Wertpapierinstitute, Asset Manager und Finanzdienstleister · 20 bis 200 Mitarbeitende
Cloud-Migration im Wertpapierinstitut: BaFin-konform, mit TCO-Vergleich vorab
Kurz gesagt
Eine Cloud-Migration im Wertpapierinstitut beginnt nicht mit der Migration, sondern mit der Frage, welche Workloads sich rechnen und welche On-Premise bleiben. Pexon Consulting bewertet die Ist-Infrastruktur, migriert SQL-Server und Datenbanken nach Azure und verbindet Cloud und Rechenzentrum als Hybrid-Lösung, aufsichtskonform nach DORA und Paragraf 40 WpIG. Laut KPMG Cloud-Monitor 2025 planen 49 Prozent der Finanzdienstleister, zusätzlich einen europäischen Cloud-Anbieter zu onboarden. Diversifizieren statt ersetzen ist die Antwort auf Konzentrationsrisiko.
Microsoft Solutions Partner
ISO 27001 zertifiziert
DORA und WpIG im Scope
Warum eine ungerechnete Cloud-Migration teuer wird
Der Serverraum steht zur Ablösung an, die SQL-Landschaft wächst, und gleichzeitig gelten DORA, die Auslagerungspflichten nach Paragraf 40 WpIG und KRITIS-Vorgaben. Wer ohne Rechnung migriert, zahlt zweimal. Laut KPMG Cloud-Monitor 2025 führen 59 Prozent der Banken und Versicherer wegen geopolitischer Entwicklungen umfassende Risikobewertungen ihrer Cloud-Abhängigkeiten durch.
Cloud ist eine Auslagerung, kein Hosting
Aufsichtlich ist Cloud-Nutzung eine IKT-Drittdienstleistung mit dokumentierten Pflichten, Informations- und Prüfrechten. Seit dem 17. Januar 2025 gilt dafür DORA unmittelbar, für das Auslagerungsmanagement von Wertpapierinstituten ist Paragraf 40 WpIG die Grundlage, nicht das KWG.
Nicht jede Last rechnet sich in der Cloud
Bei konstant hoher Volllast und sehr großen persistenten Datenmengen kann On-Premise günstiger bleiben. Ohne TCO-Vergleich wird aus der Hardware-Ersparnis ein dauerhafter Verbrauchsposten, den niemand budgetiert hat.
Netzwerksegmentierung endet nicht am Rechenzentrum
Ein gewachsenes Schutzzonenkonzept lässt sich nicht eins zu eins in die Cloud kopieren. Wird es nachträglich repariert, kostet das im Zweifel mehr als die Migration selbst und blockiert die Freigabe durch das Risikomanagement.
Wo Finanzdienstleister bei Cloud wirklich stehen
Die Zahlen unten stammen aus Branchenerhebungen, nicht aus Pexon-Projekten. Sie zeigen, dass die Hürden im regulierten Umfeld heute regulatorisch und vertraglich sind, nicht technisch.
49 Prozent onboarden einen europäischen Anbieter
So viele Finanzdienstleister planen, zusätzlich zum bestehenden Hyperscaler einen europäischen Cloud-Anbieter aufzunehmen. Konzentrationsrisiko ist im Sektor ein Architekturthema geworden. (KPMG Cloud-Monitor 2025: Financial Services, über 100 befragte Entscheider deutscher Finanzinstitute)
59 Prozent bewerten ihre Cloud-Abhängigkeiten neu
So viele Banken und Versicherer führen wegen geopolitischer Risiken umfassende Risikobewertungen durch. Exit-Fähigkeit gehört deshalb in die Architektur, nicht in den Anhang. (KPMG Cloud-Monitor 2025: Financial Services, über 100 befragte Entscheider deutscher Finanzinstitute)
37 Prozent akzeptieren Aufpreis für souveräne Cloud
So viele Finanzdienstleister würden bis zu 20 Prozent Aufpreis für souveräne Cloud-Angebote akzeptieren. Datenhoheit ist im Sektor ein Preisargument geworden. (KPMG Cloud-Monitor 2025: Financial Services, über 100 befragte Entscheider deutscher Finanzinstitute)
86 Prozent der Unternehmen nutzen Cloud
Cloud ist kein Sonderfall mehr. Die Frage ist nicht mehr ob, sondern welche Workloads und unter welchen Auflagen. (Bitkom Cloud Report 2026, 603 Unternehmen ab 20 Beschäftigten in Deutschland)
Ab wann sich eine Cloud-Migration lohnt
Eine Cloud-Migration rechnet sich für ein Wertpapierinstitut, sobald drei Dinge zusammenkommen: Hardware und Serverraum stehen ohnehin zur Ablösung an, die Last schwankt statt dauerhaft auf Anschlag zu laufen, und die Auslagerung ist aufsichtlich sauber dokumentierbar. Läuft dagegen eine sehr große Datenbank konstant unter Volllast, ist Hybrid oder der Verbleib On-Premise meist die günstigere Antwort, und das sagen wir Ihnen dann auch. Nicht die Größe entscheidet, sondern das Lastprofil, deshalb rechnen wir jede Datenbank einzeln statt mit einer Schwelle. Die Zahlen unten sind Größenordnungen aus Anfragen aus dem Sektor, keine Studienwerte. Woher wir das wissen: aus einem umgesetzten Azure-Projekt bei einer genossenschaftlichen Bank im KRITIS-Umfeld, rund 90.000 EUR, mit eigenem Security- und Compliance-Paket, Terraform auf bestehender Landing Zone und einem Schutzzonenkonzept, das mit dem Risikomanagement abgenommen wurde. Dazu die Anfrage eines BaFin- und bundesbankregulierten Wertpapierdienstleisters mit Hyper-V, SQL-Landschaft bis 10 TB, Bloomberg-Anbindung und Archivierungspflichten. Namen nennen wir im Erstgespräch nach Freigabe.
8 bis 10 TB
Datenbankgrößen, bei denen wir einzeln rechnen
256 GB
RAM-Bedarf einzelner SQL-Instanzen
10 Jahre
Aufbewahrung für Buchungsbelege und Abschlüsse
Vier Anwendungsfälle der Cloud-Migration im Wertpapierinstitut
Use Case 01
TCO-Vergleich Cloud gegen On-Premise
Wir stellen Hardware, Rechenzentrum, Wartung, Strom, Lizenzen und Personal gegen den erwarteten Azure-Verbrauch aus Compute, Storage, Backup und Netzwerk, gerechnet mit und ohne Reserved Capacity. Ergebnis ist eine Entscheidungsvorlage, keine Anbieterfolie.
2 Szenarien je Workload: Cloud und Verbleib On-Premise, jeweils gerechnet über die geplante Nutzungsdauer.
Use Case 02
SQL-Server-Landschaft nach Azure
Für jede Datenbank wird geprüft, ob Azure SQL Database, Azure SQL Managed Instance oder SQL Server auf einer Azure-VM passt. Sehr große und dauerhaft hoch ausgelastete Instanzen bekommen eine eigene Rechnung.
3 Zielbilder im Vergleich: Managed Instance, Azure SQL Database und Lift-and-Shift auf VM, je mit Kostenbild.
Use Case 03
Hybrid: Cloud und Rechenzentrum verbinden
Site-to-Site-VPN zwischen Azure und Ihrem Rechenzentrum, saubere Anbindung von Marktdaten-Terminals und Bestandssystemen. Aufsichtskritische oder datenintensive Systeme können bewusst lokal bleiben.
1 Netzwerkkonzept für beide Seiten, inklusive Übersetzung Ihrer Schutzzonen in Azure-Segmente.
Use Case 04
Backup, Disaster Recovery und Archivierung
Geo-redundantes Backup, ein Disaster-Recovery-Konzept für ein reguliertes Haus und revisionssichere Archivierung nach den jeweils geltenden Fristen, zehn Jahre für Buchungsbelege und Abschlüsse, sechs Jahre für Handelsbriefe einschließlich E-Mail.
10 Jahre nachweisbare Aufbewahrung für Buchungsbelege und Abschlüsse, mit definierten Wiederherstellungszeiten statt Standard-Backup von der Stange.
Integration in Rechenzentrum, SQL-Landschaft und Aufsichtsrahmen
Sie müssen nichts abreißen: Bewertet wird pro Workload, nicht pauschal für die ganze Landschaft. Was bleibt, bleibt, und wird sauber angebunden statt notdürftig überbrückt.
Bestehende Infrastruktur
Hyper-V und Serverraum · werden aufgenommen und pro Workload bewertet. Hyper-V nach Azure migrieren läuft ohne Unterbrechung des Handels- und Geschäftsbetriebs.
Microsoft SQL Server · wird nach Last, Größe und Lizenzsituation bewertet. Sehr große Instanzen bis in den zweistelligen Terabyte-Bereich bekommen eine eigene Kostenrechnung.
Marktdaten und Bestandssysteme · bleiben erreichbar. Terminals wie Bloomberg werden über Site-to-Site-VPN angebunden, statt sie zu verlagern.
Aufsicht und Nachweis
DORA und Paragraf 40 WpIG · DORA gilt seit dem 17. Januar 2025 unmittelbar, für die Auslagerung greift Paragraf 40 WpIG. Für kleine und mittlere Wertpapierinstitute konsultiert die BaFin seit Mai 2026 die WpI-MaRisk, verbindlich ab 1. Januar 2027. Wir führen den Entwurfsstand von Anfang an mit.
Netzwerksegmentierung und Schutzzonen · werden aus dem On-Premise-Konzept in die Cloud übersetzt und mit Ihrem Risikomanagement abgestimmt, bevor migriert wird.
Exit-Fähigkeit · Infrastructure as Code mit Terraform, dokumentierte Datenhaltung und ein beschriebener Rückweg. Ohne beschriebenen Rückweg wird aus der Migration eine Einbahnstraße.
Wie die Cloud-Migration im Wertpapierinstitut abläuft
1
Ist-Infrastruktur aufnehmen
Server, Datenbanken, Virtualisierung, Netzwerk, Archivierung und Lizenzen werden erfasst. Ohne belastbares Inventar ist jede TCO-Rechnung Fiktion.
2
Workloads klassifizieren
Jede Last wird nach Cloud-Tauglichkeit, Aufsichtsrelevanz und Kostenprofil eingeordnet. Ergebnis ist eine Liste mit drei Töpfen: Cloud, Hybrid, bleibt lokal.
3
TCO rechnen
Hardware, Rechenzentrum, Wartung, Strom, Lizenzen und Personal gegen Azure-Verbrauch. Reserved Capacity und der Azure Hybrid Benefit für vorhandene SQL-Server-Lizenzen mit Software Assurance werden berücksichtigt, sonst stimmt die Rechnung nicht.
4
Aufsichtliche Einordnung
Auslagerung nach DORA und Paragraf 40 WpIG dokumentieren, IKT-Drittdienstleister ins Informationsregister nach Artikel 28 DORA aufnehmen, Schutzzonen und Segmentierung übersetzen, mit Risikomanagement und Auslagerungsbeauftragtem abstimmen.
5
Schrittweise migrieren
Erst unkritische Workloads, dann datenintensive Systeme. Rückfalloption bleibt bestehen, bis der neue Stand abgenommen ist. Kein Big Bang.
6
Betrieb übergeben
Infrastructure as Code, Logging und Observability Richtung SIEM, dokumentierte Übergabe an Ihre IT. Betrieb wahlweise durch uns oder Ihr Team.
Warum Pexon Consulting statt Migration in Eigenregie
Migration in Eigenregie
✗Die Technik bekommt eine kleine IT hin. Die Auslagerungsdokumentation und die Abstimmung mit der Aufsicht sind der Aufwand, den niemand einplant.
✗Ohne TCO-Rechnung wird migriert, was einfach ist, nicht was sich rechnet.
✗Das Schutzzonenkonzept wird nachträglich repariert, wenn das Risikomanagement die Freigabe verweigert. Die dritte Option, Serverraum verlängern und Hardware erneuern, ist legitim bei dauerhafter Volllast, bindet Sie aber weitere Jahre. Wir rechnen sie im TCO mit, statt sie wegzudiskutieren.
Generalist ohne Aufsichtserfahrung
✗Kennt Azure, aber nicht DORA, Paragraf 40 WpIG und den Unterschied zwischen Auslagerung und sonstigem Fremdbezug.
✗Rechnet den Zielzustand, nicht die Alternative. Die Antwort lautet immer Cloud.
✗Exit-Fähigkeit steht im Angebot, aber nicht in der Architektur.
Mit Pexon Consulting
✓TCO-Vergleich vor der Migration, mit ehrlichem Ergebnis auch dann, wenn eine Last besser lokal bleibt.
✓Erfahrung aus einem umgesetzten Azure-Projekt bei einer genossenschaftlichen Bank im KRITIS-Umfeld: Landing Zone, Schutzzonenkonzept und Risikomanagement-Abnahme, übertragbar auf Ihre Server- und Datenbank-Migration.
✓Infrastructure as Code mit Terraform, Observability Richtung SIEM, dokumentierte Übergabe an Ihre IT.
In vier Phasen vom Cloud-Readiness-Assessment in den Betrieb
1
Woche 1 bis 2
Cloud-Assessment
Ist-Infrastruktur aufnehmen, Workloads klassifizieren, Cloud-Tauglichkeit und Compliance-Fit bewerten. Ihr Aufwand: rund 3 bis 5 Personentage über zwei Wochen, verteilt auf IT für Inventar und Zugänge und Compliance für einen Termin zum Auslagerungsrahmen.
2
Woche 3 bis 4
Entscheidungsvorlage
TCO-Vergleich, Migrations-Roadmap mit drei Töpfen und die aufsichtliche Einordnung nach DORA und Paragraf 40 WpIG. Damit gehen Sie in die Geschäftsleitung, nicht mit einer Anbieterfolie.
3
ab Monat 2
Migration in Work Packages
Architektur, Security und Compliance, Infrastructure as Code, Betrieb. Jedes Paket einzeln beauftragbar. Realistischer Zeitrahmen: vier Wochen bis zur Entscheidungsvorlage, danach sechs bis zwölf Monate Migration je nach Datenvolumen. Läuft Ihr Serverraum-Vertrag in unter zwölf Monaten aus, planen wir eine Überlappung ein.
4
laufend
Betrieb und Übergabe
Logging und Observability Richtung SIEM, Nachweise für die Aufsicht, Wissenstransfer an Ihre IT. Kein eigenes Cloud-Team? Das ist bei Instituten Ihrer Größe der Regelfall: Wir betreiben die Umgebung als Managed Service in Ihrem Tenant weiter, mit definierten Reaktionszeiten, und bilden Ihre Leute parallel aus. Terraform-Code und Dokumentation gehören Ihnen.
Was eine Cloud-Migration für ein Wertpapierinstitut kostet
Der Einstieg ist das Cloud-Assessment, dessen Umfang und Preis wir nach einem 30-Minuten-Gespräch festlegen, weil beides an Ihrer Landschaft hängt. Nach dem Assessment entscheiden Sie: Entscheidungsvorlage, Inventar und TCO-Rechnung gehören Ihnen, auch wenn Sie nicht mit uns oder gar nicht migrieren. Es gibt keine Abnahmepflicht für Work Packages.
Einstieg: Cloud-Assessment
Preis nach Erstgespräch
Zum Vergleich: ein umgesetztes Azure-Projekt bei einer Bank im KRITIS-Umfeld lag bei rund 90.000 EUR netto. Referenzgröße für ein Folgeprojekt, kein Einstiegspreis.
Was enthalten ist:
Einstieg · Cloud-Assessment mit Ist-Aufnahme, Workload-Klassifizierung, TCO-Vergleich und Migrations-Roadmap. Umfang und Preis nach dem Erstgespräch, bevor Sie sich binden.
Migrationsprojekt · Modular in Work Packages: Architektur, Security und Compliance und Governance, Infrastructure as Code mit Terraform, Betrieb und Handover. Jedes Paket einzeln beauftragbar.
Nicht enthalten · Ihr Azure-Verbrauch und Ihre Microsoft-Lizenzen, die zahlen Sie direkt an Microsoft. Ebenso wenig enthalten: die rechtliche Prüfung Ihrer Auslagerungsverträge, dafür arbeiten wir Ihrer Rechtsabteilung zu.
Erstgespräch, 30 Minuten, ohne Verpflichtung
Häufige Fragen zur Cloud-Migration im Wertpapierinstitut
Ist eine Cloud-Migration für ein BaFin-reguliertes Wertpapierinstitut erlaubt?
Ja. Cloud-Nutzung ist eine IKT-Drittdienstleistung und aufsichtlich zulässig, wenn Risikoanalyse, Informations- und Prüfrechte sowie Dokumentation stimmen. Seit dem 17. Januar 2025 gilt DORA unmittelbar, für die Auslagerung greift Paragraf 40 WpIG. Für kleine, nicht verflochtene Wertpapierfirmen gilt der vereinfachte Rahmen nach Artikel 16 DORA. Welcher Rahmen für Sie greift, prüfen wir im Assessment.
Wann ist Cloud teurer als On-Premise?
Bei konstant hoher Volllast, sehr großen persistenten Datenmengen und gut planbarer Kapazität. Nicht die Größe entscheidet, sondern das Lastprofil: Eine 8-TB-Datenbank unter Dauerlast ist ein anderer Fall als 20 TB mit Lastspitzen. Cloud rechnet sich bei schwankender Last und wenn Hardware und Serverraum ohnehin abgelöst werden. Entschieden wird pro Workload.
Was kostet eine Cloud-Migration für ein Wertpapierinstitut?
Der Einstieg ist ein Cloud-Assessment, dessen Umfang und Preis wir nach dem Erstgespräch festlegen, weil beides an Ihrer Landschaft hängt. Zur Größenordnung des Folgeprojekts: Ein umgesetztes Azure-Projekt bei einer Bank im KRITIS-Umfeld mit eigenem Security- und Compliance-Paket lag bei rund 90.000 EUR. Ihr Azure-Verbrauch kommt separat dazu.
Können On-Premise und Cloud parallel laufen, inklusive Bloomberg-Terminals?
Ja. Wir bauen eine Hybrid-Architektur mit Site-to-Site-VPN zwischen Azure und Ihrem Rechenzentrum, sodass Marktdaten-Terminals wie Bloomberg, Bestandssysteme und Cloud-Workloads zusammenspielen. Die Latenz zu Ihren Marktdaten-Quellen wird vorab gemessen. Datenintensive oder aufsichtskritische Systeme bleiben bewusst lokal, während andere Workloads schrittweise wandern. Die Rückfalloption bleibt bis zur Abnahme bestehen.
Wo raten Sie von einer Cloud-Migration ab?
An drei Stellen. Läuft eine sehr große Datenbank dauerhaft unter Volllast, ist On-Premise oder Reserved Capacity oft günstiger. Ist das Auslagerungsmanagement nach Paragraf 40 WpIG noch nicht aufgesetzt, gehört das vor die Migration, nicht danach. Und ohne belastbares Inventar der Ist-Landschaft ist jede TCO-Rechnung eine Schätzung, die wir so auch benennen.
Wie erfüllen wir Aufbewahrung und Backup-Anforderungen in der Cloud?
Über ein Azure-basiertes Backup-, Geo-Redundanz- und Archivierungskonzept nach den jeweils geltenden Fristen: zehn Jahre für Buchungsbelege und Abschlüsse, sechs Jahre für Handelsbriefe einschließlich E-Mail, dazu die Aufzeichnungspflichten nach Paragraf 83 WpHG. Wiederherstellungszeiten und Nachweisbarkeit werden definiert und getestet.
Nachricht senden
Schreiben Sie uns kurz Ihre Ausgangslage: größte Datenbank, Virtualisierung, Restlaufzeit des Serverraum-Vertrags. Wir melden uns innerhalb von 24 Stunden.
Antwort innerhalb von 24 Stunden
Unverbindliches Erstgespräch
Persönlicher Ansprechpartner
Phillip Pham
CEO @ Pexon Consulting
Aktualisiert am 4. August 2026
Sie suchen einen Partner für Ihr Projekt?
Wir analysieren Ihren individuellen Bedarf, geben erste Empfehlungen zu Umsetzungsstrategien und bieten Ihnen transparente Einblicke in unsere Methoden, Technologien und Referenzen.
Vertrieb kontaktieren
400+Projekte seit 2020
100+Kunden im DACH-Raum
ISO27001 zertifiziert
3Hyperscaler Partner