Was würde es Ihr Unternehmen kosten, morgen den wichtigsten IT-Anbieter zu wechseln? Wenn Sie auf diese Frage keine belastbare Antwort haben, sind Sie in guter Gesellschaft: Die meisten KMU wissen nicht, wie tief sie tatsächlich in einem einzelnen Ökosystem stecken. Genau das ist Vendor-Lock-in. Er fällt erst auf, wenn der Anbieter die Preise erhöht, das Lizenzmodell umbaut oder ein Dienst eingestellt wird. Dann ist die Verhandlungsposition schwach, denn der Anbieter weiß so gut wie Sie: Ein Wechsel wäre teuer.
Die gute Nachricht: Abhängigkeit ist kein Schicksal, sondern eine Größe, die Sie aktiv steuern können. Dieser Beitrag zeigt, wie eine Exit-Strategie für KMU in fünf Schritten aussieht, und warum der EU Data Act Ihnen dabei gerade kräftig Rückenwind gibt.
Was Vendor-Lock-in konkret bedeutet
Lock-in ist selten eine einzelne große Fessel. Es sind viele kleine, die sich über Jahre ansammeln:
- Daten-Lock-in: Ihre Daten liegen in proprietären Formaten oder Systemen, aus denen es keinen vollständigen, praktikablen Export gibt. Ein Beispiel aus der Praxis: Wer Postfächer über Microsoft Purview aus Exchange Online exportiert, erhält PST-Dateien, also ein proprietäres Outlook-Format, das sich ohne Zusatzwerkzeuge kaum sauber in ein anderes Mailsystem übernehmen lässt. Und selbst wo der Export gelingt: Was nützt er, wenn Berechtigungen, Versionen und Metadaten auf der Strecke bleiben?
- Prozess-Lock-in: Workflows, Automatisierungen und Integrationen sind auf die Werkzeuge eines Anbieters zugeschnitten. Der Kalender hängt am Mailsystem, die Freigabe am Speicherdienst, das CRM an beidem. Typisches Beispiel sind Flows in Microsoft Power Automate: Jede Genehmigung und jede Benachrichtigung, die dort abgebildet ist, funktioniert nur innerhalb des Microsoft-Ökosystems und muss bei einem Wechsel komplett neu gebaut werden.
- Wissens-Lock-in: Ihr Team kennt genau ein Ökosystem. Jeder Wechsel bedeutet Schulung und Gewöhnung, und das wird bei der Entscheidung gern vergessen.
- Vertrags-Lock-in: Mehrjährige Laufzeiten, Bündel-Rabatte und Kündigungsfristen machen den Ausstieg zusätzlich teuer, selbst wenn er technisch längst möglich wäre.
Wichtig für die Einordnung: Lock-in ist nicht per se böse. Jede Integration, die Ihnen Arbeit abnimmt, bindet Sie auch. Die Frage ist nicht, ob Sie Abhängigkeiten haben, sondern ob Sie sie kennen, bewerten und im Ernstfall auflösen können. Genau darin unterscheidet sich ein kalkuliertes Risiko von einem Klumpenrisiko.
Rückenwind aus Brüssel: der EU Data Act
Seit dem 12. September 2025 ist der EU Data Act anwendbar, und sein Kapitel VI widmet sich genau diesem Thema: dem Wechsel zwischen Datenverarbeitungsdiensten, also Cloud- und vielen SaaS-Angeboten. Die wichtigsten Regeln im Überblick:
| Regelung | Was gilt |
|---|---|
| Wechselrecht im Vertrag | Anbieter müssen den Wechsel vertraglich ermöglichen und dürfen ihn nicht behindern |
| Ankündigungsfrist | Kündigen Sie an, dass Sie wechseln wollen, dürfen bis zum Beginn des Wechselprozesses höchstens 2 Monate vergehen. Längere Fristen darf der Vertrag nicht vorsehen |
| Übergangszeitraum | Grundsätzlich 30 Tage für die Umstellung, in Ausnahmefällen verlängerbar auf bis zu 7 Monate. Der bisherige Anbieter muss dabei den Betrieb aufrechterhalten, beim Umzug unterstützen und alle exportierbaren Daten in einem gängigen, maschinenlesbaren Format herausgeben. Die eigentliche Migration bleibt Aufgabe des Kunden bzw. seines neuen Dienstleisters |
| Wechselentgelte | Bis zum 12. Januar 2027 nur noch kostendeckend erlaubt, danach komplett verboten (inklusive Egress-Gebühren für den Datenabzug) |
Besonders der letzte Punkt hat es in sich: Die berüchtigten Egress-Gebühren, mit denen Hyperscaler den Datenabzug bepreisen, fallen ab Anfang 2027 weg. Damit sinkt eine der greifbarsten Wechselhürden deutlich.
Ehrlich bleibt aber auch: Der Data Act ist kein Freifahrtschein. Feste Vertragslaufzeiten bleiben erlaubt, und wer vor Ablauf der Mindestlaufzeit aussteigt, muss weiterhin mit einer verhältnismäßigen Entschädigung für die Restlaufzeit rechnen. Aufhalten lässt sich der Wechsel dadurch aber nicht: Die Mindestlaufzeit wird beim vorzeitigen Ausstieg zur Geldfrage, nicht zur Wartezeit. Und vor allem senkt das Gesetz die vertraglichen und finanziellen Hürden, nicht die organisatorischen. Proprietäre Formate, gewachsene Prozesse und fehlendes Know-how nimmt Ihnen kein Gesetz ab. Dafür brauchen Sie eine eigene Strategie.
Die Exit-Strategie in 5 Schritten
Eine Exit-Strategie bedeutet nicht, dass Sie morgen wechseln. Sie bedeutet, dass Sie es könnten. Allein das verändert Ihre Verhandlungsposition und Ihre Resilienz.
Schritt 1: Inventur
Erfassen Sie alle genutzten Dienste, die dort liegenden Daten und die Abhängigkeiten dazwischen. Welche Systeme sind geschäftskritisch? Wo liegen personenbezogene Daten oder Geschäftsgeheimnisse? Welche Verträge laufen wie lange? Diese Bestandsaufnahme ist unspektakulär, aber sie ist das Fundament für alles Weitere. Vieles davon brauchen Sie ohnehin, etwa für Datenschutz-Dokumentation oder Zertifizierungen.
Schritt 2: Priorisieren nach Risiko und Aufwand
Nicht jede Abhängigkeit ist gleich kritisch. Bewerten Sie pro Dienst zwei Dimensionen: Wie groß ist der Schaden, wenn der Anbieter die Bedingungen ändert oder ausfällt? Und wie aufwendig wäre ein Wechsel heute? Dienste mit hohem Risiko und noch überschaubarem Wechselaufwand gehören nach oben auf die Liste. Häufige Kandidaten: E-Mail, Dateiablage und Backup.
Schritt 3: Offene Formate und Standards als Zielbild
Der wirksamste Schutz gegen Daten-Lock-in sind offene Standards. Konkret heißt das: E-Mail und Kalender über IMAP und CalDAV statt proprietärer Konnektoren, Dokumente in offenen Formaten wie ODF zusätzlich zum Hersteller-Format, Objektspeicher S3-kompatibel, Schnittstellen dokumentiert und offen. Machen Sie das zur Beschaffungsregel: Jedes neue System muss seine Daten vollständig und in offenen Formaten wieder hergeben können. Testen Sie den Export, bevor Sie unterschreiben.
Schritt 4: Zielarchitektur mit Open-Source-Bausteinen
Für die zentralen Arbeitsplatz-Dienste existieren heute ausgereifte, in Europa betreibbare Alternativen: Nextcloud für Dateien und Zusammenarbeit, Open-Source-Mailserver wie mailcow für E-Mail und Kalender, Collabora für Office-Dokumente. Dass diese Bausteine produktionsreif sind, zeigt nicht zuletzt der openDesk-Arbeitsplatz des Bundes, der auf denselben Komponenten aufsetzt. Wie sich ein solcher Stack im Alltag schlägt, haben wir im Vergleich Nextcloud vs. Microsoft 365 beschrieben; betreiben lässt er sich zum Beispiel über unser Nextcloud-Hosting und unser DSGVO-konformes E-Mail-Hosting.
Der Punkt ist dabei nicht, dass Open Source automatisch besser wäre. Der Punkt ist: Bei einem offenen Stack gehört Ihnen der Exit gleich mit. Sie können den Betreiber wechseln, ohne die Software zu wechseln.
Schritt 5: Migration in Wellen, Exit-Klauseln in jedem neuen Vertrag
Wenn Sie wechseln, dann in Etappen: erst ein unkritischer Bereich oder eine Pilotgruppe, dann der Rest, jeweils mit Parallelbetrieb als Sicherheitsnetz. Und für alles Neue gilt ab sofort: Exit-Bedingungen werden vor Vertragsschluss geklärt. Welche Daten bekommen Sie in welchem Format? Wie lange dauert die Übergabe? Was kostet sie? Seit dem Data Act haben Sie hier deutlich bessere Karten, denn vieles davon muss der Anbieter ohnehin vertraglich zusichern.
Häufige Fehler
- Alles auf einmal: Die Urknall-Migration überfordert Team und Betrieb. Etappen mit Parallelbetrieb sind langsamer, aber deutlich sicherer.
- Exit ohne Betriebskonzept: Wer nur die Migration plant, aber nicht klärt, wer das neue System betreibt und pflegt, tauscht ein Risiko gegen ein anderes.
- „EU-Rechenzentrum reicht": Der Serverstandort allein löst weder Lock-in noch die rechtlichen Fragen bei US-Anbietern. Warum das so ist, haben wir im Beitrag zum CLOUD Act und der Schweigepflicht ausführlich behandelt.
- Nur Lizenzkosten vergleichen: Wechselkosten, Betrieb, Schulung und Support gehören in jede Rechnung. Eine erste Abschätzung liefert unser Kosten-Nutzen-Rechner zur digitalen Souveränität.
Häufige Fragen
Brauchen wir eine Exit-Strategie, auch wenn wir gar nicht wechseln wollen? Ja, gerade dann. Eine Exit-Strategie ist wie eine Versicherung: Ihr Wert zeigt sich nicht beim Abschluss, sondern im Ernstfall. Zudem verhandelt es sich mit einem realistischen Plan B spürbar besser über Preise und Konditionen.
Wie lange dauert der Ausstieg aus einem großen Cloud-Ökosystem? Das hängt von Größe und Integrationstiefe ab. Einzelne Dienste wie E-Mail oder Dateiablage lassen sich oft in wenigen Wochen umziehen. Ein vollständiger Arbeitsplatz-Wechsel ist bei KMU eher ein Projekt über mehrere Monate, in Etappen und mit Schulung.
Müssen wir dafür komplett raus aus der Cloud? Nein. Es geht nicht um Cloud oder keine Cloud, sondern um Wahlfreiheit. Auch ein gehosteter Open-Source-Stack ist Cloud, nur eben einer, bei dem Sie Betreiber und Software unabhängig voneinander wechseln können.
Gilt der Data Act auch für unsere bestehenden Verträge? Die Wechselregeln gelten grundsätzlich auch für Bestandsverträge, die Details hängen aber vom Einzelfall ab. Prüfen Sie Ihre Verträge und sprechen Sie bei Unklarheiten mit einem Fachanwalt. Als Faustregel gilt: Bei neuen Verträgen sollten Sie die Data-Act-Rechte aktiv einfordern.
Fazit
Vendor-Lock-in ist kein technisches Detail, sondern ein Geschäftsrisiko mit Preisschild. Die Antwort darauf ist keine Hauruck-Migration, sondern eine nüchterne Exit-Strategie: Abhängigkeiten kennen, priorisieren, auf offene Standards setzen und bei jedem neuen Vertrag den Ausstieg gleich mitverhandeln. Der EU Data Act räumt die vertraglichen und finanziellen Hürden Stück für Stück ab, den Rest erledigt gute Planung.
Wenn Sie wissen möchten, wo Ihr Unternehmen heute steht, ist unsere Strategie-Seite zur digitalen Souveränität mit Ist-Analyse und Abhängigkeitsbewertung ein guter Startpunkt. Einen breiteren Einstieg ins Thema bietet unsere Übersicht zur digitalen Souveränität. Oder Sie schildern uns Ihre Ausgangslage direkt im kostenfreien Erstgespräch: Wir sagen Ihnen ehrlich, welche Abhängigkeiten kritisch sind und welche Sie getrost behalten können.
Dieser Beitrag dient der allgemeinen Orientierung und stellt keine Rechtsberatung dar.