Azure Blob Storage: Tiers, Preise & Best Practices für KMU (2026)

Inhalt in Kürze

• Azure Blob Storage ist Microsofts objektbasierter Cloud-Speicher — pro GB abgerechnet, bis 5 PiB pro Storage Account, ideal für Backups, Archive, Static Websites und IoT-Telemetrie.
• Vier Tiers steuern die Kosten: Hot (~18 €/TB/Monat), Cool (~10 €), Cold (~3,60 €), Archive (~0,99 €). Der richtige Tier-Mix senkt die Rechnung um 60–90 %.
• Sicherheit steht und fällt mit dem Zugriffsmodell: RBAC über Azure AD schlägt Shared Keys und offene SAS Tokens. Soft Delete, Versioning und Immutable Blobs schützen gegen Ransomware.
• Azure Backup für Blobs (seit 2023 GA) liefert echtes 3-2-1-Backup — auch wenn ein Angreifer den ganzen Storage Account löscht.
• Typische Fallen: fehlende Lifecycle Rules, offene SAS Tokens, Archive für Hot-Daten, kein Private Endpoint. Räumen wir bei Hamburger Kunden regelmäßig auf.

Azure Blob Storage ist der günstigste Baustein im Microsoft-Cloud-Stack — und der mit den meisten Kostenfallen. Wer ihn richtig einsetzt, speichert 100 TB zum Preis eines einzigen lokalen NAS. Wer ihn falsch einsetzt, zahlt am Monatsende das Vierfache und wundert sich über „die Cloud-Kosten”.

Dieser Leitfaden erklärt, was Blob Storage ist, welche Tier-Struktur wirklich Geld spart, wie Security und Backup sauber aufgesetzt werden und wo der Dienst in einem KMU-Stack sinnvoll ist — und wo nicht.

Was ist Azure Blob Storage?

Azure Blob Storage ist Microsofts objektbasierter Cloud-Speicherdienst für unstrukturierte Daten. Daten werden als Blobs (Binary Large Objects) in Containern abgelegt, die zu einem Storage Account gehören. Zugriff erfolgt über REST-API, SDKs (.NET, Java, Python, Node.js, Go), den Azure Storage Explorer oder Tools wie AzCopy und Rclone.

„Unstrukturiert” heißt alles, was nicht in eine klassische Datenbank gehört: Backups, VM-Images, Bilder, Videos, PDFs, Log-Dateien, IoT-Telemetrie, Trainingsdaten für KI-Modelle. Drei Blob-Typen sind im Einsatz: Block Blobs (bis 190,7 TiB, Standard für Dateien und Backups), Append Blobs (bis 195 GiB, für Log-Dateien) und Page Blobs (bis 8 TiB, für VM-Festplatten und Managed Disks). Ein einzelner Storage Account verträgt bis 5 PiB und 20.000 Transaktionen pro Sekunde — für einen Hamburger Mittelständler mit 100 Mitarbeitern Grenzen, die man in der Realität nie erreicht.

Tiers: Hot, Cool, Cold und Archive — was wirklich spart

Die vier Access Tiers sind der wichtigste Kosten-Hebel. Jeder Blob bekommt einen Tier zugewiesen, der festlegt, wie teuer Speicher und Zugriff sind — je seltener Sie zugreifen, desto günstiger der Tier, aber auch desto langsamer der Abruf. Alle Preise unten: West Europe / LRS, erste 50 TB, Stand April 2026.

Quelle: Microsoft Azure Pricing — Blob Storage. Aktuelle Werte im Azure Preisrechner prüfen.

Wichtig: Die Preise pro GB sind nur die halbe Wahrheit. Die andere Hälfte sind Transaktionen (jede PUT, GET, LIST kostet), Egress (ausgehend über 100 GB/Monat ca. 0,075 €/GB) und Redundanz (GRS ×2, RA-GRS ×2,5).

Lifecycle Management — automatisch in den günstigeren Tier

Der Trick ist nicht, alles in Archive zu kippen, sondern automatisiert zu verschieben. Azure bietet dafür Lifecycle Management Policies — JSON-Regeln pro Storage Account, die Blobs nach Alter oder letztem Zugriff umsortieren. Typische Kaskade: Tag 0–30 in Hot (aktiv gelesen), ab Tag 30 automatisch in Cool (–46 %), ab Tag 90 in Cold (–80 %), ab Tag 365 in Archive (–95 %).

Praxis-Beispiel: Ein Kunde hatte 40 TB in Hot liegen (rund 740 €/Monat), 85 % davon älter als ein Jahr. Nach einer sauberen Lifecycle-Policy lagen 34 TB im Archive — Monatsrechnung runter auf ~130 €. Keine Funktionalität verloren.

Einsatzszenarien: Wo Blob Storage wirklich passt

Nicht jede Datei gehört in Blob Storage. Hier sind die vier Szenarien, in denen sich der Dienst bei KMU-Kunden durchgesetzt hat:

1. Backup-Zielspeicher (Secondary oder Tertiary). Klassisches 3-2-1-Backup: lokales NAS + Offsite-Replikation nach Azure Blob. Veeam, Commvault, Acronis und Azure Backup schreiben direkt in den Cool- oder Cold-Tier. Kombiniert mit Immutable Blobs ist das ein Ransomware-geschützter Offsite-Speicher für wenige Euro pro TB.

2. Langzeitarchiv (Compliance). Steuerbescheide, Baupläne, Patientenakten, Maschinenprotokolle — Daten, die laut HGB, AO oder DSGVO 6, 10, 30 Jahre aufbewahrt werden müssen. Archive-Tier + Immutable Policy = gerichtsfester Aufbewahrungsspeicher zum Bruchteil der Bandspeicher-Kosten. Wer prüfen muss, ob Archivdaten zusätzlich auf einer EU-souveränen Plattform liegen sollen, findet die Entscheidungskriterien in unserem Strategie-Pillar zur Sovereign Cloud 2026.

3. Static Websites und IoT-Telemetrie. Für kleine Marketing-Sites oder React/Vue-Frontends ist der eingebaute Static Website-Modus plus Azure Front Door ein sehr günstiger Weg. Für Sensoren und Log-Streams schreiben Append Blobs mit hohem Durchsatz; Lifecycle-Regeln verschieben alte Telemetrie automatisch ins Archiv. Eine Hamburger Maschinenbaufirma speichert so 2 Jahre Sensordaten für rund 40 €/Monat.

Die meisten Kunden denken bei „Cloud-Storage" an OneDrive oder SharePoint. Blob Storage ist was anderes: Das ist der Maschinenraum hinter den Kulissen — ideal für Backups, Archive und große Datenmengen. Der Clou sind die Tiers: Mit einer vernünftigen Lifecycle-Policy schrumpft die monatliche Rechnung auf einen Bruchteil. Das haben wir bei mehreren Kunden gemacht — 60 bis 80 Prozent Ersparnis sind realistisch, ohne dass jemand auf eine Datei verzichten muss.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

Integration mit Azure Backup und Site Recovery

Ein Storage Account alleine ist noch kein Backup — er ist nur ein Speicherort. Zum echten Backup-Setup gehören Versionierung, Wiederherstellungspunkte und Schutz vor Ausfällen und Angriffen. Microsoft liefert dafür zwei produktreife Bausteine:

Azure Backup für Blobs (seit 2023 allgemein verfügbar) kommt in zwei Varianten: Operational Backup nutzt Soft Delete + Versioning + Point-in-Time Restore — keine zweite Datenkopie, günstig, aber keine Absicherung gegen einen komplett gelöschten Storage Account. Rückwärts-Wiederherstellung bis 360 Tage. Vaulted Backup schreibt eine separate, verschlüsselte Kopie in einen Recovery Services Vault — das echte 3-2-1-Backup, das auch überlebt, wenn jemand Subscription oder Azure-AD-Tenant kompromittiert. Für produktive Daten lohnt sich Vaulted Backup immer.

Azure Site Recovery (ASR) ist keine Backup-, sondern eine Disaster-Recovery-Replikation — für Azure VMs zwischen zwei Regionen. Für reinen Blob-Content (Backups, Archive) ist ASR overkill; GRS oder RA-GRS reicht.

Mehr Tiefe in unseren Artikeln Azure Kosten senken und Cloud Backup und Datensicherung Hamburg.

Redundanz — das zweite Preis-Stellrad

Neben dem Tier legt die Redundanz fest, wie oft Azure jede Datei kopiert: LRS (3 Kopien, ein Rechenzentrum, Faktor 1×) für Test und unkritische Backups, ZRS (3 Kopien über Availability Zones, ~1,25×) für moderat kritische Produktion, GRS (6 Kopien über 2 Regionen, ~2×) für Compliance und DSGVO-Archive, RA-GRS (~2,5×) wenn die Zweitkopie lesbar sein muss.

Faustregel aus der Praxis: Für Backups reicht LRS völlig — die eigentliche Redundanz kommt durch das 3-2-1-Modell (Original + NAS + Cloud). Für Compliance-relevante Archive ist GRS sinnvoll. Alles darüber ist meist Marketing-getrieben und selten nötig.

Security: SAS Tokens, RBAC, Azure AD und Encryption

Blob Storage ist verschlüsselt out-of-the-box (AES-256). Die echte Security-Frage ist: Wer darf wann auf welchen Blob zugreifen? Hier liegen die meisten Fehler, die wir in Security-Checks bei Hamburger Neukunden finden.

Die vier Zugriffsmodelle — in Reihenfolge zunehmender Sicherheit:

1. Public Access (Anonymous): Jeder mit der URL liest den Blob. Nur für explizit öffentliche Inhalte — seit 2023 standardmäßig deaktiviert.
2. Shared Key (Account Key): Ein symmetrischer Master-Key. Bei Leak ist der ganze Account offen. Sollte nicht mehr für Anwendungen verwendet werden.
3. SAS Tokens (Shared Access Signatures): Zeitlich und berechtigungsmäßig begrenzte URLs. Pflicht: Ablaufzeit setzen, IP-Range einschränken, HTTPS erzwingen, Audit-Log aktiviert.
4. Azure AD + RBAC: Rollen statt Keys. Zugriff läuft über Azure AD Identities — inklusive MFA, Conditional Access und Audit-Trail. Der Goldstandard.

Verschlüsselung ist out-of-the-box aktiv: Storage Service Encryption (SSE) mit AES-256 on disk, TLS 1.2+ erzwungen in transit, optional Client-Side Encryption vor dem Upload. Für höhere Compliance-Anforderungen — Kanzleien, Ärzte, Steuerberater — empfehlen wir Customer-Managed Keys (CMK): Die Schlüssel liegen im eigenen Azure Key Vault, Microsoft kommt nicht mehr an die Daten ran. Kostet ein paar Euro extra im Monat, bringt bei Datenschutz-Prüfungen enorme Ruhe.

Schutz vor Ransomware und versehentlichem Löschen läuft über vier Features: Soft Delete für Blobs (1–365 Tage) macht gelöschte Blobs wiederherstellbar, Soft Delete für Container bringt ganze Container zurück, Blob Versioning erzeugt bei jeder Änderung eine neue Version (Rollback bei Überschreibung), und Immutable Blobs (WORM) sind Write-Once-Read-Many — ein einmal geschriebener Blob kann für Tage bis Jahre nicht mehr geändert oder gelöscht werden, auch nicht vom Administrator. Perfekter Ransomware-Schutz und rechtssichere Aufbewahrung in einem.

Preise 2026: Rechenbeispiele für 1, 10 und 100 TB

Drei typische KMU-Szenarien mit realistischen Zahlen — West Europe, LRS, ohne Rabatte, Stand April 2026:

1 TB Backup (Hamburger Kanzlei, 15 Mitarbeiter): 300 GB Hot (~5,50 €) + 200 GB Cool (~2,00 €) + 500 GB Cold (~1,80 €) + Transaktionen/Egress (~2 €) = ~11–12 €/Monat. Vergleich: Ein lokales 2-Bay-NAS mit 2×4 TB kostet 600 € Einmalinvestition plus Strom und Backup-Disziplin.

10 TB Mix (Maschinenbau, 80 Mitarbeiter): 1 TB Hot (~18 €) + 1,5 TB Cool (~15 €) + 2,5 TB Cold (~9 €) + 5 TB Archive (~5 €) + Transaktionen/Egress (~15 €) = ~62 €/Monat. Ohne Lifecycle-Policy wären die 10 TB im Hot-Tier rund 184 € — fast das Dreifache.

100 TB Compliance-Archiv mit Georedundanz (Logistiker): 2 TB Hot (~37 €) + 8 TB Cold (~29 €) + 90 TB Archive (~89 €) + GRS-Aufschlag ×2 (~155 €) + Transaktionen/Egress (~30 €) = ~340 €/Monat für den rechtssicheren, geo-redundanten Ersatz eines Bandspeichers. Ein entsprechendes LTO-Tape-System kostet fünfstellig in der Anschaffung.

Häufige Fehler — 7 Dinge, die wir in Azure-Checks immer wieder sehen

Die Liste basiert auf Security- und Cost-Reviews, die wir regelmäßig für neue Azure-Kunden machen:

• 1. Alles im Hot-Tier. Storage Account wird angelegt, Daten geschrieben, niemand denkt je wieder dran. Nach 2 Jahren sind 15 TB im teuersten Tier. Fix: Lifecycle Management Policy nach Access-Age.
• 2. Public Access offen. Alte Container mit „Access Level: Blob" — publik erreichbar. Fix: „Allow Blob public access" auf Account-Ebene Disabled.
• 3. Shared Keys in Anwendungen. Account Key in `appsettings.json`, landet auf GitHub. Heute Standard: Managed Identity über Azure AD.
• 4. SAS Tokens ohne Ablauf oder IP-Range. „Never expire"-Tokens sind ein Geschenk an Angreifer. Jeder SAS braucht Ablaufdatum, IP-Einschränkung und minimale Rechte.
• 5. Keine Versionierung, kein Soft Delete. Bei einer Ransomware-Verschlüsselung wird die aktuelle Blob-Version überschrieben — ohne Versioning ist sie weg.
• 6. Archive als Tagesgeschäft. Jemand hat „billigster Tier = Archive" gelesen und alle Produktionsdaten dorthin verschoben. Die erste Wiederherstellung dauert 15 Stunden und kostet extra.
• 7. Kein Private Endpoint. Sensitive Storage Accounts direkt im öffentlichen Internet — weltweit erreichbar. Fix: Private Endpoint oder mindestens Firewall-Regel.

Checkliste: Blob Storage richtig einrichten

Vom leeren Subscription bis zum produktiven Storage Account in 60–90 Minuten:

• 1. Region wählen. Für DSGVO-Kunden: Germany West Central (Frankfurt) oder West Europe (Amsterdam). Für Georedundanz die zweite Region als Paarung.
• 2. Storage Account erstellen. Performance „Standard", Redundanz nach Bedarf (LRS für Backup, ZRS/GRS für Compliance), Access Tier „Hot" als Default — einzelne Container kriegen später via Lifecycle ihren eigenen Tier.
• 3. Security härten. „Secure transfer required" ON, „Allow Blob public access" OFF, TLS 1.2 minimum, „Allow Shared Key access" OFF (wenn die App Azure AD kann). Private Endpoint für sensitive Workloads.
• 4. RBAC statt Account-Keys. Azure AD Gruppen → Rollen „Storage Blob Data Reader/Contributor/Owner". Keine persönlichen Accounts direkt berechtigen.
• 5. Versionierung, Soft Delete, Change Feed aktivieren. Versioning ON, Blob Soft Delete 30 Tage, Container Soft Delete 30 Tage, Change Feed für den Audit-Trail.
• 6. Lifecycle Management Policy. Regeln nach Zugriffs-Alter (Hot → Cool nach 30 T. → Cold nach 90 T. → Archive nach 365 T.). Erst in Dev testen, dann in Prod übernehmen.
• 7. Azure Backup + Monitoring. Recovery Services Vault mit Vaulted Backup Policy für produktionskritische Daten, Cost Alerts bei Budget-Schwellen, Defender for Storage für Sicherheits-Monitoring.

Tieferer Einstieg in die Hamburger Cloud-Umsetzung steht in unserem Artikel Moderner Cloud Arbeitsplatz mit Microsoft 365 und in unserer Cloud & Microsoft 365 Hamburg Service-Seite.

Was Sie heute tun können

Drei Schritte, die jeder IT-Leiter diese Woche machen kann — auch ohne uns:

1. Azure-Rechnung der letzten 3 Monate öffnen. Filter „Storage”. Wenn die Kosten monatlich steigen, ohne dass das Geschäft wächst → Lifecycle fehlt. Erster Quick-Win.

2. Storage Accounts nach Tier prüfen. Azure Portal → Storage Insights. Wenn >60 % im Hot-Tier liegen und gleichzeitig >30 Tage nicht mehr geändert wurden → Cool-Kandidaten.

3. Security-Baseline durchgehen. Microsoft Defender for Storage zeigt in einer Minute, welche Accounts public access, shared keys oder fehlende Verschlüsselung haben.

Für die tieferen Optimierungen — Lifecycle-Design, RBAC-Rollenmodell, Hybrid-Setup mit lokalem Backup — lohnt ein Blick auf unsere Azure-Beratung Hamburg oder direkt ein kostenloses Erstgespräch mit uns. Für Logistik- und Speditionskunden mit großen Telemetrie- und Frachtbriefmengen haben wir die typischen Konstellationen auf unserer IT für Logistik & Spedition Seite zusammengefasst; den Kostenvergleich zur On-Premises-Alternative finden Sie im Artikel Cloud Speicher vs. lokaler Server.

Fazit

Azure Blob Storage ist kein magisches Kostenspar-Tool — es ist ein präzises Werkzeug. Wer die vier Tiers, Lifecycle-Regeln und das Zugriffsmodell versteht, spart 60–90 % gegenüber dem naiven „alles in Hot und fertig”-Setup. Die zwei wichtigsten Stellschrauben: Tier-Lifecycle und RBAC statt Account-Keys. Der Unterschied zwischen „Storage Account angelegt” und „Storage Account produktionsreif” sind typischerweise zwei Stunden saubere Arbeit — die sich nach dem ersten Monat schon bezahlt machen.

Weiterführende Quellen

• Microsoft Learn: Einführung in Azure Blob Storage — offizielle Doku mit allen aktuellen Limits und Features
• Azure Blob Storage Preise — aktuelle Listenpreise pro Region
• Azure Preisrechner — individuelle Kostenschätzung
• heise: Ransomware-Schutz mit Immutable Storage — Einordnung für IT-Praxis
• Microsoft Learn: Azure Backup für Blobs