Einkaufsführer europäische PaaS-Anbieter
Souveräne Wolken
Veröffentlicht in Ausgabe 06/2026 - TESTS
Der Wunsch nach Datensouveränität in Europa ist spätestens seit den geopolitischen Veränderungen unter US-Präsident Donald Trump und drohenden Sanktionen dringlich geworden. Bereits zuvor zwangen US-Gesetze Anbieter zur Herausgabe von Daten europäischer Kunden. Dies macht es für IT-Verantwortliche notwendig, Abhängigkeiten von US-Hyperscalern zu reduzieren. Ein Wechsel zu europäischen Dienstleistern bietet zudem materielle Vorteile. Eine Studie der Innovate Europe Foundation belegt, dass Unternehmen gegenüber Hyperscalern bis zu 60 Prozent der Kosten [1] einsparen können.
Abgrenzung von Platform-as-a-Service
Der Begriff Platform-as-a-Service (PaaS) umfasst Clouddienste, bei denen der Anbieter neben der Hardware und deren Management diverse Softwareschichten des Stacks bereitstellt. Dazu gehören Betriebssysteme, Container-Umgebungen und Middleware. Der Provider übernimmt die Wartung, Sicherung und Aktualisierung dieser Komponenten.
PaaS ordnet sich zwischen Infrastructure-as-a-Service (IaaS) und Software-as-a-Service (SaaS) ein. Während IaaS lediglich die Hardware, die zugehörige Software und das Management der Umgebung umfasst, bieten SaaS-Produkte wie Microsoft 365 vollständige, verwaltete Anwendungsstacks. Dies sind vollständige, vom Provider verwaltete Anwendungen, die der Nutzer verwendet. Ein sehr weit verbreitetes Beispiel ist MS365. PaaS steht zwischen diesen beiden.
Der Wunsch nach Datensouveränität in Europa ist spätestens seit den geopolitischen Veränderungen unter US-Präsident Donald Trump und drohenden Sanktionen dringlich geworden. Bereits zuvor zwangen US-Gesetze Anbieter zur Herausgabe von Daten europäischer Kunden. Dies macht es für IT-Verantwortliche notwendig, Abhängigkeiten von US-Hyperscalern zu reduzieren. Ein Wechsel zu europäischen Dienstleistern bietet zudem materielle Vorteile. Eine Studie der Innovate Europe Foundation belegt, dass Unternehmen gegenüber Hyperscalern bis zu 60 Prozent der Kosten [1] einsparen können.
Abgrenzung von Platform-as-a-Service
Der Begriff Platform-as-a-Service (PaaS) umfasst Clouddienste, bei denen der Anbieter neben der Hardware und deren Management diverse Softwareschichten des Stacks bereitstellt. Dazu gehören Betriebssysteme, Container-Umgebungen und Middleware. Der Provider übernimmt die Wartung, Sicherung und Aktualisierung dieser Komponenten.
PaaS ordnet sich zwischen Infrastructure-as-a-Service (IaaS) und Software-as-a-Service (SaaS) ein. Während IaaS lediglich die Hardware, die zugehörige Software und das Management der Umgebung umfasst, bieten SaaS-Produkte wie Microsoft 365 vollständige, verwaltete Anwendungsstacks. Dies sind vollständige, vom Provider verwaltete Anwendungen, die der Nutzer verwendet. Ein sehr weit verbreitetes Beispiel ist MS365. PaaS steht zwischen diesen beiden.
PaaS-Angebote enthalten oft spezialisierte Software wie KI-Pipelines oder Datenplattformen. In diesen Fällen werden Datenbank-Managementsysteme als Plattformservice bereitgestellt, auf denen Kunden eigene Daten speichern und Anwendungen betreiben. Auch Entwicklungsumgebungen mit DevOps-Tools fallen unter diese Kategorie. Typische Anwendungsfelder von Plattformservices sind die Entwicklung und der Test von Applikationen, analytische und BI (Business Intelligence)-Software, Datenbankanwendungen und -management, Aufgaben- und Prozessautomatisierung, Datenstreaming sowie seit Neuestem IoT- und KI-Pipelines.
Auswahlkriterien für europäische Anbieter
Auf dem europäischen Markt hat sich eine Infrastruktur alternativer Plattformservices etabliert. Bei der Auswahl eines Werkzeugs stehen Datensouveränität und Sicherheit im Fokus. Ein Provider darf keinen US-Gesetzen unterliegen, die zur Datenherausgabe zwingen, und muss die DSGVO einhalten. Dies ist bei Anbietern mit europäischem Stammsitz in der Regel gegeben. Bei US-Unternehmen müssen Admins Folgendes prüfen:
- Wo liegen Daten?
- Wie gut sind sie verschlüsselt?
- Wer verwaltet die Schlüssel?
- Welche sonstigen Zusicherungen gibt der Provider?
- Ist der Anbieter bereit, auf eigene Kosten den Rechtsweg auszuschöpfen, bevor er Kundendaten herausgibt?
Wer ganz sicher vor derartigen Übergriffen sein will, kann einen aus der wachsenden Zahl der Anbieter wählen, die nach der höchsten Sicherheitsstufe von Gaia-X [2] zertifiziert sind. Da Gaia-X sichere Datenräume zum Datenaustausch zwischen mehreren Parteien schafft, betrifft dies vor allem Datenplattformen.
Um das Label "Level 3" zu erhalten, müssen Dienste strenge Kriterien erfüllen. Dazu gehören eine präzise Deklaration der Infrastruktur, elektronische Signaturservices sowie die Einhaltung europäischer Datenschutzgesetze. Ein europäisches Headquarter ist ebenfalls zwingend erforderlich. Tochterunternehmen von US-Firmen mit deutschem Stammsitz können dieses Zertifikat in den meisten Fällen nicht erhalten, da sie über den Mutterkonzern dennoch zur Datenherausgabe verpflichtet sein könnten. Die Einhaltung der Regeln prüfen sogenannte Gaia-X-Clearinghouses (GXDCH) wie OVH Cloud, Pfalzkom oder T-Systems automatisiert.
Infrastruktur-Standards nach DIN EN 50600
Für die Bewertung der Infrastruktur ist in Europa die Norm DIN EN 50600 entscheidend. Sie definiert Vorgaben für den Betrieb und die Sicherheit von Rechenzentren. Dabei geht es insbesondere einerseits um Sicherheit, andererseits um Umwelteffizienz. Der Standard unterscheidet vier Verfügbarkeitsklassen. Während Klasse 4 die höchste Ausfallsicherheit bietet, reicht Stufe 3 für die meisten Unternehmensumgebungen aus. Diese garantiert unterbrechungsfreien Betrieb und Wartung in den meisten Szenarien.
Die Energieeffizienz wird über drei Granularitätsniveaus gemessen. Auf Niveau 3 erfolgt die Messung des Stromverbrauchs bis auf die Komponentenebene. Ergänzend weisen Labels wie der Blaue Engel oder Green-Building-Standards auf ein hohes Umweltbewusstsein des Dienstleisters hin. Die Blauer-Engel-Zertifizierung ist allerdings sehr anspruchsvoll und wird daher nicht allzu oft verwendet. Nur eine Handvoll Anbieter hat bisher dieses Label erworben.
Weitere Anhaltspunkte für Compliance bieten Standards wie ISO 27001, PCI-DSS, DORA und SOC2. Die Einhaltung des BSI-Grundschutzes signalisiert, dass ein Anbieter Sicherheitsanforderungen präzise umsetzt. Für kritische Infrastrukturen ist dieser Standard mittlerweile verpflichtend.
Prinzip der geteilten Verantwortung
Bei der Nutzung von Plattformservices ist die genaue Abgrenzung der Verantwortungsbereiche zwischen Anbieter und Kunden entscheidend. Da Admins keinen Zugriff auf die tieferliegenden Schichten der Infrastruktur haben, ist ein Modell der geteilten Verantwortung (Shared Responsibility) notwendig. Üblicherweise verantwortet der Anbieter die gesamte bereitgestellte Betriebsumgebung. Bei PaaS umfasst dies das Betriebssystem, Webservices, Firewalls sowie das API und andere infrastrukturelle Komponenten. Auch die Sicherheit und Wartung von Laufzeitumgebungen oder Datenbanken fallen in diesen Bereich.
IT-Profis sind hingegen für die Anwendungen, Projekte und die darin verarbeiteten Daten zuständig. Dies schließt die Softwareentwicklung, Datenbanktabellen und Funktionen auf der Laufzeitumgebung ein. In die Anwenderverantwortung fallen zudem Backups, Updates der eigenen Applikationen sowie deren Absicherung. Diese Abgrenzungen müssen vertraglich präzise definiert sein.
Hilfreich ist es, wenn der Anbieter Werkzeuge für Leistungsmessung, Monitoring und Kostenkontrolle bereitstellt. Für eine effiziente Infrastruktur ist es vorteilhaft, wenn der Provider offene Schnittstellen anbietet, um die Plattform in das bestehende interne Monitoring einzubinden.
Identitätsmanagement und Zugriffskontrolle
Ein professionelles Identitätsmanagement ist für die Sicherheit der Plattform unverzichtbar. Dieses Werkzeug kann als integraler Bestandteil des PaaS oder als separater Sicherheitsservice fungieren. Eine solche Umgebung sollte rollen- oder personenbezogene Sicherheitsmodelle unterstützen und die Bildung von Gruppen ermöglichen. Auch eine Kompatibilität mit intern genutzten Applikationen der Kunden ist wünschenswert.
Die Hoheit über das Anlegen und Löschen von Nutzern muss beim Anwenderunternehmen verbleiben. Vertraglich sollte zudem die Reaktion auf Sicherheitsvorfälle geklärt sein – etwa wenn Alerts wegen fehlgeschlagener Loginversuche sowohl beim Kunden als auch beim Provider auflaufen. Schließlich ist möglicherweise die gesamte Umgebung gefährdet, wenn es zu Sicherheitszwischenfällen kommt. Wer dann was zu tun hat, sollte im Vertrag stehen.
Technologische Anforderungen
Ein PaaS-Produkt muss zu den internen technologischen Anforderungen passen, um den Administrationsaufwand zu verringern. Vor der Auswahl eines Providers ist daher eine detaillierte Anforderungsanalyse notwendig. Spielen Rationalisierung und Flexibilität die Hauptrolle, sollte die externe Umgebung mit der internen Entwicklungs- oder Betriebssystemwelt harmonieren.
Eine wichtige Rolle spielt dabei das Motiv der Auslagerung zum PaaS-Provider. Geht es vor allem um Rationalisierung und Flexibilität, muss in der Regel die externe zur internen Entwicklungs- oder Betriebssystem-Umgebung passen. Das bedeutet im Bereich Entwicklung beispielsweise zu den verwendeten Sprachen und Frameworks, damit Entwicklungsvorgänge oder Anwendungen von firmenintern Umgebungen in die Cloud und wieder zurück verlagert werden können.
Anbieterbindung vermeiden
IT-Verantwortliche sollten nach der Entscheidung für einen PaaS-Anbieter diesem nicht auf Gedeih und Verderb ausgeliefert sein. Um einen Vendor-Lock-in zu vermeiden, müssen IT-Verantwortliche die Migrationsfähigkeit von Applikationen und Daten prüfen. Wichtige Faktoren sind die Dauer und Kosten eines Wechsels zu einem anderen Anbieter oder zurück in das eigene Rechenzentrum. Besondere Aufmerksamkeit gilt proprietären Elementen oder APIs, die die Portabilität einschränken könnten. Bei Schnittstellen ist grundsätzlich auf offene und verbreitete Formate zu achten. Zudem sollten Regelungen für den Fall einer Insolvenz oder eines Verkaufs des Providers bestehen, um den Zugriff auf die Daten zu sichern.
Geregelt sein sollte auch, was passiert, wenn der Provider pleite geht oder verkauft wird. Wie bekommen Unternehmen ihre Daten zurück, falls sie zum Beispiel mit einem neuen PaaS-Eigentümer nicht zusammenarbeiten und daher wechseln möchten, oder wenn der Konkursvollstrecker im Spiel ist? Ein positives Qualitätsmerkmal ist, wenn der Anbieter selbst Hilfestellungen für eine Migration weg von seiner Plattform bereitstellt. Er sollte außerdem offene und verbreitete Schnittstellen verwenden.
Wichtig sind gerade in Multiprovider-Umgebungen auch vielfältige und breitbandige Anbindungen zu anderen Providern und zum Kunden. Immer öfter nutzen Firmen Plattformen und Cloudservices mehrerer Dienstleister. Zwischen ihnen sollte der Datenaustausch und überhaupt die gesamte Kommunikation möglichst reibungslos funktionieren, und dazu gehört eine vielfältige und ausreichend breite Connectivity.
Nicht ohne definierte SLAs
Eine Cloudplattform muss reibungslos und ohne unverhältnismäßige Kosten skalieren. IT-Verantwortliche sollten vorab klären, wie lange Kapazitäts- und Leistungsupgrades dauern und welche Gebühren dafür anfallen. Eine feine Granularität bei der Leistungsanpassung sowie degressive Preisstaffeln bei großen Volumina sind für die Wirtschaftlichkeit vorteilhaft.
Zur Definition der Servicequalität dienen Service Level Agreements (SLAs). Diese sollten zwingend Bestandteil des Vertrags sein und klare Regelungen zu Verfügbarkeiten enthalten. Üblich sind Werte von 99,99 Prozent. Hierbei ist entscheidend, auf welchen Zeitraum sich diese Angabe bezieht, da "vier Neunen" auf das Jahr gerechnet eine längere zusammenhängende Ausfallzeit erlauben als auf die Woche bezogen.
Klar ist, dass höhere Verfügbarkeiten, erkauft in der Regel durch Redundanzen in der Infrastruktur, die Preise nach oben drücken. Wer nicht mit dem angebotenen Verfügbarkeitslevel zufrieden ist, muss sich einen anderen Provider suchen oder seine Ansprüche nach unten schrauben.
Neben der Verfügbarkeit ist die Wiederherstellungszeit (Recovery Time Objective) nach einem Ausfall kritisch. IT-Verantwortliche müssen ihren Bedarf und die finanziellen Risiken – etwa bei Handelsplattformen – kalkulieren, um passende SLAs zu wählen. Zudem sollten die Reaktionszeiten und die Erreichbarkeit der Mitarbeiter des Providers definiert sein.
Zuständigkeiten für Sicherungen klären
Die Sicherung von Daten und Infrastrukturkomponenten muss innerhalb der jeweiligen Verantwortungsbereiche geregelt sein. Während der Provider die Plattformbasis sichert, bleibt die Verantwortung für Anwendungen und Projektdaten beim Kunden. Nutzt ein Admin beispielsweise Microsoft 365, liegt die Datensicherung in seiner Zuständigkeit.
Einige PaaS-Anbieter offerieren verschlüsselte Backups für Applikationen als ergänzendes Werkzeug. Die Steuerung und Konfiguration dieser Dienste obliegt jedoch weiterhin dem Kunden. Vorteilhaft ist eine Backupoption auf eine On-Premises-Infrastruktur, da dies die Datensouveränität erhöht und eine spätere Migration erleichtert. Für den Fall schwerer Störungen sollte der Provider Strategien für das Disaster Recovery garantieren. Wichtige Punkte sind hierbei die Standorte der Ausweichrechenzentren und die Prozesse zur Datenüberführung.
Auf transparente Preisgestaltung achten
Die Abrechnung sollte verbrauchsorientiert und transparent erfolgen. Negative Merkmale sind fixe Einstiegskosten, Mindestabnahmemengen oder hohe Gebühren für den Datenexport (Egress-Fees). Die Preise beziehen sich üblicherweise auf die genutzten Instanzen der Infrastruktur oder Software. Idealerweise stellt der Provider Schnittstellen für die interne Kostenkontrolle bereit oder ermöglicht das Setzen von Kostenschwellen, die bei Erreichen Alarme auslösen. Dies verhindert unvorhergesehene Ausgaben.
Zudem ist der Grad der Standardisierung relevant. Während strikte Standards die Kosten senken, bieten manche Anbieter Spielraum für individuelle Anforderungen. Erfahrungen des Providers mit bestimmten Branchen oder Unternehmensgrößen sowie ein muttersprachlicher Support können bei der Entscheidung für eine Infrastruktur den Ausschlag geben.
Fazit
IT-Verantwortliche, die sich den Hyperscalern nicht ausliefern möchten, finden geeignete PaaS-Angebote auf dem Markt. Die Auswahl des Dienstleisters sollte genauso sorgfältig erfolgen wie bei jeder anderen Anschaffung. Ein sinnvoller Preisvergleich ohne konkrete Angebote ist allerdings wegen der Komplexität und des unterschiedlichen Zuschnitts der einzelnen Services kaum möglich. Zudem werden für PaaS im Gegensatz zu IaaS häufig keine Preisangaben im Internet gemacht. Wer Plattformservices nutzen möchte, wird daher um eine stark individualisierte Recherche kaum herumkommen.
(jp)
Links
[1] EuroStack-Studie: https://it-a.eu/q6t31
[2] GAIA-X Compliancedokument: https://it-a.eu/q6t32