Object-Storage-Rechner: S3 vs Blob vs GCS vs R2 vs Hetzner

Wo Egress zum Killer wird

Es gibt zwei Storage-Workloads, die fast jeder unterschätzt. Die erste: ein simples CDN für eine App oder Marketing-Site. Du speicherst 500 GB statische Assets, deine User holen sich 50 TB im Monat ab. Bei AWS S3 mit CloudFront kostet das Storage selbst — rund 12 USD im Monat — während du an Egress 4.500 USD pro Monat zahlst. Das Ratio Storage zu Egress liegt bei 1:375. Bei Cloudflare R2 zahlst du 7,50 USD insgesamt.

Die zweite gefährliche Workload: dein eigenes Backup-Tool, das täglich inkrementelle Backups schreibt, aber einmal pro Monat einen Full-Restore-Test laufen lässt. Der Restore-Test sind 5 TB Egress — harmlose 450 USD pro Monat, wenn du AWS Standard nutzt. Bei einem Vierteljahres-Audit, wo du die letzten 5 Backups durchläufst, sind das schnell 2.000 USD nur fürs Testing.

Die Faustregel: Wenn deine erwartete Egress-Volumen pro Monat grösser ist als das gespeicherte Volumen, ist Cloudflare R2, Backblaze oder Hetzner praktisch immer die richtige Wahl. Wenn das Volumen umgekehrt ist (du speicherst viel, liest selten) kannst du mit S3 Glacier oder Azure Archive auf 0,001 USD/GB-Monat runter — und zahlst die Egress-Strafe erst beim seltenen Retrieval.

R2/Backblaze vs S3 — was du verlierst

Cloudflare R2 hat die offizielle S3-API geschluckt und ist für 95 % der S3-Use-Cases ein perfekter Ersatz. Du wechselst den Endpoint, die Access-Keys, den Bucket-Namen — fertig. Was du dabei aufgibst:

• Object-Lock im Compliance-Mode. S3 hat einen Mode, in dem auch der Root-User Objekte nicht vor Ablauf der Retention löschen kann — das ist WORM (Write-Once-Read-Many) und nötig für SEC 17a-4, HIPAA-Audit oder SOX. R2 hat Object-Lock in Governance- Mode, was Compliance-Auditors nicht akzeptieren.
• S3-Select und S3-Lambda. Wenn dein Stack auf Server-Side-Filtering oder S3-getriggerten Functions basiert, ist R2 kein 1:1-Ersatz. Du musst die Lambda nachbauen oder via Cloudflare Workers replizieren.
• Multi-Region-Replikation als Service. R2 automatisch in alle Cloudflare-Locations, aber keine echte eu-/us-Cross-Region-Replikation mit RTO/RPO-Garantie. Für DSGVO-Daten-Residenz heißt das: manuell sicherstellen.
• Granulare IAM. R2-Tokens sind weniger fein als S3-IAM-Policies. Für Multi-Account-Setups in größeren Orgs zu schwach.

Backblaze B2 ist nochmal eine Ebene reduzierter — kein Object-Lock, keine Lambda-Trigger. Dafür ist B2 günstiger als R2 beim reinen Storage und über die Bandwidth Alliance mit Cloudflare CDN für 0 USD Egress kombinierbar. Wenn deine App vor Cloudflare hängt und nur 10x pro Monat ein neuer Build raus muss, ist B2 die billigste Option überhaupt.

Compliance: was R2 nicht hat

Für die meisten Mid-Market-SaaS-Apps sind die fehlenden Compliance-Features kein Problem. Niemand fragt dich nach SOC2 Type 2 oder Object-Lock. Du baust eine schöne App, deine Storage ist verschlüsselt, fertig. Sobald du aber Healthcare-Daten, Pharma-Daten, Finance-Daten anfasst, ändert sich das schlagartig:

HIPAA verlangt einen Business Associate Agreement (BAA) mit deinem Storage-Provider. AWS, Azure, GCP haben standardmäßig BAAs. Cloudflare R2 hatte das bis 2025 nicht — seit 2025 für Enterprise-Kunden auf Anfrage. Hetzner: nein, kein HIPAA. Backblaze B2: ja, mit Enterprise-Plan.

FedRAMP ist US-Government-Stuff und für deutsche Startups irrelevant — außer du verkaufst an US-Defense-Kunden. Dann brauchst du AWS GovCloud oder Azure Government — und der Rechner hier zeigt dir gar nicht die richtigen Preise (GovCloud ist 30-40 % teurer als die Standard-Regionen).

DSGVO. Hier hilft Hetzner. Deutsche Rechenzentren, deutscher Vertrag, kein Cloud-Act-Risiko. Für stark regulierte EU-Daten (Banken, Pharma, Health) ist Hetzner Object Storage oder Storage Box die einzige Option, die durch jeden Audit ohne Diskussion läuft. Cloudflare R2 hat EU-only-Locations, aber als US-Firma fällt sie unter den Cloud Act — das ist für viele EU-Compliance-Teams ein No-Go.

Was die Tabelle nicht zeigt

• Lifecycle-Transitions. Wenn du Objekte automatisch von Standard zu IA zu Glacier verschiebst, fallen pro Transition eigene Gebühren an. Bei vielen kleinen Objekten kann das den Spar- Effekt fast auffressen.
• Inter-Region-Transfer. Replikation eu-west-1 nach eu-central-1 ist innerhalb AWS auch nicht gratis. Bei R2 ist es 0 €, weil R2 keine echten Regionen unterstützt.
• Versioning-Overhead. Wenn du Versioning aktivierst und Objekte häufig überschreibst, sammelst du Hidden Storage. Das kann die Storage-Rechnung in 6 Monaten verdoppeln.
• Mindestaufenthaltsdauer. S3 IA verlangt mindestens 30 Tage, Glacier mindestens 90, Deep Archive 180. Wenn du vor Ablauf löschst, zahlst du trotzdem die volle Mindestlaufzeit.

Häufige Fragen