Kolumne

Vom Keller in die Cloud – warum eigene Server heute zum Risiko werden

~ 14 Minuten Lesezeit

Es gibt dieses Bild, das viele noch im Kopf haben. Ein fensterloser Raum im Keller, ein paar Racks, blinkende LEDs, das gleichmäßige Rauschen der Klimaanlage. Irgendwo an der Wand ein Kabelbaum, der in einen Switch verschwindet. Und davor ein Administrator, der genau weiß, auf welchem Blech welche VM läuft, welches Backup wann gezogen wurde und welcher Dienst nach einem Neustart wieder händisch angestoßen werden muss.

Das war einmal die IT des Mittelstands. Und sie funktionierte. Wirklich.

Vielleicht nicht elegant, vielleicht nicht skalierbar, vielleicht nicht auditsicher im modernen Sinn. Aber sie funktionierte, weil die Welt um sie herum langsamer war. Weil Angriffe seltener waren. Weil Updates optional wirkten. Weil ein Stromausfall am Wochenende niemanden störte, der ohnehin nicht arbeitete. Und weil die Frage „Was passiert, wenn jemand von außen in dieses Netz kommt?“ eher theoretisch war als statistisch wahrscheinlich.

Dieses Bild ist nicht verschwunden. Viele Firmen betreiben genau diese Infrastruktur noch heute. Aber die Welt um sie herum hat sich verändert – und genau da beginnt das Problem.

Kontrolle ist nicht dasselbe wie Sicherheit

Wer einen Server im eigenen Keller stehen hat, hat Kontrolle. Zumindest fühlt es sich so an. Die Hardware gehört der Firma. Die Festplatten sind greifbar. Die Tür hat ein Schloss. Wer physisch an die Maschinen will, muss ins Gebäude. Das ist ein beruhigender Gedanke, und er ist nicht falsch – er ist nur unvollständig.

Denn Sicherheit entsteht nicht durch eine Stahltür. Sie entsteht durch eine Kette von Maßnahmen, die alle zusammenhalten müssen: Patch-Management, Firewall-Regeln, Backup-Strategie, Zugriffskontrolle, Monitoring, Notfallpläne, Mitarbeitende, die wissen, was zu tun ist, wenn etwas schiefgeht. Und genau hier beginnt der Graben zwischen dem Gefühl von Kontrolle und der Realität von Sicherheit.

Ein Server, der seit 18 Monaten nicht mehr aktualisiert wurde, ist nicht sicher, nur weil er im eigenen Keller steht. Eine Firewall, deren Regelwerk seit der Ersteinrichtung nicht mehr geprüft wurde, schützt nicht, nur weil sie leuchtet. Ein Backup, das auf dem NAS im gleichen Raum liegt wie der Produktivserver, ist kein Backup, sondern eine zweite Kopie, die der nächsten Ransomware mit verschlüsselt wird.

Die Frage ist nicht: „Wem gehört die Hardware?“ Die Frage lautet: „Wer sorgt dafür, dass sie sicher betrieben wird – und ist diese Person überhaupt vorhanden?“

Warum es früher funktionierte

Es wäre unehrlich zu behaupten, lokale Server seien von Anfang an eine schlechte Idee gewesen. Das Gegenteil ist der Fall. Über Jahrzehnte waren sie der Standard, und sie hatten gute Gründe dafür.

  • Datenhoheit war physisch. Wer die Festplatte in der Hand hielt, hatte die Daten. Das war ein einfaches, nachvollziehbares Modell, lange bevor Cloud-Anbieter mit abstrakten Speicherversprechen kamen.
  • Abhängigkeiten waren überschaubar. Die Software lief auf der eigenen Hardware, lizenziert vom lokalen Server. Kein API-Endpoint, der plötzlich nicht mehr antwortet. Kein Abo, das gekündigt wird. Kein Vendor-Lock-in, der den Wechsel unmöglich macht.
  • Angriffsfläche war kleiner. Ein Firmennetz, das nicht permanent ans Internet angebunden war, war schwerer zu erreichen. Externe Angreifer mussten physisch oder über wenige, gut kontrollierbare Eintrittspunkte kommen.
  • Personal war verfügbar. Es gab Administratoren, die sich eine Karriere lang mit einer bestimmten Umgebung beschäftigt haben. Die wussten, wo jede Konfigurationsdatei liegt und warum dieser eine Dienst nur mit einem Workaround startet.
  • Compliance war einfacher. Audits fragten nach Firewalls und Backups, nicht nach Cloud-Zertifizierungen und Auftragsverarbeitungsverträgen. Die regulatorische Welt war enger, langsamer, technischer.

Das Modell funktionierte, weil es zu einer Welt passte, in der IT ein Backoffice war, nicht das Geschäft selbst. In der ein Ausfall am Wochenende kein Umsatzloch riss. In der Datenmengen überschaubar waren. In der Ransomware noch kein Geschäftsmodell war.

Warum es heute fatal sein kann

Die Welt hat sich nicht in einem Aspekt verändert, sondern in mehreren gleichzeitig. Und genau diese Kombination macht das alte Modell so riskant.

Die Bedrohung hat sich professionalisiert

Ransomware-Gruppen sind keine Einzeltäter mehr, die zufällig irgendwelche Server verschlüsseln. Sie sind kriminelle Unternehmen mit Helpdesk, Verhandlungsführung, Zielauswahl und Support-Hotline für das Lösegeld. Sie haben den Mittelstand als Zielgruppe entdeckt, weil dort die IT-Dichte hoch ist, die IT-Abteilung aber oft dünn besetzt.

Ein lokales Netz, in dem Produktivsystem und Backup im gleichen Gebäude stehen, ist für solche Angreifer kein Hindernis, sondern eine Erleichterung. Moderne Ransomware sucht gezielt nach verbundenen Backup-Laufwerken, Schattenkopien und NAS-Freigaben und verschlüsselt sie direkt mit. Ein Backup, das aus demselben Active Directory heraus zugreifbar ist, ist im Ernstfall keines mehr.

Dass das kein Szenario aus dem Lehrbuch ist, zeigt der Fall der Einhaus-Gruppe aus Hamm – einst ein führender Anbieter von Elektronikversicherungen mit rund 70 Millionen Euro Umsatz und Partnern wie Deutsche Telekom und 1&1. Im März 2023 verschlüsselte die Ransomware-Gruppe Royal sämtliche Systeme. Die Erpresser meldeten sich über die Firmendrucker: In jedem Gerät lag ein Ausdruck, der sinngemäß sagte „Wir haben euch gehackt, alle Informationen im Darknet.“ Das Unternehmen zahlte rund 200.000 Euro in Bitcoin und kam trotzdem nicht zurück auf die Beine: Der Schaden lag im mittleren siebenstelligen Bereich, die Belegschaft schrumpfte von etwa 170 auf 8 Mitarbeitende, und 2025 meldeten drei Gesellschaften Insolvenz. Das war kein Konzern mit eigenem Security-Team – das war Mittelstand, genau das Unternehmensprofil, das diese Gruppen gezielt suchen.

Ausfälle sind teurer geworden

Früher bedeutete ein Serverausfall am Samstag, dass am Montag jemand den Rechner neu startete. Heute bedeutet ein Ausfall, dass keine Rechnungen verschickt werden, keine Aufträge bearbeitet werden, der Online-Shop nicht verkauft, die Produktion steht, die Logistik nicht disponiert und remote arbeitende Kolleginnen und Kollegen gar nicht erst ins System kommen.

IT ist nicht mehr das Backoffice. Sie ist das Geschäft. Und ein Geschäft, das steht, kostet nicht nur Nerven, sondern Geld – pro Stunde.

Die Komplexität übersteigt das Team

Wer heute ein Firmennetz sicher betreiben will, muss mehr können, als einen Windows-Server zu betreiben und eine Firewall zu konfigurieren. Endpoint Detection und Response statt klassischer Antivirus. Multi-Faktor-Authentifizierung konsequent für alle Accounts – und selbst die lässt sich angreifen. Patch-Management binnen Tagen, nicht Monaten. Zero-Trust-Modelle. Segmentierung. Logging und Monitoring, das jemand auch versteht. Penetrationstests. Notfallübungen.

Ein mittelständisches Unternehmen mit ein bis zwei IT-Mitarbeitenden, die sich nebenbei auch um Laptops, Drucker und E-Mail kümmern, kann das auf Dauer nicht leisten. Es ist nicht eine Frage des Willens, sondern der Kapazität. Und der Markt für IT-Fachkräfte ist leer – wer ein gutes Team hat, will es behalten. Wer keines hat, bekommt kaum noch eines. Und selbst wer eines hat, hat oft genau einen Menschen, der alles weiß – mit Urlaub, Krankheit und Kündigungsfrist.

Physische Risiken werden unterschätzt

Ein Serverraum im Keller ist nicht nur ein digitaler, sondern ein physischer Single Point of Failure. Ein Wasserschaden im Obergeschoss, ein Stromausfall, der die Klimaanlage stilllegt, ein Brand, der die Brandmeldeanlage auslöst, aber eben kein Gas-Brandschutzsystem hat – jeder dieser Fälle kann die gesamte IT lahmlegen. Mittelständische Betriebe verfügen nur in Ausnahmefällen über redundante Stromversorgungen, professionelle Brandschutzsysteme oder ein zweites Rechenzentrum an einem anderen Standort.

Was in kommerziellen, externen Rechenzentren absoluter Standard ist – Klimatisierung mit Redundanz, USV mit Dieselaggregat, Branderkennung, physische Zugangskontrolle, Notstrom – ist im eigenen Keller oft eine Frage des Budgets, das gerade nicht da ist.

Compliance ist nicht mehr optional

Die regulatorische Welt ist enger geworden. DSGVO, NIS2, branchenspezifische Vorgaben, Auftragsverarbeitungsverträge, Meldepflichten bei Datenschutzvorfallen, Dokumentationspflichten für Informationssicherheits-Managementsysteme. Cyberversicherer verlangen inzwischen Nachweise über MFA, Endpoint-Schutz und getestete Backups, bevor sie überhaupt eine Police ausstellen. Ein unübersichtlicher, unzureichend dokumentierter Serverraum fällt bei externen Audits oder Prüfungen schnell durch. Professionell verwaltete Rechenzentren verfügen hingegen standardmäßig über anerkannte Zertifizierungen wie ISO 27001, BSI C5 oder SOC 2, die ein strukturiertes und nachweisbares Sicherheitsniveau belegen.

Wer heute keine Dokumentation hat, hat nicht nur ein Organisationsproblem, sondern ein Rechtsproblem.

Die andere Seite: Was für den eigenen Server spricht

Es wäre genauso unehrlich, die Cloud als Lösung für alles darzustellen. Wer das tut, treibt dasselbe dogmatische Spiel wie der Konzern, der behauptet, es gäbe keine Alternative. Die Wahrheit ist: Es gibt gute Gründe, Infrastruktur selbst zu betreiben. Und es gibt gute Gründe, sie nicht blind in die nächste Cloud zu schieben.

  • Volle Datenhoheit. Wer sensible Kundendaten, Patientenakten, Mandantendaten oder Entwicklungsgeheimnisse auf eigener Hardware hält, gibt keine Daten an Dritte weiter. In bestimmten Branchen – Gesundheitswesen, Steuerberatung, Verteidigung, kritische Infrastrukturen – ist das nicht nur ein Vorteil, sondern eine rechtliche Notwendigkeit.
  • Keine Abhängigkeit von einem Anbieter. Wer selbst hostet, hat keinen Vendor-Lock-in. Keine Preiserhöhungen im Jahrestakt. Kein Abo, das gekündigt wird. Keine API, die ohne Ankündigung geändert wird. Die Infrastruktur gehört der Firma, nicht einem Abo.
  • Tiefes Customizing. Wer eigene Software betreibt, kann sie anpassen. Code-Zugriff, eigene Module, spezifische Integrationen. Cloud-SaaS-Lösungen sind oft bequemer, aber selten so flexibel wie eine Lösung, die man selbst in der Hand hat.
  • Break-even bei großen Datenmengen. Wer mehr als einige Terabyte aktive Daten bewegt, zahlt in der Cloud schnell mehr als der eigene Server kostet. Ab einer gewissen Größe kehrt sich die Kostenrechnung um – On-Premise lohnt sich wieder.
  • Unabhängigkeit vom Internet. Eine lokale Infrastruktur funktioniert auch, wenn die Leitung zum Provider klemmt. Für Standorte mit schlechter Anbindung oder für Prozesse, die nicht von der Cloud abhängen dürfen, ist das ein echtes Argument.

Diese Punkte sind nicht theoretisch. Sie sind der Grund, warum nicht jede Firma ihre Server abschaffen sollte. Die Frage ist nicht „Cloud oder Keller?“, sondern: „Welche Teile der Infrastruktur gehören aus guten Gründen in eigene Hände – und welche aus guten Gründen nicht?“

Die Illusion der einfachen Antwort

Es gibt zwei Erzählungen, die beide falsch sind.

Die erste lautet: „Die Cloud löst alle Probleme.“ Sie tut es nicht. Sie verschiebt die Verantwortung, nicht die Risiken. Wer seine Daten in eine Cloud gibt, vertraut auf einen Anbieter, dessen Geschäftsmodell, dessen Standort, dessen Rechtssystem, dessen Langlebigkeit. Und Standort ist nicht dasselbe wie Rechtsraum: Ein Rechenzentrum in Frankfurt, betrieben von einem US-Konzern, unterliegt trotzdem dem US CLOUD Act – Daten können theoretisch von US-Behörden angefordert werden, ohne dass sie je deutschen Boden verlassen. Die Frage aus Was wäre – Wenn die Tech-Giganten Europa den Stecker ziehen gilt für Firmen genauso wie für Privatpersonen: Was passiert, wenn der Anbieter morgen nicht mehr da ist? Wer seine gesamte Infrastruktur bei einem einzigen Cloud-Anbieter hat, hat keinen Vendor-Lock-in vermieden, sondern einen neuen gebaut – nur dass diesmal nicht das eigene Blech das Problem ist, sondern die API, die Lizenz und der Account.

Die zweite lautet: „Der eigene Server ist immer sicherer, weil er mir gehört.“ Er ist es nicht. Besitz ist nicht Sicherheit. Ein Server, der nicht gepflegt wird, ist unsicher, egal wem er gehört. Eine Firewall, die niemand prüft, schützt nicht, egal wo sie steht. Ein Backup, das nie zurückgespielt wurde, ist ein Hoffnungswert, kein Schutz.

Die ehrliche Antwort liegt dazwischen. Sie lautet: Es kommt darauf an, wer die Verantwortung trägt – und ob diese Person oder dieses Team tatsächlich in der Lage ist, sie zu tragen.

Hybrid ist kein Kompromiss, sondern oft die richtige Antwort

Viele Firmen versuchen, die Frage zu umgehen, indem sie alles in die Cloud schieben oder alles im Keller behalten. Beides ist selten die beste Lösung. Die realistische Antwort ist häufig eine hybride:

  • Sensible Daten und kritische Prozesse bleiben dort, wo die Kontrolle am wichtigsten ist – auf eigener Hardware, in einem betreuten Rechenzentrum oder bei einem regionalen IT-Partner mit nachvollziehbarer Zertifizierung.
  • Alltägliche Dienste – E-Mail, Office, Kommunikation, Kollaboration – laufen dort, wo Skalierbarkeit und Verfügbarkeit am wichtigsten sind. Das kann eine Public Cloud sein, das kann aber auch ein europäischer Anbieter sein, dessen Rechenzentrum im eigenen Rechtsraum steht.
  • Backups liegen nicht im gleichen Gebäude wie das Produktivsystem. Die 3-2-1-Regel ist kein Vorschlag, sondern ein Mindeststandard: drei Kopien auf zwei verschiedenen Medien, eine davon extern gelagert – und idealerweise zusätzlich offline oder unveränderbar. Was dahinter steckt und warum das Zurückspielen geübt sein will, habe ich in Backups richtig machen beschrieben. Ein Backup, das eine Ransomware mit verschlüsseln kann, ist keines.

Wer so denkt, gibt nicht die Kontrolle auf. Er verteilt sie. Und verteilte Infrastruktur ist genau das, was moderne Angreifer am schwersten treffen.

Was sich wirklich ändern muss

Die entscheidende Frage ist nicht, wo die Server stehen. Die entscheidende Frage ist, ob eine Firma ihre IT versteht – oder ob sie hofft, dass schon nichts passiert.

  • Wer einen Server betreibt, muss wissen, wann er das letzte Mal gepatcht wurde. Und wenn die Antwort „weiß ich nicht“ lautet, ist das die Antwort.
  • Wer ein Backup hat, muss wissen, ob es sich zurückspielen lässt. Und wenn es nie getestet wurde, ist es kein Backup, sondern eine Datei.
  • Wer eine Firewall hat, muss wissen, was sie durchlässt. Und wenn niemand die Regeln kennt, ist sie kein Schutz, sondern ein Router.
  • Wer Mitarbeitende hat, muss wissen, ob sie Phishing und Social Engineering erkennen. Und wenn nie geübt wurde, ist der nächste Klick auf die falsche Rechnung nur eine Frage der Zeit.
  • Wer Compliance-Vorgaben hat, muss wissen, ob sie erfüllt sind. Und wenn nichts dokumentiert ist, ist im Audit bereits alles verloren, bevor der Angriff überhaupt kommt.

Sicherheit ist kein Zustand. Sie ist eine Praxis. Und eine Praxis, die niemand mehr ausübt, verrottet – egal ob die Hardware im eigenen Keller oder in einer Cloud steht.

Die Frage hinter der Frage

Hinter der Diskussion um Cloud oder Keller steckt eine ältere Frage, die auch im Beitrag Wem gehört eigentlich unsere Technik? im Mittelpunkt stand: Wie viel Kontrolle möchte ich über die Technik haben, die mein Unternehmen trägt – und bin ich bereit, die Verantwortung dafür zu übernehmen?

Wer die Antwort „volle Kontrolle“ gibt, muss auch die Antwort „volles Team, volles Budget, volle Verantwortung“ geben. Wer die Antwort „so wenig wie möglich“ gibt, muss akzeptieren, dass er die Kontrolle an jemand anderen abtritt – und dass dieser jemand andere Entscheidungen trifft als er selbst.

Beides ist legitim. Keines ist kostenlos.

Der Fehler, den viele Firmen gemacht haben – und noch machen –, ist der dritte Weg: die Illusion, man habe Kontrolle, ohne die Verantwortung zu tragen. Der Server im Keller, der seit Jahren nicht gepatcht wurde. Das Backup, das nie getestet wurde. Die Firewall, die niemand prüft. Das Team, das zu klein ist, um die Infrastruktur zu schützen, die es betreut. Das ist nicht Kontrolle. Das ist Risiko, das sich als Kontrolle tarnt.

Was bleibt

Vielleicht ist die wichtigste Erkenntnis nicht die Entscheidung zwischen Cloud und Keller, sondern die Einsicht, dass die Frage falsch gestellt ist. Es geht nicht um den Ort der Server. Es geht um die Fähigkeit, die Infrastruktur zu verstehen, zu schützen und – wenn nötig – ohne fremde Erlaubnis weiterbetreiben zu können.

Eine Firma, die ihre IT versteht, kann sie überall sicher betreiben – im eigenen Keller, bei einem regionalen Dienstleister, in einer europäischen Cloud. Eine Firma, die ihre IT nicht versteht, kann sie nirgends sicher betreiben.

Die Cloud ist kein Garant für Sicherheit. Der eigene Server ist kein Garant für Kontrolle. Beides sind Werkzeuge. Und Werkzeuge sind nur so gut wie die Hände, die sie führen.

Am Ende bleibt dieselbe Frage, die über allem steht, was wir hier besprechen: Wer entscheidet – und trägt diese Person die Verantwortung, die mit der Entscheidung kommt?

Wenn die Antwort klar ist, ist die Infrastruktur egal. Wenn die Antwort unklar ist, ist es egal, wo die Server stehen.

Quellen

Die hier formulierten Gedanken bauen auf der Kolumne Wem gehört eigentlich unsere Technik? auf und ergänzen die Perspektive um die unternehmerische Seite der Infrastruktur-Frage. Anregung war der Gastbeitrag Vom Keller in die Cloud: Warum das lokale Firmen-Rechenzentrum zum Sicherheitsrisiko wird auf Tarnkappe.info, der die sicherheitstechnische Seite des Themas aufgreift.

Bezüge

Ähnliche Artikel