US-Dienste fallen aus: Risikoaudit

Ein französischer Richter am Internationalen Strafgerichtshof steht auf einer US-Sanktionsliste. Er lebt und arbeitet in Europa. Trotzdem kann er keine Hotelzimmer buchen, kein Auto mieten, nicht online einkaufen. Seine europäischen Kreditkarten funktionieren nicht – weil der Zahlungsverkehr über Visa, Mastercard und den US-Dollar läuft.

Er ist Richter, nicht Unternehmer. Aber die Infrastruktur, an der es bei ihm gescheitert ist, ist dieselbe, auf der europäische Unternehmen ihren Geschäftsbetrieb aufbauen.

Sein Fall ist ein Stresstest für eine Frage, die jede europäische Geschäftsführung betrifft: Was geschieht mit dem Betrieb, wenn die US-Technologie, auf der er aufbaut, nicht mehr zur Verfügung steht?

Die Antwort auf diese Frage ist keine politische Übung. Es ist eine betriebliche Risikoanalyse – und die Zeit, sie durchzuführen, ist jetzt.

Die neue Risikolage

Der Markt hat bereits reagiert. Laut einer Gartner-Umfrage planen 61 % der westeuropäischen CIOs, ihre Abhängigkeit von lokalen Cloud-Anbietern zu erhöhen. Digitale Souveränität ist kein Nischenthema mehr. Es ist ein struktureller Umbau.

Dieser Umbau wird nicht durch Überzeugung getrieben, sondern durch Notwendigkeit. Der CLOUD Act gibt US-Behörden Zugriff auf Daten, die von US-Unternehmen gespeichert werden – unabhängig vom Standort. Der Defense Production Act ermöglicht die Erzwingung von Technologiezugang. Und die Einstufung als Supply Chain Risk kann ein Unternehmen vom US-Ökosystem abschneiden, wie die Fälle Huawei und Kaspersky gezeigt haben.

Verschärfend kommt hinzu: Die gegenwärtige US-Außen- und Handelspolitik hat die Berechenbarkeit, auf die europäische Unternehmen ihre Planung stützten, grundlegend verändert. Kurzfristige Zollentscheidungen ohne Konsultation der Handelspartner, die Ausweitung von Sanktionsregimen und die Entlassung der Aufsichtsgremien, die den EU-US Data Privacy Framework überwachen sollten – all das signalisiert: Die Risikoprämie für US-Technologieabhängigkeit ist gestiegen. Wer seine Planung auf politische Stabilität in Washington stützt, plant auf einer Annahme, die sich nicht mehr belegen lässt.

Für europäische Unternehmen hat sich die Beschaffungslogik verschoben. Es geht nicht mehr nur darum, wo Daten liegen. Es geht darum, wem die Lieferkette gehört:

“It is no longer just about where your data sits – it is about where your vendor’s HQ is located and who holds the keys to your supply chain.”

Was auf dem Spiel steht

Die meisten europäischen Unternehmen haben keine Übersicht darüber, wie tief ihre Abhängigkeit von US-Technologie reicht – und wie eng die einzelnen Abhängigkeiten miteinander verflochten sind. Eine ehrliche Bestandsaufnahme zeigt typischerweise folgendes Bild:

Identität – der Punkt, an dem alles steht. Entra ID (ehemals Azure AD) verwaltet in vielen Unternehmen sämtliche Benutzerkonten, Zugriffsrechte und Anmeldungen. Dieser eine Dienst ist der zentrale Knotenpunkt: Fällt er aus oder wird der Zugang entzogen, kann sich niemand mehr anmelden – bei keinem System, das darüber authentifiziert wird. Kein E-Mail, kein Dateizugriff, keine Fachanwendung, kein VPN. Alles, was folgt, hängt an diesem einen Punkt.

Betriebssysteme. Windows läuft auf dem Großteil der Unternehmens-Desktops. macOS und iOS dominieren in vielen Branchen. Beide Betriebssysteme erfordern laufende Lizenzierung und regelmäßige Updates. Ohne Updates werden Geräte innerhalb von Monaten zum Sicherheitsrisiko. Ohne Lizenz werden sie unbrauchbar.

Produktivität. Microsoft 365 bündelt E-Mail, Kalender, Dokumentenablage, Intranet und Kommunikation in einem Paket. Google Workspace bietet dasselbe für einen anderen Kundenstamm. In beiden Fällen liegt die gesamte Arbeitsumgebung – einschließlich aller Dokumente, aller E-Mails, aller Termine – bei einem US-Anbieter. Wer den Zugang verliert, verliert nicht ein Werkzeug. Er verliert die gesamte Arbeitsgrundlage.

Cloud und Backups. Infrastruktur auf AWS, Azure oder GCP. Backups auf S3, Glacier oder OneDrive. Wenn der Zugang zu diesen Diensten entfällt, ist nicht nur die Produktion betroffen – die Datensicherung ist es ebenfalls. Im schlimmsten Fall sind Produktivsysteme und Backups gleichzeitig unerreichbar, weil sie beim selben Anbieter liegen.

Kommunikation. Teams, Zoom, Slack, Google Meet. Interne und externe Kommunikation läuft über US-Plattformen. Ein Ausfall betrifft nicht nur die Bequemlichkeit – er betrifft die Handlungsfähigkeit: Wer nicht kommunizieren kann, kann nicht koordinieren, nicht entscheiden, nicht reagieren.

Zahlungsverkehr. Visa und Mastercard verarbeiten den Großteil der europäischen Kartenzahlungen. Wie der Fall des französischen Richters zeigt, können US-Sanktionen den Zahlungsverkehr innerhalb Europas blockieren – nicht theoretisch, sondern nachweislich.

Diese Abhängigkeiten sind nicht voneinander isoliert. Sie sind verkettet. Entra ID authentifiziert den Zugang zu Microsoft 365. Microsoft 365 liegt auf Azure. Die Backups liegen auf Azure. Die Kommunikation läuft über Teams – das ebenfalls auf Azure läuft. Ein einziger Lizenzentzug, eine einzige Sanktionsentscheidung, ein einziger Anbieterbeschluss kann diese gesamte Kette unterbrechen. Nicht ein System fällt aus, sondern das System.

Szenarien, die keine Theorie mehr sind

Es geht nicht um die Frage, ob diese Abhängigkeiten ein Risiko darstellen. Es geht um die Frage, welches Szenario wann eintreten könnte:

Lizenzsperrung. Russische Unternehmen verloren 2022 den Zugang zu Microsoft-Diensten – Lizenzen, Cloud-Dienste, Updates, über Nacht. Iranische Nutzer sind seit Jahren von Google-Diensten, Apple-Funktionen und Cloud-Plattformen abgeschnitten, weil US-Sanktionsrecht dies vorschreibt. Für europäische Unternehmen erscheint das undenkbar – aber der Mechanismus existiert, er wurde eingesetzt, und die gegenwärtige US-Außenpolitik hat die Schwelle für seinen Einsatz gesenkt. Was früher extremen Krisenlagen vorbehalten war, ist heute ein Instrument, das kurzfristig und ohne Vorankündigung aktiviert werden kann.

Preiseskalation. Broadcom hat nach der Übernahme von VMware die Lizenzkosten für europäische Cloud-Anbieter vervielfacht – Dauerlizenzen abgeschafft, Abonnement-Modell erzwungen, Preise teilweise um das Zehnfache erhöht. Vendor Lock-in macht solche Preiserhöhungen möglich: Wer seine gesamte Infrastruktur auf einer Plattform aufgebaut hat, kann nicht in Wochen wechseln. Einseitige Preisänderungen sind kein Ausnahmefall, sondern Geschäftsmodell.

Zugriffsentzug auf Daten. Backups auf S3 oder Glacier sind nur zugänglich, solange AWS den Zugang gewährt. Im Falle einer Supply-Chain-Einstufung, einer Sanktionierung oder einer Vertragsänderung wären diese Daten nicht verfügbar – möglicherweise dauerhaft. Wer seine Datensicherung beim selben Anbieter betreibt wie seine Produktivsysteme, hat im Ernstfall weder das eine noch das andere.

Dienst-Einstellung. Google hat über 290 Produkte eingestellt. Microsoft hat Dienste ohne Vorankündigung verändert oder abgekündigt. Die Entscheidung, einen Dienst fortzuführen, liegt beim Anbieter – nicht beim Kunden. Wer sein Unternehmen auf einen Dienst aufbaut, baut auf einer Entscheidung, die jemand anderes trifft.

Keines dieser Szenarien erfordert einen Krieg, eine Krise oder eine politische Entscheidung, die sich gegen Europa richtet. Es genügt eine Vertragsänderung, eine regulatorische Maßnahme oder eine unternehmerische Entscheidung in einer Jurisdiktion, die Europa nicht kontrolliert. Das Risiko ist nicht, dass eines dieser Szenarien eintritt. Das Risiko ist, dass keines davon einen Notfallplan hat.

Der Notfallplan: Drei Bereitschaftsstufen

Die Terminologie stammt aus dem Disaster Recovery. Sie ist auf digitale Abhängigkeiten direkt anwendbar:

Hot Standby: Eine funktionsfähige Alternative läuft parallel. Im Ernstfall ist der Umstieg sofort möglich.

Pilot Light: Die Alternative ist konfiguriert und getestet, aber nicht im produktiven Einsatz. Aktivierung dauert Stunden bis Tage.

Dokumentierter Plan: Die Alternative ist identifiziert, der Migrationsweg ist dokumentiert, aber nichts ist aufgebaut. Aktivierung dauert Wochen bis Monate.

Für jede kritische Abhängigkeit sollte mindestens ein Pilot Light existieren. Der Aufwand dafür ist überschaubar – die Kosten eines Ernstfalls ohne Vorbereitung sind es nicht:

Einige europäische Institutionen sind bereits weiter: Frankreich hat 500.000 Beschäftigte in 15 Ministerien auf Visio migriert, eine souveräne Alternative zu Zoom. Österreichs Militär hat auf Open-Source-Dienste umgestellt. Die EU-Kommission kommuniziert über Matrix. Das Europäische Parlament hat im Januar 2026 mit 471 zu 68 Stimmen einen „Open Source first"-Beschluss gefasst.

Diese Beispiele zeigen: Die Alternativen existieren und sind im Einsatz – bei Regierungen, Streitkräften und Institutionen, deren Sicherheitsanforderungen über denen der meisten Unternehmen liegen. Die Frage ist nicht, ob die Alternativen funktionieren. Die Frage ist, ob sie rechtzeitig einsatzbereit sind.

Der Zeitfaktor

Eine Microsoft-365-Migration dauert typischerweise 6 bis 18 Monate. Eine Cloud-Migration 12 bis 24 Monate. Ein Identity-Provider-Wechsel 3 bis 12 Monate. Ein Desktop-Betriebssystem-Wechsel 12 bis 36 Monate in der Fläche.

Das sind Zeiträume für geordnete Projekte unter normalen Bedingungen – mit Budget, Personal und einem funktionierenden Tagesgeschäft. Wer mit der Planung beginnt, nachdem eine Krise eingetreten ist, hat keinen dieser Zeiträume zur Verfügung.

Was stattdessen passiert: Mitarbeiter, die morgens ins Büro kommen und sich nicht anmelden können. Kunden, die keine Antwort erhalten. Lieferanten, die keine Rechnungen bekommen. Verträge, die nicht eingehalten werden können, weil die Systeme fehlen, mit denen sie verwaltet werden. Nicht ein Dienst fällt aus – die Handlungsfähigkeit des Unternehmens fällt aus.

Die Kosten einer solchen Krise – Betriebsunterbrechung, Umsatzausfall, Vertragsstrafen, Reputationsschaden – übersteigen die Kosten jeder vorbeugenden Maßnahme um ein Vielfaches. Ein Pilot Light verändert dieses Kalkül grundlegend. Es reduziert die Aktivierungszeit von Monaten auf Tage – und damit den Unterschied zwischen geordnetem Umstieg und operativem Stillstand.

Fünf Schritte zur Handlungsfähigkeit

1. Abhängigkeits-Audit. Erfassen Sie jede US-Technologie, auf der Ihr Geschäftsbetrieb aufbaut. Nicht nur die offensichtlichen Systeme, sondern auch die Schichten darunter: DNS-Anbieter, Zertifizierungsstellen, CDN-Provider, Zahlungsabwickler.

2. Risiko-Klassifizierung. Bewerten Sie jede Abhängigkeit nach Eintrittswahrscheinlichkeit und Auswirkung. Priorisieren Sie: Was würde den Betrieb sofort lahmlegen? Was wäre verkraftbar? Die Antwort auf die erste Frage definiert, wo die Notfallplanung beginnen muss.

3. Notfallplan pro Kategorie. Definieren Sie für jede kritische Abhängigkeit mindestens eine Alternative. Dokumentieren Sie den Aktivierungsweg. Bestimmen Sie Verantwortliche. Ein Plan, der in einer Schublade liegt und den niemand kennt, ist kein Plan.

4. Pilot-Projekte starten. Wählen Sie die drei kritischsten Abhängigkeiten und bauen Sie einen Pilot Light auf. Testen Sie den Umstieg unter realen Bedingungen – nicht auf dem Papier, sondern mit echten Nutzern. Die Erfahrung aus diesen Piloten ist wertvoller als jedes Konzeptpapier.

5. Regelmäßige Überprüfung. Ein Notfallplan, der nicht getestet wird, ist kein Notfallplan. Führen Sie mindestens jährlich einen Stresstest durch, bei dem Sie den Ausfall eines kritischen US-Dienstes simulieren. Was dabei ans Licht kommt, ist das, was im Ernstfall über die Handlungsfähigkeit des Unternehmens entscheidet.

Was diese Analyse nicht ist

Diese Risikoanalyse ist keine Empfehlung, US-Technologie zu meiden. Sie ist keine politische Stellungnahme. US-Anbieter liefern in vielen Bereichen die leistungsfähigsten Produkte auf dem Markt. Unternehmen, die sie einsetzen, handeln wirtschaftlich rational.

Aber wirtschaftlich rational handelt auch, wer die Abhängigkeit von einem einzelnen Anbieter, einer einzelnen Jurisdiktion oder einem einzelnen Zahlungssystem als das behandelt, was es ist: ein Betriebsrisiko. Eines, das sich managen lässt – aber nur, wenn man damit anfängt, bevor es akut wird. Wer erst im Ernstfall nach Alternativen sucht, findet keine. Er findet Chaos.

Die Werkzeuge dafür – Open Source, souveräne Cloud-Infrastruktur, offene Standards – sind ausgereift und verfügbar. Was in den meisten Unternehmen fehlt, ist nicht die Technologie. Was fehlt, ist die Entscheidung, sich vorzubereiten.

Der französische Richter, dessen Kreditkarten nicht mehr funktionieren, hatte keine Wahl. Er stand auf einer Liste, und die Infrastruktur versagte. Europäische Unternehmen haben heute noch eine Wahl. Die Frage ist, wie lange.

Quellen

• Digital Sovereignty – Build vs. Buy (UC Today, Feb. 2026)
• Microsoft suspends new sales in Russia (Microsoft, März 2022)
• Euro cloud body says Broadcom licensing unfair (The Register, Mai 2025)
• Killed by Google: Verzeichnis eingestellter Google-Dienste
• Trump’s sacking of PCLOB members threatens data privacy (Lawfare, Jan. 2025)
• Europe votes to tackle deep dependence on US tech (Computerworld, Jan. 2026)
• LaSuite: Die souveräne Produktivitätssuite der französischen Verwaltung
• Pentagon vs. Anthropic: Strategische Analyse (digital-independence.org, Feb. 2026)

Themenübersicht: Cloud und Infrastruktur