4 Bei Hybrid-Cloud-Speicher für regulierte Branchen geht es weniger um die Wahl zwischen Cloud und On-Premises als vielmehr um die Entscheidung, Datenbestand für Datenbestand, wo welche Art von Daten liegen darf und wie sie überall geschützt wird, wo sie landet. Banken, Versicherer, Krankenhäuser, Behörden, Telekommunikations- und Energieunternehmen nutzen heute alle Public-Cloud-Dienste. Zugleich halten sie große Datenmengen auf Infrastruktur, die sie selbst kontrollieren, weil Aufsichtsbehörden, Datenschutzrecht, Souveränitätsbedenken, Kosten oder Leistung es erfordern. Der beste Hybrid-Cloud-Speicher ist das Design, das beides ermöglicht, ohne Lücken bei Compliance, Sicherheit oder Wiederherstellung zu schaffen. Dieser Artikel erklärt, worauf regulierte Organisationen bei Hybrid-Cloud-Speicher achten, welche Daten typischerweise On-Premises bleiben und welche in die Cloud wandern, welche Fähigkeiten ein hybrides Design belastbar machen und wie sich Optionen bewerten lassen. Er ist herstellerneutral und konzentriert sich auf Architektur und Kriterien. Hintergründe zum hybriden Modell finden Sie unter Was ist Hybrid Cloud? (auf Englisch). Warum regulierte Branchen hybrid arbeiten Regulierung und Aufsicht: Aufsichtsbehörden im Finanz-, Gesundheits- und öffentlichen Sektor legen Regeln zu Auslagerung, Resilienz, Datenspeicherort und Prüfungszugang fest, die sich leichter erfüllen lassen, wenn ein Teil der Daten On-Premises liegt. Datenschutzrecht: Die DSGVO in Europa und ähnliche Gesetze andernorts beschränken die Übermittlung personenbezogener Daten und verlangen eine begründete Aufbewahrung. Souveränität: Die Sorge vor ausländischem Rechtszugriff veranlasst viele Organisationen, sensible Daten unter nationaler Kontrolle zu halten. Kosten im großen Maßstab: Große, stetig wachsende Datenbestände wie Archive, Backups, Bilddaten und Video sind auf eigener Infrastruktur oft günstiger als in der Public Cloud, besonders bei häufigem Abruf und Egress. Leistung und Nähe: Daten, die On-Premises erzeugt oder genutzt werden – von Handelssystemen, Krankenhäusern, Fabriken oder Laboren –, werden oft am besten in der Nähe gespeichert. Cloud-Dienste: Analytik, KI, Zusammenarbeit und neue Anwendungen lassen sich in der Cloud oft am schnellsten einführen. Was typischerweise On-Premises bleibt und was wandert Jede Organisation ist anders, doch es zeichnen sich gemeinsame Muster ab: | Typischerweise On-Premises oder in souveränen Einrichtungen | Typischerweise in der Public Cloud | |—|—| | Regulierte Archive und Kommunikationsaufzeichnungen | Entwicklungs- und Testumgebungen | | Backups und unveränderliche Wiederherstellungskopien | Tools für Zusammenarbeit und Produktivität | | Medizinische Bilddaten und Patientenakten | Kundenseitige Web- und Mobile-Frontends | | Digitale Beweismittel und Überwachungsvideo | Burst-Analysen auf anonymisierten Daten | | Kernbanken-, Schaden- und Handelsdaten | Nicht sensible SaaS-Anwendungen | | Data Lakes mit sensiblen oder souveränen Daten | Globale Content-Auslieferung | Entscheidend ist eine dokumentierte Entscheidung für jede Datenklasse auf Basis von Sensibilität, Regulierung, Volumen, Zugriffsmuster und Kosten – statt einer zufälligen Verteilung. Fähigkeiten, die hybriden Speicher belastbar machen Eine gemeinsame S3-Schnittstelle Wenn der On-Premises-Speicher dieselbe S3-API spricht wie der Cloud-Speicher, können Anwendungen mit minimalen Änderungen zwischen Umgebungen wechseln, und Daten lassen sich zwischen ihnen replizieren oder per Tiering verschieben. Diese Portabilität ist die Grundlage eines flexiblen hybriden Designs. Richtlinienbasierte Datenplatzierung Regeln sollten festlegen, wo Daten liegen: welche Buckets in die Cloud replizieren dürfen, welche On-Premises bleiben müssen und welche auf kostengünstigere Kapazität ausgelagert werden dürfen. Die Platzierung sollte per Konfiguration durchgesetzt und nicht einzelnen Teams überlassen werden. Unveränderlichkeit überall Ransomware zielt auf jede Kopie. Object Lock im Compliance-Modus sollte regulierte Archive und Backups sowohl On-Premises als auch in jeder Cloud-Kopie schützen, mit getrennten Zugangsdaten für jede Umgebung. Verschlüsselung und Schlüsselkontrolle Daten sollten in beiden Umgebungen verschlüsselt sein, wobei die Schlüssel unter der Kontrolle der Organisation liegen – idealerweise in ihren eigenen Systemen für Schlüsselverwaltung, sodass Cloud-Kopien ohne sie nicht lesbar sind. Einheitliche Prüfung und Transparenz Aufsichtsbehörden erwarten, dass Organisationen wissen, wo Daten liegen, wer darauf zugegriffen hat und was sich geändert hat. Logs aus On-Premises- und Cloud-Speicher sollten in dasselbe Sicherheitsmonitoring einfließen und einheitlich aufbewahrt werden. Resilienz über Umgebungen hinweg Hybride Designs können die Resilienz verbessern, etwa mit einer Cloud-Kopie für die Notfallwiederherstellung oder einem zweiten On-Premises-Standort – aber nur, wenn die Wiederherstellung getestet ist. Vorschriften wie DORA für Finanzunternehmen in der EU machen getestete Wiederherstellung zu einer ausdrücklichen Pflicht. Exit und Portabilität Aufsichtsbehörden fragen zunehmend, wie Organisationen einen Anbieter verlassen würden. Offene Formate, Standardschnittstellen und dokumentierte Exportverfahren machen hybride Designs leichter zu verteidigen. Branchenbeispiele Banken und Versicherungen Regulierte Archive, Handels- und Kommunikationsaufzeichnungen sowie unveränderliche Backups bleiben typischerweise On-Premises oder in nationalen Einrichtungen. Die Cloud wird für Kundenkanäle, Analysen auf freigegebenen Daten und Entwicklung genutzt. Gesundheitswesen Bildarchive und Patientenakten bleiben wegen ihres Volumens und der Regeln für Gesundheitsdaten oft On-Premises. Die Cloud dient der Zusammenarbeit, der Forschung mit anonymisierten Daten und patientennahen Diensten. Öffentlicher Sektor Sensible und souveräne Daten bleiben in behördlichen Einrichtungen oder qualifizierten Diensten, während öffentliche Informationsangebote und nicht sensible Workloads eine zugelassene Cloud nutzen. Telekommunikation Teilnehmerdaten, Mail-Plattformen und Personal-Cloud-Dienste bleiben oft im Land auf der Infrastruktur des Betreibers, während die Cloud für einige IT- und Analyse-Workloads genutzt wird. Regionale Besonderheiten Hybride Designs sehen je nach Region unterschiedlich aus. In der EU drängen die Übermittlungsregeln der DSGVO, DORA für Finanzunternehmen und NIS2 für wesentliche Dienste die Organisationen dazu, genau zu dokumentieren, wo Daten und Kopien liegen und wie sie wiederherstellen oder aussteigen würden. In Frankreich und Deutschland erfordern Daten des öffentlichen Sektors und Gesundheitsdaten oft national qualifizierte oder testierte Dienste, etwa nach SecNumCloud oder C5. Im Vereinigten Königreich erwarten die Aufsichtsbehörden, dass Unternehmen Auslagerungs- und Konzentrationsrisiken steuern. In den USA bestimmen Branchenregeln aus Finanz-, Gesundheits- und Bundes-Frameworks, was in die Cloud wandern darf. In Japan und den VAE werden Behörden- und Gesundheitsdaten meist in inländischen Einrichtungen gehalten. Ein hybrides Speicherdesign sollte daher auf länderspezifischen Platzierungsregeln aufbauen statt auf einer einzigen globalen Richtlinie. Kosten: Wo hybrid spart und wo nicht Hybrid ist nicht automatisch günstiger. Es spart Geld, wenn große, stetig wachsende Daten mit häufigem Zugriff auf eigener Infrastruktur bleiben und so laufende Gebühren für Cloud-Speicher, Anfragen und Egress vermieden werden, während schwankende oder kurzlebige Workloads die Elastizität der Cloud nutzen. Es kostet mehr, wenn Daten unnötig über Umgebungen hinweg dupliziert werden, wenn Teams Daten wiederholt hin- und herschieben oder wenn On-Premises-Kapazität ungenutzt bleibt. Modellieren Sie jede Datenklasse: Grundkapazität, Wachstum, Zugriffshäufigkeit, Abruf und Egress sowie den Betriebsaufwand jedes Standorts. Das Framework in Total Cost of Ownership bei der Datenspeicherung (auf Englisch) lässt sich hier anwenden. Eine hybride Umgebung betreiben Zwei Umgebungen zu betreiben erfordert einheitliche Abläufe: möglichst ein gemeinsames Identitätsmodell, gemeinsames Monitoring, einheitliches Tagging und eine gemeinsame Datenklassifizierung, abgestimmte Backup- und Aufbewahrungsrichtlinien sowie klare Zuständigkeiten. Automatisieren Sie Platzierungs- und Replikationsregeln, damit sie jedes Mal gleich angewendet werden, und überprüfen Sie sie, wenn sich Vorschriften, Verträge oder geschäftliche Anforderungen ändern. So bewerten Sie Optionen für Hybrid-Cloud-Speicher Datenklassifizierung: Können Sie jede Datenklasse einem zulässigen Ort zuordnen und dies durchsetzen? S3-Kompatibilität: Unterstützt der On-Premises-Speicher die S3-Funktionen, die Ihre Anwendungen nutzen? Replikation und Tiering: Können Daten richtliniengesteuert und mit Integritätsprüfungen zwischen Umgebungen wandern? Unveränderlichkeit: Ist Object Lock im Compliance-Modus überall verfügbar, wo Daten landen? Schlüsselverwaltung: Kontrollieren Sie die Schlüssel in jeder Umgebung? Audit: Sind die Logs einheitlich und zentralisiert? Resilienz: Können Sie nach dem Verlust eines Standorts und nach Ransomware wiederherstellen, und haben Sie das getestet? Kosten: Wie hoch sind die Kosten über fünf Jahre pro nutzbarem Terabyte an jedem Standort, einschließlich Abruf und Egress? Exit: Wie würden Sie Daten aus jeder Umgebung herausholen? Ein erster Schritt Beginnen Sie mit einer Bestandsaufnahme: Listen Sie Ihre größten Datenbestände auf, mit Sensibilität, Aufbewahrung und Zugriffsmustern, und wo sie heute liegen. Diese eine Tabelle macht die richtige Platzierung für jeden davon meist offensichtlich. Zusammenfassung Der beste Hybrid-Cloud-Speicher für regulierte Branchen ist ein Design, kein einzelnes Produkt: sensible, umfangreiche und lange aufzubewahrende Daten auf Infrastruktur, die Sie kontrollieren, Cloud-Dienste dort, wo sie Mehrwert bringen, eine gemeinsame S3-Schnittstelle dazwischen und durchgängige Unveränderlichkeit, Verschlüsselung, Prüfung und Wiederherstellung in beiden Umgebungen. Klassifizieren Sie Daten, setzen Sie die Platzierung per Richtlinie durch und testen Sie die Wiederherstellung – dann wird hybrid gegenüber den Aufsichtsbehörden zur Stärke statt zur Quelle von Lücken. Häufig gestellte Fragen Warum nutzen regulierte Branchen Hybrid-Cloud-Speicher? Um regulatorische, datenschutzrechtliche und Souveränitätsanforderungen zu erfüllen und die Kosten großer Datenbestände zu kontrollieren, während sie Cloud-Dienste dort nutzen, wo sie Mehrwert bringen. Welche Daten sollten On-Premises bleiben? Häufig regulierte Archive, unveränderliche Backups, Patientenakten, Bilddaten, Beweismittel und souveräne Daten – wobei jede Organisation ihre eigenen Daten klassifizieren sollte. Wie halten Sie hybriden Speicher konform? Daten klassifizieren, die Platzierung per Richtlinie durchsetzen, Unveränderlichkeit und Verschlüsselung überall anwenden, Audit-Logs zentralisieren und die Wiederherstellung testen. Verbessert Hybrid Cloud die Resilienz gegen Ransomware? Ja, indem sie getrennte, unveränderliche Kopien in unterschiedlichen Umgebungen bereitstellt – vorausgesetzt, die Zugangsdaten sind getrennt und die Wiederherstellung ist getestet. Welche Rolle spielt die S3-Kompatibilität? Eine gemeinsame S3-Schnittstelle ermöglicht es Anwendungen und Daten, mit minimalen Änderungen zwischen On-Premises- und Cloud-Speicher zu wechseln. Weiterführende Lektüre Checkliste zur Compliance im Hybrid-Cloud-Speicher Was ist Hybrid Cloud? (auf Englisch) Objektspeicher für Behörden Datensouveränität vs. Datenresidenz Hybrid-Cloud-Backup
