Azure-Migrationsdienste für US- und EU-Unternehmen

Ja — wir starten stets vom Microsoft Cloud Adoption Framework Enterprise-Scale Landing Zone und passen gezielt an; wir schreiben keine Landing Zone von Grund auf neu. Die Bereitstellung erfolgt über die offiziellen Terraform AVM (Azure Verified Modules) oder Bicep, wenn der Kunde Microsoft-native Werkzeuge bevorzugt. Anpassungen sind bewusst gewählt: Management-Group-Hierarchie ausgerichtet an Ihren Geschäftsbereichen (nicht an Microsofts Standardvorgaben), Azure Policy-Initiativen für Regions-Pinning und Ressourcensperren, Defender for Cloud auf Standard-Tier in jedem Abonnement sowie eine Hub-Spoke-vNet-Topologie mit Azure Firewall Premium im Hub. Die Identität wird über Entra ID (ehemals Azure AD) mit Privileged Identity Management gesteuert, das für jede Rolle oberhalb von Reader in Produktionsabonnements verpflichtend ist.

Azure Migrate für Assessment und Abhängigkeitskartierung ist genuint gut — agentenbasiert oder agentenlos, je nach Ihrer Sicherheitslage. Wir setzen es als Primärquelle für VM-Rightsizing und die Kompatibilitätsbewertung SQL Server zu SQL MI ein. Wo es an Grenzen stößt, ist die Abbildung von Anwendungsschicht-Abhängigkeiten bei verteilten Monolithen; dort ergänzen wir mit Movere-Daten, sofern verfügbar, oder stellen für zwei Wochen ein eigenes leichtgewichtiges eBPF-basiertes Tracing auf. Das Ergebnis ist ein einheitlicher Abhängigkeitsgraph als Grundlage der Wellen-Planung — kein Wirrwarr aus drei konkurrierenden Tabellenkalkulationen.

Workloads mit personenbezogenen EU-Daten landen in West Europe (Niederlande), North Europe (Irland), Sweden Central oder France Central — je nach Latenz- und Souveränitätsanforderungen. Wir nutzen Azure Policy auf Management-Group-Ebene, um die Ressourcenerstellung außerhalb genehmigter Regionen zu unterbinden. Für Schrems II setzen wir Customer Lockbox, Confidential Computing (Intel SGX / AMD SEV-SNP) auf DCasv5/ECasv5-SKUs, kundenverwaltete Schlüssel in Azure Key Vault HSM (oder Azure Key Vault Managed HSM FIPS 140-2 Level 3) sowie SCCs im AVV ein. Die EU Data Boundary-Verpflichtung von Microsoft wird auf Abonnement-Tag-Ebene durchgesetzt und monatlich geprüft.

Die Entscheidung richtet sich nach Team-Kompetenz, nicht nach architektonischen Modetrends. Zustandslose Web-Tiers ohne Bedarf an Sidecar-Mesh oder benutzerdefiniertem Netzwerk gehen zu App Service oder Azure Container Apps (Dapr-aktiviert, wenn bereits ereignisgesteuerte Muster vorhanden sind). Alles mit regulatorischer Komplexität, Multi-Tenant-Isolationsanforderungen oder relevantem Service-Mesh-Bedarf geht zu AKS — mit Azure CNI Overlay, Azure Policy Add-on, Workload Identity (nicht Pod Identity) und einem Karpenter-Äquivalent via NAP. SQL Server konsolidiert zu Azure SQL Managed Instance via DMS Online Migration mit nahezu null Ausfallzeit; PostgreSQL geht zu Azure Database for PostgreSQL Flexible Server.

Cost Management + Billing-Exporte zu ADLS Gen2, dann Synapse oder Fabric für Analytics — nicht rohes Power BI auf der API, das drosselt. Die Tagging-Richtlinie wird via Azure Policy mit Deny-on-Missing-Tag-Regeln durchgesetzt. FinOps-Rhythmus ist wöchentlich: Rightsizing via Azure Advisor, Tracking der Reserved Instance- und Savings-Plan-Abdeckung, Hybrid Benefit überall angewendet, wo Windows Server / SQL Server-Lizenzen es erlauben (typische 40 Prozent Ersparnis allein bei diesen SKUs), Spot VMs auf AKS für Batch-Workloads. Typische Einsparungen im ersten Jahr gegenüber der Lift-and-Shift-Baseline: 25–35 Prozent.

Der Discovery-Sprint dauert 4 Wochen zum Festpreis von 35.000 EUR — Azure Migrate Assessment, Abhängigkeitskartierung, CAF Landing Zone Design, Kostenmodell und Migrationsplan. Die Durchführung läuft als dediziertes Team-Engagement ab 12.000 EUR/Monat pro Pod (TPM + Senior Azure Engineer + SRE). Ein 250-VM-Estate mit SQL Server-Konsolidierung schließt typischerweise in 5–7 Monaten ab. SQL MI-Cutovers und AKS-Replatforming-Wellen werden pro Welle angeboten. Post-Cutover FinOps + Defender SOC Retainer ist ab 6.500 EUR/Monat verfügbar.