OpenTofu Migrations-Check – Aufwand & Kosten in 3 Minuten

HashiCorp hat im August 2023 die Lizenz für Terraform von MPL 2.0 auf die Business Source License (BSL) umgestellt. Mit der IBM-Übernahme (abgeschlossen 27.02.2025, 6,4 Mrd $) und dem Ende des HCP Free Tiers am 31.03.2026 stellt sich die Frage für viele IT-Entscheider neu. Der Migrations-Check oben gibt eine fundierte Indikation in 3 Minuten — dieser Abschnitt liefert die Hintergründe.

OpenTofu vs Terraform 2026: Lizenz, Preis, Features im Vergleich

Der direkte Vergleich zeigt, wo OpenTofu inhaltlich vorbeigezogen ist und wo Terraform noch Vorsprung hat. State-Format und HCL-Sprache sind bis Terraform 1.5 identisch — ab 1.6 driften die Tools auseinander.

Was Terraform Cloud konkret kostet — Rechen-Beispiel

HashiCorp rechnet seit März 2026 strikt pro Resource ab. Der Free Tier liegt bei 500 Resources, jeder reale EKS- oder AKS-Cluster mit Begleitinfrastruktur sprengt diese Grenze. Konkret bei einem typischen Mittelstands-Setup:

Bei 20.000 Resources (Enterprise) liegt die HCP-Premium-Rechnung bei 218.000 € pro Jahr — Migrations-Aufwand 80 bis 120 Personentage, ROI nach unter 12 Monaten. Der konkrete Schwellenwert ab dem sich Migration finanziell lohnt liegt bei ungefähr 1.500 Resources auf HCP Standard.

5 typische Stolperfallen bei der Migration

Die Migration ist technisch in den meisten Fällen einfach — die Risiken liegen in Detail-Konfigurationen, die still brechen.

1. State-Race-Condition: Terraform und OpenTofu parallel gegen denselben State führt zu Korruption. Beide nutzen dasselbe Locking, aber Team-Disziplin reicht selten. Hard-Cutover statt Parallelbetrieb.
2. Provider-Version-Pinning: OpenTofu pinnt Provider eigenständig neu. Wer nicht explizit pinnt, riskiert State-Drift durch Schema-Updates.
3. Backend-Migration ohne -migrate-state: Bei Backend-Wechsel braucht tofu init -migrate-state explizit. Sonst bleibt der State im alten Backend, ohne sichtbaren Fehler.
4. Sentinel → OPA-Rewrite: Pro Policy 2 bis 4 Stunden. Ab 10 Policies ist das ein eigener Sprint, nicht ein Nebenprodukt.
5. CI/CD-Action-Tausch ist nicht alles: hashicorp/setup-terraform gegen opentofu/setup-opentofu reicht für die Pipeline. Run Tasks, Drift Detection und Cost Estimation brauchen separate Ersatz-Lösungen.

Wann sich die Migration nicht lohnt

Vier konkrete Konstellationen, in denen wir aktiv von Migration abraten:

• Weniger als 100 Resources und keine Compliance-Anforderung — der Aufwand amortisiert nie.
• HCP Free Tier-Nutzung unter 500 Resources, kein BSL-Provider, keine SaaS-Embedding-Pläne.
• Aktuelle Sentinel-Policy-Bibliothek über 30 Policies plus laufendes Compliance-Audit — Rewrite-Risiko zu hoch.
• Geplante Ablösung der IaC-Plattform innerhalb der nächsten 12 Monate (z.B. Pulumi-Migration, Crossplane-Plattform) — doppelter Aufwand.

3 öffentliche Migrations-Cases

Migrations-Pfade im Vergleich

Häufige Fragen zur OpenTofu-Migration

Ist OpenTofu kompatibel mit bestehenden Terraform-State-Files?

Bis Terraform 1.5 ist das State-Format identisch — tofu init läuft direkt gegen den bestehenden State, ohne Konvertierung. Ab Terraform 1.6 driften die Metadaten leicht, ein Test in einer Non-Production-Umgebung ist Pflicht.

Was kostet die Migration von Terraform zu OpenTofu wirklich?

Bei Setups bis Terraform 1.5 und Standard-Backend: 1 bis 3 Personentage. Bei HCP Standard mit 1 bis 5 Sentinel-Policies: 2 bis 6 Wochen. Bei HCP Premium plus mehr als 10 Sentinel-Policies plus Private Registry: 3 bis 6 Monate als Programm. Der Migrations-Check oben gibt eine personalisierte Schätzung.

Bricht die Migration unsere CI/CD-Pipeline?

Bei GitHub Actions reicht der Austausch von hashicorp/setup-terraform auf opentofu/setup-opentofu. GitLab bietet eine offizielle Komponente unter gitlab.com/components/opentofu. Jenkins braucht nur Binary-Tausch. TFC Run Tasks brechen vollständig und müssen durch GitHub-Actions-Workflows oder TACOS-Plattformen ersetzt werden.

Sind alle Terraform-Provider mit OpenTofu kompatibel?

AWS, Azure, GCP, Kubernetes, Helm und über 4.000 Community-Provider sind voll kompatibel und über search.opentofu.org verfügbar. Kritisch sind HashiCorp-eigene Provider (Vault, Consul, Nomad) ab Version 3.x — diese stehen unter BSL und müssen einzeln auf OpenTofu-Mirror-Verfügbarkeit geprüft werden.

Was ist mit Sentinel Policies?

Sentinel ist proprietär und übersetzt nicht automatisch. Standard-Migrations-Pfad ist OPA mit Rego plus Conftest-Validation in CI. Aufwand: 2 bis 4 Stunden Rewrite pro Policy plus Tests. Wer mehr als 20 Policies hat, sollte den Rewrite als eigenes Mini-Projekt planen.

Bricht Terragrunt mit OpenTofu?

Terragrunt unterstützt OpenTofu seit Version 0.50. Konfigurations-Variable terraform_binary = "tofu" reicht aus. Versions-Check vor Migration ist Pflicht, sonst Inkompatibilität bei älteren Terragrunt-Versionen.

Was bedeutet die IBM-Übernahme von HashiCorp konkret?

IBM hat die Übernahme am 27.02.2025 für 6,4 Mrd $ abgeschlossen. Erwartet wird eine schärfere Monetarisierung, nicht eine Lockerung der BSL-Lizenz. Gespräche zwischen IBM und der OpenTofu-Community laufen, ohne Ergebnis. Für deutsche Mittelstands-Kunden verstärkt die Übernahme das Vendor-Lock-in-Argument.

Hat OpenTofu Features, die Terraform nicht hat?

Ja — native End-to-End-State-Encryption seit Version 1.7 (Terraform OSS hat das nicht), Early-Variable-Evaluation, Provider Iteration. Diese Features sind in HCP Terraform nicht enthalten. Für Compliance-getriebene Unternehmen ist State-Encryption alleine schon ein Argument.

Weiterführende Schritte

Pexon Consulting ist die einzige deutsche Beratung mit dedizierter OpenTofu-Practice. Wir haben Migrations-Projekte zwischen 5.000 € (1-Tages-Workshop) und 180.000 € (Multi-Quartal-Programm) begleitet. Drei Wege zur Vertiefung:

→ OpenTofu-Consulting-Pakete und Preise ansehen

→ Strategie-Artikel: OpenTofu statt Terraform — der Weg zu echter Open Source

→ 30-Minuten-Gespräch buchen — kostenfrei, kein Sales-Pitch