On-Prem oder EU-Cloud für KI auf Konstruktionsdaten
On-Premise gilt als die sichere Variante. Tatsächlich verlagert der Betrieb im eigenen Haus vor allem die Verantwortung. Woran die Entscheidung wirklich hängt und welche Anforderung On-Prem tatsächlich erzwingt.
EU-Cloud und On-Premise unterscheiden sich nicht im Datenschutzniveau, sondern darin, wer den Betrieb verantwortet. Eine EU-gehostete Lösung mit Auftragsverarbeitungsvertrag ist DSGVO-konform, ohne dass Sie Server patchen. On-Premise lohnt sich, wenn eine vertragliche Auflage, ein abgeschottetes Netz oder eine bestehende IT-Mannschaft dafür spricht. Nicht, weil es sich sicherer anfühlt.
„Kommt das auch On-Premise?" ist in Auswahlgesprächen die Frage, die am schnellsten gestellt und am seltensten begründet wird. Dahinter steht fast immer dieselbe Annahme: Was im eigenen Haus läuft, ist sicherer.
Diese Annahme hält der Prüfung nicht stand. On-Premise verändert nicht das Schutzniveau, sondern die Zuständigkeit. Wer das einmal auseinandergehalten hat, entscheidet die Frage in zwanzig Minuten statt in drei Sitzungen.
Was unterscheidet On-Prem von EU-Cloud?
Es sind nicht zwei Modelle, sondern drei. Der mittlere wird in Auswahlprozessen regelmäßig übersehen, obwohl er am häufigsten passt.
| Modell | Wer betreibt | Wo liegen die Daten | Wer patcht und überwacht |
|---|---|---|---|
| EU-Cloud (geteilt) | Anbieter | EU-Rechenzentrum | Anbieter |
| Dedizierte Instanz | Anbieter | EU-Rechenzentrum, eigener Mandant | Anbieter |
| On-Premise | Sie | eigenes Rechenzentrum | Sie |
Die entscheidende Spalte ist die rechte. Sie bestimmt Aufwand, Kosten und im Zweifel auch, wie schnell eine Sicherheitslücke geschlossen wird.
Ist On-Premise sicherer?
Nicht von allein. Sicherheit entsteht aus vier Dingen: aktuelle Software, kontrollierter Zugriff, Überwachung und funktionierende Sicherungen. Keines davon folgt daraus, wo das Blech steht.
Ein Server im eigenen Haus, den nach dem Projektabschluss niemand mehr aktualisiert, ist die schlechtere Variante. Er sieht nur besser aus, weil man ihn anfassen kann. Umgekehrt erfüllt eine EU-gehostete Lösung mit Auftragsverarbeitungsvertrag, ausgeschlossener Trainingsnutzung und geregelten Löschfristen die Anforderungen der DSGVO vollständig. Welche Zusagen dazugehören, steht ausführlich in EU-Hosting und KI.
Der ehrliche Satz lautet deshalb: On-Premise verlagert Verantwortung, es erhöht nicht automatisch das Niveau. Das ist ein guter Tausch, wenn Sie die Mannschaft dafür haben. Es ist ein schlechter, wenn die Betreuung nach der Einführung an einer Person hängt, die eigentlich etwas anderes macht.
Was kostet der Betrieb wirklich?
Bei On-Premise steht der sichtbare Teil im Angebot und der teurere Teil daneben. Vollständig gehören dazu:
- Hardware inklusive Grafikkarten, wenn Sprachmodelle im Haus laufen sollen, dazu Kühlung und Strom.
- Aktualisierung von Modellen und Software. Ein Stand, der zwei Jahre nicht angefasst wird, fällt hinter das zurück, was Anwender inzwischen gewohnt sind.
- Überwachung und Rufbereitschaft. Wer wird um 22 Uhr angerufen, wenn die Suche steht?
- Sicherungen und Wiederanlauf, regelmäßig geprobt, nicht nur eingerichtet.
- Sicherheits-Patches in der Geschwindigkeit, die Ihre eigene Richtlinie vorschreibt.
Keine dieser Positionen ist exotisch. Sie fallen nur nicht als Rechnung an, sondern als Arbeitszeit, und tauchen deshalb im Vergleich oft gar nicht auf.
Welche Anforderung erzwingt On-Premise?
Es gibt gute Gründe, und sie sind erkennbar daran, dass sie von außen kommen:
- Vertragliche Auflagen Ihrer Kunden, typisch im Wehr- und Sicherheitsbereich oder bei Zulieferungen mit besonderen Geheimhaltungsstufen.
- Exportkontrollrechtliche Vorgaben für bestimmte technische Unterlagen.
- Ein Fertigungs- oder Entwicklungsnetz ohne Internetanbindung. Wenn das Netz keine Verbindung nach außen hat, erübrigt sich die Diskussion.
- Eine interne Richtlinie ohne Ausnahmetatbestand. Auch wenn sie fachlich diskutabel ist: Sie zu ändern dauert länger als das Projekt.
Und die Begründungen, die in der Praxis am häufigsten fallen und keine sind: „Unsere Daten sind sehr sensibel" spricht für einen guten Anbieter, nicht gegen die Cloud. „Wegen der DSGVO" ist sachlich falsch, solange EU-Hosting und Auftragsverarbeitungsvertrag stehen.
Wer haftet wofür?
Das ist der Punkt, an dem die Modelle sich rechtlich wirklich unterscheiden.
Im Cloud-Betrieb bleiben Sie Verantwortlicher im Sinne der DSGVO, der Anbieter ist Auftragsverarbeiter. Der Auftragsverarbeitungsvertrag regelt, was er darf, wen er einsetzt und wann gelöscht wird. Sie behalten Kontroll- und Prüfrechte, ohne die Technik zu betreiben.
Bei On-Premise fallen beide Rollen bei Ihnen zusammen. Es gibt niemanden, der vertraglich zu Löschfristen und Subprozessor-Transparenz verpflichtet ist, weil es keine Subprozessoren gibt. Das ist eine Vereinfachung und zugleich der Verlust einer Absicherung: Für jeden Fehler im Betrieb sind Sie allein zuständig.
Was fragt die IT im Auswahlprozess?
Diese Liste beantwortet ein seriöser Anbieter ohne Zögern:
- In welchem Rechenzentrum, betrieben von wem, mit welchen Zertifizierungen?
- Gibt es eine US-Konzernmutter? Falls ja, greift der US Cloud Act unabhängig vom Serverstandort.
- Ist die Nutzung unserer Daten für Modelltraining vertraglich ausgeschlossen?
- Welche Subprozessoren sind im Einsatz, und werden Änderungen angekündigt?
- Welche Löschfristen gelten, und stehen sie im Vertrag statt „auf Anfrage"?
- Wie werden Zugriffsrechte aus unseren Quellsystemen übernommen?
- Falls On-Premise: Was genau liegt dann in unserer Zuständigkeit, und was bleibt beim Anbieter?
Frage 7 ist die, die am häufigsten fehlt. Sie entscheidet darüber, ob On-Premise ein Betriebsmodell ist oder ein Übergabepunkt ohne Anschluss.
Wie entscheiden Sie?
| Wenn bei Ihnen zutrifft | dann spricht das für |
|---|---|
| Kundenauflage, Exportkontrolle oder Netz ohne Internet | On-Premise |
| Eigene IT mit Erfahrung im Serverbetrieb und Kapazität dafür | On-Premise möglich |
| Anforderung an Abschottung, aber keine eigene Betriebsmannschaft | dedizierte Instanz |
| Sensible Daten, DSGVO-Anforderung, kein externer Zwang | EU-Cloud |
| Schneller Start, kalkulierbare Kosten | EU-Cloud |
Wer in mehr als einer Zeile landet, sollte mit der dedizierten Instanz beginnen. Sie ist der einzige Weg, der sich später in beide Richtungen öffnen lässt.
Wie KoAssist das handhabt
Der Standard ist EU-Cloud: Hosting in deutschen Rechenzentren, ISO 27001 zertifiziert, keine Übertragung in Drittländer. Ihre Dokumente werden für die Suche indexiert und verschlüsselt abgelegt, die Quellsysteme bleiben führend. Eine Nutzung Ihrer Daten für Modelltraining ist ausgeschlossen, und auf schriftliche Anfrage werden alle Daten binnen 48 Stunden vollständig gelöscht.
On-Premise ist bei Bedarf möglich. Wir empfehlen es dann, wenn einer der oben genannten äußeren Gründe vorliegt, und raten davon ab, wenn er es nicht tut. Die Details zu Verschlüsselung, Rechteübernahme und Löschung stehen auf der Seite Sicherheit.
Wenn Sie wissen wollen, welches Modell in Ihrem Fall trägt: In einer Demo gehen wir die sieben Fragen oben an Ihrem konkreten Setup durch. Auch dann, wenn am Ende die Antwort lautet, dass die Cloud reicht.
Häufige Fragen
Ist On-Premise automatisch DSGVO-konform?
Nein. Die DSGVO fragt nicht, wem der Server gehört, sondern ob Verarbeitung, Zugriffskontrolle, Löschung und Dokumentation geregelt sind. Ein ungepatchter Server im eigenen Keller erfüllt das schlechter als eine professionell betriebene EU-Cloud mit Auftragsverarbeitungsvertrag. On-Premise verschiebt die Pflichten zu Ihnen, es erledigt sie nicht.
Ist eine EU-Cloud für sensible Konstruktionsdaten ausreichend?
In den allermeisten Fällen ja. Entscheidend sind Rechenzentrumsstandort, ein Anbieter ohne US-Konzernmutter, vertraglich ausgeschlossene Trainingsnutzung, offengelegte Subprozessoren und geregelte Löschfristen. Sind diese Punkte vertraglich zugesichert, gibt es aus Datenschutzsicht keinen Grund für eigene Hardware.
Wann ist On-Premise tatsächlich Pflicht?
Wenn eine externe Vorgabe es erzwingt: Auflagen von Kunden aus dem Wehr- oder Sicherheitsbereich, Exportkontrollvorgaben, ein Fertigungsnetz ohne Internetanbindung oder eine interne Richtlinie ohne Ausnahmeregelung. Das eigene Bauchgefühl gehört nicht dazu, auch wenn es die häufigste Begründung ist.
Was ist eine dedizierte Instanz und wo liegt sie dazwischen?
Eine dedizierte Instanz läuft isoliert in einem eigenen Mandanten, wird aber weiterhin vom Anbieter betrieben. Sie bringt die Abschottung, ohne dass Sie Updates, Monitoring und Rufbereitschaft übernehmen. Für viele Betriebe ist das der passende Mittelweg zwischen geteilter Cloud und eigenem Rechenzentrum.
Braucht On-Premise eigene Grafikkarten?
Sobald Sprachmodelle im eigenen Haus laufen sollen, ja. Dazu kommen Ersatzteile, Kühlung, Stromkosten und jemand, der das Ganze betreut. Diese Posten stehen selten im ersten Angebot und entscheiden trotzdem über die Gesamtkosten.
Normen mit KI durchsuchen: warum die Quellenangabe über die Brauchbarkeit entscheidet
Eine KI-Antwort zu einer Norm ohne Datei- und Seitenangabe ist im Engineering nicht unbequem, sondern unbrauchbar. Warum das so ist und woran man ein taugliches System erkennt.
Roschiwal + Partner: große Dokumentbestände erschließen, inklusive Zeichnungen
Über Jahre gewachsene Datenmengen sind kein Suchproblem, sondern ein Zugriffsproblem. Wie Roschiwal + Partner den eigenen Bestand nutzbar macht und warum CAD und Zeichnungen der schwierigere Teil sind.
Chatbot für technische Dokumentation: Was er wirklich können muss
Ein Chatbot auf der eigenen technischen Dokumentation klingt einfach. In der Praxis entscheidet sich der Nutzen an vier Punkten, an denen generische Chatbots reihenweise scheitern.
Weniger Suchen.
Mehr Konstruieren.
In einer 30-minütigen Demo zeigen wir KoAssist anhand Ihrer eigenen Dokumente und besprechen Setup, Anbindung und Konditionen für Ihre Teamgröße.