On-Premise oder Cloud: so entscheidet ein Schweizer KMU

Kaum ein KMU entscheidet aus freien Stücken zwischen Cloud und eigenem Server. Meist entscheidet ein Datum.

Am 12. Januar 2027 endet der erweiterte Support für Windows Server 2016. Exchange Server 2016 und 2019 sind schon seit dem 14. Oktober 2025 aus dem Support (Microsoft Lifecycle). Wer einen solchen Server im Keller hat, muss ihn ersetzen oder ablösen – oft mit wenigen Monaten Vorlauf.

Die Frage «Cloud oder On-Premise» ist dabei weniger technisch, als sie klingt. Sie lässt sich mit fünf Fragen beantworten: was lokal laufen muss, wer den Betrieb trägt, wo die Daten liegen dürfen, was es über die Laufzeit kostet und wie du nach einem Ausfall zurückkommst.

On-Premise und Cloud: was die Begriffe meinen

On-Premise heisst: Server, Speicher und Software laufen auf Hardware, die dein Unternehmen selbst betreibt – im Serverraum, im Büro oder gemietet in einem Rechenzentrum. Du kaufst, wartest und ersetzt sie.

Cloud heisst: Ein Anbieter stellt dir dieselben Ressourcen als Dienst bereit, und du bezahlst laufend dafür. Wie beim Cloud Computing üblich, gibt es drei Stufen:

• IaaS: Du mietest virtuelle Server und betreibst Betriebssystem und Anwendungen selbst.
• PaaS: Der Anbieter betreibt auch das Betriebssystem, du lieferst die Anwendung.
• SaaS: Du nutzt eine fertige Anwendung, etwa Microsoft 365.

Für KMU ist diese Unterscheidung wichtiger als das Wort Cloud selbst. Ein E-Mail-Server, den Exchange Online ersetzt, ist ein Wechsel zu SaaS. Ein Fileserver, der als virtuelle Maschine bei einem Anbieter weiterläuft, ist IaaS – und braucht fast dieselbe Pflege wie vorher.

Frage 1: Was muss wirklich lokal laufen?

Nicht alles lässt sich verschieben. Drei Fälle sprechen dafür, einen Teil vor Ort zu behalten:

• Software ohne Cloud-Fassung. Branchenlösungen, Maschinensteuerungen oder alte Datenbanken, die der Hersteller nur für den eigenen Server freigibt.
• Abhängigkeit von der Leitung. Fällt das Internet aus, steht in der Cloud auch das Arbeiten still. Wo eine Produktion oder eine Praxis ohne Verbindung weiterlaufen muss, gehört der kritische Teil vor Ort.
• Grosse Dateien im Haus. CAD-Pläne, Videoschnitt oder Bilddaten, die täglich zwischen Arbeitsplatz und Speicher wandern, sind lokal oft schneller.

Alles andere – E-Mail, Kalender, Dateiablage, Telefonie, Buchhaltung mit Cloud-Fassung – ist heute ein Kandidat für die Cloud. Die Frage ist nicht, ob es geht, sondern ob es sich lohnt.

Frage 2: Wer trägt den Betrieb?

Hier liegt der häufigste Irrtum. Die Cloud nimmt dir einen Teil der Arbeit ab, aber nie alles.

Microsoft beschreibt die Aufteilung als Modell geteilter Verantwortung: On-Premise gehört dir der ganze Stapel, vom Rechenzentrum bis zum Benutzerkonto. In der Cloud wandern Gebäude, Hardware und – je nach Stufe – das Betriebssystem zum Anbieter (Microsoft Learn, «Shared responsibility in the cloud», Stand August 2026).

Was in jedem Modell bei dir bleibt

Unabhängig vom Modell bleiben laut demselben Dokument vier Dinge bei dir:

• Daten: Klassifizierung, Schutz und Entscheide zur Verschlüsselung.
• Endgeräte: Laptops und Smartphones, mit denen auf die Dienste zugegriffen wird.
• Konten: wer ein Konto bekommt und wer es wieder verliert.
• Zugriffsregeln: Rollen, Mehrfaktor-Anmeldung wie die Zwei-Faktor-Authentifizierung und Bedingungen für die Anmeldung.

Die Cloud ist also nicht automatisch sicherer: Der Anbieter übernimmt die unteren Schichten, die oberen bleiben bei dir. Umgekehrt nennt Microsoft typische Beispiele dafür, was On-Premise liegen bleibt: verspätete Updates, unzureichend geschützte Serverräume, lückenhafte Überwachung, Hardware ohne Herstellerupdates und ungetestete Backups. Wer diese Liste für den eigenen Server nicht ehrlich abhaken kann, hat die Sicherheitsfrage schon beantwortet – unabhängig vom Standort.

Wie du eine Cloud-Umgebung konkret absicherst, steht im Beitrag Microsoft 365 absichern mit Business Premium.

Frage 3: Wo dürfen die Daten liegen?

Viele KMU gehen davon aus, dass Personendaten die Schweiz nicht verlassen dürfen. Das Gesetz sagt etwas anderes.

Ein Datenstandort Schweiz ist kein gesetzliches Muss

Das Datenschutzgesetz erlaubt, eine Bearbeitung an einen Dienstleister auszulagern; die Verantwortung bleibt aber bei dir (Art. 9 DSG, SR 235.1). Daten ins Ausland zu geben ist zulässig, wenn der Bundesrat dem Zielstaat einen angemessenen Schutz bescheinigt hat oder geeignete Garantien bestehen, etwa vertragliche (Art. 16 DSG).

Für die USA gilt das seit dem 15. September 2024 – allerdings nur für Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Welche Staaten als angemessen gelten, führt der Bundesrat in Anhang 1 der Datenschutzverordnung (DSV, SR 235.11) – die Liste kann sich also ändern (Bundesrat, Medienmitteilung vom 14. August 2024).

Der Standort beantwortet nicht, wer zugreifen darf

Ein Rechenzentrum in Zürich klingt nach Kontrolle. Es klärt aber nur, wo die Festplatte steht. Der amerikanische CLOUD Act von 2018 verpflichtet US-Anbieter, Daten auf behördliche Anordnung herauszugeben, die sie besitzen oder kontrollieren – unabhängig davon, ob diese Daten in den USA oder ausserhalb liegen (18 U.S.C. § 2713).

Das ist kein Argument gegen die Cloud. Es ist ein Grund, die richtige Frage zu stellen: Welche Daten sind so heikel, dass auch diese Möglichkeit ausgeschlossen sein muss? Für Patientendaten, Berufsgeheimnisse oder Pläne unter Geheimhaltung fällt die Antwort anders aus als für Offerten und Kalender. Ein Schweizer Standort vereinfacht die Prüfung. Datensouveränität wird er erst zusammen mit der Frage, wer zugreifen kann.

Frage 4: Was kostet es über die ganze Laufzeit?

Der Kaufpreis eines Servers ist die kleinste Zahl im Vergleich. Wer ehrlich rechnet, stellt die Gesamtkosten über die Lebensdauer gegenüber:

Die beiden Kurven verlaufen grundsätzlich verschieden. On-Premise ist am Anfang teuer und danach planbar – bis zum nächsten Ersatz. Die Cloud ist am Anfang günstig und wächst mit jedem Benutzer und jedem Gigabyte. Welche Kurve für dich günstiger ist, hängt an deinen Zahlen, nicht an einer Faustregel.

Ein Posten fehlt in fast jedem Vergleich: die Zeit, die jemand intern in den Server steckt. Wenn die Person, die «das mit der IT macht», eigentlich für Buchhaltung oder Verkauf angestellt ist, steht dieser Aufwand auf keiner Rechnung. Wie man ihn rechnet, zeigt die Entscheidungshilfe IT auslagern.

Frage 5: Wie kommst du nach einem Ausfall zurück?

Ein Backup gehört in jedes Modell, auch in die Cloud. Microsoft 365 schützt die Plattform vor Ausfällen. Eine vollständige Datensicherung deines Unternehmens ist das nicht: Papierkorb und Versionsverlauf reichen nur begrenzt zurück, und ein kompromittiertes Konto kann viel löschen oder Ransomware synchronisierte Dateien verschlüsseln.

Drei Regeln gelten unabhängig vom Modell:

• Eine Kopie ausserhalb des Systems, das sie schützen soll. Ein Backup auf demselben Server ist eine Kopie, keine Sicherung.
• Eine getestete Wiederherstellung. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme.
• Ein Plan für den Ausfall ganzer Systeme: wer entscheidet, was zuerst zurückkommt. Mehr dazu unter Disaster Recovery.

Wie wir Sicherung und Wiederherstellung aufsetzen, steht auf der Seite Backup & Cloud.

Hybrid: der Normalfall, nicht der Kompromiss

Die meisten KMU landen nicht bei einer reinen Lösung. Eine Hybrid Cloud verbindet beides: E-Mail, Dateien und Zusammenarbeit in der Cloud, die Branchensoftware oder die Maschinensteuerung vor Ort.

Das ist sinnvoll, solange jeder Teil einen Grund hat. Der Preis ist Komplexität: Konten, Berechtigungen und Sicherungen müssen über zwei Welten hinweg stimmen. Ohne zentrale Anmeldung liegt dieselbe Datei bald an drei Orten – auf dem Server, im OneDrive und auf einem Stick. Genau das räumt ein sauberer Modern Workplace auf.

Der Wechsel: in Etappen, nicht in einer Nacht

Ein Umzug in die Cloud gelingt selten am Stück. Diese Reihenfolge hält das Risiko klein:

1. Bestand aufnehmen. Welche Anwendungen, Daten und Abhängigkeiten gibt es, und wer nutzt sie?
2. Sortieren. Was wandert als SaaS, was als virtueller Server, was bleibt vor Ort, was wird abgeschaltet?
3. Mit einem unkritischen Teil beginnen. Oft E-Mail und Kalender, weil der Weg zu Exchange Online gut dokumentiert ist.
4. Backup und Rückweg vor dem Umzug klären, nicht danach.
5. Den alten Server abschalten, sobald alles nachweislich läuft – statt ihn «für alle Fälle» weiterlaufen zu lassen.

Der letzte Punkt klingt banal. Ein vergessener Server ohne Updates ist aber genau das System, das am Ende von Frage 2 auf der Liste steht.

Was ALPENIQ hier tut

Als ausgelagerte IT-Abteilung betreuen wir Server vor Ort oder in der Cloud, Netzwerk, Backup und Arbeitsplätze – und begleiten den Wechsel, wenn ein Umzug in die Cloud ansteht. Wo welche Daten liegen, dokumentieren wir bei der Bestandsaufnahme, damit du die Frage nach dem Datenstandort beantworten kannst. Wie das im Alltag aussieht, steht unter IT-Outsourcing.

Was wir nicht tun: dir die Cloud verkaufen, wo ein lokaler Server die bessere Antwort ist.

Fazit

Ob Cloud oder On-Premise, entscheidet nicht die Technik, sondern fünf Antworten: was lokal laufen muss, wer den Betrieb trägt, wo die Daten liegen dürfen, was es über die Laufzeit kostet und wie du zurückkommst. Für die meisten Schweizer KMU ergibt das eine hybride Lösung mit einem klaren Grund für jeden Teil. Wer einen Server mit Ablaufdatum hat, beantwortet die fünf Fragen besser jetzt als im Januar 2027.

Wo du weiterliest

• Welche Lücken Angreifer in KMU tatsächlich nutzen: Cyber Security für KMU
• Was in Microsoft 365 schon enthalten ist: Microsoft 365 für KMU

Häufig gestellte Fragen (FAQ)

Was ist On-Premise, einfach erklärt?

On-Premise bedeutet, dass Server und Software auf Hardware laufen, die dein Unternehmen selbst betreibt – im eigenen Serverraum oder in einem gemieteten Rack. Du kaufst die Lizenzen, installierst die Updates und ersetzt die Hardware. Das Gegenstück ist die Cloud, in der ein Anbieter diesen Betrieb als Dienst übernimmt.

Was sind die Vor- und Nachteile von On-Premise und Cloud?

On-Premise bietet volle Kontrolle über Hardware, Standort und Zugriff und läuft auch ohne Internet, verlangt aber Investitionen, Wartung und Ersatz. Die Cloud ist schnell verfügbar, wächst mit und nimmt dir Hardware und Rechenzentrum ab, kostet dafür laufend und hängt an der Leitung. Daten, Konten und Zugriffsregeln verantwortest du in beiden Modellen selbst.

Was ist eine Hybrid Cloud?

Eine Hybrid Cloud verbindet eigene Server und Cloud-Dienste zu einer Umgebung. Typisch für KMU: E-Mail, Dateien und Teams laufen in der Cloud, eine Branchensoftware oder Maschinensteuerung bleibt vor Ort. Entscheidend sind eine gemeinsame Anmeldung und eine Sicherung, die beide Teile abdeckt.

Muss ein Schweizer KMU seine Daten in der Schweiz speichern?

Nein, das Datenschutzgesetz schreibt keinen Speicherort vor. Daten dürfen ins Ausland, wenn der Bundesrat dem Zielstaat einen angemessenen Schutz bescheinigt hat oder geeignete Garantien bestehen (Art. 16 DSG). Branchenregeln, Verträge oder Berufsgeheimnisse können strenger sein – das ist im Einzelfall zu prüfen.

Ist ein eigener Server sicherer als die Cloud?

Nicht automatisch. Ein eigener Server ist so sicher wie seine Updates, seine Zugriffsregeln und sein Backup. Die Cloud nimmt dir Rechenzentrum und Hardware ab, aber nicht die Verantwortung für Konten und Daten. Entscheidend ist, wer den Betrieb tatsächlich übernimmt und ob er ihn nachweisen kann.