Microsoft 365: Vor- und Nachteile im Vergleich (Cloud vs. On-Prem)

Die Verbreitung von Cloud-Computing hat vor allem die Bereitstellung von IT-Infrastrukturen grundlegend verändert. Microsoft 365 (ehemals Office 365) hat sich dabei vom reinen Lizenzmodell für Office-Anwendungen zur zentralen Plattform für den digitalen Arbeitsplatz entwickelt. Durch die tiefe Integration von Exchange Online, SharePoint, Teams und Entra ID (früher Azure AD) liefert die Suite Werkzeuge für Zusammenarbeit, Security und Compliance, seit 2024 zusätzlich mit Copilot als KI-Ebene direkt in den Office-Apps.

Für IT-Entscheider und Administratoren ist die Einführung trotzdem kein Selbstläufer. Die Kernfrage bleibt: Ist M365 die richtige Lösung für jedes Szenario? Seit 2025 hat sich die Ausgangslage dabei an zwei Stellen verschoben. Erstens ist die On-Premises-Welt teurer und abo-lastiger geworden, weil Exchange 2016 und 2019 aus dem Support gefallen sind und der Nachfolger Exchange Server SE ein Subscription-Modell voraussetzt. Zweitens ist digitale Souveränität durch EU Data Boundary, Sovereign Cloud und NIS2 vom Randthema zum eigenen Entscheidungsfaktor geworden.

Der Vergleich läuft deshalb über drei Ebenen: Microsoft 365 gegen die Cloud-Wettbewerber (Google Workspace, AWS, Alibaba Cloud), Cloud gegen die Betriebsmodelle On-Premises und Hybrid, und als dritte Ebene die Souveränitätsfrage, die quer über allem liegt.

Um eine fundierte Entscheidung für oder gegen Microsoft 365 zu treffen, musst du die Plattform aus zwei Perspektiven betrachten: im Vergleich zu direkten Markt-Wettbewerbern (Cloud-Provider) und im Vergleich der Betriebsmodelle (Architektur).

Während Microsoft 365 und Google Workspace klassische SaaS-Lösungen (Software as a Service) für Produktivität sind, bieten AWS oder Alibaba primär Infrastruktur (IaaS). Der Vergleich zeigt, wo der Fokus liegt:

Eine Vergleichsdimension ist seit 2024 dazugekommen: die KI-Integration. Bei Microsoft heißt die Antwort Microsoft 365 Copilot. Der Assistent arbeitet innerhalb der Mandanten-Grenzen mit den bestehenden Berechtigungen, wodurch Prompts und Firmendaten den Tenant-Kontext nicht verlassen. Copilot ist allerdings kein Bestandteil der Suiten, sondern ein kostenpflichtiges Add-on (Details unten im Lizenz-Kapitel). Wer KI-Funktionen fest einplant, muss sie also von Anfang an ins Budget rechnen, weil sich der Preis pro User dadurch schnell verdoppelt.

Oft ist die Frage nicht "Microsoft oder Google", sondern "Cloud oder eigener Serverraum". Genau hier hat sich seit Ende 2025 am meisten bewegt.

Am 14.10.2025 sind Exchange Server 2016 und 2019 aus dem Support gefallen. Die einmalige ESU-Brücke (Extended Security Updates) für Nachzügler endete bereits am 14.04.2026. Der einzige supportete On-Premises-Exchange ist seitdem Exchange Server SE (Subscription Edition), verfügbar seit dem 01.07.2025. Technisch ist SE weitgehend ein Exchange 2019 CU15 mit neuen Buildnummern, weshalb das In-Place-Upgrade von 2019 unkritisch verläuft.

Lizenzrechtlich ändert sich dagegen alles: SE folgt der Modern Lifecycle Policy (zwei CUs pro Jahr, kein festes Support-Ende) und setzt aktive Software Assurance oder ein passendes Cloud-Abo voraus. Die Konsequenz: Das klassische Modell "einmal kaufen, zehn Jahre abschreiben" existiert für Exchange On-Premises nicht mehr. Auch der eigene Serverraum ist damit ein Abo geworden, nur mit zusätzlicher Hardware-Verantwortung.

Ein Sonderfall bleibt bestehen: Wer nur noch einen Exchange-Server für die Empfängerverwaltung im Hybrid-Betrieb vorhält, kann weiterhin die kostenlose Hybrid-Lizenz nutzen, weil aktive Exchange-Online-Abos die Subscription-Anforderung von SE erfüllen.

Im direkten Vergleich ergibt sich dieses Bild:

Zwischen 2023 und 2025 hat Microsoft die EU Data Boundary in drei Phasen ausgerollt und am 26.02.2025 offiziell abgeschlossen: Phase 1 (2023) verlagerte die Speicherung und Verarbeitung der Kundendaten für Microsoft 365, Dynamics 365, Power Platform und die meisten Azure-Dienste in EU- und EFTA-Regionen, Phase 2 (2024) ergänzte pseudonymisierte personenbezogene Daten, Phase 3 (2025) die Daten aus Support-Interaktionen. Für die DSGVO-Argumentation ist das ein echter Fortschritt, weil du Speicher- und Verarbeitungsort jetzt sauber dokumentieren kannst.

Das juristische Kernproblem löst die Data Boundary allerdings nicht: Microsoft bleibt ein US-Konzern, und der CLOUD Act knüpft an den Anbieter an, nicht an den Serverstandort. Für Unternehmen mit strengsten Geheimhaltungsstufen bleibt das ein Ausschlusskriterium.

Genau für diese Lücke hat Microsoft 2025 das Sovereign-Cloud-Portfolio aufgebaut. Die Sovereign Public Cloud liefert Souveränitäts-Controls (Datenresidenz, Zugriffssteuerung, Transparenz) in den regulären europäischen Rechenzentrumsregionen. Interessanter für das obere Ende des Spektrums ist die Sovereign Private Cloud: Sie kombiniert Azure Local mit Microsoft 365 Local, einem seit November 2025 allgemein verfügbaren Deployment-Framework, das Exchange Server, SharePoint Server und Skype for Business Server auf Azure-Local-Infrastruktur im eigenen Rechenzentrum betreibt, auf Wunsch komplett offline im Air-Gap. Microsoft hat dafür den Support der Serverprodukte bis mindestens 2035 zugesagt. Wichtig fürs Budget: Microsoft 365 Local ist kein Cloud-Abo wie E3 oder E5, sondern wird klassisch über Serverlizenzen mit Software Assurance lizenziert. Für Regierungen und KRITIS-Betreiber mit noch härteren Anforderungen existieren zusätzlich nationale Partner-Clouds.

Für die Architektur-Entscheidung heißt das: Die alte Zweiteilung "alles in die Cloud oder alles selbst" ist einem Spektrum gewichen, und die Souveränitätsanforderung bestimmt, wo du dich darauf einordnest.

Nach dem Vergleich der Architekturen lohnt sich ein technischer Deep-Dive in die konkreten Vor- und Nachteile von Microsoft 365 für die Administration.

Zugänglichkeit & Mobilität: Der Zugriff ist geräte- und ortsunabhängig. Für dich als Admin bedeutet das weniger VPN-Tickets, weil der Zugriff auf Ressourcen über die Identität (Conditional Access) gesteuert wird und nicht mehr zwingend über den Netzwerktunnel. Der Perimeter wandert vom Firewall-Port zur Entra-ID-Policy.

Kollaboration & Co-Authoring: Echte Zusammenarbeit in Echtzeit (Co-Authoring in Word und Excel) reduziert die Dateiversionen-Hölle auf Fileservern, weil alle am selben Dokument arbeiten statt an Kopien. Teams dient als zentraler Hub, der SharePoint im Backend nutzt, ohne dass der User es merkt.

Evergreen-Ansatz (stets aktuell): Keine großen Forklift-Migrationen mehr alle drei Jahre. Das Exchange-Backend wird von Microsoft gepatcht, Clients erhalten Feature-Updates via CDN. Der Preis dafür: Du tauschst Migrationsprojekte gegen permanentes Change-Management, weil Microsoft im Message Center laufend Deprecations und Verhaltensänderungen ankündigt, die du bewerten musst.

Skalierbarkeit (CSP-Modell): Über das Cloud Solution Provider Programm (heute in der New Commerce Experience, NCE) buchst du Lizenzen pro User und skalierst mit dem Personalstand. Die frühere Aussage "monatlich buchen oder stornieren" gilt allerdings nur noch für das Monatsabo, das dafür rund 20 % Aufschlag kostet. Details dazu unten im Lizenz-Kapitel.

Security & Compliance Stack: Features, die On-Premises extrem teuer oder komplex waren, sind integriert: Multi-Faktor-Authentifizierung, Conditional Access, Information Protection (Sensitivity Labels) und der Microsoft Defender Stack bilden eine geschlossene Sicherheitskette. Seit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG, in Kraft seit dem 06.12.2025) ist das auch ein Compliance-Argument: Audit-Log, Purview und Secure Score liefern genau die Nachweise zu Risikomanagement und Vorfallserkennung, die das Gesetz von rund 29.500 betroffenen Unternehmen verlangt.

KI-Integration (Copilot): Microsoft 365 Copilot bringt den KI-Assistenten direkt in Word, Excel, Outlook und Teams und respektiert dabei die vorhandenen Berechtigungen, weil er über den Graph nur sieht, was der jeweilige User sehen darf. On-Premises lässt sich Vergleichbares nur mit einem selbst gehosteten LLM-Stack samt RAG-Pipeline nachbauen, was ein eigenes Projekt mit eigener GPU-Hardware ist. Für die reine Cloud spricht hier der Zeitvorteil, für Self-Hosting die Datenhoheit.

Abhängigkeit von Konnektivität: No Internet, no Work. Zwar bieten die Office-Desktop-Apps einen Offline-Modus (Cache), aber Teams, SharePoint und Echtzeit-Funktionen stehen bei Leitungsausfall still. Redundante Internetanbindungen werden zur Pflicht, und für die Verfügbarkeit der Dienste selbst bist du auf Microsofts Service Health angewiesen, weil du bei einem Cloud-Incident nichts selbst reparieren kannst.

Kostenstruktur (OpEx-Falle): Die monatlichen Kosten läppern sich. Was anfangs günstig wirkt, übersteigt nach drei bis vier Jahren oft die reinen Lizenzkosten einer On-Prem-Lösung, wobei dieser Vergleich durch den SE-Abozwang fairer geworden ist als früher. Verschärfend kommt hinzu, dass Microsoft an der Preisschraube dreht: Zum 01.07.2026 wurden die Listenpreise der M365-Suiten weltweit angehoben (Microsoft 365 E3 beispielsweise auf 39 US-Dollar), und Copilot kommt als Add-on obendrauf. Ungenutzte Lizenzen (Zombie-User) musst du aktiv managen, weil jede vergessene Zuweisung zwölf Monate weiterläuft.

Datenschutz & Data Sovereignty: Trotz abgeschlossener EU Data Boundary liegen die Daten auf fremden Servern eines US-Anbieters, und der CLOUD Act bleibt bestehen. Für Unternehmen mit strengsten Geheimhaltungsstufen oder speziellen regulatorischen Anforderungen kann das ein Ausschlusskriterium sein. Der Souveränitäts-Abschnitt oben zeigt, welche Mittelwege Microsoft inzwischen anbietet und wo ihre Grenzen liegen.

Lernkurve & Adoption: Die Tool-Vielfalt überfordert User schnell ("Nutze ich jetzt OneDrive, SharePoint oder Teams?"). Ohne sauberes Adoption- und Change-Management entsteht Schatten-IT oder Frustration. Auch du als Admin musst umlernen (PowerShell-Module und Graph statt GUI). Copilot hebt das Problem auf eine neue Stufe: Der Assistent macht jahrzehntealte Berechtigungsaltlasten sichtbar, weil er alles findet, worauf der User theoretisch Zugriff hat. Ein Berechtigungs-Audit gehört deshalb vor jedes Copilot-Rollout.

Eingeschränkte Anpassbarkeit (Customizing): Während du an einem On-Prem-SharePoint fast alles via Server-Side-Code ändern konntest, bist du in der Cloud auf das SharePoint Framework (SPFx) und APIs beschränkt. Microsoft gibt den Rahmen vor ("Take it or leave it") und auch das Tempo: Deprecations wie die Abschaltung der Basic Authentication erzwingen Migrationsprojekte nach Microsofts Zeitplan, nicht nach deinem.

Bevor du den Tenant erstellst, stehen die Auswahl der passenden Lizenzen und die Prüfung der Infrastruktur an. Fehler in dieser Phase führen später oft zu teuren Nachlizenzierungen oder Migrationsaufwänden (z. B. bei falscher Wahl des Tenant-Namens).

Microsofts Lizenzmodell ist komplex. Für dich als Admin ist die Unterscheidung zwischen den Business-Plänen (für KMU bis 300 User) und den Enterprise-Plänen (unbegrenzt) entscheidend, nicht nur wegen des Preises, sondern wegen der technischen Features.

Seit dem 01.11.2025 gibt es dabei eine neue Wahlfreiheit: Nach der Einigung mit der EU-Kommission (September 2025) bietet Microsoft alle Suiten wieder in zwei Varianten an, mit oder ohne Teams. Die Phase, in der Neukunden die Enterprise-Suiten gar nicht mehr mit Teams kaufen konnten (EWR seit Oktober 2023, weltweit seit April 2024), ist damit beendet. Im EWR kannst du bei Mehrjahresverträgen einmal jährlich von der Teams-Variante auf die Variante ohne Teams wechseln, wobei bestehende Rabatte erhalten bleiben.

Für Microsoft 365 Copilot brauchst du zusätzlich eine qualifizierende Basislizenz, etwa Business Standard, Business Premium, E3 oder E5. Der Listenpreis des Enterprise-Add-ons liegt bei 26 Euro pro User und Monat, für KMU gibt es seit 2026 mit Copilot Business eine günstigere Variante um 18 Euro. Copilot Chat ist ohne Zusatzlizenz nutzbar, greift dann aber nicht auf interne Unternehmensdaten zu.

Zur Kostenplanung gehört seit der NCE auch die Wahl der Laufzeit, weil sie den Preis direkt bestimmt. Das Jahresabo mit jährlicher Vorauszahlung ist der Basispreis. Das Jahresabo mit monatlicher Zahlung kostet seit dem 01.04.2025 einen Aufschlag von 5 %. Das Monatsabo liegt rund 20 % über dem Basispreis, ist dafür aber die einzige Variante, in der du Lizenzen monatlich reduzieren kannst. Im Jahresabo ist eine Reduzierung während der Laufzeit ausgeschlossen (nur ein 7-Tage-Stornofenster nach Buchung), weshalb sich in der Praxis ein Mix bewährt: der stabile Personalsockel im Jahresabo, saisonale Spitzen im Monatsabo.

Bei der Registrierung musst du einen Tenant-Namen wählen (z. B. phinit). Daraus generiert Microsoft die initiale Domain: phinit.onmicrosoft.com.

Achtung: Dieser Name wird fest in den SharePoint- und OneDrive-URLs verankert (z. B. https://phinit-my.sharepoint.com). Eine spätere Änderung (SharePoint Domain Rename) ist zwar mittlerweile technisch möglich, aber riskant und komplex, weil sämtliche Links, Sync-Clients und Integrationen an der alten URL hängen. Wähle hier also einen seriösen, kurzen Namen ohne Sonderzeichen oder Rechtsformen (GmbH).

Damit die Dienste reibungslos funktionieren, muss deine lokale Infrastruktur vorbereitet sein.

DNS-Zugriff: Du benötigst administrativen Zugriff auf die öffentlichen DNS-Records deiner Domains, weil für Mailfluss und Validierung TXT-, MX-, CNAME- und SRV-Records gesetzt werden. Tipp: Setze die TTL (Time to Live) deiner DNS-Einträge vor der Umstellung herunter (z. B. auf 300 Sekunden), damit Änderungen schneller propagieren.

Netzwerk & Firewalls: M365 benötigt offene Verbindungen zu den Microsoft-Rechenzentren, ausgehend über HTTPS (443) und HTTP (80). Verzichte für M365-Traffic auf SSL-Inspection oder Proxy-Authentifizierung, weil beides zu Latenzproblemen und Verbindungsabbrüchen in Teams oder Outlook führt. Microsoft veröffentlicht dafür eine gepflegte Liste der benötigten IP-Adressen und URLs, die deine Firewall-Regeln automatisiert beziehen sollten.

Client-Software: Der Client-Unterbau hat sich seit Oktober 2025 deutlich verschoben. Windows 10 ist seit dem 14.10.2025 End of Support und läuft in Unternehmen nur noch mit kostenpflichtigen Extended Security Updates weiter (jährlich, kumulativ, maximal bis Oktober 2028). Plane deshalb Windows 11 als Standard-Client ein, weil jedes verbleibende Windows-10-Gerät ein Kosten- und Compliance-Risiko ist. Bei Office gilt: Office 2016 und 2019 sind ebenfalls seit dem 14.10.2025 End of Support, und ihre Verbindung zu M365-Diensten war offiziell schon seit Oktober 2023 nicht mehr supported. Unterstützt für die M365-Anbindung sind die Microsoft 365 Apps sowie Office LTSC 2021 (bis Oktober 2026) und Office LTSC 2024 (bis Oktober 2029). Auf Mobilgeräten brauchst du aktuelle iOS- und Android-Versionen, damit Intune App Protection Policies greifen.

Authentifizierung & Alt-Systeme: Modern Authentication (OAuth 2.0) ist Pflicht, weil Basic Auth für POP, IMAP, EWS, ActiveSync und Remote PowerShell bereits seit Ende 2022 abgeschaltet ist. Die letzte Bastion ist SMTP AUTH für Geräte und Anwendungen (Multifunktionsdrucker, ERP, Monitoring). Nach dem aktualisierten Zeitplan vom Januar 2026 bleibt das Verhalten bis Dezember 2026 unverändert, danach deaktiviert Microsoft Basic Auth für SMTP AUTH bei Bestands-Tenants per Default (Admins können vorerst reaktivieren), neue Tenants erhalten die Option gar nicht mehr, und das endgültige Abschaltdatum wird im zweiten Halbjahr 2027 angekündigt. Inventarisiere deine Basic-Auth-Absender deshalb jetzt und migriere auf OAuth, High Volume Email, die Graph API oder ein lokales SMTP-Relay, bevor der Default-Switch deine Scan-to-Mail-Strecken lahmlegt.

Die Entscheidung für Microsoft 365 ist selten eine rein technische, sondern eine strategische Weichenstellung. Wer die Vor- und Nachteile abwägt, stellt fest: Es ist ein Trade-off zwischen Kontrolle und Effizienz, und dieser Trade-off hat sich seit 2025 zugunsten der Cloud verschoben.

On-Premises bietet weiterhin das Maximum an Datenhoheit, aber der Kostenvorteil des Einmalkaufs ist mit Exchange Server SE gefallen, weil auch der eigene Server jetzt ein Abo voraussetzt. Microsoft 365 fordert im Gegenzug das Vertrauen in einen US-Anbieter und eine stabile Internetverbindung, liefert dafür aber einen Security-, Compliance- und KI-Stack, den eine interne IT-Abteilung in dieser Tiefe kaum selbst nachbauen kann.

Entscheidungshilfe für IT-Verantwortliche:

Szenario A: Das Cloud-Native-Startup. Wer kaum Legacy-Anwendungen hat und primär im Browser arbeitet, kann zwischen Google Workspace und Microsoft 365 frei wählen. Hier entscheidet oft die persönliche Präferenz der User.

Szenario B: Der klassische Mittelstand (KMU). Für Unternehmen mit Windows-Clients, Active Directory und hohen Sicherheitsanforderungen ist Microsoft 365 (allen voran Business Premium) derzeit alternativlos. Die Integration von Intune und Defender in einem Lizenzpaket bietet das beste Preis-Leistungs-Verhältnis, und seit dem NIS2UmsuCG kommt ein handfester Grund dazu: Die eingebauten Audit- und Reporting-Funktionen erzeugen die Nachweise, die das Gesetz verlangt, ohne dass du dafür separate Tools einkaufen musst.

Szenario C: Hochsicherheitsbereiche & KRITIS. Behörden oder Unternehmen mit striktesten Datenschutzauflagen mussten früher zwangsläufig On-Premises oder hybrid bleiben. Heute existiert mit der Sovereign Private Cloud (Azure Local plus Microsoft 365 Local) ein Mittelweg, der Exchange und SharePoint unter voller lokaler Jurisdiktion betreibt, auf Wunsch im Air-Gap. Wer selbst diesem Modell nicht traut, bleibt beim klassischen On-Prem-Betrieb mit Exchange Server SE und akzeptiert die Abo-Pflicht als neuen Fixkostenblock.

Microsoft 365 ist der Goldstandard für die moderne Zusammenarbeit, und die Feature-Lücke zu On-Premises wächst weiter, weil Copilot und der komplette KI-Layer Cloud-exklusiv bleiben. Die Nachteile (steigende Abo-Kosten, US-Abhängigkeit, permanenter Deprecation-Takt) sind real und gehören in jede TCO-Rechnung, werden in den meisten Szenarien aber durch die massiven Vorteile bei Security, Skalierbarkeit und Wartungsarmut aufgewogen. Wer den Modern Workplace realisieren will, kommt an dieser Plattform kaum vorbei. Wer Souveränität über alles stellt, hat mit M365 Local erstmals eine Microsoft-Option, die beides zumindest annähert.