Der Cloud-Ausstieg beginnt lange vor der Kündigung

Kurz gesagt Der EU Data Act ist eine europäische Verordnung zum besseren Zugang zu Daten und zur faireren Nutzung von Daten aus vernetzten Produkten und digitalen Diensten. Für IT-Organisationen ist besonders wichtig, dass die Verordnung auch den Wechsel zwischen Cloud- und Datenverarbeitungsdiensten adressiert. Sie macht damit ein Thema sichtbar, das im Betrieb oft zu spät betrachtet wird: Wie kommt ein Service geordnet aus einer Cloud heraus, ohne Daten, Schnittstellen, Nachweise und Verantwortlichkeiten zu verlieren?

Cloud-Exit klingt nach einem juristischen Thema für den Moment der Kündigung. Im IT-Betrieb beginnt der Ausstieg aber viel früher. Sobald ein Dienst produktiv in einer Cloud läuft, entstehen Abhängigkeiten: Datenformate, Identitäten, Monitoring, Backups, Schnittstellen, Automatisierungen, Sicherheitsnachweise und Supportwege. Wer diese Spuren erst am Ende sucht, hat keinen Wechselplan, sondern ein Rettungsprojekt.

Warum Wechselbarkeit ein Betriebsthema ist

Die Europäische Kommission beschreibt den Data Act unter anderem als Regelwerk, das Hindernisse beim Wechsel von Cloud- und Datenverarbeitungsdiensten reduzieren soll. Die Verordnung ist damit nicht nur ein Datenschutz- oder Vertragsdetail. Sie berührt eine praktische Betriebsfrage: Kann eine Organisation ihren Anbieter wechseln, Daten mitnehmen und Arbeitsfähigkeit sichern, wenn der bisherige Dienst fachlich, wirtschaftlich oder strategisch nicht mehr passt?

Für ITSM ist diese Frage vertraut, nur trägt sie oft andere Namen. Service Transition, Änderungsmanagement, Konfigurationsdatenbank, Wissensmanagement und Lieferantensteuerung entscheiden darüber, ob ein Wechsel planbar bleibt. Ein Vertrag kann ein Recht auf Wechselbarkeit beschreiben. Der Betrieb muss trotzdem wissen, welche Systeme betroffen sind, welche Daten exportiert werden müssen, welche Tests bestanden werden sollen und wer die Übergabe gegenüber Fachbereich, Security und Management verantwortet.

Der gefährliche blinde Fleck liegt in den Abhängigkeiten

Cloud-Dienste wirken im Alltag bequem, weil vieles abstrahiert wird. Genau das kann im Wechsel zur Falle werden. Ein Service nutzt vielleicht verwaltete Datenbanken, proprietäre Ereignisformate, spezielle Rechteverwaltung, automatische Skalierung, Log-Schnittstellen oder Alarme, die nur im Anbieterwerkzeug sauber funktionieren. Solange der Dienst läuft, fallen diese Details kaum auf. Beim Wechsel entscheiden sie aber, ob ein sauberer Umzug möglich ist oder ob wichtige Betriebsinformationen verschwinden.

Ein belastbarer Cloud-Ausstiegsplan beginnt deshalb nicht mit der Frage nach dem neuen Anbieter. Er beginnt mit einer Bestandsaufnahme des aktuellen Betriebs. Welche Daten liegen wo? Welche Exporte sind getestet? Welche Schnittstellen sind kritisch? Welche Nachweise braucht Security? Welche Wiederanlaufzeiten gelten? Welche Fachbereiche merken den Wechsel zuerst? Diese Fragen gehören nicht in ein Archivdokument, sondern in die laufende Serviceverantwortung.

ITSM macht den Exit prüfbar

ITSM kann Cloud-Wechselbarkeit in konkrete Routinen übersetzen. In der Servicebeschreibung steht dann nicht nur, wer den Dienst fachlich nutzt. Dort steht auch, welche Datenarten verarbeitet werden, welche Integrationen bestehen, welche Verantwortlichen es gibt und welche Mindestanforderungen für Export, Wiederherstellung und Kommunikation gelten. Im Änderungsprozess wird geprüft, ob neue Cloud-Funktionen den späteren Wechsel erschweren. Im Lieferantenmanagement wird sichtbar, welche Zusagen nur vertraglich formuliert sind und welche bereits praktisch getestet wurden.

Besonders hilfreich ist ein einfacher Betriebscheck pro wichtigem Cloud-Service. Er fragt nicht abstrakt nach Portabilität, sondern nach handfesten Belegen. Gibt es einen aktuellen Datenexport? Wurde er in einer Testumgebung eingespielt? Sind Rollen und Berechtigungen außerhalb des Anbieters nachvollziehbar? Gibt es einen Ansprechpartner für fachliche Prioritäten? Sind Logdaten und Sicherheitsmeldungen nach dem Wechsel noch auswertbar? Solche Nachweise sind unbequem, aber sie verhindern, dass ein Cloud-Exit erst bei Druck realistisch betrachtet wird.

Vertrag, Architektur und Serviceprozess müssen zusammenpassen

Die CISA Cloud Security Technical Reference Architecture betont, dass Cloud-Sicherheit auch Rollen, Verantwortlichkeiten, Architekturentscheidungen und kontinuierliche Kontrolle umfasst. Genau diese Verbindung ist beim Anbieterwechsel entscheidend. Ein rechtlich sauberer Vertrag hilft wenig, wenn Architektur und Serviceprozess keine geordnete Übergabe unterstützen. Umgekehrt kann ein technisch gut vorbereiteter Dienst scheitern, wenn Fristen, Datenzugang oder Supportpflichten vertraglich unklar bleiben.

IT-Leitungen sollten Cloud-Exit deshalb nicht als Misstrauenssignal gegenüber dem Anbieter verstehen. Ein Ausstiegsplan ist Teil professioneller Betriebsfähigkeit. Er schützt vor einseitiger Abhängigkeit, erleichtert Verhandlungen und macht Risiken sichtbar, bevor sie teuer werden. Auch wenn ein Wechsel nie stattfindet, verbessert die Vorbereitung den laufenden Betrieb, weil Datenflüsse, Schnittstellen und Zuständigkeiten klarer werden.

Was jetzt auf die Prüfliste gehört

• Serviceinventar Welche Cloud-Dienste sind geschäftskritisch und wer besitzt sie fachlich?
• Datenabzug Welche Daten können in welchem Format exportiert und wieder eingespielt werden?
• Schnittstellen Welche Integrationen, Identitäten, Alarme und Automatisierungen hängen am Anbieter?
• Nachweise Welche Tests zeigen, dass Export, Wiederherstellung und Monitoring außerhalb des Anbieters funktionieren?
• Entscheidungspfad Wer darf den Wechsel auslösen, priorisieren, stoppen oder gegenüber Nutzern erklären?

Der wichtigste Punkt ist Timing. Cloud-Wechselbarkeit wird nicht in der letzten Vertragswoche geschaffen. Sie entsteht während der gesamten Lebensdauer eines Dienstes. Wer sie früh in Servicekatalog, Architekturprüfung, Lieferantensteuerung und Änderungsmanagement verankert, macht den späteren Ausstieg nicht automatisch einfach. Aber er verhindert, dass die Organisation erst dann lernt, wie abhängig sie geworden ist, wenn die Kündigung schon läuft.

Quellen: Europäische Kommission zum Data Act, EUR-Lex Verordnung (EU) 2023/2854, CISA Cloud Security Technical Reference Architecture. Stand der Quellenprüfung: 12.06.2026.

Bildquelle: Pexels / https://www.pexels.com/photo/brown-cardboard-boxes-4246120/