Am frühen Morgen des 1. März griffen iranische Shahid-Drohnen drei Rechenzentren von Amazon Web Services im Nahen Osten an – zwei in den Vereinigten Arabischen Emiraten und eines in Bahrain.
Der Vorfall gilt seither als der erste Fall in der Menschheitsgeschichte, bei dem ein staatlicher Akteur gezielt militärisch gegen kommerzielle Cloud-Infrastruktur vorgegangen ist.
Sechs Wochen sind vergangen, und die Auswirkungen sind noch nicht abgeklungen.
Was geschah
AWS betreibt im Nahen Osten zwei Cloud-Regionen: ME-CENTRAL-1 (VAE) und ME-SOUTH-1 (Bahrain).
Die Region in den VAE erlitt die schwersten Schäden. Sie verfügt über drei Availability Zones (AZs), von denen mec1-az2 und mec1-az3 gleichzeitig beschädigt wurden; nur mec1-az1 blieb betriebsfähig. Nach dem Multi-AZ-Notfallwiederherstellungskonzept von AWS ist der Ausfall einer einzelnen AZ tolerierbar – fallen jedoch zwei gleichzeitig aus, werden zahlreiche Datenbanken und Anwendungen, die über mehrere AZs verteilt sind, direkt unbrauchbar. Die Region in Bahrain kam glimpflicher davon; die meisten AZs blieben intakt, doch auch dort wurde eine Einrichtung in Mitleidenschaft gezogen.
Der Ausfall betraf unter anderem das Bankensystem, Zahlungsdienste, Essensliefer-Apps und Unternehmenssoftware im Nahen Osten. AWS empfahl seinen Kunden, kritische Workloads umgehend in andere Regionen zu verlagern – doch genau diese Empfehlung offenbarte einen tieferen Widerspruch, auf den später eingegangen wird.
Die Iranischen Revolutionsgarden (IRGC) und die offizielle iranische Nachrichtenagentur Fars News räumten den Angriff öffentlich ein und begründeten ihn damit, dass die Rechenzentren das US-Militär und das US-Nachrichtensystem unterstützten, einschließlich des auf AWS laufenden Analyse-Dienstes Anthropic Claude.
Warum Multi-AZ nicht standhielt
Der Vorfall löste eine wertvolle Diskussion in Ingenieurskreisen aus.
AWS hat jahrelang die Hochverfügbarkeit der Multi-AZ-Architektur beworben. Die typischen Ausfallszenarien, die das Unternehmen auflistet, sind jedoch: Stromausfall, Blitzschlag, Tornado, Erdbeben. Niemand hat in den SLA-Dokumenten jemals den Fall "militärischer Angriff" vermerkt.
Das Kernproblem liegt in einer physikalischen Einschränkung: Um eine niedrige Latenz zu gewährleisten, müssen mehrere AZs innerhalb derselben Region geografisch nahe beieinander liegen – AWS gibt eine Obergrenze von 100 Kilometern vor. Das bedeutet, dass sich sämtliche "Redundanzen" im selben geopolitischen Risikokreis befinden. Eine einzige Rakete oder eine Staffel Drohnen kann mehrere AZs gleichzeitig treffen.
Ein Infrastrukturberater sagte unverblümt:
"Multi-AZ ist keine Notfallwiederherstellung. Es schützt Sie vor Hardwareausfällen, nicht vor Raketenangriffen."
Die physische Struktur der Rechenzentren offenbarte ebenfalls ihre Verletzlichkeit. Die Gebäude sind massiv und gut sichtbare Ziele – Kühleinheiten, Dieselgeneratoren und Gasturbinen sind außen am Gebäude angebracht. Wird die Klimaanlage zerstört, schalten sich die Server aufgrund von Überhitzung automatisch ab, ohne dass die Racks direkt getroffen werden müssen.
Die Sackgasse der Datenlokalisierung
AWS' Notfallempfehlung lautete: Workloads in eine andere Region verlagern.
Doch dieser Weg ist für viele Unternehmen im Nahen Osten schlichtweg nicht gangbar.
Länder wie die VAE und Saudi-Arabien haben strenge Datenlokalisierungsgesetze – Finanzdaten, Regierungsdaten und Gesundheitsdaten dürfen nicht ins Ausland übertragen werden. Das bedeutet, dass diese Unternehmen keine Wahl haben: Die Daten müssen in der lokalen Region bleiben – und genau diese Region wurde gerade von Drohnen angegriffen.
Nach dem Vorfall gab AWS keinen klaren Zeitplan für die Wiederherstellung bekannt und überließ es den Kunden, ihre eigenen Notfallpläne zu aktivieren. Bis zum 7. April arbeiteten die AWS-Ingenieurteams rund um die Uhr im Schichtbetrieb, um die Dienste in der Nahost-Region aufrechtzuerhalten.
Die Grenze zwischen militärischer Infrastruktur und kommerzieller Cloud verschwindet
Warum griff Iran kommerzielle Rechenzentren an und nicht spezielle militärische Einrichtungen der USA?
Weil die Grenze zwischen beiden so verschwommen ist, dass sie praktisch nicht mehr existiert.
Teile der Systeme des US-Verteidigungsministeriums und der Geheimdienstanalyse laufen auf kommerziellen AWS-Diensten. Anthropics Claude wird für nachrichtendienstliche Aufgaben eingesetzt und läuft auf kommerziellen AWS-Instanzen. Früher war dies nur ein Insider-Konsens innerhalb der Branche; der Angriff hat es in eine konkrete, folgenreiche Realität verwandelt.
In einem Analyseartikel von Fortune kamen Forscher zu dem Schluss: Dies ist kein isoliertes Ereignis, sondern eine Generalprobe für eine neue Kriegsform.
Die Rolle von KI-Systemen bei militärischen Entscheidungen wird immer bedeutender, wodurch die dahinterstehende Recheninfrastruktur zu einem strategischen Ziel von hohem Wert wird. Wer die Rechenleistung kontrolliert, kontrolliert in gewissem Maße den Informationsvorsprung.
Diese Logik ist keine neue Theorie, aber der 1. März 2026 hat ihr eine konkrete, unausweichliche Fußnote in der Realität hinzugefügt.
Das Denken über Cloud-Architektur muss sich ändern
Von nun an müssen Cloud-Anbieter und Unternehmenskunden ernsthaft eine Risikodimension berücksichtigen, die zuvor niemand ernst genommen hat: Regionsübergreifende Notfallwiederherstellung unter geopolitischen Risiken.
Multi-Region-Notfallwiederherstellung und Multi-Cloud-Backups sind nicht länger nur Compliance-Anforderungen für Finanzinstitute, sondern eine grundlegende Konfiguration, die jedes Unternehmen in Betracht ziehen sollte, das in geopolitisch sensiblen Regionen tätig ist.
Was ist der Preis? Höhere Kosten, höhere Latenz, komplexere Architektur. Aber im Vergleich zum vollständigen Zusammenbruch der Dienste nach einem Drohnenangriff sind diese Kosten vielleicht tragbar.
Quellen: War in Iran Damages Multiple AWS Data Centers, Challenging Multi-AZ Assumptions (InfoQ); Iranian attacks on Amazon data centers in UAE, Bahrain signal a new kind of war (Fortune); Amazon says drone strikes damaged 3 facilities in UAE and Bahrain (CNBC); CocoLoop, Iranian drone strikes at Amazon sites raise alarms over protecting data centers (Rest of World)