Drei Betriebsmodelle
Oft ist von „Cloud“ gegen „On-Premises“ die Rede, als gäbe es zwei Lager. In der Praxis bestehen drei Modelle nebeneinander, und sie unterscheiden sich durch zwei Fragen: Wo läuft die Maschine, und wer betreibt sie?
Ein E-Mail-System betreiben heißt, Updates einzuspielen, Warteschlange und Speicherplatz zu überwachen, Zertifikate zu erneuern, zu sichern, wiederherzustellen, um 7 Uhr morgens auf einen Vorfall zu reagieren und die Versandreputation der Domain zu erhalten. Hosten heißt nur, Maschine und Netzwerk bereitzustellen.
Die betriebene Cloud
Der Dienstleister betreibt die gesamte Plattform. Sie wird in der Regel von mehreren Kunden gemeinsam genutzt, mit logischer Abschottung: Jede Organisation sieht nur ihre Domains und Postfächer, aber Server, Speicher und Betriebsteams sind gemeinsam. Es ist das am einfachsten zu startende und am günstigsten zu unterhaltende Modell.
Das dedizierte E-Mail-System
Eine Instanz oder ein Server ist Ihrer Organisation vorbehalten. Ihre Daten liegen nicht neben denen anderer Kunden. Der Dienstleister betreibt weiterhin: Sie kaufen Isolation, keinen Arbeitsaufwand. Dieses Modell eignet sich für regulierte Branchen, große Volumen, Gruppen, die ihre Gesellschaften klar trennen wollen, oder für Einstellungen, die eine gemeinsame Plattform einem einzelnen Kunden nicht gewähren kann.
Das E-Mail-System in Ihren Räumen
Die Maschine steht bei Ihnen, in Ihrem Serverraum oder Ihrem Rechenzentrum. Jemand muss sie dennoch betreiben. Entweder Ihr Team übernimmt das, oder ein Dienstleister tut es aus der Ferne, über einen Zugang, den Sie ihm öffnen. Beide Varianten sind legitim; sie kosten nicht dasselbe und bieten nicht dieselben Wiederanlaufgarantien.
Was sich wirklich ändert
Fünf Punkte unterscheiden die drei Modelle. Die anderen, etwa das Webmail oder die Outlook-Kompatibilität, hängen vor allem von der Software ab, nicht vom Standort.
| Punkt | Betriebene Cloud | Dediziert | In Ihren Räumen |
|---|
| Nachbarschaft | Gemeinsame Plattform, logische Abschottung | Kein anderer Kunde auf der Instanz | Ihr Netzwerk, Ihre anderen Server |
| Updates | Der Dienstleister, nach seinem Zeitplan | Der Dienstleister, Zeitplan teils verhandelbar | Ihr Team oder der beauftragte Dienstleister |
| Backups | Beim Dienstleister, gemäß seinem Vertrag | Beim Dienstleister, teils dediziert | Zu organisieren: wo, durch wen, außerhalb des Standorts? |
| Wer ein Postfach öffnen kann | Ihre Administratoren und der Betreiber | Ihre Administratoren und der Betreiber | Ihre Administratoren und der Betreiber, falls es einen gibt |
| Ausstieg | Export und Änderung des MX | Export und Änderung des MX | Export, Änderung des MX und die Maschine, die weiterverwendet oder entsorgt werden muss |
Die Nachbarschaft
Auf einer gemeinsamen Plattform kann eine Spam-Kampagne, die vom kompromittierten Konto eines anderen Kunden verschickt wird, die Reputation der gemeinsamen Versand-IP-Adresse verschlechtern. Eine dedizierte Instanz oder eine dedizierte IP-Adresse isoliert dieses Risiko. In Ihren Räumen ist der Nachbar Ihr eigenes Netzwerk: Ein infizierter Arbeitsplatz kann den Server erreichen, wenn dieser nicht abgeschottet ist.
Wer ein Postfach öffnen kann
Das ist die Zeile, die man zu schnell ausfüllt. Wer ein Postfach wiederherstellen kann, kann es lesen, unabhängig vom Modell. Der Standort beseitigt diesen Zugriff nicht; er ändert nur die Liste der Personen, die ihn haben. Die nützlichen Fragen lauten daher: Wer hält die Administratorkonten, sind diese Zugriffe personenbezogen und nachvollziehbar, und verbietet der Vertrag dem Betreiber, ein Postfach ohne Anfrage des Kunden zu öffnen? Nur eine Ende-zu-Ende-Verschlüsselung, deren privaten Schlüssel Sie behalten, zum Beispiel mit S/MIME, macht den Inhalt einer Nachricht für den Betreiber unlesbar.
Der Ausstieg
Der Domainname muss auf Ihren Namen eingetragen bleiben: Sein MX-Eintrag bestimmt den Server, der Ihre E-Mails empfängt, und Sie müssen ihn ändern können, ohne um Erlaubnis zu fragen. Der Rest wird vorbereitet: Export der Postfächer in einem Standardformat, einschließlich Kalender und Kontakte, Exportfrist, Löschung nach Vertragsende.
Selbst hosten reicht für Souveränität nicht aus
Den Server in die eigenen Räume zu stellen, beantwortet eine bestimmte Frage: wo die Festplatten physisch stehen. Der Ratgeber Was ist eine souveräne Cloud? erinnert daran, dass mindestens drei weitere bleiben: welches Unternehmen betreibt, welches Recht für dieses Unternehmen gilt und wie man aussteigt.
Ein Server in Ihren eigenen Mauern kann so von außen abhängig bleiben, ohne dass man es sieht:
- Die Wartung erfolgt aus der Ferne durch einen Dienstleister, dessen Land und Zugriffe man kennen muss;
- die Backups gehen an einen standardmäßig gewählten Online-Speicher, manchmal außerhalb Ihrer Zone;
- die Filterung eingehender E-Mails wird von einem Drittdienst übernommen, den jede Nachricht durchläuft, bevor sie bei Ihnen ankommt;
- die an Ihre Kunden gesendeten E-Mails laufen ohnehin über deren Server, die Sie nicht kontrollieren.
Umgekehrt kann ein gehosteter Dienst von einem europäischen Unternehmen betrieben werden, das allein die Hoheit über die Daten behält, mit nachvollziehbaren Zugriffen und einem schriftlich geregelten Ausstieg. Der Standort bleibt ein nützliches Element, insbesondere für das Verzeichnis von Verarbeitungstätigkeiten. Die Seite Hosting und Souveränität beschreibt die von Klytic angebotenen Varianten.
Der vergessene Aufwand
Ein mittelständisches Unternehmen kann die Kontrolle wollen, ohne die Rufbereitschaft zu wollen. Bevor Sie ein E-Mail-System ins Haus holen, erfassen Sie, was der Betrieb tatsächlich erfordert.
- Überwachung. Eine wachsende Warteschlange, eine volllaufende Festplatte, ein ablaufendes Zertifikat, eine IP-Adresse auf einer Sperrliste. Jede Warnung muss jemanden erreichen, auch am Wochenende.
- Ausfall. Wenn der Server stillsteht, halten die Absender die E-Mails in ihrer Warteschlange und versuchen es erneut: Eingehende E-Mails warten. Aber niemand liest oder sendet, und die Telefone synchronisieren nicht mehr. Eine einzige Internetverbindung oder eine einzige Stromversorgung wird zum Single Point of Failure.
- Netzwerk. Eine feste IP-Adresse, ein stimmiger Reverse-DNS-Eintrag, ein Provider, der ausgehende E-Mails durchlässt: Ohne sie landen Ihre Nachrichten bei Ihren Korrespondenzpartnern im Spam.
- Erneuerung. Die Hardware altert, Betriebssystem und E-Mail-Software haben ein Support-Ende. Ein größeres Versions-Upgrade wird wie ein kleines Projekt vorbereitet.
- Kompetenzen. Wenn nur eine Person den Dienst neu starten kann, ist ihr Urlaub ein Risiko. Dokumentation und Vertretung gehören zu den Kosten.
Beispiel. Ein Industrieunternehmen mit 60 Mitarbeitenden (hypothetischer Fall) verfügt über einen Serverraum und möchte, dass seine Konstruktionspläne den Standort nicht verlassen. Es installiert das E-Mail-System in den eigenen Räumen, überträgt den Betrieb aber per Fernzugriff einem Dienstleister: Updates, Überwachung, Wiederherstellungen. Sein IT-Verantwortlicher behält die Hoheit über Hardware und Netzwerk. Das Unternehmen hat den gewünschten Standort, ohne die Rufbereitschaft allein zu tragen. Es muss noch schriftlich festhalten, wohin die Backups gehen und wer sich anmelden darf.
Wie Sie entscheiden
Die betriebene Cloud passt, wenn Sie schnell starten wollen, ohne Betriebsteam, und Ihnen die logische Abschottung und die schriftlichen Zusagen des Betreibers genügen.
Die dedizierte Instanz passt, wenn ein Auftraggeber, eine regulierte Branche oder eine Gruppe mit mehreren Gesellschaften verlangt, dass Ihre Daten nicht neben denen anderer Kunden liegen, ohne dass Sie deshalb selbst betreiben wollen.
Die eigenen Räume passen, wenn die Daten den Standort nicht verlassen dürfen, wenn das Netzwerk isoliert werden können muss oder wenn Verzeichnisdienst und Infrastruktur bereits vorhanden sind und gepflegt werden.
Die eigenen Räume sind eine schlechte Wahl, wenn sie nur dazu dienen, „souverän zu sein“, ohne dass jemand Zeit für den Betrieb oder für ein Backup außerhalb des Standorts hat.
Die Funktionen, die Sie unabhängig vom Modell verlangen sollten, finden Sie in was ein geschäftliches E-Mail-System leisten muss. Backup und Wiederanlauf nach einem Ausfall werden in Backup, Löschung und Kontinuität behandelt. Zum Vergleich europäischer Anbieter siehe ein europäisches Business-E-Mail-System wählen.
Häufige Fragen
Sollte man seinen E-Mail-Server selbst hosten?
Nur wenn Sie einen Grund haben, die Maschine vor Ort zu behalten, und jemanden, der sie betreibt, oder einen damit beauftragten Dienstleister. Für die reine Frage der Souveränität zählen Betreiber und Vertrag mehr als der Standort.
Ist ein dediziertes E-Mail-System sicherer als eine gemeinsame Cloud?
Es beseitigt die Nachbarschaft mit anderen Kunden. Es ändert allein weder, wer ein Postfach öffnen kann, noch die Qualität der Backups. Vergleichen Sie diese beiden Punkte schriftlich.
Kann man später das Modell wechseln?
Ja, sofern sich die Postfächer in einem Standardformat exportieren lassen und die Domain auf Ihren Namen eingetragen ist. Die Methode ist die einer Migration ohne Unterbrechung.
Muss die Filterung am selben Ort wie die Postfächer sein?
Nein. Ein Sicherheits-Gateway kann dem E-Mail-System vorgeschaltet sein, an einem anderen Ort. Der Ratgeber integrierter Filter oder Gateway erklärt diese Wahl.
Wo Klytic steht
Klytic Mail wird in allen drei Modellen angeboten: in der gemeinsam genutzten, pro Kunde abgeschotteten Architektur von Klytic, in einer dedizierten Instanz oder beim Kunden. Unabhängig von der Variante betreibt Klytic die Plattform: Wartung, Updates, Sicherheit, Überwachung und Aufrechterhaltung der Betriebsbereitschaft. Der dedizierte Server wird nach Angebot eingerichtet. Ein späterer Wechsel von einer Variante zur anderen ist möglich.
Das Hosting ist in jeder geografischen Zone möglich, die der anwendbaren Rechtsordnung entspricht, vorbehaltlich der Verfügbarkeit der Dienste, insbesondere in Europa oder auf Mauritius, oder auf den Servern des Kunden.
Klytic Mail ist das E-Mail-System. Klytic MTA ist das vorgeschaltete Gateway, das die E-Mails filtert; ein gemischter Betrieb ist möglich, zum Beispiel die Filterung bei Klytic und das E-Mail-System bei Ihnen. Einzelheiten zum Filter finden Sie in integrierter Filter oder Gateway.
Der Zugriff auf die E-Mail-Konten der Kunden ist den Klytic-Teams untersagt; technische Zugriffe werden kontrolliert und auditiert. Die Nachrichten werden im Ruhezustand mit von Klytic verwalteten Schlüsseln verschlüsselt, was die Speichermedien schützt; für einen für Klytic unlesbaren Inhalt verschlüsselt der Kunde Ende-zu-Ende mit seinem eigenen privaten Schlüssel, zum Beispiel mit S/MIME.
Was das Angebot nicht abdeckt: ein E-Mail-System, das Sie allein, ohne Klytic, auf Ihrem Server betreiben. Klytic ist nicht SecNumCloud-qualifiziert; verlangt ein Auftraggeber dies, erfüllt dieses Angebot die Anforderung nicht.
Diese Seite beschreibt einen allgemeinen Rahmen. Sie ersetzt nicht die Prüfung Ihres Vertrags und Ihrer Infrastruktur.
Quellen
Abgerufen im Oktober 2026.
- Klytic, E-Mail: Hosting-Varianten von Klytic Mail (Rechenzentren der Zone, dedizierter Server, Räumlichkeiten des Kunden) und Optionen. klytic.com
- Klytic, Hosting und Souveränität: drei Bereitstellungsarten, gemischter Betrieb, späterer Wechsel der Variante. klytic.com
- Klytic, Was ist eine souveräne Cloud?: Betreiber, anwendbares Recht, Ausstieg; Verwahrung der Schlüssel und Verbot des Zugriffs auf Postfächer für die Klytic-Teams. klytic.com
- Klytic, Ein europäisches Business-E-Mail-System wählen: Betrieb durch Klytic unabhängig von der Hosting-Variante. klytic.com
