Wenn Unternehmen einen CSP wechseln oder zukünftig direkt mit Microsoft arbeiten möchten, taucht fast immer dieselbe Sorge auf:
„Was passiert mit unserem Tenant?“
Matthias Braun – Azure MVP
Die kurze Antwort: Fast nichts.
Der Tenant bleibt bestehen. Benutzer bleiben bestehen. Gruppen, Entra ID, Conditional Access Policies, DNS-Konfigurationen, Exchange Online, Teams, SharePoint, Azure-Ressourcen und bestehende Berechtigungen bleiben unverändert erhalten. Ein CSP-Wechsel bedeutet nicht, dass eine neue Cloud-Plattform aufgebaut oder migriert werden muss.
Die eigentliche Herausforderung liegt an einer völlig anderen Stelle.
Drei Bereiche ändern sich tatsächlich
Ein CSP-Wechsel betrifft im Wesentlichen drei Ebenen:
- Abrechnung (Billing Ownership)
- Support-Verantwortung
- Delegierte Administratorrechte des Partners
Diese drei Bereiche werden häufig als ein einziger Vorgang betrachtet. Tatsächlich sind es jedoch voneinander unabhängige Prozesse.
Genau hier entstehen später die meisten Probleme.
Das größte Risiko: Alte Partner behalten weiterhin Zugriff
In vielen Umgebungen konzentriert sich das Projektteam auf die Übertragung von Lizenzen und Verträgen.
Die Berechtigungen werden anschließend nicht mehr hinterfragt.
Das Resultat:
- Ehemalige CSP-Partner besitzen weiterhin administrative Zugriffe
- Alte Delegated Admin Relationships bleiben bestehen
- Nicht mehr benötigte Service Principals verbleiben im Tenant
- Verantwortlichkeiten für Supportfälle sind unklar
Technisch funktioniert alles weiterhin.
Governance-seitig entsteht jedoch ein unnötiges Risiko.
Architektur statt Vertragsprojekt
Aus Sicht eines Cloud Architects sollte ein CSP-Wechsel nicht als Beschaffungs- oder Lizenzthema behandelt werden.
Sinnvoller ist die Betrachtung als Governance-Review:
Prüffelder
Der eigentliche Mehrwert entsteht nicht durch den Wechsel des CSPs, sondern durch die Bereinigung und Neuordnung der Betriebsverantwortung.
Empfehlung für Unternehmen
Wer einen CSP-Wechsel plant, sollte die Gelegenheit nutzen, die eigene Cloud-Governance auf den Prüfstand zu stellen. Dazu gehören die Überprüfung bestehender Delegated-Admin-Berechtigungen und externer Partnerzugriffe, die Validierung der RBAC-Struktur in Azure sowie die Aktualisierung von Support-, Eskalations- und Betriebsprozessen. Gleichzeitig bietet sich die Möglichkeit, Verantwortlichkeiten klar zu dokumentieren und Governance- sowie Security-Maßnahmen gezielt weiterzuentwickeln.
Ein CSP-Wechsel ist weit mehr als ein Wechsel des Abrechnungsmodells. Er schafft den notwendigen Anlass, Rollen, Zugriffe und Verantwortlichkeiten entlang des gesamten Betriebsmodells kritisch zu hinterfragen und langfristig sauber aufzustellen.
Fazit
Der Tenant bleibt. Die Workloads bleiben. Die Identitäten bleiben.
Was sich wirklich ändert, sind Zuständigkeiten, Zugriffe und Betriebsmodelle.
Und genau dort liegt aus meiner Sicht das eigentliche Risiko, aber auch die größte Chance zur Verbesserung der Azure-Governance.
Meine Empfehlung: Nicht fragen „Was passiert mit unserem Tenant?“, sondern „Wer hat nach dem Wechsel eigentlich noch Zugriff auf unseren Tenant?“.
Das ist meist die deutlich wichtigere Frage.
