Für die meisten kleinen Unternehmen ist eine professionell betriebene Public Cloud die tragfähigere Lösung, sofern Zugriffsrechte, Verschlüsselung, Verträge, Protokollierung und Wiederherstellung zum Schutzbedarf passen. Eine Private Cloud lohnt sich eher, wenn besondere technische Vorgaben, eine notwendige Isolation oder eigene Betriebsanforderungen den zusätzlichen Aufwand rechtfertigen. Sensible Daten allein sind noch kein ausreichender Grund für eine Private Cloud: Entscheidend ist, welches Betriebsmodell die erforderlichen Schutzmaßnahmen im Alltag nachweisbar erfüllt.
Der erste Schritt ist daher keine Produktauswahl, sondern eine Bestandsaufnahme. Erfassen Sie Datenarten, Zugriffsberechtigte, genutzte Anwendungen, gesetzliche oder vertragliche Vorgaben sowie die Folgen eines Ausfalls oder Datenabflusses. Erst danach lässt sich beurteilen, ob eine Public Cloud genügt, eine Private Cloud erforderlich ist oder ein geteilter Ansatz sinnvoller wäre.
Private und Public Cloud unterscheiden sich vor allem im Betriebsmodell
Eine Public Cloud stellt standardisierte Cloud-Ressourcen für mehrere Kunden bereit. Die Kundenumgebungen werden technisch und organisatorisch voneinander getrennt, während der Anbieter die zugrunde liegende Plattform betreibt. Unternehmen buchen Speicher, Rechenleistung oder Anwendungen nach einem vorgegebenen Leistungs- und Vertragsmodell.
Eine Private Cloud ist ausschließlich einer Organisation zugeordnet. Sie kann im eigenen Rechenzentrum, bei einem spezialisierten Dienstleister oder in einer reservierten Anbieterumgebung laufen. Der Begriff sagt jedoch nicht automatisch aus, wo die Systeme stehen, wer sie administriert oder wie gut sie abgesichert sind.
Damit ist die Private Cloud nicht zwangsläufig gleichbedeutend mit einem Server im eigenen Büro. Ebenso wenig bedeutet Public Cloud, dass sämtliche Kunden unkontrolliert auf dieselben Daten zugreifen könnten. Für die Auswahl zählen die nachweisbare Mandantentrennung, die tatsächlichen Administratorrechte und die Aufteilung der betrieblichen Verantwortung.
Der Vergleich anhand derselben betrieblichen Kriterien
Datenschutz und Kontrolle über die Verarbeitung
In beiden Modellen muss das Unternehmen wissen, welche personenbezogenen Daten verarbeitet werden, zu welchem Zweck dies geschieht und welche Dienstleister beteiligt sind. Bei einem Cloud-Anbieter ist regelmäßig zu prüfen, ob eine Auftragsverarbeitung vorliegt und ob die erforderliche Vereinbarung nach Artikel 28 DSGVO abgeschlossen werden muss. Unterauftragnehmer, Verarbeitungsorte, Löschverfahren und mögliche Übermittlungen in Drittländer gehören ebenfalls in die Prüfung.
Eine Private Cloud kann mehr Einfluss auf Speicherorte, technische Architektur und Administratorzugriffe ermöglichen. Dieser Vorteil besteht aber nur, wenn das Unternehmen diese Entscheidungen tatsächlich steuern und dokumentieren kann. Wird die Private Cloud vollständig von einem Dienstleister verwaltet, bleiben Vertrags- und Kontrollfragen bestehen.
Eine Public Cloud bietet weniger Spielraum für individuelle Architekturwünsche. Dafür stellen größere Anbieter häufig standardisierte Vertragsunterlagen, Rollenmodelle, Prüfberichte und Sicherheitsfunktionen bereit. Ob diese Unterlagen für den eigenen Verarbeitungszweck ausreichen, muss der Betrieb anhand seines Schutzbedarfs bewerten.
Sicherheitsbetrieb und Verantwortlichkeit
In einer Public Cloud schützt der Anbieter typischerweise Rechenzentrum, Hardware und Plattform. Das Kundenunternehmen bleibt unter anderem für Benutzerkonten, Berechtigungen, freigegebene Inhalte, Geräteschutz und viele Anwendungseinstellungen verantwortlich. Der genaue Umfang ergibt sich aus Dienst, Tarif und Vertrag.
Bei einer selbst betriebenen Private Cloud wächst der eigene Verantwortungsbereich. Updates, Schwachstellenmanagement, Überwachung, Backups, Wiederherstellungstests und die Absicherung administrativer Konten dürfen nicht nebenbei erledigt werden. Ein schlecht gepflegtes Einzelsystem kann trotz exklusiver Nutzung riskanter sein als eine professionell administrierte Public-Cloud-Umgebung.
Für kleine Betriebe ist deshalb eine nüchterne Ressourcenfrage wichtig: Gibt es intern eine benannte Person mit ausreichender Fachkenntnis, geregelter Vertretung und verfügbarer Zeit? Fehlt diese Zuständigkeit, sollte eine Private Cloud nur mit einem vertraglich klar eingebundenen Betriebsdienstleister erwogen werden.
Kosten und Planbarkeit
Public-Cloud-Angebote verteilen Plattformkosten auf viele Kunden. Das kann den Einstieg erleichtern und den Aufwand für Hardware, Wartung und Kapazitätsplanung senken. Kosten können jedoch mit Speicher, Datenübertragung, zusätzlichen Sicherheitsfunktionen, Sicherungen und steigender Nutzerzahl wachsen. Ein niedriger Basistarif bildet die betrieblichen Gesamtkosten deshalb nicht zuverlässig ab.
Eine Private Cloud verursacht häufig höhere Anfangs- oder feste Betriebskosten. Neben Servern oder Hosting gehören Administration, Überwachung, Updates, Ersatzkapazität, Backup-Speicher und Wiederanlaufplanung in die Kalkulation. Bei konstant hoher Auslastung kann das Modell wirtschaftlich vertretbar sein; für wenige Nutzer und schwankenden Bedarf ist es häufig schwerer auszulasten.
Vergleichen Sie Angebote über denselben Betrachtungszeitraum. Eine brauchbare Kostenstruktur umfasst die einmalige Einrichtung plus laufende Gebühren, internen Personalaufwand, Support, Sicherungen, Sicherheitsfunktionen und erwartbare Migrationskosten. Preise ohne diese Leistungsabgrenzung sind nicht aussagekräftig.
Anpassbarkeit und Abhängigkeiten
Die Private Cloud bietet meist mehr Spielraum für besondere Netzwerkregeln, eigene Integrationen oder ältere Fachanwendungen. Diese Freiheit erhöht zugleich den Pflegebedarf und kann die Abhängigkeit von einzelnen Administratoren oder Dienstleistern verstärken.
Die Public Cloud ist stärker standardisiert und lässt sich oft schneller erweitern. Dafür können proprietäre Funktionen einen späteren Wechsel erschweren. Prüfen Sie vor Vertragsabschluss, in welchen Formaten sich Daten, Metadaten, Berechtigungen und Protokolle exportieren lassen und wie lange eine geordnete Rückgabe nach Vertragsende möglich ist.
Welche Auswahl passt zu welcher Ausgangslage?
Eine Public Cloud ist meist die bessere Ausgangsoption, wenn ein kleiner Betrieb keine eigene Infrastrukturmannschaft unterhält, standardisierte Büro- oder Fachanwendungen nutzt und der Anbieter die benötigten Schutz- und Vertragsbedingungen erfüllt. Besonders wichtig sind Mehrfaktor-Authentifizierung, fein abgestufte Rollen, nachvollziehbare Protokolle, geregelte Sicherungen und eine überprüfbare Datenrückgabe.
Eine Private Cloud kommt eher infrage, wenn mindestens eine der folgenden Bedingungen vorliegt:
- Eine Anwendung benötigt eine besondere technische Umgebung, die ein standardisierter Cloud-Dienst nicht bereitstellt.
- Vertragliche Vorgaben eines Kunden verlangen eine dedizierte oder besonders abgegrenzte Infrastruktur.
- Das Unternehmen muss Netzwerk, Systemkonfiguration oder Administratorzugriffe weitgehend selbst bestimmen.
- Eine dauerhafte, planbare Auslastung und ausreichende Betriebsressourcen machen die eigene Umgebung organisatorisch tragfähig.
- Die Verarbeitung darf nach einer belastbaren Risikobewertung nicht in der verfügbaren Public-Cloud-Konfiguration erfolgen.
Eine Hybridlösung kann sinnvoll sein, wenn nur ein klar begrenzter Datenbestand besondere Anforderungen hat. Beispielsweise können stark eingeschränkte Entwicklungs- oder Produktionsdaten in einer dedizierten Umgebung liegen, während E-Mail, Terminplanung und allgemeine Zusammenarbeit über standardisierte Dienste laufen. Dieser Ansatz ist jedoch nur dann beherrschbar, wenn festgelegt ist, welche Daten in welches System gehören und wie Übertragungen zwischen den Umgebungen abgesichert werden.
Die Entscheidung in fünf Arbeitsschritten vorbereiten
- Datenbestand ordnen: Erfassen Sie personenbezogene Daten, Geschäftsgeheimnisse, Vertragsunterlagen, Finanzdaten und betriebliche Routinedaten getrennt. Dokumentieren Sie außerdem, wer darauf zugreifen muss.
- Schadensfolgen bewerten: Beurteilen Sie für jede Datengruppe die Folgen von Offenlegung, Veränderung, Verlust und längerer Nichtverfügbarkeit. Berücksichtigen Sie auch Verpflichtungen gegenüber Kunden und Auftraggebern.
- Mindestanforderungen festlegen: Definieren Sie benötigte Rollen, Authentifizierungsverfahren, Verschlüsselung, Protokollierung, Wiederherstellungsziele, Speicherorte und Exportmöglichkeiten. Anforderungen sollten prüfbar statt allgemein formuliert sein.
- Betriebsverantwortung zuweisen: Legen Sie fest, wer Benutzer verwaltet, Rechte freigibt, Sicherheitsmeldungen bearbeitet, Sicherungen kontrolliert und einen Notfall koordiniert. Für jede Schlüsselaufgabe braucht es eine Vertretung.
- Nachweise und Vertrag prüfen: Gleichen Sie Leistungsbeschreibung, Vereinbarung zur Auftragsverarbeitung, Unterauftragnehmer, Sicherheitsdokumentation, Löschregeln, Support und Vertragsende mit den festgelegten Anforderungen ab.
Bei umfangreichen besonderen Kategorien personenbezogener Daten, systematischer Überwachung oder anderen voraussichtlich hohen Risiken kann eine Datenschutz-Folgenabschätzung erforderlich sein. Ob diese Pflicht greift, hängt von Art, Umfang, Umständen und Zweck der Verarbeitung ab. Der betriebliche oder externe Datenschutzbeauftragte und bei Bedarf spezialisierte Rechtsberatung sollten diese Einordnung unterstützen.
Ein praxisnaher Entscheidungsfall für einen kleinen Betrieb
Eine Agentur mit zwölf Beschäftigten verarbeitet Kontaktdaten, Vertragsunterlagen, Projektdateien und vertrauliche Entwürfe ihrer Auftraggeber. Eine eigene IT-Stelle existiert nicht. Für diese Ausgangslage kann eine Public Cloud vernünftig sein, wenn die Agentur Benutzerrechte pro Projekt trennt, Mehrfaktor-Authentifizierung erzwingt, Freigabelinks begrenzt, Austritte zeitnah verarbeitet und die Vertragsunterlagen des Dienstes prüft.
Erhält die Agentur zusätzlich einen Auftrag, dessen Vertrag eine dedizierte Umgebung und eng begrenzte Administratorzugriffe fordert, muss nicht zwingend die gesamte IT in eine Private Cloud umziehen. Eine abgegrenzte Umgebung nur für dieses Projekt kann angemessener sein. Das dokumentierbare Ergebnis wäre eine Zuordnung der Datenbestände zu den Systemen, eine Rechteübersicht, eine benannte Betriebsverantwortung und ein getesteter Export- sowie Wiederherstellungsweg.
Schutzmaßnahmen bleiben in beiden Modellen Pflicht
Die Wahl des Betriebsmodells ersetzt keine Sicherheitsorganisation. Artikel 32 DSGVO verlangt bei personenbezogenen Daten geeignete technische und organisatorische Maßnahmen unter Berücksichtigung des Risikos. Welche Maßnahmen angemessen sind, hängt vom jeweiligen Verfahren ab und lässt sich nicht allein aus dem Etikett Private oder Public Cloud ableiten.
- Administrative Konten werden von normalen Benutzerkonten getrennt und besonders abgesichert.
- Berechtigungen folgen der tatsächlichen Aufgabe und werden bei Rollenwechsel oder Austritt angepasst.
- Mehrfaktor-Authentifizierung schützt mindestens privilegierte und extern erreichbare Konten.
- Backups sind gegen versehentliches Löschen und unberechtigte Veränderung geschützt; Wiederherstellungen werden getestet.
- Sicherheitsprotokolle werden nur so lange und so detailliert geführt, wie es für den festgelegten Zweck erforderlich ist.
- Für Störungen, Datenverlust und mögliche Datenschutzverletzungen bestehen Melde- und Entscheidungswege.
Die Prüfung endet nicht mit dem Vertragsabschluss. Verantwortliche sollten in angemessenen Abständen Benutzer, Rechte, nicht mehr benötigte Freigaben, Wiederherstellungstests und Änderungen bei Dienstleistern kontrollieren. Umfang und Häufigkeit richten sich nach Risiko und Nutzung.
Die belastbare Entscheidung für kleine Unternehmen
Eine Public Cloud ist für sensible Firmendaten nicht grundsätzlich ungeeignet, und eine Private Cloud ist nicht automatisch sicherer. Für kleine Unternehmen spricht viel für die Public Cloud, wenn ein leistungsfähiger Anbieter die erforderlichen Funktionen und Nachweise liefert und der Betrieb seine eigene Konfiguration beherrscht. Die Private Cloud ist dann überzeugend, wenn Isolation oder Anpassbarkeit wirklich benötigt werden und Betrieb, Vertretung sowie Notfallvorsorge dauerhaft finanziert und organisiert sind.
Treffen Sie die Auswahl anhand des dokumentierten Schutzbedarfs, nicht anhand des Namens des Betriebsmodells. Bleibt nach der Bewertung nur ein kleiner besonders schutzbedürftiger Bereich übrig, kann eine sauber abgegrenzte Hybridlösung wirtschaftlicher und leichter kontrollierbar sein als ein vollständiger Umzug.
