Abgeschaltet um 17:21 Uhr

Warum souveräne Infrastruktur keine Präferenz mehr ist, sondern eine Sorgfaltspflicht.

Am Freitagabend wurde ein US-Softwareprodukt für jeden Nicht-Amerikaner auf diesem Planeten abgeschaltet, einschließlich der nicht-amerikanischen Mitarbeiter des Unternehmens, das es gebaut hat.

Um 17:21 Uhr Ostküstenzeit erhielt Anthropic eine Exportkontroll-Anordnung der US-Regierung und deaktivierte zur Einhaltung umgehend seine beiden leistungsfähigsten Modelle, Fable 5 und Mythos 5, für alle Kunden. Nicht gedrosselt. Nicht mit einer Übergangsfrist eingestellt. Deaktiviert. Das Unternehmen widersprach der Begründung, entschuldigte sich bei seinen Nutzern und erklärte, man arbeite an der Wiederherstellung des Zugangs. Für die Menschen, deren Arbeitsabläufe gerade zum Stillstand gekommen waren, spielte das am Freitagabend keine Rolle.

Ich möchte präzise sein, worum es hier geht und worum nicht. Es ist keine Geschichte über KI. Es ist keine Geschichte über ein einzelnes Unternehmen, eine einzelne Regierung oder eine bestimmte politische Richtung. Es ist eine Geschichte über eine strukturelle Tatsache, gegen die ein Großteil des deutschen Mittelstands stillschweigend gewettet hat: Ein Dienst, den Sie nicht kontrollieren, kann Ihnen von jemandem entzogen werden, der weder Ihr Lieferant noch Ihr Kunde ist, aus Gründen, die nichts mit Ihnen zu tun haben, von einem Nachmittag auf den nächsten.

Die Abhängigkeit liegt nicht dort, wo Sie sie vermuten

Die meisten Unternehmen gehen davon aus, dass ihr Cloud-Risiko in der Rechnung eingepreist ist. Das ist es nicht. Die Rechnung deckt Verfügbarkeit und Kapazität ab. Sie deckt keine Rechtsprechung ab.

Rund 70 % des europäischen Cloud-Markts laufen nach wie vor über drei US-Hyperscaler. AWS, Azure und Google Cloud betreiben alle europäische Rechenzentren und bieten alle „Datenresidenz". Doch Residenz betrifft, wo die Bytes liegen. Souveränität betrifft, wessen Recht auf sie zugreift. Ein US-Anbieter unterliegt US-Recht (dem CLOUD Act, FISA, Exportkontrollen), unabhängig davon, in welchem Frankfurter Rack Ihre Daten physisch liegen. Microsofts eigener Chefjurist in Frankreich erklärte vor dem französischen Senat sinngemäß, das Unternehmen könne nicht vollständig garantieren, dass EU-Daten dem Zugriff einer US-Datenanfrage entzogen seien. Eine „EU-Region" ist eine Postleitzahl. Sie ist keine rechtliche Brandmauer.

Wenn Sie also von einer US-Plattform abhängen, kaufen Sie keinen Dienst. Sie kaufen einen Dienst plus eine Option, kostenlos ausgestellt, gehalten von einer ausländischen Regierung, die ihr erlaubt, ihn abzuschalten. Diese Option haben Sie nicht verhandelt. Ihren Ausübungspreis können Sie nicht sehen. Und am Freitag haben wir zugesehen, wie sie ausgeübt wurde.

Gegen Unberechenbarkeit kann man sich nicht versichern

An dieser Stelle versagt die übliche Risikoanalyse.

Normalerweise steuern Sie Lieferantenrisiken, indem Sie Absichten abschätzen: Wie wahrscheinlich ist das, was würde es auslösen, wie viel Vorwarnzeit gibt es. Das funktioniert, wenn die Gegenseite berechenbar sein will, ein rationaler Akteur, der eine Geschäftsbeziehung schützt.

Gegen eine Strategie der kalkulierten Unberechenbarkeit funktioniert es nicht: jene Doktrin, die quer durch das politische Spektrum offen als Verhandlungsposition diskutiert wird und besagt, dass Druckmittel gerade daraus entsteht, schwer berechenbar zu sein. Man muss niemandes Politik teilen, um das ernst zu nehmen. Der Sinn dieser Haltung ist gerade, dass man sie nicht einpreisen kann. Der gesamte Wert des Hebels (für denjenigen, der ihn in der Hand hält) liegt darin, dass Sie nicht wissen, wann er gezogen wird. Morgen kann es ein Zoll sein. Es kann eine Exportregel sein. Es kann ein Brief um 17:21 Uhr sein. Die ehrliche Planungsannahme lautet nicht „das wird mir wahrscheinlich nicht passieren". Sie lautet „Ich habe keine belastbare Grundlage, das abzuschätzen, also muss ich das Risiko beseitigen, statt zu versuchen, mich dagegen zu versichern."

Das ist das gesamte Argument für souveräne Infrastruktur, und es übersteht jeden Regierungswechsel. Eine Abhängigkeit, die Sie nicht modellieren können, ist eine Haftung, die Sie nicht im Namen eines Kunden tragen können.

Dienste sind der Druckpunkt, nicht Waren

Zölle sind langsam, sichtbar und verhandelbar. Sie treffen physische Waren an einer Grenze, mit Vorlauf, mit Einspruchsmöglichkeiten. Sie sind laut.

Dienste sind das Gegenteil. Sie werden abgeschaltet, nicht besteuert. Es gibt keine Grenze, keine Lieferung, keine Vorwarnung, nur eine API, die dort 403 zurückgibt, wo früher 200 stand. Der Hebel in einer Dienstleistungswirtschaft ist nicht die Fabrik; es ist der Ausschalter. Und je „komfortabler" und stärker gemanagt ein Dienst ist, je tiefer er in Ihren Betrieb eingewoben ist, desto mehr wirkt er als Druckpunkt. Komfort und Abhängigkeit sind dieselbe Messgröße, aus zwei Richtungen gelesen.

Deshalb ist „wir kümmern uns darum, wenn es so weit ist" kein Plan für ein Softwareunternehmen. Wenn es so weit ist, ist die Abhängigkeit das Produkt.

Was Sie tatsächlich ersetzen können

Die gute Nachricht: Die Alternativen sind längst kein Kompromiss mehr. Für den größten Teil des Stacks gibt es eine ausgereifte europäische oder selbst betreibbare Option, die Sie vollständig kontrollieren. Eine Übersicht:

Ein warnender Hinweis zu einem dieser Punkte, denn er lehrt die tiefere Lektion. Objektspeicher ist der klassische S3-Ersatz, und jahrelang lautete die Antwort MinIO. Im Jahr 2026 gilt das nicht mehr: MinIO hat sein Open-Source-Repository archiviert, die Community-Edition nicht weiter gepflegt und liefert nun nur noch Quellcode unter Bedingungen aus, die für die kommerzielle Nutzung ein echtes rechtliches Risiko bergen. Hier hat keine Regierung etwas abgeschaltet: ein Anbieter hat es eingehegt. Das ist dasselbe Risiko in anderem Gewand. Echte Souveränität ist nicht nur welche Rechtsordnung; sie bedeutet auf niemandes Wohlwollen angewiesen zu sein. Genau deshalb lautet die bessere Antwort beim Objektspeicher heute Garage, ein leichtgewichtiger, S3-kompatibler Speicher, entwickelt von einer europäischen Non-Profit-Organisation und gefördert über das Next-Generation-Internet-Programm der EU. Niemandem gehörend, der ihn zurücknehmen könnte.

Kosten sind Verantwortung

Der Einwand lautet immer: Kosten. Deshalb gehe ich ihn direkt an. Souveräne Infrastruktur kostet meist mehr, nicht immer in Euro (Hetzner ist regelmäßig günstiger als die Hyperscaler), aber verlässlich an Aufwand. Sie übernehmen die Wartung. Sie verzichten auf einen Teil der bequemen Managed-Dienste per Klick. Sie verantworten das Patchen, die Backups, die Rufbereitschaft. Das ist real, und etwas anderes zu behaupten wäre unredlich.

Doch diese Kosten sind kein Overhead. Sie sind der Aufpreis für etwas, das Ihnen tatsächlich gehört. Und der Gedanke, den ich Sie bitte auszuhalten, ist dieser: Die billigste Infrastruktur ist immer die, die jemand anderes abschalten kann. Sie ist gerade deshalb billig, weil Sie das Risiko zusammen mit der Arbeit ausgelagert haben, bis zu dem Tag, an dem das Risiko nach Hause kommt; dann ist sie überhaupt nicht mehr billig, und Sie haben keinen Rückgriff.

Für ein Unternehmen, das Software für den deutschen Mittelstand baut, ist Souveränität keine Marketing-Ästhetik und kein politisches Statement. Sie ist eine Sorgfaltspflicht. Wenn ein Kunde Ihnen das System anvertraut, auf dem sein Geschäft läuft, dann ist „es funktioniert, bis eine ausländische Regierung anders entscheidet" kein Service-Level, unter das Sie Ihren Namen setzen sollten. Die Mehrkosten, es richtig zu machen, sind das, wie diese Verantwortung auf einer Rechnung aussieht.

Am Freitag genügten ein Brief und ein Zeitstempel. Auch der nächste wird keine Vorwarnung schicken.