Cloud-Ausfälle: Wie abhängig sind KMU von ihren IT-Anbietern?

Die Cloud ist für viele KMU längst Teil der Grundversorgung. E-Mail, Buchhaltung, Lohn, Auftragsbearbeitung oder ganze Branchenlösungen laufen heute nicht mehr zwingend auf einem Server im eigenen Betrieb, sondern bei spezialisierten Anbietern. Das ist in vielen Fällen zweckmässig – und oft sicherer, als alles selbst zu betreiben.

Doch die letzten Jahre haben auch gezeigt, was passiert, wenn ein solcher Dienst plötzlich nicht mehr verfügbar ist.

Vier Vorfälle – vier sehr unterschiedliche Folgen

Microsoft 365: Am 31. August 2026 war Exchange Online von einer grösseren Störung betroffen. Nutzer meldeten unter anderem Probleme beim Zugriff sowie beim Senden und Empfangen von E-Mails. Heise berichtete über den Vorfall und verwies auf die von Microsoft geführte Incident-Nummer EX1464935. Für viele Unternehmen war die Störung zwar vergleichsweise kurz – sie zeigte aber erneut, wie schnell ein alltäglicher Cloud-Dienst zum Engpass werden kann.

Blue Yonder: Im November 2024 traf ein Ransomware-Angriff den Softwareanbieter Blue Yonder. Dessen Lösungen werden unter anderem für Lieferketten, Warenwirtschaft sowie Personal- und Einsatzplanung eingesetzt. Bei Starbucks waren dadurch Systeme für Einsatzplanung und Zeiterfassung beeinträchtigt; Grundlagen für die Lohnabrechnung mussten teilweise manuell verarbeitet werden. Reuters berichtete über die Folgen des Angriffs. Bei einzelnen Kunden zogen sich die Auswirkungen über Wochen hin.

CDK Global: Noch deutlicher wurde die Abhängigkeit im Juni 2024 beim US-Anbieter CDK Global. Die Branchenplattform wird von Tausenden Autohändlern für Verkauf, Werkstatt, Fahrzeugbestand, Kundendaten und weitere Geschäftsprozesse genutzt. Nach einem Cyberangriff waren zentrale Dienste rund zwei Wochen stark beeinträchtigt. Händler griffen auf Papier, Excel, Telefon und andere manuelle Verfahren zurück. Ars Technica dokumentierte den zweiwöchigen Notbetrieb und berichtete von mehr als 15'000 betroffenen Händlerstandorten.

Infoniqa / Sage Schweiz: Auch in der Schweiz gab es 2025 einen vergleichbaren Fall. Infoniqa, die 2021 Sage Schweiz übernommen hatte, wurde Anfang August Opfer eines Cyberangriffs. In der Schweiz war insbesondere die ONE Start Cloud betroffen. Heise berichtete, dass die Cloud-Lösung nicht nutzbar war; ein Leser hatte dem Magazin einen Ausfall von mehr als einer Woche gemeldet. Inside IT schrieb später von Auswirkungen, mit denen Infoniqa seit über zwei Wochen zu kämpfen hatte.

Der gemeinsame Nenner: Der Ausfall des Anbieters wird zum Problem des Kunden

Die vier Fälle unterscheiden sich bei Ursache, Dauer und betroffenen Systemen deutlich. Gemeinsam ist ihnen etwas anderes: Während die zentralen Dienste nicht verfügbar waren, konnten Kunden bestimmte Arbeiten nicht mehr oder nur noch mit erheblichen Umwegen ausführen.

Damit wird aus einer technischen Störung beim Anbieter sehr schnell ein betriebliches Risiko beim Kunden.

Cloud ist für KMU trotzdem häufig die richtige Lösung

Daraus folgt nicht, dass KMU ihre Systeme wieder vollständig selbst betreiben sollten. Im Gegenteil: Professionelle Cloud-Anbieter können Infrastruktur, Updates, Überwachung, Redundanz und Sicherheitsmassnahmen häufig besser und wirtschaftlicher bereitstellen, als dies ein kleiner Betrieb mit begrenzten IT-Ressourcen selbst könnte.

Cloud-Lösungen sind deshalb in vielen Fällen sinnvoll und können sogar sicherer sein als eine schlecht gepflegte lokale Umgebung. Entscheidend ist jedoch, die damit entstehenden Abhängigkeiten zu kennen und bewusst zu steuern.

Wie lange kann das Unternehmen auf einen Dienst verzichten?

Nicht jedes System ist gleich kritisch. Für einen Handwerksbetrieb kann ein E-Mail-Ausfall von einigen Stunden oder vielleicht auch mehreren Tagen zwar unangenehm, aber noch verkraftbar sein. Arbeiten laufen weiter, Kunden können telefonisch erreicht werden und eine Offerte lässt sich notfalls später versenden.

Für eine andere Firma können bereits 24 Stunden ohne E-Mail ernste Folgen haben – etwa wenn wichtige Fristen, zeitkritische Eingaben oder ein grosser Teil der Kundenkommunikation davon abhängen. In diesem Fall kann es sinnvoll sein, eine vorbereitete Ausweichmöglichkeit vorzuhalten.

Wer dagegen einige Tage oder sogar länger auf einen Dienst verzichten kann, braucht nicht zwingend ein sofort einsatzbereites Ersatzsystem. Das Unternehmen sollte aber wissen, ab welchem Zeitpunkt es auf einen Plan B wechseln will – und wie lange die Umsetzung dieses Plans ungefähr dauert.

Gerade dieser zweite Wert wird häufig vergessen: Wenn ein Ersatzsystem fünf Tage benötigt, bis es produktiv eingesetzt werden kann, darf der Entscheid dazu nicht erst am fünften Ausfalltag fallen.

Bei ERP- und Branchenlösungen zählt oft jeder Tag

Anders sieht es bei Systemen aus, die täglich von vielen Mitarbeitenden mit neuen Geschäftsdaten befüllt werden. In einer Branchenlösung oder einem ERP entstehen laufend Aufträge, Offerten, Arbeitszeiten, Rechnungen, Materialbewegungen, Kundendaten oder Lohninformationen.

Schon ein einzelner Ausfalltag kann hier dazu führen, dass Informationen nachgeführt, Prozesse manuell überbrückt oder ganze Arbeitsschritte später rekonstruiert werden müssen. Entsprechend wichtiger ist es zu wissen, wie lange ein solcher Ausfall akzeptabel ist und welche Informationen für einen Notbetrieb zur Verfügung stehen müssen.

Geschäftsdaten müssen auch langfristig zugänglich bleiben

Neben der kurzfristigen Betriebsfähigkeit kommt eine zweite Frage hinzu: die langfristige Verfügbarkeit der Daten. In der Schweiz müssen bestimmte Unterlagen – darunter Geschäftsbücher und Buchungsbelege – während zehn Jahren aufbewahrt werden. Elektronisch aufbewahrte Unterlagen müssen dabei jederzeit wieder lesbar gemacht werden können. Das ergibt sich aus Art. 958f OR.

Damit reicht die Frage «Hat unser Cloud-Anbieter ein Backup?» allein nicht aus. Unternehmen sollten auch klären, ob sie ihre wesentlichen Geschäftsdaten unabhängig vom Anbieter verfügbar halten können und ob diese Daten im Notfall tatsächlich wieder nutzbar sind.

Und wenn der Anbieter gar nicht mehr zurückkommt?

Dass ein Anbieter dauerhaft verschwinden kann, ist kein rein theoretisches Szenario. 2020 ging der Winterthurer Rechenzentrumsanbieter Grapin Data Center Konkurs. Kunden mussten ihre Systeme verlagern; zeitweise stand sogar im Raum, dass dem Rechenzentrum der Strom abgestellt werden könnte. Inside IT berichtete damals über die kurzfristige «Evakuierung» von Kundeninfrastruktur.

Ein Unternehmen muss dafür nicht einmal Konkurs gehen. Das zeigt RapidShare: Der Zuger Filehoster gehörte zeitweise zu den weltweit meistbesuchten Websites. 2015 entschied das Unternehmen, den aktiven Dienst einzustellen. Die verbleibenden Konten wurden anschliessend gelöscht. Inside IT berichtete über das Ende des Schweizer Filehosters.

Für den Kunden ist der Grund am Ende zweitrangig. Ob Cyberangriff, Konkurs, strategischer Rückzug oder eine andere Einschränkung: Entscheidend ist, ob die eigenen Daten und Prozesse auch dann weitergeführt werden können, wenn der ursprüngliche Anbieter nicht mehr zur Verfügung steht.

Ein unabhängiges Backup ist mehr als nur eine zweite Kopie

Bei besonders wichtigen Cloud-Systemen kann es deshalb sinnvoll sein, Daten zusätzlich ausserhalb der eigentlichen Plattform zu sichern – beispielsweise bei einem unabhängigen dritten Anbieter oder in einer davon getrennten Infrastruktur.

Dabei sollte nicht nur geprüft werden, ob eine Kopie vorhanden ist. Ebenso wichtig ist die Frage, in welchem Format die Daten vorliegen und ob sie ohne das ursprüngliche System wieder gelesen, ausgewertet oder in eine andere Lösung übernommen werden können.

Eine Sicherung, die sich ausschliesslich in dieselbe nicht mehr verfügbare Anwendung zurückspielen lässt, schafft in einem solchen Szenario nur begrenzte Unabhängigkeit.

Autonomie bedeutet, Abhängigkeiten zu kennen

Eine gute Cloud-Strategie bedeutet deshalb nicht, auf Cloud zu verzichten oder jedes System doppelt aufzubauen. Sie bedeutet, die Abhängigkeiten eines Unternehmens zu kennen und für die wichtigen davon eine bewusste Entscheidung zu treffen: Wie lange darf der Dienst ausfallen? Wann wird Plan B aktiviert? Wie lange braucht dessen Umsetzung? Wo liegen die notwendigen Daten – und bleiben sie auch unabhängig vom Anbieter nutzbar?

vNext unterstützt Unternehmen dabei, genau diese Abhängigkeiten und Datenflüsse sichtbar zu machen: wo wichtige Daten liegen, wie sie gesichert werden und wie sie auch langfristig oder nach dem Wegfall eines Anbieters weiter genutzt werden können.

Cloud ist nicht das Problem. Kritisch wird es, wenn ein Unternehmen seine Abhängigkeit erst bemerkt, nachdem der Dienst bereits ausgefallen ist.