AWS für KMU Schweiz 2026:
Region Zürich, Kosten, revDSG

Kurz vorweg: AWS Region Zürich (eu-central-2) ist seit November 2022 produktiv – drei AZs, 200+ Services, Daten physisch in der Schweiz. Vertragspartner: AWS EMEA SARL (Luxemburg). revDSG-konform mit AWS DPA, ISO 27001/27017/27018/27701, SOC 1/2/3 und FINMA-Cloud-Modul. AWS European Sovereign Cloud kommt 2025/26 als zusätzliche Souveränitäts-Schicht. Kosten ca. 5–10% über eu-west-1 (Irland). Für KMU ohne tiefe M365/AD-Verflechtung oft die bessere Wahl als Azure – breiterer Katalog, mehr OSS-Reife, stärkere Daten- und ML-Plattform.

• Identity & Office: Azure gewinnt bei M365/Entra-ID-zentrischen KMU. AWS bietet IAM Identity Center mit SAML/OIDC zu Entra, aber tiefer integriert ist Azure.
• Service-Breite: AWS hat den breiteren Katalog, vor allem bei Datenbanken (DynamoDB, Aurora, DocumentDB, Neptune, Timestream, Keyspaces), Streaming (Kinesis, MSK) und Serverless (Lambda, Step Functions).
• KI-Plattform: AWS Bedrock mit Claude, Llama, Nova, Mistral; SageMaker als ML-Plattform. Azure mit OpenAI exklusiv und KI-Foundry. Beide eu/ch-fähig, Modell-Auswahl unterschiedlich.
• Container & Kubernetes: EKS ist reifer als AKS, ECS Fargate als serverless Container-Option ohne Cluster-Verwaltung – Azure Container Apps holt auf.
• Datenresidenz: Beide in der Schweiz mit 3 AZs – patt. AWS European Sovereign Cloud + Azure EU Data Boundary + Confidential Cloud spielen ähnlich.
• Kosten: AWS hat detailliertere Pricing, mehr Granularität (Savings Plans, Spot), Azure mit Hybrid Use Benefit attraktiver bei Windows/SQL-Server-Bestand.
• Hybrid: Azure Arc ist tiefer in On-Prem AD/Windows integriert, AWS Outposts für Hybrid teurer, aber konsistenter API-mässig.
• Ökosystem: AWS mit grösserem Partner-/MSP-Markt global; Azure mit stärkerer DACH-Microsoft-Partner-Präsenz.
• Lock-in: Beide hoch – Multi-Cloud bewusst, mit IaC (Terraform), Container und offenen Datenformaten reduzieren.
• Empfehlung pragmatisch: Azure als Identity/Office-Plattform, AWS für Daten-/SaaS-/ML-Workloads. Multi-Cloud bewusst, nicht versehentlich.

• Region-Aufschlag eu-central-2: ca. 5–10% über eu-west-1 (Irland). Für Workloads ohne Schweizer Datenresidenz-Pflicht kann eu-west-1 / eu-central-1 (Frankfurt) günstiger sein – revDSG-Bewertung pro Workload.
• Compute Savings Plans: bis zu 66% gegenüber On-Demand bei 1- oder 3-Jahres-Commit auf Compute-Volumen (EC2, Fargate, Lambda). Pragmatisch: Baseline (60–70% der Workloads) als Savings Plan, Rest On-Demand/Spot.
• Reserved Instances bei RDS und ElastiCache: 30–55% Rabatt bei Commit – sinnvoll für stabile DB-Workloads, nicht für dev/test.
• Spot Instances für Batch, ML-Training, CI: 70–90% günstiger als On-Demand, erfordert Workload-Toleranz für Interruptions.
• S3 Intelligent-Tiering automatisch: Daten ohne Zugriff in 30 Tagen wandern automatisch in IA, Archive Access, Deep Archive – ohne Lifecycle-Konfiguration.
• Egress-Kosten: Datenausgang ins Internet kostet (ab USD 0.09/GB) – CloudFront vor S3 reduziert via Free-Tier und Cache. Direct Connect statt Internet bei hohem Volumen.
• NAT Gateway: USD 0.045/h + USD 0.045/GB – schnell teuer bei viel Egress. VPC Endpoints für S3/DynamoDB, NAT Gateway pro AZ minimieren.
• Unused EBS-Volumes, Snapshots, Elastic-IPs: regelmässig per AWS Compute Optimizer / Trusted Advisor / Cost Explorer aufräumen – oft 5–15% Sparquote ohne Workload-Eingriff.
• CloudWatch Logs Retention: Default unbegrenzt – Retention auf 30/90 Tage setzen, Cold-Logs nach S3 archivieren. Spart oft mehrere hundert Franken/Monat.
• FinOps-Disziplin: monatliches Cost-Anomaly-Detection, AWS Budgets mit Alerts, Cost Allocation Tags – ohne Cost-Hygiene kein Cloud-Profit.

• Region versehentlich us-east-1: AWS-Konsole-Default ist oft N. Virginia – ohne SCP-Lock landen Daten ungewollt in den USA. Region-Lock per Service Control Policy ist Pflicht.
• Root-Account ungeschützt: Root-Credentials ohne MFA und ohne harten Schlüssel = Katastrophen-Risiko. MFA-Hardkey + Verschluss in Tresor, Root nur für ganz wenige Tasks.
• IAM-User für Menschen statt Federation: jedem Mitarbeiter eigenen IAM-User mit Access-Key zu geben ist Anti-Pattern – Federation via Identity Center mit MFA und Just-in-Time.
• Egress-Kosten unterschätzt: Data-Out, NAT-Gateway-Traffic, Cross-AZ-Replikation summieren sich – VPC Endpoints, CloudFront, AZ-bewusste Architektur einplanen.
• CloudWatch Logs ohne Retention: unbegrenzte Aufbewahrung kostet schnell mehrere hundert Franken – immer Retention setzen, Cold-Logs nach S3.
• Keine Cost Allocation Tags: ohne Tagging keine FinOps – Kosten lassen sich nicht auf Workloads, Teams, Kunden zurechnen. Tag-Strategie von Tag 1.
• Backup-Plan ohne Restore-Test: Backup ohne erfolgreich getesteten Restore ist Hoffnung, kein Schutz. Quartals-Test pflichtmässig dokumentieren.
• Multi-Account-Strategie ignoriert: alles in einem Account schafft Blast-Radius – Trennung in Prod/Dev/Security/Logs ist nicht Overkill, sondern Hygiene.
• Lambda Cold-Starts ignoriert: für lateny-sensitive APIs Provisioned Concurrency oder Container Image mit Init-Optimization einplanen.
• Bedrock ohne Guardrails: Generative-AI-Aufrufe ohne Filter, ohne Prompt-Injection-Schutz und ohne Logging sind ein Compliance-Risiko – Guardrails Pflicht.