Blackout Day und Kill Switch – die Risiken digitaler Abhängigkeit

Die Münchner Sicherheitskonferenz hat eine ganz konkrete aber oft vernachlässigte Gefahr ins Scheinwerferlicht gerückt: die eines „US Blackout Days”. Konkret: Was würde eigentlich passieren, wenn zentrale US-Cloud-Dienste – etwa aus politischem Druck, regulatorischen Vorgaben oder im Rahmen einer geopolitischen Eskalation – kurzfristig für Europa nicht mehr verfügbar wären?

Die Antwort ist ebenso klar wie beunruhigend: Schon der Ausfall einzelner Dienste würde innerhalb weniger Stunden eine Kettenreaktion auslösen, weil immer mehr Alltagsprozesse, Verwaltungs-Tools und Datenflüsse auf wenigen Plattform-Ökosystemen konzentriert sind.

Cloud-Abhängigkeit als politisches Risiko

In einer Zeit offener und rücksichtsloser Großmachtpolitikverwandeln sich auch IT-Technologien und Lieferketten zu Machtinstrumenten mit Erpressungspotenzial. Digitale Abhängigkeit ist kein abstraktes IT-Thema mehr, sondern ein konkretes außen- und sicherheitspolitisches Risiko: Wer Infrastruktur, Identitäten, Kollaboration oder Datenflüsse nicht selbst kontrolliert, verliert im Zweifel Handlungsfähigkeit und Souveränität – mit gravierenden Folgen für Wirtschaft und Verwaltung. Ein weiterer Ansatzpunkt für Erpressung.

Diese Gefahr ist keine abstrakte Fingerübung für geopolitische Planspiele. Zahlreiche unabhängige Gutachten zeigen: US-Behörden können aufgrund des US CLOUD Acts auf Daten zugreifen, die bei US-Cloud-Anbietern gespeichert sind – selbst wenn diese Daten ausschließlich in europäischen Rechenzentren liegen.

Entscheidend ist: Es zählt nicht allein der physische Speicherort, sondern der juristische Rechtsraum des Anbieters. Auch Microsoft- und AWS-Dienste, die in Frankfurt oder Paris laufen, unterliegen dem US-Recht und können europäischen Nutzern die vollmundig verkündete “Souveränität” dadurch aus rechtlichen Gründen gar nicht bieten.

Warum US-Zugriffsrechte strategisch relevant sind

Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ermächtigt US-Strafverfolgungsbehörden, Daten von US-Cloud-Providern anzufordern, unabhängig davon, wo diese gespeichert sind – und das ohne zwingende gerichtliche Kontrolle nach EU-Recht.

Ein Gutachten der Universität zu Köln im Auftrag des BMI belegt, dass US-Behörden selbst dann Zugriff einfordern können, wenn Daten ausschließlich in europäischen Rechenzentren liegen.

Praktische Beispiele belegen das. Microsoft BitLocker-Recovery-Keys in Cloud-Accounts können zentral gespeichert werden und US-Behörden können im Rahmen von Ermittlungen so darauf zugreifen – was für Unternehmen mit sensiblen Daten erhebliche Governance- und Risikofragen aufwirft

Ein Schwert, zwei Schneiden: US CLOUD Act und “Kill-Switch-Risiko”

In der aktuellen Debatte um digitale Abhängigkeit werden häufig zwei Risiken vermischt, obwohl sie sich strukturell unterscheiden: das CLOUD-Act-Risiko und das sogenannte “Kill-Switch-Risiko”, das zum Blackout führt.

Der US CLOUD Act erlaubt US-Behörden wie bereits geschildert, von US-Anbietern die Herausgabe von Daten zu verlangen, selbst dann, wenn diese Daten in europäischen Rechenzentren gespeichert sind. Dieses Risiko betrifft also in erster Linie die Vertraulichkeit und Datenhoheit.

Davon zu unterscheiden ist das "Kill-Switch-Risiko". Dieses bezeichnet die Möglichkeit, dass Dienste technisch oder regulatorisch deaktiviert werden können – etwa durch Lizenz-Server, zentrale Authentifizierungsdienste oder Exportkontrollen. Sicherheitsanalysten warnen seit Jahren davor, dass geopolitische Spannungen oder Sanktionsregime dazu führen können, dass Technologieanbieter ihre Dienste regional einschränken müssen, wie es etwa bei Exportkontrollen im Technologiesektor immer wieder diskutiert wird und passiert. Das robuste Auftreten der aktuellen US-Regierung hat solche Bedenken in den Risikobewertungen vieler Unternehmen und Behörden in der Priorität deutlich steigen lassen. Das Ergebnis wäre der Daten-Blackout.  
 
Während der CLOUD Act also den Zugriff auf Daten betrifft, geht es beim Kill-Switch-Risiko um die Verfügbarkeit und Betriebsfähigkeit ganzer Systeme. Beide Risiken zusammen ergeben ein strategisches Abhängigkeitsproblem: Wer Infrastruktur, Identitäten, Updates und Lizenzvalidierung nicht selbst kontrolliert, manövriert sich in eine strukturelle, selbst verschuldete Fremdbestimmung.

Konkrete Gefahren für deutsche Behörden und Unternehmen

Zahlreiche Experten warnen: DSGVO und CLOUDAct stehen in strukturellem Konflikt, weil das US-Recht sogenannte „exterritoriale“ Zugriffsmöglichkeiten schafft, die dem europäischen Datenschutzrecht widersprechen.

Das Problem betrifft aber nicht nur Wirtschaftsdaten, sondern auch staatliche Stellen: Behörden setzen zunehmendauf Microsoft- oder AWS-Cloud-Dienste für kritische Prozesse, obwohl damit das Risiko von US-Zugriffen einhergeht.

Unabhängig davon, dass noch kein bekannter Zugriff auf EU-Daten öffentlich gemacht wurde, bestätigen Microsoft-Vertreter, dass es technisch nicht möglich sei, garantierten Schutz vor US-Behördenzugriff zu gewährleisten – auch nicht für Daten, die in Europa gespeichert sind.

Politische und wirtschaftliche Dimensionen

Aus politischen Kontexten gibt es Signale: Auf einem EU-Gipfel zur digitalen Souveränität diskutierten Bundeskanzler, europäische Staatschefs und Experten intensiv über die Reduktion von Abhängigkeiten von US-Tech-Giganten.

Auch außerhalb politischer Diskussionen wächst der Druck unter Unternehmen und Behörden, Exit-Strategien und alternative Architekturen zu entwickeln, etwa durch Migration zu ausschließlich europäischen Cloud-Stack-Anbietern, die nicht unter US-Rechtsraum stehen. Die Risken von Kill Switch / Blackout und US Cloud Act komplett auszuschließen, erfordert also technologische sowie rechtliche Maßnahmen.  

Warum Notfall-Szenarien kein IT-Einzelfall bleiben dürfen

Ein einziger „Blackout-Day“ – egal, ob technisch, politisch oder regulatorisch ausgelöst – kann binnen Stunden zu einem Funktionsproblem für Verwaltung, Unternehmen und Öffentlichkeit werden, weil digitale Alltagsprozesse hochgradig verkettet und auf wenige Anbieter konzentriert sind.

Diese Kettenreaktion betrifft daher nicht nur einzelne Tools, sondern:

• Zugriffskontrolle und Identitätsmanagement
• Kommunikation und Teamtools
• Backup und Notfallwiederherstellung
• Vertrags- und Signaturprozesse

Ein solcher Vorfall wäre vermutlich kein einmaliger, kurzlebiger „Bug“ oder “Outage”, sondern hätte das Potenzial zum strategischen Betriebsstillstand – mit weitreichenden Konsequenzen für Compliance, Haftungund wirtschaftliche Kontinuität.

Was Unternehmen und Behörden jetzt tun müssen

Die Relevanz digitaler Souveränität ist keine theoretische Debatte, sondern eine operative Notwendigkeit. Drei Schritte zeigen, wie Sie strategisch handeln können:

· Risikobewertungund Exit-Strategie: Erstellen Sie eine dokumentierte Risikoanalyse Ihrer Cloud-Abhängigkeiten.

· Diversifizierung der Systeme: Reduzieren Sie monolithische IT-Abhängigkeiten durch modulare, souveräne Alternativen.

· Revisionssichere Governance: Nutzen Sie Tools, die Rechte, Zugriffe und Datenflüsse unter europäischem Recht steuern.

Eine empfehlenswerte Analyse zum Risiko eines “Blackout-Days”und möglichen wirtschaftlichen Folgen finden Sie in dieser Folge des „Politisches Feuilletons“ von Deutschlandfunk Kultur: