutsche Verwaltungscloud schließen die regulatorische Lücke für sensible Daten und den öffentlichen Sektor. Verwaltungen und Unternehmen mit dokumentierten Zuordnungskriterien, eigener Schlüsselhoheit und geregelter Exit-Fähigkeit behalten dadurch die Steuerung über Daten, Kosten und Anbieterbindung.

(ID:50903515)