Ihr DORA-Ausstiegsplan war kalkuliert, nicht geplant. Der Preis verschwindet im Januar.

In fünf Monaten wird die Rechnung, die den Cloud-Ausstieg undenkbar machte, per Gesetz auf null gesetzt — und mit ihr verschwindet die haltbarste Ausrede im Drittparteienrisikomanagement. DORA verlangt Ausstiegsstrategien für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, seit dem Tag seiner Anwendbarkeit. Die meisten Banken haben sie geschrieben. Deutlich weniger haben sie kalkuliert, und noch weniger haben sie geprobt, denn die ehrliche Antwort auf „Was bräuchte es, um zu gehen?" enthielt eine Egress-Rechnung, die niemand einem Kostenausschuss vorlegen wollte. Ab dem 12. Januar 2027 schafft die EU-Datenverordnung Wechselentgelte vollständig ab, Datenegress eingeschlossen. Das macht die Migration nicht leicht. Es entfernt das eine Hindernis, das sich als unüberwindbar bezeichnen ließ, ohne dass jemand prüfen musste, ob es das war — und ist die kommerzielle Schranke erst weg, bleibt eine technische Frage, deren Beantwortung eine Aufsicht verlangen darf.

Zusammenfassung für die Geschäftsleitung

Ein Datum, kein Trend. Wechselentgelte enden am 12. Januar 2027. Der gesetzliche Anspruch auf Wechsel und auf technische Unterstützung dabei gilt seit dem 12. September 2025.

Zurückgezogen wird die Ausrede, nicht die Schwierigkeit. Die Egress-Bepreisung war nie der einzige Grund, warum Ausstiegspläne theoretisch blieben. Sie war der Grund, der niemanden zwang, ein Architekturproblem einzuräumen.

DORA verlangte schon mehr als ein Dokument. Artikel 28 Absatz 8 fordert umfassende, dokumentierte, hinreichend getestete und regelmäßig überprüfte Ausstiegsstrategien.

Die Aufsichtsfrage ändert ihre Form. Nicht mehr „Haben Sie einen Ausstiegsplan?", sondern „Sie sagten uns, die Kosten seien die Beschränkung — sie sind weg, zeigen Sie uns die Probe."

Was sich am 12. Januar 2027 tatsächlich ändert

Die EU-Datenverordnung ist die Verordnung (EU) 2023/2854. Ihre Wechselbestimmungen kamen in Stufen, und es lohnt, diese Stufen präzise zu benennen, weil der Endzustand ungewöhnlich unmissverständlich ist.

Seit dem 12. September 2025 haben Kunden erfasster Datenverarbeitungsdienste einen gesetzlichen Anspruch auf Anbieterwechsel, und Anbieter schulden technische Mitwirkung, damit die Portierung funktioniert — nicht bloß deren grundsätzliche Duldung.

Seit Inkrafttreten der Verordnung hat eine Übergangsregelung gedeckelt, was Anbieter verlangen dürfen. In diesem Fenster durften Wechsel- und Egress-Entgelte die dem Anbieter tatsächlich entstandenen und unmittelbar mit dem betreffenden Wechselvorgang verbundenen Kosten nicht übersteigen. Keine Marge, keine strategische Bepreisung.

Ab dem 12. Januar 2027 sind Wechselentgelte nach der Regelung zum schrittweisen Wegfall in Artikel 29 vollständig untersagt. Das schließt Entgelte für Datenegress ein — die Bepreisung pro Gigabyte, die den größten Anteil daran hatte, dass die Modellierung eines Ausstiegs prohibitiv wirkte.

Daraus folgen unmittelbar drei Konsequenzen, und nur eine davon handelt von Geld.

Das kommerzielle Argument fürs Bleiben verliert eine Position, die oft erhebliche rhetorische Arbeit leistete. Vertragsklauseln, die um ein künftig nicht mehr existierendes Entgeltregime herum geschrieben wurden, müssen überarbeitet werden. Und die analytische Frage verschiebt sich von was würde das kosten zu was wäre dafür nötig — eine Frage, die sich in einer Vorlage für den Vorstand deutlich schwerer unbeantwortet lassen lässt.

Warum Ausstiegspläne auf dem Papier blieben

Hier ist Fairness angebracht. Ausstiegspläne wurden nicht vernachlässigt, weil jemand sie für unwichtig hielt. Sie blieben theoretisch, weil ein echter Test auf eine Weise teuer war, die sich leicht beziffern und schwer rechtfertigen ließ.

Eine relevante Last aus einem Hyperscaler herauszuholen bedeutete, für den Datenumzug zu zahlen, Parallelkapazität aufzubauen und die Kosten des Parallelbetriebs zweier Bestände während der Umschaltung zu tragen. Die Egress-Zeile war die, die ein Finanzvorstand sah, und sie war verlässlich die Zeile, die das Gespräch beendete. Das machte sie zu einem ungewöhnlich bequemen Hindernis: Sie verschob das Programm, ohne dass jemand sagen musste, das Problem sei die Architektur.

Darunter leisteten drei härtere Beschränkungen die eigentliche Arbeit, und keine davon berührt die Verordnung.

Managed Services sind ihrer Natur nach nicht portabel. Eine Last, die auf der Managed Database eines Anbieters, seinem Identitätsmodell, seinem Event-Bus und seiner Serverless-Laufzeit aufsetzt, ist keine Last, die umzieht. Sie ist eine Last, die neu geschrieben wird. Portabilität wurde bewusst eingetauscht, meist aus guten Gründen der Geschwindigkeit und Betriebskosten, und die Rechnung dieses Tauschs lautet auf Engineering-Quartale, nicht auf Euro je Gigabyte.

Datengravitation überlebt den Datentransfer. Der analytische Bestand, die Feature Stores, die Prüfarchive und alles, was um sie herum gewachsen ist, ziehen nicht sauber um, selbst wenn die Bytes kostenlos wandern.

Niemand hat es geprobt. Ein nie ausgeführter Plan ist eine Hypothese. Den Verfassern von DORA war das offensichtlich klar, weshalb Artikel 28 Absatz 8 nicht bei der Forderung nach einem Plan stehen bleibt.

Tabelle 1: was die Verordnung entfernt und was nicht

Hindernis für den Ausstieg	Am 12. Januar 2027 entfernt?
Egress- und Wechselentgelte	Ja — vollständig untersagt
Vertragsklauseln rund um diese Entgelte	Nein — sie müssen neu verhandelt werden
Kopplung an Managed Services	Nein — Neuarchitektur, kein Transfer
Datengravitation im analytischen Bestand	Nein
Fehlen einer geprobten Umschaltung	Nein — das ist die Arbeit

Die rechte Spalte ist der Punkt. Eine Zeile ändert sich, und es ist die, die stellvertretend für alle anderen stand.

Was DORA tatsächlich verlangt

Die hier freigelegte Pflicht ist nicht neu, und sie ist anspruchsvoller, als sie üblicherweise behandelt wird.

Artikel 28 Absatz 8 verlangt von Finanzunternehmen Ausstiegsstrategien für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. Diese Strategien müssen den Ausfall des Anbieters, eine Verschlechterung der Dienstqualität, Geschäftsunterbrechungen infolge unzureichender Erbringung und wesentliche Risiken für den fortlaufenden Einsatz der Dienstleistung berücksichtigen. Die Pläne müssen umfassend, dokumentiert und — die Formulierung, auf die es ankommt — hinreichend getestet und regelmäßig überprüft sein.

„Hinreichend getestet" war stets die harte Klausel. Ein Dokument, das eine Migration beschreibt, ist kein Nachweis, dass die Migration in einem erträglichen Zeitfenster möglich ist. Die aufsichtliche Erwartung zielt auf die Fähigkeit, nicht auf das Artefakt.

Zwei Jahre lang waren die Kosten der Grund, warum die Testklausel praktisch unerfüllt blieb. Es war ein Grund, den eine Aufsicht hören konnte, ohne sofort zu eskalieren, weil er zutraf und bezifferbar war. Ab Januar steht er nicht mehr zur Verfügung, und übrig bleibt die Antwort auf eine Frage, die nie eine gute hatte: Wie lange würde das tatsächlich dauern, und woher wissen Sie das?

Die Vertragsarbeit, die niemand eingeplant hat

Das kurzfristige Ergebnis ist undankbar und zeitlich begrenzt — eine in diesem Feld seltene Kombination.

Cloud-Verträge der letzten Jahre enthalten Wechsel- und Egress-Ökonomien, deren Berechnung unzulässig sein wird. Manche enthalten Kündigungsfristen, Unterstützungspflichten und Datenrückgabeklauseln, die auf eine Welt zugeschnitten sind, in der der Kunde für dieses Privileg zahlen sollte. Diese Klauseln korrigieren sich am 12. Januar 2027 nicht von selbst; sie werden schlicht zu Bestimmungen, die so nicht durchsetzbar sind, eingebettet in Verträge, die alles Übrige weiterhin regeln.

Daraus entsteht ein abgegrenztes Arbeitspaket mit natürlicher Frist: die betroffenen Verträge identifizieren, feststellen, welche Klauseln verdrängt sind, und die Korrekturen in die nächste Verlängerung einarbeiten, statt die Diskrepanz während eines Vorfalls zu entdecken.

Tabelle 2: was vor dem Verlängerungszyklus feststehen muss

Frage	Warum sie Ihre Exponierung bestimmt
Welche Verträge bepreisen Wechsel oder Egress?	Diese Klauseln werden undurchsetzbar; der Rest des Vertrags nicht
Zu welcher Unterstützung ist der Anbieter tatsächlich verpflichtet?	Die gesetzliche Pflicht gilt seit September 2025
Welches Ausstiegsfenster ist je kritischer oder wichtiger Funktion das Ziel?	„Hinreichend getestet" braucht eine Zahl, gegen die getestet wird
Wurde ein Ausstieg je durchgehend geprobt, auch verkleinert?	Ein nie ausgeführter Plan ist eine Hypothese
Was müsste neu geschrieben statt verschoben werden?	Trennt ein Transferproblem von einem Architekturproblem
Wer verantwortet die Ausstiegsfähigkeit zwischen den Tests?	Ausstiegsbereitschaft verfällt still, während der Bestand sich wandelt

Die Frage, die das freilegt

Es gibt eine unbequeme Möglichkeit, die benannt gehört, weil das Januar-Datum sie ans Licht zwingt.

Ist der Wechsel kostenlos und der Ausstieg dennoch nicht glaubhaft, dann waren die Kosten nie die bindende Beschränkung. Die bindende Beschränkung war Konzentration — eine kritische Funktion auf einem Anbieter, den sie praktisch nicht verlassen kann. Genau diesen Zustand soll das Drittparteienregime von DORA sichtbar machen, und genau deshalb werden kritische IKT-Drittdienstleister benannt und beaufsichtigt.

Das ist kein Argument, Lasten zurückzuholen. Die Cloud bleibt für das meiste, was Banken betreiben, die richtige Antwort, und ein schlecht ausgeführter Ausstieg ist schlimmer als eine gut gesteuerte Abhängigkeit. Es ist ein Argument dafür, zu wissen, in welcher der beiden Lagen man ist — und es belegen zu können. Das Institut, das sagen kann „wir haben einen Teilausstieg dieses Dienstes getestet, er dauerte elf Wochen, das ist kaputtgegangen", führt ein grundlegend anderes Aufsichtsgespräch als jenes, das ein vierzigseitiges Dokument und eine Schätzung vorlegt.

Die Verordnung hat die Ausrede entfernt. Das Problem hat sie nicht entfernt, und das war nie zu erwarten.

Das operative Playbook

Fünf Schritte, und der erste ist keine Vertragsprüfung.

Wählen Sie eine kritische oder wichtige Funktion und kalkulieren Sie den Ausstieg ehrlich — jetzt, zu den alten Preisen. Sie wollen die Zahl, solange Egress noch einen Preis hat, denn sie sagt Ihnen, wie viel Ihrer Zurückhaltung je finanziell war. Häufig lautet die Antwort: weniger, als alle annahmen.
Proben Sie einen Teilausstieg. Nicht den gesamten Bestand. Ein Dienst, eine Abhängigkeit, eine Wiederherstellung bei einem zweiten Anbieter oder auf eigener Infrastruktur, mit laufender Uhr. Das Ergebnis ist eine Dauer und eine Mängelliste — genau das, worum „hinreichend getestet" bittet.
Inventarisieren Sie die Klauseln, die im Januar sterben. Wechselentgelte, Egress-Bepreisung, darauf zugeschnittene Unterstützungspflichten. Arbeiten Sie Korrekturen in den Verlängerungszyklus ein, statt undurchsetzbare Bestimmungen aus Trägheit in Kraft zu lassen.
Trennen Sie Transfer und Neuschreiben, je Last. Zwei Spalten. Was sich bei kostenlosem Egress bewegen ließe, und was neu gebaut werden müsste. Die zweite Spalte ist Ihr wirklicher Ausstiegshorizont — und die Zahl, die der Vorstand nie bekommen hat.
Geben Sie der Fähigkeit zwischen den Tests einen Verantwortlichen. Ausstiegsbereitschaft ist eine Eigenschaft der aktuellen Architektur, kein Dokument mit Überprüfungsdatum. Ohne benannten Verantwortlichen verfällt sie leise mit jedem Sprint, der eine Managed-Abhängigkeit hinzufügt.

Regulatorische Entlastung kommt meist als etwas, das entfernt wird. Diese entfernt eine Zahl, die stellvertretend für ein Argument stand. Am schlechtesten werden 2027 nicht die Institute dastehen, die weiterhin bei einem einzigen Anbieter sind — das werden die meisten sein. Sondern jene, die zwei Jahre lang der Aufsicht sagten, die Kosten seien das Hindernis, und im Januar nichts zu sagen haben, wenn sie es nicht mehr sind.

Häufig gestellte Fragen

Heißt das, der Cloud-Ausstieg wird einfach?
Nein. Er wird frei von Wechselentgelten, was eine andere Aussage ist. Die Verordnung entfernt die Transferkosten; sie macht eine auf Managed Services gebaute Last nicht portabel. Das bleibt eine Neuarchitektur und bemisst sich in Engineering-Quartalen, nicht in Euro.

Was genau ist ab dem 12. Januar 2027 untersagt?
Wechselentgelte, einschließlich Entgelte für Datenegress. In der Übergangszeit durften Anbieter nur die unmittelbar mit dem Wechselvorgang verbundenen Kosten erstattet verlangen, ohne Aufschlag; ab diesem Datum dürfen sie gar nichts mehr berechnen.

Gilt schon etwas?
Ja. Seit dem 12. September 2025 haben Kunden einen gesetzlichen Anspruch auf Anbieterwechsel und auf technische Mitwirkung bei der Datenportierung. Das Januar-Datum schließt speziell die Entgeltfrage.

Wo kommt DORA ins Spiel?
Artikel 28 Absatz 8 verlangt Ausstiegsstrategien für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, und fordert, dass sie umfassend, dokumentiert, hinreichend getestet und regelmäßig überprüft sind. Die Kosten waren der praktische Grund, warum der Testteil unerfüllt blieb. Dieser Grund entfällt.

Wir sind bei einem Hyperscaler und bleiben dort. Betrifft uns das?
Ja, und wohl stärker. Die Pflicht ist, eine getestete Ausstiegsfähigkeit zu haben, nicht sie auszuüben. Bleiben ist eine Entscheidung; nicht gehen zu können ist ein Konzentrationsrisiko — und nach Januar lässt sich Letzteres nicht mehr dem Egress-Preis zuschreiben.

Was ist in diesem Quartal am nützlichsten?
Einen Teilausstieg einer kritischen oder wichtigen Funktion proben und festhalten, wie lange er dauerte und was scheiterte. Dieses Artefakt beantwortet die Aufsichtsfrage, bemisst das echte Problem und ist mehr wert als beliebig viel weitere Planung.

Quellen

Europäisches Parlament und Rat der Europäischen Union, 2023. Verordnung (EU) 2023/2854 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung (Datenverordnung). Brüssel: Amtsblatt der Europäischen Union. Verfügbar unter: Europäisches Parlament und Rat der Europäischen Union, 2023..
Europäische Kommission, 2026. Die Datenverordnung erklärt. Brüssel: Generaldirektion Kommunikationsnetze, Inhalte und Technologien. Verfügbar unter: Europäische Kommission, 2026..
Europäisches Parlament und Rat der Europäischen Union, 2022. Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA). Brüssel: Amtsblatt der Europäischen Union. Verfügbar unter: Europäisches Parlament und Rat der Europäischen Union, 2022..
Europäische Bankenaufsichtsbehörde, 2025. Leitlinien zu Auslagerungen. Paris: Europäische Bankenaufsichtsbehörde. Verfügbar unter: Europäische Bankenaufsichtsbehörde, 2025..

Zuletzt überprüft 2026-08-18.

Diesen Artikel republizieren

Ihr DORA-Ausstiegsplan war kalkuliert, nicht geplant. Der Preis verschwindet im Januar. — Sebastien Rousseau

Ab dem 12. Januar 2027 entfallen Wechselentgelte für die Cloud, Egress inbegriffen. Mit ihnen endet das Kostenargument, das Ausstiegspläne theoretisch hielt.

Dieser Artikel ist lizenziert unter Creative Commons Attribution 4.0 International. Eine Republikation erfordert Attribution zur kanonischen URL.

Ihr DORA-Ausstiegsplan war kalkuliert, nicht geplant. Der Preis verschwindet im Januar. — Sebastien Rousseau

Ab dem 12. Januar 2027 entfallen Wechselentgelte für die Cloud, Egress inbegriffen. Mit ihnen endet das Kostenargument, das Ausstiegspläne theoretisch hielt.

Originally published at https://sebastienrousseau.com/de/2026-08-04-data-act-cloud-switching-dora-exit-strategies-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER