Cloud-Souveränität im Mittelstand richtig planen

Ein gesperrter Microsoft-365-Adminzugang, eine nicht auffindbare Datensicherung oder ein ehemaliger Mitarbeiter mit weiterhin gültigem Konto: Solche Details entscheiden darüber, wie handlungsfähig ein Unternehmen bleibt. Cloud-Souveränität im Mittelstand bedeutet deshalb nicht, möglichst viele Systeme selbst zu betreiben. Sie bedeutet, auch in der Cloud jederzeit die Kontrolle zu behalten.

Für Betriebe mit 5 bis 100 Mitarbeitenden ist das besonders relevant. Meist gibt es keine große interne IT-Abteilung, die Berechtigungen laufend prüft, Verträge vergleicht und Wiederherstellungen testet. Die Cloud nimmt Arbeit ab, aber sie nimmt nicht automatisch Verantwortung ab. Geschäftsführung und Verantwortliche müssen wissen, wo ihre Daten liegen, wer darauf zugreifen kann und was bei einem Ausfall oder Anbieterwechsel passiert.

Was Cloud-Souveränität im Mittelstand konkret bedeutet

Der Begriff klingt größer, als er im Alltag sein muss. Souverän ist ein Unternehmen dann, wenn es seine IT-Entscheidungen nachvollziehbar selbst treffen und umsetzen kann. Dazu gehören Daten, Identitäten, Zugriffsrechte, Sicherungen und Verträge. Es geht nicht darum, jede Anwendung im eigenen Serverraum zu betreiben.

Eine gute Cloud-Lösung kann sogar mehr Kontrolle bringen als ein historisch gewachsener Server. Voraussetzung ist, dass Zuständigkeiten klar geregelt sind. Wer ist globaler Administrator? Wer darf neue Benutzer anlegen? Welche Geräte dürfen auf Unternehmensdaten zugreifen? Wo liegen die Sicherungen, und kann das Unternehmen seine Daten unabhängig wiederherstellen?

Cloud-Souveränität ist damit keine Frage von Logos oder Rechenzentrumsstandorten allein. Ein europäischer Speicherort ist ein wichtiger Baustein, löst aber nicht jedes Problem. Wenn Adminrechte unklar verteilt sind oder keine Wiederherstellung möglich ist, bleibt das Risiko bestehen.

Die vier Fragen vor jeder Cloud-Entscheidung

Bevor ein Unternehmen neue Cloud-Dienste einführt oder eine bestehende Umgebung weiter ausbaut, sollten vier Fragen beantwortet sein. Sie schaffen eine solide Grundlage, ohne das Projekt unnötig kompliziert zu machen.

1. Wo liegen die geschäftskritischen Daten?

Nicht alle Daten haben die gleiche Bedeutung. Angebote, Buchhaltung, Personalakten, Konstruktionsdaten oder Kundendokumentationen brauchen einen anderen Schutz als allgemeine Besprechungsnotizen. Entscheidend ist nicht nur der Speicherort, sondern auch der Datenfluss: Wer bearbeitet die Daten, welche externen Dienste greifen darauf zu und wie lange werden sie aufbewahrt?

Bei Microsoft 365 lässt sich etwa festlegen, welche Funktionen verwendet werden und welche Freigaben erlaubt sind. Für viele Betriebe reicht es nicht, Dateien einfach in Teams oder SharePoint abzulegen. Es braucht Regeln für externe Freigaben, vertrauliche Inhalte und Löschfristen. Diese Regeln müssen zum tatsächlichen Arbeitsablauf passen. Zu strenge Vorgaben werden umgangen, zu offene Vorgaben schaffen unnötige Risiken.

2. Wer besitzt die administrativen Zugänge?

Ein häufiger Schwachpunkt kleinerer Unternehmen ist ein einzelnes Administrator-Konto, das an eine Person oder einen früheren Dienstleister gebunden ist. Das funktioniert, bis diese Person nicht erreichbar ist, ausscheidet oder es zu einer Auseinandersetzung kommt. Dann wird aus einem technischen Detail schnell ein Betriebsrisiko.

Das Unternehmen selbst muss Eigentümer seines Microsoft-365-Tenants, seiner Domains und seiner zentralen Administratorkonten sein. Ein IT-Partner darf und soll für die Betreuung passende Rechte erhalten. Er sollte aber nicht der einzige Inhaber der Zugänge sein. Dokumentierte Notfallzugänge, Mehrfaktor-Authentifizierung und klar definierte Ansprechpartner gehören dazu.

Das ist kein Misstrauen gegenüber dem IT-Partner. Es ist saubere Vorsorge. Ein guter Partner arbeitet transparent, erklärt die Zugriffsstruktur und hinterlässt keine Abhängigkeit, die der Kunde nicht versteht.

3. Können Daten wirklich wiederhergestellt werden?

Synchronisation ist keine Datensicherung. Wird eine Datei versehentlich gelöscht, verschlüsselt ein Angreifer Inhalte oder überschreibt jemand einen wichtigen Ordner, kann sich der Fehler über mehrere Systeme hinweg fortpflanzen. Papierkorb- und Standardaufbewahrungsfunktionen helfen in vielen Fällen, ersetzen aber kein durchdachtes Backup-Konzept.

Für geschäftskritische Microsoft-365-Daten sollte klar sein, was gesichert wird: Exchange-Postfächer, OneDrive, SharePoint und Teams-Daten sind typische Beispiele. Ebenso wichtig ist die Frage, wie schnell eine Wiederherstellung erfolgen muss. Eine Datei kann oft am selben Tag zurückkommen. Bei einem kompletten Ausfall ist die Lage anders.

Ein Backup ist erst dann belastbar, wenn die Wiederherstellung getestet wurde. Ein kurzer Test in festgelegten Abständen zeigt, ob Daten vollständig vorhanden sind und ob die Verantwortlichen den Ablauf kennen. Das spart im Ernstfall Zeit und Diskussionen.

4. Wie kommt das Unternehmen bei Bedarf wieder weiter?

Cloud-Souveränität heißt auch: Ein Anbieterwechsel oder eine Neuordnung darf möglich sein, ohne dass Daten, Konten oder Wissen verloren gehen. Das bedeutet nicht, dass ein Wechsel jederzeit einfach oder sinnvoll ist. Er braucht Planung. Aber die Grundlagen sollten vorhanden sein.

Achten Sie auf exportierbare Daten, verständliche Vertragsunterlagen und eine aktuelle Dokumentation der Umgebung. Dazu gehören Lizenzen, Domainverwaltung, Integrationen, Sicherheitsrichtlinien und wichtige Konfigurationen. Besonders bei individuellen Zusatzdiensten lohnt sich die Frage, ob sie sich später ablösen lassen oder ob sie eine schwer auflösbare Bindung schaffen.

Microsoft-native Lösungen können hier ein Vorteil sein, wenn sie sauber eingerichtet sind. Sie reduzieren unnötige Schnittstellen und vermeiden Parallelstrukturen. Gleichzeitig darf „native“ nicht bedeuten, alles ungeprüft zu aktivieren. Jede Anwendung und jede Verbindung zu einem Drittanbieter braucht einen fachlichen Zweck.

Sicherheit ist der praktische Kern der Souveränität

Viele Unternehmen verbinden Souveränität zuerst mit Datenschutz und Rechtslage. Beides ist relevant. Im Alltag zeigt sie sich jedoch oft bei Zugängen und Geräten. Ein gut geschützter Tenant verhindert nicht jeden Angriff, macht es Angreifern aber deutlich schwerer.

Mehrfaktor-Authentifizierung sollte für alle Konten gelten, besonders für Administratoren. Bedingte Zugriffsrichtlinien können zusätzlich festlegen, unter welchen Voraussetzungen ein Login erlaubt ist. Ein Zugriff aus einem unbekannten Land, von einem nicht verwalteten Gerät oder ohne aktuelle Sicherheitsvorgaben muss nicht automatisch zugelassen werden.

Auch Endgeräte gehören in dieses Bild. Ein Notebook mit lokalen Unternehmensdaten, ohne Verschlüsselung und ohne zentrale Verwaltung, bleibt ein Risiko - selbst wenn die Dateien in der Cloud liegen. Mit einer zentralen Geräteverwaltung wie Microsoft Intune lassen sich Sicherheitsvorgaben, Updates und Zugriffe einheitlich steuern. Das ist vor allem bei mobilen Arbeitsplätzen hilfreich, weil Regeln nicht mehr nur auf Zuruf gelten.

E-Mail-Sicherheit verdient ebenfalls Aufmerksamkeit. Gefälschte Absenderadressen sind weiterhin ein häufiger Einstiegspunkt für Betrug. DKIM, DMARC und SPF schützen nicht jede Nachricht vor Phishing, helfen aber dabei, den Missbrauch der eigenen Domain einzudämmen. Das schützt Kunden, Lieferanten und den eigenen Ruf.

NIS2: Nicht jedes Unternehmen ist direkt betroffen, jedes ist gefragt

Mit NIS2 und der österreichischen Umsetzung steigen die Erwartungen an das Risikomanagement in vielen Branchen. Ob ein konkreter Betrieb unmittelbar in den Anwendungsbereich fällt, hängt unter anderem von Branche, Größe und Rolle in der Lieferkette ab. Das sollte im Einzelfall geprüft werden.

Unabhängig von einer direkten Verpflichtung sind die Grundfragen sinnvoll: Gibt es dokumentierte Verantwortlichkeiten? Werden Sicherheitsvorfälle erkannt und behandelt? Sind kritische Systeme gesichert? Kennen Mitarbeitende die Regeln für Passwörter, Freigaben und verdächtige E-Mails?

Cloud-Souveränität schafft dafür keine Formalität um der Formalität willen. Sie liefert die Grundlage, um Entscheidungen nachweisen und im Notfall handeln zu können. Gerade die Geschäftsführung profitiert von einer kurzen, verständlichen Dokumentation statt von einem Ordner voller Technikbegriffe.

Ein realistischer Weg statt eines Großprojekts

Die meisten Mittelstandsunternehmen müssen ihre Cloud nicht neu erfinden. Sinnvoller ist ein strukturierter Blick auf die bestehende Umgebung. Zuerst wird erhoben, welche Konten, Datenablagen, Geräte, Lizenzen und externen Zugänge es gibt. Danach werden die größten Risiken priorisiert.

Oft sind die ersten Maßnahmen überschaubar: nicht mehr benötigte Konten entfernen, Adminrechte ordnen, Mehrfaktor-Authentifizierung verbindlich machen, externe Freigaben prüfen und ein unabhängiges Backup einrichten. Erst danach lohnt es sich, über größere Themen wie Azure-Infrastruktur, Azure Virtual Desktop oder die Ablösung einer teuren Citrix-Umgebung zu entscheiden.

Dabei gilt: Nicht jede Anwendung gehört in die Cloud, und nicht jede Arbeitsgruppe braucht dieselbe Regel. Eine Produktionsanwendung mit spezieller Hardware hat andere Anforderungen als ein Vertriebsteam, das überwiegend mit Microsoft 365 arbeitet. Gute Planung trennt diese Fälle, statt eine Einheitslösung durchzusetzen.

Ein unabhängiger Sicherheitscheck des Microsoft-365-Tenants kann dabei Klarheit schaffen. Er zeigt, welche Einstellungen bereits passen, wo echte Lücken bestehen und welche Maßnahmen zuerst Wirkung bringen. Cloudschmiede setzt dabei auf nachvollziehbare Empfehlungen, einen festen Ansprechpartner und Lösungen, die der Betrieb auch bei einem späteren Partnerwechsel weiter nutzen kann.

Wer seine Cloud so aufstellt, dass Zugriffe, Daten und Verantwortlichkeiten jederzeit klar sind, gewinnt mehr als nur Compliance. Die IT bleibt im Alltag verlässlich - auch dann, wenn eine Person ausfällt, ein Gerät verloren geht oder sich das Unternehmen verändert.