Cloud vs. On-Premise für KMU: Datensicherheit, Compliance und Kostenvergleich

Die Entscheidung zwischen Cloud- und On-Premise-Infrastruktur ist eine der kritischsten Weichenstellungen, die ein KMU treffen muss. Sie beeinflusst Sicherheit, Compliance, Kosten, Flexibilität und Skalierbarkeit für Jahre. Doch viele KMU treffen diese Entscheidung auf Basis von Fehlannahmen. „Die Cloud ist unsicher.“ „On-Premise bedeutet volle Kontrolle.“ Beides ist teilweise wahr, aber differenzierter.

Dieser Leitfaden räumt mit Mythen auf. Du siehst harte Daten zur Sicherheit, verstehst die Auswirkungen der deutschen Compliance-Vorgaben (DSGVO, GoBD, Schrems II) und berechnest die wahren Gesamtkosten für deinen Einsatz. Am Ende hast du einen Rahmen, um zu entscheiden, was für dein Geschäft richtig ist.

Die massive Verschiebung: 56 % der deutschen KMU nutzen jetzt die Cloud

Vor gerade einmal 5 Jahren waren die meisten deutschen KMU gegenüber der Cloud skeptisch. Heute nutzen 56 % zumindest einige Cloud-Dienste — größtenteils SaaS-Anwendungen (Salesforce, Microsoft 365, Google Workspace), nicht nur Infrastruktur. Die Verschiebung ist real, und das aus gutem Grund.

Vorteile der Cloud

1. Skalierbarkeit und Flexibilität

Skaliere in wenigen Tagen von 10 auf 1.000 Nutzer. Ergänze Speicher, Rechenleistung oder Bandbreite sofort. Keine Beschaffungszyklen für Hardware. Perfekt für wachsende Unternehmen.

2. Automatische Updates und Wartung

Cloud-Anbieter übernehmen Patches, Sicherheitsupdates, Backups und Notfallwiederherstellung. Du brauchst kein IT-Team mit 5 Leuten, um die Infrastruktur zu verwalten. Das verringert deine operative Belastung deutlich.

3. Niedrige Anfangskosten

Du musst keine Server und Lizenzen kaufen oder Infrastrukturpersonal einstellen. Die Cloud ist typischerweise OpEx (Betriebsausgaben) statt CapEx (Investitionsausgaben) — besser für den Cashflow.

4. Eingebaute Redundanz und hohe Verfügbarkeit

Cloud-Anbieter replizieren Daten automatisch über mehrere Rechenzentren hinweg. Fällt ein Server aus, übernimmt ein anderer — null Ausfallzeit. Die meisten KMU können sich diese Stufe der Infrastruktur On-Premise nicht leisten.

5. Zugänglichkeit

Zugriff von überall (Homeoffice, Büro, Kundenstandort) mit nichts als einer Internetverbindung. Entscheidend für Remote-Arbeit und mobile Teams.

6. Notfallwiederherstellung

Wenn dein Büro brennt, sind deine Daten sicher (über Kontinente hinweg repliziert). On-Premise-Server an einem einzelnen Standort sind anfällig.

Vorteile von On-Premise

1. Volle Kontrolle

Deine Hardware, deine Regeln. Du entscheidest genau, wo Daten gespeichert werden, wer Zugriff hat und welche Sicherheitsmaßnahmen gelten. Einige Branchen (Verteidigung, Energie) verlangen dies.

2. Keine Anbieterbindung

Wenn du die Hardware und die Softwarelizenzen besitzt, kannst du zu einem anderen Anbieter wechseln oder in die Cloud migrieren, ohne wegen der Datenmigrationskosten als Geisel gehalten zu werden.

3. Möglicherweise niedrigere Langzeitkosten

Bei stabilen, vorhersehbaren Workloads kann On-Premise über 10+ Jahre günstiger sein. Du kaufst einmal und nutzt es ein Jahrzehnt lang. Die Cloud verursacht monatlich wiederkehrende Kosten, die sich summieren.

4. Compliance in stark regulierten Branchen

Einige Branchen verlangen On-Premise aufgrund von Vorschriften. Aber in Deutschland können die meisten DSGVO-sensiblen Unternehmen die Cloud nutzen, wenn sie es richtig machen.

Sicherheitsvergleich: eine überraschende Wahrheit

Die meisten KMU-Inhaber fürchten sich vor Cloud-Sicherheit, doch Studien zeigen durchgehend: Cloud-Anbieter investieren weit mehr in Sicherheit, als die meisten KMU sich leisten können.

Ein typischer Cloud-Anbieter (AWS, Azure, Google Cloud) hat:

• Dedizierte Sicherheitsteams (100+ Leute bei den großen Anbietern)
• Fortgeschrittene Bedrohungserkennung (24/7-Überwachung, KI-basierte Anomalieerkennung)
• Verschlüsselungsstandards (AES-256, TLS 1.3), die staatliche Standards übertreffen
• Redundanz über mehrere Kontinente, um Single Points of Failure zu verhindern
• Jährliche Sicherheitsaudits durch Dritte (SOC 2, ISO 27001)

Ein typisches KMU mit On-Premise hat:

• Ein oder zwei IT-Admins, die alles verwalten
• Einfache Firewall und einfachen Virenschutz (oft veraltet)
• Gelegentliche Backups (manchmal manuell, manchmal vergessen)
• Keine 24/7-Überwachung
• Server an einem einzigen Bürostandort (anfällig für Feuer, Diebstahl, Katastrophen)

DSGVO und Cloud: der Compliance-Rahmen

Die DSGVO verbietet die Cloud nicht. Sie verlangt, dass du sicherstellst, dass dein Cloud-Anbieter (Auftragsverarbeiter) angemessene Schutzmaßnahmen hat. Du musst:

• Eine Datenverarbeitungsvereinbarung (AVV) unterzeichnen, die Sicherheitsmaßnahmen festlegt
• Sicherstellen, dass personenbezogene Daten nur auf deine Weisung verarbeitet werden
• Überprüfen, dass der Anbieter technische und organisatorische Maßnahmen (TOM) umgesetzt hat
• Den Datenstandort prüfen (idealerweise EU für DSGVO-Konformität)

Die meisten seriösen Cloud- und SaaS-Anbieter erfüllen diese Anforderungen. Microsoft, Google, AWS, Salesforce — sie alle haben sich an die DSGVO angepasst.

Siehe unseren Leitfaden unter /blog/dsgvo-grundlagen-kmu-verarbeitungsverzeichnis für detaillierte Schritte zur DSGVO-Konformität.

Schrems II: die Herausforderung beim Datentransfer in die USA

Das Schrems-II-Urteil (Juli 2020) machte es schwieriger, personenbezogene Daten aus der EU an US-Cloud-Anbieter zu übertragen. Warum? Die US-Regierung kann durch Massenüberwachungsprogramme auf Daten zugreifen.

Auswirkung: Wenn du AWS, Azure, Google Cloud oder Salesforce (alle US-Anbieter) nutzt, musst du:

• Sicherstellen, dass sie Standardvertragsklauseln (SCCs) mit ausdrücklichen Sicherheitsgarantien unterzeichnet haben
• Technische Maßnahmen umsetzen, um die Exposition sensibler Daten zu minimieren
• Prüfen, ob Klauseln zur Datenresidenz (Speicherung der Daten in der EU) verfügbar sind
• Deine Risikobewertung dokumentieren (Interessenabwägung)

Praktische Realität: Die meisten großen US-Anbieter haben sich angepasst. Sie bieten inzwischen Optionen zur ausschließlichen Datenspeicherung in der EU und verbesserte SCCs an. Das Risiko hat sich verringert, ist aber nicht null.

Alternative: Cloud-Anbieter aus der EU

Wenn du Schrems II ganz vermeiden möchtest, nutze Anbieter aus der EU:

• Hetzner (Deutschland): Hosting, VPS, Cloud-Speicher. DSGVO-konform, Rechenzentren in der EU.
• IONOS (Deutschland): Webhosting, Cloud, E-Mail. Größter deutscher Hosting-Anbieter.
• OVH (Frankreich): Cloud-Infrastruktur, CDN, VPS.
• Scaleway (Frankreich): Cloud, Bare Metal, VPS.

Für SaaS-Anwendungen (Buchhaltung, HR, CRM) gehören zu den deutschen/EU-Optionen:

• Lexoffice (Buchhaltung) — in deutschem Besitz, DATEV-Anbindung, GoBD-zertifiziert
• DATEV (Buchhaltung, HR, Steuer) — der deutsche Goldstandard
• Personio (HR) — deutsch/EU-basiert, SOC-2-zertifiziert
• Brevo (E-Mail-Marketing) — französisch, DSGVO-konform

GoBD-Konformität in der Cloud

Das deutsche Steuerrecht (GoBD) verlangt, dass digitale Unterlagen prüfungssicher sind. Gute Nachricht: Cloud-Buchhaltungssoftware kann GoBD-konform sein.

GoBD-zertifizierte Cloud-Lösungen in Deutschland:

• Lexoffice — integriert mit deutschen Banken, DATEV, Export an den Steuerberater
• Sevdesk — GoBD-konforme Buchhaltung, Rechnungsarchivierung
• Papierkram — Dokumentenverwaltung + Buchhaltung, beides GoBD-zertifiziert

Wichtige Anforderung: Dein Cloud-Anbieter muss einen Audit Trail (Nachvollziehbarkeit) aller Änderungen mit Zeitstempel und Nutzer-ID bieten. Alle großen Buchhaltungstools erfüllen das.

Gesamtbetriebskosten (TCO) im Vergleich

Vergleichen wir die Kosten über 5 Jahre für ein KMU mit 10 Personen (ein Beispiel):

Szenario 1: Cloud-first (SaaS + Cloud-Infrastruktur)

• Buchhaltung (Lexoffice): 10 Euro/Nutzer/Monat × 10 × 60 Monate = 6.000 Euro
• CRM (HubSpot): 45 Euro/Monat × 60 = 2.700 Euro
• E-Mail/Zusammenarbeit (Microsoft 365): 6 Euro/Nutzer/Monat × 10 × 60 = 3.600 Euro
• Cloud-Speicher (OneDrive/Dropbox): 20 Euro/Monat × 60 = 1.200 Euro
• Sonstige SaaS (Projektverwaltung usw.): 500 Euro/Monat × 60 = 30.000 Euro
• Gesamte 5-Jahres-Cloud-Kosten: ~43.500 Euro

Szenario 2: On-Premise

• Server-Hardware (2 Server für Redundanz): 8.000 Euro
• Softwarelizenzen (Windows Server, SQL Server, CRM-Lizenzen): 15.000 Euro
• IT-Gehalt (1 Vollzeitstelle IT-Admin à 45.000 Euro/Jahr): 225.000 Euro (5 Jahre)
• Wartungsverträge: 2.000 Euro/Jahr × 5 = 10.000 Euro
• Netzwerk, Strom, Kühlung: 3.000 Euro/Jahr × 5 = 15.000 Euro
• Notfallwiederherstellung / externes Backup: 5.000 Euro
• Upgrade-Zyklus (Hardwareersatz nach 3-4 Jahren): 8.000 Euro
• Gesamte 5-Jahres-On-Premise-Kosten: ~286.000 Euro

Cloud-Kosten von ~43.500 Euro gegenüber On-Premise-Kosten von ~286.000 Euro. Die Cloud ist für ein Unternehmen mit 10 Personen 6,5x günstiger. Warum? Hauptsächlich wegen des IT-Gehalts. Die meisten KMU können einen Vollzeit-IT-Admin nicht rechtfertigen.

Hybride Ansätze

Einige KMU nutzen ein Hybridmodell:

• Cloud für die meisten Dienste (E-Mail, Zusammenarbeit, Buchhaltung, CRM) — geringer Wartungsaufwand, hohe Verfügbarkeit
• On-Premise für sensible/spezialisierte Systeme (Fertigungssteuerungssysteme, individuelle Legacy-Software, die einzigartig für dein Geschäft ist)
• Lokales Caching/Synchronisierung kritischer Daten für den Offline-Zugriff (z.B. Vertriebsteam lädt nachts die Kundendatenbank herunter)

Hybrid bietet oft das Beste aus beiden Welten, erhöht aber die Komplexität. Wähle sorgfältig.

Checkliste für die Cloud-Migration

Wenn du von On-Premise in die Cloud umziehst, folge dieser Checkliste:

• Aktuelle Daten prüfen: Alle Systeme erfassen, kritische Daten identifizieren, Datenqualität bewerten (nach Jahren der Speicherung oft unsauber)
• Ziel-Cloud-Anbieter auswählen: Nach Sicherheit, Kosten, Compliance-Zertifizierungen (SOC 2, ISO 27001, GoBD) und Integrationsfähigkeit bewerten
• Datenmigration planen: Big Bang oder schrittweise? Altes und neues System während des Übergangs parallel laufen lassen.
• Cloud-Infrastruktur einrichten: VPCs, Sicherheitsgruppen, Verschlüsselung, Backups, Überwachung
• Gründlich testen: Zuerst Testdaten migrieren, eine Zeit lang parallel laufen lassen, Funktionalität validieren
• Personal schulen: Neue Tools erfordern Schulung. Überspringe diesen Schritt nicht.
• Governance etablieren: Wer hat Zugriff? Wie laufen Backup und Wiederherstellung ab? Notfallwiederherstellungsplan.
• Nach der Migration überwachen: Leistung, Sicherheitslogs und Nutzerakzeptanz prüfen. Sei darauf vorbereitet, Probleme zu beheben.
• On-Premise außer Betrieb nehmen: Vergiss nicht, alte Hardware sicher zu entsorgen (Daten löschen, Recycling)

Backup-Strategie: für beide Varianten

Ob Cloud oder On-Premise: Du brauchst ein Backup. Verlasse dich nicht allein auf die Redundanz deines Cloud-Anbieters — sie schützt vor Hardwareausfällen, nicht vor versehentlichem Löschen oder Ransomware.

Best Practice: 3-2-1-Backup-Regel

• 3 Kopien deiner Daten (Original + 2 Backups)
• 2 verschiedene Medientypen (zum Beispiel Cloud + externer Datenträger)
• 1 Kopie extern (anderer geografischer Standort, geschützt vor lokalen Katastrophen)

Wichtige Bewertungsfragen

• Compliance: Verarbeitest du personenbezogene Daten (DSGVO)? Brauchst du deutsche Datenresidenz (Schrems II)?
• Kosten: Wie hoch ist dein 5-Jahres-TCO? Schließe IT-Gehalt und Infrastruktur ein.
• Skalierung: Wächst du? Die Cloud skaliert leicht; On-Premise erfordert Planung.
• Zuverlässigkeit: Kannst du dir Ausfallzeiten leisten? Die Cloud hat höhere Uptime-SLAs.
• Flexibilität: Brauchst du Remote-Arbeit? Dann gewinnt die Cloud.
• Integration: Lässt sich dein Cloud-Anbieter mit den anderen Tools integrieren, die du nutzt?
• Anbieterrisiko: Kannst du überleben, wenn dieser Anbieter den Betrieb einstellt? Kannst du deine Daten migrieren?
• Fachkenntnis: Hast du IT-Fachkenntnis im Haus? Wenn nicht, ist die Cloud sicherer.

Entscheidungsmatrix: Cloud vs. On-Premise

Anbindung an DATEV und das deutsche Buchhaltungs-Ökosystem

Viele deutsche KMU verlassen sich für Buchhaltung und Steuervorbereitung auf DATEV. DATEV ist vollständig cloudfähig (DATEV Rechnungswesen online, DATEV SmartLogin). Diese Integration macht die Cloud zur natürlichen Wahl für deutsche Unternehmen.

Ähnlich verhält es sich, wenn du Lexoffice, Sevdesk oder andere deutsche Cloud-Buchhaltungstools nutzt: Sie sind bereits GoBD-konform und ins deutsche Steuer-Ökosystem integriert. Die Cloud zu wählen ist hier der Weg des geringsten Widerstands.

Abschließende Empfehlung für die meisten deutschen KMU

Setze auf die Cloud für die meisten Dienste (Buchhaltung, E-Mail, Zusammenarbeit, CRM). Sie ist günstiger, im Durchschnitt sicherer und DSGVO-konform, wenn du seriöse Anbieter wählst und angemessene Datenverarbeitungsvereinbarungen unterzeichnest.

Bevorzuge Anbieter aus der EU, wenn möglich (Lexoffice, DATEV, Hetzner), um Schrems-II-Komplikationen zu vermeiden.

Behalte On-Premise nur für spezialisierte Systeme, die einzigartig für dein Geschäft sind (individuelle Fertigungssoftware, Legacy-ERP, das kritisch ist und nicht ersetzt werden kann).

Setze die 3-2-1-Backup-Regel um, egal ob du dich für Cloud oder On-Premise entscheidest.

Fang heute an. Je früher du in die Cloud migrierst, desto früher hörst du auf, für IT-Infrastruktur zu zahlen, die deinem Geschäft keinen Wert hinzufügt.