Diese Woche ist Resilienzwoche in Hessen. Innenminister Poseck nennt Resilienz einen unverzichtbaren Baustein der Sicherheitsarchitektur, und die Lage erfordere „von uns allen konsequente Vorbereitung“ auf Krisenereignisse.

Von uns allen.

Drei Wochen zuvor hatte Innenstaatssekretär Rößler beim Cybersicherheitsgipfel den Ton gesetzt: „Cybersicherheit ist ein unverzichtbarer Teil staatlicher Daseinsvorsorge geworden.“

Zwei Mal „unverzichtbar„, ein Mal „Daseinsvorsorge„, einmal „von uns allen„. Man könnte den Eindruck gewinnen, hier werde etwas ernst genommen.

Sehen wir nach.

Die Zahl

Hessen hat 421 Gemeinden. Von diesen 421 unterliegt exakt keine einzige einer gesetzlichen Mindestanforderung an die Informationssicherheit ihrer Verwaltung. Nicht eine.

Das ist kein Versäumnis und keine Regelungslücke, die man noch schließen wollte. Es ist eine Entscheidung, sie ist dokumentiert, und dokumentiert hat sie das Innenministerium selbst. Auf innen.hessen.de, Rubrik Cyber- und IT-Sicherheit, Unterseite „Hessische Kommunen“, steht der Vorgang in erfrischender Klarheit:

Der europäische Gesetzgeber hatte es den Mitgliedstaaten freigestellt, die Kommunalverwaltung in den Anwendungsbereich der NIS-2-Richtlinie einzubeziehen. Die Länder haben sich unisono dagegen ausgesprochen. Der IT-Planungsrat hat sie mit Beschluss 2023/39 ausdrücklich gebeten, von der Option keinen Gebrauch zu machen. Hessen ist dieser Bitte gefolgt.

„Unisono“ ist übrigens die Formulierung des Ministeriums, nicht meine. Man ist ein bisschen stolz darauf.

Rechnen wir das in Menschen um. In Hessen leben rund 6,4 Millionen Einwohnerinnen und Einwohner, und sie alle wohnen in einer dieser 421 Gemeinden. Das Verhältnis lautet also:

6,4 Millionen zu null.

Hundert Prozent der hessischen Bevölkerung leben in einer Kommune, deren Verwaltung keiner verbindlichen Anforderung an ihre IT-Sicherheit unterliegt. Nicht „einer niedrigeren als anderswo“. Keiner.

Was dort liegt: die Melderegister sämtlicher hessischer Einwohner. Die Standesämter. Die Sozial- und Jugendhilfeakten, also die sensibelsten personenbezogenen Daten, die ein Staat überhaupt führt. Bauakten, Gewerberegister, Kita- und Schulverwaltung. Die Durchführung von Wahlen. Dazu sämtliche Fachverfahren und die Schnittstellen, über die sie an Landes- und Bundesregister hängen — künftig noch erheblich mehr davon, wenn NOOTS als „zentrale Datenautobahn der föderalen Verwaltung“ ans Netz geht.

Ein Handwerksbetrieb mit 50 Beschäftigten in einem geregelten Sektor braucht ein Informationssicherheitsmanagementsystem, Meldewege und eine haftende Geschäftsleitung. Das Rathaus, das die Daten sämtlicher Mitarbeiter dieses Betriebs führt, braucht nichts davon.

„Aber die Stadtwerke sind doch erfasst“

Kommt der Einwand. Er stimmt sogar. Nur hilft er nicht.

Erfasst werden kommunale Einrichtungen über zwei Wege. Erstens als Betreiber kritischer Anlagen — das ist die alte KRITIS-Logik nach Versorgungsgrad, bei Trinkwasser rund 500.000 versorgte Personen. Zweitens über den Size-Cap: Sektor plus Größe, ab etwa 50 Beschäftigten oder 10 Millionen Euro Umsatz.

Wer daraufhin an Frankfurt, Wiesbaden und Kassel denkt, denkt schon falsch. Wiesbaden hat rund 283.000 Einwohner, Kassel rund 205.000. Beide liegen mit ihrer Wasserversorgung deutlich unter der KRITIS-Schwelle. Erfasst sind sie über den zweiten Weg — und erfasst ist dann die ESWE beziehungsweise die Städtische Werke. Nicht die Stadt. Nicht das Rathaus. Nicht das Melderegister.

Und jetzt die typische hessische Gemeinde, also der Normalfall. Sie betreibt ihre Wasserversorgung, wenn sie sie selbst betreibt, als Regie- oder Eigenbetrieb mit fünf bis acht Personen. Fällt sie unter den Size-Cap?

Nein. § 28 Abs. 3 Satz 1 Nr. 2 BSIG ordnet die Anwendung der KMU-Empfehlung — und damit die Zurechnung von Personal- und Umsatzzahlen — ausdrücklich nur für Einrichtungen an, die keine rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft sind. Ein Eigenbetrieb ist genau das. Die Beschäftigten der Verwaltung dürfen also nicht mitgezählt werden.

Was auch schwer ginge, denn die Verwaltung ist ja gar nicht erfasst.

Sechs Leute bleiben sechs Leute. Die Schwelle liegt bei fünfzig. Ergebnis: nichts.

Bundesweit haben 93 Prozent aller Gemeinden weniger als 20.000 Einwohner, rund 72 Prozent weniger als 5.000. Hessens Gemeinden sind nach der Gebietsreform der Siebziger größer als der Bundesschnitt — aus über 2.700 wurden 421, die durchschnittliche hessische Gemeinde hat rund 14.000 Einwohner gegenüber gut 7.500 im Bund. Am Prinzip ändert das nichts: In der ganz überwiegenden Zahl der Fälle ist weder die Verwaltung noch der eigene Versorgungsbetrieb reguliert.

Die Größenlogik läuft dabei exakt verkehrt herum. Reguliert wird, wer viel Personal hat. Nicht reguliert wird, wer wenig hat. Also stellt der Gesetzgeber ausgerechnet dort keine Mindestanforderung, wo am wenigsten Fachpersonal, Budget und Vertretungsfähigkeit vorhanden ist — und wo ein Ausfall die Verwaltung nicht verlangsamt, sondern anhält.

Die Frage, die daraus folgt

Wer in Frankfurt wohnt, bekommt sein Trinkwasser von einem regulierten Betreiber. Wer in einer Gemeinde mit 3.000 Einwohnern wohnt, nicht. Gleiches Wasser, gleiche Abhängigkeit, andere Rechtslage.

Also die Frage, direkt: Sind die Einwohnerinnen und Einwohner von Frankfurt, Wiesbaden und Darmstadt bei der Wasserversorgung schützenswerter als alle anderen?

Die Antwort der Landesregierung ist absehbar und lautet sinngemäß: Es gehe nicht um den Wert von Menschen, sondern um die Zahl der Betroffenen je Ereignis. Konzentriertes Risiko, konzentrierte Pflichten. Das ist die Standardlogik von Infrastrukturregulierung, und sie ist nicht von vornherein falsch.

Nur trägt sie hier an drei Stellen nicht.

Erstens ist eine Kante keine Risikoabstufung. Risikobasiert wäre, unterhalb der Schwelle geringere Anforderungen zu stellen. Gewählt wurde stattdessen ein Sprung von allem auf nichts. Wer knapp unter fünfzig Beschäftigten liegt, schuldet nicht weniger — er schuldet gar nichts. Kein Mindeststandard, kein Meldeweg, kein Notfallkonzept. Für ein Risikomodell ist das eine bemerkenswert grobe Kurve.

Zweitens hat das Land nur die halbe Rechnung aufgemacht. Risiko ist Eintrittswahrscheinlichkeit mal Schadenshöhe. Betrachtet wurde ausschließlich die Schadenshöhe. Die Wahrscheinlichkeit fällt aber in die andere Richtung: Ein Betrieb mit sechs Beschäftigten, ohne Informationssicherheitsbeauftragten, ohne Monitoring, ohne Rufbereitschaft und ohne Vertretungsregelung ist leichter zu treffen als ein Verbundversorger mit eigener Sicherheitsabteilung. Wer nur die Folgen gewichtet und die Anfälligkeit ignoriert, hat kein Risikomodell, sondern eine Einwohnerzahl.

Drittens fällt der Ausfall für Betroffene nicht anteilig aus. Wenn in einer Gemeinde mit 3.000 Einwohnern die Wasserversorgung steht, steht sie für diese 3.000 zu hundert Prozent. Grundversorgung ist ein individueller Anspruch, kein statistischer. Und in der Summe reden wir nicht über Randfälle: Bundesweit haben rund 93 Prozent aller Gemeinden weniger als 20.000 Einwohner. Die Menschen, die von nicht regulierten Betreibern versorgt werden, sind keine Minderheit.

Und jetzt der Teil, an dem die Konzentrationslogik vollständig zusammenbricht.

Bei der Verwaltung gibt es überhaupt keine Schwelle. Frankfurts Melderegister mit rund 775.000 Datensätzen unterliegt exakt derselben Regulierung wie das einer 3.000-Einwohner-Gemeinde, nämlich keiner. Hier kann sich das Land nicht einmal auf ein Risikomodell berufen, weil keines angewandt wurde. Die größte Datensammlung im Land ist genauso ungeregelt wie die kleinste.

Damit ergibt sich ein Muster. Wo eine Größenlogik angelegt wurde, führte sie zur Freistellung der Kleinen. Wo keine angelegt wurde, führte das zur Freistellung aller. In beide Richtungen lautet das Ergebnis: weniger Pflicht. Das ist kein Zufall und keine Risikoabwägung. Das ist eine Haushaltsentscheidung, die sich als Regulierungskonzept verkleidet.

Warum eigentlich?

Es gab Argumente, und der Ordnung halber seien sie genannt: Doppelregulierung vermeiden, Zuständigkeiten sauber trennen, den Ländern Zeit geben, eigene, auf die jeweilige Verwaltungsstruktur zugeschnittene Regelungen zu schaffen.

Das war allerdings die halbe Empfehlung. Der zweite Teil lautete, die Länder mögen dann eben eigene Regelungen im Landesrecht schaffen. Dieser Teil wird seit November 2023 mit bemerkenswerter Ausdauer überhört. Der Beschluss ist knapp drei Jahre alt. Das Bundesgesetz ist seit dem 6. Dezember 2025 in Kraft. Ein hessisches Landesrecht zur kommunalen Informationssicherheit: existiert nicht.

Der ehrlichere Grund ist in den Fachdebatten offen benannt worden und heißt Konnexität. Hätte man die Kommunen verpflichtet, hätte das Land zahlen müssen. Wer bestellt, bezahlt. Wer nicht bestellt, spart.

Man hat also nicht entschieden, dass kommunale IT-Sicherheit unwichtig sei. Man hat entschieden, dass sie nicht in den Landeshaushalt passt. Das ist etwas völlig anderes. Es macht sich nur in einer Pressemitteilung zur Resilienzwoche schlechter.

Wie viele sind es denn nun?

Gute Frage. Niemand weiß es.

Das BSI-Register ist nicht öffentlich. Die Einstufung erfolgt als Selbsteinschätzung, ohne behördlichen Bescheid — jede Einrichtung muss selbst prüfen, ob sie betroffen ist. Und das Land ist für die kommunale Ebene nicht zuständig, weil es sich die Zuständigkeit ja gerade erspart hat.

Es gibt also keine Stelle in Hessen, die beziffern kann, wie viele kommunale Einrichtungen einer gesetzlichen Mindestanforderung unterliegen und wie viele davon sie erfüllen. Die Registrierungsfrist beim BSI ist im März 2026 abgelaufen; Schätzungen aus der Beraterbranche gehen davon aus, dass ein erheblicher Teil der Pflichtigen sie versäumt hat. Ob das für Hessen zutrifft, kann man nicht sagen, weil niemand nachsieht.

Beim Trinkwasser wird es noch unübersichtlicher. Hessenwasser versorgt nach eigenen Angaben rund 2,4 Millionen Menschen im Rhein-Main-Gebiet; Frankfurt, Wiesbaden, Darmstadt und über fünfzig weitere Kommunen beziehen direkt oder mittelbar. Mit 2,4 Millionen liegt das Unternehmen weit über jeder Schwelle und ist zweifelsfrei erfasst.

Nur verantwortet Hessenwasser die Beschaffung — Gewinnung, Aufbereitung, Transport, Speicherung. Die Belieferung der Endkunden und die örtlichen Verteilnetze bleiben bei den Gesellschaftern und den lokalen Versorgern. Wer in einer kleinen Gemeinde wohnt, bezieht sein Wasser also unter Umständen aus einer regulierten Beschaffung über ein unreguliertes Verteilnetz. „Versorgt von einem KRITIS-Betreiber“ ist eben nicht dasselbe wie „geschützte Versorgungskette“.

Welcher Anteil der 6,4 Millionen Hessinnen und Hessen an einer durchgehend regulierten Trinkwasserversorgung hängt, kann deshalb niemand beziffern. Auch das ist keine Wissenslücke, sondern eine Folge der Zuständigkeitsverteilung.

Daraus werden zwei hübsche Landtagsanfragen. Erstens: Wie viele kommunale Einrichtungen in Hessen fallen nach Kenntnis der Landesregierung unter das BSIG, und wie viele haben sich fristgerecht registriert? Zweitens: Wie viele Einwohnerinnen und Einwohner Hessens werden von Wasserversorgungsunternehmen versorgt, die dem BSIG unterliegen — und wie viele nicht?

Die wahrscheinliche Antwort auf beide — es liegen keine Erkenntnisse vor — ist die eigentliche Nachricht.

Und wofür genau leisten wir uns zwei Ministerien?

Hessen hat ein Digitalministerium. Nicht jedes Land hat das. Man ist stolz darauf, und es liefert: ein KI-Anwendungszentrum in Frankfurt, ein Drohnenkompetenzzentrum in Calden mit acht Millionen Euro Förderung, eine Datentreuhandstelle in Gießen, Spatenstiche bei Rechenzentren, ein Förderprogramm für digitale Basistechnologien in den Rathäusern, den Verwaltungsschub und, als Krönung, den ersten Platz unter den Flächenländern im Digitalranking.

Cyber- und IT-Sicherheit sitzt derweil im Innenministerium. Dort fand der Cybersicherheitsgipfel statt, dort steht die NIS-2-Seite, dort wurde entschieden, die Kommunen nicht einzubeziehen, und dort läuft die Resilienzwoche.

Zwei Häuser, viel Digitalpolitik, ein gemeinsames Ergebnis: null verbindliche Mindestanforderung an die IT-Sicherheit von 421 Kommunalverwaltungen.

Hessen leistet sich damit mehr Ressorts für Digitalisierung als verbindliche Standards für kommunale Informationssicherheit. Eins zu null.

Was besser wäre

Landesrechtliche Mindeststandards, mit Konnexitätsausgleich. Pflicht und Finanzierung im selben Gesetz. Alles andere ist entweder eine unbezahlte Zumutung oder gar nichts — und bisher ist es gar nichts.

Verbindliche Meldewege. Ohne Meldepflicht kein Lagebild, ohne Lagebild ist jede Aussage zur kommunalen Sicherheitslage geraten. Auch die beruhigenden.

Informationssicherheitsbeauftragte im interkommunalen Verbund, vom Land kofinanziert. Eine Person für zwanzig Gemeinden ist dünn. Sie ist trotzdem zwanzig Mal mehr als der Status quo.

Ein Landes-SOC mit kommunalem Mandat und ein einsatzfähiges Incident-Response-Team. Wenn ein Rathaus verschlüsselt wird, entscheidet sich in den ersten 48 Stunden, ob die Verwaltung in einer Woche oder in einem halben Jahr wieder arbeitet. Diese Kapazität hält man vor oder man hat sie nicht.

Und, am wenigsten charmant: eine Zahl. Wie viele hessische Kommunen betreiben heute ein funktionierendes ISMS? Das Land weiß es nicht, muss es nicht wissen und hat sich das Fragen selbst erspart.

Zurück zur Resilienzwoche

Die Kampagne wirbt bei der Bevölkerung für Vorsorge und Selbstschutz. Wasservorrat, Kurbelradio, Notfallkontakte, ein Plan für 72 Stunden. Das ist richtig und viel zu wenig verbreitet, und ich meine das ohne Häme.

Nur hilft der beste Wasservorrat nicht, wenn nach einem Ransomware-Angriff das Bürgerbüro schließt, keine Personalausweise ausgegeben, keine Wohngeldzahlungen angewiesen und keine Sozialleistungen bewilligt werden. Genau das ist deutschen Kommunen in den vergangenen Jahren wiederholt passiert, teils über Monate.

Resilienz der Bevölkerung ersetzt keine handlungsfähige Verwaltung. Sie setzt sie voraus.

„Konsequente Vorbereitung von uns allen.“ Von uns allen — mit Ausnahme der 421 Stellen, bei denen im Krisenfall die Bürgerinnen und Bürger anrufen.

Null von 421. Nachzulesen auf der Website desselben Ministeriums, das zur Resilienz aufruft. Zwei Klicks von der Pressemitteilung entfernt.

Quellen:

• Pressemitteilung des Hessischen Innenministeriums zur Resilienzwoche, 03.09.2026 — https://hessen.de/node/23127
• Pressemitteilung zum Cybersicherheitsgipfel, 13.08.2026 — https://hessen.de/node/22984
• Hessisches Ministerium des Innern: NIS-2 in Hessen, „Hessische Kommunen“ — https://innen.hessen.de/sicherheit/cyber-und-it-sicherheit/nis-2-in-hessen/hessische-kommunen
• Beschluss 2023/39 des IT-Planungsrats vom 03.11.2023
• Gesetz zur Umsetzung der NIS-2-Richtlinie, in Kraft seit 06.12.2025 — https://www.recht.bund.de/bgbl/1/2025/301/VO.html
• BSI, FAQ zu NIS-2 (zur Betroffenheit kommunaler Eigen- und Regiebetriebe) — https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-FAQ/NIS-2-FAQ-allgemein/FAQ-zu-NIS-2_node.html
• § 28 Abs. 3 S. 1 Nr. 2 BSIG zur Schwellenwertberechnung bei rechtlich unselbstständigen Organisationseinheiten
• Hessisches Ministerium des Innern: Gemeinden und Landkreise (421 Gemeinden) — https://innen.hessen.de/Kommunales/Kommunen/Gemeinden-und-Landkreise
• Statistisches Bundesamt, Gemeinden nach Einwohnergrößenklassen
• Hessenwasser GmbH & Co. KG, Angaben zur versorgten Bevölkerung im Rhein-Main-Gebiet — https://www.hessenwasser.de/

Stellen Sie sich vor, Sie starten Ihren Arbeitstag und nichts geht mehr. Kein Outlook, kein Teams, nicht einmal der Zugriff auf lokale Dateien ist möglich, weil das Betriebssystem in einer Endlosschleife mit der Cloud hängt. Was wie ein Weltuntergangsszenario für IT-Administratoren klingt, wurde im Januar 2026 bittere Realität. Der jüngste Microsoft Cloud-Ausfall hat einmal mehr bewiesen, dass die totale Abhängigkeit von einem einzigen Anbieter ein unkalkulierbares Risiko darstellt.

In diesem Artikel analysieren wir die technischen Ursachen des „Januar-Kollapses“, beleuchten, warum die Cloud eben nicht automatisch Ausfallsicherheit bedeutet, und warum die EU dringend handeln muss, um Microsoft im Rahmen von NIS-2 und KRITIS stärker in die Pflicht zu nehmen.

1. Die Chronologie des Versagens: Januar 2026

Der Ausfall kam nicht aus dem Nichts. Er war das Ergebnis einer fatalen Verkettung von fehlerhafter Software und einer überforderten Cloud-Infrastruktur.

Der Patch-Tuesday als Initialzündung

Alles begann am 13. Januar 2026. Microsoft veröffentlichte das Sicherheitsupdate KB5074109. Eigentlich sollten damit 110 Sicherheitslücken geschlossen werden. Doch stattdessen löste das Update weltweit Chaos aus. Systeme froren ein („Black Screens“), sobald sie versuchten, auf Cloud-Ressourcen zuzugreifen. Besonders hart traf es Outlook-Nutzer: Wer PST-Dateien auf OneDrive gespeichert hatte, erlebte einen kompletten Stillstand der Anwendung.

Die Eskalation in der Cloud

Am 21. und 22. Januar weitete sich das Problem auf die Azure-Infrastruktur aus. In Nordamerika fielen Microsoft 365-Dienste flächendeckend aus. Der Versuch von Microsoft, den Traffic mittels Load Balancern umzuverteilen, scheiterte grandios und führte zu massiven „Traffic Imbalances“, die weitere Rechenzentren in die Knie zwangen.

2. Technische Analyse: Was ist bei Microsoft falsch gelaufen?

Als Experten müssen wir tief graben, um zu verstehen, warum ein einzelnes Update eine solche Kaskade auslösen kann.

Mangelhafte Qualitätssicherung (QA)

Es ist offensichtlich, dass das Update KB5074109 nicht in ausreichenden Enterprise-Szenarien getestet wurde. Dass grundlegende Funktionen wie die Authentifizierung bei Azure Virtual Desktop (Fehler 0x80080005) versagen, deutet auf eine lückenhafte Test-Matrix hin. Microsoft scheint hier die Geschwindigkeit der Veröffentlichung über die Stabilität zu stellen.

Die „Cloud-Sperre“ (Synchronisations-Hänger)

Ein fundamentales Problem liegt in der Architektur von Windows selbst. Die enge Verzahnung von lokalen Prozessen mit Cloud-Diensten wie OneDrive führte dazu, dass lokale Programme blockierten, sobald die Cloud-Synchronisation hängen blieb. Dies entlarvt die gefährliche Abhängigkeit: Wenn die Cloud nicht erreichbar ist, streikt die lokale Hardware.

Komplexität frisst Resilienz

Die Infrastruktur-Ausfälle vom 22. Januar zeigten ein „komplexes Systemversagen“. Die Korrekturmaßnahme – das Umleiten des Datenverkehrs – wurde selbst zum Fehlervektor. In einer Welt, in der alles mit allem vernetzt ist, führen kleine Fehler oft zu unkontrollierbaren Kettenreaktionen.

3. Die Cloud-Falle: Illusion vs. Realität

Unternehmen lassen sich oft von Marketing-Versprechen blenden. Doch die Realität sieht anders aus.

Die Illusion der Ausfallsicherheit

Microsoft wirbt oft mit 99,9 % Verfügbarkeit. Doch diese Statistik ist wertlos, wenn Ihr lokales System den Zugang zur Cloud verliert. Cloud-Sicherheit und Verfügbarkeit sind zwei verschiedene Paar Schuhe. Ein Cloud-Ausfall bei einem Monopolisten wie Microsoft bedeutet für Millionen von Unternehmen den sofortigen Stillstand.

Single Point of Failure: Das Monopol-Problem

Da Microsoft das Betriebssystem, die Bürosoftware, das Identitätsmanagement (Entra ID) und den Speicherplatz aus einer Hand liefert, gibt es keine Redundanz. Fällt ein Dominosteinchen bei Microsoft, fällt die gesamte IT-Infrastruktur des Kunden. Diese Konzentration von Macht und Risiko ist ein strategischer Fehler für jede moderne Volkswirtschaft.

4. Politische Forderung: NIS-2 und KRITIS für Microsoft

Es kann nicht sein, dass kritische Infrastrukturen (KRITIS) in Europa stillstehen, weil ein US-Konzern seine Hausaufgaben bei der Qualitätssicherung nicht macht.

Verbindliche Standards durch die EU

Die EU muss Microsoft und andere Hyperscaler zwingen, die strengen Anforderungen der NIS-2-Richtlinie vollumfänglich zu erfüllen. Wenn Microsoft-Dienste für staatliche Stellen oder Krankenhäuser essenziell sind, müssen sie wie kritische Infrastrukturen behandelt werden. Das bedeutet:

• Nachweisbare Redundanz: Ausfälle in einem Rechenzentrum dürfen nicht globalen Stillstand bedeuten.
• Haftung bei Fahrlässigkeit: Wenn mangelhafte QA zu Milliardenverlusten führt, muss der Anbieter zur Rechenschaft gezogen werden.
• Interoperabilität: Kunden müssen in der Lage sein, Dienste kurzfristig zu anderen Anbietern umzuziehen (Multi-Cloud-Strategie).

5. Strategien für Unternehmen: So schützen Sie sich

Was können Sie als IT-Entscheider tun, um nicht das nächste Opfer eines Cloud-Kollapses zu werden?

1. Diversifikation statt Monokultur: Setzen Sie nicht auf „Alles von Microsoft“. Nutzen Sie alternative Anbieter für Backup, Sicherheit oder E-Mail-Archivierung.
2. Offline-Fähigkeit sicherstellen: Prüfen Sie, ob Ihre kritischen Geschäftsprozesse auch ohne Internetverbindung für mindestens 24 Stunden funktionieren.
3. Update-Management überdenken: Implementieren Sie eine „N-1“-Strategie. Installieren Sie neue Microsoft-Patches erst, nachdem sie in einer Testumgebung geprüft wurden und keine globalen Probleme gemeldet wurden.
4. Multi-Cloud-Ansatz: Verteilen Sie kritische Workloads auf verschiedene Cloud-Anbieter (z.B. Azure und AWS oder lokale europäische Anbieter).

Fazit: Zeit für ein Umdenken

Der Microsoft Cloud-Ausfall vom Januar 2026 war ein Weckruf. Cloud ist nicht gleich Sicherheit. Cloud ist nicht gleich Redundanz. Es ist eine Dienstleistung, die mit erheblichen Abhängigkeiten erkauft wird. Wir brauchen in Europa eine Rückbesinnung auf digitale Souveränität und echte Redundanz.

Es ist Zeit, dass die Politik handelt und Konzerne wie Microsoft zu echter Rechenschaft zwingt. Für Unternehmen gilt: Wer sich blind auf die Cloud verlässt, verlässt sich auf das Glück – und das ist in der IT keine seriöse Strategie.

Einleitung

Die digitale Infrastruktur ist längst zu einem unverzichtbaren Pfeiler der modernen Gesellschaft geworden. Als globale Macht beeinflussen digitale Netzwerke und IT-Dienstleistungen nicht nur wirtschaftliche Entwicklungen, sondern auch politische Prozesse und internationale Rechtsstaatlichkeit. Im März und Mai 2025 sorgten US-Sanktionen unter Donald Trump dafür, dass grundlegende Kommunikationskanäle des Internationalen Strafgerichtshofs (IStGH) in Den Haag plötzlich abgebrochen wurden. Microsoft – als zentraler US-Dienstleister – sperrte infolgedessen den E-Mail-Account des Chefanklächers Karim Khan sowie weitere digitale Zugänge. Dieses Ereignis stellt nicht nur ein Absturzszenario für eine internationale Institution dar, sondern dient auch als Weckruf, die eigene digitale Souveränität zu stärken. Insbesondere in Deutschland, wo Politik und Wirtschaft zunehmend auf die Sicherheit kritischer Infrastrukturen (KRITIS) sowie die Umsetzung der NIS2-Richtlinie setzen, wird klar: Es muss weg von der einseitigen Abhängigkeit von US-Technologie gegangen werden.

Hintergrund: US-Sanktionen und Digitale Abhängigkeit

Im Februar 2025 verhängte der US-Präsident Donald Trump Sanktionen gegen den Internationalen Strafgerichtshof – eine Reaktion auf Haftbefehle, die im November 2024 gegen den israelischen Premierminister Benjamin Netanjahu und weitere hochrangige Politiker erlassen worden waren. Als Folge dieser Sanktionen geriet der IStGH unmittelbar in eine Krise: Microsoft, das in hohem Maße mit der Bereitstellung von E-Mail- und Cloud-Diensten betraut ist, sperrte den E-Mail-Account des dann amtierenden Chefanklächers Karim Khan.

Die US-Regierung nutzte an diesem Punkt den politischen Druck, um auch internationale Institutionen indirekt in die Abhängigkeit von US-Recht und US-Unternehmen zu rücken. Microsoft begründete sein Vorgehen damit, dass sie durch US-Gesetze und Sanktionen – unabhängig vom weltweiten Kontext – verpflichtet seien, entsprechende Maßnahmen zu ergreifen. Neben der E-Mail-Sperre verloren betroffene ICC-Beamte auch den Zugriff auf Bankkonten im Heimatland, was zu einer zusätzlichen finanziellen und organisatorischen Belastung führte.

Diese Entwicklungen zeigen, dass internationale Institutionen und staatliche Stellen zu stark von US-Technologie und damit von den politischen Entscheidungen in den USA abhängig sind. Die beachtlich zentrale Rolle von Microsoft und ähnlichen Unternehmen macht dabei auch deutlich, dass ohne eigene, autonome Digitalstrategien die nationale und internationale Sicherheit gefährdet ist.

Auswirkungen der Sanktionen auf den Internationalen Strafgerichtshof

Die direkten Folgen der US-Sanktionen gegen den IStGH sind gravierend:

• Kommunikationsstörungen: Die Sperrung wichtiger E-Mail-Konten führt nicht nur zu internen Kommunikationsproblemen. Mitarbeiter und Partnerorganisationen, welche auf den Austausch von Beweismaterial und Ermittlungsinformationen angewiesen sind, stoßen auf enorme Hürden.
• Finanzielle Einschränkungen: Auch Bankkonten von Mitarbeitern, die unter den Sanktionen leiden, wurden gesperrt. Dies zwingt internationale Mitarbeiter und Nichtregierungsorganisationen dazu, schnell alternative Bankverbindungen und Zahlungswege zu finden, um finanzielle Mittel zu sichern.
• Internationale Zusammenarbeit: Der IStGH ist auf die reibungslose Kommunikation mit anderen internationalen Ermittlungsbehörden angewiesen. Die Einschränkung digitaler Kanäle gefährdet damit die Koordination in Fällen von schwerwiegenden Menschenrechtsverstößen und Kriegsverbrechen.
• Verzögerte Ermittlungen: Durch die abrupten Eingriffe in die IT-Infrastruktur gerieten wichtige Ermittlungen – etwa gegen mutmaßliche Kriegsverbrechen im Sudan – ins Stocken. Ohne stabile digitale Kommunikationswege ist es nahezu unmöglich, zeitkritische Informationen auszutauschen und rechtzeitig auf neue Entwicklungen zu reagieren.

Diese Beeinträchtigungen werfen ein Schlaglicht auf die Problematik, dass moderne, internationale Institutionen häufiger zum Spielball geopolitischer Interessen werden können. Die Praxis, über Sanktionen und indirekte Eingriffe auch die digitalen Arbeitsprozesse zu beeinflussen, unterstreicht, wie fragil ein global vernetztes Rechts- und Wertesystem sein kann.

Microsofts Rolle und das Problem der digitalen Abhängigkeit

Microsoft, als einer der führenden Anbieter von IT-Diensten, steht exemplarisch für die Problematik der digitalen Abhängigkeit. Trotz der globalen Bedeutung moderner Kommunikationsinfrastrukturen ist Microsoft – ebenso wie viele andere US-Unternehmen – an die US-Rechtsordnung gebunden. Wird durch politische Sanktionen der Zugriff auf Tools und Dienste aufgekündigt, trifft dies nicht nur regionale Institutionen, sondern hat globale Auswirkungen.

Die Sperrung von Karim Khans E-Mail-Account und der gleichzeitige Entzug des Zugangs zu Bankkonten in Großbritannien demonstrieren, wie Machtstrukturen in der digitalen Welt aussehen können. Es besteht eine klare Abhängigkeit von Unternehmen, die sich nicht zwingend unter nationalen Jurisdiktionen befinden. In diesem Kontext gilt: Wenn externe Instanzen wie US-Behörden oder US-Unternehmen resignieren, können internationale Institutionen und auch private Unternehmen vor erheblichen Herausforderungen stehen.

Darüber hinaus wird deutlich, dass es in einer globalisierten Welt unerlässlich ist, Alternativen und unabhängige Lösungen zu entwickeln, um derart kritische Abhängigkeiten zu umgehen. Die Diskussion um Digitale Souveränität gewinnt in diesem Zusammenhang zunehmend an Relevanz.

Digitale Souveränität als Paradigma in Deutschland und International

Der Begriff Digitale Souveränität beschreibt die Fähigkeit von Staaten, Unternehmen und Institutionen, ihre digitalen Infrastrukturen unabhängig und selbstbestimmt zu gestalten. Gerade in Zeiten, in denen geopolitische Konflikte und politische Sanktionen zunehmend über internationale Institutionen herrschen, wird die Unabhängigkeit im digitalen Bereich zum zentralen Wettbewerbs- und Sicherheitsfaktor.

Bedeutung der digitalen Souveränität

Im Kern geht es bei der digitalen Souveränität darum:

• Unabhängigkeit von ausländischen Technologiegiganten: Nationale und internationale IT-Infrastrukturen sollten möglichst nicht von Unternehmen abhängig sein, die unter fremdstaatlichen Einflüssen stehen.
• Sicherung kritischer Infrastrukturen (KRITIS): Regierungen wie in Deutschland haben die Verantwortung, die IT-Systeme in Bereichen wie Energie, Gesundheit und dem öffentlichen Sektor abzusichern. Die aktuelle Situation zeigt, wie fragil diese Systeme sein können, wenn sie auf fremdetechnologie basieren.
• Umsetzung der NIS2-Richtlinie: Die EU-Richtlinie NIS2 fordert von den Mitgliedsstaaten, ihre IT-Sicherheitsstrategien zu modernisieren. Dies umfasst auch die Förderung eigener Lösungen, um digitale Angriffe und politische Abhängigkeiten zu minimieren.

Die deutsche Digitalpolitik im Fokus

Deutschland hat in den vergangenen Jahren verstärkt auf den Ausbau eigener IT-Kompetenzen gesetzt. Der Koalitionsvertrag sowie Statements von Digitalministern, wie Karsten Wildberger, unterstreichen das Bestreben eines „digital souveränen Deutschland“. Es wird viel über die Umsetzung von Maßnahmen zur Stärkung von Digitale Souveränität in Bereichen wie dem öffentlichen Sektor, aber auch bei kritischen Infrastrukturen gesprochen. Innovative Projekte und Förderprogramme sollen den Aufbau eines eigenen digitalen Ökosystems vorantreiben.

Dieses Bestreben ist nicht nur wirtschaftlich relevant, sondern auch für die nationale Sicherheit. Ein unabhängiges IT-Netzwerk mindert die Gefahr, dass externe politische Entscheidungen – wie die US-Sanktionen gegen den IStGH – zu einer Unterbrechung wichtiger staatlicher und privater Kommunikationssysteme führen. An dieser Stelle wird deutlich: In einer global vernetzten Welt ist digitale Souveränität mehr als nur ein Schlagwort, sie ist ein essenzielles Element moderner Politik und Wirtschaft.

Politische Implikationen: USA unter Donald Trump als Globale Gefahr

Die US-Sanktionen gegen den Internationalen Strafgerichtshof sind ein typisches Beispiel dafür, wie nationale Interessen geopolitische Spannungen in einem verstärkt globalisierten Umfeld weiter anheizen können. Unter der Führung Donald Trumps wurden Sanktionen nicht nur als wirtschaftliches Druckmittel, sondern auch als politisches Instrument eingesetzt.

Die Politik als Instrument der Einflussnahme

Die Sanktionen gegen den IStGH verdeutlichen, dass politische Entscheidungen in den USA weit über ihre Landesgrenzen hinaus Wirkung zeigen können. Die hier angewendeten Maßnahmen – E-Mail-Sperrungen, Einschränkung finanzieller Zugänge und sogar Einreiseverbote – illustrieren, wie ein Staat versucht, kritische internationale Institutionen politisch zu beeinflussen oder gar zu lähmen. In der Praxis zeigt sich:

• Ausnutzung digitaler Abhängigkeiten: US-Unternehmen agieren in einem globalen Markt. Dabei sind sie oft durch nationale Gesetze und politische Vorgaben eingeschränkt. Dies bedeutet, dass kritische Infrastrukturen, die auf diese Dienste setzen, vor unvorhersehbaren Einschränkungen stehen.
• Einseitige Sanktionierung: Die US-Politik stellt ein drastisches Beispiel dafür dar, welche Folgen das Ausschöpfen nationaler Machtbefugnisse im digitalen Raum haben kann. Eine solche Einseitigkeit gefährdet nicht nur internationale Gerechtigkeit, sondern auch demokratische Werte und die Souveränität anderer Staaten.

Konsequenzen für internationale Institutionen

Die Auswirkungen der US-Sanktionen zeigen, dass internationale Institutionen wie der IStGH in einem geopolitischen Spannungsfeld agieren, in dem politische Interessen über juristische und humanitäre Belange triumphieren können. Für die globale Gemeinschaft und insbesondere für Länder wie Deutschland, die auf eine gerechte und unabhängige internationale Rechtspflege angewiesen sind, stellt dies ein gravierendes Problem dar.

Die gegenwärtige Debatte um Digitale Souveränität gewinnt vor diesem Hintergrund eine zusätzliche Dimension: Es geht nicht nur um wirtschaftliche Unabhängigkeit, sondern auch um den Schutz kritischer, internationaler Rechtsinstitutionen vor politischer Instrumentalisierung.

Handlungsoptionen und Empfehlungen

Die jüngsten Ereignisse sollten als Weckruf verstanden werden – nicht nur für internationale Organisationen, sondern vor allem für Staaten und Unternehmen, die auf stabile und unabhängige digitale Infrastrukturen angewiesen sind. Hier einige konkrete Handlungsoptionen:

1. Förderung nationaler IT-Lösungen:
   • Investition in inländische Cloud-Anbieter und E-Mail-Dienste
   • Schaffung eigener sicherheitszertifizierter Kommunikationssysteme
   • Unterstützung von Forschungs- und Entwicklungsprogrammen zur Unabhängigkeit von US-Technologie
2. Stärkung kritischer Infrastrukturen (KRITIS):
   • Umsetzung der europäischen NIS2-Richtlinie, um IT-Infrastrukturen in wichtigen Sektoren zu schützen
   • Zusammenarbeit zwischen Staat, Wirtschaft und Wissenschaft zur Entwicklung sicherer IT-Standards
3. Förderung von Open-Source-Software:
   • Investition in frei verfügbare Softwarelösungen, die nicht an einzelne Anbieter gebunden sind
   • Unterstützung von Projekten, die die digitale Souveränität stärken und unabhängiger von externen Plattformen machen
4. Internationale Kooperation und strategische Allianzen:
   • Aufbau von Netzwerken und Partnerschaften zwischen Staaten, um gemeinsam unabhängige digitale Infrastrukturen zu fördern
   • Austausch bewährter Verfahren und Standards, um die globale Widerstandsfähigkeit zu erhöhen

Diese Maßnahmen können dazu beitragen, die Fragilität der digitalen Arbeitsprozesse zu verringern und gleichzeitig die Abhängigkeit von US-amerikanischen Dienstleistern zu reduzieren.

Empfehlungen für Entscheidungsträger und IT-Verantwortliche

Um den Herausforderungen der digitalen Abhängigkeit begegnen zu können, sollten Entscheidungsträger und IT-Verantwortliche folgende Strategien in Erwägung ziehen:

• Regulatorische Ansätze:
  • Die Schaffung klarer Rahmenbedingungen, die nationale digitale Souveränität unterstützen und den Einfluss ausländischer Gesetze minimieren.
  • Die Förderung unabhängiger IT-Zertifizierungsstellen, die sowohl staatliche als auch private Infrastrukturen regelmäßig auf ihre Widerstandsfähigkeit prüfen.
• Kooperation zwischen Staat und Wirtschaft:
  • Ausbau von Public-Private-Partnerships (PPP) zur Entwicklung und Implementierung alternativer IT-Lösungen.
  • Förderung gemeinsamer Innovationszentren, in denen neue Ansätze zur Sicherstellung von IT-Souveränität erarbeitet werden.
• Investitionen in Bildung und Forschung:
  • Stärkung von Studiengängen und Forschungsprojekten, die sich mit der Entwicklung eigener Softwarelösungen und IT-Sicherheitskonzepten befassen.
  • Unterstützung von Start-ups und Technologieunternehmen, die innovative, unabhängige Produkte und Dienstleistungen anbieten.

Diese Ansätze können dazu beitragen, dass Deutschland und andere europäische Länder ihre digitalen Systeme auch unter politischem Druck stabil halten und somit langfristig ihre Unabhängigkeit sichern.

Fazit

Die verhängten US-Sanktionen gegen den Internationalen Strafgerichtshof sind mehr als ein isoliertes Ereignis – sie sind ein deutlicher Weckruf an alle Verantwortlichen, die die sichere und unabhängige Funktion staatlicher und privater IT- und Kommunikationsinfrastrukturen gewährleisten müssen. Der Vorfall zeigt eindrücklich, dass externe politische Entscheidungen großen Einfluss auf global agierende Institutionen haben können. Es entsteht ein klarer Handlungsbedarf, den Weg hin zu einer echten Digitalen Souveränität zu ebnen.

Ein weiterer kritischer Punkt, der in der Diskussion um digitale Souveränität nicht unerwähnt bleiben darf, betrifft Microsoft 365 und dessen Datenschutzproblematik in der EU. Immer wieder werden Bedenken hinsichtlich der Speicherung und Verarbeitung sensibler Daten geäußert, vor allem aufgrund der engen Verbindung zu US-Jurisdiktionen, was zu einem Konflikt mit den strengen europäischen Datenschutzstandards führen kann. Angesichts der jüngsten Einschnitte in die digitale Infrastruktur durch politische Sanktionen erscheint die Nutzung von Microsoft 365 in der EU zunehmend wenig vertretbar. Aus diesem Grund müssen alle Bundes-, Landes- und Kommunalbehörden, Schulen sowie Firmen, die zu KRITIS gehören, unverzüglich handeln und auf sichere, in Europa basierte Alternativen setzen, um den Schutz personenbezogener Daten und eine nachhaltige digitale Souveränität zu gewährleisten.

Deutschland und andere europäische Staaten haben die Möglichkeit, durch gezielte Investitionen in eigene Technologien und durch den Ausbau interner IT-Strukturen unabhängiger zu werden. Die Forderung nach alternativen, souveränen Lösungen – sei es im Bereich der Cloud-Dienste, der Kommunikationsinfrastrukturen oder der Bankenservices – ist mehr als nur eine technische Notwendigkeit. Sie ist Ausdruck eines strategischen Paradigmenwechsels in der globalen Politik und im internationalen Sicherheitsdiskurs.

Die Zeit drängt: Für die Zukunft muss die Zusammenarbeit zwischen Staat, Wirtschaft und Wissenschaft intensiviert werden, um unabhängige IT-Landschaften aufzubauen und damit die digitale Souveränität nachhaltig zu sichern. Nur so können Länder und internationale Institutionen den Risiken externer politischer Eingriffe entgegenwirken und ihre Aufgaben ohne fremde Einflussnahme erfüllen.