AWS S3 Migration: In 7 Schritten zu deutschem Storage

Die Rechnung von Amazon Web Services wächst schneller als der eigene Datenbestand, der CLOUD Act sorgt bei der Rechtsabteilung für Stirnrunzeln, und die nächste Auditfrage lautet: „Wo genau liegen unsere Daten?“ Immer mehr deutsche Unternehmen ziehen daraus die Konsequenz und migrieren ihren Object Storage von AWS S3 zu einem S3-kompatiblen Anbieter aus Deutschland. Die gute Nachricht: Weil das S3-Protokoll ein De-facto-Standard ist, ist eine Migration kein Big-Bang-Projekt, sondern ein planbarer Prozess – oft an einem Wochenende erledigt.

Dieser Praxis-Leitfaden zeigt in sieben Schritten, wie Sie Buckets, Objekte und Berechtigungen von Amazon S3 zu safes3 übertragen, welche Kosten dabei entstehen, welche rechtlichen Fristen aus dem EU Data Act Ihnen in die Hände spielen und wie Sie typische Fallstricke bei Multipart-Uploads, Versionierung und Presigned URLs vermeiden.

Warum Unternehmen 2026 von AWS S3 zu deutschem Object Storage wechseln

Der Wechsel ist selten eine rein technische Entscheidung. In der Praxis dominieren vier Treiber:

• Kostenkontrolle: Bei AWS zahlen Sie nicht nur Speicher, sondern auch Egress-Traffic, GET/PUT/LIST-Requests, Lifecycle-Transitions und Retrieval-Gebühren. Genau diese variablen Posten machen die Rechnung unvorhersehbar. safes3 kostet pauschal 0,025 EUR pro GB und Monat – ohne Traffic-Limit, ohne API-Gebühren, ohne Mindestlaufzeit.
• Rechtssicherheit: Als US-Konzern unterliegt AWS dem CLOUD Act, der US-Behörden Zugriff auf Daten ermöglichen kann – unabhängig vom Speicherort. Ein Anbieter mit Sitz und Rechenzentren ausschließlich in Deutschland löst dieses Spannungsfeld zur DSGVO strukturell, nicht nur vertraglich.
• Digitale Souveränität: Behörden, Kommunen und regulierte Branchen fordern zunehmend Nachweise über Datenstandort, Subunternehmer und Verschlüsselung. Kurze Lieferketten vereinfachen jedes Audit.
• Nachhaltigkeit: ESG-Berichtspflichten machen den CO2-Fußabdruck der IT zur Kennzahl. Storage aus 100 % erneuerbaren Energien mit Wärmerückgewinnung und Second-Life-Hardware ist ein belastbarer Baustein einer Green-IT-Strategie.

Hinzu kommt ein regulatorischer Rückenwind: Der EU Data Act gilt seit dem 12. September 2025 und verpflichtet Cloud-Anbieter, den Wechsel zu einem anderen Provider aktiv zu unterstützen – inklusive Unterstützung beim Datenexport und einer maximalen Übergangsfrist von 30 Tagen. Wechselgebühren müssen bis zum 12. Januar 2027 vollständig entfallen. Wer den Anbieterwechsel heute vorbereitet, arbeitet also mit dem Gesetz und nicht gegen den Vendor Lock-in.

Schritt 1: Bestandsaufnahme – was liegt eigentlich in Ihren Buckets?

Vor der Migration steht die Inventur. Ermitteln Sie pro Bucket Größe, Objektanzahl, Storage-Klassen, Versionierung, Lifecycle-Regeln, Bucket-Policies und die Frage, welche Anwendungen lesend oder schreibend zugreifen. Ein einzelner Befehl liefert die Basiszahlen:

aws s3 ls s3://mein-bucket --recursive --summarize | tail -3

Achten Sie besonders auf zwei Kategorien: heiße Daten, auf die produktive Systeme permanent zugreifen (Migration mit Sync-Fenster), und kalte Archive wie Backups oder Logs, die Sie ohne Risiko im Hintergrund kopieren können. Objekte in Glacier- oder Deep-Archive-Klassen müssen vor dem Kopieren restauriert werden – planen Sie hier Zeit und Retrieval-Kosten ein.

Schritt 2: Egress-Kosten realistisch kalkulieren

Der einmalige Datenabzug ist der einzige echte Kostenblock der Migration. Rechnen Sie mit den AWS-Egress-Preisen pro übertragenem Gigabyte plus GET-Requests. Bei 5 TB Bestandsdaten liegt der Betrag im niedrigen dreistelligen Euro-Bereich – und amortisiert sich in der Regel binnen weniger Monate, weil laufender Traffic bei safes3 nicht abgerechnet wird. Prüfen Sie zusätzlich, ob Sie über den EU Data Act oder AWS-Programme reduzierte Ausstiegskonditionen erhalten. Zwei Tipps senken die Rechnung sofort: Löschen Sie vor der Migration verwaiste Multipart-Uploads und alte Objektversionen, und übertragen Sie nur, was Aufbewahrungspflichten und Fachbereiche tatsächlich brauchen.

Schritt 3: Zielstruktur und Zugangsdaten anlegen

Legen Sie im deutschen Object Storage die Buckets an und übernehmen Sie bewusst nicht jede historische Struktur. Bewährt hat sich eine Trennung nach Zweck – etwa prod-assets, prod-backups, staging – mit eigenen Access Keys pro Anwendung. Aktivieren Sie Versionierung für Backup-Buckets, bevor die ersten Daten fließen: Sie ist die Grundlage für Ransomware-Resilienz und ergänzt die 3-2-1-Backup-Strategie um eine unveränderliche Kopie.

Schritt 4: Die Migration mit rclone durchführen

Für Server-zu-Server-Kopien ist rclone das Werkzeug der Wahl, weil es serverseitig parallelisiert, Checksummen prüft und Abbrüche wiederaufnimmt. Konfigurieren Sie zwei Remotes – aws und safes3 – jeweils mit Provider, Endpoint und Region. Der Erstlauf:

rclone copy aws:mein-bucket safes3:mein-bucket --transfers 32 --checkers 64 --s3-chunk-size 64M --progress

Alternativ leisten aws s3 sync --endpoint-url, s3cmd sync oder Tools wie Cyberduck und CloudBerry denselben Dienst – safes3 ist vollständig S3-kompatibel und funktioniert mit allen AWS SDKs. Führen Sie mehrere Sync-Läufe durch: einen vollständigen Erstlauf, dann tägliche Deltas, und kurz vor dem Umschalten einen finalen Abgleich mit --checksum.

Schritt 5: Anwendungen umstellen – meist nur eine Zeile Konfiguration

Der eigentliche Cutover ist unspektakulär. In fast jedem SDK genügt das Setzen eines eigenen Endpoints:

• PHP/Laravel: AWS_ENDPOINT und AWS_USE_PATH_STYLE_ENDPOINT=true in der .env
• Python/boto3: boto3.client('s3', endpoint_url='https://...')
• Node.js (AWS SDK v3): new S3Client({ endpoint, forcePathStyle: true })
• Backup-Tools: Veeam, Restic, Duplicati, Borg und Nextcloud akzeptieren den Endpoint direkt in der Repository-URL

Prüfen Sie dabei drei Klassiker: Path-Style vs. Virtual-Hosted-Style Adressierung, die korrekte Region-Angabe für die SigV4-Signatur und die Gültigkeitsdauer von Presigned URLs, die auf den neuen Host neu erzeugt werden müssen. Hartcodierte s3.amazonaws.com-Strings im Code oder in CDN-Origin-Konfigurationen sind die häufigste Ursache für Fehler nach dem Umschalten.

Schritt 6: Verifizieren statt vertrauen

Vergleichen Sie nach dem finalen Sync Objektanzahl und Gesamtgröße beider Seiten und lassen Sie rclone die Integrität prüfen:

rclone check aws:mein-bucket safes3:mein-bucket --one-way

Ergänzen Sie fachliche Tests: Bilder im Shop laden, ein Backup testweise wiederherstellen, Download-Links aus dem Kundenportal öffnen. Eine Migration ist erst dann abgeschlossen, wenn ein Restore erfolgreich war – nicht, wenn das Kopieren durchgelaufen ist.

Schritt 7: AWS sauber abschalten und dokumentieren

Lassen Sie die AWS-Buckets 30 bis 90 Tage als Fallback bestehen, aber schreibgeschützt, damit keine Anwendung unbemerkt weiter dorthin schreibt. Danach löschen Sie Objekte, Versionen, unvollständige Multipart-Uploads und die Buckets selbst – sonst laufen Restkosten weiter. Für Ihr Datenschutz-Management aktualisieren Sie im gleichen Zug das Verzeichnis der Verarbeitungstätigkeiten, den Auftragsverarbeitungsvertrag (AVV) und die Liste der Subunternehmer. Der positive Nebeneffekt: Ein Anbieter ohne Drittlandtransfer macht das Transfer Impact Assessment überflüssig.

Häufige Fragen zur S3-Migration

Wie lange dauert die Migration von AWS zu safes3?

Für wenige Terabyte reicht typischerweise ein Wochenende. Der Erstlauf läuft im Hintergrund während des Normalbetriebs, das eigentliche Umschaltfenster beträgt oft weniger als eine Stunde – bei versionierten Buckets sogar ohne Downtime.

Muss ich meinen Code umschreiben?

Nein. Da safes3 die S3-API implementiert, ändern Sie Endpoint und Credentials. Bibliotheken, CI/CD-Pipelines und Backup-Tools bleiben unverändert.

Was passiert mit S3-Features wie Lifecycle oder Object Lock?

Kernfunktionen wie Versionierung und Lifecycle-Regeln stehen zur Verfügung. AWS-spezifische Dienste wie Lambda-Trigger oder Athena-Abfragen müssen Sie durch eigene Prozesse ersetzen – in der Praxis meist ein kleiner Cronjob oder Worker.

Ist ein deutscher Anbieter genauso zuverlässig?

safes3 garantiert 99,5 % Uptime, SSL/TLS-Transportverschlüsselung, End-to-End-Verschlüsselung und DDoS-Schutz. Der entscheidende Unterschied im Alltag: deutschsprachiger persönlicher Support per Mail und Telefon statt Ticket-Warteschlange.

Fazit: Souveränität ist keine Frage von Monaten, sondern von Tagen

Die technische Hürde einer S3-Migration ist niedrig – der Standard macht den Wechsel austauschbar, genau wie es der EU Data Act vorsieht. Was bleibt, ist ein sauberer Plan: Bestand aufnehmen, Kosten kalkulieren, mit rclone synchronisieren, Endpoint umstellen, verifizieren, alte Umgebung abbauen. Wer diesen Weg geht, gewinnt kalkulierbare Kosten, DSGVO-Konformität ohne Drittlandtransfer und eine Storage-Infrastruktur, die aus deutschen Rechenzentren mit Ökostrom betrieben wird – entwickelt und betreut von einem Team aus Mainfranken, das Ihre Sprache spricht.

Bereit für den Wechsel? Testen Sie safes3 Object Storage ohne Mindestlaufzeit für 0,025 EUR pro GB im Monat – inklusive unbegrenztem Traffic und ohne API-Gebühren. Unser Team unterstützt Sie kostenfrei bei der Planung Ihrer Migration von AWS S3, Azure Blob oder Google Cloud Storage. Jetzt Konto erstellen und in 10 Minuten den ersten Bucket befüllen.