"Der kurzfristige Ausstieg aus den US-Clouds muss vorbereitet werden"

Interview mit Ulrich Mauch, Enabler und Principal Consultant bei der microfin Unternehmensberatung

Herr Mauch, bei den meisten Maßnahmen der US-Regierung um Donald Trump scheint es in erster Linie ums Geld zu gehen. Besteht das Risiko für die IT also vor allem darin, dass Cloud-Services teurer werden?
Das ist nur ein Punkt. Eine mögliche Reaktion der EU auf Trumps Zollpolitik sind Gegenzölle auf US-Importe, die auch digitale Produkte und Services umfassen könnten, wie zum Beispiel Cloud-Services, IT-Hardware und Software-Lizenzen. Das wäre gleichbedeutend mit einer massiven Steigerung der IT-Kosten und damit schlechterer Wettbewerbsfähigkeit – zusätzlich zu bereits vorhandenen Belastungen durch gestiegene Energiekosten als Konsequenz des Ukraine-Konflikts.

Das ist aber nicht das einzige Risiko?
Leider nicht. Nicht mit Geld zu kompensieren wäre es, wenn die USA die rechtlichen Rahmenbedingungen für die Nutzung von Cloud-Services US-amerikanischer Anbieter verändern würden. Ein erster Warnschuss war die „Bereinigung" des Privacy and Civil Liberties Oversight Board (PCLOB), einer US-Aufsichtsbehörde, die unter anderem die Einhaltung des Transatlantic Data Privacy Framework (TDPF) überwacht. Das TDPF sichert EU-Unternehmen seit 2022 die Beachtung erforderlicher Datenschutz-Standards durch US-Technologiekonzerne in den USA zu und ermöglicht regulierten Branchen wie beispielsweise der Finanzbranche erst die Nutzung von US-Cloud-Anbietern. Nach seinem Amtsantritt hatte US-Präsident Trump alle demokratischen PCLOB-Mitglieder zur Abdankung angewiesen. Ob das Board mit einer „linientreuen" Besetzung weiterhin vertrauenswürdig ist, erscheint fraglich.

Und wenn die USA ganz aus dem Abkommen aussteigt?
Auch das ist jederzeit möglich, beispielsweise als zusätzliches Druckmittel im Zollkonflikt. Der Bundesverband der Deutschen Industrie (BDI) warnt bereits, dass das verheerende Folgen für die Wirtschaft in Europa haben würde.

Andererseits verdienen US-Tech-Konzerne in Europa viel Geld. Welches Interesse sollten sie haben, europäische Kunden zu verprellen?
Das stimmt – nach den Angaben der EU-Kommission fallen unter das TDPF inzwischen Leistungen im Wert von einer Billion US-Dollar. Aber der Zollkonflikt zeigt, dass die US-Regierung auch nicht vor Maßnahmen zurückschreckt, die für die eigene Wirtschaft mit empfindlichen Verlusten verbunden sind.

Also raus aus den US-Clouds?
Das ist – Stand heute – kurzfristig fast unmöglich. Es sind einfach nicht genügend Ersatz-Kapazitäten im Markt verfügbar. Nicht auszudenken, welche Panik entstünde, wenn sich durch die nächste Hau-Ruck-Maßnahme der US-Regierung schneller Handlungsbedarf ergeben würde. Eine Flucht aus IaaS-Lösungen beispielsweise würde das Angebot kurz- oder mittelfristig verfügbarer Rechenzentrumskapazitäten in Europa sprengen, ganz zu schweigen von der erforderlichen Hardware und dem Fachpersonal, um neue Infrastruktur physisch und logisch aufzubauen.

Rechenzentren sind das eine – Anwendungen das andere. 
Denken Sie zum Beispiel daran, was ein kurzfristiger Ausstieg aus Microsoft 365 bedeuten würde. Einzelne Anwendungen davon könnte man zwar ersetzen, eine vollwertige, integrale Alternative ist jedoch bisher nicht bekannt. Und selbst wenn es sie gäbe: Implementierung und Datenmigration würden Unternehmen über Monate beschäftigen. Hinzu kommen doppelte Kosten für bereits kontrahierte Cloud-Services und die neue Infrastruktur zu deren Ablösung.

Stecken europäische Unternehmen also in der Sackgasse?
Kurzfristig – ja. Um das mittelfristig zu ändern, sind jetzt schnelle strategische Weichenstellungen gefordert. Das ist nicht nur meine Meinung: Bereits im März hatten zum Beispiel die norwegische und die dänische Datenschutzbehörde vor US-Cloud-Anbietern gewarnt und Unternehmen empfohlen, präventiv eine Exit-Strategie zu entwickeln.

Wie kann der Einstieg in den Ausstieg denn aussehen? 
Der wichtigste Schritt ist, das auf den ersten Blick monolithisch anmutende Drohszenario zu strukturieren, die identifizierten Handlungsfelder zu priorisieren, auf eine Zeitachse zu bringen und mit Kosten und Risiken zu belegen. Schließlich sind nicht alle Cloud-Deployments gleich: Einige könnten schon jetzt ohne nennenswerte Einschränkungen aus US-Clouds abgezogen werden. Andere Use Cases bzw. Workloads sind nicht trivial on-Premises oder in eine EU-Cloud zu migrieren. Hier wären also höhere Kosten in einer Gesamtsicht zumindest mittelfristig günstiger als ein schneller Exit aus einer US-Cloud. So werden aus Bauchgefühlen konkrete Projekte, die Entscheidern vorgelegt, budgetiert und umgesetzt werden können. Wer sich rechtzeitig vorbereitet, ist im Ernstfall schnell handlungsfähig.

Das löst aber noch keine Engpässe in deutschen und europäischen RZ-Kapazitäten? 
Nein – aber wer benennen kann, was er wann und wie braucht, steht in der Warteschlange um europäische RZ- und Cloud-Ressourcen weiter vorne. Wie lange diese Schlange wird, hängt dann davon ab, ob höhere Kosten oder Compliance-Bedingungen den Anlass geben werden.

Für wie wahrscheinlich halten Sie persönlich die Worst-Case-Szenarien?
Da kann ich auch nur spekulieren – das ist ja das Schwierige an der aktuellen Lage. Vorbereitung ist aber alles: Wenn Europas Cloud-User nicht eines Tages aus allen Wolken fallen wollen, müssen Unternehmen bereits heute damit beginnen, sich auf die drohenden Unwetter am Cloud-Markt vorzubereiten. Als Nutzer von US-Clouds würde ich mich heute schon warm anziehen.