Terraform Apply in der Cloud: Kommando aus den USA?
HashiCorp nimmt den lokalen Apply ab. Stacks bündeln Workspaces. Europa hält die Zustandsdatei, Konto und Rechnung laufen über die USA.
Drei Teams greifen auf denselben Terraform-Lauf zu. Irgendwann reicht die Absprache im Chat nicht mehr. Dann wandert der Apply in die HashiCorp Cloud Platform – und mit ihm die Frage, in welchem Land die Zustandsdatei liegt und wer den Schlüssel hält.
Das Wichtigste in Kürze
- Ein Apply-Ort statt vieler Laptops. HCP Terraform führt Läufe remote aus, hält den gemeinsamen State und koppelt Versionierung, Rechte und Policy an denselben Dienst. Kleine Teams starten kostenlos bis 500 verwaltete Ressourcen. Die Grenze ist die Ressourcenzahl.
- Stacks sind produktionsreif, vieles drumherum nicht. Seit HashiConf 2025 bündeln Stacks mehrere Module und Umgebungen zu einer Verwaltungseinheit. Search, Actions und der MCP-Server blieben damals in der Beta.
- Europa speichert den Terraform-State, nicht das Konto. Die Europa-Region ist seit Ende September 2025 allgemein verfügbar. Zustandsdatei, Variablen und Sentinel-Regeln liegen in der EU. Anmeldung, Abrechnung und Support laufen weiter über die USA. Ein Umzug der bestehenden Organisation ist nicht vorgesehen.
Verwandt:OpenTofu vs. Terraform: welches IaC-Tool wirklich trägt / CloudFormation vs. Terraform: Schuldenrisiko im Vergleich
Was ist HCP Terraform? HCP Terraform ist HashiCorps gehostete Betriebsebene für Terraform: Remote-Läufe, gemeinsamer State, Rechte, Policy und die Anbindung an die Versionskontrolle sitzen in einem Dienst.
Der Apply verlässt den Laptop
Terraform auf dem eigenen Rechner ist bequem, solange eine Person plant, eine Person bestätigt und niemand parallel denselben State anfasst. Sobald drei Leute denselben Lauf anstoßen, wird aus einer Datei eine Betriebsfrage: Wer darf zerstören? Wer sieht die Variablen mit den Cloud-Schlüsseln? Wer erklärt hinterher, warum Staging die Produktions-VPC gekreuzt hat? Viele Teams beantworten das zuerst mit einem Bucket als Remote-Backend. Das löst die Sperre, nicht die Freigabe. Der Apply bleibt dort wo die CLI startet. Die Audit-Spur bleibt eine Commit-Message, wenn jemand sie schreibt.
HCP Terraform ist HashiCorps Antwort darauf. Der Dienst, bis zum 22. April 2024 unter dem Namen Terraform Cloud, führt Pläne und Applies in einmaligen Worker-Maschinen aus, legt den State verschlüsselt ab und hängt die Läufe an ein Versionskontrollsystem. Kleine Teams verbinden Repository, Variablen und Remote-State ohne Lizenz, solange die Organisation unter 500 verwalteten Ressourcen bleibt. Mehr Ressourcen, abgestufte Teams und härtere Steuerung liegen in den bezahlten Editionen. Die Standard-Stufe ergänzt Audit-Protokoll, laufende Validierung und automatische Drift-Erkennung. Wer die gleiche Logik im eigenen Rechenzentrum will, nimmt Terraform Enterprise.
Das verschiebt die Kontrolle. Der Laptop liefert nur noch den Anstoß oder den spekulativen Plan. Der verbindliche Lauf sitzt in der HashiCorp Cloud Platform, also bei IBM. Ein an die Versionskontrolle gekoppelter Workspace startet den Plan bei jedem relevanten Commit. Bestätigen darf ihn nur, wer in der Organisation das Recht dazu hat. Genau das ist das Produkt. Die Planausgabe ist Beiwerk. Der Apply-Ort trägt Namen an der Freigabe. Wer das als Komfort kauft, kauft zugleich den Vertrag, die Region und die Schlüsselpolitik mit. Wer das nicht will, bleibt bei Open-Source-Terraform und einem eigenen Backend – mit der ganzen Pflege, die HCP genau deshalb abnimmt.
Stacks schließen die Lücke zwischen Workspaces
Workspaces isolieren den Schaden: ein Root-Modul, ein State, ein Team. Das hilft, bis Netzwerk, Cluster und Anwendung in getrennten Workspaces liegen und niemand mehr die Abhängigkeiten ohne Wiki erklären kann. Dann kopiert die Plattform dieselben Module nach Entwicklung, Staging und Produktion und pflegt die Kanten von Hand.
Stacks schließen genau diese Lücke. HashiCorp hat sie auf der HashiConf 2025 für neue Pläne mit Abrechnung nach verwalteten Ressourcen allgemein verfügbar gemacht, mit der Zusage, die Schnittstellen stabil zu halten. Eine Stack-Konfiguration beschreibt welche Module zusammenleben und in welchen Umgebungen sie wiederholt werden. Eine Änderung am gemeinsamen Stand rollt über alle, einige oder keine dieser Wiederholungen. Default-Gruppen dafür gibt es in allen Plänen. Eigene Gruppen mit automatischer Freigabe, etwa wenn ein Plan nichts löscht, bleiben der Premium-Stufe vorbehalten.
Der klassische Schmerz ist ein Kubernetes-Cluster, den Terraform nicht zu Ende planen kann, weil Namen und Endpunkte erst nach dem ersten Apply existieren. Stacks erlauben dann einen Teilplan statt eines Abbruchs. Deshalb liegen sie als Schicht über den Modulen und nicht als hübschere Workspace-Liste. Wer heute zwanzig Root-Module über drei Konten pflegt, merkt den Gewinn an den Kanten: eine Änderung am Netzwerk-Modul rollt kontrolliert in die abhängigen Deployments, ohne dass jemand Import-Blöcke von Hand nachzieht.
Was auf derselben Bühne noch in der Erprobung war, gehört nicht in den Produktionskalender. Die Bulk-Suche zum Import, Aktionen für den laufenden Betrieb und der MCP-Server für KI-Assistenten kamen als Beta. Hold Your Own Key ging im Sommer 2025 in den allgemeinen Betrieb, in der Premium-Stufe: sensible Daten in HCP Terraform lassen sich mit einem Schlüssel verschlüsseln, den die Organisation selbst hält. Das ist der Hebel für alle, die den Apply-Ort akzeptieren, den Klartext aber nicht aus der Hand geben wollen. Stacks laufen auch über selbst gehostete Agenten, wenn private Netze den Worker der Cloud nicht erreichen dürfen. Das ändert den Apply-Ort nicht: die Steuerung bleibt HCP, nur die Ausführung rückt an den Rand.
Die Residenz endet am Login
Die globale Instanz speichert Kundendaten in den Vereinigten Staaten. Ein anderes Land lässt sich dort nicht wählen. Am 30. September 2025 hat HashiCorp deshalb eine eigene Europa-Region allgemein verfügbar gemacht. Die Dienste laufen in einem europäischen Rechenzentrum, unabhängig von den globalen Standorten. Terraform-Dateien, Module und Verzeichnisse liegen dort. Das Portal hängt unter einer eigenen Adresse, die Läufe unter app.eu.terraform.io.
Das Trust Center trennt die Kategorien schärfer, als es der Werbesatz tut. Terraform-State, Umgebungsvariablen und Sentinel-Regeln speichert HashiCorp in Europa. Kontodaten, Wiederherstellungscodes, SSH-Schlüssel und OAuth-Token gehen in die USA, weil Anmeldung, Verwaltung und Rechnung zentral laufen. Protokolle bleiben in Europa, dürfen aber für Betrieb und Sicherheit gelesen oder übertragen werden. Nutzungszahlen, Supportfälle und Anträge auf Betroffenenrechte laufen über die USA. Residenz heißt hier: die Zustandsdatei bleibt. Die Firmenbeziehung nicht.
Der Preis der Gabel ist organisatorisch, nicht nur juristisch. Bestehende globale Organisationen lassen sich nicht hinüberziehen. Es braucht ein neues Konto und eine neue Organisation, auch mit derselben Mailadresse. In Europa gibt es keine Terraform-Teams; Rechte sitzen in HCP-Gruppen. Flex- und Nutzungsabrechnung fehlen, Pläne ändert der Vertrieb. ServiceNow-Anbindung und Kubernetes-Operator fallen weg, ebenso das Migrationswerkzeug, öffentliche Registry-Namensräume und HashiCorp-Dienstkonten an der Terraform-API. Vault Dedicated, Packer, Boundary und Vault Radar sind in der Europa-Matrix nicht enthalten. Die Rechnung läuft getrennt, selbst wenn global schon eine Zahlungsart liegt. Trial und Vertrag existieren, nutzungsbasierte Abrechnung nicht. Eine Organisation darf höchstens 100 Projekte führen und lässt sich nur über den Support löschen. Wer State und Secrets in derselben Geographie will, findet in HCP Europe nur die halbe Plattform.
Drei Wege, einer davon ehrlich
Der erste Weg bleibt Open-Source-Terraform plus eigenes Backend. State und Sperre liegen im eigenen Konto, der Apply in der eigenen Pipeline. Stacks als Dienst gibt es dort nicht, Policy und Drift auch nicht als fertiges Produkt. Dafür bleibt die Zustandsdatei dort, wo der Vertrag schon liegt.
Der zweite Weg ist HCP Terraform global. Hier sind Stacks produktionsreif, das Integrationsset ist am vollständigsten, Hold Your Own Key greift, Vault Dedicated steht in derselben Plattform bereit. Der State liegt in den USA. Wer das in der Datenschutzfolgeabschätzung tragen kann, kauft den kürzesten Weg zur Governance.
Der dritte Weg ist HCP Europe. Er lohnt, wenn die Zustandsdatei in der EU die Kaufbegründung ist und das Team den Schnitt akzeptiert: neues Konto, getrennte Rechnung, fehlendes Vault Dedicated, fehlende Teams, fehlende Nutzungsabrechnung. Eine bestehende globale Organisation umzuziehen, erspart sich niemand. Wer beides will – volle Plattform und europäische Residenz für alles – landet bei Terraform Enterprise im eigenen Betrieb oder bei einem ehrlichen Nein zu Teilen der Cloud-Suite.
Die brauchbare Entscheidung ist deshalb schmal. Wenn der State in der EU der Grund ist, mit HCP Europe neu aufsetzen und den Schnitt in den Betrieb schreiben. Wenn Vault, Packer und das volle Integrationsset der Grund sind, global bleiben oder selbst hosten. Wenn IBM den Apply-Pfad nicht sehen soll, beim eigenen Backend bleiben. Alles dazwischen erzeugt zwei Organisationen, zwei Rechnungen und denselben Streit, den der Umzug vermeiden sollte. Der Test ist montags um neun: Öffnet das Team wirklich das Europa-Portal oder stößt es den Lauf aus Gewohnheit weiter in der globalen Instanz an, weil dort die Module schon liegen?
Häufige Fragen
Was unterscheidet HCP Terraform von Terraform auf dem eigenen Rechner?
Auf dem eigenen Rechner laufen Plan und Apply dort wo die CLI startet. Der State liegt im gewählten Backend. HCP Terraform verlagert den verbindlichen Lauf in einmalige Worker der Plattform, hält State und Variablen dort und koppelt Rechte, Policy und Versionierung an denselben Dienst.
Kann eine bestehende globale Organisation nach HCP Europe umziehen?
Nein. HashiCorp verlangt ein neues Konto und eine neue Organisation. Dieselbe Mailadresse ist erlaubt, eine Verbindung oder Migration der bestehenden Organisation nicht. Workspaces, Teams und Abrechnung bleiben getrennt.
Liegt in der Europa-Region wirklich alles in der EU?
Der Terraform-State, Variablen und Sentinel-Regeln speichert HashiCorp in Europa. Anmeldung, Abrechnung, Nutzungszahlen, Support und Anträge auf Betroffenenrechte laufen über die USA. Protokolle dürfen für Betrieb und Sicherheit außerhalb Europas gelesen werden.
Braucht jedes Team Stacks?
Nein. Ein einzelner Workspace bleibt der richtige Schnitt, solange ein Root-Modul und ein Team zusammenpassen. Stacks lohnen, wenn dieselben Module in mehreren Umgebungen leben und die Abhängigkeiten zwischen ihnen den Betrieb ausbremsen. Eigene Freigabegruppen mit Automatik sind ein Premium-Merkmal.
Gibt es Vault Dedicated in HCP Europe?
In der Produktmatrix der Europa-Region stehen Terraform und Waypoint. Vault Dedicated, Vault Radar, Packer und Boundary fehlen dort. Wer State und Secrets in derselben europäischen Geographie führen will, muss das außerhalb von HCP Europe lösen oder selbst hosten.
Lesetipps der Redaktion
cloudmagazinOpenTofu vs. Terraform: welches IaC-Tool wirklich trägtcloudmagazinCloudFormation vs. Terraform: Schuldenrisiko im VergleichcloudmagazinCloud-Backup mit IaC: Resilienz statt Restore-RisikoMehr aus dem MBF Media Netzwerk
MyBusinessFutureMcKinsey: KI macht schnell, der EBIT bleibt flachDigital ChiefsWarum KI an den Stammdaten scheitertSecurityTodayRed Team gegen KRITIS: Selbst das gute SOC verliertBildquelle: KI-generiert (August 2026)
Auch verfügbar in
