Cloud-Infrastruktur als Kriegsziel: Was der Irankrieg für M365-Admins und IT-Entscheider bedeutet

Heute müssen wir leider, aufgrund aktueller Ereignisse, über ein unangenehmes Thema reden. Am 1. März 2026, kurz vor Sonnenaufgang, trafen iranische Shahed-Drohnen zwei AWS-Rechenzentren in den Vereinigten Arabischen Emiraten.
Wenige Stunden später lagen Banken offline. Zahlungsapps funktionierten nicht mehr. Unternehmens-Software war nicht erreichbar. Nicht wegen eines Hackerangriffs, nicht wegen eines Stromausfalls, sondern weil jemand eine Entscheidung getroffen hatte: Diese Gebäude sind legitime militärische Ziele.

Das klingt weit weg. Es ist jedoch näher als wir glauben! Während sich die Welt auf den Nahen Osten konzentrierte, veröffentlichte das russische Verteidigungsministerium unlängst eine Liste mit 21 europäischen Unternehmen.
Darunter Firmen in München und Hanau (Hersteller von Drohnen, bzw. Drohnenteilen für die Ukraine), und bezeichnete deren Standorte als potenzielle Angriffsziele. Der Krieg ist jetzt nicht mehr nur in der Ukraine. Er klopft an europäische Unternehmenstüren.

Dieser Artikel erklärt, warum diese Entwicklungen direkt relevant für jeden IT-Entscheider sind, der heute Microsoft 365 nutzt. Und was das für die Business-Continuity-Planung bedeutet.

Was in den Vereinigten Arabischen Emiraten (UAE bzw. VAE) passiert ist

Die iranische Revolutionsgarde griff drei AWS-Rechenzentren an: zwei in den VAE, eines in Bahrain. Das Ergebnis war für die Betroffenen verheerend:

• Zwei von drei Availability Zones der AWS-Region ME-CENTRAL-1 fielen gleichzeitig aus.
• AWS erklärte intern den Status „hard down“ für mehrere Zonen.

„Hard Down“ bei Amazon Web Services (AWS) bezeichnet einen totalen, schwerwiegenden Ausfall einer oder mehrerer Verfügbarkeitszonen (Availability Zones) oder einer gesamten Region. 
Im Gegensatz zu einer „erhöhten Fehlerrate“ (soft issue) bedeutet „Hard Down“, dass die Infrastruktur physisch oder logisch nicht mehr erreichbar ist, was zu einem sofortigen Stillstand der darauf laufenden Dienste führt. Die daraus resultierenden Konsequenzen:

• Sehr Namhafte Banken wie die Abu Dhabi Commercial Bank, Emirates NBD und First Abu Dhabi Bank meldeten Ausfälle.
• Die Zahlungsplattformen Hubpay und Alaan waren offline.
• Das Ride-Hailing-Unternehmen Careem und der Datendienst Snowflake meldeten Unterbrechungen.

Mehrere Zonen fielen gleichzeitig aus. Und das produzierte eine unerwartete und nicht kalkulierte Situation. Die Standard-Redundanzmodelle, auf die Unternehmen sich verlassen hatten, haben versagt.

Warum wurden Rechenzentren zum Ziel?

AWS betreibt dedizierte Regionen für US-Regierungsbehörden. Und das auf der gleichen Hardware, und oft auch an dem gleichen Standort, wie die zivilen Anwendungen.
Das Amerikanische Militär nutz diese Infrastruktur für Ihre eigenen Anwendungen zur Kriesgführung. Wie zum Beispiel eine spezielle Version des LLM von Claude. Anthropics KI-Modell Claude lief auf AWS-Infrastruktur für Geheimdienstanalysen des US-Verteidigungsministeriums.
Und genau hier liegt das Problem. Die Iranische Armee sieht hier die Begründung: Die Rechenzentren unterstützten US-Militär- und Geheimdienstoperationen. Und somit wurden sie gemäß internationalem Recht zu legitimen Kriegszielen. Das Bahrain-Rechenzentrum wurde explizit als Ziel genannt. Eben weil es militärische und nachrichtendienstliche Aktivitäten unterstütze, die gegen Iran gerichtet sind.

Und jetzt wird es wirklich ernst. Die Logik dahinter folgt dem gültigen Kriegsvölkerrecht: Infrastruktur, die militärische Operationen unterstützt, ist ein legitimes Angriffsziel.

Der Krieg vor der Haustür: Russlands Drohungen gegen Europa

Was im Nahen Osten mit Drohnen auf Rechenzentren demonstriert wurde, ist ein warnendes Beispiel für uns in Europa. Denn es ist eine Blaupause. Russland hat aufmerksam zur Kenntnis genommen, wie der Iran gehandelt hat. Da auch im Ukraine Krieg nachrichtendienstliche Erkenntnisse aus AWS und Azure gehosteten Rechenzentren zur Zielermittlung führen, ist diese Strategie von Russland mit Sicherheit sehr aufmerksam beobachtet und analysiert worden.

Im April 2026 veröffentlichte das russische Verteidigungsministerium in einer Pressekonferenz eine Liste mit 21 europäischen Unternehmen, die angeblich Drohnen, bzw. Drohnenteile für die Ukraine produzieren.
Diese Liste umfasst Standorte, unter anderem in Deutschland, Tschechien, Italien, Spanien, Dänemark, Litauen, Polen und Großbritannien.
Und der frühere russische Präsident Medwedew kommentierte die Veröffentlichung mit den Worten: „Die Liste ist eine Liste potenzieller Ziele für die russischen Streitkräfte. Schlaft gut, liebe europäische Partner.“

Wer jetzt glaube, die Bluffen nur liegt falsch. Das ist keine abstrakte Drohung. Der Thüringer Verfassungsschutzpräsident Stephan Kramer wies darauf hin, dass die Nennung europäischer Firmen als Ziele eine neue Eskalationsstufe darstellt.

Die Verbindung zu Rechenzentren liegt somit auf der Hand: Wer Drohnenfabriken als legitime Ziele betrachtet, weil sie militärische Infrastruktur unterstützen, wird denselben Maßstab auf Cloud-Rechenzentren anwenden, die US-Militärsoftware hosten.

Azure und AWS betreiben Rechenzentren in genau jenen Ländern, die Russland als strategisches Hinterland der Ukraine bezeichnet: Deutschland, Polen, den Niederlanden, Irland. Österreich ist geografisch nah genug, um in dieser Betrachtung nicht ignoriert werden zu können.

Die Verquickung von ziviler und militärischer Infrastruktur

Microsoft, AWS und Google haben systematisch Verträge mit dem US-Militär abgeschlossen:

• Microsoft hat einen Milliarden-Dollar-Vertrag im Rahmen des JWCC (Joint Warfighting Cloud Capability) mit dem US-Verteidigungsministerium.
• AWS betreibt dedizierte GovCloud-Regionen für klassifizierte Militäranwendungen.
• Google hat nach einem internen Aufstand 2018 kurz gezaudert, dann aber seine KI-Waffenrichtlinie still geändert.

Das Resultat: Wie oben schon mehrfahr erwähnt, dieselbe physische Infrastruktur, die Ihren M365-Tenant betreibt, hostet auch klassifizierte Militäranwendungen. Nicht zwangsläufig im selben Gebäude, aber beim selben Anbieter, in derselben Region.

Fortune schrieb nach den Angriffen in den UAE: Die Grenze zwischen kommerziellem Cloud-Computing und Militäroperationen ist weitgehend verschwunden.

Was das mit Microsoft 365 zu tun hat

Wenn Sie M365 nutzen, liegen Ihre Daten in Azure-Rechenzentren. Azure ist die technische Infrastruktur auf der die Serverdienstleistungen von Microsoft beruhen.
Microsoft betreibt Rechenzentren in Deutschland, den Niederlanden, Irland und Österreich-nah in der Region West Europe. Diese Länder stehen auf keiner offiziellen russischen Zielliste, aber sie unterstützen aktiv die Ukraine, und Microsoft hat Militärverträge mit den USA.

Microsoft hat nach den Drohnenangriffen in den UAE jeden Kommentar zu Sicherheitsvorkehrungen an seinen Rechenzentren in der Region abgelehnt. Für europäische Standorte gibt es keine andere Aussage.

Das bedeutet nicht, dass Ihre Azure-Region morgen bombardiert wird. Aber auch nicht, dass das niemals passieren kann. Wer heute keine Antwort auf die Frage hat, was bei einem mehrtägigen Ausfall passiert, handelt fahrlässig.

Die unbequeme Frage an IT-Entscheider

Stellen Sie sich folgende Fragen, und seien Sie ehrlich bei den Antworten:

• Enthält Ihr Business-Continuity-Plan das Szenario physische Zerstörung oder langfristiger Ausfall des Rechenzentrums?
• Haben Sie eine Multi-Region-Strategie, die auch simultane Ausfälle mehrerer Availability Zones abdeckt?
• Was passiert mit Teams, SharePoint und Outlook, wenn Ihre Azure-Region für 48 Stunden ausfällt?
• Haben Sie kritische Daten lokal oder in einer anderen Region gesichert?
• Weiß Ihre Geschäftsführung, dass das kein rein theoretisches Risiko mehr ist?

Die meisten Unternehmen werden mindestens eine dieser Fragen nicht mit Ja beantworten können. Das ist der eigentliche Handlungsbedarf.

Risikobewertung: Was Sie konkret betrifft

Die folgende Matrix zeigt vier realistische Szenarien, bewertet nach Eintrittswahrscheinlichkeit und Schadensausmaß. Alle Szenarien basieren auf dokumentierten Ereignissen oder aktiven Bedrohungslagen.

Bewertungsgrundlage

Was Sie konkret tun können

1. Azure-Region Ihres Tenants prüfen

Im Microsoft 365 Admin Center sehen Sie, in welcher Region Ihr Tenant läuft. Für österreichische Unternehmen sollte das West Europe oder North Europe sein. Den Datenspeicherort finden Sie unter: Admin Center > Einstellungen > Organisationsprofil > Datenspeicherort.

2. Backup-Strategie überdenken

Microsoft sichert Ihre Daten gegen Datenverlust, aber nicht gegen vollständige Regionsausfälle über längere Zeit. Kritische Daten aus SharePoint und Teams sollten regelmäßig in eine zweite Region oder lokal gesichert werden.

Dafür gibt es Drittanbieter-Tools wie Veeam, AvePoint oder Spanning. Diese bieten Cloud to Cloud Backups, so daß Ihre Daten jederzeit wiederhergestellt werden können.
Manche Unternehmen machen sich auch Gedanken ob, und wie sie die Daten auf lokalen Speichermedien sichern können, um sie im Falle eines Falles wiederherstellen zu können.

3. Offline-Notfallplan erstellen

Ich freue mich hier den Gastautor Thomas Laszlo vorstellen zu dürfen, der so freundlich ist, seine Expertise für Notfälle uns hier zur Verfügung zu stellen. Er hat den gesamten Abschnitt 3 verfasst. Vielen Dank für Deine Unterstützung, Thomas:

Wenn zentrale Rechenzentren oder Cloud-Dienste infolge militärischer Einwirkungen ausfallen, zeigt sich schnell, wie belastbar die Notfallvorsorge eines Unternehmens tatsächlich ist. Die entscheidende Frage lautet dann nicht mehr, ob Prozesse digitalisiert sind, sondern ob sie auch ohne diese Systeme weitergeführt werden können. In der Praxis zeigt sich, dass viele Unternehmen ihre Kommunikation, Dokumentation und Steuerung vollständig in Plattformen wie Microsoft Teams, SharePoint oder cloudbasierte ERP-Systeme verlagert haben – ohne ein Szenario für deren Ausfall durchzudenken.

Nach Einschätzung von Thomas Laszlo, Geschäftsführer von WAS-TUN-WENN e.U., liegt genau hier eine der größten Schwachstellen moderner Organisationen: „Viele Unternehmen sind hervorragend digital aufgestellt – aber nicht darauf vorbereitet, wenn diese digitalen Systeme plötzlich nicht mehr verfügbar sind.“

Ein belastbarer Notfallplan geht daher weit über reine IT-Wiederanlaufkonzepte hinaus. Er definiert nicht nur alternative Kommunikationswege, sondern vor allem konkrete Ersatzprozesse für kritische Geschäftsabläufe. Das bedeutet: Welche Tätigkeiten können vereinfacht oder manuell weitergeführt werden? Welche Entscheidungen müssen auch ohne Zugriff auf Systeme getroffen werden – und auf Basis welcher Informationen?

Zentral ist dabei die Vorbereitung von analogen oder systemunabhängigen Hilfsmitteln: vordefinierte Formulare zur Auftragserfassung, vorbereitete Checklisten für den Notbetrieb, gedruckte oder offline verfügbare Kontaktlisten sowie einfache Dokumentationsvorlagen. Diese Tools ermöglichen es, den Betrieb zumindest eingeschränkt aufrechtzuerhalten, auch wenn zentrale Systeme nicht verfügbar sind. Ohne solche vorbereiteten Arbeitsmittel entsteht im Ernstfall Chaos – nicht wegen der Störung selbst, sondern weil die operative Umsetzung fehlt.

Unternehmen, die sich mit diesen Szenarien nicht aktiv auseinandersetzen, laufen Gefahr, im Ernstfall nicht an der technischen Ursache zu scheitern, sondern an fehlender Umsetzungsfähigkeit. Ein strukturiertes Notfallhandbuch stellt sicher, dass neben Verantwortlichkeiten und Kommunikationswegen auch konkrete, sofort umsetzbare Abläufe und Werkzeuge definiert sind – damit Mitarbeitende auch unter extremen Bedingungen handlungsfähig bleiben.

Thomas Laszlo ist Experte für Notfälle und Notfallhandbücher. Bitte wenden Sie sich gerne Vertrauensvoll an Ihn, wenn Sie über diese Thematik mehr wissen wollen und tiefer einsteigen wollen.

Kein Alarmismus, aber ein Realitätscheck

Europa hat leider die Diskussion über digitale Souveränität lange geführt, ohne sie zu lösen. Das hat dazu geführt, dass zwar Europäische Cloud-Alternativen existieren, diese können allerdings den Funktionsumfang von M365 nicht ersetzen. Und bis diese Anbieter soweit sein können geht noch viel Zeit ins Land. Das ist die ehrliche Lage.

Zwei Kriege zeigen uns gerade gleichzeitig, was passiert, wenn das Worst Case Szenario, das niemand jemals erleben will, zur Realität werden kann.
Im Nahen Osten fallen Rechenzentren durch Drohnenangriffe aus. In Europa werden europäische Firmen öffentlich als Ziele genannt. Und darüber hinaus ist die Schwelle zwischen digitaler und physischer Infrastruktur für Kriegsziele gefallen.

Die ehrliche Frage, die jeder sich jetzt stellen muß ist nicht ob das wieder passiert, sondern wann und wo. Und ob Ihr Unternehmen darauf vorbereitet ist.

Quellen

• AWS UAE outage after objects strike data center, Data Center Dynamics, April 2026
• Iran war: Digital services down in UAE after data center drone strikes, CNBC, März 2026
• Why Iran targeted Amazon data centers, The Conversation, April 2026
• War in Iran Damages Multiple AWS Data Centers, InfoQ, März 2026
• The Legal and Policy Fallout from Data Center Strikes, TechPolicy.Press, März 2026
• Iranian attacks on Amazon data centers signal a new kind of war, Fortune, März 2026
• Russland listet deutsche Drohnen-Firmen als Angriffsziele, Business Insider Deutschland, April 2026
• Russland warnt: Europäische Hersteller von weitreichenden Drohnen sind potenzielle Ziele, Overton Magazin, April 2026
• Ukraine-Krieg: Russland nennt Firmen als Ziele, auch in Deutschland, Handelsblatt, April 2026
• Anthropic as a subprocessor for Microsoft Online Services, Microsoft Learn

Wir hoffen, dass wir Ihnen mit dieser Information haben helfen können.

Sollten Sie Fragen, Anregungen oder Wünsche haben, dann wenden Sie sich bitte an uns. Gerne helfen wir Ihnen weiter.

Sie haben Bedarf an Webinaren oder an Schulungen? Dann rufen Sie uns an oder senden uns eine unverbindliche Anfrage. Wir rufen Sie dann gerne zurück.