Thought Leadership
Ab dem 12. Januar 2027 dürfen Anbieter erfasster Cloud-Dienste grundsätzlich keine Wechselentgelte mehr verlangen. Ein funktionierender Ausstieg braucht dennoch Vorbereitung. Fünf Nachweise zeigen, ob Unternehmen ihre Geschäftsprozesse verlagern können.
Ein einfaches Beispiel: Die Kundendaten sind als CSV-Datei exportiert. Im Ziel fehlen die Verknüpfungen zu Angeboten und Freigaben. Der Vertrieb kann trotz erfolgreichem Export nicht weiterarbeiten.
Bei VMware wurden nach der Übernahme durch Broadcom Einzelprodukte gebündelt und das Angebot auf Abonnements umgestellt. Im Bitkom Cloud Report 2026 halten 85 Prozent der Unternehmen Deutschland für zu abhängig von US-Cloud-Anbietern. Die eigene Exit-Entscheidung braucht eine funktionierende Alternative und eine Kostenrechnung.
Das ISACA-Positionspapier „Cloud Exit“ betrachtet Architektur, Verträge und Ausstiegsszenarien gemeinsam. Der Fachbereich legt für den Geschäftsprozess Mindestleistung, tragbare Unterbrechung und akzeptablen Datenverlust fest. Eine vollständige Ablösung kann Monate dauern. Für einen unerwarteten Ausfall braucht es bis dahin einen vorbereiteten Ersatzbetrieb oder ein Notverfahren. Wer erst bei der nächsten Vertragsverlängerung damit beginnt, riskiert Zeitdruck.
Nachweis 1: Die Abhängigkeiten sind sichtbar
Eine Anwendung kann in einem portablen Container laufen und trotzdem auf eine proprietäre Datenbank angewiesen sein. Auch Berechtigungen, Zertifikate, Bereitstellungspipelines und Sicherungsverfahren gehören ins Abhängigkeitsbild. Die Nutzung mehrerer Cloud-Anbieter allein belegt keine Wechselbarkeit.
Der Nachweis ist ein von Fachbereich und IT geprüftes Abhängigkeitsbild mit Verantwortlichen und Ersatz- oder Überbrückungswegen. Es beziffert den Umbauaufwand und wird nach wesentlichen Architekturänderungen überprüft.
Nachweis 2: Der Vertrag trägt den Übergang
Die Exit-Regelung beschreibt Daten und Konfigurationen, Exportformate, Fristen, Unterstützung und Weiterbetrieb. Export, fachliche Prüfung und anschließende Löschung müssen zeitlich zusammenpassen. Beim Ausfall des Anbieters braucht es zudem Vorkehrungen ohne seine aktive Mitwirkung.
Der EU Data Act regelt den Wechsel erfasster Datenverarbeitungsdienste; Artikel 29 verbietet ab dem 12. Januar 2027 grundsätzlich Wechselentgelte, Artikel 31 enthält Ausnahmen für bestimmte Dienste. Eigene Aufwände für Anwendungsanpassungen, Schulungen und Parallelbetrieb bleiben ebenso zu kalkulieren wie mögliche Restbindungen.
Der Nachweis ist eine vereinbarte Übergangsregelung mit Leistungen, Ansprechpartnern, Fristen und Entgelten. Einkauf, Recht und IT prüfen die Umsetzbarkeit.
Nachweis 3: Die Daten funktionieren im Ziel
Ein Export-Button belegt keine Portabilität. Daten müssen einschließlich benötigter Metadaten, Beziehungen und Historien fachlich nutzbar ankommen. Berechtigungen, Konfigurationen und Geschäftslogik sind zu übertragen oder im Ziel zu ersetzen.
Der Nachweis ist ein Export und Import in eine konkrete Zielumgebung, den der Fachbereich anhand festgelegter Kriterien abgenommen hat. Fehlende Funktionen und notwendige Transformationen werden dokumentiert. Proprietäre Dienste können sinnvoll bleiben, wenn ihr Nutzen den späteren Ablöseaufwand rechtfertigt.
Nachweis 4: Zugriff und Wiederherstellung bleiben möglich
Notzugänge helfen wenig, wenn sie denselben ausgefallenen Identitätsdienst benötigen wie der Regelbetrieb. Anmeldung, Betriebsanleitungen und Sicherungen müssen im vorgesehenen Ausfallszenario erreichbar bleiben.
Kundenseitig verwaltete Schlüssel sind nicht automatisch portabel. Symmetrische AWS-KMS-Schlüssel lassen sich nicht herunterladen. Ein geplanter Wechsel kann daher eine Neuverschlüsselung erfordern. Für einen unerwarteten Ausfall muss die benötigte Sicherung bereits ohne den betroffenen Schlüsseldienst entschlüsselbar sein.
Der Nachweis ist ein Wiederherstellungstest ohne die im Szenario ausgefallenen Dienste. Das Team stellt über Notzugänge die Daten und die vereinbarte Mindestleistung wieder her.
Nachweis 5: Der Wechsel wurde geprobt
Eine Tabletop-Übung prüft Rollen und Entscheidungen. Technische Wechselbarkeit braucht zusätzlich einen praktischen Test, dessen Tiefe zur Kritikalität des Dienstes passt. Der Geschäftsprozess muss mit repräsentativen Datenmengen innerhalb der erlaubten Zeit funktionieren. Schnittstellen, laufende Datenänderungen und Betriebskapazitäten gehören in den Test; Abbruchkriterien und Rückweg werden vorab festgelegt.
Der Nachweis ist ein fachlich abgenommenes Protokoll mit Dauer, Datenabweichungen und Einschränkungen. Messwerte und Hochrechnungen werden getrennt ausgewiesen. Offene Lücken erhalten Verantwortliche, Fristen und einen erneuten Testtermin. Stilllegung und Datenlöschung brauchen eigene Freigaben und Nachweise.
Die fünf Nachweise auf einen Blick
| Nachweis | Was vorliegen muss |
|---|---|
| 1. Abhängigkeiten | Geprüftes Abhängigkeitsbild mit Ersatzwegen und Umbauaufwand. |
| 2. Vertrag | Vereinbarte Leistungen, Zuständigkeiten, Fristen und Entgelte. |
| 3. Daten | Fachlich abgenommener Export und Import ins Ziel. |
| 4. Wiederherstellung | Erfolgreicher Test ohne die im Szenario ausgefallenen Dienste. |
| 5. Wechselprobe | Abgenommenes Protokoll mit Messwerten und Maßnahmen für Lücken. |
Mit einem kritischen Dienst beginnen
Für Finanzunternehmen im DORA-Anwendungsbereich verlangt Artikel 28 Absatz 8 bei IKT-Diensten für kritische oder wichtige Funktionen Ausstiegsstrategien und dokumentierte, ausreichend getestete sowie regelmäßig überprüfte Ausstiegspläne. Die Prüflogik hilft auch anderen Unternehmen.
Zum Einstieg prüfen Fachbereich, IT und Einkauf einen kritischen Dienst. Die Geschäftsleitung entscheidet über Budget und Restrisiken. Sie benennt, wer bei Preisänderungen, Leistungsproblemen oder einer veränderten Sicherheitslage die Neubewertung veranlasst und den Wechsel freigibt.
Das Ergebnis kann sein, beim bisherigen Anbieter zu bleiben. Wer die verlagerbare Geschäftsleistung, Zeitbedarf und Kosten kennt, verhandelt auf einer belastbaren Grundlage – lange bevor eine Kündigung nötig wird.
