Migration von Amazon SES zu Managed Deliverability — ohne die Kostendisziplin aufzugeben, die Sie ursprünglich zu AWS geführt hat

Beginnen wir mit den nachprüfbaren Fakten. SES-Basisversand kostet im Mai 2026 in allen AWS-Regionen 0,10 $ pro 1.000 ausgehende Nachrichten. Kein monatlicher Mindestumsatz, keine Feature-Schranke für diesen Tarif, kein Aufschlag, wenn Sie Traffic nach Tokio statt Frankfurt ziehen. AWS hat im August 2025 die Tenants-Funktion aktiviert (Standard 10.000/Tag, auf Anfrage bis 300.000) und damit eine der sichtbaren operativen Lücken gegenüber dem benannten IP-Pool-Modell von SendGrid und Mailgun geschlossen. Neue Konten erhalten in den ersten 12 Monaten 3.000 kostenlose Message Charges pro Monat — das alte EC2-gebundene Free Tier mit 62.000/Monat lief am 15. Juli 2025 aus und wurde durch das Modell mit 200 $ AWS-Free-Tier-Guthaben über sechs Monate ersetzt. Bei einer Million Mails pro Monat auf Shared IPs ohne Add-ons landet die Rechnung bei etwa 107 $: 100 $ Versandgebühren plus rund 7 $ Datentransfer für 60-KB-Nachrichten. Das ist schwer zu unterbieten.

Genauso nachprüfbar ist, dass die Ökonomie der dedizierten IPs komplexer wird als die Schlagzeile suggeriert. Standard-Dedicated-IPs kosten 24,95 $ pro IP und Monat, unabhängig vom Volumen — vertretbar bei drei oder vier IPs zur Stream-Segmentierung, schmerzhaft bei fünfundzwanzig. Managed Dedicated IPs kosten 15 $ pro Konto und Monat plus gestaffelte Volumengebühr: 0,08 $ pro 1.000 Mails im Bereich 0-10 Mio., 0,04 $ für 10-50 Mio., 0,02 $ für 50-100 Mio. Diese Staffel kreuzt das fixe 24,95-$-Modell etwa bei 10 Mio. monatlich — darüber wird Managed günstiger. Bring-Your-Own-IP existiert mit 24,95 $ pro IP bei einem Minimum von 256 IPs, was 6.387,20 $ pro Monat ergibt, bevor eine einzige Nachricht versendet wird — ein realer Pfad nur für Telkos und bestehende IP-Halter. Virtual Deliverability Manager (VDM) addiert 0,07 $ pro 1.000 Mails auf den Basistarif und hebt die effektiven Versandkosten von 0,10 $ auf 0,17 $ pro 1.000 (ein Aufschlag von 70%); das erweiterte VDM Deliverability Dashboard kostet 1.250 $ pro Monat. Datentransfer wird mit 0,12 $/GB berechnet. Mail Manager Ingress Endpoints, Archive Add-ons, Trend-Micro-Scanning und SNS-Benachrichtigungen für Event-Tracking tragen jeweils eigene Gebühren pro Nachricht oder pro Endpoint.

Die Realität mit fünf Abrechnungskomponenten bedeutet, dass die operative SES-Rechnung bei 1 Mio. Mails monatlich mit Dedicated IPs und VDM eher bei 185 $ als bei 100 $ liegt — immer noch ausgezeichneter Wert, aber nicht der Listenpreis. Bei 100.000 Mails pro Monat liegt der Gesamtbetrag mit VDM bei rund 17,70 $ gegenüber 10,70 $ ohne. AWS verdient Anerkennung für die transparente Preisseite; trotzdem sehen wir regelmäßig SES-Rechnungen, deren Höhe das Team überrascht — weil nicht modelliert wurde, dass eine Mail an 100 Empfänger als 100 abrechenbare Nachrichten zählt, oder dass Anhänge bei 0,12 $/GB die eigentlichen Versandkosten bei dokumentenlastigen Workloads übersteigen können. Nichts davon ist versteckt — es ist dokumentiert — aber der kumulative Effekt überrascht Teams, die nur die 0,10-$/1K-Linie modelliert haben.

Dann ist da die Souveränitätsfrage, die sich 2026 substanziell verschoben hat. AWS hat den European Sovereign Cloud (ESC) am 15. Januar 2026 in Brandenburg in Betrieb genommen — eine separate Partition (aws-eusc, Region eusc-de-east-1), vier dedizierte deutsche GmbHs mit Sitz in Potsdam, ein operatives Personal ausschließlich aus EU-Bürgern, Geschäftsführer Stéphane Israël und Stefan Hoechbauer, Investitionsrahmen 7,8 Mrd. € bis 2040. Die initiale Service-Liste umfasst rund 70-90 Dienste in den Kategorien Compute (EC2, Lambda, EKS, ECS), Storage (S3, EBS), Datenbank (Aurora, DynamoDB, RDS), Networking (VPC), Security (KMS, ACM, Private CA) und einen Großteil des KI-Portfolios (Bedrock, SageMaker, Amazon Q). Amazon SES steht nicht auf dieser Liste. Wer seine Souveränitätsstory für E-Mail-Infrastruktur an ein zukünftiges souveränes AWS-Angebot geknüpft hatte, sieht den Start ohne SES. Eine zukünftige Roadmap-Aktualisierung könnte das ändern, doch im Mai 2026 läuft jede SES-Mail weiterhin durch die regulären AWS-Regionen — was die Diskussion um den CLOUD Act, die Schrems II 2020 aufgemacht hat und die Microsofts französische Tochter im Juni 2025 unter Eid vor dem französischen Senat bestätigt hat, in vollem Umfang aufrecht erhält.

Für den DACH-Markt verdichtet sich dieser Punkt zur Procurement-Filterfrage. Das deutsche BSI-C5-Register-Verfahren hatte die Eintragungsfrist auf den 6. März 2026 gesetzt; nicht eingetragene Organisationen sind seitdem im Verzug, mit Strafen bis zu 10 Mio. € oder 2% des weltweiten Jahresumsatzes. §22 BDSG-neu, die DSK-Beschlüsse zu Drittlandtransfers, und die Schweizer Eidgenössische Datenschutzbeauftragte (EDÖB) unter dem revidierten DSG haben durchgehend signalisiert, dass Standardvertragsklauseln mit US-Anbietern nur unter strengen ergänzenden Garantien tragfähig sind — Garantien, die in der Praxis schwer zu auditieren sind. Mehrere unabhängige Analysen aus 2025-2026 argumentieren, dass selbst der ESC strukturell dem CLOUD Act unterliegt, weil die kontrollierende Eigentümerschaft amerikanisch bleibt. Genau das hat Microsofts französische Niederlassung im Juni 2025 unter Eid eingeräumt. Für Unternehmen wie N26, doctolib, Personio, Inxmail, CleverReach, Celonis oder die öffentliche Hand in Deutschland, Österreich und der Schweiz wird dieses Argument zum harten Filter im Beschaffungsprozess.

Die Teams, die in 2025-2026 SES verlassen, gehören grob in drei Gruppen. Die eine Gruppe sind Teams, die SES wegen der Kostenstory gewählt haben, aber nie die Deliverability-Praxis darum herum aufgebaut haben — und mit der verschärften Microsoft- und Gmail-Durchsetzung Inbox-Platzierung verloren haben. Die zweite sind EU- und DACH-Teams, deren Procurement- oder Datenschutz-Funktion das Souveränitätsrisiko nach der französischen Senatsanhörung und der Welle von Schrems-II-Analysen 2025 markiert hat. Die dritte — kleiner, aber wachsend — sind Teams, die nüchtern gerechnet haben, was eine interne Deliverability-Funktion kostet (Senior-Ingenieur bei 90-130 T€ inkl. Nebenkosten plus Werkzeuge) versus dem Bezug als Service. Für alle drei lautet die Frage nicht "Ist SES falsch?", sondern "Ist SES falsch für unsere spezifische Programmform?" Diese Frage arbeiten wir offen durch.

SES-Migrationen sehen anders aus als SendGrid- oder Mailgun-Migrationen, weil das Integrationsmuster anders ist. Die meisten SES-Kunden versenden via AWS-SDK aus einer EC2-Instanz oder Lambda-Funktion, mit IAM-Rollen statt SMTP-Credentials. Diese Kopplung zwischen Anwendungscode und AWS-spezifischer Authentifizierung muss während der Migration entkoppelt werden — darum geht es in Woche 1. Die einzige architektonische Zusage, die wir geben: SES bleibt während der gesamten Umstellung live. Ihr bestehender AWS-Vertrag läuft weiter, Traffic fließt weiter dorthin, und wir verschieben Volumen inkrementell statt eines harten Cutovers.