Cloud & Azure Infrastruktur

Azure Landing Zone Architecture

Die Azure Landing Zone bildet das architektonische Fundament jeder Enterprise-Cloud-Strategie. Sie definiert eine standardisierte, skalierbare Umgebung mit vorkonfigurierten Governance-, Sicherheits- und Netzwerkrichtlinien, die den Betrieb hunderter Subscriptions ermöglicht, ohne in ein Konfigurationschaos abzudriften.

• Management-Group-Hierarchie: Azure Landing Zones basieren auf einer verschachtelten Management-Group-Struktur unterhalb des Root Tenant. Best Practice ist die CAF-Referenzarchitektur (Cloud Adoption Framework) mit den Gruppen Platform, Landing Zones und Sandbox.
• Subscription Vending: Statt manueller Subscription-Erstellung nutzen Enterprise-Kunden Subscription Vending über einen Bicep/Terraform-Modul, das automatisiert neue Subscriptions mit vorkonfigurierten Budgets, Tagging-Standards und Netzwerk-Peering provisioniert.
• Platform Landing Zone: Die Platform-Ebene umfasst die Connectivity-Subscription (Hub-VNet, Azure Firewall, DNS), die Identity-Subscription (Azure AD DS, Domain Controller) und die Management-Subscription (Log Analytics Workspace, Automation Account, Update Management).
• Tagging-Strategie & Governance: Ohne konsistentes Tagging ist Cloud-Governance unmöglich. Erzwingen Sie über Azure Policy die Tags CostCenter, Owner, Environment und DataClassification bei jeder Ressourcen-Erstellung.

Cost Optimization

Azure-Kosten können ohne strukturiertes FinOps-Management schnell eskalieren. Die Kombination aus Reserved Instances, Spot VMs, Azure Advisor-Empfehlungen und automatisierten Shutdown-Policies kann die monatlichen Cloud-Ausgaben um 40–70 % reduzieren.

• Reserved Instances & Savings Plans: Für dauerhaft laufende Workloads bieten 1- oder 3-Jahres-Reservierungen Rabatte von 30–72 % gegenüber Pay-as-you-go. Azure Savings Plans bieten zusätzliche Flexibilität, da sie über VM-Familien und Regionen hinweg gelten.
• Spot VMs für Batch-Workloads: Azure Spot VMs bieten bis zu 90 % Rabatt, werden jedoch bei Kapazitätsengpässen mit 30 Sekunden Vorlauf eviktiert. Ideal für CI/CD-Pipelines, Rendering, Data Processing und Dev/Test.
• Azure Advisor & Cost Management: Azure Advisor analysiert kontinuierlich Ihre Ressourcennutzung und gibt konkrete Empfehlungen: unterausgelastete VMs (CPU <5 %), ungenutzte Disks, überdimensionierte Datenbanken. Richten Sie Budget-Alerts ein für automatische Benachrichtigungen.
• Auto-Shutdown & Rightsizing: Entwicklungs- und Testumgebungen sollten automatisch außerhalb der Arbeitszeiten heruntergefahren werden. Für Rightsizing nutzen Sie die Metrik-Daten aus Azure Monitor.

Hybrid Cloud mit Azure Arc

Azure Arc erweitert die Azure-Verwaltungsebene auf On-Premises-Server, Kubernetes-Cluster und Datendienste. Damit entsteht eine einheitliche Kontrollebene (Single Pane of Glass), die lokale und Cloud-Ressourcen identisch verwaltet — inklusive Policy-Compliance, Monitoring und RBAC.

• Arc-enabled Server Onboarding: Die Registrierung eines On-Premises-Servers bei Azure Arc erfolgt über den Connected Machine Agent. Der Agent kommuniziert über HTTPS (Port 443) und benötigt keinen eingehenden Firewall-Port.
• Azure Arc-enabled Kubernetes: Bestehende On-Premises-Kubernetes-Cluster (K3s, RKE2, OpenShift) können via Azure Arc integriert werden. Danach stehen GitOps-Konfigurationen über Flux v2 bereit für zentrales Konfigurationsmanagement.
• Arc Data Services: Mit Azure Arc Data Services betreiben Sie Azure SQL Managed Instance und PostgreSQL Hyperscale direkt auf Ihrer lokalen Infrastruktur. Der Indirect-Modus ist für air-gapped Umgebungen geeignet.
• Compliance & Governance über Arc: Der größte Vorteil von Azure Arc ist die einheitliche Compliance-Durchsetzung. Über Azure Policy Guest Configuration können Sie prüfen, ob auf On-Premises-Servern bestimmte Sicherheitsanforderungen erfüllt sind.

Security Center & Defender

Microsoft Defender for Cloud bietet eine umfassende Cloud Security Posture Management (CSPM) und Cloud Workload Protection (CWP) Plattform, die Fehlkonfigurationen erkennt, Bedrohungen in Echtzeit identifiziert und Compliance-Berichte für Audits generiert.

• Secure Score & Empfehlungen: Der Secure Score bewertet Ihre Azure-Umgebung auf einer Skala von 0–100 % basierend auf implementierten Sicherheitsempfehlungen. Jede Empfehlung enthält eine detaillierte Remediation-Anleitung.
• Just-in-Time VM Access (JIT): JIT eliminiert die Notwendigkeit permanent geöffneter Management-Ports (RDP 3389, SSH 22). JIT öffnet den Port nur für eine definierte Zeitspanne und IP-Adresse.
• Adaptive Application Controls: Diese Funktion erstellt Machine-Learning-basierte Allowlists für Anwendungen auf Ihren VMs. Nach einer Lernphase empfiehlt Defender eine Policy, die nur bekannte Binärdateien zulässt.
• Regulatory Compliance Dashboards: Defender for Cloud bietet vorgefertigte Compliance-Frameworks: ISO 27001, SOC 2, BSI C5, PCI DSS und NIST 800-53. Jedes Framework mappt automatisch auf Azure-Policy-Regeln.

Infrastructure as Code (Bicep & Terraform)

Infrastructure as Code (IaC) ist die Grundlage für reproduzierbare, versionierte und auditierbare Cloud-Infrastruktur. Azure unterstützt nativ Bicep (ARM-DSL) und Terraform (HCL) als primäre IaC-Sprachen.

• Bicep — Azure-native IaC: Bicep ist eine domänenspezifische Sprache, die zu ARM-Templates kompiliert, jedoch deutlich lesbarer ist. Nutzen Sie Bicep Registry für versionierte, teamübergreifend geteilte Module.
• Terraform mit Azure Provider: Für Multi-Cloud-Umgebungen ist Terraform der Industriestandard. Nutzen Sie Remote State in Azure Blob Storage und aktivieren Sie State Locking über den integrierten Blob-Lease-Mechanismus.
• CI/CD-Pipeline-Integration: Integrieren Sie IaC in Azure DevOps oder GitHub Actions für automatisierte Deployments. Verwenden Sie Workload Identity Federation (OIDC) statt Service-Principal-Secrets für sichere, secretlose Authentifizierung.
• Drift Detection & State Management: Konfigurationsdrift — manuelle Änderungen im Portal, die nicht im Code reflektiert sind — ist der größte Feind von IaC. Nutzen Sie Deployment Stacks, um Ressourcen vor unautorisierten Änderungen zu schützen.

Azure Backup & Site Recovery

Azure Backup bietet agentbasierte und agentlose Datensicherung für VMs, Datenbanken, Dateifreigaben und On-Premises-Server. Azure Site Recovery (ASR) ermöglicht Disaster Recovery durch kontinuierliche Replikation in eine sekundäre Azure-Region.

• Recovery Services Vault konfigurieren: Aktivieren Sie Soft Delete und Immutability für Ransomware-Schutz. Im Locked-Zustand können Backups nicht vor Ablauf der Retention-Periode gelöscht werden — selbst nicht durch einen kompromittierten Global Admin.
• Backup-Policies & Tiering: Definieren Sie Policies mit differenzierten Retention-Zeiträumen: täglich 30 Tage, wöchentlich 12 Wochen, monatlich 12 Monate, jährlich 7 Jahre. Die Archive-Tier reduziert Speicherkosten um bis zu 75 %.
• Azure Site Recovery (ASR): ASR repliziert VMs kontinuierlich (RPO 30 Sekunden für Managed Disks) in eine Zielregion. Erstellen Sie Recovery-Pläne, die die Startreihenfolge abhängiger Systeme definieren.
• Cross-Region Restore & BCDR-Tests: Aktivieren Sie Cross-Region Restore (CRR) für geo-redundante Backup-Vaults. Führen Sie vierteljährliche DR-Tests durch und dokumentieren Sie RTO und RPO in jedem Testprotokoll für Audit-Compliance.

Networking & Konnektivität

Azure Networking bildet das Rückgrat jeder Cloud-Infrastruktur. Von VNet-Peering über Private Endpoints bis hin zu ExpressRoute bietet Azure ein umfassendes Portfolio an Netzwerkdiensten für sichere, performante und hochverfügbare Verbindungen.

• VNet-Design & Peering: Planen Sie Ihre IP-Adressräume sorgfältig — überlappende CIDR-Blöcke verhindern Peering und VPN-Konnektivität. Best Practice: Nutzen Sie /16 für Hub-VNets und /20 bis /22 für Spoke-VNets.
• Private Endpoints & Private Link: Private Endpoints projizieren Azure-PaaS-Dienste (Storage, SQL, Key Vault) als private IP-Adressen in Ihr VNet. Dies eliminiert die Notwendigkeit öffentlicher Endpunkte vollständig.
• Azure Firewall & NSG-Strategie: Setzen Sie Azure Firewall Premium im Hub-VNet als zentralen Egress-/Ingress-Punkt ein. Nutzen Sie IDPS im Alert-and-Deny-Modus und TLS-Inspection für verschlüsselte Datenströme.
• ExpressRoute & VPN-Redundanz: Für produktionskritische Hybrid-Konnektivität empfehlen wir ExpressRoute mit privatem Peering in Kombination mit einem Site-to-Site-VPN als Failover-Pfad. Testen Sie den Failover regelmäßig.

Häufig gestellte Fragen

Antworten auf die wichtigsten Fragen rund um Cloud-Migration & Azure

Was kostet eine Cloud-Migration zu Azure? ▼

Die Migrationskosten variieren je nach Umfang: Eine Microsoft-365-Einführung für 50 Benutzer liegt bei 2.000–5.000 EUR, eine vollständige Hybrid-Cloud-Migration bei 5.000–15.000 EUR. Die laufenden Azure-Kosten werden vorab kalkuliert — wir optimieren aktiv, um unnötige Ausgaben zu vermeiden.

Können wir schrittweise in die Cloud migrieren? ▼

Absolut — und genau das empfehlen wir. Typischer Ablauf: Zuerst Microsoft 365 (E-Mail, Teams, OneDrive), dann Azure AD Connect für Hybrid Identity, dann schrittweise Server-Workloads. So minimieren Sie Risiken und Mitarbeiter können sich sukzessive umstellen.

Wie sicher sind unsere Daten in der Azure Cloud? ▼

Microsoft Azure erfüllt höchste Sicherheitsstandards: ISO 27001, SOC 2 Type II, BSI C5 und DSGVO-Konformität mit Rechenzentren in Deutschland (Frankfurt, Berlin). Zusätzlich implementieren wir Conditional Access, MFA und Datenverschlüsselung auf allen Ebenen.

Was passiert bei einem Azure-Ausfall? ▼

Microsofts SLA garantiert 99,99% Verfügbarkeit. Für geschäftskritische Anwendungen implementieren wir Multi-Region-Deployments und behalten kritische Dienste wie Active Directory On-Premise — so bleiben Sie auch bei einem Cloud-Ausfall arbeitsfähig.