Zum Inhalt springen

Häufig gestellte Fragen

Ist Cloud-ERP grundsätzlich sicherer als On-Premise?

Eine pauschale Antwort greift zu kurz, weil Sicherheit nach dem Modell der geteilten Verantwortung (Shared Responsibility) aufgeteilt ist: Der Cloud-Anbieter verantwortet physische Infrastruktur und Plattform, der Kunde bleibt für Berechtigungen, Identity-Management und Datenklassifikation zuständig. Große Hyperscaler beschäftigen mehrere Hundert Sicherheitsspezialisten, betreiben nach Standards wie ISO 27001, SOC 2 und dem BSI-Katalog C5 testierte Rechenzentren und patchen Schwachstellen oft sehr schnell, was eine kleine interne IT-Abteilung selten erreicht. Die häufigste Ursache für Cloud-Sicherheitsvorfälle sind allerdings nicht Lücken beim Anbieter, sondern Konfigurationsfehler des Kunden wie übermäßige Berechtigungen oder ungesicherte API-Endpoints, deren Vermeidung laut Gartner überwiegend in der Verantwortung des Kunden liegt. Entscheidend ist deshalb weniger das Bereitstellungsmodell als eine konsequente Sicherheitsarchitektur mit Zero-Trust-Prinzipien und getesteter Disaster-Recovery-Strategie.

Welche Branche sollte eher On-Premise oder Private Cloud wählen?

Tendenziell Unternehmen mit tiefer OT-Integration wie Maschinenbau, Metallverarbeitung oder Prozessindustrie, deren ERP eng mit MES-, SCADA- oder PLM-Systemen verzahnt ist, sowie regulierte Branchen wie Pharma, Medizintechnik oder Verteidigung mit strengen Datenresidenz- und Auditierbarkeitsanforderungen. Auch Organisationen mit sehr tiefem Customizing oder Eigenentwicklungen, die sich in standardisierten Public-Cloud-Versionen nicht abbilden lassen, fahren mit Private Cloud oder On-Premise oft besser. Dienstleister, E-Commerce-Unternehmen und Handwerksbetriebe mit überwiegend standardisierbaren Prozessen profitieren dagegen meist von Public-Cloud-SaaS. In der Praxis ist die Private Cloud häufig der pragmatische Mittelweg, weil sie Customizing-Tiefe mit ausgelagertem Betrieb und EU-Datenhaltung kombiniert.

Wann ist On-Premise wirtschaftlich günstiger als Cloud-ERP?

Über sehr lange Investitionszyklen kann sich klassisch lizenziertes On-Premise rechnen, weil die laufenden Subskriptionskosten der Cloud auf zehn bis fünfzehn Jahre summiert die einmaligen Kapitalkosten übersteigen können. Voraussetzung ist allerdings, dass ein weitgehend abgeschriebenes Rechenzentrum vorhanden ist und ein erfahrenes internes IT-Team Sicherheit, Hochverfügbarkeit und Patchmanagement dauerhaft trägt. Hinzu kommen bei On-Premise jährliche Wartungs- und Softwarepflegegebühren von typischerweise rund 18 bis 22 Prozent der Lizenzsumme, die in jede TCO-Rechnung gehören. Belastbar wird der Vergleich nur über eine TCO-Modellierung über fünf bis sieben Jahre, die Lizenzen, Implementierung, interne Aufwände, Hosting und Releasewechsel vollständig berücksichtigt.

Was kostet ein Wechsel vom On-Premise zum Cloud-ERP?

Die Kosten hängen stark vom Customizing-Stand und vom gewählten Migrationspfad ab und können einen erheblichen Teil der ursprünglichen Implementierungskosten erreichen. Eine Greenfield-Migration, also die saubere Neuimplementierung in der Cloud, verursacht zwar höheren Initialaufwand als ein Brownfield-Ansatz, der bestehende Strukturen weitgehend übernimmt, entrümpelt dafür aber veraltete Anpassungen und fokussiert auf den Standard, was langfristig oft günstiger und stabiler ist. Brownfield-Ansätze sind kurzfristig kostengünstiger und weniger disruptiv, übernehmen aber technische Altlasten in die neue Umgebung. Eine belastbare Zahl lässt sich nur projektspezifisch nach einer Bestandsaufnahme von Schnittstellen, Workflows und Sonderlogiken ermitteln, weshalb ein Proof-of-Concept auf zwei bis drei kritischen Prozessen vor der Budgetfreigabe empfehlenswert ist.

Welche DSGVO- und CLOUD-Act-Risiken bestehen bei US-Cloud-Anbietern?

Public-Cloud-Anbieter mit US-Mutterkonzern unterliegen dem US-CLOUD-Act, der amerikanischen Behörden unter Umständen Zugriff auf Daten einräumt, selbst wenn diese in europäischen Rechenzentren liegen. Das EU-US Data Privacy Framework, dessen Angemessenheitsbeschluss im Juli 2023 erging, regelt zwar die Adäquanz kommerzieller Datentransfers, hebt die behördlichen Zugriffsrechte aus CLOUD Act und FISA 702 jedoch nicht auf, und nach dem Schrems-II-Urteil von 2020 bleibt die Rechtslage durch eine anhängige Klage gegen das Framework vor dem EuGH weiter in Bewegung. Für besonders sensitive Datenkategorien wie Personal-, Gesundheits- oder Geschäftsgeheimnisdaten empfehlen sich daher EU-Sovereign-Cloud-Optionen oder europäische Anbieter sowie technische Maßnahmen wie kundenverwaltete Verschlüsselungsschlüssel, bei denen der Anbieter selbst die Daten nicht entschlüsseln kann. Eine systematische Datenklassifikation und ein sauberer Auftragsverarbeitungsvertrag inklusive Prüfung der Sub-Auftragsverarbeiter sind dafür die Grundlage.

Wie verhindern wir Vendor-Lock-in im Cloud-ERP?

Der wichtigste Hebel ist eine bereits im Vertrag verankerte Exit-Strategie mit klaren Klauseln zu Datenexport, Schnittstellenoffenheit und Übergangsunterstützung im Kündigungsfall. Achten Sie darauf, Daten in standardisierten Formaten wie CSV, JSON oder XML exportieren zu können, Standard-APIs zu nutzen und Customizing möglichst auf separaten Layern oder Microservices statt im Core-System zu verankern. Eine Mindestlaufzeit für Übergangsunterstützung von zwölf bis achtzehn Monaten nach Kündigung verschafft realistischen Spielraum für eine geordnete Migration, und eine anbieterunabhängige Dokumentation von Konfigurationen, Workflows und Berechtigungen ist die Basis für die Re-Implementierung in einem alternativen System. Ein jährlich durchgeführter Test-Export stellt sicher, dass die exportierten Daten im Ernstfall tatsächlich vollständig und interpretierbar sind, denn ein nie getesteter Exit-Plan hilft im Krisenfall nicht.