Europäische Unternehmen fürchten US-Tech-Kill-Switch, haben aber keine Notfallpläne

Drei Viertel der Unternehmen in Europas drei größten Volkswirtschaften glauben, dass eine Entscheidung der US-Regierung oder eines US-Konzerns sie von der digitalen Infrastruktur abschneiden könnte, auf die sie täglich angewiesen sind. Eine von dem schweizerischen, auf Datenschutz spezialisierten Anbieter Proton in Auftrag gegebene Umfrage ergab, dass 74 % der britischen, deutschen und französischen Unternehmen schwere Störungen befürchten, wenn amerikanische Big-Tech-Unternehmen kritische Cloud- oder KI-Dienste abschalten, ein Grad an Besorgnis, der etwa dem Anteil entspricht, der einen herkömmlichen Cyberangriff fürchtet. Doch dieselbe Studie offenbart eine eklatante Diskrepanz: Die meisten dieser Unternehmen haben keinen getesteten Plan für den Fall, dass dieser Zugang verschwindet.

Die Vorsorgelücke

Laut Proton-Daten könnten 54 % der europäischen Unternehmen nicht länger als einen einzigen Tag operativ bleiben, wenn sie den Zugang zu ihrem Cloud-Anbieter verlieren. Zwar geben zwei Drittel an, den Anbieter wechseln zu wollen, sollte eine ausländische Regierung den Zugang zu einem essenziellen digitalen Dienst einschränken, doch nur 28 % verfügen über eine Notfalllösung für einen Cloud-Ausfall und lediglich 24 % für den Verlust von KI-Tools. Weniger als die Hälfte, 44 %, testet ihre Notfallpläne unter realen Bedingungen. Die Zahlen legen eine Kluft zwischen der Rhetorik technologischer Souveränität und der Realität täglicher Abhängigkeit von US-Hyperscalern offen.

Die Umfrage zeigt auch einen Wandel in den Prioritäten der Vorstände. Laut Proton-COO Raphaël Auphan sagen nun 56 % der europäischen Unternehmen, dass geopolitisches Risiko bei Einkaufsentscheidungen gleich viel wiegt wie Cyber-Risiko. Er verweist auf zwei jüngere Auslöser: den Rückzug von Fable 5 und die Verweigerung von Microsoft-Diensten für Beamte des Internationalen Strafgerichtshofs. Beide Episoden verstärkten die Wahrnehmung, dass der Zugang zu US-kontrollierter Infrastruktur aus politischen Gründen entzogen werden kann.

Proton verzeichnet Anstieg strukturierter Migrationspläne

Diese Angst schlägt sich in kommerziellem Schwung für europäische Alternativen nieder. Proton, das E-Mail, VPN, Passwortmanagement und Cloud-Speicher anbietet, meldet allein in der nordischen Region, die selbst zu den am stärksten von US-Technologie abhängigen gehört, einen Anstieg der Registrierungen um fast 80 %, mit ähnlichem Wachstum auf dem gesamten Kontinent. Aufschlussreicher als das Volumen, so Auphan, sei die Art der Gespräche. Organisationen wandten sich mit strukturierten Fahrplänen zur Abhängigkeitsreduzierung an Proton, die bis zu 24 Monate in die Zukunft reichten. "Die Frage ist nicht, ob sich europäische Organisationen von den USA abwenden, sondern wie schnell eine solche Migration stattfinden wird," schließt er.

Warum die Migration langsam verlaufen wird

Analysten sind hinsichtlich des Tempos weniger optimistisch. Der Kern des Problems ist simpel: Die allermeiste Cloud- und KI-Infrastruktur gehört Google, Microsoft und Amazon. Diese Unternehmen bieten nicht nur Produkte, die viele europäische Firmen für überlegen halten; sie geben auch um eine Größenordnung mehr aus als europäische Konkurrenten. Penny Naas, Senior Vice President für Innovation und Wettbewerbsfähigkeit beim German Marshall Fund, merkt an, dass US-Anbieter etwa zehnmal mehr in Forschung, Entwicklung und neue Rechenzentren investieren als ihre europäischen Pendants. Allein Microsoft hat in den vergangenen zwei Jahren 3,2 Milliarden Euro in deutsche Rechenzentren gesteckt, während die gesamte deutsche Cloud-Industrie knapp 2 Milliarden Euro in heimische Angebote investierte.

Naas beschreibt EU-basierte Cloud-Anbieter als "zunehmend Nischenanbieter", die zusammen weniger als 2 % des europäischen Marktes ausmachen. Sie argumentiert, dass lokale Hindernisse, Genehmigungsverfahren, Stromkosten, Zugang zu Spitzentechnologie-Chips, eine Rolle spielten, das fundamentale Problem aber unzureichendes privates Kapital sei. "Die europäische Nachfrage wird dann von den US-Anbietern bedient," sagt sie. Philipp Eckhardt, Leiter Finanzmärkte und Informationstechnologien beim Centre for European Policy, stimmt zu. Er sieht keine nennenswerte Wende. US-Anbieter setzten "den Goldstandard" für digitale Produkte, und ein Wechsel bedeute, weniger wettbewerbsfähige Alternativen in Kauf zu nehmen.

Kognitive Dissonanz und Trittbrettfahrer-Probleme

Eckhardt identifiziert zwei Verhaltensbremsen. Erstens eine Form kognitiver Dissonanz: Viele Organisationen glauben, ein Kill-Switch könne andere treffen, aber nicht sie selbst. Zweitens eine Trittbrettfahrer-Dynamik. Ein Unternehmen, das in die Reduzierung seiner Abhängigkeit investiert, trägt die vollen Kosten, während der Nutzen, ein widerstandsfähigeres Ökosystem, auch den Wettbewerbern zugutekommt. "Daher wird kein Unternehmen investieren, bevor andere es tun … niemand ändert sein Verhalten," sagt er. Seiner Ansicht nach kann nur Regulierung den Stillstand durchbrechen, etwa indem kritische Infrastrukturanbieter zur Diversifizierung oder Entwicklung von Backup-Lösungen verpflichtet werden.

Das kürzlich vorgestellte EU-Paket für technologische Souveränität wird weithin als Schritt in diese Richtung gesehen. Aimilia Givropoulou und Sivan Pätsch von OpenForum Europe bezeichnen es als "den ehrgeizigsten Plan, den die EU je zur Bewältigung ihrer digitalen Abhängigkeiten vorgelegt hat." Sie heben drei Elemente hervor: Open Source eingebettet in einen kohärenten industriepolitischen Rahmen; das Wertschöpfungs-Erfassungs-Problem explizit benannt und durch politische Maßnahmen untermauert; sowie der Cloud- und KI-Entwicklungsgesetz, der Souveränitäts-Sicherungsstufen einführt und öffentlichen Stellen eine strukturierte Risikobewertung ermöglicht.

Das Souveränitätspaket und seine Ausnahmen

Das Paket umfasst den Chips Act 2.0 und das Cloud- und KI-Entwicklungsgesetz. Doch die Gesetzgebung enthält bewusste Ausnahmeregelungen. Der Chips Act erlaubt öffentliche Beschaffung aus Ländern, mit denen die EU strategische Partnerschaften unterhält. Das Cloud- und KI-Entwicklungsgesetz schafft vier Souveränitäts-Sicherungsstufen; die niedrigste Stufe gestattet Nicht-EU-Anbieter, wenn eine öffentliche Stelle diese "ausdrücklich verlangt". Artikel 30 befreit Vergabestellen von den Anforderungen der Verordnung, wenn die Einhaltung "unverhältnismäßige Kosten" verursachen würde. Eckhardt argumentiert, diese Ausnahmen seien notwendig: pauschale Souveränitätsregeln würden Beschaffung verteuern, bürokratische Lasten erhöhen und Steuergeld zu verschwenden riskieren. Doch sie bedeuten auch, dass die EU nicht so bald volle technologische Souveränität beanspruchen kann.

Chloe Teevan, Associate Director für Geostrategie beim European Centre of Development Policy Management, fügt eine geopolitische Dimension hinzu. Europa habe bewusst Partnerschaften mit Mittelmächten, Indien, Südostasien und andere, gepflegt, um kritische Lieferketten zu diversifizieren. "Es ist entscheidend, dass die EU beim Abschluss neuer Handelsabkommen mit Ländern wie Indien diese nicht untergräbt, indem sie sinnvolle Zusammenarbeit unmöglich macht," sagt sie. Die Beschaffungsfrage habe daher viele Facetten und lasse sich nicht auf eine binäre EU-gegen-USA-Entscheidung reduzieren.

Was Unternehmen jetzt tun sollten

Solange der politische Rahmen reift, rät Proton Unternehmen, selbst aktiv zu werden. Auphan nennt zwei Prioritäten. Erstens: Wo immer möglich, jenseits der US-Rechtsordnung diversifizieren: "Nutzen Sie nicht eine einzige US-Plattform für all Ihre E-Mails, Cloud-Speicher und Zusammenarbeit. Nur eine Diversifizierung außerhalb der US-Rechtsordnung bietet eine Lösung." Zweitens: Vollständige Kill-Switch-Szenarien testen, bei denen viele oder alle digitalen Dienste gleichzeitig offline gehen, bevor sie eintreten. "Entscheidend ist, den Kill-Switch zu testen, bevor man ihn braucht," sagt er. "Unsere Forschung zeigt, dass die meisten Organisationen zwar irgendeinen Notfallplan haben, aber weniger als die Hälfte ihn je unter realen Bedingungen getestet hat."