Server oder Cloud? Entscheidungshilfe für Betriebe

„Sollen wir uns einen eigenen Server anschaffen oder alles in die Cloud legen?“ Vor dieser Frage steht früher oder später fast jeder Betrieb – spätestens, wenn die vorhandene Hardware in die Jahre kommt. Die ehrliche Antwort auf „Cloud oder Server“ lautet in den meisten Fällen: von beidem etwas. Für Betriebe unter 30 Mitarbeitenden ist ein hybrider Weg am sinnvollsten – E-Mail und Zusammenarbeit gehören heute in die Cloud, ein lokaler Server im Betrieb lohnt sich nur noch mit gutem Grund. Dieser Beitrag gibt Ihnen eine sachliche Entscheidungshilfe: Zahlen, Kriterien, zwei hartnäckige Mythen und die rechtlichen Punkte, die Sie kennen sollten.

Wo alle stehen: Die Cloud ist längst der Normalfall

Bevor Sie über einzelne Kriterien nachdenken, hilft ein Blick auf die Ausgangslage. Die Cloud ist für Unternehmen kein Zukunftsthema mehr, sondern gelebter Alltag: Rund 90 Prozent der Unternehmen in Deutschland nutzen Cloud-Dienste, und 62 Prozent geben an, ohne Cloud gar nicht mehr arbeitsfähig zu sein (Bitkom Cloud Report 2025).

Für Ihre Entscheidung heißt das zweierlei. Erstens: Wer heute noch alles auf eigener Hardware im Haus betreibt, ist die Ausnahme – nicht, weil das grundsätzlich falsch wäre, sondern weil sich Markt, Software und Sicherheitsanforderungen an der Cloud ausrichten. Zweitens: „In die Cloud gehen“ ist keine Grundsatzentscheidung für alles oder nichts. Die realistische Frage lautet nicht „Server oder Cloud?“, sondern „Welcher Teil gehört wohin?”.

Der Weckruf: Wenn der eigene Mailserver zum Risiko wird

Ein konkretes Beispiel macht die Lage greifbar. Der Support für Microsoft Exchange Server 2016 und 2019 endete am 14. Oktober 2025. Seither erhalten diese Mailserver keine Sicherheitsupdates mehr – jede neu entdeckte Lücke bleibt dauerhaft offen.

Das Ausmaß ist beträchtlich: Das BSI kennt allein in Deutschland rund 33.000 aus dem Internet erreichbare Exchange-Server, und 92 Prozent davon laufen mit Version 2019 oder älter (BSI, Oktober 2025). Wer einen eigenen Mailserver betreibt und keinen Migrationsplan hat, gehört zu genau dieser gefährdeten Gruppe. Für einen Betrieb ist der Eigenbetrieb eines Mailservers heute kaum noch vertretbar: Ein Mailserver muss praktisch rund um die Uhr erreichbar, permanent gepatcht und sauber abgesichert sein – ein Aufwand, den professionelle Cloud-Dienste im Abo übernehmen. E-Mail ist damit der klarste Fall für den Weg in die Cloud.

Die Entscheidungskriterien im Überblick

Für alles andere lohnt der nüchterne Abgleich anhand von vier Kriterien. Die folgende Tabelle zeigt, was jeweils eher für einen lokalen Server und was eher für die Cloud spricht.

Kriterium	Spricht eher für einen lokalen Server	Spricht eher für die Cloud
Internetanbindung	Leitung am Standort ist langsam oder unzuverlässig	Anbindung ist stabil und ausreichend schnell
Branchensoftware	Kasse, Maschinen oder Fachsoftware müssen offline laufen	Anwendungen sind webbasiert oder cloudfähig
Kosten über 5 Jahre (TCO)	Vorhandene Hardware ist noch jung, Wartung ist intern abgedeckt	Kein Kauf, planbares Abo, kein Strom und keine Wartung
Datensouveränität	Höchste Kontrolle über den physischen Speicherort gefordert	EU-Rechenzentren und geprüfte Anbieter genügen

Zu den vier Kriterien im Einzelnen:

• Internetanbindung: Cloud-Arbeit steht und fällt mit der Leitung. Ist die Anbindung am Standort langsam oder unzuverlässig, wird die Vollmigration zur Geduldsprobe – dann bleibt zumindest eine lokale Komponente sinnvoll.
• Branchensoftware: Manche Kassensysteme, Maschinensteuerungen oder Fachprogramme müssen weiterlaufen, wenn die Leitung ausfällt, oder sind schlicht nicht cloudfähig. Solche Anwendungen sind der häufigste echte Grund für lokale Hardware.
• Kosten über fünf Jahre (TCO): Rechnen Sie ehrlich über den gesamten Lebenszyklus. Ein lokaler Server kostet nicht nur in der Anschaffung, sondern über fünf Jahre auch Strom, Wartung, Ersatzteile und ein eigenes Backup. Dem steht beim Cloud-Modell ein planbares monatliches Abo gegenüber. Welcher Weg günstiger ist, hängt vom Einzelfall ab – wichtig ist, nicht nur den Kaufpreis der Hardware anzusetzen.
• Datensouveränität: Der Einwand, die Daten lägen bei US-Konzernen, ist ernst zu nehmen – 78 Prozent der Unternehmen bewerten die Abhängigkeit von US-Anbietern als zu hoch (Bitkom Cloud Report 2025). Die Antwort ist aber nicht zwingend der eigene Keller, sondern die Wahl eines Anbieters mit Rechenzentren und Datenhaltung in der EU.

Zwei Mythen, die teuer werden können

Zwei Sätze fallen in fast jedem Gespräch – und beide führen in die Irre.

Mythos 1: „Der Server im Keller ist sicherer, die Daten sind ja bei uns im Haus.“ Das Gefühl der Kontrolle täuscht. Sicherheit entsteht nicht durch die physische Nähe der Hardware, sondern durch konsequente Pflege: Updates, Überwachung, abgesicherter Fernzugriff, funktionierende Backups. Der ungepatchte Server im Keller – das Exchange-Beispiel von oben zeigt es – ist in der Praxis meist das größere Risiko als ein professionell betriebenes Rechenzentrum, in dem sich ein ganzes Team um genau diese Aufgaben kümmert.

Mythos 2: „In der Cloud brauche ich kein Backup, das macht ja der Anbieter.“ Das ist ein gefährliches Missverständnis. Microsoft 365 und vergleichbare Dienste arbeiten nach dem Prinzip der geteilten Verantwortung (Shared Responsibility): Der Anbieter sorgt dafür, dass die Infrastruktur läuft – für Ihre Daten sind aber Sie verantwortlich. Der Papierkorb ist kein Backup: Er wird nach einer Frist geleert, und wer eine Datei versehentlich löscht, sie durch Schadsoftware verliert oder von einem ausscheidenden Mitarbeiter löschen lässt, steht danach ohne Wiederherstellung da. Auch für Cloud-Daten gilt deshalb die 3-2-1-Regel der Datensicherung.

Was das Recht verlangt

Egal, wohin die Daten wandern – ein paar rechtliche Punkte gehören auf die Liste:

• Auftragsverarbeitungsvertrag (AVV): Sobald ein Cloud-Anbieter personenbezogene Daten für Sie verarbeitet, brauchen Sie mit ihm einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Seriöse Anbieter stellen ihn bereit; ohne ihn ist die Nutzung nicht zulässig.
• GoBD-konforme Archivierung: Steuerrelevante Unterlagen dürfen auch in der Cloud archiviert werden – aber nur mit einer nachvollziehbaren Verfahrensdokumentation und einer Ablage, die die Unveränderbarkeit sicherstellt. Eine gewöhnliche Cloud-Ablage allein erfüllt das nicht automatisch; wie eine saubere Struktur dafür aussieht, lesen Sie im Beitrag zur Dokumentenablage.
• Datentransfer in die USA: Für Transfers in die USA gibt es seit Juli 2023 das EU-US Data Privacy Framework; der Angemessenheitsbeschluss der EU-Kommission gilt formal weiter und wurde 2025 vom EU-Gericht bestätigt. Verlassen Sie sich aber nicht blind darauf: Ein Urteil des US Supreme Court vom Juni 2026 hat die Grundlage – die Unabhängigkeit der US-Aufsichtsbehörde FTC – erschüttert, weshalb die Zukunft des Frameworks rechtlich unsicher ist. Wer auf Nummer sicher gehen will, wählt Anbieter mit Datenhaltung in der EU.

Diese Punkte berühren rechtliche Fragen; die konkrete Ausgestaltung sollten Sie im Zweifel fachlich prüfen lassen.

Der Entscheidungsbaum: vier Fragen zur Klarheit

Zum Schluss ein einfacher Weg, um für Ihren Betrieb eine erste Richtung zu finden. Beantworten Sie vier Fragen der Reihe nach:

1. Muss eine Anwendung zwingend offline oder lokal laufen – etwa eine Kasse oder eine Maschinensteuerung? Wenn ja, bleibt an genau dieser Stelle eine lokale Komponente nötig. Alles andere kann trotzdem in die Cloud.
2. Betreiben Sie einen eigenen Mailserver? Wenn ja, ist das der dringlichste Kandidat für den Umzug in die Cloud – aus Sicherheits- und Aufwandsgründen.
3. Ist Ihre Internetanbindung stabil und schnell genug für das tägliche Arbeiten in der Cloud? Wenn nein, planen Sie den Umstieg schrittweise und halten kritische Funktionen vorerst lokal vor.
4. Gibt es besondere Anforderungen an den Speicherort Ihrer Daten? Wenn ja, wählen Sie gezielt Anbieter mit EU-Rechenzentren, statt auf eigene Hardware auszuweichen.

In den allermeisten Fällen führt dieser Weg zu einem hybriden Ergebnis: E-Mail und Zusammenarbeit in der Cloud, einzelne Fachanwendungen und offline-kritische Systeme lokal – und beides sauber gesichert. Die Frage ist am Ende selten „Server oder Cloud?“, sondern „Welche Mischung passt zu Ihrem Betrieb?”.