Gemeinsam mit der Bitkom Akademie haben wir den Zertifikatslehrgang „Manager für digitale Souveränität“ entwickelt. Dafür bereiten wir die wichtigsten Hebel digitaler Souveränität praxisnah auf: Wie gewinnen Organisationen an Handlungsfähigkeit? Wie können gut gemeinte Maßnahmen sogar neue Abhängigkeiten und Risiken schaffen? Begleitend sprechen wir mit Expertinnen und Experten, die diese Fragen aus der Praxis kennen.
Co-Creator des Lehrgangs ist David Sterz von DenktMit. David verfügt über fast 20 Jahre Cloud-Erfahrung und konzipiert komplexe On-Premises-, Hybrid- und Public-Cloud-Architekturen auf AWS, Azure und Google Cloud. Außerdem beschäftigt er sich intensiv mit souveränen und dezentralen Cloud-Modellen auf Basis von Open Source und Kubernetes. DenktMit ist eine Genossenschaft erfahrener IT-Spezialisten, die Unternehmen bei Softwareentwicklung, Cloud- und Infrastrukturarchitektur sowie beim Betrieb komplexer Systeme unterstützt. Gemeinsam sprechen wir darüber, ob Hybrid Cloud tatsächlich souveräner macht – oder vor allem neue Komplexität schafft.
Gregor: Was ist eine hybride Cloud?
David: Eine Hybrid Cloud kombiniert typischerweise ein eigenes Rechenzentrum oder eine Private Cloud mit einer Public Cloud. Die Idee dahinter ist, jede Umgebung dort einzusetzen, wo sie ihre Stärken hat – also beispielsweise stabile Kernsysteme On-Premises und elastische Lasten in der Public Cloud. Hybrid Cloud ist damit vor allem ein Betriebsmodell, nicht eine einzelne Technologie.
„Hybrid Cloud ist kein Souveränitätskonzept, sondern ein Werkzeug.“
Gregor: Wie funktionieren hybride Clouds technisch?
David: Technisch werden die beiden Umgebungen über Netzwerkverbindungen miteinander gekoppelt, zum Beispiel über VPNs oder dedizierte Direktverbindungen. Anwendungen können dann teilweise in der Cloud und teilweise im eigenen Rechenzentrum laufen.
Ein typisches Beispiel: Das Frontend läuft in der Public Cloud, die Datenbank bleibt On-Premises. Für die Nutzer wirkt das wie ein System, technisch laufen die Komponenten aber in unterschiedlichen Umgebungen.
Gregor: An welcher Stelle genau addressiert das welches Souveränitätsrisiko?
David: Beim legalen Datenabfluss ist Hybrid Cloud besonders stark. Ich kann sensible Daten On-Premises halten und nur die Daten in die Public Cloud geben, die dort wirklich benötigt werden. Dadurch reduziere ich gezielt mein regulatorisches Exposure.
Beim Vendor Lock-in hilft Hybrid Cloud ebenfalls, weil ich nicht vollständig von der Public Cloud abhängig werde. Ein Teil meiner Fähigkeiten und Workloads bleibt außerhalb der Cloud bestehen.
Beim ungewollten Zugriffsentzug, also Killswitch-Szenarien, kann Hybrid Cloud ebenfalls helfen, weil ich nicht alles in einer Umgebung konzentriere.
Gregor: Gibt es auch Souveränitätsrisiken die steigen?
David: Bei Cybersecurity oder Betriebsausfällen ist das Bild gemischter. Dort schafft Hybrid Cloud teilweise sogar neue Komplexität und zusätzliche Angriffs- oder Fehlerquellen.
„Hybrid Cloud reduziert nicht jedes Risiko – sie ermöglicht, Risiken gezielt zu steuern und gegeneinander abzuwägen.“
Gregor: Also, macht die Hybrid Cloud souverän?
David: Für bestimmte Risiken eindeutig ja. Für andere gar nicht. Hybrid Cloud ist kein Souveränitätskonzept, sondern ein Werkzeug. Wie souverän du dadurch wirst, hängt davon ab, welche Ziele du hast.
Gregor: Wo entstehen welche Kosten durch hybride Clouds?
David: An mehreren Stellen. Erstens brauchst du zusätzliche Infrastruktur für die Verbindung der beiden Welten. Zweitens steigt der Betriebsaufwand, weil du zwei Umgebungen statt einer betreibst. Und drittens brauchst du oft mehr Know-how, weil sich jemand sowohl mit On-Premises als auch mit der Public Cloud auskennen muss.
Die spannende Frage ist aber nicht, ob Hybrid Cloud mehr kostet. Das tut sie oft zunächst einmal. Die Frage ist, ob der zusätzliche Nutzen diese Mehrkosten rechtfertigt. Wenn ich dadurch Risiken reduziere oder bestimmte Workloads günstiger betreiben kann, kann sich Hybrid Cloud am Ende sogar rechnen.
Gregor: Das musst du erklären!
David: Weil ich Workloads dort betreiben kann, wo sie wirtschaftlich am sinnvollsten sind. Dauerhaft laufende Systeme können auf eigener Infrastruktur günstiger sein, während Lastspitzen in die Cloud gehen. Ein klassisches Beispiel ist der Black Friday: Statt das ganze Jahr Infrastruktur für den Spitzentag vorzuhalten, nutze ich zusätzliche Cloud-Kapazitäten nur dann, wenn ich sie wirklich brauche. Hybrid Cloud kostet also mehr im Betrieb, gibt mir aber mehr Möglichkeiten zur Optimierung.
Gregor: Aber dann gehst du doch wieder mit allen Daten, zumindestens am Black Friday, potentiell in die Public cloud ...
David: Nicht unbedingt. Das hängt davon ab, wie die Anwendung gebaut ist. Gerade in einer Hybrid-Cloud-Architektur versuche ich ja, die Daten dort zu halten, wo ich sie haben möchte, und nur die Rechenleistung elastisch zu skalieren.
Aber du hast recht: Wenn die Lastspitze dazu führt, dass große Mengen sensibler Daten verarbeitet werden müssen, dann steigt auch die Datenexposition gegenüber der Public Cloud. Hybrid Cloud löst dieses Risiko also nicht vollständig, sie gibt mir nur die Möglichkeit, es gezielt zu steuern und gegen andere Vorteile abzuwägen.
„Ein schlecht konzipiertes Hybrid-Cloud-Setup kann teurer, komplexer und unsouveräner sein als eine gute Public-Cloud-Lösung.“
Gregor: Und du brauchst einen Cloud-Architekten, der das versteht und entsprechend konzipiert …
David: Absolut. Das ist ein wiederkehrendes Muster im Souveränitätsthema.
Hybrid Cloud macht dich nicht automatisch souveräner. Hybrid Cloud gibt dir mehr Optionen. Ob daraus tatsächlich mehr Souveränität entsteht, hängt davon ab, ob du die Kompetenz hast, diese Optionen sinnvoll zu nutzen.
Ein schlecht konzipiertes Hybrid-Cloud-Setup kann am Ende teurer, komplexer und unsouveräner sein als eine sauber aufgebaute Public-Cloud-Lösung. Deshalb ist die technische Reife des Teams oft wichtiger als die Frage, welche Architektur man wählt.
Gregor: Welche Auswirkungen hat Hybrid Cloud auf die Leistungsfähigkeit?
David: Potenziell eine sehr positive. Hybrid Cloud erlaubt mir, die Stärken verschiedener Umgebungen zu kombinieren. Ich kann beispielsweise hochskalierbare Cloud-Services nutzen, ohne meine gesamte Anwendung migrieren zu müssen.
Der Haken ist aber: Die Leistungsfähigkeit steigt nicht automatisch. Wenn die Integration schlecht gemacht ist oder die Verbindung zwischen den Welten zum Flaschenhals wird, kann Hybrid Cloud die Performance sogar verschlechtern.
Gregor: Also Hybrid Clouds können auch deine Leistungsfähigkeit einschränken?
David: Ja, absolut. Das ist einer der zentralen Trade-offs. Wenn bestimmte Daten oder Workloads aus Compliance-, Sicherheits- oder Souveränitätsgründen On-Premises bleiben müssen, dann kann ich für genau diese Teile auch nur die Leistungsfähigkeit meiner eigenen Umgebung nutzen.
Die Hyperscaler können ihre Stärke ja nur dort ausspielen, wo ich sie auch einsetzen darf. Wenn meine Daten das Rechenzentrum nicht verlassen dürfen, dann hilft mir die theoretisch unbegrenzte Skalierbarkeit der Public Cloud für diesen Teil der Anwendung erst einmal wenig. Genau deshalb ist Hybrid Cloud immer ein Abwägen zwischen Risikoreduktion und Leistungsfähigkeit.
Gregor: Gibt es noch weitere, spannende Anwendungsfälle für hybride Clouds?
David: Ja, absolut. Ein spannender Anwendungsfall sind Cloud-Native-Dienste wie Serverless.
Dabei lege ich kleine Programme in der Cloud ab, die nur dann starten, wenn sie tatsächlich gebraucht werden. Danach legen sie sich wieder schlafen. In einer klassischen Private Cloud würden solche Dienste oft dauerhaft VM-Kapazität binden, obwohl sie die meiste Zeit gar nichts tun. Hybrid Cloud ermöglicht mir dann, meine Kernsysteme weiterhin frei von externem Vendor Lock-In und Denial of Access zu betreiben, aber trotzdem einfache, kleine Komponenten kostengünstig auszulagern.
„Die technische Reife des Teams ist oft wichtiger als die gewählte Architektur.“
Gregor: Also ich fasse zusammen. Hybrid Cloud ist ein wichtiger Hebel für Souveränität. Sie kann einige Souveränitätsrisiken deutlich senken, kann aber auch andere erhöhen. Sie kann Kosten senken und steigern und Leistungsfähigkeit senken und steigern.
David: Ja, genau.
Gregor: Das ist unbefriedigend.
David: Naja, so ist halt das Leben in der IT. Aber deswegen bin ich ja so optimistisch, dass wir das hinbekommen, mit der digitalen Souveränität in Europa. Und wer das in Zukunft selbst steuern will, der kommt einfach zu unserer BITKOM-Souveränitätsschulung.
