7 Im Morgengrauen des 1. März 2026 trafen iranische Drohnen drei AWS-Einrichtungen (auf Englisch): Zwei Rechenzentren in den Vereinigten Arabischen Emiraten wurden direkt getroffen, ein drittes in Bahrain durch einen Einschlag in der Nähe beeinträchtigt. Das Unternehmen riet seinen Kunden, Workloads in andere Regionen zu verlagern. Banken, Zahlungsdienste, Lieferdienste und Unternehmenssoftware kamen in der gesamten Golfregion zum Stillstand. Am 23. März und am 2. April 2026 wurde die AWS-Region Bahrain aufgrund neuer Drohnenangriffe erneut offiziell als „gestört“ eingestuft. Damit hat zum ersten Mal in der Geschichte eine Militärmacht gezielt Hyperscale-Cloud-Infrastruktur zerstört. Das ist kein Sicherheitsvorfall, sondern ein erhebliches Infrastrukturrisiko für Unternehmen und Organisationen. Auch Sie sind ein Ziel Teheran rechtfertigte seine Angriffe mit der Behauptung, das Rechenzentrum in Bahrain unterstütze militärische Operationen – eine Behauptung, die AWS zurückwies. Ob sie zutrifft oder nicht, die Logik des Angreifers ist unerbittlich: Dieselben Server, auf denen Ihre Personaldaten, Geschäftsanwendungen und Kundendateien liegen, könnten auch militärische Daten verarbeiten. Sie wissen es nicht. Sie können es nicht wissen. Und diese Unwissenheit wird Sie nicht schützen. Kein Vorstand hatte die „physische Zerstörung von Rechenzentren“ in seiner Risikolandkarte aufgeführt. Es ist an der Zeit, sie aufzunehmen. Nach 36 Jahren im operativen Dienst gilt eine Regel weiterhin Über Vertrauliches werde ich nicht sprechen. Doch die erste Regel, die jede militärische Führungskraft noch vor der Kriegsakademie lernt, lautet: Konzentriere kritische Funktionen nie auf einen einzigen Knoten. Ein fähiger Gegner wird ihn finden. Und angreifen. AWS, Microsoft Azure und Google Cloud vereinen zusammen mehr als 70 % des weltweiten Cloud-Markts (auf Englisch) auf sich. Organisationen haben gemeinsam genau das aufgebaut, was jede Resilienzdoktrin, ob militärisch oder zivil, verbietet. Und wir haben es getan, um Geld zu sparen. Ausfälle kennen keine Grenzen Man muss nicht einmal einen Krieg bemühen, damit diese Überlegung in Ihrer nächsten Vorstandssitzung gilt. Am 20. Oktober 2025 zwang ein AWS-Ausfall Krankenhäuser zurück zu Abläufen auf Papier. Neun Tage später legte ein Konfigurationsfehler bei Azure Alaska Airlines, Starbucks, Costco und Telekommunikationsanbieter für acht Stunden lahm. Der wirtschaftliche Schaden ging in die Milliarden. Zwischen Juni und Dezember 2025 erlitt jeder der drei großen Hyperscaler mindestens einen schweren Ausfall. Wie lange dürfen Ihre kritischen Systeme höchstens ausfallen? Stellt Ihre aktuelle Architektur sicher, dass Sie diese Grenze einhalten können, wenn Ihr Hyperscaler ausfällt? Wenn Sie darauf keine Antworten haben, haben Sie ein Governance-Problem – und wahrscheinlich auch ein technologisches. Die Aufsichtsbehörden signalisieren das Risiko bereits Die Aufsichtsbehörden warten nicht. In Europa verlangen NIS2 und DORA von kritischen Einrichtungen und Finanzinstituten Kontinuitätspläne und ein ausdrückliches Management der Konzentrationsrisiken bei Cloud-Anbietern. In den USA haben die SEC und die CISA ähnliche Leitlinien veröffentlicht. Im asiatisch-pazifischen Raum gehen die MAS in Singapur und die APRA in Australien in dieselbe Richtung. Das regulatorische Signal ist global und einheitlich. Ich wähle meine Worte mit Bedacht: Jede Organisation, die kritische Systeme ohne alternativen Wiederherstellungsplan zu einem einzigen Hyperscaler migriert hat, erfüllt ihren regulatorischen Rahmen nicht. Und die IT-Verantwortlichen wissen das oft genau; ihnen fehlte schlicht das Budget, um anders vorzugehen. Die versteckten Kosten der Cloud heißen Abhängigkeit Das Versprechen war einfach: weniger gebundenes Kapital, weniger betriebliche Komplexität, mehr Agilität. Die Realität der Gesamtbetriebskosten ist düsterer. Egress-Gebühren, sich summierende Abonnements, einseitige Preiserhöhungen für Kunden, deren Ausstiegskosten prohibitiv sind. Mehrere Branchenstudien kommen zum selben Ergebnis: Mehr als die Hälfte der befragten IT-Verantwortlichen kürzt andere Budgetposten, um die steigenden Cloud-Kosten aufzufangen. Ein Wachstum, das nicht von neuer Nutzung getrieben ist, sondern davon, dass die Anbieter wissen, dass Sie nicht gehen können. Zum technischen Lock-in kommt heute der preisliche Lock-in hinzu. Für einen CFO entsteht damit ein strukturelles, unkontrolliertes Budgetrisiko – eines, das ins Lieferantenrisikoregister gehört, neben der Abhängigkeit von einem Rohstoff aus einer einzigen Quelle. Der CLOUD Act ist keine Vertragsklausel Daten bei Anbietern, die der US-Gerichtsbarkeit unterliegen, können auf Grundlage US-amerikanischer Rechtsanordnungen zugänglich sein, selbst wenn sie im Ausland gespeichert sind. Der CLOUD Act ermöglicht es Behörden, solche Daten im Rahmen rechtlicher Verfahren unabhängig vom Speicherort anzufordern. Für global tätige Organisationen kann das Spannungen mit lokalen Datenschutzregelungen erzeugen, darunter die DSGVO in Europa, der PDPA in Asien oder US-Branchenvorschriften wie HIPAA oder GLBA. Vertragliche Maßnahmen allein beseitigen diese Konflikte möglicherweise nicht vollständig. In einem geopolitischen Umfeld, in dem nationale Prioritäten zunehmend durchgesetzt werden, ist das keine rein theoretische Sorge. Es ist ein Kontrahentenrisiko, das entsprechend bewertet werden sollte. Es gibt eine technische Lösung: Verschlüsselung mit Schlüsseln unter der alleinigen Kontrolle des Kunden. Sie setzt voraus, dass Sie die Kontrolle über Ihre Infrastruktur behalten. Leider haben viele Organisationen diese bereits abgegeben. Die Antwort ist nicht ein weiterer Hyperscaler Ich muss ehrlich sein: Ich habe die operativen Stärken der US-Hyperscaler lange unterschätzt. Ihre Skalierbarkeit, ihre fortschrittlichen Dienste und ihre globale Verfügbarkeit sind real. Das Problem ist nicht ihre Kompetenz, sondern unsere ausschließliche Abhängigkeit. Die resiliente Antwort wird nicht darin bestehen, Hyperscaler zu kopieren. Kein Neueinsteiger wird in zehn Jahren zu einem globalen Hyperscaler. Der glaubwürdige Weg ist ein anderer: Unabhängige Spezialisten – führend in Bereichen wie Objektspeicher, Sicherheit und Management kritischer Daten – lassen sich zu stimmigen Alternativen zu einem dominanten Anbieter zusammenfügen. Diese Akteure gibt es. Bei Infrastruktur und Objektspeicher (der Ebene, die kritische Daten, Backups und regulatorische Archive trägt) bedienen unabhängige Anbieter heute führende globale Medienhäuser, große Telekommunikationsunternehmen und streng regulierte Finanzinstitute auf allen Kontinenten. Sie haben Nachweise aus der Praxis. Die strengsten Sicherheitszertifizierungen – US-amerikanische, europäische, asiatische – decken die Wertschöpfungskette ab. Die Technologie ist da. Was fehlt, ist eine Beschaffungsdoktrin, die sie für eine vielbeschäftigte Führungskraft nachvollziehbar macht, die einem gut vorbereiteten Hyperscaler-Vertriebsmitarbeiter gegenübersitzt. Öffentliche und private Organisationen finanzieren ihre eigene digitale Abhängigkeit durch ihre Kaufentscheidungen. Das ist nicht unausweichlich, sondern eine Entscheidung. Die meisten nationalen Rechtsrahmen erlauben es, bei Technologieausschreibungen Resilienz und Sicherheit zu bevorzugen. Mangels klarer Doktrin wird das zu wenig genutzt. Wir müssen diese Doktrin erarbeiten und diejenigen rechtlich absichern, die sie anwenden. Es ist Zeit zu entscheiden: Abwarten ist inzwischen Teil des Risikos Drei Warnungen in zwanzig Monaten. Die Sabotage am Bahnnetz vor den Olympischen Spielen in Paris im Juli 2024. Die Kaskade von Hyperscaler-Ausfällen im Herbst 2025. Die Rechenzentren am Golf im Frühjahr 2026. Jeder Fall zeigte dasselbe Muster: ein Single Point of Failure – und Organisationen, die ohne echte Notfallpläne dastanden. Jeder Euro, Dollar oder Dirham, der in eine Cloud investiert wird, deren tatsächlichen Standort und physische Resilienz Sie nicht kontrollieren, ist ein nicht bewertetes Risiko in Ihrer Bilanz. Ihre Aufsichtsbehörden sehen es. Ihre Versicherer beginnen, es einzupreisen. Ihre Vorstände werden bald danach fragen. Führungskräfte, die auf ein viertes Signal warten, bevor sie digitale Resilienz in ihre Strategie aufnehmen, setzen sich einer regulatorischen, treuhänderischen und menschlichen Haftung aus, die Aktionäre, Aufsichtsbehörden oder Teams nicht verzeihen werden. Die Kompetenzen sind da. Die Lösungen sind da. Was fehlt? Ich zögere, „die Entscheidung“ zu sagen, weil es zu einfach klingt. Aber genau das ist es: die Entscheidung.
