Fünf Befunde aus dem Cloud-Architektur-Audit — und warum 2027 der richtige Zeitpunkt ist

Die meisten Cloud-Umgebungen wurden nie entworfen. Sie sind gewachsen. Jemand hat 2021 eine Region für einen Proof of Concept hochgezogen, jemand anderes einen Managed Service ergänzt, weil das schneller ging als zu fragen, und die Person, die weiß, warum das Staging-Cluster so groß ist wie die Produktion, arbeitet längst woanders. Nichts davon ist Nachlässigkeit — so sieht Liefern unter Termindruck aus. Aber es summiert sich, und die Rechnung ist der letzte Ort, an dem das ehrlich sichtbar wird.

Ein Cloud-Architektur-Audit ist der günstigste Weg herauszufinden, was Sie tatsächlich betreiben. Unseres ist lesend, zum Festpreis und dauert zwei bis drei Wochen. Danach wissen Sie, wonach es sucht — und was es üblicherweise findet.

Warum sich 2027 die Rechnung ändert

Ein Jahrzehnt lang lautete die ehrliche Antwort auf „Sollten wir das verlagern?“: „Wahrscheinlich schon, aber die Exit-Kosten fressen die Ersparnis.” Egress-Gebühren machten das Weggehen teuer genug, dass Trägheit rational war.

Das endet zu einem konkreten Datum. Der EU Data Act gilt seit dem 12. September 2025, und seine Wechselbestimmungen zielen direkt auf Lock-in: Anbieter müssen Wechselhürden abbauen, und ab dem 12. Januar 2027 sind Entgelte für den Wechselvorgang — einschließlich des Egress beim Wegzug — vollständig verboten.

1. Die langweiligen Kostenbefunde sind die teuren

Niemand wünscht sich einen spannenden Kostenteil. Er ist es selten. Über Umgebungen hinweg wiederholen sich dieselben drei Posten, ungefähr in dieser Reihenfolge des gehobenen Werts:

Ungenutzte und überdimensionierte Compute-Ressourcen. Nicht-produktive Umgebungen, die rund um die Uhr laufen, für ein Team mit 40-Stunden-Woche. Instanzen, dimensioniert für einen Lasttest, der einmal lief. Managed-Database-Tarife, bei einer Migration gewählt und nie wieder angefasst.

Kosten, die niemandem gehören. Wenn Ressourcen keinem Team und keinem Service zugeordnet sind, ist niemand dafür verantwortlich, und nichts wird abgeschaltet. Das erste Kosten-Ergebnis eines Audits ist deshalb meist keine Einsparung, sondern eine Zuordnung — denn man kann nicht entscheiden, was wegfällt, bevor jede Position einen Eigentümer hat.

Egress zum Listenpreis. Datentransfer aus einem Hyperscaler heraus kostet in der ersten Stufe Richtung Internet rund 0,09 $/GB, und Traffic zwischen Regionen und Availability Zones summiert sich bei gesprächigen Architekturen still vor sich hin. In fast jeder Umgebung gibt es mindestens eine Pipeline, die eine Grenze überquert, die sie nicht überqueren müsste.

2. Souveränität ist eine Frage der Kontrolle, nicht der Landkarte

Hier widersprechen Audits am häufigsten dem, was ein Unternehmen über sich selbst annimmt. Die Annahme lautet: „Unsere Daten liegen in Frankfurt, also in Europa.“ Die rechtliche Realität sieht anders aus, und sie hängt an Kontrolle, nicht an Geografie.

Der US CLOUD Act erlaubt US-Behörden, von einem Anbieter, der US-Jurisdiktion unterliegt, die Herausgabe von Daten in dessen „possession, custody, or control“ zu verlangen — unabhängig davon, wo diese Daten physisch liegen. Eine europäische Region, betrieben von einer US-kontrollierten Gesellschaft, beseitigt dieses Risiko nicht. Das ist eine echte architektonische Eigenschaft mit einer echten Antwort, und die Antwort steht nicht im Regions-Dropdown.

Das Audit ordnet jede Datenkategorie dem Ort zu, an dem sie liegt, dem Betreiber dieser Infrastruktur und der Rechtsordnung, der dieser Betreiber untersteht. Bei den meisten Umgebungen bleibt am Ende eine kurze Liste wirklich sensibler Workloads und eine deutlich längere, bei der das Risiko keine Rolle spielt.

3. Die IaC-Abdeckung sagt alles andere voraus

Wenn wir nur einen Befund behalten dürften, wäre es dieser. Der Anteil Ihrer Umgebung, der tatsächlich in Terraform, Pulumi oder CloudFormation definiert und abgeglichen ist — nicht nur einmal committet — ist der beste Einzelindikator für jedes andere Problem.

Der Grund ist mechanisch. Von Hand angelegte Ressourcen durchlaufen kein Review, tauchen in keiner Dokumentation auf und lassen sich nicht reproduzieren. Sie driften weg von dem, was der Code behauptet. Und wenn nachts um drei etwas kaputtgeht, ist die Lücke zwischen Repository und Realität genau die Lücke, in der Sie dann debuggen.

Das Audit misst hier drei Dinge, und die sind nicht dasselbe:

1. 01

2. 02

3. 03

Ein Repository voller Terraform und ein plan, der vierzig Änderungen zeigt, ist keine Abdeckung. Es ist eine zweite Wahrheitsquelle, die der ersten widerspricht.

4. Was eine einzige Zugangsberechtigung erreicht

Zugriffsbefunde sind selten dramatisch und fast immer unangenehm. Die wiederkehrenden Muster: eine CI-Rolle mit breiten Schreibrechten, weil ein Einschränken einmal einen Deploy zerschossen hat; langlebige Access Keys, wo eine kurzlebige Rolle genügen würde; ein einzelnes Konto, das Produktion und alles andere zugleich hält, sodass jede Grenze eine Policy ist statt einer Wand.

Das wiegt schwerer als noch vor zwei Jahren, weil inzwischen mehr Dinge Zugangsdaten halten. Ein Agent, ein geplanter Job oder eine Drittanbieter-Integration mit zu weiter Rolle ist dasselbe Problem — nur mit mehr Wegen, es auszulösen.

5. Könnten Sie überhaupt gehen?

Der letzte Abschnitt ist der, den der Data Act gerade konkret gemacht hat. Unabhängig davon, ob Sie wechseln wollen, misst Exit-Fähigkeit, wie viel Ihrer Architektur eine Entscheidung ist und wie viel eine Abhängigkeit.

Konkret: Wie viel der Umgebung ist portable Infrastruktur, die zufällig bei diesem Anbieter läuft, und wie viel hängt an Managed Services ohne Entsprechung anderswo? Beides ist legitim — Managed Services kaufen echte Zeit. Aber das Verhältnis sollte bekannt und bepreist sein, statt in einer Vertragsverhandlung entdeckt zu werden.

Was Sie bekommen — und was es kostet, es zu erfahren

Das Ergebnis ist eine schriftliche Architektur-Empfehlung und eine Umsetzungs-Roadmap, sortiert nach Amortisation. Kein Foliensatz und keine Liste alles Unvollkommenen — eine Reihenfolge, mit den günstigen, wirksamen Punkten zuerst und einem ehrlichen Vermerk dort, wo die richtige Antwort „so lassen“ lautet.

Das Audit ist bewusst lesend. Wir nehmen Billing-Exporte, Read-Rollen und Ihre IaC-Repositories und sprechen mit den Leuten, die sich erinnern. Wir verändern nichts, deshalb kann es parallel zur Lieferung laufen, ohne Feature-Freeze.

Die Roadmap gehört Ihnen, ob wir davon etwas bauen oder nicht. Etliche Kunden nehmen das Dokument und setzen es intern um — ein völlig gutes Ergebnis. Teuer war nie die Umsetzung, teuer war, nicht zu wissen, welcher der fünf Abschnitte oben tatsächlich Geld gekostet hat.

Wenn das nach Ihrer Umgebung klingt: Das Cloud-Architektur-Audit hat einen Festpreis und ein definiertes Ende.