Iran schaltete 3 AWS-Rechenzentren aus – 3 AWS data centres knocked out by Iran

Innerhalb weniger Stunden wurde eine zweite AWS-Anlage in den VAE getroffen. Dann wurde ein drittes Rechenzentrum, diesmal in Bahrain, getroffen, als eine iranische Selbstmorddrohne in der Nähe explodierte.

Das iranische Staatsfernsehen berichtete, dass die Islamische Revolutionsgarde die Angriffe gestartet habe, um die Rolle dieser Zentren bei der Unterstützung der von ihr als „militärische und nachrichtendienstliche Aktivitäten des Feindes” bezeichneten Aktivitäten zu untersuchen. Die Erklärung deutete auf eine bewusste Entscheidung hin: dass kommerzielle Cloud-Infrastrukturen, die sowohl in das zivile Leben als auch in die militärische Logistik eingebunden sind, nun ein legitimes militärisches Ziel darstellen.

„Diese Angriffe haben strukturelle Schäden verursacht, die Stromversorgung unserer Infrastruktur unterbrochen und in einigen Fällen Brandbekämpfungsmaßnahmen erforderlich gemacht, die zu zusätzlichen Wasserschäden geführt haben“, erklärte AWS.

Die Folgen für das normale Leben waren unmittelbar spürbar. Millionen von Einwohnern in Dubai und Abu Dhabi wachten am nächsten Morgen auf und konnten weder für Transportmittel bezahlen noch Essen bestellen oder über mobile Anwendungen auf ihre Bankkonten zugreifen. In einer Region, in der neun von zehn Einwohnern der Vereinigten Arabischen Emirate Ausländer sind – die in allen Bereichen, von Überweisungen bis zum täglichen Handel, stark von digitalen Diensten abhängig sind –, traf die Störung mit besonderer Wucht.

Das AWS-Netzwerk, das von Jeff Bezos‘ Unternehmen zu einem der weltweit führenden Cloud-Anbieter ausgebaut wurde, ist so konzipiert, dass es den Ausfall eines einzelnen regionalen Knotens auffangen kann. Die koordinierte Art der Angriffe überforderte jedoch diese Widerstandsfähigkeit. Die kurz aufeinanderfolgende Abschaltung von zwei Einrichtungen in den VAE, gefolgt von Störungen in Bahrain, reichte aus, um den Dienst in einem weiten Teil der Golfregion zum Erliegen zu bringen.

Die militärische Begründung für die Angriffe auf AWS ist nicht willkürlich. Die Cloud-Infrastruktur in der Golfregion dient nicht nur Verbrauchern, die ihren Kontostand überprüfen oder ein Taxi rufen. Sie bildet die Grundlage für Logistiksysteme, Kommunikationsnetze und in einigen Fällen auch für nachrichtendienstliche Operationen. Durch den Angriff auf Einrichtungen, die sowohl von zivilen als auch von potenziell militärischen Nutzern genutzt werden, scheint der Iran eine Form des Drucks gewählt zu haben, die die Grenze zwischen wirtschaftlicher Nötigung und direkter militärischer Aktion verwischt – und zwar auf eine Weise, die die Zuordnung und eine angemessene Reaktion für seine Gegner rechtlich und politisch kompliziert macht.

Was diese Episode über ihre unmittelbaren Störungen hinaus bedeutsam macht, ist der Präzedenzfall, den sie schafft. Kommerzielle Rechenzentren existieren seit langem in einer Grauzone des humanitären Völkerrechts, das zwischen zivilen Objekten und militärischen Zielen unterscheidet. Die von der IRGC angegebene Rechtfertigung – die Untersuchung der Rolle der Zentren bei der Unterstützung feindlicher Operationen – ist genau die Art von Dual-Use-Rahmen, der auf fast jede kritische digitale Infrastruktur angewendet werden könnte.

Ob die Angriffe eine nennenswerte militärische Wirkung erzielt haben, bleibt unklar. Ihre politische und symbolische Wirkung war jedoch beträchtlich. Der Iran hat mit großer Präzision signalisiert, dass er in die wirtschaftliche Infrastruktur der mit seinen Gegnern verbündeten Golfstaaten eingreifen kann und dass er bereit ist, dies auf eine Weise zu tun, die Millionen von Zivilisten betrifft, während er gleichzeitig eine plausible militärische Rechtfertigung aufrechterhält.

Für Regierungen und Unternehmen, die Cloud-Infrastrukturen in umkämpften Regionen betreiben, wird der Angriff eine Neubewertung der Annahmen erzwingen, die seit langem die Standortentscheidungen für Rechenzentren untermauern. Die physische Sicherheit, die geografische Streuung und die rechtlichen Risiken müssen neu bewertet werden. Gleiches gilt für die Beziehung zwischen kommerziellen Cloud-Anbietern und den Streitkräften, die zunehmend auf deren Dienste angewiesen sind – eine Beziehung, die bisher selten durch einen Drohnenangriff auf die Probe gestellt wurde.

Within hours, a second AWS facility in the UAE was hit. Then a third data centre, this time in Bahrain, was struck when an Iranian suicide drone exploded on nearby ground.

Iranian state television reported that the Islamic Revolutionary Guard Corps launched the strikes to examine the role of these centres in supporting what it described as „the enemy’s military and intelligence activities.“ The statement pointed toward a deliberate calculation: that commercial cloud infrastructure, woven into both civilian life and military logistics, now constitutes a legitimate military target.

“These strikes have caused structural damage, disrupted power delivery to our infrastructure, and in some cases required fire suppression activities that resulted in additional water damage,” AWS said.

The consequences for ordinary life were immediate. Millions of residents in Dubai and Abu Dhabi woke the following morning unable to pay for transport, order food, or access their bank accounts through mobile applications. In a region where nine out of ten UAE residents are foreign nationals — deeply dependent on digital services for everything from remittances to daily commerce — the disruption landed with particular force.

The AWS network, built by Jeff Bezos’s company into one of the world’s dominant cloud providers, is engineered to absorb the loss of a single regional node. The coordinated nature of the strikes, however, overwhelmed that resilience. Taking two UAE facilities offline in close succession, followed by disruption in Bahrain, was enough to collapse service across a wide swath of the Gulf.

The military rationale behind targeting AWS is not arbitrary. Cloud infrastructure in the Gulf region does not only serve consumers checking bank balances or hailing taxis. It underpins logistics systems, communications networks, and, in some cases, intelligence operations. By striking facilities shared between civilian and potentially military users, Iran appears to have chosen a form of pressure that blurs the line between economic coercion and direct military action — and does so in a way that makes attribution and proportionate response legally and politically complicated for its adversaries.

What makes this episode significant beyond its immediate disruption is the precedent it sets. Commercial data centres have long existed in a grey zone of international humanitarian law, which distinguishes between civilian objects and military objectives. The IRGC’s stated justification — investigating the centres‘ role in supporting enemy operations — is precisely the kind of dual-use framing that could be applied to almost any piece of critical digital infrastructure.

Whether the strikes achieved any meaningful military effect remains unclear. But their political and symbolic impact was considerable. Iran has signalled, with considerable precision, that it can reach into the economic infrastructure of Gulf states aligned with its adversaries, and that it is willing to do so in ways that affect millions of civilians while maintaining plausible military justification.

For governments and corporations operating cloud infrastructure in contested regions, the attack will force a reckoning with assumptions that have long underpinned data centre siting decisions. Physical security, geographic dispersal, and legal exposure will all need reassessment. So too will the relationship between commercial cloud providers and the militaries that increasingly rely on their services — a relationship that, until now, has rarely been tested by a drone attack.