Dienstagmorgen, 7:42 Uhr. Die IT-Leitung bekommt eine Nachricht: „Die Migration ist durch, alles läuft." Erleichterung.
Drei Stunden später meldet der Fachbereich, dass Projektdaten fehlen. Berechtigungen stimmen nicht. Und das ERP-System hängt, weil eine Abhängigkeit in der alten Umgebung gekappt wurde, die niemand dokumentiert hatte.
Das Szenario ist nicht erfunden. Wir übernehmen immer wieder Migrationsprojekte, bei denen Sicherheit als nachgelagerter Schritt behandelt wurde – statt als Planungsgrundlage. Das „Aufräumen“ danach ist deutlich aufwendiger, als die Migration von beginn an richtig zu planen.
Dieser Leitfaden zeigt Ihnen, wie Sie eine Cloud-Migration so aufsetzen, dass Governance, Berechtigungen und Risikomanagement von Anfang an greifen.
Die verbreitete Annahme: „Wir migrieren erst, dann sichern wir ab." Klingt pragmatisch, ist aber riskant. Laut der Cloud-Migration-Studie 2025 von CIO, CSO und COMPUTERWOCHE haben weniger als 40 Prozent der Unternehmen in der DACH-Region überhaupt ein Cloud-Migrationsprojekt abgeschlossen.
Projekte, bei denen Sicherheit und Governance nachgelagert waren, litten unter Verzögerungen, Compliance-Problemen und Datenverlust.
Der Grund ist strukturell: Wer Systeme migriert, verändert gleichzeitig Datenflüsse, Zugriffsrechte und Verantwortlichkeiten. Ohne vorherige Planung entstehen blinde Flecken, die sich im laufenden Betrieb nur schwer schließen lassen.
Sicherheit wird als Projektphase behandelt, nicht als durchgängiges Prinzip. Teams planen die Migration technisch sauber, vergessen aber, dass sich mit jedem verschobenen Workload auch das Angriffsflächenmodell verändert.
Verantwortlichkeiten verschieben sich. In der On-Premises-Welt war klar, wer den Server patcht. Im Shared-Responsibility-Modell der Cloud verschwimmen diese Grenzen. Wer kümmert sich um Netzwerk-Segmentierung? Wer prüft Zugriffsrechte nach dem Cutover?
Zeitdruck. Migrationen laufen erfahrungsgemäß mit knapper Deadline. Die Versuchung ist groß, Sicherheitsprüfungen zu kürzen, um den Zeitplan zu halten. Zack: Die Migration ist pünktlich fertig. Die Sicherheitslücken zeigen sich dann drei Monate später.
Cloud-Security-Consulting ist keine Sicherheitsprüfung nach Projektabschluss. Es ist ein Beratungsansatz, der Sicherheitsanforderungen von Beginn an in die Architektur, die Prozesse und die Rollenverteilung einer Migration integriert.
Konkret heißt das: Risikoanalyse vor dem ersten Workload-Transfer, Berechtigungskonzepte vor dem Go-live und Governance-Regeln, die automatisiert durchgesetzt werden.
Wir von aixpedIT verstehen darunter die aktive Begleitung über alle Migrationsphasen. Vom Assessment über die Architekturplanung bis zum Betrieb in der neuen Umgebung.
Das Ziel: Sie wissen vorher, wo Risiken liegen, und haben einen Plan, bevor Sie den ersten Server abschalten.
Eine Sicherheitsprüfung bewertet den Ist-Zustand. Cloud-Security-Consulting gestaltet den Soll-Zustand aktiv mit. Das bedeutet: Sicherheitsarchitektur wird parallel zur Zielarchitektur entworfen, nicht nachträglich aufgesetzt. Berechtigungsmodelle werden vor dem Go-live validiert, nicht erst bei der ersten Anomalie.
Für IT-Verantwortliche im Mittelstand ist dieser Unterschied entscheidend. Wer erst nach der Migration feststellt, dass das Berechtigungskonzept nicht passt oder Compliance-Anforderungen nicht abgedeckt sind, steht vor einem Nachrüstungsprojekt, das teurer wird als die Migration selbst.
Governance klingt nach Papierkram. In der Praxis entscheidet sie darüber, ob Ihre Migration kontrolliert abläuft oder im Chaos endet. Ein funktionierendes Governance-Modell beantwortet drei Fragen, bevor der erste Workload umzieht:
Microsoft beschreibt im Azure Cloud Adoption Framework fünf sequenzielle Schritte für Cloud-Governance:
Governance-Team aufbauen,
Risiken bewerten,
Richtlinien dokumentieren,
Richtlinien durchsetzen,
Compliance überwachen.
Das ist ein logischer Ablauf – in der Praxis sehen wir bei aixpedIT allerdings, dass viele Unternehmen erst bei Schritt vier einsteigen und die Bewertung und Dokumentation überspringen.
Sie möchten vor Ihrer Migration eine ehrliche Einschätzung, wie Azure-ready Ihre Infrastruktur wirklich ist? Das Azure Solutions Assessment zum Festpreis liefert Ihnen in 2 bis 4 Wochen eine belastbare Entscheidungsgrundlage: Readiness-Bewertung, Kostenvergleich, Zielarchitektur und priorisierte Roadmap.
„Wir übernehmen einfach die bestehenden Rechte." Diesen Satz hören wir als IT-Berater bei Migrationsprojekten regelmäßig. So verständlich dieser Wunsch auch ist, er ist gefährlich. Bestehende Berechtigungsstrukturen sind fast immer ein Produkt jahrelanger Einzelentscheidungen; keine bewusste Architektur.
In On-Premises-Umgebungen wachsen Berechtigungen über Jahre organisch. Active-Directory-Gruppen werden verschachtelt, Einzelrechte vergeben, Ausnahmen gemacht. Bei einer Migration in die Cloud werden diese Strukturen oft eins zu eins übernommen. Das Ergebnis: „Permission Drift", also Zugriffsrechte, die nicht mehr zum tatsächlichen Bedarf passen.
Die Trennung und Begrenzung hoch privilegierter Konten ist eine der ersten Maßnahmen, die bei einer Cloud-Migration umgesetzt werden sollten. In der Praxis bedeutet das: Bevor Sie Workloads verschieben, brauchen Sie ein Berechtigungskonzept, das auf dem Least-Privilege-Prinzip basiert.
Der Aufwand lohnt sich: Ein sauber konfiguriertes Berechtigungskonzept reduziert Sicherheitsrisiken und beschleunigt den Migrationsprozess, weil weniger Nacharbeit anfällt.
Risikomanagement in einer Cloud-Migration bedeutet, die konkreten Risiken Ihrer spezifischen Umgebung zu kennen und zu priorisieren. Drei Kategorien verdienen besondere Aufmerksamkeit:
Während der Migration sind Ihre Daten am verwundbarsten. Sie verlassen eine kontrollierte Umgebung, durchlaufen Netzwerkstrecken und landen in einer neuen Infrastruktur. Drei Maßnahmen reduzieren das Risiko für Datenverlust erheblich:
Ein häufiger Fehler: Unternehmen prüfen nach der Migration nur, ob Daten „da" sind, nicht ob sie vollständig und konsistent sind. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt in seiner Publikation zur sicheren Nutzung von Cloud-Diensten, Sicherheitsanforderungen bereits in der Cloud-Strategie festzulegen, also lange vor der eigentlichen Migration.
Eine sichere Cloud-Migration folgt keiner starren Vorlage, aber sie hat eine klare Struktur. So sieht der Ablauf aus, wenn Cloud-Security-Consulting von Beginn an eingebunden ist:
Bevor irgendetwas migriert wird, kommt die Bestandsaufnahme. Welche Workloads existieren? Welche Abhängigkeiten gibt es? Wo liegen sensible Daten?
Das Azure Solutions Assessment von aixpedIT beantwortet, ob und wie eine Migration sinnvoll ist: eine technische Bewertung, Kostenvergleich und eine priorisierte Roadmap, in 2 bis 4 Wochen, zum Festpreis.
Auf Basis des Assessments entsteht die Zielarchitektur. Gleichzeitig werden Governance-Regeln definiert: Wer genehmigt Datenhaltung in welcher Region? Welche Sicherheitsrichtlinien gelten? Welche automatisierten Guardrails verhindern Fehlkonfigurationen?
Diese Phase ist die aufwändigste, aber sie verhindert, dass Sie im späteren Betrieb Probleme lösen müssen, die in der Planung vermeidbar gewesen wären.
Die eigentliche Migration wird in Wellen durchgeführt. Weniger kritische Systeme zuerst, geschäftskritische Workloads zuletzt.
Jede Welle wird mit definierten Checkpoints abgesichert: Berechtigungen geprüft? Daten vollständig? Logging aktiv? Erst wenn alle Kriterien erfüllt sind, beginnt die nächste Welle.
Nach der Migration folgt die Nachbereitung: Migrationskonten deaktivieren, alte Systeme kontrolliert abschalten, Berechtigungen finalisieren. Dann kommt der Penetrationstest als Realitätscheck: Hält die neue Umgebung, was die Planung versprochen hat?
Die Versuchung ist groß, Phasen zusammenzulegen oder abzukürzen. Erfahrungsgemäß führt das zu höheren Gesamtkosten, weil Nacharbeit im laufenden Betrieb immer aufwändiger ist als Planung im Vorfeld.
Ein sauber durchgeführtes Assessment reduziert die Wahrscheinlichkeit, dass Sie während der Migration auf unerwartete Abhängigkeiten oder Konfigurationsprobleme stoßen.
Wenn im Assessment erkannt wird, dass bestimmte Legacy-Anwendungen nicht mit der geplanten Azure-Zielarchitektur kompatibel sind, können Sie die Migrationsstrategie anpassen (Refactor statt Rehost), bevor Ressourcen in die falsche Richtung fließen. Ohne Assessment taucht dieses Problem erst während der Migration auf.
Eine Cloud-Migration ist immer auch ein Compliance-Projekt. Besonders in der DACH-Region, wo die DSGVO, branchenspezifische Regulierung und zunehmend auch NIS2 klare Anforderungen an Datenhaltung, Zugriffssteuerung und Nachweispflichten stellen.
Drei Compliance-Anforderungen, die Sie vor der Migration klären müssen:
Cloud-Kosten und Compliance hängen dabei enger zusammen, als viele denken. Wer seine Cloud-Kosten nicht im Griff hat, riskiert auch bei Compliance-Themen den Überblick zu verlieren, etwa bei der Frage, welche Ressourcen eigentlich aktiv sind und welche längst hätten abgeschaltet werden müssen.
Mit NIS2 steigen die Anforderungen an die Cybersecurity auch für mittelständische Unternehmen. Die Richtlinie verlangt unter anderem Risikomanagement-Maßnahmen, Meldepflichten bei Sicherheitsvorfällen und Nachweise über die Wirksamkeit eingesetzter Sicherheitsmaßnahmen.
Für eine Cloud-Migration bedeutet das: Sie müssen dokumentieren können, welche Sicherheitsmaßnahmen Sie vor, während und nach der Migration ergriffen haben. Ein strukturiertes Cloud-Security-Consulting liefert genau diese Dokumentation als Nebenprodukt, weil jede Phase mit definierten Checkpoints und nachweisbaren Ergebnissen arbeitet.
Manche Fehler sehen wir bei aixpedIT immer wieder. Hier sind die fünf häufigsten, mit konkreten Gegenmaßnahmen:
Bevor Sie über Governance, Berechtigungen oder Risikomanagement nachdenken, brauchen Sie eine Antwort auf die grundlegendste Frage: Ist eine Migration nach Azure für Ihre Infrastruktur überhaupt sinnvoll? Und wenn ja, welche Workloads zuerst?
Genau dafür hat aixpedIT das Azure Solutions Assessment entwickelt. In 2 bis 4 Wochen erhalten Sie eine Readiness-Bewertung Ihrer Infrastruktur, einen Kosten- und TCO-Vergleich mit Ihrem aktuellen Betrieb, eine empfohlene Zielarchitektur und eine priorisierte Migrations-Roadmap. Alles zum Festpreis, ohne Folgeverpflichtung.
Das Assessment basiert auf realen Betriebsdaten Ihrer Umgebung, nicht auf Standardannahmen. Und wenn das Ergebnis lautet, dass eine Migration aktuell keinen Sinn ergibt, steht das genauso im Report. Kein Verkaufsgespräch, sondern eine ehrliche Analyse.
Sie entscheiden. Wenn eine Migration sinnvoll ist, kann aixpedIT die Umsetzung als separates Projekt begleiten, von der Detailplanung über die Azure-Architektur bis zum Betrieb. Wenn nicht, haben Sie trotzdem eine belastbare Grundlage für Ihre nächsten Infrastrukturentscheidungen.
Der entscheidende Punkt: Das Assessment verpflichtet Sie zu nichts. Es ist eine abgeschlossene Leistung, die Ihnen Klarheit verschafft, bevor Sie Budget in eine Migration investieren.
Zum Abschluss eine kompakte Übersicht. Haken Sie jeden Punkt ab, bevor Sie den Go-live-Knopf drücken:
Cloud-Migrationen scheitern an fehlender Vorbereitung: keine Governance, keine sauberen Berechtigungen, kein Risikomanagement vor dem Go-live.
Die gute Nachricht: Diese Probleme lassen sich lösen, wenn Sie vor der Migration investieren, nicht danach.
aixpedIT begleitet Sie von der Analyse bis zum sicheren Betrieb in der Cloud. Der erste Schritt? Das Azure Solutions Assessment zum Festpreis. In 2 bis 4 Wochen wissen Sie, wo Sie stehen und was Ihre Migration braucht.
Kennen Sie den tatsächlichen Zustand Ihrer Infrastruktur, oder verlassen Sie sich bei Ihrer Migrationsentscheidung auf Annahmen?
Cloud-Security-Consulting integriert Sicherheitsanforderungen von Anfang an in die Migrationsplanung. aixpedIT GmbH begleitet dabei alle Phasen, vom Assessment über Berechtigungskonzepte bis zur Validierung nach dem Go-live, damit Risiken nicht erst im Betrieb sichtbar werden.
Drei Maßnahmen sind entscheidend: End-to-End-Verschlüsselung aller Transfers, automatisierte Integritätsprüfung per Checksums und ein vollständiger Restore-Test vor dem Cutover. Wir empfehlen zusätzlich, geschäftskritische Anwendungen in einer Staging-Umgebung zu validieren.
In gewachsenen On-Premises-Umgebungen sind Berechtigungen oft überdimensioniert und undokumentiert. Ohne vorherige Bereinigung und ein RBAC-basiertes Konzept übernehmen Sie diese Altlasten in die Cloud. aixpedIT definiert Berechtigungskonzepte vor dem Go-live, damit Zugriffsrechte zum tatsächlichen Bedarf passen.
Das Azure Solutions Assessment von aixpedIT wird zum Festpreis angeboten. In 2 bis 4 Wochen erhalten Sie Readiness-Bewertung, Kostenvergleich, Zielarchitektur und Migrations-Roadmap. Das Assessment verpflichtet Sie zu keiner Folgebeauftragung.
In der DACH-Region sind insbesondere DSGVO, NIS2 und branchenspezifische Regulierungen relevant. Klären Sie vor der Migration Datenresidenz, Nachweispflichten und Auftragsverarbeitungsverträge. Das Compliance Assessment von aixpedIT hilft, diese Anforderungen strukturiert in den Migrationsprozess zu integrieren.