Der Umzug einer Fachanwendung in die Cloud beginnt selten mit Technik. Meist steht eine praktische Frage im Raum: Wie können Mitarbeitende von überall arbeiten, ohne dass sensible Daten, Mandantenakten oder Produktionsinformationen die Kontrolle des Unternehmens verlassen? Eine Cloud-Migration sicher planen heißt deshalb, Geschäftsprozesse, Zugriffe und Wiederanlauf von Anfang an mitzudenken – nicht erst nach der Vertragsunterschrift.
Für kleine und mittelständische Unternehmen liegt die Herausforderung oft in hybriden Strukturen. Ein Teil der Anwendungen läuft weiter lokal, Daten liegen an mehreren Orten, externe Dienstleister benötigen Zugang und Mitarbeitende arbeiten mobil. Wer diese Abhängigkeiten vorab sauber erfasst, reduziert Sicherheitsrisiken und verhindert teure Nacharbeiten.
1. Mit den Geschäftsprozessen beginnen, nicht mit dem Cloud-Angebot
Die erste Entscheidung sollte nicht lauten: Welche Cloud soll es sein? Entscheidend ist zunächst, welche Prozesse verlässlich funktionieren müssen. In einer Kanzlei können das die Mandantenverwaltung und der sichere Austausch von Unterlagen sein. Im Handwerk zählen etwa Kalkulation, Baustellendokumentation und der Zugriff auf Aufträge. In der Industrie können Produktionsplanung, Lager oder CAD-Daten besonders kritisch sein.
Ordnen Sie Anwendungen daher nach ihrer geschäftlichen Bedeutung. Klären Sie, welche Daten verarbeitet werden, wer darauf zugreift und welche Folgen ein Ausfall hätte. Nicht jede Anwendung muss sofort oder vollständig in die Cloud. Manche Systeme bleiben sinnvollerweise lokal, während andere als Cloud-Dienst oder in einer privaten, kontrollierten Umgebung besser betrieben werden können.
Diese Bewertung schafft eine belastbare Reihenfolge. Sie verhindert auch, dass eine Migration allein aus Bequemlichkeit erfolgt, obwohl Anforderungen an Datenschutz, Verfügbarkeit oder Schnittstellen dagegen sprechen.
2. Datenklassifizierung schafft Datensouveränität
Cloud-Nutzung bedeutet nicht automatisch Kontrollverlust. Kontrollverlust entsteht, wenn Unternehmen nicht mehr wissen, wo ihre Daten liegen, wer sie verarbeitet und wie sie zurückgeholt werden können. Besonders bei personenbezogenen Daten, Finanzdaten, Konstruktionsunterlagen oder vertraulichen Kundeninformationen braucht es klare Regeln.
Definieren Sie für jede Datenkategorie einen Schutzbedarf: normal, hoch oder besonders hoch. Daraus ergeben sich Anforderungen an Speicherort, Verschlüsselung, Berechtigungen und Protokollierung. Prüfen Sie bei Cloud-Anbietern zudem, in welchen Regionen Daten gespeichert und verarbeitet werden, welche Unterauftragnehmer eingebunden sind und wie ein Auftragsverarbeitungsvertrag ausgestaltet ist.
Datensouveränität umfasst auch den Ausstieg. Daten müssen in einem nutzbaren Format exportierbar sein. Dokumentieren Sie, wie lange ein Export dauert, welche Kosten entstehen und wer ihn technisch durchführen kann. Ein Anbieterwechsel ist selten angenehm, aber er darf nicht an fehlenden Daten oder unklaren Zuständigkeiten scheitern.
3. Zugriffe nach dem Prinzip „so wenig wie nötig“ gestalten
Der häufigste Schwachpunkt einer Cloud-Umgebung ist nicht der Speicherort, sondern ein zu weit gefasster Zugang. Ein gemeinsames Administratorkonto, dauerhaft aktive Berechtigungen oder ungeschützte Fernzugriffe machen es Angreifern und internen Fehlern unnötig leicht.
Planen Sie Rollen statt Einzelrechte. Mitarbeitende erhalten nur Zugriff auf Anwendungen und Daten, die sie für ihre Aufgabe benötigen. Externe Buchhaltung, IT-Dienstleister oder Softwarepartner erhalten zeitlich begrenzte, nachvollziehbare Zugänge. Für administrative Konten gelten strengere Regeln als für normale Benutzerkonten: Mehr-Faktor-Authentifizierung, getrennte Admin-Konten und eine vollständige Protokollierung sollten Standard sein.
Gerade bei hybriden Umgebungen ist ein sicherer Zugriff ohne klassisches VPN oft die bessere Wahl. Statt ganze Netzwerke zu öffnen, wird nur die benötigte Anwendung bereitgestellt. Browserbasierter, identitätsbasierter Zugriff senkt die Angriffsfläche und vereinfacht die Arbeit für externe Beteiligte. Lösungen wie Kyvion Secure Access unterstützen diesen Ansatz, indem sie interne Anwendungen gezielt erreichbar machen, ohne sie offen ins Internet zu stellen.
4. Die Netzwerkgrenzen neu denken
Bei einer lokalen IT war die Firewall am Unternehmensstandort die zentrale Schutzgrenze. Mit Cloud-Diensten verschiebt sich diese Grenze: Identitäten, Endgeräte, Anwendungen und Datenwege müssen gemeinsam abgesichert werden. Eine gute Planung berücksichtigt deshalb auch den Datenverkehr zwischen Büro, Außenstellen, Homeoffice, Cloud und externen Dienstleistern.
Prüfen Sie, welche Verbindungen wirklich notwendig sind. Eine Buchhaltungssoftware benötigt andere Freigaben als ein Filesharing-Dienst. Segmentieren Sie kritische Systeme, damit ein kompromittiertes Benutzerkonto nicht automatisch Zugriff auf alle Ressourcen erhält. Moderne Firewalls, etwa auf Basis von Fortinet, können Netzwerksegmente absichern, unerwünschten Datenverkehr erkennen und Zugriffe nachvollziehbar machen.
Dabei gilt: Mehr Regeln sind nicht automatisch mehr Sicherheit. Unübersichtliche Regelwerke werden häufig nicht gepflegt. Besser sind wenige, klar dokumentierte Freigaben mit Verantwortlichen und regelmäßiger Überprüfung.
5. Backup und Wiederherstellung vor dem Umzug testen
Ein Cloud-Anbieter stellt häufig die Verfügbarkeit seiner Plattform sicher. Das ersetzt aber nicht zwingend das Backup Ihrer Daten und Konfigurationen. Gelöschte Dateien, fehlerhafte Synchronisation, kompromittierte Konten oder Ransomware können Daten auch in Cloud-Diensten beschädigen. Entscheidend ist dann nicht nur, ob eine Sicherung existiert, sondern ob sie schnell und vollständig wiederherstellbar ist.
Definieren Sie vor der Migration konkrete Wiederanlaufziele. Wie lange darf eine Anwendung ausfallen? Welcher Datenverlust ist maximal akzeptabel? Für eine E-Mail-Umgebung gelten oft andere Anforderungen als für Warenwirtschaft oder zentrale Projektablagen. Diese Fragen bestimmen Sicherungsrhythmus, Aufbewahrungsdauer und den notwendigen Speicherort.
Bewährt hat sich das 3-2-1-Prinzip: mehrere Kopien, auf unterschiedlichen Speichermedien und mindestens eine Kopie getrennt vom produktiven System. Bei besonders kritischen Daten sollte diese Kopie gegen Manipulation geschützt sein. Testen Sie die Wiederherstellung mit realistischen Szenarien. Ein Backup, das nur auf einem Dashboard als erfolgreich angezeigt wird, ist noch kein belastbarer Notfallplan.
6. Migration in Wellen durchführen und Abhängigkeiten prüfen
Eine „Big Bang“-Migration wirkt auf den ersten Blick schnell, erhöht aber das Risiko. Für KMU ist ein Vorgehen in überschaubaren Wellen meist besser geeignet. Starten Sie mit einer Anwendung, deren Abhängigkeiten bekannt und deren Ausfallfolgen begrenzt sind. So lassen sich Berechtigungen, Datenübernahme, Schulung und Support-Prozesse unter realen Bedingungen prüfen.
Vor jeder Welle sollten Sie Schnittstellen dokumentieren. Welche Anwendungen tauschen Daten aus? Gibt es lokale Drucker, Scanner, Maschinen oder Verzeichnisse, die weiterhin erreichbar sein müssen? Funktionieren automatische Importe und Exporte? Gerade diese kleinen Abhängigkeiten werden häufig erst am ersten Arbeitstag nach der Umstellung sichtbar.
Planen Sie zudem einen Rückweg. Für jede Umstellung muss klar sein, wann zurückgerollt wird, wer darüber entscheidet und welche Daten dabei gesichert werden. Ein Rückfallplan ist kein Zeichen mangelnden Vertrauens in die neue Lösung. Er schützt den laufenden Betrieb, falls ein kritischer Prozess anders reagiert als erwartet.
7. Betrieb, Kontrolle und Mitarbeitende fest einplanen
Die Migration endet nicht mit dem produktiven Start. Berechtigungen ändern sich, Mitarbeitende wechseln Aufgaben, Cloud-Dienste erhalten neue Funktionen und Angriffswege entwickeln sich weiter. Legen Sie deshalb fest, wer Benutzerkonten anlegt und entfernt, wer Protokolle prüft und wer Sicherheitsvorfälle koordiniert.
Mitarbeitende brauchen klare, alltagstaugliche Regeln. Dazu gehören Mehr-Faktor-Authentifizierung, der Umgang mit Freigaben und das Erkennen ungewöhnlicher Anmeldeaufforderungen. Schulungen sollten konkrete Situationen aus dem Arbeitsalltag aufgreifen, statt nur abstrakte Gefahren aufzuzählen. Auch Führungskräfte müssen verstehen, warum ein schneller Zugang für externe Partner nicht automatisch ein dauerhaft offener Zugang sein darf.
Ein regelmäßiger Sicherheitscheck hilft, die Planung aktuell zu halten. Prüfen Sie mindestens jährlich Zugriffsrechte, Backup-Wiederherstellung, externe Konten und kritische Firewall-Regeln. Bei größeren Änderungen, neuen Standorten oder der Einbindung eines Dienstleisters sollte diese Prüfung früher erfolgen.
Cloud-Migration sicher planen heißt Verantwortung klar zu verteilen
Die Cloud kann Prozesse vereinfachen und mobiles Arbeiten erleichtern. Sie nimmt Unternehmen jedoch nicht die Verantwortung für Daten, Zugriffe und Wiederherstellbarkeit ab. Wer diese Punkte vor der Migration verbindlich klärt, schafft eine Umgebung, die nicht nur modern wirkt, sondern im Störfall handlungsfähig bleibt.
Der sinnvollste nächste Schritt ist oft kein weiterer Vertrag, sondern ein gemeinsamer Blick auf die kritischsten Anwendungen: Welche Daten liegen dort, wer braucht Zugriff und wie schnell können Sie nach einem Ausfall wieder arbeiten? Aus diesen drei Antworten entsteht ein Plan, der zur tatsächlichen Risikolage Ihres Unternehmens passt.
