Die Migration in die Cloud ist keine Option mehr: Sie ist längst Realität. Doch genau hier beginnt das eigentliche Problem. Während Unternehmen auf Multicloud-Architekturen umgestiegen sind, um Vendor Lock-in zu vermeiden und Kosten zu optimieren, sehen sich viele heute mit einer fragmentierten Infrastruktur konfrontiert, die mehr Komplexität als Mehrwert schafft.

Daten, die eigentlich der strategische Kernwert sein sollten, sind über AWS, Azure, Google Cloud und On-Premise-Systeme verteilt und schaffen das, was in Verwaltungsräten elegant als „hybrides Ökosystem“ bezeichnet wird, im Serverraum jedoch schlicht ein operativer Albtraum ist.

Data Governance in Multicloud-Umgebungen ist keine reine IT-Frage: Sie ist eine Frage der Business Continuity, der Compliance und der Fähigkeit, schnell auf Marktveränderungen zu reagieren. Und vor allem eine Frage der Kosten.

Was Multicloud Data Governance wirklich ist (und was nicht)

Beginnen wir mit einer klaren Aussage: Data Governance ist kein Projekt, das mit einem Deployment abgeschlossen ist. Sie ist ein kontinuierliches operatives Framework, das definiert, wie Daten verwaltet, geschützt und genutzt werden und welche tatsächlichen Kosten damit verbunden sind.

In einer Multicloud-Umgebung steht Governance vor einer zusätzlichen Herausforderung: Jeder Hyperscaler hat sein eigenes Sicherheitsmodell, seine eigenen APIs und seine eigenen Preismodelle. On-Premise-Policies lassen sich nicht einfach kopieren und auf die Cloud übertragen in der Hoffnung, dass sie funktionieren.

Drei Punkte, die häufig übersehen werden:

1. Governance bedeutet nicht erzwungene Zentralisierung: Viele Unternehmen versuchen, einen einzigen zentralisierten Data Lake durchzusetzen. Ein Fehler. In komplexen Umgebungen ist ein föderierter Ansatz erforderlich, bei dem Daten verteilt bleiben können, während Metadaten und Policies zentral verwaltet werden.
2. Es geht nicht nur um Compliance: DSG, GDPR und NIS2 sind wichtige Referenzpunkte, insbesondere für Schweizer Unternehmen, die auch auf dem europäischen Markt tätig sind. Wird Governance jedoch darauf reduziert, „Vorschriften einzuhalten“, geht die Chance verloren, Daten als echten strategischen Hebel für das Business zu nutzen.
3. Es ist kein Tool: Zu oft sehen wir Unternehmen, die eine Data-Governance-Plattform kaufen und glauben, damit sei alles gelöst. Tools helfen, aber ohne klare Prozesse und eindeutig definierte Ownership bringen sie wenig.

Die echten Probleme (die in offiziellen Reports niemand erwähnt)

Das exponentielle Datenwachstum ist eine Tatsache. Das eigentliche Problem ist jedoch nicht die Menge, sondern die Qualität der Entscheidungen darüber, wo und wie Daten gespeichert werden.

• Shadow Data Sprawl: DevOps-Teams erstellen S3-Buckets, Datenbankinstanzen und Blob Storage ohne zentrale Koordination. Das Ergebnis? Nach 18 Monaten weiss niemand mehr, was sich wo befindet, wer verantwortlich ist und was es kostet. Es gibt Unternehmen, bei denen mehr als 40 % der Cloud-Kosten auf „Geister-Storage“ entfallen, den niemand mehr nutzt.
• Das Redundanz-Paradox: Um Verfügbarkeit sicherzustellen, werden Daten über mehrere Regionen und Provider repliziert. Ohne eine klare Data-Tiering-Strategie zahlt man jedoch Premium-Storage für Daten, auf die nur einmal im Jahr zugegriffen wird.
• Compliance by accident: Viele Unternehmen stellen erst bei einem Audit oder, noch schlimmer, nach einem Data Breach fest, dass sie nicht compliant sind. Reaktive Governance ist ungleich teurer als proaktive Governance.

Die Ziele müssen messbar sein:

• End-to-End-Transparenz: ein automatisiertes Echtzeit-Inventar aller Data Assets mit automatischer Klassifizierung und klarer Ownership.
• Data Quality by Design: Es reicht nicht aus, Daten im Nachhinein zu validieren. Erforderlich ist eine Integration in CI/CD-Pipelines mit automatischen Quality Gates.
• Einheitliche Security Posture: Policies, die unabhängig vom Provider gelten, mit kontinuierlichem Monitoring von Abweichungen.
• Integriertes FinOps: Jede datenbezogene Entscheidung muss auch die wirtschaftlichen Auswirkungen berücksichtigen, mit Forecasts auf Basis realer Nutzungsmuster.
• Strategische Portabilität: Architekturen, die es ermöglichen, Workloads zwischen Providern zu verschieben, ohne umfangreiches Refactoring durchführen zu müssen.

Die Bausteine einer Governance, die wirklich funktioniert

Hier müssen wir direkt sein: Viele „Best Practices“, die online zu finden sind, sind theoretisch und in realen Umgebungen nur schwer umsetzbar. Was wirklich benötigt wird:

• Automatisierte Data Discovery und Classification. Was man nicht sieht, kann man nicht steuern. Erforderlich ist ein automatisches Scanning aller Cloud-Umgebungen mit ML-basierter Klassifizierung, um PII, sensible Daten und geschäftskritische Daten zu identifizieren. Und dies muss kontinuierlich erfolgen, nicht einmal jährlich im Rahmen eines Assessments.
• Policy as Code. Governance-Policies müssen als Code geschrieben, versioniert, getestet und automatisch deployed werden. Open Policy Agent (OPA) oder ähnliche Lösungen sind wichtige Werkzeuge, um diesen Ansatz zu skalieren.
• Vollständiges Data Lineage. Sie müssen in Echtzeit beantworten können: „Woher stammt dieser Datensatz? Wer hat ihn verändert? Wer nutzt ihn?“ Nicht aus akademischer Neugier, sondern weil bei einem Qualitätsproblem oder Data Breach jede Minute zählt.
• Multi-Cloud Identity Federation. Separate IAM-Systeme für jede Cloud zu verwalten wird schnell komplex. Eine Föderation mit Single Sign-on und zentralisierten RBAC-Policies ermöglicht ein konsistenteres Zugriffsmanagement über verschiedene Provider hinweg.
• Automated Compliance Validation. Kontinuierliche Compliance-Prüfung mit automatisierter Remediation, wo dies möglich ist. Konfigurationen, die von Baselines abweichen, müssen Alerts auslösen und in bestimmten Fällen automatisch korrigiert werden.
• Granulare Cost Attribution. Jedes Team, Projekt oder jede Anwendung muss sehen können, wie viel für Storage und Datenverarbeitung ausgegeben wird. Chargeback oder zumindest Showback kann Verhaltensweisen grundlegend verändern.
• Intelligentes Data Lifecycle Management. Policy-basierte Automatisierung für automatisches Tiering (hot → warm → cold → archive), mit der Möglichkeit, ML zur Analyse von Zugriffsmustern einzusetzen und die Datenverwaltung proaktiv zu optimieren.

Eine andere Perspektive: Einige Unternehmen experimentieren mit „Data Mesh“-Ansätzen, bei denen Governance verteilt ist und Ownership auf Domain-Ebene liegt. Das funktioniert bei sehr reifen Organisationen, erfordert jedoch eine Kultur und Kompetenzen, über die die meisten Unternehmen noch nicht verfügen. Das Risiko besteht darin, noch mehr „governte“ Silos zu schaffen.

Die messbaren Vorteile (und wie man sie dem CFO belegt)

Jede Governance-Initiative muss konkrete Ergebnisse liefern. Das können Sie erwarten:

• ROI bei Cloud-Kosten: Unternehmen, die eine strukturierte Governance implementieren, können erhebliche Cloud-Kostensenkungen erzielen, indem ungenutzter Storage entfernt, Tiering optimiert und Ressourcen besser dimensioniert werden.
• Quantifizierbare Risikoreduktion: Im Jahr 2026 lagen die weltweiten durchschnittlichen Kosten eines Data Breach bei 4,99 Millionen US-Dollar, 12 % mehr als im Vorjahr ( IBM Cost of a Data Breach Report). Eine solide Governance kann dazu beitragen, die Angriffsfläche zu reduzieren und die Detection-Zeiten zu verbessern.
• Verbesserte Time-to-Market: Mit leicht zugänglichen, dokumentierten und qualitätsgeprüften Daten können Teams neue Services schneller entwickeln.
• Operational Efficiency: Automatisierung und Self-Service reduzieren die Belastung der Ops-Teams. Weniger Tickets, weniger manuelle Eingriffe und mehr Fokus auf strategische Initiativen.
• Audit Readiness: Ob DSG, GDPR, ISO 27001, SOC 2 oder andere regulatorische und sicherheitsrelevante Anforderungen – eine strukturierte Governance ermöglicht es, Reports, Nachweise und Rückverfolgbarkeit schnell bereitzustellen. So wird ein Audit nicht zum Wettlauf gegen die Zeit und vor allem gibt es keine bösen Überraschungen in letzter Minute.

Von der Theorie zur Umsetzung

Das Framework ist klar, doch bei der Umsetzung scheitern die meisten Projekte. Var Group verkauft nicht nur Beratung, sondern implementiert operative Lösungen.

• Multicloud Assessment: Analyse der bestehenden Umgebung, um zu verstehen, wo sich Daten befinden, mögliche Governance-Probleme und Compliance-Risiken zu identifizieren und potenzielle Optimierungsbereiche aufzudecken.
• Cloud-native Architekturen: Wo sinnvoll, Nutzung der nativen Services der wichtigsten Hyperscaler, wie Microsoft Purview, gegebenenfalls integriert mit weiteren Governance- und Orchestrierungs-Tools.
• Schrittweise Implementierung: Einführung der Governance in Phasen, beginnend mit den relevantesten Bereichen oder Use Cases und anschliessender schrittweiser Erweiterung des Umfangs.
• FinOps: Integration von Tools und Praktiken, die dabei helfen, die Transparenz über Cloud-Kosten zu verbessern und Optimierungspotenziale zu identifizieren.
• Automatisierung: Einsatz von Automatisierung, wo möglich, um Tätigkeiten wie Provisioning, Policy Enforcement, Compliance-Prüfungen und operatives Management zu vereinfachen.
• Kontinuierliches Monitoring: Einsatz von Monitoring- und Observability-Tools, um Transparenz über die Umgebungen zu gewährleisten und Policies sowie Prozesse im Laufe der Zeit an die Anforderungen des Business anzupassen.
• Multicloud-Kompetenz: Erfahrung mit den wichtigsten Cloud-Umgebungen und die Fähigkeit, Infrastruktur, Sicherheit, Daten und Governance entsprechend den spezifischen Anforderungen zu integrieren.

Die eigentliche Frage

Es geht nicht darum, „ob“ Multicloud Data Governance implementiert werden soll, sondern „wann“ und „wie“. Jeder Tag ohne ein klares Framework bedeutet zusätzlichen technischen Schuldenstand, Compliance-Risiken und versteckte Kosten.

Wenn Sie diesen Artikel lesen, befinden Sie sich wahrscheinlich bereits in einer Situation, in der die Komplexität Ihre Fähigkeit zur Steuerung übersteigt. Die gute Nachricht? Das lässt sich lösen. Es braucht Methode, Kompetenz und einen Partner, der diesen Weg bereits erfolgreich gegangen ist.