Azure Landing Zone Kosten 2026: Preis, Dauer und Umfang

Constantin Budin, Consultant für Azure und Plattformen bei Pexon Consulting | 11 Min. Lesezeit | 26.10.2026

TL;DR: Landing Zone Kosten in fünf Sätzen

Azure Landing Zone Kosten liegen bei veröffentlichten Festpreisen für eine Basis-Zone bei rund 7.500 bis 18.000 EUR (UK/US-Anbieter, umgerechnet, Stand Oktober 2026). Mit Hub-Spoke, PIM und Compliance-Mapping ergibt die Personentage-Rechnung eher 24.000 bis 70.000 EUR. Dauer: 3 bis 10 Wochen. Brownfield dauert Monate. Azure-Verbrauch kommt immer dazu.

Das Problem: Warum Angebote für Landing Zones kaum vergleichbar sind

Wer „Was kostet eine Azure Landing Zone?“ fragt, bekommt Zahlen aus drei Welten: ein Basis-Setup für ein paar Subscriptions, eine Platform Landing Zone nach Cloud Adoption Framework, oder der Umbau eines über Jahre gewachsenen Tenants. Der Aufwand unterscheidet sich um den Faktor zehn, der Begriff bleibt derselbe.

Dazu kommt: Deutsche Anbieter nennen fast nie Preis und Dauer zusammen. In Gesprächen hören wir deshalb selten „Wer ist am billigsten?“, sondern „Ich brauche eine Hausnummer in Tagen für den Budgetantrag.“ Die liefert dieser Artikel, mit Quellen.

Was kostet eine Azure Landing Zone bei einem Dienstleister?

Veröffentlichte Festpreise für eine Azure Landing Zone liegen im Oktober 2026 bei rund 7.500 bis 18.000 EUR, und zwar fast nur bei UK- und US-Anbietern. Deutsche Anbieter nennen Dauer oder Tagessätze, selten einen Paketpreis. Wer mehr als die Basis braucht, bekommt ein Angebot nach Discovery.

Umrechnung zum EZB-Referenzkurs vom 16.10.2026 (1 EUR = 0,84385 GBP bzw. 1,1253 USD).

Das ACP-Paket hängt am Wechsel in die CSP-Abrechnung und deckt Tagging, Kosten-Management und ein Basis-Rollenkonzept ab, kein Hub-Spoke-Netz. UK- und US-Anbieter rechnen mit anderen Tagessätzen und liefern nicht gegen NIS2, DORA oder BSI C5. Ihre Preise taugen als Untergrenze, nicht als Benchmark für eine deutsche Bank.

Unsere Einschätzung: Ein Angebot unter 10.000 EUR für eine vollständige Platform Landing Zone mit Firewall, PIM und zentralem Logging ist entweder ein Template-Rollout ohne Anpassung oder es fehlt etwas. Fragen Sie nach, was genau.

Wovon die Landing Zone Kosten abhängen

Die Zahl der Subscriptions treibt den Preis weniger als die Zahl der Entscheidungen, die vorher niemand getroffen hat. IP-Adressplan, Namenskonvention, Rollenmodell, Regionen: Wenn das am Kick-off schon steht, startet die Uhr am ersten Tag. Sonst verbrennt die Design-Phase die Hälfte des Budgets.

IaC Genius schreibt ehrlich dazu: Die 15 bis 30 Tage zählen erst ab dem Tag, an dem Struktur, Netz und Zugriffe vereinbart sind. Das ist der eigentliche Preishebel.

Wie lange dauert eine Azure Landing Zone?

3 bis 10 Wochen für eine Platform Landing Zone, 3 bis 6 Monate für einen Enterprise- oder Brownfield-Umbau. Als Budgetrahmen rechnen wir: Wochen mal fünf Arbeitstage mal Besetzung, bewertet mit der veröffentlichten Tagessatzspanne von 800 bis 1.400 EUR.

Dauerangaben aus den Anbieterseiten oben, Personentage als unsere Rechnung, keine Preisliste.

Mit 10 Subscriptions, Hub-Spoke, Azure Policy, Entra ID und zentralem Logging landen Sie im Paket M. In der unteren Hälfte der Spanne nur, wenn Ihr Team diese Vorarbeit liefert:

1. Tenant-Zugang mit einem Konto, das Management Groups anlegen darf
2. Je ein fester Ansprechpartner für Cloud-Betrieb und Security
3. IP-Adressplan für Azure, abgestimmt mit dem On-Premise-Netz
4. Namens- und Tagging-Konvention (Kostenstelle, Owner, Umgebung)
5. Liste der Regulatorik, gegen die geprüft wird (NIS2, DORA, BAIT, C5)

Accelerator selbst ausrollen oder Dienstleister beauftragen?

Der Code ist kostenlos. Microsoft stellt den Azure Landing Zones Accelerator und die Azure Verified Modules für Terraform und Bicep offen bereit. Geld kosten das Design davor und die Pflege danach: welche Policies auf Deny gehen, welche Ausnahmen gelten, wer Subscriptions anlegt.

Aktuell (Stand 17.10.2026) ist das Terraform-Modul Azure/avm-ptn-alz/azurerm in Version 0.22.0 vom 05.10.2026, dazu die Policy-Bibliothek platform/alz/2026.10.0. Das Referenz-Repository Azure/Enterprise-Scale hat 1.962 GitHub-Sterne. So sieht der Kern mit dem offiziellen Modul aus:

terraform {
  required_version = ">= 1.12, < 2.0"
  required_providers {
    alz   = { source = "Azure/alz", version = "~> 0.22" }
    azapi = { source = "Azure/azapi", version = "~> 2.12" }
  }
}

data "azapi_client_config" "current" {}

# ALZ-Bibliothek mit Policies und Archetypen, Version fest pinnen
provider "alz" {
  library_references = [
    { path = "platform/alz", ref = "2026.10.0" }
  ]
}

module "alz" {
  source  = "Azure/avm-ptn-alz/azurerm"
  version = "0.22.0"

  architecture_name  = "alz"
  parent_resource_id = data.azapi_client_config.current.tenant_id
  location           = "germanywestcentral"

  policy_default_values = {
    log_analytics_workspace_id = jsonencode({ value = var.log_analytics_workspace_id })
  }

  # Brownfield: erst messen, dann blockieren
  policy_assignments_to_modify = {
    landingzones = {
      policy_assignments = {
        "Deny-Subnet-Without-Nsg" = { enforcement_mode = "DoNotEnforce" }
        "Deny-MgmtPorts-Internet" = { enforcement_mode = "DoNotEnforce" }
      }
    }
  }
}

Diese Zeilen sind der leichte Teil. Schwer sind die 53 Policy-Zuweisungen, die die Bibliothek allein auf der Management Group landingzones setzt, und die Frage, welche davon Ihre Deployments brechen.

Unsere Empfehlung: Selbst ausrollen lohnt sich, wenn Sie mindestens zwei Leute mit Terraform- oder Bicep-Praxis und Azure-Netzwerk-Erfahrung haben. Mit nur einem Cloud-Engineer ist der Accelerator ein Klumpenrisiko: Der Rollout klappt, aber im Urlaub weiß niemand, warum eine Policy greift.

Terraform oder Bicep: Ändert das den Preis?

Kaum. Beide Varianten basieren auf Azure Verified Modules und bilden dasselbe CAF-Design ab. HiltCloud liefert Bicep oder auf Wunsch Terraform, IaC Genius Terraform. Der Preis hängt an Ihrer Ausgangslage, nicht am Werkzeug.

Teurer wird es an zwei Stellen. Per Portal angelegte Ressourcen in den State zu importieren kostet Personentage pro Ressourcengruppe. Und wer noch auf dem klassischen ALZ-Bicep-Repository steht, hat einen festen Termin: Microsoft hat das Bicep-Classic-Startermodul am 16.02.2026 aus dem Accelerator entfernt und archiviert das Repository am 16.02.2027. Der Nachfolger ist der AVM-basierte Bicep-Accelerator, aktuell Version 2.4.0 vom 06.10.2026.

Wir bauen Landing Zones überwiegend in Terraform, weil viele Kunden eine zweite Cloud betreiben. OpenTofu geht auch, der Support ist laut Modul-Doku aber experimentell.

Was muss in einem Festpreis-Angebot enthalten sein?

Ein vollständiges Festpreis-Angebot nennt Scope, Abnahmekriterium, Gewährleistung und Ausschlüsse schriftlich. Fehlt eines davon, ist es ein Schätzwert mit Change-Request-Risiko. Mit dieser Checkliste vergleichen Sie Angebote Zeile für Zeile.

Genauso wichtig ist, was nicht enthalten ist: Azure-Verbrauch, Workload-Migration, 24/7-Betrieb, Lizenzen und die organisatorische Compliance. IaC Genius listet sogar „The audit itself, or a certificate“ als Ausschluss. So sollte es in jedem Angebot stehen.

Was kostet die Landing Zone im laufenden Betrieb?

Management Groups, Azure Policy und RBAC kosten nichts. Geld kosten die Plattform-Dienste in der Landing Zone. Listenpreise aus der Azure Retail Prices API für Germany West Central, Abruf 17.10.2026, ohne Rabatte, 730 Stunden pro Monat.

Mit Firewall Standard, VPN, rund 150 GB Logs und 20 geschützten Servern kommt eine Mittelstands-Landing-Zone auf etwa 1.600 EUR im Monat, bevor der erste Workload läuft. comito nennt 500 bis 3.000 EUR, das passt. DDoS Network Protection rechnet sich erst bei vielen öffentlichen Endpunkten. Für drei öffentliche IPs raten wir davon ab.

Brownfield: Was kostet der Umbau eines gewachsenen Tenants?

Brownfield kostet nicht wegen der Technik mehr, sondern wegen des laufenden Betriebs. Subscriptions wandern unter neue Management Groups, Policies laufen zuerst im Audit-Modus, und jede Deny-Umstellung braucht einen Abgleich mit den Teams. Rechnen Sie mit Paket L, also Monaten statt Wochen.

Bevor jemand ein Angebot schreibt, lohnt ein Blick auf den Bestand. Diese Abfrage zeigt in Minuten, unter welcher Management Group Ihre Subscriptions hängen:

# Subscriptions und ihre Management Group (erfordert die Erweiterung resource-graph)
az graph query -q "resourcecontainers
  | where type == 'microsoft.resources/subscriptions'
  | project name, subscriptionId, mg = properties.managementGroupAncestorsChain[0].name" -o table

Wenn 25 Subscriptions direkt unter der Tenant Root Group hängen, wissen Sie, warum das Projekt länger dauert. Wie wir solche Umbauten ohne Ausfall schrittweise angehen, beschreibt unsere Seite zur Brownfield-Migration in eine Azure Landing Zone.

Hilft eine Landing Zone beim Audit (NIS2, DORA, BSI C5)?

Ja, aber nur für den technischen Teil. Eine Landing Zone macht niemanden NIS2- oder DORA-konform. Sie liefert Nachweise: welche Policy greift, wo Logs liegen, dass Daten Deutschland nicht verlassen. Das NIS2-Umsetzungsgesetz gilt seit Dezember 2025, DORA seit dem 17.01.2025.

Wie Auditoren eine Landing Zone lesen, zeigen wir im Beitrag zu DORA, AKS und dem Blick der Prüfer. Die Grundlagen zu Management Groups, Tagging und FinOps stehen im Leitfaden zur Azure Governance.

Häufig gestellte Fragen

Was kostet eine Azure Landing Zone mit Terraform bei einem Dienstleister?

Veröffentlichte Festpreise für eine Basis-Zone liegen bei rund 7.500 bis 18.000 EUR (umgerechnete UK/US-Preise, Oktober 2026). Eine Platform Landing Zone mit Hub-Spoke und PIM ergibt 30 bis 50 Personentage, bei 800 bis 1.400 EUR Tagessatz also 24.000 bis 70.000 EUR.

Brauchen wir für drei Subscriptions überhaupt eine Landing Zone?

Bei drei Subscriptions und einem Team reicht oft das Paket S: Management Groups, Baseline-Policies, zentrales Logging. Sobald ein zweites Team deployt oder ein Prüfer kommt, lohnt sich die volle Struktur. Später nachzurüsten ist teurer, als die Grundstruktur sofort sauber anzulegen.

Wir migrieren VMs wegen des Supportendes von Windows Server 2016. Brauchen wir vorher eine Landing Zone?

Ja. Windows Server 2016 verliert am 12.01.2027 den erweiterten Support, und wer ohne Landing Zone migriert, baut das Wildwuchs-Problem direkt in Azure nach. Planen Sie die Landing Zone als eigenen Posten neben der Migration ein, mindestens Paket S, bei Hybrid-Anbindung eher M.

Accelerator selbst ausrollen oder Dienstleister: Was ist günstiger?

Kommt drauf an, wie viele Leute Sie haben. Mit zwei erfahrenen Cloud-Engineers ist der kostenlose Accelerator günstiger. Mit nur einem zahlen Sie das gesparte Honorar später in Ausfällen durch falsche Deny-Policies.

Gehört der Code nach dem Projekt uns?

Das muss im Angebot stehen, und die Antwort sollte Ja sein. Gute Anbieter bauen direkt in Ihrem Repository und übergeben State, README und Architekturentscheidungen. Alles andere ist Lock-in.

Nächster Schritt

Wenn Sie zwei Angebote auf dem Tisch haben oder erst eines einholen wollen, klären wir in einem kurzen Gespräch, welches Paket zu Ihrem Tenant passt und welche Zeilen der Checkliste offen sind.

Verwandte Themen