Souveräner S3 Object Storage in der Schweiz: warum von AWS wechseln

Egress-Gebühren, revDSG und CLOUD Act: warum Ihr AWS-S3-Speicher mehr kostet als angekündigt und Ihre Daten exponiert. Migration zu souveränem Schweizer S3, erklärt.

AWS S3 weist 0,023 $ pro GB Speicher aus. Was Schweizer Unternehmen nach einigen Monaten intensiver Nutzung feststellen: Egress-Gebühren von 0,09 $/GB machen oft das Drei- bis Vierfache davon aus. Bei 50 TB aktiven Daten mit 15 TB Abfluss pro Monat übersteigt allein die Bandbreite 1300 $/Monat, auf einer Rechnung, in der der Speicher nur 1150 $ ausmacht.

Das Problem endet nicht beim Budget. AWS ist eine US-Gesellschaft und untersteht dem CLOUD Act. Das begründet eine Übermittlung in ein Land ohne angemessenen Schutz im Sinne des revDSG, unabhängig von der gewählten AWS-Region. Viele Schweizer Unternehmen betreiben aktive S3-Buckets, ohne die drei vertraglichen Pflichten erfüllt zu haben, die das revDSG in diesem Fall verlangt.

Was AWS S3 ein Schweizer Unternehmen wirklich kostet

Die AWS-S3-Preise haben vier getrennte Kostenzeilen (Quelle: aws.eu/fr/s3/pricing, Mai 2026). S3-Standard-Speicher kostet 0,023 $/GB/Monat, also 23 $/TB. Egress ins Internet kostet 0,09 $/GB nach den ersten 100 GB gratis pro Monat. PUT-Anfragen kosten 0,005 $ pro 1000 Operationen, GET-Anfragen 0,0004 $ pro 1000.

Die Falle ist strukturell: Der Speicher ist der sichtbare Preis auf der Startseite. Egress ist der variable Preis, der der realen Nutzung folgt, und bei jeder Anwendung, die Inhalte ausliefert (Web-Assets, Exporte, Berichte, Analysedaten), summieren sich diese Abflüsse schnell. Ein Team, das ein 10-TB-Backup zurückspielt, zahlt allein 900 $ Egress.

* Berechnungen nach aws.eu/fr/s3/pricing (Mai 2026), ohne GET/PUT-Anfragen und Zusatzgebühren.

Die Kosten sind nicht das einzige Problem.

Das revDSG-Problem, das Ihr AWS-Vertrag nicht erwähnt

AWS ist eine US-Gesellschaft und untersteht dem CLOUD Act. Daten natürlicher Personen aus der Schweiz auf AWS S3 zu speichern, ist eine Übermittlung in ein Land ohne angemessenen Schutz nach Art. 16 revDSG, auch wenn der Bucket in eu-central-1 (Frankfurt) oder einer anderen europäischen Region liegt. Der physische Standort der Server bestimmt nicht die Rechtsordnung, der die Muttergesellschaft untersteht.

Diese Übermittlung ist rechtlich zulässig, verlangt aber drei Pflichten, die viele Schweizer Unternehmen noch nicht erfüllt haben. Erstens muss mit AWS ein Auftragsverarbeitungsvertrag nach Art. 9 revDSG geschlossen werden; das Standard-Data-Processing-Addendum von AWS ist Klausel für Klausel auf Schweizer Besonderheiten zu prüfen, nicht nur auf die DSGVO. Zweitens sind dokumentierte Garantien nach Art. 16 Abs. 2 revDSG zu schaffen: Beitritt zum Swiss-U.S. Data Privacy Framework oder vom EDÖB anerkannte Standardvertragsklauseln. Drittens muss das Verzeichnis der Bearbeitungstätigkeiten ausdrücklich «Vereinigte Staaten» als Empfängerland samt entsprechenden Garantien nennen. Eine vollständige Darstellung der revDSG-Pflichten rund um Ihren Cloud-Anbieter gibt unser eigener Beitrag zu diesen drei Punkten.

Wann zu souveränem Schweizer S3 wechseln, und wann nicht

Entscheidungsregel:

IF (Personendaten von Personen in der Schweiz) OR (regulierte Branche) OR (Egress-Volumen > 5 TB/Monat)
THEN → souveränes Schweizer S3

IF (Entwicklungs-Workload ohne sensible Daten) AND (Team vollständig auf AWS) AND (Egress < 1 TB/Monat)
THEN → AWS S3 vertretbar mit revDSG-konformem DPA

Für die meisten Schweizer Unternehmen, die S3 produktiv nutzen, greift das erste Kriterium.

Migration von AWS S3, drei Befehle zum Start

Die S3-API-Kompatibilität von Hikube bedeutet, dass bestehende Werkzeuge ohne Codeänderung funktionieren. Nur der Endpoint ändert sich. Migration mit rclone:

# 1. rclone für Hikube S3 konfigurieren
rclone config create hikube s3
provider Other
endpoint s3.hikube.cloud
access_key_id YOUR_ACCESS_KEY
secret_access_key YOUR_SECRET_KEY

# 2. Einen ganzen Bucket migrieren
rclone sync s3:mein-aws-bucket hikube:mein-hikube-bucket
--progress
--transfers 16

# 3. Integrität prüfen
rclone check s3:mein-aws-bucket hikube:mein-hikube-bucket

Teams mit AWS CLI oder den SDKs für Python, Node oder Go ändern einen einzigen Parameter, den Endpoint. PUT-, GET-, DELETE- und LIST-Aufrufe bleiben identisch. Kein Anwendungscode muss neu geschrieben werden.

Den Transfer prüfen, bevor Sie umschalten

S3-Kompatibilität ist nicht anzunehmen. Bevor «nur der Endpunkt ändert sich» in einen Migrationsplan geschrieben wird, prüfen Sie sie an Ihren eigenen Aufrufen: zuerst die Grundoperationen, dann der mehrteilige Transfer, den jedes Werkzeug ab einigen hundert Megabyte nutzt, dann das, wovon Ihr Fall abhängt, Versionierung, Bucket-Policies, vorsignierte URLs, Benachrichtigungen. Die genaue Liste unterstützter Operationen ist nicht publiziert: fragen Sie sie ab, wenn Ihre Kette von einem bestimmten Aufruf abhängt. Produktumfang: S3-Objektspeicher.

Läuft die Kopie, entscheiden fünf Prüfungen über die Umschaltung:

• Die Objektanzahl, auf beiden Seiten verglichen, nicht das Volumen allein, tausend fehlende kleine Dateien fallen in einer Terabyte-Summe nicht auf.
• Die Gesamtgrösse als zweite Prüfung, um abgeschnittene Transfers zu erkennen.
• Ein vollständiger rclone check, der Prüfsummen und nicht Namen vergleicht.
• Ein echter Anwendungs-Lesevorgang, lassen Sie die Anwendung selbst ein Objekt lesen, mit ihren Zugangsdaten, nicht mit Ihren.
• Schreibvorgänge während der Kopie, identifizieren und nachspielen, oder ein Einfrierfenster ankündigen. Eine Synchronisation auf lebenden Daten lässt immer ein Delta.

WORM und Verschlüsselung ersetzen einander nicht. Der WORM-Modus verhindert, dass ein Objekt vor Ablauf geändert oder gelöscht wird, auch nicht von einer Administratorin: das macht ein Archiv belastbar und schützt es vor Ransomware mit Rechten. Verschlüsselung verhindert das Lesen. Beides ist orthogonal, und das eine erspart das andere nicht. Der Hikube-Objektspeicher bietet zwei WORM-Modi, Governance und Compliance; Verschlüsselungsmodalitäten und Service-Grenzen sind vor dem Entwurf einer davon abhängigen Kette zu erfragen.

ROI über 12 Monate

Eine Rechnung auf einem typischen Profil, kein bei einem Kunden gemessenes Ergebnis. Rechnen Sie mit Ihren realen Volumen und Ausgängen nach, bevor Sie sie einem Gremium vorlegen.

Profil: Schweizer Unternehmen mit 80 Personen, 50 TB Daten auf AWS S3 Standard in eu-central-1, 15 TB Abfluss pro Monat (Berichte, Exporte, Anwendungs-Assets), Branche dem revDSG unterstellt.

* AWS, aws.eu/fr/s3/pricing (Mai 2026). Hikube: öffentlicher Tarif 0.02 CHF/GB/Monat, ohne einen öffentlichen Hikube-Egress-Tarif zu behaupten. AWS-Compliance-Kosten geschätzt (DPA, externes Audit, Aktualisierung des Verzeichnisses).

Die Ersparnis über 12 Monate übersteigt die Speicherkosten allein, weil AWS-Egress bei aktiver Produktionsnutzung strukturell teurer ist als der Speicher selbst. Wer tiefer in die Fragen des souveränen Clouds für Schweizer Unternehmen einsteigen will, findet in unserem Referenzbeitrag die rechtliche, technische und operative Dimension.

Fazit

Zwei Gründe, Ihren S3-Speicher zu überdenken, wenn Sie in der Schweiz sind: die realen Kosten (AWS-Egress zu 0,09 $/GB gegen einen TCO-Posten auf Hyperscaler-Seite, nicht gegen einen öffentlichen Hikube-Egress-Tarif; Abflüsse übersteigen im Produktionsbetrieb oft den Speicher) und die revDSG-Compliance (AWS = Land ohne angemessenen Schutz, drei vertragliche Pflichten umzusetzen). Die Migration braucht drei rclone-Befehle. Der ROI zeigt sich ab dem ersten Monat bei den Egress-Volumen.

Ihre S3-Daten kosten mehr und bergen mehr Risiko, als es scheint. Unser S3-Object-Storage-Angebot ansehen →