Ein Steuerberater arbeitet mit sensiblen Mandantendaten. Ein Handwerksbetrieb muss von der Baustelle auf Pläne und Aufträge zugreifen. Eine Kanzlei darf auch bei einem Ausfall nicht handlungsunfähig sein. Bei der Frage Microsoft 365 oder On-Premise geht es deshalb nicht nur darum, wo E-Mails und Dateien liegen. Es geht um Kontrolle, Schutz und die Fähigkeit, nach einem Sicherheitsvorfall schnell weiterzuarbeiten.
Für kleine und mittlere Unternehmen gibt es keine pauschal richtige Antwort. Microsoft 365 bietet einen hohen Komfort und schnellen Einstieg. Eine lokale Infrastruktur kann mehr Kontrolle über Daten und Systeme ermöglichen. Häufig ist ein bewusst geplanter Mischbetrieb die sinnvollste Lösung. Entscheidend ist, welche Daten verarbeitet werden, welche Ausfallzeiten akzeptabel sind und wie das Unternehmen seine Verantwortung für Sicherheit und Wiederherstellung organisiert.
Microsoft 365 oder On-Premise: Die Entscheidung richtig einordnen
Microsoft 365 ist ein Cloud-Dienst. Anwendungen wie Exchange Online, Teams, OneDrive und SharePoint werden in Rechenzentren von Microsoft bereitgestellt. Updates, grundlegende Verfügbarkeit und Teile der Infrastruktur liegen beim Anbieter. Das entlastet interne IT-Ressourcen und erleichtert die Zusammenarbeit über Standorte hinweg.
On-Premise bedeutet, dass Server, Anwendungen und Daten im eigenen Unternehmen oder in einem beauftragten Rechenzentrum betrieben werden. Die Organisation bestimmt damit stärker, wo Daten liegen, wie Systeme konfiguriert sind und wann Änderungen erfolgen. Gleichzeitig übernimmt sie deutlich mehr Verantwortung: für Betrieb, Wartung, Patch-Management, Zugriffsschutz, Backup und Notfallwiederanlauf.
Die Entscheidung ist daher kein einfacher Vergleich zwischen modern und veraltet. Beide Modelle können sicher betrieben werden. Beide Modelle können aber auch Risiken erzeugen, wenn Zuständigkeiten, Schutzmaßnahmen und Wiederherstellungsprozesse nicht klar geregelt sind.
Sicherheit: Der Cloud-Dienst ersetzt kein Sicherheitskonzept
Ein verbreiteter Irrtum lautet: Wenn Microsoft 365 genutzt wird, ist die IT-Sicherheit vollständig an Microsoft übertragen. Das stimmt nicht. Microsoft schützt seine Plattform und stellt Sicherheitsfunktionen bereit. Für Identitäten, Berechtigungen, Endgeräte, Freigaben und den Umgang der Mitarbeitenden mit Phishing-E-Mails bleibt das Unternehmen selbst verantwortlich.
Gerade E-Mail-Konten sind ein häufiges Ziel. Gelangen Zugangsdaten durch Phishing in falsche Hände, können Angreifer Postfächer durchsuchen, interne Nachrichten lesen oder glaubwürdige Zahlungsaufforderungen versenden. Mehrstufige Anmeldung, klare Berechtigungskonzepte und die Überwachung auffälliger Anmeldungen sind deshalb keine Zusatzoptionen, sondern Grundlage eines sicheren Betriebs.
Bei On-Premise-Systemen liegen ähnliche Aufgaben beim Unternehmen, oft mit größerem technischem Umfang. Ein nicht aktualisierter Exchange-Server, ein offen erreichter Remote-Desktop-Zugang oder eine unzureichend segmentierte Netzwerkstruktur schaffen vermeidbare Angriffsflächen. Eine Fortinet Firewall kann Zugriffe kontrollieren, Netzbereiche voneinander trennen und verdächtige Verbindungen erkennen. Sie ist jedoch nur wirksam, wenn Regeln, Updates und Protokolle regelmäßig geprüft werden.
Sicherheit entsteht nicht durch den Standort der Daten allein. Sie entsteht durch konsequente Schutzmaßnahmen, klare Verantwortlichkeiten und eine Architektur, die Fehler einzelner Nutzer oder Systeme begrenzt.
Datensouveränität: Wissen, wo Daten liegen und wer zugreifen kann
Datensouveränität bedeutet nicht zwangsläufig, alle Daten im eigenen Serverraum zu speichern. Sie bedeutet, nachvollziehbar zu entscheiden, wo Daten verarbeitet werden, welche Verträge gelten, wer administrativen Zugriff erhält und wie Daten bei einem Anbieterwechsel verfügbar bleiben.
Microsoft 365 kann für viele Geschäftsprozesse geeignet sein. Unternehmen sollten aber genau unterscheiden: Welche Informationen dürfen in SharePoint oder OneDrive verarbeitet werden? Gibt es besondere Anforderungen aus Berufsrecht, Verträgen oder dem Datenschutz? Welche Auftragsverarbeitungsvereinbarungen liegen vor? Und wie werden Löschfristen umgesetzt?
Bei besonders schutzbedürftigen Daten kann ein lokaler oder regional betriebener Dienst sinnvoll sein. Das gilt etwa für bestimmte Fachanwendungen, umfangreiche Mandantenakten oder Datenbestände, die nur begrenzt den eigenen Einflussbereich verlassen sollen. On-Premise schafft hier mehr direkte Kontrolle, verlangt aber auch einen professionellen Betrieb. Ein Server im Keller ohne dokumentierte Administration ist keine souveräne Lösung.
In der Praxis bewährt sich oft eine Datenklassifizierung. Allgemeine Projektkommunikation kann in Microsoft 365 stattfinden. Fachanwendungen und sensible Daten verbleiben in einer kontrollierten Umgebung. Mitarbeitende greifen dann nicht über eine unsichere Direktverbindung auf interne Systeme zu, sondern über einen abgesicherten Zugang. Kyvion Secure Access powered by SparkView ermöglicht beispielsweise den Zugriff auf Anwendungen, ohne interne Systeme unmittelbar über das Internet freizugeben.
Verfügbarkeit und Daten-Resilienz: Was passiert nach dem Ausfall?
Die wichtigste Frage lautet nicht, ob ein Ausfall möglich ist. Die entscheidende Frage lautet: Wie schnell kann Ihr Unternehmen danach wieder arbeiten?
Microsoft 365 bietet eine hohe technische Verfügbarkeit. Trotzdem können einzelne Konten kompromittiert, Dateien versehentlich gelöscht oder Daten durch fehlerhafte Synchronisation überschrieben werden. Auch böswillige Löschungen durch ein übernommenes Benutzerkonto sind möglich. Papierkorb- und Aufbewahrungsfunktionen helfen, ersetzen aber kein eigenständiges Konzept für Backup und Wiederherstellung.
Bei On-Premise kommt das Risiko von Hardwaredefekten, Stromausfällen, Fehlkonfigurationen oder Ransomware hinzu. Verschlüsselt ein Angreifer Dateien auf einem Server und erreicht zugleich das Backup, wird aus einem Sicherheitsvorfall schnell ein Betriebsstillstand. Deshalb müssen Sicherungen getrennt, vor Manipulation geschützt und regelmäßig getestet werden.
Ein belastbares Backup-Konzept beantwortet mindestens vier Fragen:
- Welche Systeme und Daten werden gesichert?
- Wie häufig entstehen Sicherungskopien?
- Wo liegen diese Kopien und sind sie vom Produktivsystem getrennt?
- Wie lange dauert es, bis kritische Daten und Anwendungen wieder nutzbar sind?
Die letzte Frage wird häufig unterschätzt. Ein Backup ist erst dann wertvoll, wenn die Wiederherstellung funktioniert. Testen Sie deshalb nicht nur einzelne Dateien, sondern auch die Wiederinbetriebnahme einer Anwendung oder eines Servers. Für ein Unternehmen mit laufender Lohnbuchhaltung gelten andere Wiederanlaufzeiten als für ein Archivsystem. Diese Prioritäten sollten schriftlich festgelegt sein.
Kosten realistisch vergleichen
Microsoft 365 wird meist pro Nutzer und Monat abgerechnet. Das macht Kosten transparent und reduziert hohe Anfangsinvestitionen. Trotzdem besteht der Gesamtaufwand nicht nur aus Lizenzkosten. Hinzu kommen gegebenenfalls E-Mail-Schutz, Backup, Identitätsabsicherung, Endgerätemanagement, Schulungen und externe Unterstützung.
On-Premise verursacht Investitionen für Server, Speicher, Firewall, Softwarelizenzen und gegebenenfalls Redundanzen. Dazu kommen laufende Kosten für Wartung, Strom, Ersatzteile und qualifizierte Administration. Auf den ersten Blick kann eine vorhandene Serverumgebung günstig wirken. Werden notwendige Erneuerungen, Sicherheitsupdates und Notfallvorsorge eingerechnet, verändert sich das Bild oft.
Ein fairer Vergleich betrachtet daher einen Zeitraum von drei bis fünf Jahren. Noch wichtiger ist der Preis eines Ausfalls: Wie viele Arbeitsstunden gehen verloren, wenn E-Mails, Fachanwendungen oder Dateien einen Tag lang nicht verfügbar sind? Welche Folgen hätte ein Verlust vertraulicher Daten? Diese Fragen geben der Kostenrechnung den nötigen Praxisbezug.
Der Hybridansatz ist häufig die pragmatische Lösung
Viele KMU müssen nicht zwischen zwei Extremen wählen. Sie können Microsoft 365 für Kommunikation und Zusammenarbeit nutzen, während ausgewählte Fachanwendungen oder besonders sensible Daten in einer eigenen, kontrollierten Umgebung verbleiben. Das verbindet flexible Arbeitsweisen mit einem höheren Maß an Datensouveränität.
Damit ein Hybridmodell nicht unnötig komplex wird, braucht es klare Regeln. Mitarbeitende müssen wissen, welche Daten in welchen Systemen abgelegt werden. Berechtigungen dürfen nicht unkontrolliert wachsen. Der Remote-Zugriff auf interne Anwendungen sollte nach dem Prinzip der minimalen Freigabe erfolgen: Nur berechtigte Personen erhalten Zugriff, nur auf die benötigten Anwendungen und nur über einen abgesicherten Weg.
Auch die Netzwerkarchitektur ist relevant. Büroarbeitsplätze, Server, Gastnetz und gegebenenfalls Produktions- oder Fachsysteme sollten nicht uneingeschränkt miteinander kommunizieren. Netzwerksegmentierung und eine sauber konfigurierte Firewall begrenzen Schäden, falls ein Endgerät oder Benutzerkonto kompromittiert wird.
So treffen Sie eine belastbare Entscheidung
Beginnen Sie nicht mit der Lizenz, sondern mit Ihren Geschäftsprozessen. Erfassen Sie, welche Anwendungen unverzichtbar sind, welche Daten besonders schutzbedürftig sind und welche Mitarbeitenden von außerhalb arbeiten. Prüfen Sie anschließend, welche Schutzmaßnahmen bereits vorhanden sind und wo Lücken bestehen.
Besonders aufschlussreich sind diese Fragen: Können Sie den Zugriff ehemaliger Mitarbeitender sofort sperren? Ist für alle externen Zugriffe eine mehrstufige Anmeldung aktiv? Wissen Sie, wann ein vollständiger Wiederherstellungstest zuletzt erfolgreich war? Und können Sie nachvollziehen, welche Daten in Cloud-Diensten gespeichert werden?
Ein Cybersecurity Assessment schafft hierfür eine sachliche Entscheidungsgrundlage. Es bewertet nicht nur Technik, sondern auch Berechtigungen, Backup, Netzwerkzugänge und organisatorische Abläufe. Daraus lässt sich ableiten, ob Microsoft 365, On-Premise oder ein Hybridmodell zu den Sicherheits- und Betriebsanforderungen Ihres Unternehmens passt.
Die beste Lösung ist jene, die Mitarbeitenden das Arbeiten erleichtert, sensible Daten angemessen schützt und im Ernstfall eine schnelle Rückkehr in den Betrieb ermöglicht. Wer diese Kriterien vor der Entscheidung verbindlich festlegt, gewinnt nicht nur eine passende IT-Architektur, sondern auch mehr Kontrolle über die eigene digitale Handlungsfähigkeit.
