Schluss mit Lock-in

^{21.08.2026 | Lesezeit: ca. 4 Min.}

Für viele Unternehmen ist es längst keine Ausnahme mehr: Die jährlichen IT-Kosten vervielfachen sich von einem Vertragszyklus zum nächsten – ohne dass sich am tatsächlichen Bedarf etwas geändert hätte. Die Debatten über Cloud- und Virtualisierungsplattformen sind längst keine rein technischen mehr: Sie berühren Budgets, Rechtsrisiken und die strategische Unabhängigkeit ganzer Organisationen.
 

Strukturelles Risiko:
Wenn Lizenzmodelle zur Kostenfalle werden

Für viele Unternehmen ergaben sich drastische Kostensteigerungen als Broadcom nach der VMware-Übernahme das Lizenzmodell radikal umgestellt hat. Unbefristete Lizenzen wurden abgeschafft, Abonnements mit Mindestkernanzahl zur Pflicht, Modul-Bundles statt Einzel-Lizenzen zur Norm. 

Das Grundproblem dahinter hat einen Namen: Vendor-Lock-in. Wer über Jahre proprietäre Lösungen nutzt, sitzt am Verhandlungstisch ohne Alternative – und damit ohne echte Verhandlungsposition. Das erleben Cloud-Kunden bei US-Hyperscalern ebenfalls. Dort sind die von den Anbietern zur Verfügung gestellten Tools und Möglichkeiten häufig die abhängig machenden Merkmale.

Digitale Souveränität – also die Fähigkeit einer Organisation, Kontrolle über ihre IT-Infrastruktur, Daten und Prozesse zu behalten – wird in solchen Momenten vom abstrakten Konzept zur handfesten betriebswirtschaftlichen Größe. Egal, ob das On-Premise-Rechenzentrum betroffen ist, oder ein neuer Cloud-Provider gesucht wird: Es gibt grundsätzliche Aspekte zu berücksichtigen, vollkommen unabhängig von Kosten und Leistungsfähigkeit.
 

Der Serverstandort allein reicht nicht:
Compliance-Falle US CLOUD Act

Noch bevor sich die Kostenfrage stellt, lauert eine rechtliche Frage: Seit 2018 erlaubt der US CLOUD Act amerikanischen Behörden Zugriff auf Daten, die von US-Anbietern oder deren Tochterunternehmen verwaltet werden – unabhängig davon, ob die Server in Frankfurt, Dublin oder Virginia stehen. 
Auf Basis geheimdienstlicher Gesetze und Executive Orders ergeben sich weitere Zugriffsmöglichkeiten, die zu Abflüssen vertraulicher Unternehmensdaten führen. Für Unternehmen entsteht dadurch ein struktureller Konflikt, den ein europäischer Serverstandort allein nicht auflöst.

Entscheidend ist nicht, wo die Infrastruktur steht, sondern wer sie betreibt und welcher Jurisdiktion der Anbieter unterliegt.

 

Konkrete Prüfpunkte für die Plattformwahl:

• Herkunft und Eigentümerstruktur des Anbieters: 
  Betreiber mit explizit deutscher oder europäischer Jurisdiktion und Verträgen nach deutschem Recht bieten hier strukturell andere Garantien als Töchter US-amerikanischer Konzerne oder generell Unternehmen mit relevanten Geschäftsbeziehungen in die USA.
   
• Zertifizierungslage: 
  Testate wie BSI C5 Typ 2 und ISAE 3402 gelten als anerkannte Nachweise für Informationssicherheits- und Kontrollprozesse; ergänzend kommen Zertifizierungen nach ISO 27001, 20000 und 9001 in Betracht.
   
• Messbarer Souveränitätsgrad: 
  Das neue EU Cloud Sovereignty Framework der Europäischen Kommission bewertet Anbieter seit 2025/2026 anhand von acht Sovereignty Objectives auf einer fünfstufigen SEAL-Skala – und macht Souveränität damit erstmals als konkreten Score in Ausschreibungen nutzbar.
  Uptime IT steht hier mit seinem neuen IaaS-Stack und einem Wert von 95,6 Prozent sehr gut da.
   
• Technologische Basis: 
  Open-Source-Hypervisoren wie KVM – betrieben via OpenStack oder darauf aufbauenden Plattformen – gelten als strukturell unabhängigere Alternative zu geschlossenen Ökosystemen.
   

Kritischer Vorbehalt: US-Tech-Giganten werben mit gesonderten europäischen Lösungen, die suggerieren sollen, dass US-Behörden und -Dienste dort keinen Zugriff haben. Die Fakten verstecken sich wie immer in vielseitigen Dokumenten mit zahlreichen Verweisen auf andere Dokumente und Regularien. Ob diese einer kritischen juristischen Prüfung, einer Anweisung aus Washington oder dem eilfertigen Handeln eines US-Unternehmens Stand halten, kann zum heutigen Zeitpunkt niemand sicher bestätigen. Risiko-Mitigation und Rechtssicherheit für deutsche Unternehmen sieht daher anders aus.
 

Die technische Antwort:
Offene Plattformen als Infrastrukturstrategie

Wie sieht eine Infrastruktur- Architektur aus, die Vendor-Lock-in strukturell vermeidet und gleichzeitig moderne IT-Anforderungen erfüllt? 
Ein Beispiel ist die Uptime Cloud auf Basis von Virtuozzo – eine Plattform, die klassische Virtualisierung und offene Cloud-Infrastruktur nicht als Gegensätze, sondern als komplementäre Bausteine behandelt.

Technisch basiert sie auf OpenStack als offenem Cloud-Betriebssystem und nutzt KVM (Kernel-based Virtual Machine) als Hypervisor – einem bewährten Open-Source-Standard, der laut Praxistests eine sehr gute Performance liefert. 

Uptime IT ergänzt diese OpenStack-Basis um Virtuozzo mit seiner komfortablen grafischen Verwaltungsoberfläche, ohne dabei die native API-Steuerung einzuschränken: Web-UI und API lassen sich parallel nutzen, was die Zusammenarbeit unterschiedlicher Teams erleichtert. 

Für Infrastructure-as-Code-Ansätze ist die API-first-Architektur entscheidend: Tools wie Terraform und Ansible integrieren sich nahtlos, sodass sich VM-Ressourcen einheitlich in CI/CD-Pipelines und DevOps-Workflows einbinden lassen.

Somit können Kunden ihre Workloads ohne Lock-in zu anderen OpenStack-Anbietern verschieben, selbst wenn es dort kein Virtuozzo geben sollte.
 

Die organisatorische Antwort:
Unabhängiges deutsches Unternehmen, das die Datensouveränität seiner Kunden in der DNA hat

Uptime IT ist seit 30 Jahren fester Bestandteil der deutschen IT-Landschaft und betreut Kunden nahezu jeder Größe und Branche. Das Hamburger Unternehmen betreibt eigene Datacenter in Hamburg auf eigener Hardware.  Anders als viele andere Cloud-Anbieter gibt es keine Remote-Zugriffe für Wartungsarbeiten der Hersteller und Zulieferer; nur Uptime-IT-Mitarbeiter arbeiten an den Systemen. 

Das Unternehmen unterliegt ausschließlich der deutschen Jurisdiktion.
 

Migrationsfähigkeit als Dauerstrategie – nicht als Krisenreaktion

Die wesentliche Frage in Hinblick auf Lock-ins ist nicht, ob man von VMware oder einem anderen proprietären Anbieter abhängig ist – sondern ob man es rechtzeitig bemerkt. Ein Vendor-Lock-in entsteht schleichend, über Jahre, oft unsichtbar hinter stabilen Vertragsbeziehungen. Sichtbar wird er erst dann, wenn der Hebel auf der anderen Seite des Tisches umgelegt wird.

Migrationsfähigkeit sollte deshalb kein Notfallplan sein, sondern ein dauerhaftes Merkmal der Infrastrukturstrategie: durch den bewussten Einsatz offener Hypervisor-Standards, vertraglich abgesicherte Exit-Szenarien, regelmäßige Bewertung des eigenen Souveränitätsgrads – und eine kritische Prüfung jedes Anbieters, der Unabhängigkeit verspricht.

Was bleibt, ist eine Frage, die jede IT-Abteilung konkret beantworten können sollte:
Wie lange würde es dauern, unsere gesamte Infrastruktur auf einen anderen Anbieter zu migrieren – und was würde es kosten?