Kurzdefinition: Eine Exit-Strategie regelt vorab, wie ein Unternehmen einen IT- oder Cloud-Dienstleister geordnet wieder verlassen kann — mit Rückgabe der Daten, Migration und Sicherung des Weiterbetriebs. Sie verhindert die gefährliche Abhängigkeit, aus der es kein Zurück gibt.
Was ist eine Exit-Strategie?
Ein vorab festgelegter Plan für den geordneten Ausstieg aus einer Dienstleisterbeziehung — inklusive Datenrückgabe, Formaten, Fristen und Verantwortlichkeiten.
Warum braucht man sie vor Vertragsschluss?
Weil im Streit- oder Ausfallfall keine Zeit für Verhandlungen bleibt. Wer den Ausstieg nicht vorab regelt, ist im Ernstfall dem Anbieter ausgeliefert.
Was gehört in eine Exit-Strategie?
Datenexport in nutzbaren Formaten, Migrationsplan, Übergangsunterstützung des Anbieters, Fristen, Löschung beim Alt-Anbieter und ein Plan für den Weiterbetrieb.
Wie hängt sie mit DORA zusammen?
DORA verlangt für IKT-Verträge kritischer Funktionen ausdrücklich Regelungen zu Ausstieg und Datenrückgabe. Die Exit-Strategie ist damit auch eine regulatorische Anforderung.
Was ist Vendor-Lock-in?
Die Abhängigkeit von einem Anbieter, aus der ein Wechsel technisch oder wirtschaftlich kaum möglich ist. Die Exit-Strategie soll ihn von Anfang an vermeiden.
Häufige Fehlannahmen
- „Eine Exit-Strategie braucht man erst beim Ausstieg.“ Zu spät. Sie muss vorab stehen.
- „Der Anbieter gibt die Daten schon heraus.“ Nicht garantiert. Ohne Vertrag droht Streit.
- „Lock-in ist nur ein Kostenthema.“ Nein. Es ist auch ein Resilienz- und Compliance-Risiko.
- „Cloud-Wechsel geht immer einfach.“ Nein. Ohne Planung ist er oft teuer und riskant.
- „Exit-Regeln sind bei DORA optional.“ Nein. Für kritische Funktionen sind sie Pflicht.
Was die Geschäftsleitung tun sollte
- Vorab regeln. Ausstieg schon bei Vertragsschluss festlegen.
- Datenrückgabe sichern. Formate und Fristen vereinbaren.
- Weiterbetrieb planen. Migration und Übergang vorbereiten.
- Lock-in vermeiden. Abhängigkeiten begrenzen.
Für die Geschäftsleitung
Eine Exit-Strategie sichert, dass man einen IT-Dienstleister im Ernstfall geordnet verlassen kann. Wer Ausstieg und Datenrückgabe vorab regelt, vermeidet Vendor-Lock-in und erfüllt zugleich die DORA-Anforderungen an kritische IKT-Verträge.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
