Cloud-Only ist in vielen Mittelstandsprojekten der neue Standard. Was mit einzelnen SaaS-Diensten begann, endet häufig in der Grundsatzentscheidung, alles in die Cloud zu verlagern und im eigenen Haus nichts mehr zu betreiben. Abgewogen wird diese Entscheidung selten. Sie folgt dem Trend, den Empfehlungen des Systemhauses oder dem einfachen Reflex, keine Server mehr betreiben zu wollen.
In unseren Kundenprojekten sehen wir bei aconitas immer wieder dasselbe Muster. Zwei bis drei Jahre nach der Cloud-Only-Entscheidung kommen die Zweifel. Die Kosten laufen anders als geplant, einzelne Anforderungen lassen sich nur mit Aufwand abbilden, und bei Ausfällen fehlt die eigene Handhabe. In diesem Beitrag ordne ich ein, wann Cloud-Only trägt, wann sie kippt und wie ein hybrider Ansatz beides verbindet.
Cloud-Only macht den Einstieg leicht
Neue Dienste stehen nach wenigen Tagen bereit statt nach Monaten. Investitionen in Hardware entfallen, aus Abschreibungen werden monatliche Nutzungsgebühren, und die Verantwortung für Betrieb und Patchmanagement liegt scheinbar vollständig beim Anbieter.
Hinzu kommt der Personalaspekt. Viele mittelständische IT-Teams sind knapp besetzt. Wenn jede Serveraufgabe intern zusätzlich erledigt werden muss, ist die Cloud auf den ersten Blick eine Entlastung. Auch das Argument der Skalierbarkeit greift, denn Wachstum, Zukäufe oder saisonale Lastspitzen lassen sich ohne Beschaffungsvorlauf abbilden.
Diese Vorteile sind real. Sie gelten aber nicht für jede Anwendung gleich stark, und mit wachsender Umgebung lassen sie nach. Hier beginnt die Fehleinschätzung.
Die Nachteile zeigen sich erst nach einigen Jahren
Im Nachhinein werden am häufigsten Kosten, Abhängigkeit und Compliance genannt. In der Anfangsphase fallen sie kaum auf, weil dann die Vorteile überwiegen. Ab einem gewissen Reifegrad kehrt sich das Verhältnis in vielen Fällen um.
Die Kosten wachsen mit. Was zunächst planbar aussieht, steigt mit jedem zusätzlichen Nutzer, jedem Add-on und jeder neuen Compliance-Anforderung. Lizenz-Upgrades von Business Premium auf E3 oder E5 verändern das Gesamtbild über Nacht.
Es entsteht ein Vendor Lock-in. Eine Migration zurück oder zu einem anderen Anbieter ist selten trivial, weil Daten, Berechtigungen, Automatisierungen und individuelle Integrationen an den jeweiligen Anbieter gekoppelt sind.
Die Datenverantwortung bleibt im Haus. Auch in der Cloud ist das Unternehmen für die eigenen Daten verantwortlich. Das Shared-Responsibility-Modell wird häufig nicht konsequent zu Ende gedacht, insbesondere bei Sicherung, Wiederherstellung und Zugriffskontrolle.
Die Betriebstransparenz sinkt. Ausfälle, Latenzen und Änderungen liegen im Verantwortungsbereich des Anbieters. Die eigene Handhabe ist begrenzt, und die Kommunikation an die Fachbereiche wird schwieriger.
Über drei bis fünf Jahre steigen die Kosten deutlich
Cloud-Kosten wirken kalkulierbar, weil sie monatlich abgerechnet werden. In der Drei- bis Fünfjahresbetrachtung entsteht aber ein anderes Bild. Der Preis pro Nutzer ist selten stabil, die Zahl der genutzten Dienste wächst und Sicherheits- oder Compliance-Anforderungen erzwingen zusätzliche Lizenzen.
Ein Beispiel aus einem typischen Mittelstandsprojekt zeigt das. Ein Unternehmen mit 150 Mitarbeitern startet mit Microsoft 365 Business Standard. Nach zwei Jahren kommen erweiterte Sicherheitsanforderungen dazu, und das Unternehmen stockt auf Business Premium auf. Ein Jahr später fordert die Konzernprüfung ein zentrales Log- und Audit-Konzept, das sich mit E5-Bausteinen sauber abbilden lässt. Nach fünf Jahren liegen die Lizenzkosten bei mehr als dem Doppelten des Startpreises, ohne dass jemand den Funktionsumfang bewusst erweitert hat.
Parallel dazu wachsen die Zusatzdienste wie Backup, Archivierung, Security-Add-ons und KI-Funktionen. Jeder dieser Bausteine lässt sich einzeln begründen, in Summe verändern sie die Wirtschaftlichkeit der Gesamtentscheidung aber deutlich. Wer nur auf die monatliche Rechnung schaut, greift deshalb zu kurz.
Cloud-Only wirft Fragen zu Compliance und Souveränität auf
Cloud-Only bedeutet in der Regel eine Verlagerung wesentlicher Verarbeitungen in Rechenzentren außerhalb des eigenen Einflussbereichs. Damit stellen sich Fragen, die im On-Premise-Betrieb nicht in gleicher Schärfe auftauchen. Es geht darum, wo Daten verarbeitet werden, wer administrativen Zugriff hat und welche Verpflichtungen gegenüber Kunden, Aufsichtsbehörden oder Auditoren entstehen.
Mit DSGVO, NIS2 und branchenspezifischen Anforderungen wächst der Druck, diese Fragen belastbar zu beantworten. Ein Anbieter mit US-Hauptsitz unterliegt anderen Gesetzen als ein europäischer Betreiber. Mit Ideologie hat das wenig zu tun. Im Prüfungsfall zählt, was sich nachweisen lässt.
In der Praxis sind viele Cloud-Only-Setups so aufgesetzt, dass sie den Regelbetrieb sauber abbilden. Erst in Prüfungssituationen oder bei einem Vorfall werden Lücken sichtbar. Besonders betroffen sind Bereiche mit personenbezogenen Daten, Finanzdaten oder produktionskritischen Steuerungsdaten.
Ein hybrider Ansatz teilt die Systeme nach Kriterien auf
Ein hybrider Ansatz kombiniert Cloud-Dienste für das, was sich gut standardisieren lässt, mit eigener Infrastruktur für das, was besonders geschützt oder besonders kontrolliert werden muss. Die Cloud bleibt dabei ein fester Bestandteil, nur die Aufteilung folgt bewussten Kriterien.
In mittelständischen Umgebungen sieht die Aufteilung typischerweise so aus:
In die Cloud gehören E-Mail, Kollaboration, Videoconferencing, Office-Anwendungen, Web-Dienste und standardisierte Fachanwendungen mit unkritischen Daten.
Im eigenen Betrieb oder in einer kontrollierten Umgebung laufen das Passwort-Management für privilegierte Zugänge, ERP mit sensiblen Kalkulationsdaten, Konstruktionsdaten und Know-how, Produktions- und Steuerungssysteme sowie hoch regulierte Fachverfahren.
Als bewusste Rückversicherung liegen Backup und Archivierung in einer zweiten, unabhängigen Umgebung. Wer alle Daten und Sicherungen beim gleichen Anbieter hält, hat kein echtes zweites Standbein.
Die Aufteilung ergibt sich aus zwei Überlegungen. Die erste betrifft Daten, die so sensibel sind, dass Sie sie nicht aus der Hand geben wollen. Die zweite betrifft Systeme, die so geschäftskritisch sind, dass ein Ausfall des Cloud-Anbieters das Unternehmen unmittelbar treffen würde.
Einige Signale sprechen für eine Überprüfung der Strategie
Die folgenden Signale gehen im laufenden Betrieb leicht unter, sind aber typisch für eine kippende Cloud-Only-Bilanz. Einzeln fallen sie kaum auf, erst zusammen ergeben sie ein klares Bild.
Die Cloud-Rechnung ist Jahr für Jahr zweistellig gewachsen, ohne dass neue Fachbereiche oder Mitarbeiter dazugekommen sind.
Lizenz-Add-ons für Sicherheit und Compliance sind einzeln beschafft worden und niemand hat einen aktuellen Gesamtüberblick.
Bei Ausfällen des Anbieters gibt es keinen abgestimmten Notfallweg für kritische Prozesse.
Sicherungen liegen ausschließlich beim gleichen Cloud-Anbieter wie die Produktivdaten.
Für Prüfungen wird jedes Mal aufwendig manuell zusammengetragen, weil zentrale Auditfunktionen nicht enthalten sind.
Fachbereiche beschaffen eigene SaaS-Tools, weil die zentrale Umgebung als starr wahrgenommen wird.
Wer mehrere dieser Punkte gleichzeitig beobachtet, sollte die Strategie überprüfen und bewusst entscheiden, welche Systeme wo betrieben werden. Ein pauschaler Ausstieg aus der Cloud ist dafür nicht nötig.
Am Anfang steht eine Bestandsaufnahme
Ich würde mit einer strukturierten Bestandsaufnahme beginnen, die zeigt, welche Systeme im Einsatz sind, welche Daten sie verarbeiten und welche Anforderungen gelten. Erst auf dieser Grundlage lässt sich beurteilen, welche Cloud-Anteile richtig platziert sind und welche besser in eine kontrollierte Umgebung gehören.
Diese Bewertung sollten Sie nicht ausschließlich intern führen, weil ein Blick von außen Muster erkennt, die im Alltag untergehen. Am Ende steht eine belastbare Strategie, die zum Unternehmen passt und über mehrere Jahre trägt. Eine grundsätzliche Kehrtwende muss das nicht sein.
Wenn Sie Ihre Cloud-Strategie einordnen möchten, sprechen wir gerne mit Ihnen darüber. Wir betreuen mittelständische Unternehmen sowohl in reinen Cloud-Umgebungen als auch in hybriden Setups und kennen die typischen Stolpersteine aus beiden Welten.
Weitere Beiträge vertiefen das Thema
Für einen Blick auf die technische Seite der Cloud-Migration lohnt sich unser Wissensartikel zur Cloud-Migration im Mittelstand. Wer sich mit der bewussten Rückverlagerung auseinandersetzt, findet in unserem Magazinbeitrag Warum IT-Leiter 2026 auf On-Premises setzen eine ergänzende Perspektive. Für Unternehmen, die konkret nach einer europäischen Alternative im Storage-Bereich suchen, bietet unsere Übersicht zu Impossible Cloud als Teil unserer europäischen Lösungen einen praxisnahen Einstiegspunkt.
Häufige Fragen
Ist Cloud-Only pauschal falsch?
Nein. Für Unternehmen ohne besonders sensible Daten, mit einfacher IT-Landschaft und ohne hohe regulatorische Anforderungen kann Cloud-Only funktionieren. Kritisch wird die Entscheidung, wenn sensible Daten, geschäftskritische Systeme oder aufsichtsrelevante Prozesse mit übertragen werden, ohne die Konsequenzen zu bewerten.
Was unterscheidet Hybrid von Multi-Cloud?
Hybrid kombiniert Cloud-Dienste mit eigenem Betrieb oder kontrollierten Umgebungen wie einem privaten Rechenzentrum. Multi-Cloud bedeutet, mehrere öffentliche Cloud-Anbieter parallel zu nutzen. Beides kann sinnvoll sein, verfolgt aber unterschiedliche Ziele: Hybrid adressiert Kontrolle und Souveränität, Multi-Cloud vor allem Verfügbarkeit und Preisverhandlung.
Wie steht Cloud-Only zu NIS2 und DSGVO?
Cloud-Only widerspricht weder NIS2 noch DSGVO. Beide Regelwerke verlangen aber Nachweise über technische und organisatorische Maßnahmen, über Datenflüsse, Verantwortlichkeiten und Meldeprozesse. Diese Nachweise lassen sich in einer Cloud-Umgebung führen, aber sie müssen bewusst aufgebaut und dokumentiert werden. Das wird in der Praxis häufig unterschätzt.
Was kostet ein hybrider Ansatz gegenüber Cloud-Only?
Ein pauschaler Vergleich ist unseriös. In vielen Fällen ist Hybrid im Betrieb geringfügig aufwendiger, in Summe über drei bis fünf Jahre jedoch günstiger, weil einzelne Lizenzstufen und Add-ons vermieden werden können. Maßstab sollte die Gesamtkostenbetrachtung sein und nicht allein der monatliche Rechnungsbetrag.
Ab welcher Unternehmensgröße lohnt sich eine Neubewertung?
Ab etwa 50 Mitarbeitern zeigt sich der Effekt der Lizenzstufen deutlich. Ab etwa 150 Mitarbeitern lohnt sich in der Regel eine bewusste Portfolio-Betrachtung. Unabhängig von der Größe empfiehlt sich eine Neubewertung bei jeder größeren regulatorischen Veränderung oder nach einem sicherheitsrelevanten Vorfall.
