Bei einem Umzug in die Cloud entsteht oft eine Kopie, die in keinem Projektplan steht. Der Dienstleister zieht Postfächer und Ordner mit seinem Migrationswerkzeug um und legt dabei Zwischenstände auf eigenem Speicher ab. Ob und wann er sie löscht, fragt kaum jemand, solange der Termin drängt. Nach der Abnahme ist die Frage schwerer zu stellen.
Solche Punkte haben wir für diesen Beitrag gesammelt, zehn insgesamt, und zu jedem ein kostenloses Werkzeug oder eine frei zugängliche Vorgabe gesucht. Jede Prüfung endet mit einem Abnahmekriterium, damit am Ende klar ist, ob sie bestanden ist. Das Beispiel ist ein Betrieb mit rund 40 Arbeitsplätzen, der Mail und Dateien vom eigenen Server nach Microsoft 365 holt. Die Werkzeugseiten haben wir zuletzt am 21. Oktober 2026 aufgerufen.
Bevor der Dienstleister Zugang bekommt
1. Bestanden, wenn das Prüfprotokoll läuft, bevor der Dienstleister sein Adminkonto bekommt
Der Mandant, also die Microsoft-365-Umgebung des Betriebs, besteht seit Jahren, weil dort die Office-Lizenzen liegen. Mail und Dateien kommen erst jetzt dazu. Für den Umzug bekommt der Dienstleister nächste Woche ein Konto mit globalen Administratorrechten.
On-Premise Server in die Cloud
Modernisieren Sie Ihre IT und sparen Sie Kosten
Vorher lohnt ein Lauf mit dem Microsoft-365-Check von hagel IT, einem PowerShell-Skript, das zwölf Einstellungen liest und daraus einen Härtungsbericht für den Mandanten vor der Migration schreibt. Vor dem Umzug sollten möglichst viele Prüfungen auf „Bestanden“ stehen. Am wichtigsten ist Prüfung 08, das einheitliche Prüfprotokoll. Was vor dem Einschalten geschah, holt es laut Werkzeugseite nicht nach. Ist es aus, hinterlassen die Wochen, in denen ein Fremder mit Höchstrechten im Mandanten arbeitet, keine Spur. In Prüfung 02 geht es um die Adminkonten selbst, ihre Zahl und den zweiten Faktor. Sobald das Konto des Dienstleisters eingerichtet ist, lassen Sie das Skript deshalb ein zweites Mal laufen.
Den Bericht vom Tag vor dem Umzug legen wir in die Projektakte. Er zeigt später, welche Mängel schon vorher bestanden und welche erst während der Migration entstanden sind.
Der Fileserver, der umziehen soll, kommt im Bericht nicht vor, denn das Skript liest nur den Mandanten. Wer auf dem alten Server welche Ordner öffnen durfte, sehen Sie dort selbst nach, bevor die Rechte mit umziehen.
2. Jedes Programm neben Microsoft 365 hat einen Tarif, in dem die Daten bleiben dürfen
Zwei Abteilungen arbeiten außerhalb des Mandanten. Die Konstruktion tauscht Zeichnungen mit Kunden über Dropbox, sechs Lizenzen im Monatsabo. Die Projektleitung skizziert in Miro. Im Umzugsplan muss stehen, was in SharePoint und Teams aufgeht und was weiterläuft.
Dafür haben wir zuerst den Prüfstand von frag.hugo mit Tarifurteilen für Dropbox und Miro geöffnet. Er misst sieben verbreitete Programme an zehn festen Kriterien, darunter den Speicherort und das Vorliegen eines AVV, also eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO. Alle sieben stehen auf „Mit Auflagen“, zuletzt geprüft am 19. Oktober 2026. Laut Dropbox-Steckbrief liegen die Dateien ohne Antrag in den USA, und beantragen lässt sich der EU-Speicherort erst ab zehn Lizenzen mit Jahresabrechnung. Mit sechs Lizenzen im Monatsabo kommt der Betrieb dort nicht hin. Bei Miro gilt der AVV in allen Self-Service-Tarifen, und Boards liegen standardmäßig in der EU, in Irland mit Sicherung in Deutschland. Für Firmendaten empfiehlt der Steckbrief mindestens Business.
Im Beispiel war die Sache damit schnell entschieden. Die Zeichnungen ziehen mit nach SharePoint, Miro bleibt und wechselt in den Tarif Business.
Für Programme jenseits der sieben hilft der Prüfstand noch nicht, Trello und Airtable etwa stehen erst in seiner Warteschlange. Ob ein Werkzeug fachlich in SharePoint aufgehen kann, beurteilt er ohnehin nicht.
Verträge und Nachweise vor der Unterschrift
3. Erst abgehakt, wenn das Verarbeitungsverzeichnis Microsoft in jeder betroffenen Zeile nennt
Im Verzeichnis der Verarbeitungstätigkeiten steht bei Lohnunterlagen, Bewerbungen und Kundenkorrespondenz als Ort bisher „Server im Haus“. Ab dem Umzugstag stimmt das in keiner dieser Zeilen mehr.
Dass es fast jede Zeile trifft, steht auf der Seite des Subprozessor-Monitors über Microsoft als Auftragsverarbeiter. Microsoft sei „der mit Abstand häufigste Auftragsverarbeiter im deutschen Mittelstand“, weil Exchange Online, SharePoint, Teams und Entra ID in fast jeder Verarbeitungstätigkeit stecken. Für die Akte verlinkt die Seite das Data Processing Addendum von Microsoft, also dessen AVV. Außerdem gleicht der Monitor täglich ab, ob sich Microsofts Angaben zu den eigenen Unterauftragsverarbeitern geändert haben. Den Hinweis darauf abonnieren Sie am besten schon vor dem Umzug, damit die erste Änderung nicht im Trubel der Umstellung untergeht.
Bei Microsoft erkennt der Monitor lediglich, dass das Dokument geändert wurde. Die Namen der neuen Unterauftragsverarbeiter stehen im Service Trust Portal, und dort kommt nur hinein, wer sich anmeldet. Die Einträge im Verzeichnis schreibt der Monitor ohnehin nicht, in seinen häufigen Fragen sagt er selbst, dass er die eigene Dokumentation nicht ersetzt.
Wer für die Website oder neue KI-Dienste gleich mit nachsehen will, findet die übrigen Prüfhilfen im Werkzeugverzeichnis von frag.hugo.
4. Der AVV mit dem Umzugsdienstleister nennt ein Datum für die Löschung seiner Zwischenkopie
Im Angebot des Dienstleisters stehen Postfachzahl, Termin und Preis. Was nach der Abnahme mit den Zwischenständen auf seinem Speicher passiert, steht nirgends.
Während des Umzugs verarbeitet der Dienstleister Ihre Daten in Ihrem Auftrag, er braucht also selbst einen AVV. Die AVV-Checkliste mit dem Prüfpunkt zur Löschung nach Auftragsende von frag.hugo hat dafür einen eigenen Punkt: „Löschung/Rückgabe der Daten nach Auftragsende ist festgelegt“. Im selben Block fragt sie, ob die Unterstützung bei Betroffenenrechten vereinbart ist. Das wird wichtig, wenn mitten im Umzug jemand Auskunft verlangt und ein Teil seiner Mails gerade beim Dienstleister liegt. Insgesamt fragt die Liste 20 Punkte nach Art. 28 DSGVO in sechs Blöcken ab.
Abgehakt wird von Hand. Ob die Löschklausel brauchbar formuliert ist, prüft die Liste nicht, und ein festes Datum steht nur im Vertrag, wenn Sie es vorher verlangt haben.
5. Grün ist der Cloud-Anbieter erst, wenn sein aktueller C5-Bericht gelesen in der Akte liegt
Mit dem Umzug soll auch die Branchensoftware vom eigenen Server in die Cloud-Version des Herstellers wechseln. Im Angebot steht „zertifiziertes Rechenzentrum in Deutschland“, mehr nicht.
Wonach man fragen kann, beschreibt der Kriterienkatalog C5 des BSI. Er legt Mindestanforderungen an Cloud-Dienste fest, erschien 2016 zum ersten Mal und wurde 2025 und 2026 grundlegend überarbeitet. Nach Kenntnis des BSI gibt es mehr als hundert Testate, darunter auch für mittelständische und kleinere Anbieter. Erstellt werden sie von Wirtschaftsprüfern, die der Anbieter selbst beauftragt. Je nach Prüfungstyp zeigt der Bericht nur, ob die Kriterien zum Prüfzeitpunkt erfüllt waren, oder auch, ob sie über einen Zeitraum durchgängig eingehalten wurden. Das BSI rät Kunden, den Bericht zu Beginn und danach jedes Jahr anzufordern.
Die Anfrage an den Hersteller kostet eine Mail. Bitten Sie um den Bericht für genau den Dienst, den Sie kaufen. Ein Testat für das Rechenzentrum, in dem der Hersteller seine Server mietet, beschreibt dessen Software noch nicht.
Lesen müssen Sie den Bericht selbst. Das BSI wählt die Prüfer nicht aus und wertet keine Berichte aus. Hat ein kleiner Hersteller gar kein Testat, ist das für uns noch kein Ausschlussgrund, wohl aber eine Frage mehr im Auswahlgespräch.
Probelauf und Sicherung
6. Freigegeben wird der Umzugstermin erst nach einem Testlauf mit echten Ordnern
Der Dienstleister will alles an einem Wochenende erledigen. Einen Testlauf hält er für unnötig, sein Team mache so etwas ständig.
Die Grundschutz-Vorgaben des BSI für den Testlauf vor einer Migration sehen das anders. Im Baustein OPS.2.2 zur Cloud-Nutzung verlangt Anforderung A5 vor jeder Migration ein Migrationskonzept mit Aufgabenverteilung. Ausdrücklich soll dabei die eigene IT ausreichend berücksichtigt werden, und es soll geklärt sein, ob die Belegschaft eine Schulung braucht. Nach Anforderung A10 soll die Migration „zunächst in einem Testlauf überprüft werden“, und alle Maßnahmen der Notfallvorsorge sollen vollständig und aktuell sein. Nach dem Start soll abgeglichen werden, ob der Anbieter erfüllt, was vereinbart war.
Im Beispiel genügt als Testlauf ein Postfach aus der Buchhaltung und ein Projektordner mit langen Dateinamen und tief verschachtelten Unterordnern. Danach weiß man, ob Rechte und Pfade heil ankommen.
Beide Anforderungen gehören zur Standard-Stufe, die das BSI „grundsätzlich“ erfüllt sehen will. Eine Pflicht ergibt sich daraus nach unserer Einschätzung nur, wenn Sie nach IT-Grundschutz arbeiten oder ein Auftraggeber es verlangt. Wie groß ein Testlauf sein muss, lässt der Baustein offen.
7. Erledigt ist die Sicherung, wenn jemand eine Datei aus SharePoint zurückgeholt hat
Bis zum Umzug sichert ein Bandlaufwerk den Fileserver jede Nacht. Danach soll der Server weg. Im Angebot des Dienstleisters gibt es keine Zeile zur Sicherung von SharePoint, OneDrive oder Exchange Online.
Woran sich ein Plan dafür messen lassen muss, fasst die Anleitung von hagel IT zum Erkennen eines Scheinbackups in einem Satz zusammen. Ein Scheinbackup sichert nicht alle Dienste, liegt im selben Tenant oder wurde nie zurückgespielt. Ausgangspunkt ist das Modell der geteilten Verantwortung. Microsoft hält den Dienst verfügbar, für Daten, Konten und Einstellungen bleibt der Kunde zuständig. Laut Beitrag muss eine Sicherung alle vier Dienste abdecken, also Exchange, SharePoint, OneDrive und Teams.
Für die Abnahme reicht ein kleiner Versuch, solange der alte Server noch läuft. Jemand löscht eine Testdatei, und eine zweite Person holt sie aus der neuen Sicherung zurück.
Der Beitrag ist eine Anleitung und kein Prüfwerkzeug. Welche Sicherungslösung passt, vergleichen Sie selbst, und auch der Microsoft-365-Check aus Abschnitt 1 sieht keine Backups.
Die Mailumstellung und der Montag danach
8. Abgenommen ist die Mailumstellung, wenn MX, SPF und MTA-STS auf Exchange Online zeigen
Am Umzugswochenende stellt der Dienstleister den MX-Eintrag auf Exchange Online um. Dieser Eintrag sagt fremden Mailservern, wohin Post für Ihre Domain gehen soll. Im SPF-Eintrag, der die erlaubten Absender nennt, stehen bisher der eigene Server und ein Newsletterdienst. Eine MTA-STS-Richtlinie hat der frühere Hoster vor Jahren angelegt.
Der Mail-Check von frag.hugo, der auch MTA-STS und TLS-RPT ausliest, zeigt alle drei Einträge nebeneinander. Er fragt zehn Prüfpunkte im öffentlichen DNS ab, bewertet jeden mit einer Ampel und liefert für fehlende Einträge den Text zum Kopieren. Lassen Sie ihn eine Woche vor der Umstellung laufen, heben Sie das Ergebnis auf und wiederholen Sie ihn am Montag danach, auch um zu sehen, ob DKIM für Exchange Online schon eingerichtet ist. Eine MTA-STS-Richtlinie nennt die Mailserver, an die andere nur verschlüsselt zustellen. Steht sie im strengen Modus „enforce“, schreibt der Check dazu: „Bei einem Anbieterwechsel die Richtlinie vorher anpassen, sonst bleibt Post liegen.“ Weil sendende Server die Richtlinie eine Zeit lang zwischenspeichern, wird sie vor der MX-Umstellung angepasst, nicht am selben Abend.
Cloud Migrationen zu Azure
Sicher und schnell in die Cloud – zum Festpreis
Den Ablauf eines solchen Wochenendes beschreibt hagel IT im Leitfaden zur Exchange-Migration mit den Fallstricken bei MX und Autodiscover. Für Betriebe unter 150 Postfächern hält er die Cutover-Migration meist für den richtigen Weg, alle Postfächer auf einmal, in der Regel an einem Wochenende. Die größten Fallstricke liegen laut Beitrag bei DNS und MX, bei Autodiscover, bei öffentlichen Ordnern und bei falsch kalkulierten Lizenzen.
Ob die Server in der MTA-STS-Richtlinie zum neuen MX passen, vergleicht der Check nicht selbst. Er listet beide auf, den Abgleich machen Sie. Autodiscover, über das Outlook seinen Server findet, gehört nicht zu den zehn Punkten. Ob die Outlook-Profile am Montag den neuen Server finden, zeigt erst ein Rechner im Büro.
9. Erfüllt, sobald im Umzugsplan steht, wo bei einer Störung zuerst nachgesehen wird
Am Montag nach dem Umzug brauchen die neuen SharePoint-Ordner in der Konstruktion Minuten zum Öffnen, und beim Dienstleister klingelt das Telefon.
Ob gerade Microsoft hakt, sehen Sie in wenigen Sekunden auf der Störungstafel von hagel IT mit eigener Zeile für Microsoft 365. Exchange Online und Teams stehen dort getrennt davon, und die Tafel unterscheidet offene kleinere Hinweise von einer echten Störung. Am Morgen des 21. Oktober 2026 meldete sie für Microsoft 365 elf kleinere Hinweise und keine Störung. Weil auch Dropbox auf der Tafel steht, lassen sich während der Übergangszeit der alte und der neue Speicherort im selben Fenster ansehen.
Die Angaben zu Microsoft fragt die Tafel über den Mandanten von hagel IT ab. Nach unserer Einschätzung meldet Microsoft manche Störungen nur den Mandanten, die betroffen sind. Trifft eine Störung Ihren Mandanten, aber nicht den von hagel IT, steht die Tafel trotzdem auf „Normal“. Dann hilft der Blick in den Dienststatus Ihres eigenen Admin-Centers, und einen hängenden Migrationsauftrag sieht ohnehin nur das Werkzeug des Dienstleisters.
Was nach dem Umzug abgeschaltet wird
10. Fertig ist der Umzug erst, wenn jeder Altserver einen Abschalttermin hat
Der alte Exchange-Server soll „zur Sicherheit“ noch ein paar Monate weiterlaufen, der Fileserver als Archiv. Beide laufen auf Windows Server 2016.
Wie lange das vertretbar ist, zeigt die Übersicht der IT-Stichtage 2026/2027 bei hagel IT. Exchange 2016 und 2019 stehen dort seit dem 14. Oktober 2025 mit Support-Ende. Für Windows Server 2016 endet der Support am 12. Januar 2027 endgültig, die Seite führt den Termin deshalb als „Dringend“, was dort weniger als sechs Monate bedeutet. Jede Frist trägt eine Primärquelle, meist Microsoft Learn. Nach dem Support-Ende bleibt laut Seite jede neu entdeckte Lücke für immer offen.
Für den alten Exchange gibt es kein Datum mehr, vor dem man bleiben könnte. Er bekommt seit dem 14. Oktober 2025 keine Sicherheitsupdates. Als Abschalttermin gilt deshalb das Umzugswochenende, spätestens der Tag, an dem das letzte Postfach geprüft ist. Für den Fileserver auf Windows Server 2016 zählt ein Datum vor dem 12. Januar 2027. Zu jedem Termin gehört der Name der Person, die den Server herunterfährt. Wir würden am selben Tag auch die Freigaben in der Firewall schließen.
Die Übersicht ist eine Auswahl von hagel IT und wirbt nebenbei für deren Leistungen. Ihre Branchensoftware finden Sie dort nur, wenn sie auf einem der gelisteten Produkte aufsetzt, etwa auf SQL Server 2016, dessen Support seit Juli 2026 abgelaufen ist.
Abnahmeprotokoll für die Umzugsakte
| Prüfung | Spätestens | Beleg für die Umzugsakte |
|---|---|---|
| 1. Prüfprotokoll und Adminkonten im Mandanten | bevor der Dienstleister Zugang bekommt | Bericht vom Vortag, zweiter Lauf nach Einrichtung seines Kontos |
| 2. Tarife der Programme neben Microsoft 365 | vor der Projektplanung | Liste je Programm: zieht um oder bleibt, mit Tarif |
| 3. Verarbeitungsverzeichnis | vor dem Umzugstag | geänderte Zeilen und der AVV von Microsoft |
| 4. AVV mit dem Umzugsdienstleister | vor der Auftragsvergabe | unterschriebener AVV mit Löschdatum für die Zwischenkopie |
| 5. C5-Bericht des Softwareherstellers | vor dem Vertrag mit dem Hersteller | Bericht oder schriftliche Auskunft, dass es keinen gibt |
| 6. Testlauf | zwei Wochen vor dem Termin | Protokoll mit Testpostfach und Projektordner |
| 7. Rücksicherung aus der neuen Sicherung | bevor der Altserver abgeschaltet wird | Notiz, wer welche Datei zurückgeholt hat |
| 8. MX, SPF und MTA-STS | eine Woche vorher und am Montag danach | zwei Ergebnisse des Mail-Checks zum Vergleich |
| 9. Erste Anlaufstelle bei Störungen | vor dem Umzugswochenende | Zeile im Umzugsplan mit Link und Telefonnummer des Dienstleisters |
| 10. Abschalttermine | vor der Abnahme | Datum und Name je Altserver |
Go oder No-Go am Freitag vor dem Umzug
Am Freitag vor dem Umzugswochenende lohnt eine halbe Stunde mit Geschäftsführung, IT und Dienstleister. Danach steht fest, ob umgezogen oder verschoben wird.
Verschoben wird, solange einer dieser Punkte offen ist:
- Das Prüfprotokoll im Mandanten ist aus, oder das Konto des Dienstleisters meldet sich ohne zweiten Faktor an.
- Mit dem Dienstleister gibt es keinen unterschriebenen AVV.
- Ein Testlauf hat nicht stattgefunden.
- Für die Sicherung nach dem Umzug ist niemand benannt.
Umziehen und in den Wochen danach nachziehen lässt sich, was vor allem Papier betrifft:
- die geänderten Zeilen im Verarbeitungsverzeichnis,
- die Auswertung des C5-Berichts,
- die Entscheidung über Dropbox und Miro, solange dort keine neuen Kundendaten hineinkommen,
- der Rücksicherungsversuch und die Abschalttermine, sofern der Fileserver vor dem 12. Januar 2027 abgeschaltet wird und der alte Exchange vom Internet getrennt ist.
Steht noch gar kein Umzugstermin fest, fangen Sie mit den zwei Prüfungen an, die nur eine Mail kosten. Die eine geht an den Dienstleister und fragt nach seinem AVV samt Löschdatum, die andere an den Hersteller der Branchensoftware mit der Bitte um den C5-Bericht. Kommt nach einer Woche keine Antwort, gehört das als offene Frage auf die Liste für den Freitag vor dem Umzug.
