Cloud-Dienste sind in deutschen Unternehmen längst Alltag. Nach Angaben des Statistischen Bundesamtes nutzten 2025 bereits 54 Prozent der Unternehmen mit mindestens zehn Beschäftigten kostenpflichtige Cloud-Services. Unter diesen Unternehmen setzten 71 Prozent die Cloud zur Speicherung von Daten ein. Die Zahlen zeigen jedoch auch: Eine vollständige Verlagerung der IT in die Public Cloud ist keineswegs der einzige Weg.

Gerade für mittelständische Unternehmen stellt sich zunehmend eine andere Frage: Welche Daten und Anwendungen gehören in die Cloud – und welche sollten aus Gründen der Verfügbarkeit, Kostenkontrolle oder Datenhoheit zusätzlich im eigenen Unternehmen gespeichert werden?

Die pragmatische Antwort lautet häufig: weder Cloud-only noch eine Rückkehr zur vollständig lokalen IT. Gefragt ist eine hybride Architektur, in der lokale Speichersysteme und Cloud-Dienste unterschiedliche Aufgaben übernehmen.

Datenhoheit ist mehr als der Standort eines Rechenzentrums

Der Begriff Datenhoheit wird häufig auf den geografischen Speicherort reduziert. Entscheidend ist aber nicht nur, in welchem Land sich ein Server befindet. Ebenso wichtig sind die Fragen, wer technisch und organisatorisch über die Daten verfügt und wie schnell das Unternehmen im Ernstfall wieder auf sie zugreifen kann.

Zu einer belastbaren Datenstrategie gehören deshalb mindestens vier Aspekte:

• Das Unternehmen weiß, wo seine geschäftskritischen Daten gespeichert sind.

• Zugriffsrechte und Verschlüsselungsschlüssel sind nachvollziehbar geregelt.

• Daten lassen sich in einem dokumentierten Format exportieren und wiederherstellen.

• Der Geschäftsbetrieb kann auch bei einem Ausfall einzelner Systeme fortgesetzt werden.

Eine lokale Kopie wichtiger Daten kann dabei die Kontrolle erhöhen. Sie schützt jedoch nicht automatisch vor Cyberangriffen, Fehlkonfigurationen oder Hardwaredefekten. Datenhoheit entsteht erst durch das Zusammenspiel von Technik, Prozessen und klaren Verantwortlichkeiten.

Vor der Hardware kommt die Datenklassifizierung

Nicht jeder Datensatz benötigt dieselbe Infrastruktur. Ein Archiv mit abgeschlossenen Projekten hat andere Anforderungen als eine Produktionsdatenbank, auf die mehrere Standorte in Echtzeit zugreifen.

Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt Unternehmen, ihre Daten zu inventarisieren und nach ihrer Bedeutung zu klassifizieren. Besonders wertvolle Informationen – die „Kronjuwelen“ eines Unternehmens – benötigen entsprechend stärkere Schutzmaßnahmen.

In der Praxis bietet sich eine Einteilung in drei Gruppen an:

Geschäftskritische Daten müssen nach einem Ausfall besonders schnell verfügbar sein. Dazu können ERP-Datenbanken, Produktionsdaten, aktuelle Kundenaufträge oder virtuelle Maschinen gehören.

Operative Daten werden regelmäßig benötigt, erlauben aber längere Wiederherstellungszeiten. Beispiele sind Teamablagen, Entwicklungsstände oder interne Dokumentationen.

Archivdaten ändern sich selten und müssen vor allem langfristig, nachvollziehbar und kosteneffizient aufbewahrt werden.

Erst nach dieser Einteilung lässt sich sinnvoll entscheiden, welche Daten auf schnellem lokalem Storage liegen sollten, welche in die Cloud gehören und für welche Informationen eine zusätzliche Offline-Kopie erforderlich ist.

RPO und RTO machen Ausfallrisiken messbar

Formulierungen wie „hohe Verfügbarkeit“ oder „schnelle Wiederherstellung“ klingen gut, sind für die Planung aber zu ungenau. Zwei Kennzahlen helfen dabei, Anforderungen konkret zu formulieren:

• Das Recovery Point Objective (RPO) bezeichnet den maximal akzeptablen Datenverlust. Ein RPO von 30 Minuten bedeutet, dass Sicherungen oder Replikationen so häufig erfolgen müssen, dass höchstens die Daten der vergangenen halben Stunde verloren gehen.

• Das Recovery Time Objective (RTO) legt fest, wie lange ein Dienst nach einer Störung ausfallen darf. Bei einem RTO von vier Stunden müssen Infrastruktur, Personal und Wiederherstellungsprozess auf eine Rückkehr zum Betrieb innerhalb dieses Zeitfensters ausgelegt sein.

Das BSI nennt den maximal zulässigen Datenverlust ausdrücklich als einen Faktor, der in einem Datensicherungskonzept berücksichtigt werden sollte. RPO und RTO sollten daher nicht pauschal für die gesamte IT festgelegt werden. Eine Produktionsdatenbank kann ein deutlich niedrigeres RPO benötigen als ein Dokumentenarchiv.

RAID verbessert Verfügbarkeit, ersetzt aber kein Backup

Ein häufiger Planungsfehler besteht darin, ein redundantes Festplatten-Array mit einer Datensicherung gleichzusetzen. RAID kann den Weiterbetrieb ermöglichen, wenn ein einzelnes Laufwerk ausfällt. Es hilft jedoch nicht, wenn Dateien versehentlich gelöscht, durch Ransomware verschlüsselt oder aufgrund eines Softwarefehlers beschädigt werden.

Das BSI stellt deshalb klar: RAID-Systeme ersetzen keine Datensicherung. Auch Daten auf einem redundanten Storage-System müssen zusätzlich gesichert werden.

Für eine robuste Architektur lassen sich mehrere Schutzebenen kombinieren:

1. RAID reduziert die Auswirkungen eines Laufwerksausfalls.

2. Snapshots ermöglichen die schnelle Rückkehr zu einem früheren Datenstand.

3. Ein getrenntes Backup schützt vor logischen Fehlern und Datenverlust.

4. Eine offline oder anderweitig isoliert gespeicherte Kopie erschwert es Angreifern, Produktivdaten und Sicherungen gleichzeitig zu verschlüsseln.

5. Eine Kopie an einem zweiten Standort schützt zusätzlich vor Brand, Wasser oder einem längeren Ausfall des Gebäudes.

Gerade der vierte Punkt ist wichtig. Das BSI weist in seinem Maßnahmenkatalog zu Ransomware darauf hin, dass Angreifer mit administrativen Rechten häufig gezielt nach erreichbaren Backups suchen. Mindestens eine Sicherungskopie sollte daher nach dem Backup vom produktiven Netz getrennt sein.

Welche Rolle übernimmt lokaler Block-Storage?

Lokaler Block-Storage eignet sich vor allem für Anwendungen, die niedrige Latenzen, planbare Leistung oder eine direkte Anbindung an Server und Virtualisierungsplattformen benötigen. Typische Einsatzfelder sind Datenbanken, VMware- oder Hyper-V-Umgebungen, lokale Private Clouds und zentrale Backup-Repositories.

Bei der Auswahl sollten Unternehmen nicht mit der maximalen Kapazität beginnen, sondern mit dem Workload. Relevant sind unter anderem:

• benötigte IOPS und Durchsatzraten;

• Verhältnis von Lese- und Schreibzugriffen;

• erforderliche nutzbare Kapazität nach RAID;

• Zahl und Typ der angebundenen Hosts;

• bevorzugtes Protokoll wie SAS, iSCSI oder Fibre Channel;

• gewünschte Redundanz von Controllern, Netzwegen und Netzteilen;

• erwartetes Datenwachstum während der Nutzungsdauer.

Erst danach folgt die Entscheidung zwischen HDDs, SSDs oder einer gemischten Bestückung. Viele kleine, zufällige Zugriffe sprechen eher für SSDs. Große, überwiegend sequenziell geschriebene Backup- oder Archivbestände lassen sich häufig wirtschaftlicher auf HDDs ablegen.

Auch die Gehäuseform beeinflusst die spätere Skalierung. In der PowerVault-ME5-Serie nimmt ein 2U12-System zwölf 3,5-Zoll-Laufwerke auf, während ein 2U24-System für 24 Laufwerke im 2,5-Zoll-Format ausgelegt ist. Das größere 5U84-Gehäuse bietet 84 Einschübe für 3,5-Zoll-Laufwerke. Diese Angaben sind in der technischen Dokumentation von Dell festgehalten.

Wer eine solche lokale Speicherschicht plant, kann neue und generalüberholte Dell EMC PowerVault Storage-Systeme miteinander vergleichen. Entscheidend ist nicht allein der Anschaffungspreis: Controller-Ausstattung, Host-Schnittstellen, Laufwerkskompatibilität, Erweiterungsmöglichkeiten sowie Service- und Ersatzteilkonzept müssen zum geplanten Betriebsmodell passen.

Hybrid bedeutet klare Aufgabenteilung

Eine hybride Speicherstrategie sollte nicht dazu führen, dass Daten unkontrolliert zwischen lokalen Systemen und mehreren Cloud-Diensten verteilt werden. Sinnvoller ist eine dokumentierte Aufgabenteilung.

Ein mögliches Modell für ein mittelständisches Unternehmen sieht so aus:

• Aktive Datenbanken und virtuelle Maschinen liegen auf einem lokalen, redundant angebundenen Storage-System.

• Kollaborationsdienste und standortübergreifend benötigte Dokumente werden über einen Cloud-Service bereitgestellt.

• Lokale Snapshots ermöglichen kurze Wiederherstellungszeiten bei Bedien- oder Anwendungsfehlern.

• Verschlüsselte Backups werden an einen zweiten Standort oder in einen separaten Cloud-Speicher übertragen.

• Mindestens eine Sicherung ist offline oder durch technisch getrennte Zugangsdaten vor Veränderungen geschützt.

Dieses Modell verbindet schnelle lokale Zugriffe mit geografischer Redundanz. Gleichzeitig verhindert es, dass ein Ausfall des Internetzugangs automatisch alle zentralen Unternehmensanwendungen lahmlegt.

Wiederherstellung muss geprobt werden

Ein erfolgreich ausgeführter Backup-Job beweist lediglich, dass Daten geschrieben wurden. Er beweist nicht, dass sie vollständig, konsistent und innerhalb des vorgesehenen RTO wiederhergestellt werden können.

Deshalb empfiehlt das BSI, Backups regelmäßig auf Funktionalität, Konsistenz und Aktualität zu testen. Für geschäftskritische Systeme sollte ein Restore-Test mindestens folgende Fragen beantworten:

• Lässt sich die Sicherung ohne Zugriff auf das ausgefallene Produktivsystem entschlüsseln?

• Sind neben den Nutzdaten auch Konfigurationen, Berechtigungen und Schlüssel vorhanden?

• In welcher Reihenfolge müssen Infrastruktur, Datenbanken und Anwendungen gestartet werden?

• Wie lange dauert die vollständige Wiederherstellung unter realistischen Bedingungen?

• Wer darf einen Notfallbetrieb auslösen und wer informiert Mitarbeitende, Kunden oder Partner?

Besonders aussagekräftig ist ein kontrollierter Wiederanlauftest in einer isolierten Umgebung. Dabei zeigt sich schnell, ob Dokumentation, Zugangsdaten und Verantwortlichkeiten tatsächlich zusammenpassen.

Fünf Schritte zu einer belastbaren Speicherarchitektur

Unternehmen benötigen für den Einstieg kein jahrelanges Transformationsprogramm. Ein strukturiertes Vorgehen schafft bereits eine solide Grundlage:

1. Daten inventarisieren: Speicherorte, Verantwortliche und Abhängigkeiten erfassen.

2. Schutzbedarf festlegen: Daten klassifizieren und pro Anwendung RPO sowie RTO definieren.

3. Workloads vermessen: Kapazität, IOPS, Durchsatz und jährliches Wachstum ermitteln.

4. Zielarchitektur entwerfen: Lokalen Storage, Cloud-Dienste, Backups und Offline-Kopien klar voneinander abgrenzen.

5. Wiederherstellung testen: Ergebnisse dokumentieren und die Planung anhand der gemessenen Restore-Zeiten korrigieren.

Fazit: Kontrolle entsteht durch Wiederherstellbarkeit

Die Cloud ist für deutsche Unternehmen zu einem wichtigen Bestandteil der IT geworden. Sie macht lokalen Storage aber nicht grundsätzlich überflüssig. Für viele mittelständische Betriebe bietet eine hybride Architektur den sinnvolleren Kompromiss: Geschäftskritische Workloads bleiben schnell und unmittelbar kontrollierbar, während Cloud-Dienste Flexibilität und geografische Redundanz liefern.

Entscheidend ist letztlich nicht, ob Daten lokal oder in der Cloud gespeichert werden. Entscheidend ist, ob das Unternehmen weiß, wo sich seine Daten befinden, wer darauf zugreifen kann und wie der Betrieb nach einem Ausfall wiederhergestellt wird. Genau dort beginnt echte Datenhoheit.

Quellen

• Statistisches Bundesamt: Nutzung von Cloud Computing in deutschen Unternehmen 2025

• BSI: Zehn Tipps zur Cyber-Sicherheit für Unternehmen

• BSI: Maßnahmenkatalog Ransomware

• BSI: Umsetzungshinweise zum Datensicherungskonzept CON.3

• Dell: Technische Spezifikationen der PowerVault-ME5-Serie

 

---

Bild: Gemini

Artikel per E-Mail verschicken