Joseph Jarnecki und Noah Sylvia, Analysten des renommierten britischen Militärforschungsinstituts RUSI, beleuchten die Rolle der iranischen Angriffe auf Rechenzentren im Golf.
Iranische Shahed-Drohnen trafen am 1. März vor Sonnenaufgang zwei Rechenzentren von Amazon Web Services in den Vereinigten Arabischen Emiraten. Trümmer eines nahegelegenen Einschlags beschädigten ein drittes AWS-Gebäude in Bahrain. Die Angriffe führten zu Störungen bei Finanz-, Unternehmens- und Verbraucherdiensten in den VAE und in der weiteren Region. Die Vorfälle haben Diskussionen darüber ausgelöst, ob Rechenzentren als strategische Anlagen und kritische Infrastruktur einzustufen sind.
Rechenzentren unterstützen wirtschaftliche Aktivitäten, gesellschaftliche Funktionen und Verteidigungsoperationen. Öffentliche Cloud-Plattformen hosten Systeme wie die ukrainische Delta-Gefechtsführungsplattform, das US-amerikanische Maven-System von Palantir auf AWS sowie cloudbasierte KI-Tools, die Israel bei Operationen im Gazastreifen einsetzt. Die Angriffe vom 1. März stellen den ersten dokumentierten Einsatz kinetischer Waffen gegen kommerziell betriebene öffentliche Cloud-Infrastruktur dar. Diese Entwicklung deutet darauf hin, dass andere Akteure ähnliche Taktiken übernehmen könnten. Eine genauere Betrachtung der iranischen Ziele und der strategischen Folgen ist daher erforderlich.
Iran hat die Ziele nach Einschätzung gezielt ausgewählt. Jüngste Angriffe im Golf zeigten Präzision, und Rechenzentren sind große, erkennbare Objekte für die eingesetzten Drohnen. Eine iranische Nachrichtenagentur veröffentlichte später eine Liste genehmigter Ziele der Revolutionsgarde. Diese umfasste Büros und Infrastruktur US-amerikanischer Technologieunternehmen wie AWS, Google, Microsoft, IBM, Oracle und Nvidia. Die Garde erklärte, der Zweck bestehe darin, die Rolle der Einrichtungen bei der Unterstützung militärischer und nachrichtendienstlicher Aktivitäten von Gegnern zu prüfen. Ob der Befehl aus der Führungsebene oder dezentral erteilt wurde, ändert nichts an der strategischen Bedeutung des Angriffs auf US-verknüpfte Infrastruktur.
Drei Begründungen erklären die Zielauswahl. Erstens verursachen die Angriffe Kosten. Die Golfstaaten haben Mittel investiert, um US-Technologieunternehmen im Rahmen der wirtschaftlichen Diversifizierung weg vom Erdöl anzulocken. Günstige Bedingungen wie günstiges Land und Energie zogen Betreiber wie AWS, Google, Microsoft, Nvidia und Oracle an. Die Angriffe schädigen das Bild des Golfs als stabile Investitionsregion und könnten zukünftige Projekte im Milliardenwert verringern. Die Ausrichtung auf US-Unternehmen beeinflusst zudem die Börsenkurse und wirtschaftspolitischen Prioritäten. Solche Maßnahmen passen zur asymmetrischen Abschreckungsstrategie Irans, die Druck auf US-Verbündete ausübt, Luftabwehrressourcen bindet und wirtschaftliche Belastungen schafft.
Zweitens können die Angriffe kritische Fähigkeiten beeinträchtigen oder Informationen darüber liefern. Cloud-Anbieter liefern Dienste an Regierungen und Streitkräfte. AWS und Google unterhalten Verträge mit der israelischen Verteidigungsstreitmacht, während das US-Verteidigungsministerium einen großen Joint-Warfighting-Cloud-Vertrag mit AWS, Google, Microsoft und Oracle betreibt. Iran konnte nicht mit hoher Sicherheit davon ausgehen, dass die konkreten Standorte militärische Lasten hosteten. Die Hauptwirkung lag daher im Signalcharakter; jede Beeinträchtigung militärischer Fähigkeiten war ein Nebeneffekt.
Drittens erzeugten die Angriffe unmittelbare Störungen. Zahlungssysteme, Bankdienste und Verbraucheranwendungen fielen aus und unterbrachen den Alltag von Menschen und Unternehmen. Dies hatte eine psychologische Wirkung, indem es die Realität des Konflikts in den Alltag brachte und Irans Reichweite demonstrierte. Die Begründungen schließen einander nicht aus und können kombiniert mehrere Wirkungen erzielen.
Die rechtliche Analyse zeigt Komplexitäten auf. Ein ausschließlich militärisch genutztes Rechenzentrum gilt als rechtmäßiges Ziel. Anlagen privater Hyperscaler für zivile Zwecke sind grundsätzlich als zivile Infrastruktur geschützt. Der dual-use-Charakter vieler Einrichtungen erschwert die Unterscheidung. Streitkräfte können den Umfang gegnerischer Nutzung nicht zuverlässig feststellen, da Anbieter keine Kundenlisten oder exakten Standorte veröffentlichen und Lasten regionsübergreifend verlagert werden können.
Jeder Angriff auf dual-use-Infrastruktur muss zudem die Verhältnismäßigkeit wahren: der erwartete militärische Vorteil muss den voraussichtlichen zivilen Schaden überwiegen. Ausfälle können über den unmittelbaren Standort hinaus weitere kritische Systeme durch Datenverlust und Dienstunterbrechungen betreffen. Obwohl die betroffenen Einrichtungen möglicherweise US- oder israelische Militärlasten unterstützten, bleiben die potenziellen zivilen Folgen relevant. Frühere US- und israelische Angriffe auf iranische zivile Infrastruktur, einschließlich digitaler Anlagen, liefern Kontext, ändern jedoch nicht die rechtliche Bewertung der Angriffe vom 1. März.
Die Vorfälle testen auch Argumente für Cloud-Souveränität durch Lokalisierung. AWS empfahl betroffenen Kunden, Lasten in Rechenzentrumsregionen außerhalb des Konfliktgebiets zu verlagern. Dies unterstreicht die Resilienz globaler Hyperscale-Netzwerke, wie sie die Aufrechterhaltung ukrainischer Digitaldienste während kinetischer Angriffe und das estnische Datenbotschaftsmodell zeigen. Gleichzeitig verändert die gezielte Ausrichtung auf US-Technologieunternehmen das Risikoprofil der Nutzung solcher Infrastruktur für nationale Resilienz. Es stellen sich Fragen zur Flexibilität rechtlicher Regelungen für globale Lastenmigration und zur Bereitschaft von Regierungen, ausländisch betriebene Rechenzentren zu beherbergen, die kritische Bedürfnisse anderer Staaten erfüllen.
Vielen Regierungen fehlt detaillierte Kenntnis darüber, welche kritischen Dienste von welchen Hyperscale-Anbietern abhängen und wo die physische Infrastruktur liegt. Dies ist ein Governance-Problem ebenso wie ein technisches. Die Schließung dieser Lücke erfordert, detaillierte Kartierung als strategische Priorität zu behandeln. Die Politik muss prüfen, ob physischer Schutz für ausländisch betriebene Rechenzentren auf eigenem Territorium vorgeschrieben und welche Pflichten die Betreiber übernehmen sollen.
Die Angriffe erfordern sorgfältige Bewertung statt überstürzter Schlussfolgerungen. Die grundlegenden Faktoren für den Ausbau von Rechenzentren im Golf – niedrige Energiekosten, Staatsfonds-Investitionen und die geografische Lage zwischen wichtigen Märkten – haben sich nicht geändert. Vorschriften in der Europäischen Union, im Vereinigten Königreich und in den USA stufen Rechenzentren bereits als kritische Infrastruktur ein; vergleichbare Maßnahmen dürften sich ausbreiten. Die Ereignisse vom 1. März haben einer bestehenden Debatte Gewicht verliehen, ob Cloud-Infrastruktur weiterhin allein als kommerzielles Angebot gelten kann oder als strategisches Gut an der Schnittstelle von Wirtschaftsmacht und bewaffnetem Konflikt zu behandeln ist.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de