Kurz vorweg: Region europe-west6 in Zürich seit 2019, drei Zonen, Core-Services breit verfügbar. Stärken: BigQuery als Daten-Plattform, Vertex AI mit Gemini, GKE Autopilot bei Kubernetes. Schwächen: weniger Service-Breite als AWS, weniger M365-Integration als Azure, in DACH kleinerer Partner-Markt. revDSG-konform mit Region-Lock, CMEK/EKM, VPC Service Controls, Assured Workloads. Vertragspartner: Google Cloud EMEA Ltd. (Irland). Empfehlung: GCP bewusst für Daten- und KI-Workloads, nicht als „Mal-eben-Cloud".
GCP Region europe-west6 (Zürich)
Drei Zonen ab 2019
europe-west6-a/b/c als drei physisch getrennte Zonen im Grossraum Zürich. Multi-Zone-Deployments für Hochverfügbarkeit bei GKE, Cloud SQL, Spanner und Cloud Storage Multi-Regional.
Core-Services verfügbar
Compute Engine, Cloud Storage, BigQuery, Cloud SQL (Postgres/MySQL/SQL Server), GKE, Vertex AI, Pub/Sub, Cloud Run, Cloud Functions, Memorystore, Dataflow, Dataproc.
Datenstandort Schweiz
Daten, die in europe-west6 abgelegt werden, bleiben physisch in der Schweiz. Cross-Region-Replikation explizit konfigurierbar – nicht automatisch.
Compliance-Belege
ISO 27001/27017/27018/27701, SOC 1/2/3, PCI DSS, BSI C5, HIPAA, FINMA-Cloud-Modul. Reports via Trust & Compliance Center und Cloud Compliance Manager.
Netzwerk Premium Tier
Globales Backbone-Netzwerk Googles als „Premium Tier" – Traffic über Google-Fiber, nicht öffentliches Internet, zwischen Regionen. Geringere Latenz für globale Workloads.
Edge-Standorte CH
Cloud CDN- und Cloud Armor-Edge-Standorte in der Schweiz, zusätzlich Interconnect-Punkte für Direktanbindung an die GCP-Backbone (Zürich, Genf).
Wo GCP für KMU besonders glänzt
BigQuery als Daten-Plattform
Serverless Data-Warehouse mit Pay-per-Query, automatischer Skalierung, BigQuery ML für In-Database-AI, BigQuery Omni für Multi-Cloud-Queries auf AWS/Azure-Daten. Ideal als KMU-Single-Source-of-Truth für Bexio, Salesforce, Shop, Marketing.
Vertex AI – Gemini, Imagen, Veo
Gemini 2 Pro/Flash für Text, Multimodal-Modelle für Bild/Video, Imagen für Bildgenerierung, Veo für Video. Model Garden mit Claude, Llama, Mistral. Agent Builder für Multi-Step-Agenten, Vertex AI Search für RAG.
Kubernetes mit GKE Autopilot
Cluster-Verwaltung komplett abstrahiert: Nodes provisioniert Google, Patches automatisch, Pricing pro Pod-Ressource. Für KMU ohne Plattform-Team der pragmatischste Container-Einstieg. Workload Identity Federation zu IAM.
Cloud Run für Serverless Container
Container als Service, Cold-Start <500ms, Scale-to-Zero, Pay-per-Request. Ideal für APIs, Webhook-Endpunkte, Event-getriebene Workloads. Mit Cloud Run Functions als Lambda-Äquivalent.
Looker & Looker Studio
Self-Service-BI direkt auf BigQuery, LookML als versioniertes Datenmodell, Embedding in Web-Apps möglich. Looker Studio (ehemals Data Studio) als kostenloses Reporting-Tool für KMU.
Workspace-Integration
Wenn ein KMU bereits Google Workspace nutzt, ist GCP der natürliche Identity-/Daten-Anker. Cloud Identity, Federation zu Workspace, Drive-Connectoren in BigQuery und Vertex AI – nahtlos.
GCP vs. AWS vs. Azure – Schweizer KMU-Perspektive
- Identity & Office: Azure mit M365/Entra dominiert, Google Workspace + Cloud Identity wenn schon im Haus, AWS neutral via Federation.
- Data Warehouse: BigQuery ist der Goldstandard für serverless Analytics – Snowflake auf GCP/AWS/Azure als unabhängige Alternative. Synapse (Azure) und Redshift (AWS) hinken oft hinterher.
- KI / LLMs: Vertex AI mit Gemini Multimodal sehr stark, AWS Bedrock mit Claude/Llama/Nova breit, Azure OpenAI mit GPT-5-Generation exklusiv. Modell-Wahl je nach Use Case.
- Kubernetes: GKE gilt als reifster Managed-Kubernetes, EKS sehr nahe, AKS holt auf. GKE Autopilot abstrahiert am stärksten.
- Serverless: Cloud Run vs. Lambda vs. Container Apps – alle drei taugen, Cloud Run mit längeren Request-Limits und einfacherem Container-Modell.
- Networking: GCP Premium Tier global, AWS Global Accelerator, Azure Front Door – ähnliche Klasse, jeweils mit Eigenheiten.
- Pricing: GCP oft am Listenpreis günstig, Committed-Use-Discounts (1/3 Jahre) mit 25–55% Rabatt, Sustained-Use automatisch. AWS Savings Plans und Spot stärker granular.
- Compliance: alle drei mit FINMA, ISO, SOC – patt für KMU.
- Partner-Markt DACH: Microsoft am breitesten, AWS solide, Google mit kleinerem Partner-Footprint – mehr Eigenleistung oder Spezialisten nötig.
- Faustregel KMU: Azure für Office/Identity, AWS für Generalisten-Workloads, GCP für Daten- und KI-zentrische Use Cases. Multi-Cloud bewusst, nicht versehentlich.
revDSG / EDÖB / FINMA – das richtige Setup
Organization Policy: Region-Restriction
Konstante "constraints/gcp.resourceLocations" auf europe-west6 (und ggf. europe-west3 als DR) limitieren – verhindert versehentliches Anlegen von Ressourcen in us-central1. Org-weit über alle Projekte.
CMEK + Cloud EKM (External Key Manager)
Customer-Managed Encryption Keys via Cloud KMS – Schlüssel-Hoheit beim Kunden. Cloud EKM erlaubt Schlüssel ausserhalb GCP (bei Schweizer HSM-Anbietern wie Securosys, Adnovum) – stärkster Souveränitäts-Hebel gegen Cloud-Act.
VPC Service Controls
Daten-Perimeter um sensible Services (BigQuery, Cloud Storage, Vertex AI) – verhindert Exfiltration auch bei kompromittierten Credentials. Pflicht bei sensiblen Workloads.
Assured Workloads – EU Sovereign Controls
Compliance-Profil, das nur EU-Personal, EU-Support und kontrollierte Datenflüsse erlaubt. Für besonders schutzbedürftige Daten als zusätzliche Souveränitäts-Schicht.
Cloud Logging & Audit Logs
Admin-Activity- und Data-Access-Logs zentral in einer Log-Bucket sammeln, Object-Versioning + Bucket-Lock für Tamper-Schutz. Export nach BigQuery für SIEM-Korrelation oder zu Sentinel/Splunk.
Identity Federation
Workforce Identity Federation zu Entra ID, Okta oder Workspace – keine eigenen GCP-User für Menschen. MFA, Conditional Access, Just-in-Time via IAM Conditions.
Security Command Center
Premium-Tier-SCC als zentraler Findings-Hub – CIS-Benchmarks, vulnerabilities, misconfigurations, sensitive-data-leak detection. Integration mit Chronicle (SecOps) für SOC-Workloads.
Backup, Snapshot, Restore-Test
Backup for GKE, Cloud SQL automated Backups mit PITR, BigQuery Time Travel + Snapshots, Snapshots auf Cloud Storage immutable Buckets. Quartals-Restore-Test pflichtmässig.
Kosten und Sparpotenzial
- Region-Aufschlag europe-west6: ca. 5–10% über europe-west3 (Frankfurt) oder europe-west4 (Niederlande). Lohnt sich bei Schweizer-Datenresidenz-Pflicht.
- Compute Engine Sustained-Use: automatischer Rabatt bei >25% Monatsnutzung – ohne Commit, ohne Aktion. 10–30% Sparquote bei Always-On-Workloads.
- Committed Use Discounts (CUDs) – 1 oder 3 Jahre Commit auf Compute, GKE, Cloud SQL: 25–55% Rabatt. Pragmatisch für Baseline-Workloads.
- BigQuery: On-Demand $6.25/TB Query (eu-region), Editions (Standard/Enterprise/Plus) für stabile Workloads oft günstiger. Slot Commits für High-Volume planbar.
- BigQuery BI Engine: In-Memory-Cache für interaktive Dashboards – spürbar schneller, moderater Aufpreis.
- Cloud Storage Tiers: Standard / Nearline (30 d) / Coldline (90 d) / Archive (365 d). Lifecycle-Policies automatisch tiering – ähnlich AWS S3.
- Network Egress: 0.08–0.12 USD/GB ab europe-west6 nach Internet, deutlich teurer als Inter-Region. Cloud CDN vor öffentliche Endpunkte reduziert Egress massiv.
- Vertex AI Gemini: Gemini 2 Flash ab USD 0.075/M Input Tokens, Pro mehr – günstig für RAG/Agent-Workloads. Batch-Pricing für Bulk-Inference deutlich günstiger.
- Idle Resources aufräumen: Cloud Recommender zeigt ungenutzte VMs, IPs, Disks, BigQuery-Daten – wöchentlicher Triage spart 5–15% ohne Workload-Eingriff.
- Budgets & Alerts mit Pub/Sub Trigger: bei Schwellwert automatische Quoten-Reduktion oder Slack-Alarm – verhindert Cost-Anomalien wie versehentliche $50K-Query.
12-Wochen-Plan für GCP-Einstieg
Woche 1–2 – Resource Hierarchy
Organization einrichten (über Cloud Identity oder Workspace), Folder-Struktur (prod/dev/sandbox), Project-Naming, Org Policies für Region-Restriction, Disabling von externen IPs als Default.
Woche 3–4 – Identity, Networking, IAM
Workforce Identity Federation zu Entra/Okta/Workspace, IAM Roles strikt nach Least-Privilege, Shared VPC mit Host-Project, Private Service Connect, optional Interconnect zu On-Prem.
Woche 5–6 – Security & Logging
Security Command Center Premium aktivieren, Cloud Audit Logs in zentralen Log-Bucket, BigQuery-Export für SIEM, VPC Service Controls um sensible Services, Cloud Armor vor Public Endpoints.
Woche 7–8 – Pilot-Workload
Erstes Workload deployen: BigQuery-Data-Layer mit Bexio/Shop-Daten, ein Cloud-Run-Service oder ein GKE-Autopilot-Cluster. Terraform/IaC, CI/CD via Cloud Build oder GitHub Actions.
Woche 9–10 – Daten- und KI-Plattform
BigQuery als Data-Layer mit Datasets, Authorized Views, Dataform für Transformationen. Vertex AI für ersten Use Case (RAG, Klassifikation, Generierung). Looker Studio für Reporting.
Woche 11–12 – FinOps & Operational Readiness
Cloud Billing mit Budget-Alerts, Pub/Sub-Triggers, Cost Allocation Labels, CUD-Erstkauf nach 30 Tagen Baseline. Runbooks, Schulung Team, DR-Test, nächste Use Cases priorisieren.
Typische Stolpersteine
- Default-Region us-central1: GCP-Konsole-Default in vielen Quickstarts – ohne Org-Policy landen Daten in den USA. Region-Restriction Org-weit setzen.
- BigQuery-Query-Cost-Explosion: SELECT * FROM grosse_tabelle ohne LIMIT/WHERE scannt TB-Daten – Reservation/Cap, Maximum-Bytes-Billed, Query Plan Cache nutzen.
- Service-Account-Keys herumliegen: JSON-Keys auf Laptops sind Anti-Pattern – Workload Identity Federation für GCP-zu-Anderswo, Workload Identity für GKE-Pods.
- IAM zu permissiv: roles/owner oder roles/editor breit vergeben = Compliance-Risiko – Least-Privilege mit Custom Roles, IAM Conditions, Just-in-Time via Access Approval.
- Cloud Run public ohne Auth: Default ist ungeschützter Public Endpoint – „Allow unauthenticated" nur bewusst, sonst IAM-Pflicht oder Identity Aware Proxy.
- Vertex AI ohne Logging: Generative-AI-Aufrufe ohne Audit-Trail sind Compliance-Risiko – Prompt-/Response-Logging in BigQuery, Guardrails konfigurieren.
- GKE Standard statt Autopilot: Standard erfordert Node-Management, Patches, Skalierung – Autopilot abstrahiert das, bei vergleichbaren Kosten meist die KMU-Wahl.
- Cloud Storage Buckets public lesbar: häufiger Misskonfigurations-Vorfall – Public-Access Prevention org-weit Pflicht, Bucket-IAM strikt.
- BigQuery Cross-Region-Copies vergessen: Verfügbarkeit innerhalb Region hoch, aber bei Region-Ausfall keine DR – Cross-Region-Replication für kritische Datasets.
- Sustained-Use vs. CUD nicht verstanden: 1-Jahres-CUD lohnt nur bei >50% Baseline-Auslastung – sonst Sustained-Use günstiger.
Fazit: GCP gezielt einsetzen, nicht als „Mal-eben-Cloud"
Google Cloud ist 2026 in der Schweiz angekommen – Region Zürich, drei Zonen, FINMA-/EDÖB-tauglich, mit zwei klaren Stärken: BigQuery als Datenplattform und Vertex AI mit Gemini als KI-Stack. Für KMU, die analytische Workloads, Marketing-Datenhaushalte, Generative-AI-Anwendungen oder Kubernetes-First-Strategien fahren, ist GCP oft die beste Wahl – nicht weil es „besser" als AWS oder Azure ist, sondern weil die Plattform in diesen Disziplinen führt.
Wer GCP versucht als allgemeinen Microsoft-365-Ersatz oder als Universal-IT-Plattform, wird enttäuscht – der Partner-Markt in der DACH-Region ist schmaler als Azure/AWS, Identity-Themen brauchen Federation, der Service-Katalog ist breit, aber nicht so tief wie AWS. Pragmatischer Weg: GCP als Daten-/KI-Spezialist neben Azure (Identity/Office) oder AWS (Generalist), mit klarer Use-Case-Matrix. Eine 12-Wochen-Landing-Zone mit Org-Policies, Federation, VPC Service Controls und FinOps-Disziplin macht GCP für Schweizer KMU produktiv und revDSG-sauber – ohne Lock-in-Schmerz.
GCP-Einstieg pragmatisch und sauber
Wir konzipieren Ihre GCP-Landing-Zone mit Region Zürich, Federation, VPC Service Controls und Daten-/KI-Pilot in 12 Wochen – revDSG-konform und mit FinOps-Disziplin.
Beratung anfragen