Die dunkle Seite der Cloudanwendungen: Abhängigkeit, Kostenfallen und verlorene Souveränität

Cloud-Dienste gelten als Allheilmittel der IT: flexible Skalierbarkeit, keine eigenen Server und angeblich geringere Kosten. Viele Anbieter preisen ihre Cloudanwendungen zudem als besonders sicher an. Doch die Realität zeigt eine Kehrseite: Proprietäre Cloudlösungen treiben Anwender in Abhängigkeiten, versteckte Kosten explodieren mit der Zeit, und Unternehmen verlieren die Kontrolle über ihre Daten. Dieser Beitrag beleuchtet kritisch die dunklen Seiten von Cloudanwendungen – von Lock-in-Effekten und Kostenfallen über Sicherheits- und Datenschutzrisiken bis hin zur Marktmacht der Cloud-Monopolisten – und gibt einen differenzierten Ausblick, wie Unternehmen mit hybriden Strategien gegensteuern können.

Viele Softwarefirmen verfolgen eine klare Strategie: Kunden sollen auf proprietäre Cloudplattformen gelockt und dort gehalten werden. Durch exklusive Features und mangelhafte Kompatibilität zu anderen Systemen entsteht ein Vendor Lock-in – ein Abhängigkeitsverhältnis, aus dem man kaum mehr herauskommt. SAP zum Beispiel hat in den letzten Jahren seine Bestandskunden aggressiv in die Cloud gedrängt. Anwender klassischer On-Premises-Systeme wurde regelmäßig auf die vermeintlichen Vorzüge der eigenen Cloud-Services verwiesen. Neue Innovationen bietet SAP bevorzugt in der Cloud an – während die treuen On-Premise-Kunden weiterhin hohe Wartungsgebühren zahlen​.

Microsoft verfolgt eine ähnliche Taktik: Wer einmal vollständig auf Microsoft 365 und Azure umgestiegen ist, für den wird ein Wechsel zurück oder zu einem Mitbewerber extrem aufwändig und teuer. Dieser Lock-in-Effekt gibt den Herstellern die Möglichkeit, nach Belieben die Spielregeln zu diktieren – zum Beispiel durch Anpassung der Nutzungsbedingungen oder das Abschalten von Schnittstellen. Für Unternehmen bedeutet das: Sie begeben sich in eine einseitige Abhängigkeit vom Cloudanbieter und verlieren einen Großteil ihrer Verhandlungsposition.

(Quelle: ap-verlag.de)

Cloudanbieter werben oft mit günstigen Einstiegspreisen, Gratis-Testphasen oder befristeten Rabatten, um Kunden an Land zu ziehen. Doch sind die Daten und Arbeitsprozesse erst einmal in die Cloud verlagert, beginnt häufig die Preisschraube. Ein aktuelles Beispiel liefert Microsoft: Ab April 2025 sollen die Preise für Microsoft 365, Teams und Azure um bis zu 40 % steigen​.

Dieser massive Aufschlag kommt nicht überraschend, sondern reiht sich in eine Serie von Preiserhöhungen ein. Bereits 2022 erhöhte Microsoft die Preise für Microsoft 365 im Schnitt um 15 %, 2023 folgten weitere Aufschläge – kumuliert bedeuten diese Anhebungen innerhalb von drei Jahren Preissteigerungen von 40 % bis 70 % für bestimmte Produkte​.

Auch andere Hersteller nutzen die Abhängigkeit der Kunden schamlos aus. Adobe etwa stellte sein Geschäftsmodell vollständig auf Cloud-Abos um – mit regelmäßigen Preisangleichungen zum Nachteil der Bestandskunden. Im Unternehmensumfeld zeichnet sich ein ähnlicher Trend ab: SAP und Google könnten den Microsoft-Beispielen folgen und ihre Cloud-Dienste verteuern, sobald die Kundenbasis groß genug und der Ausstieg zu schmerzhaft ist​.

Branchenbeobachter warnen bereits vor einer Kostenlawine. Ein Gartner-Bericht stellte 2023 fest, dass die zunehmende Fokussierung auf Cloud-Angebote zu einer gefährlichen Marktverengung führt, in der wenige Anbieter die Kostenkontrolle ganzer Branchen übernehmen.​

Für viele Unternehmen – insbesondere mittelständische mit begrenzten IT-Budgets – ist diese Entwicklung existenzbedrohend. Die verlockenden Cloud-Einstiegspreise entpuppen sich als trojanisches Pferd: Hat man einmal migriert, sitzt man in der Kostenfalle, denn Aussteigen wird teurer als Bleiben.

(Quelle: ap-verlag.de)

Cloud-Anbieter betonen gerne, ihre Lösungen seien sicherer als eigene Server im Keller. Tatsächlich investieren Hyperscaler wie AWS, Microsoft oder Google enorme Summen in Security. Dennoch belegen zahlreiche Sicherheitsvorfälle, dass die Cloud kein Garant für Sicherheit ist – oft im Gegenteil. Hier einige bekannte Beispiele, die das “Cloud = sicher”-Märchen entzaubern:

• Datenpanne bei Capital One (2019): Eine ehemalige AWS-Mitarbeiterin nutzte eine Fehlkonfiguration, um in die Cloud-Infrastruktur der US-Bank Capital One einzudringen. Sie erbeutete persönliche Daten von über 100 Millionen Kunden, die in einer AWS-Instanz gespeichert waren​. (Quelle: techmonitor.ai)
  Capital One musste infolge dieses Cloud-Hacks rund 270 Millionen Dollar für Strafen und Entschädigungen aufwenden. Der Fall zeigte deutlich, dass ein einziger falsch konfigurierter Cloud-Service gravierende Folgen haben kann.

• Hackerangriff auf Microsoft Cloud (2023): Im Sommer 2023 gelang es einer mutmaßlich chinesischen Hackergruppe namens Storm-0558, einen geheimen Microsoft-Schlüssel zu entwenden und damit in Cloud-Konten einzudringen. Über gefälschte Tokens erhielten die Angreifer Zugriff auf E-Mails und Daten von mindestens 25 Organisationen – darunter sogar europäische Regierungsstellen, die Exchange Online (Cloud-E-Mail) nutzten​.
  Microsoft musste einräumen, dass ein gestohlener Master-Schlüssel weitreichenden Zugang zu zahlreichen Cloud-Diensten ermöglichte​. (Quelle: dataguard.com)
  Dieser hochprofessionelle Angriff auf die Microsoft-Cloud-Infrastruktur widerlegte eindrucksvoll die Behauptung, Daten seien dort per se besser geschützt.

• Offene Datenbanken und S3-Leaks: Einer der häufigsten Cloud-Sicherheitsfehler sind offen zugängliche Speicher durch falsche Einstellungen. So fand ein Sicherheitsforscher 2017 eine frei im Internet einsehbare Amazon-S3-Datenbank mit 198 Millionen US-Wählerdaten​ (Quelle: wired.com)
  – kein „Hack“, sondern schlicht ein von einem Dienstleister falsch konfigurierter Cloud-Speicher. Ähnliche Lecks durch fehlkonfigurierte Cloud-Datenbanken traten bei zahlreichen Unternehmen auf und machten teils hochsensible Informationen öffentlich. Solche Vorfälle wären in einem strikt abgeschotteten eigenen Rechenzentrum unwahrscheinlicher.

Diese Beispiele – ob Datenpannen, Hackerangriffe oder Konfigurationsfehler – zeigen, dass Cloud-Umgebungen ebenfalls verwundbar sind. Die oft gehörte Aussage, Cloudlösungen seien sicherer als eigene IT-Systeme, ist so pauschal nicht haltbar. Im Gegenteil: Sie wiegt Unternehmen mitunter in falscher Sicherheit, während neue Bedrohungsfaktoren (Multi-Tenant-Risiken, Abhängigkeit von der Security des Anbieters etc.) entstehen.

Nicht nur technische, auch rechtliche Risiken trüben den Glanz der Cloud. Insbesondere der Datenschutz bereitet Kopfzerbrechen, wenn Cloudanbieter außerhalb Europas ins Spiel kommen. US-Unternehmen wie Microsoft, Amazon oder Google unterliegen dem US-Recht, das Geheimdiensten weitreichende Zugriffsrechte auf gespeicherte Daten einräumt. Der US Cloud Act von 2018 ermöglicht US-Behörden sogar den Zugriff auf Daten auf Servern außerhalb der USA, solange diese von einem US-Anbieter oder dessen Ableger betrieben werden​. Das steht im Widerspruch zur europäischen Datenschutz-Grundverordnung (DSGVO), die die Herausgabe von EU-Daten an Drittstaatenbehörden ohne rechtliche Grundlage strikt untersagt​. (Quelle: smartbusinesscloud.de)

Firmen, die personenbezogene Daten europäischer Kunden in die Public Cloud eines US-Providers legen, sitzen daher auf einem Pulverfass: Sie könnten gezwungen sein, entweder gegen US-Gesetze oder gegen die DSGVO zu verstoßen.

Die Problematik wurde 2020 höchstrichterlich bestätigt: Der Europäische Gerichtshof kippte mit dem „Schrems II“-Urteil das EU-US Privacy Shield Abkommen, weil es europäischen Datenschutzanforderungen nicht genügte. Seit dieser Entscheidung ist der Datenexport in die USA ohne zusätzliche Schutzmaßnahmen praktisch rechtswidrig​. (Quelle: sosafe-awareness.com)

In der Praxis herrscht große Rechtsunsicherheit – zahlreiche Unternehmen bewegen sich mit der Nutzung von US-Clouds in einer Grauzone und laufen Gefahr, gegen die DSGVO zu verstoßen. Erste Aufsichtsbehörden haben bereits durchgegriffen: So erklärten Datenschutzbehörden in Bayern und Baden-Württemberg die Verwendung von US-Cloud-Diensten (etwa Microsoft 365 an Schulen) für unzulässig, da ein ausreichendes Datenschutzniveau nicht gewährleistet sei. Vertrauliche Kundendaten in fremde Rechenzentren auszulagern kann somit nicht nur ein Sicherheits-, sondern auch ein Compliance-Risiko sein, das zu Bußgeldern und Image-Schäden führt.

Wer seine IT vollständig in die Cloud verlagert, gibt auch einen erheblichen Teil seiner Datenhoheit aus der Hand. Die Daten liegen physisch in den Rechenzentren des Anbieters – oft verteilt über Länder und Kontinente – und werden über dessen Netzwerk bewegt. Unternehmen haben kaum Einblick, wo und wie ihre Informationen fließen. So kann es passieren, dass Daten ohne ihr Wissen in Drittstaaten gespiegelt oder von Subdienstleistern verarbeitet werden. Selbst wenn vertraglich bestimmte Serverstandorte zugesichert sind, bleibt ein Restrisiko: Backups, temporäre Kopien oder Fehler können dazu führen, dass Daten doch woanders landen.

Hinzu kommt, dass im Cloud-Betrieb Dritte prinzipiell Zugriff auf die Infrastruktur haben – Administratoren des Providers oder im schlimmsten Fall Behörden (etwa durch staatliche Anordnungen wie beschrieben). Die Kontrolle, wer letztlich auf sensible Unternehmensinformationen zugreifen kann, entgleitet dem Kunden. Eigenmächtige Entscheidungen des Cloud-Anbieters tun ihr Übriges: Ändert der Provider technische Rahmenbedingungen, Sicherheitsrichtlinien oder Servicebeschreibungen einseitig, muss der Kunde mitziehen oder den Dienst verlassen (was aber wegen des Lock-in kaum realistisch ist). Im Falle von Störungen oder Datenverlust bleibt dem Unternehmen oft nur abzuwarten, bis der Anbieter das Problem behebt – direkte Eingriffsmöglichkeiten in einer fremden Cloud gibt es nicht. Kurz gesagt: Mit jedem Schritt in die Cloud schwindet die Souveränität über die eigenen Daten und Systeme. Unternehmen begeben sich in eine Abhängigkeit, in der sie auf Treue und Leistungsfähigkeit des Anbieters vertrauen müssen – ein Vertrauensvorschuss, der nicht immer gerechtfertigt ist.

Der Cloud-Markt wird von einigen wenigen Technologiegiganten dominiert. Amazon Web Services (AWS), Microsoft Azure und Google Cloud teilen den Großteil des weltweiten Cloud-Geschäfts unter sich auf. Diese Oligopol-Stellung erlaubt es den Anbietern, ihre Marktmacht gezielt auszuspielen. Die abhängigen Kunden sind weitgehend den strategischen Entscheidungen der „Big Three“ ausgeliefert. Erhöhen zwei oder drei große Provider ihre Preise gleichzeitig, gibt es für Unternehmen kaum Ausweichmöglichkeiten – ein Szenario, das Experten als realistische Gefahr einschätzen​. (Quelle: ap-verlag.de)

​So entscheiden am Ende einige wenige Konzerne über die IT-Kosten ganzer Branchen.

Auch hinsichtlich Innovationen und Standards setzen die Marktriesen die Richtung vor. Sie entwickeln proprietäre Services und APIs, die andere kaum nachbilden können, und schaffen so De-facto-Standards, die wiederum zu mehr Lock-in führen. Neue Wettbewerber haben es schwer, gegen diese Übermacht anzukommen – die Eintrittsbarrieren in das Cloud-Geschäft sind gigantisch, was wiederum den Wettbewerb hemmt. Für die Kunden bedeutet diese Marktkonzentration letztlich weniger Auswahl und Monopolpreise. Ein anschauliches Beispiel ist die Abhängigkeit vieler Start-ups von einem einzigen Cloud-Infrastrukturanbieter: Fällt dieser aus oder ändert seine Geschäftsbedingungen, stehen ganze Geschäftsmodelle auf der Kippe. Die monopolartige Stellung der Cloud-Giganten birgt somit systemische Risiken, die weit über einzelne Unternehmen hinausgehen.

Bei aller berechtigter Kritik darf man nicht vergessen: Nicht alle Cloudanwendungen sind per se schlecht. Cloud-Services haben unbestreitbare Vorteile – von der schnellen Bereitstellung über globale Verfügbarkeit bis zur Entlastung interner IT-Ressourcen. Viele moderne Geschäftsmodelle wären ohne Cloud-Unterstützung gar nicht möglich. Statt die Cloud komplett zu verteufeln, geht es darum, einen gesunden Mittelweg zu finden, der Nutzen bringt, aber Abhängigkeiten begrenzt.

Eine empfehlenswerte Herangehensweise ist die hybride IT-Strategie. Dabei werden Cloud-Dienste gezielt mit eigenen Systemen kombiniert. Kritische Anwendungen und sensible Daten bleiben auf eigener Hardware oder bei Trusted-Hosting in der eigenen Region, während die Cloud für flexible Skalierung, weniger kritische Workloads oder Spitzenlasten genutzt wird​. (Quelle: ap-verlag.de)

So profitieren Unternehmen von beiden Welten: Cloud dort, wo sie echte Mehrwerte liefert – Eigenbetrieb dort, wo es um Kontrolle, Datenschutz und Stabilität geht. Auch Multi-Cloud-Konzepte können Abhängigkeiten reduzieren, indem man nicht alles auf einen einzigen Anbieter setzt.

Ein weiterer Hebel ist die Lizenzierungspolitik. Statt sich auf reine Cloud-Abos einzulassen, sollten Unternehmen wenn möglich auf Bring Your Own License (BYOL) oder dauerhafte Lizenzen setzen, die sie flexibel einsetzen können​.
Einige Software lässt sich mit eigenen Lizenzen sowohl in der Cloud als auch on-Premises betreiben – das verschafft Spielraum und macht einen Wechsel des Betriebsmodells einfacher. Ebenso kann der Einsatz gebrauchter Softwarelizenzen (Second-Hand-Lizenzen) sinnvoll sein: Diese sind oft günstiger und erlauben den Weiterbetrieb bewährter On-Premises-Versionen, solange diese verfügbar sind. (Quelle: ap-verlag.de)​

Dadurch bleibt man technologisch autonom und ist nicht gezwungen, übereilt in die Cloud zu wechseln, nur weil der Hersteller es vorgibt.

Cloudanwendungen bieten Chancen, aber die genannten Risiken zeigen, dass blinder Cloud-Eifer gefährlich sein kann. Unternehmen sollten die rosigen Versprechen der Anbieter kritisch hinterfragen und genau kalkulieren, wo Cloud sinnvoll ist – und wo nicht. Insbesondere die totale Abhängigkeit von einem einzigen Cloud-Anbieter gilt es zu vermeiden. Kosten, Sicherheit und Compliance müssen regelmäßig überprüft werden, anstatt die Cloud-Kosten als Selbstläufer zu betrachten.

Die Empfehlung für Unternehmen lautet daher: Hybrid denken und strategisch handeln. Wer bereits in der Cloud ist, sollte Wege prüfen, die Exit-Kosten zu senken – zum Beispiel durch Datenportabilität, zweiteiliche Architekturen oder Verhandlung von Ausstiegsklauseln im Vertrag. Wer neu in die Cloud geht, sollte von Anfang an eine Multi-Cloud- oder Hybrid-Strategie erwägen, um nicht in eine Einbahnstraße zu geraten. Und wer mit seiner bewährten On-Premises-Lösung zufrieden ist, sollte sich nicht von Marketing-Druck zu einem verfrühten Wechsel drängen lassen.

Letztlich geht es um digitale Souveränität: Die Hoheit über Daten und IT-Prozesse sollte im Unternehmen verbleiben – sei es in der Cloud oder im eigenen Rechenzentrum. Eine kritische, informierte Abwägung jeder Cloud-Migration ist entscheidend. So lässt sich das Beste aus Cloudanwendungen herausholen, ohne in Abhängigkeiten und Kostenfallen zu tappen. Unternehmen, die diesen Mittelweg beschreiten, behalten die Kontrolle und können die Vorteile der Cloud auf eigenen terms nutzen – anstatt den Bedingungen der Cloud-Anbieter hilflos ausgeliefert zu sein.