Iran-Drohnenangriffe auf AWS: Geopolitische Cloud-Risiken richtig absichern – Diversifikations-Strategie

Die Auswahl einer Cloud-Region galt lange als technische Entscheidung: Latenz, Datenhoheit, regulatorische Anforderungen. Am 1. März 2026 änderte sich diese Perspektive abrupt, als iranische Drohnen drei Amazon Web Services (AWS) Rechenzentren im Nahen Osten angriffen – zwei Anlagen in den Vereinigten Arabischen Emiraten (Teil der ME-CENTRAL-1-Region) und eine in Bahrain (ME-SOUTH-1-Region). Amazon bestätigte Strukturschäden, Brände und Stromausfälle. Die iranischen Revolutionsgarden (IRGC) reklamierten die Angriffe für sich und begründeten sie laut der staatlichen Nachrichtenagentur Fars News als Vergeltung gegen Infrastruktur, die angeblich US-Militär- und Geheimdienstaktivitäten unterstütze.

Erste Militäraktion gegen Hyperscale-Cloud-Infrastruktur

Der Angriff markiert einen Präzedenzfall: Erstmals wurde bestätigt, dass ein staatlicher Akteur die physische Infrastruktur eines großen Cloud-Providers mit kinetischen Waffen attackierte. Laut Berichten hatte AWS in der Region US-Regierungsarbeitslasten und nicht klassifizierte KI-Rechenkapazitäten gehostet, darunter Anthropics Claude-Modell, das vom US-Militär für nachrichtendienstliche Bewertungen, Zielerkennung und Kampfsimulationen genutzt wurde. Die Attacke traf Shahed-Drohnen vom Typ, den Iran bereits in anderen regionalen Konflikten eingesetzt hatte.

Die Folgen für Geschäftskunden waren unmittelbar: Kernservices wie EC2, S3, DynamoDB, Lambda und RDS fielen aus. Banken wie die Abu Dhabi Commercial Bank und Emirates NBD, Zahlungsdienstleister wie Alaan, der Fahrdienst Careem sowie Lebensmittellieferdienste und Unternehmensanwendungen waren betroffen. Amazon beschrieb die Wiederherstellung als "verlängert" und empfahl Kunden, Workloads in andere Regionen zu migrieren.

Geopolitische Risiken werden zur Portfoliofrage

Sam Winter-Levy, Fellow beim Carnegie Endowment for International Peace, erklärte im März 2026, physische Angriffe auf Rechenzentren würden "künftig häufiger werden, da KI immer bedeutender wird." Die Verknüpfung militärischer und kommerzieller Cloud-Nutzung schaffe strategische Risiken: Die Joint Warfighting Cloud Capability des Pentagon und Joint All-Domain Command and Control-Netzwerke liefen auf derselben kommerziellen Infrastruktur, die auch zivile Kunden nutzten. Winter-Levy hatte bereits im Juli 2025 in einem Meinungsbeitrag für die Washington Post davor gewarnt, kritische Rechenkapazitäten in der Golfregion aufzubauen, und dabei wachsende US-Iran-Spannungen als Risikofaktor genannt.

Für Anleger, die Amazon-Aktien halten, wirft der Vorfall die Frage auf, ob es sich um eine vorübergehende Störung oder ein strukturelles Problem handelt. AWS erwirtschaftete 2025 einen Umsatz von 105 Milliarden US-Dollar, ein Wachstum von 19 Prozent im Jahresvergleich. Die internationale Expansion trieb dieses Wachstum massgeblich. AWS betreibt weltweit 33 geografische Regionen mit 105 Verfügbarkeitszonen – die geografische Diversifikation legt nahe, dass ein einzelner regionaler Vorfall die Gesamtperformance nicht katastrophal beeinträchtigen sollte. Die Attacke schafft jedoch rechtliche Grauzonen und Präzedenzfälle, die digitale Infrastruktur global gefährden könnten.

Von technischer zu geopolitischer Kalkulation

Data Centre Knowledge stellte im März 2026 fest: "Die Auswahl einer Cloud-Region war historisch ein Gespräch über Latenz, Datenhoheit und Compliance – jetzt ist es auch eine strategische Entscheidung über politische Stabilität und regionales Eskalationsrisiko." Diese Verschiebung verwandelt eine ehemals technische Entscheidung in eine geopolitische Kalkulation.

Die Marktforschungsfirma IDC prognostizierte im März 2026, der AWS-Schaden werde zu verstärkten Investitionen in Diversifikation der Dateninfrastruktur führen. Speziell im Nahen Osten würden Cloud-Anbieter sich zu Multi-AZ-Deployments verpflichten – der Speicherung von Datenkopien in separaten Anlagen. Global erwarteten Unternehmen und Regierungen von Rechenzentrumsanbietern Wiederherstellungspläne und mehrere Standorte innerhalb eines Landes. Ashish Nadkarni, IDCs globaler Infrastruktur-Research-Lead, erklärte, Golfregierungen müssten erhöhte Sicherheitsmaßnahmen bieten, um Kunden anzuziehen.

Physische Sicherheit rückt in den Fokus

Datenspeicher-Anbieter hatten bereits vor dem Angriff unterirdische Anlagen in Atombunkern aus dem Kalten Krieg und Höhlen gebaut, um sicherheitsbewusste Kunden zu gewinnen. Britische Bunker-Anlagen, die nuklearen Explosionen standhalten sollen, werden als Rechenzentren vermarktet. Nach dem Iran-Angriff erhielten Drohnenabwehr-Anbieter wie DroneShield und Echodyne Anfragen von Rechenzentrumsbetreibern in den USA und im Nahen Osten. Tom Adams, Director of Public Safety bei DroneShield, erklärte im April 2026, Drohnenabwehr entwickle sich "zu einem Muss für alle Unternehmen mit wertvoller Infrastruktur."

Langfristige Implikationen für Cloud-Strategie

AWS versprach seinen Kunden historisch eine Verfügbarkeit von 99,99 Prozent und geografische Redundanz. Die Region Naher Osten (Bahrain) ging 2019 online, um Unternehmen in den Ländern des Golf-Kooperationsrates zu bedienen. Die VAE-Regionen dienten Firmen, die in den Nahen Osten expandierten und lokale Datenschutzanforderungen erfüllen mussten. Der Angriff stellt die Frage, ob Rechenzentrumscluster anhaltenden militärischen Konflikten standhalten können.

Experten beschreiben den Vorfall als "Wendepunkt" für die Cloud-Branche. Er überschreitet die Schwelle von routinemässigen Cyberangriffen zu kinetischen Militärschlägen auf Rechenzentren – ein Szenario, das die meisten Sicherheitsplaner nicht ernsthaft in Betracht gezogen hatten. Die Attacken signalisieren, dass künftige Konflikte traditionelle Raketen mit gezielten Schlägen auf Cloud-Infrastruktur kombinieren könnten.

Diversifikationsstrategie für Anleger und Unternehmen

Unternehmen überdenken geopolitische Risiken bei der Planung von Rechenzentrumseinrichtungen im Nahen Osten neu. Kunden werden voraussichtlich weiterhin Datenspeicherung über "bedeutende Distanzen" diversifizieren, um totalen regionalen Kapazitätsausfall zu vermeiden. Die Golfstaaten haben Billionen-Zusagen für KI-Dateninfrastruktur gemacht – die Attraktivität der Region ergibt sich aus KI-Nachfrage, Ölreichtum und digitaler Transformation. Diese Faktoren schaffen gleichzeitig hochwertige Ziele in hybrider Kriegsführung.

Mehrere Quellen warnen, kommerzielle Rechenzentren seien "nicht länger unsichtbar", sondern zu strategischen Gütern in modernen Konflikten geworden. Für Portfolioentscheidungen bedeutet dies: Cloud-Anbieter mit breit diversifizierten, geografisch verteilten Regionen in politisch stabilen Zonen dürften strukturelle Vorteile gegenüber Anbietern mit Konzentration in Spannungsgebieten haben. Die Fähigkeit, Workloads schnell zwischen Regionen zu migrieren und Multi-Region-Redundanz anzubieten, wird zum Differenzierungsmerkmal.

Der Vorfall zeigt: Cloud-Infrastruktur-Risiken lassen sich nicht mehr ausschließlich durch technische Redundanz managen. Geopolitische Analyse wird zur Kernkompetenz bei der Bewertung von Cloud-Investitionen – sowohl für Unternehmen, die Services nutzen, als auch für Anleger, die Cloud-Anbieter im Portfolio halten.

Stand Ende September 2026: Daten in Bahrain dauerhaft verloren

Ein halbes Jahr nach den Angriffen ist die Lage nicht bereinigt. Im April 2026 traf ein zweiter Schlag die Anlage in Bahrain und nahm die Region vollständig vom Netz. Am 15. September 2026 teilte Amazon mit, man könne den Zugriff auf Ressourcen und Daten, die ausschließlich in der Region me-south-1 lagen, nicht wiederherstellen – der Schaden überstieg die vorhandene Redundanz über mehrere Availability Zones hinweg. Für betroffene Kunden bedeutet das dauerhaften Datenverlust. Ein weiteres Update kündigte AWS für Anfang 2027 an.

In den Vereinigten Arabischen Emiraten fällt die Bilanz weniger drastisch aus: Von der Region me-central-1 ist allein die Availability Zone mec1-az2 betroffen, die Zonen mec1-az1 und mec1-az3 sowie die gemeinsam genutzte Infrastruktur werden wiederhergestellt.

Damit verschiebt sich die praktische Lehre aus dem Vorfall: Multi-AZ-Redundanz innerhalb einer Region hat in Bahrain nicht getragen, weil der Schaden alle Zonen zugleich traf. Wirksam ist erst eine Verteilung über mehrere Regionen – und ein Backup außerhalb der betroffenen Region.