Cloud-Migration und SaaS-Architektur: der operative Leitfaden für Führungskräfte

Die Cloud-Migration ist für europäische Tech-Unternehmen, die skalieren, ihren Stack modernisieren oder sich auf eine Transaktion vorbereiten wollen, unumgänglich geworden. Doch zwischen dem Gebot des Cloud-native und den operativen Realitäten einer Migration sind viele Entscheidungen zu treffen, und ihre Folgen für den übertragbaren Wert des Unternehmens sind unmittelbar.

Lift-and-Shift oder Refactoring: die richtige Strategie wählen

Lift-and-Shift (oder Rehosting) bedeutet, die bestehende Anwendung ohne Änderung ihrer Architektur auf eine Cloud-Infrastruktur zu verlagern. Es ist der schnellste, kurzfristig risikoärmste Weg, und der mit den geringsten operativen Gewinnen. Er eignet sich für Unternehmen, die ein On-Premise-Rechenzentrum rasch verlassen müssen oder deren Anwendung stabil und günstig zu betreiben ist. Refactoring (oder Re-Architecting) setzt bei der Anwendungsarchitektur an, um sie an die Zwänge und Vorteile der Cloud anzupassen: zustandslose Dienste, Microservices, ereignisgesteuerte Architektur, Auto-Scaling. Dieser Ansatz maximiert die langfristigen Gewinne, nutzungsabhängige Kosten, Resilienz, Time-to-Market, verlangt aber erhebliche Investitionen in Engineering-Zeit und Change Management. Ein dritter, oft unterschätzter Weg ist das Replatforming: die Anwendung migrieren und dabei einzelne Komponenten anpassen (eine Datenbank durch RDS/Cloud SQL ersetzen, von einem Anwendungsserver zu einem PaaS-Dienst wechseln), ohne die gesamte Architektur neu zu denken. Für wachsende Tech-KMU ist dies oft der beste Kompromiss zwischen Kosten und Wert.

Hyperscaler oder souveräne Cloud: die Frage der Datensouveränität

Der europäische Cloud-Markt wird von drei amerikanischen Hyperscalern dominiert: AWS, Microsoft Azure und Google Cloud Platform. Sie bieten ausgereifte Dienste, globale Abdeckung und ein beispielloses Tool-Ökosystem. Doch für Unternehmen, die personenbezogene Daten, Gesundheitsdaten, Behördendaten oder Daten mit strengen Branchenauflagen verarbeiten, birgt ihre Nutzung wachsende regulatorische Risiken. Der amerikanische Cloud Act (2018) erlaubt den US-Behörden, Zugang zu Daten zu verlangen, die von amerikanischen Anbietern gespeichert werden, auch wenn diese Daten physisch in Europa liegen. Dieser Widerspruch zur DSGVO nährt seit den Urteilen Schrems I und II eine ungelöste juristische Debatte. Souveräne Alternativen existieren: OVHcloud, Scaleway und Outscale (Tochter von Dassault Systèmes) in Frankreich, mit der SecNumCloud-Qualifikation der ANSSI als Referenz; IONOS und Hetzner in Deutschland (BSI-C5-Zertifizierung); Exoscale in der Schweiz. Für Unternehmen, die ihre NIS2-Konformität zertifizieren oder ihre Daten im Hinblick auf eine Transaktion oder öffentliche Investition qualifizieren wollen, ist die Wahl der Cloud-Infrastruktur zu einer strategischen und nicht mehr nur technischen Entscheidung geworden.

SaaS-Architektur: die Muster, die den Wert bestimmen

Eine gut konzipierte SaaS-Architektur zeichnet sich nicht nur durch ihre technische Leistung aus, sondern durch ihre Übertragbarkeit, ihre Grenzkosten im Betrieb und ihre Fähigkeit, ohne angehäufte technische Schulden zu wachsen. Diese Muster wiegen direkt in einer Bewertung: Native Multi-Tenancy vs. Multi-Tenancy durch Isolation. Eine native Multi-Tenant-Architektur (gemeinsame Datenbank mit Isolation per Schema oder Row-Level Security) senkt die Betriebskosten pro Kunde und verbessert die Margen. Eine Silo-Architektur (dedizierte Instanz pro Kunde) bietet mehr Isolation und passt zu hochwertigen Enterprise-Kunden, erzeugt aber höhere Fixkosten. Die Wahl wirkt sich direkt auf das LTV/CAC-Verhältnis und die Bewertungsmultiplikatoren aus. API-first. Eine API-first-Architektur entkoppelt Frontend und Backend, erleichtert die Integration mit Dritten und eröffnet die Monetarisierung von Daten über Partner-APIs. Sie ist zudem Voraussetzung für eine Microservices-Architektur oder den Übergang zu einer Plattform. Observability und SLO. Die Fähigkeit, Leistung zu messen, SLOs (Service Level Objectives) zu definieren und Uptime-Berichte zu erstellen, ist zu einem Due-Diligence-Kriterium für Erwerber und Investoren geworden. Eine Plattform ohne strukturiertes Monitoring (Datadog, New Relic, OpenTelemetry) gilt als operatives Risiko.

NIS2- und DSGVO-Konformität: Infrastruktur unter regulatorischem Zwang

Die NIS2-Richtlinie, seit Oktober 2024 in nationales Recht umgesetzt, legt wesentlichen und wichtigen Einrichtungen neue Pflichten auf: Cybersicherheits-Risikomanagement, Meldung von Vorfällen innerhalb von 24 Stunden, Sicherheit der Lieferkette und persönliche Haftung der Geschäftsleitung bei Verstössen. Für SaaS-Anbieter bedeutet das konkrete Anforderungen an die Cloud-Infrastruktur: Verschlüsselung im Ruhezustand und bei Übertragung, Zugriffsverwaltung (IAM, MFA, Prinzip der geringsten Rechte), Protokollierung von Zugriffen und Vorgängen, regelmässige Penetrationstests und ein dokumentierter, getesteter Wiederherstellungsplan. Diese Anforderungen sind nicht nur Compliance-Zwänge: Sie sind ein kommerzielles Unterscheidungsmerkmal gegenüber Grosskunden und dem öffentlichen Sektor und ein Qualifikationskriterium in M&A-Due-Diligence-Prozessen. Ein SaaS-Anbieter, der seine NIS2-Konformität nachweisen kann, senkt das vom Erwerber wahrgenommene Risiko erheblich.

Technische Schulden in einer Migration managen

Eine Cloud-Migration bringt oft angehäufte technische Schulden zum Vorschein und verschlimmert sie manchmal, wenn sie schlecht gesteuert wird. Die wichtigsten Schuldenquellen in Migrationsprojekten sind: Abhängigkeiten von undokumentierten Legacy-Systemen, hartkodierte Infrastrukturkonfigurationen (Credentials, Magic Numbers), fehlende IaC (Infrastructure as Code mit Terraform, Pulumi oder CDK) und manuelle, nicht auditierbare Deployment-Prozesse. Eine erfolgreiche Migration umfasst von Anfang an ein vollständiges Abhängigkeitsinventar, eine IaC-Strategie, die die Infrastruktur wie Code versioniert, und eine CI/CD-Pipeline, die Tests und Deployments automatisiert. Diese Praktiken senken das operative Risiko, erleichtern das Onboarding neuer Ingenieure und sind ein starkes Signal technischer Reife für Erwerber. Im Rahmen einer CIFSO 5000 Zertifizierung bewertet die Dimension Code & Architektur genau diesen Reifegrad: Vorhandensein von IaC, Testabdeckung, Architekturdokumentation und Fähigkeit zu auditierbaren Deployments und Rollbacks.

Cloud-Migration und Übertragbarkeit: was Erwerber sehen

Aus Sicht eines Erwerbers oder Investors ist die Qualität der Cloud-Infrastruktur ein direkter Indikator für die organisatorische Qualität des Unternehmens. Positive Signale sind: eine vollständig in IaC verwaltete Infrastruktur, klar getrennte Entwicklungs-, Staging- und Produktionsumgebungen, proaktives Monitoring mit Alarmen, getestete Backups und eine aktuelle Architekturdokumentation. Negative Signale sind ebenso aussagekräftig: nicht widerrufene persönliche Cloud-Zugänge ehemaliger Mitarbeitender, explodierende Cloud-Rechnungen ohne Kostenzuordnung, nicht gehärtete Standard-Sicherheitskonfigurationen oder eine kritische Abhängigkeit von einem einzigen Ingenieur, der die Zugänge hält. Eine gut dokumentierte und gut geführte Cloud-Migration ist daher doppelt strategisch: Sie verbessert kurzfristig Betrieb und Resilienz und erhöht mittelfristig den übertragbaren Wert und dessen Belastbarkeit. Genau das macht die CIFSO 5000 Zertifizierung greifbar und überprüfbar.