Der Datenexport aus einer gekündigten Cloud-Umgebung kommt in aller Regel an. Er liegt dann als Objektsammlung auf einem Speichersystem im eigenen Haus, mehrere Terabyte groß, vollständig, mit Prüfsummen. Was danach passiert, beschreiben Projektberichte auffällig gleichförmig: Die Daten sind da, und niemand kann sie in Betrieb nehmen. Es fehlt nicht der Inhalt, sondern die Umgebung, die ihn wieder liest — Indizes, Rechtemodell, Auslöser, Abfragedialekt, Alarmschwellen.
Diese Beobachtung deckt sich mit dem, was die einschlägigen Regelwerke tatsächlich verlangen. Sowohl die europäische Datenverordnung als auch der Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik regeln den Ausstieg in erster Linie als Datenherausgabe. Die Frage, ob nach der Herausgabe noch etwas läuft, wird nur in einem einzigen, eng begrenzten Fall gestellt. Wer eine Rückmigration plant, plant deshalb nicht den Transport, sondern den Wiederaufbau.
On-Premise Server in die Cloud
Modernisieren Sie Ihre IT und sparen Sie Kosten
Eine Cloud Exit Strategie für die Rückmigration besteht aus zwei Teilen, die häufig verwechselt werden: der Datenherausgabe und dem Wiederaufbau der Verarbeitung. Die Herausgabe ist seit dem 12. September 2025 europäisch geregelt — Verordnung (EU) 2023/2854 gibt Kunden einen verbindlichen Übergangszeitraum von höchstens 30 Kalendertagen, eine Ankündigungsfrist von maximal zwei Monaten und ab dem 12. Januar 2027 einen entgeltfreien Wechsel. Der Wiederaufbau ist nicht geregelt: Funktionsäquivalenz schuldet nur, wer Infrastrukturdienste anbietet, und auch dort nur „ein Mindestmaß an Funktionalität“. Alles oberhalb der Infrastruktur — verwaltete Datenbanken, Ereignisdienste, Rechteverwaltung, Auswertungen — ist beim Zielanbieter oder im eigenen Rechenzentrum neu zu bauen. Diesen Teil bemisst die Exit-Planung, nicht die Datenmenge.
Was seit dem 12. September 2025 gilt — und was erst 2027
Die europäische Datenverordnung, Verordnung (EU) 2023/2854, ist am 11. Januar 2024 in Kraft getreten und gilt seit dem 12. September 2025. Ihr Kapitel VI regelt den Wechsel zwischen Datenverarbeitungsdiensten und bindet Anbieter unmittelbar, ohne dass ein nationales Umsetzungsgesetz nötig wäre. Zuständige Stelle in Deutschland ist die Bundesnetzagentur.
Die Fristen stehen in Artikel 25. Die Ankündigungsfrist, nach deren Ablauf der Wechsel beginnt, darf zwei Monate nicht überschreiten (Absatz 2 Buchstabe d). Danach beginnt ein verbindlicher Übergangszeitraum von höchstens 30 Kalendertagen (Absatz 2 Buchstabe a). Ist der Wechsel technisch in dieser Zeit nicht durchführbar, darf der Anbieter verlängern — auf höchstens sieben Monate (Absatz 4). Der Kunde selbst darf den Übergangszeitraum einmalig verlängern, wenn ihm eine andere Dauer angemessener erscheint (Absatz 5). Nach dessen Ablauf bleiben die Daten mindestens 30 weitere Kalendertage abrufbar (Absatz 2 Buchstabe g), danach werden sie vollständig gelöscht (Buchstabe h).
Die Entgelte laufen stufenweise aus. Vom 11. Januar 2024 bis zum 12. Januar 2027 dürfen Anbieter ermäßigte Wechselentgelte erheben, die ausschließlich die unmittelbar mit dem Wechsel verbundenen Kosten decken (Artikel 29 Absätze 2 und 3). Ab dem 12. Januar 2027 sind Wechselentgelte vollständig untersagt (Absatz 1). Als Wechselentgelt gelten laut Artikel 2 Nummer 34 ausdrücklich auch Datenextraktionsentgelte — laufende Standarddienstentgelte dagegen nicht.
Funktionsäquivalenz endet bei der Infrastruktur
Der entscheidende Bruch steckt in Artikel 30. Absatz 1 verpflichtet Anbieter von Infrastruktur-Datenverarbeitungsdiensten, alle ihnen zur Verfügung stehenden angemessenen Maßnahmen zu ergreifen, damit der Kunde nach dem Wechsel Funktionsäquivalenz erreicht — durch Kapazitäten, Informationen, Dokumentation und technische Unterstützung. Absatz 2 gilt für alle übrigen Datenverarbeitungsdienste, also für Plattform- und Anwendungsdienste. Dort schuldet der Anbieter lediglich unentgeltliche offene Schnittstellen mit ausreichenden Informationen, um Software für Datenübertragung und Interoperabilität zu entwickeln. Von Funktionsäquivalenz ist keine Rede mehr.
Wie weit die Zusage selbst dort reicht, wo sie gilt, beschreibt die Begriffsbestimmung.
„die Wiederherstellung — auf der Grundlage der exportierbaren Daten und digitalen Vermögenswerte des Kunden — eines Mindestmaßes an Funktionalität in der Umgebung eines neuen Datenverarbeitungsdienstes der gleichen Dienstart nach dem Wechsel“
Verordnung (EU) 2023/2854, Artikel 2 Nummer 37, Begriffsbestimmung „Funktionsäquivalenz“
Drei Einschränkungen stecken in diesem Satz. Geschuldet ist ein Mindestmaß, kein gleichwertiger Betrieb. Es gilt nur gegenüber einem Dienst derselben Dienstart — der Rückweg ins eigene Rechenzentrum ist damit nicht abgedeckt. Und Grundlage sind ausschließlich die exportierbaren Daten. Was dort nicht hineinfällt, fällt auch aus der Zusage heraus.
Was „exportierbare Daten“ ausdrücklich nicht umfasst
Artikel 2 Nummer 38 definiert exportierbare Daten als Eingabe- und Ausgabedaten einschließlich Metadaten, die durch die Nutzung des Dienstes entstehen — „mit Ausnahme der Vermögenswerte oder Daten eines Anbieters von Datenverarbeitungsdiensten oder Dritter, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen“. Genau in dieser Ausnahme liegt der Betriebsteil einer verwalteten Umgebung: die Abfrage-Engine, das Kapazitätsmodell, die Ereignisverteilung, die Auswertungslogik. Herausgegeben wird, was in den Dienst hineingeflossen und aus ihm herausgekommen ist, nicht der Dienst.
Der Kriterienkatalog C5 des BSI beschreibt dieselbe Grenze aus Prüfersicht. In den ergänzenden Hinweisen zu Kriterium PI-01 hält er fest, dass der Anbieter zu Zwecken der Portabilität keine neuen Technologien entwickeln und keine Informationen teilen muss, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen. Zu Kriterium PI-02 präzisiert er die Rollenverteilung: Bei infrastruktur- und plattformnahen Diensten ist der Kunde grundsätzlich selbst für Extraktion und Sicherung zuständig; die Verantwortung des Anbieters beschränkt sich typischerweise auf Konfigurationsdaten der Infrastruktur — Netzkonfiguration, Abbilder virtueller Maschinen und Container. Bei Anwendungsdiensten sind Exportfunktionen des Anbieters maßgeblich, Protokolle und Metadaten sollen in einem gängigen Standardformat wie CSV, JSON oder XML vorliegen.
Was man mitnehmen kann und was neu gebaut werden muss
Aus diesen beiden Regelwerken lässt sich die Rückmigration nach Bestandteilen sortieren. Die linke Spalte ist der Teil, den Fristen und Entgeltregeln des Data Act abdecken. Die rechte Spalte ist der Teil, der die Projektdauer bestimmt und in keinem der Regelwerke einen Anspruchsgegner hat.
| Bestandteil | Kommt als exportierbare Daten heraus | Bleibt beim Anbieter und ist neu zu bauen |
|---|---|---|
| Objektspeicher | Dateien samt Metadaten in gängigen Formaten | Zugriffsrichtlinien, Lebenszyklus- und Versionsregeln |
| Verwaltete relationale Datenbank | Abzug der Nutzdaten in Standardformat | Parametersätze, Replikations- und Sicherungsverfahren |
| Proprietäre NoSQL-Datenbank | Datensätze als JSON oder vergleichbar | Abfragemodell, Indizes, Kapazitätssteuerung |
| Analyse- und Auswertungsdienst | Tabelleninhalte als CSV, JSON oder XML | Abfragedialekt, gespeicherte Routinen, Zeitpläne |
| Ereignis- und Warteschlangendienste | Nur der aktuelle, meist flüchtige Inhalt | Zustellsemantik, Wiederholungen, Reihenfolgegarantien |
| Identitäts- und Rechteverwaltung | Kontenbestand und Zuordnungen | Richtlinien, Rollen, Vertrauensbeziehungen |
| Netz- und Sicherheitskonfiguration | Konfigurationsdaten, Abbilder (C5 PI-02) | Gleichwertige Regeln in der Zielumgebung |
| Protokolle und Betriebskennzahlen | Rohdaten im Standardformat | Auswertungen, Schwellenwerte, Alarmierung |
Der Datentransport ist nicht mehr der teure Teil
Lange galt die Gebühr für abgehenden Datenverkehr als das eigentliche Ausstiegshindernis. Für den Regelbetrieb gilt das weiterhin: Amazon Web Services weist für die Datenübertragung von Amazon S3 in der Region Europa (Irland) ins Internet einen Listenpreis von 0,09 US-Dollar je Gigabyte aus, bei 100 Gigabyte pro Monat kostenfreiem Kontingent über alle Dienste und Regionen hinweg (Stand der Preisseite: 4. September 2026). 50 Terabyte kosten damit rund 4.600 US-Dollar.
Für den Ausstieg selbst hat sich das gedreht. Amazon Web Services stellt seit dem 5. März 2024 kostenfreien abgehenden Datenverkehr bereit, wenn ein Kunde sämtliche Daten von der Plattform abzieht; der Anbieter ordnet das ausdrücklich als Schritt „in the direction set by the European Data Act“ ein und gewährt es weltweit. Der Weg führt über den Support, und seit dem Aktualisierungshinweis vom 30. September 2025 haben berechtigte Kunden 90 Tage Zeit, den Wegzug abzuschließen; wer länger braucht, muss den Support benachrichtigen. Spätestens ab dem 12. Januar 2027 ist die Frage in der EU ohnehin erledigt.
Die Beendigungsphase im BSI-Mindeststandard kennt zwei Anforderungen
Der Mindeststandard des BSI zur Nutzung externer Cloud-Dienste nach § 8 Absatz 1 Satz 1 BSIG liegt in Version 2.1 vom 15. Dezember 2022 vor und gliedert die Cloud-Nutzung in Planungs-, Beschaffungs-, Einsatz- und Beendigungsphase. Die Beendigungsphase besteht aus genau zwei Anforderungen. NCD.2.4.01 verlangt zu prüfen, ob der Anbieter alle dienstlichen Daten in der vereinbarten Form zurückübergeben hat, und die Übergabe zu dokumentieren. NCD.2.4.02 verlangt eine Löschbestätigung, ausdrücklich auch für Datensicherungen und für Unterauftragnehmer, ebenfalls dokumentiert.
Bemerkenswert ist, was dort nicht steht. Keine der beiden Anforderungen fragt, ob nach der Rückgabe irgendetwas läuft. Der Wiederaufbau wird ausgelagert — vorbereitet werden muss er in der Beschaffungsphase: NCD.2.2.07 verlangt, vertraglich zu regeln, wie der Anbieter die Daten übergibt, und nennt dafür Fristen, Datenformat, Datenträger und Protokolle. Das ist eine Verfahrensvorgabe, kein Datenanspruch. Wer sie beim Vertragsschluss überspringt, hat am Ende Daten in einem Format, das der Vertrag nie festgelegt hat.
Exit-Fähigkeit ist ein Verfahren, kein Dokument
Aus Artikel 26 der Datenverordnung ergibt sich ein selten genutzter Hebel: Anbieter müssen Kunden Informationen über die verfügbaren Verfahren für Wechsel und Übertragung bereitstellen, einschließlich verfügbarer Methoden, Formate sowie Einschränkungen und technischer Beschränkungen. Zusätzlich müssen sie auf ein aktuelles Online-Register verweisen, das Datenstrukturen, Datenformate, einschlägige Normen und offene Interoperabilitätsspezifikationen für die exportierbaren Daten nennt. Dieses Register ist der Ausgangspunkt jeder belastbaren Exit-Planung, weil es die Formatfrage vom Vertrag in die Dokumentation verschiebt.
- Register anfordern Den Verweis nach Artikel 26 Buchstabe b einholen und je Dienst festhalten, in welchem Format die exportierbaren Daten anfallen.
- Bestandteile trennen Je Dienst notieren, was als Daten herauskommt und was Konfiguration, Logik oder Betriebsverfahren ist — die zweite Spalte ist der Projektumfang.
- Zielumgebung benennen Für jeden Bestandteil der zweiten Spalte einen konkreten Ersatz festlegen, nicht eine Produktkategorie.
- Fristen einhängen Ankündigungsfrist von höchstens zwei Monaten, Übergangszeitraum von 30 Kalendertagen und die anschließende Abrufmindestfrist in den Projektplan übernehmen.
- Nachweise sichern Übergabe und Löschbestätigung nach NCD.2.4.01 und NCD.2.4.02 dokumentieren, einschließlich der Unterauftragnehmer.
Der Probelauf ersetzt das Exit-Konzept
Ein Exit-Konzept, das nie ausgeführt wurde, ist eine Sammlung von Annahmen über Formate. Belastbar wird es erst durch einen begrenzten Probelauf: einen einzelnen fachlichen Ablauf aus der Cloud-Umgebung herausziehen, in der vorgesehenen Zielumgebung aufsetzen und dieselben Eingaben durchlaufen lassen. Das ist derselbe Maßstab, den die Verordnung für Funktionsäquivalenz anlegt — ein materiell vergleichbares Ergebnis als Reaktion auf dieselbe Eingabe.
On-Premise Server in die Cloud
Modernisieren Sie Ihre IT und sparen Sie Kosten
Der Probelauf beantwortet die Fragen, die kein Dokument beantwortet: ob der Datenabzug ohne Sonderrechte gelingt, wie lange er tatsächlich dauert, welche Felder im Export fehlen, welche Zeichenkodierung ankommt, ob Zeitstempel ihre Zeitzone behalten und wie viele Berechtigungsregeln von Hand nachgezogen werden müssen. Er verbraucht typischerweise ein bis zwei Wochen Arbeit je Dienst. Diese Zeit ist der eigentliche Messwert einer Exit-Strategie: Ein Ablauf, der im Probelauf zehn Tage braucht, braucht in der Rückmigration keine drei.
Was die neuen Rechte nicht leisten
Die Wechselvorschriften gelten nicht ausnahmslos. Artikel 31 nimmt Dienste aus, deren zentrale Funktionen überwiegend auf die Bedürfnisse eines einzelnen Kunden zugeschnitten oder deren Komponenten für diesen einen Kunden entwickelt wurden, sofern sie nicht in größerem kommerziellem Maßstab angeboten werden. Ebenfalls ausgenommen sind Vorabversionen, die zu Test- und Bewertungszwecken zeitlich befristet bereitgestellt werden. Auf beide Ausnahmen muss der Anbieter vor Vertragsschluss hinweisen.
Was die Verordnung geregelt hat
- + Verbindliche Fristen für Ankündigung, Übergang und Datenabruf
- + Auslaufen der Wechselentgelte einschließlich Datenextraktionsentgelten
- + Anspruch auf Export in strukturiertem, gängigem, maschinenlesbarem Format
- + Auskunftspflicht über Verfahren, Formate und technische Beschränkungen
Was offenbleibt
- − Funktionsäquivalenz nur bei Infrastrukturdiensten und nur als Mindestmaß
- − Kein Anspruch auf Betriebslogik, die als Geschäftsgeheimnis geschützt ist
- − Kein Anspruch beim Rückweg ins eigene Rechenzentrum statt zu einem Dienst gleicher Art
- − Keine Vorgabe, in welcher Zeit die Zielumgebung betriebsbereit sein muss
Für Datenformate und Verfahren jenseits des Gesetzestextes existieren die beiden Verhaltenskodizes der von der Europäischen Kommission angestoßenen Arbeitsgruppe SWIPO — je einer für Infrastruktur- und für Anwendungsdienste. Sie sind freiwillig, aber sie geben die Fragen vor, die ein Ausschreibungstext stellen sollte, wenn er Exit-Fähigkeit nicht dem Zufall überlassen will.
Häufige Fragen
Ab wann ist der Wechsel eines Cloud-Anbieters kostenfrei?
Ab dem 12. Januar 2027. Bis dahin dürfen Anbieter nach Artikel 29 Absatz 2 der Verordnung (EU) 2023/2854 ermäßigte Wechselentgelte erheben, die ausschließlich die unmittelbar mit dem Wechsel verbundenen Kosten decken. Laufende Standarddienstentgelte bleiben davon unberührt.
Wie lange darf ein Anbieter für den Wechsel brauchen?
Der verbindliche Übergangszeitraum beträgt höchstens 30 Kalendertage nach Ablauf der Ankündigungsfrist von maximal zwei Monaten. Ist der Wechsel technisch nicht durchführbar, darf der Anbieter auf höchstens sieben Monate verlängern. Der Kunde selbst darf den Zeitraum einmalig verlängern.
Gilt die Funktionsäquivalenz auch für Software-as-a-Service?
Nein. Artikel 30 Absatz 1 der Verordnung richtet sich an Anbieter von Infrastruktur-Datenverarbeitungsdiensten. Für alle übrigen Dienste gilt Absatz 2: unentgeltliche offene Schnittstellen und ausreichende Informationen für Datenübertragung und Interoperabilität — keine Zusage über die Funktionsfähigkeit nach dem Wechsel.
Was zählt nicht zu den exportierbaren Daten?
Nach Artikel 2 Nummer 38 alle Vermögenswerte und Daten des Anbieters oder Dritter, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen. Praktisch betrifft das die Verarbeitungslogik verwalteter Dienste: Abfrage-Engine, Indexstrukturen, Kapazitätssteuerung und Ereignisverteilung.
Welche Nachweise gehören ans Ende einer Rückmigration?
Der BSI-Mindeststandard zur Nutzung externer Cloud-Dienste verlangt in der Beendigungsphase zwei dokumentierte Nachweise: die Prüfung, ob alle dienstlichen Daten in der vereinbarten Form zurückübergeben wurden (NCD.2.4.01), und eine Löschbestätigung des Anbieters einschließlich Datensicherungen und Unterauftragnehmern (NCD.2.4.02).
Quellen
- Verordnung (EU) 2023/2854 (Datenverordnung), EUR-Lex — Artikel 2, 23, 25, 26, 29, 30, 31 und 50: Begriffsbestimmungen, Fristen, Wechselentgelte und Ausnahmen.
- Bundesnetzagentur: Datenverarbeitungsdienste und Anbieterwechsel — Darstellung der zuständigen deutschen Behörde zu Fristen und Entgeltstufen.
- BSI, Kriterienkatalog C5:2026, Version 1.0.1 — Abschnitt 5.10, Kriterien PI-01 bis PI-03 zu Portabilität, Datenrückgabe und Löschung.
- BSI, Mindeststandard zur Nutzung externer Cloud-Dienste, Version 2.1 — Anforderungen NCD.2.2.07, NCD.2.4.01 und NCD.2.4.02 zur Beendigungsphase.
- Amazon Web Services: Free data transfer out to internet when moving out of AWS — Bedingungen, 90-Tage-Frist und Bezug zur europäischen Datenverordnung.
- Europäische Kommission: Codes of Conduct on cloud switching and data portability (SWIPO) — freiwillige Kodizes für Infrastruktur- und Anwendungsdienste.
