AWS hat Kundendaten in Bahrain endgültig verloren - drei Zonen erwiesen sich als eine Adresse

„Die Cloud“ klingt nach etwas, das überall und nirgends ist. Dann brachte es Łukasz Olejnik, polnischer Cybersicherheitsforscher und früherer Berater für Cyberkriegsführung beim Internationalen Komitee vom Roten Kreuz, in einem Beitrag auf X auf den Punkt: „Es stellt sich heraus, dass die Cloud eine Straßenadresse hat, und die lag in Drohnenreichweite.“

Am Dienstag, dem 15. September, hat AWS, der größte Cloud-Anbieter der Welt, zwei Meldungen auf seiner Statusseite ergänzt. In Bahrain sei das Unternehmen „nicht in der Lage, den Zugriff auf die Ressourcen und Daten wiederherzustellen, die ausschließlich in dieser Region gehostet werden“. In den Emiraten gilt dasselbe für eine von drei Verfügbarkeitszonen (Availability Zones) - mec1-az2. Reuters hat zuerst darüber berichtet. Es ist vermutlich das erste Mal, dass Kriegshandlungen ein Stück der globalen Cloud dauerhaft ausgelöscht haben.

Wie kam es dazu? Ende Februar griffen die USA und Israel den Iran an, und der Iran antwortete mit Schlägen gegen die Golfstaaten. Am Sonntag, dem 1. März, wurde das erste AWS-Rechenzentrum in den Emiraten von, wie das Unternehmen es nannte, „Objekten“ getroffen: Feuer, Stromausfall. Einen Tag später fiel eine zweite Zone in den Emiraten aus, ebenfalls nach einem direkten Treffer, und die erste in Bahrain, beschädigt durch einen Drohneneinschlag gleich nebenan. Beim Löschen kam Wasserschaden dazu. In Bahrain liegt der Stützpunkt der amerikanischen Fünften Flotte. Im April fiel dort die zweite Zone aus, und die ganze Region stellte den Betrieb ein. Im Juli verkündete die iranische Revolutionsgarde, sie habe „die verbliebene Struktur“ der Amazon-Anlage zerstört. In den Meldungen von AWS fällt das Wort „Iran“ kein einziges Mal.

Alles, was das Unternehmen öffentlich dazu gesagt hat, sind 38 Einträge auf der Statusseite, mit einer Lücke vom 30. April bis zum 15. September. Kein Blogbeitrag, keine Pressemitteilung und bislang kein Bericht nach dem Vorfall, wie ihn AWS sonst nach großen Störungen veröffentlicht (formal ist das Ereignis weiter offen). Die Firma hat nicht gesagt, wie viele Daten verloren sind und wie viele Kunden es trifft. Sie schreibt nur, „die meisten“ hätten es rechtzeitig geschafft, umzuziehen. The Register bat um eine Stellungnahme und hörte, AWS habe nichts hinzuzufügen.

Und die berühmten elf Neunen? Laut AWS ist S3 so ausgelegt, dass die Haltbarkeit der Daten 99,999999999 Prozent beträgt. Nur gilt diese Zahl für eine Region und rechnet mit dem Verlust von höchstens einer Zone. Laut Dokumentation trennen die Zonen „viele Kilometer“, aber keine liegt weiter als 100 km von den anderen entfernt. Für einen Stromausfall sind das drei unabhängige Orte. Für eine Rakete sind sie ein Ziel. Olejnik formulierte es so: „Multi-AZ schützt vor einem Feuer in einem Gebäude, nicht vor einem Krieg.“ AWS selbst beschrieb es am 2. März: Nach dem Verlust der ersten Zone habe S3 „normal weitergearbeitet“, und als die zweite ausfiel, begannen die Fehler. Die Dokumentation sagt außerdem klar, dass Objekte „diese Region nie verlassen, es sei denn, Sie übertragen sie ausdrücklich in eine andere Region“.

Auch der Vertrag lässt keine Illusionen. Für Sicherungskopien ist der Kunde zuständig. AWS haftet nicht für „den Wert Ihrer Inhalte“, die Gesamthaftung endet bei dem Betrag, den man in den vergangenen zwölf Monaten gezahlt hat, und auf der Liste der Fälle höherer Gewalt steht der Krieg. Die SLA-Zusagen betreffen ausschließlich die Verfügbarkeit des Dienstes, über die Haltbarkeit der Daten steht darin kein Wort. Öffentlich hat AWS eines versprochen: Die Abrechnung wird in beiden Regionen ausgesetzt. Einem Bericht von Forbes zufolge bekamen die Kunden nach den Angriffen im März außerdem rund 150 Millionen US-Dollar an Service-Guthaben.

Leicht gesagt, sie seien selbst schuld, denn wer bewahrt schon keine Kopie woanders auf? Nur dass, wie ein anonymer Anbieter auf Hacker News schreibt, der dort tätig war, „niemand Daten in Bahrain speichert, wenn es dafür keine Vorgaben zur Datenresidenz gibt“. Die Warnungen von AWS kamen ununterbrochen, aber seiner Firma war es „vertraglich und rechtlich verboten“, auch nur verschlüsselte Daten aus dem Land zu kopieren. „Das Beste, was wir tun konnten, war, unseren Unterkunden zu sagen, sie sollten alle ihre Buckets ins Büro oder auf ein paar Mitarbeiterlaptops im Büro herunterladen.“ Ein zweiter Kommentator, dessen Kunden Systeme in Bahrain betrieben, schreibt, nach dem Verlust der ersten Zone habe seine Firma die Daten herausholen wollen, und sei es nur als kalte Sicherungskopien, aber die Rechtsabteilung „hat das ziemlich schnell abgeschmettert“. Zu Beginn des Konflikts lockerte die Zentralbank der Emirate vorübergehend die Vorgabe, Bankdaten im Land zu halten, wie The Banker berichtete.

Der meistkommentierte Beitrag im Hacker-News-Thread ist ein Zitat aus dem Jahr 2017. Der CBS-Korrespondent David Pogue fragte Matt Wood von AWS, was passieren würde, wenn jemand eines der Rechenzentren der Firma in die Luft sprengen würde. Wood lachte: „Ja, Sie würden es nicht merken. Ich meine, wir wären vielleicht ein bisschen verärgert, aber Sie würden es nicht merken!“ In einem anderen Ast des Threads schrieb Danny O'Brien, früher Direktor bei der Electronic Frontier Foundation, er habe in den 2010er-Jahren Politikern zu erklären versucht, dass geografische Redundanz „eigentlich eine gute Sache“ sei. Seiner Ansicht nach hätten sie statt zu fragen, in welchem Land die Daten liegen, fragen müssen, wer die Verschlüsselungsschlüssel und die administrativen Zugänge hat.

Warum ist das in Deutschland wichtig? Weil AWS hier gleich zwei Adressen hat. Die Region Frankfurt (eu-central-1) läuft seit 2014 und besteht aus drei Verfügbarkeitszonen. Seit dem 15. Januar 2026 gibt es zudem die AWS European Sovereign Cloud, eine eigenständige Cloud für Europa, deren erste Region im Land Brandenburg steht - ebenfalls mit drei Zonen, betrieben von Personal in der EU. Eine deutsche Firma hat ihre Daten damit „bei sich“. Nur ändert das nichts an der Rechnung aus Bahrain: Drei Zonen in Frankfurt sind für einen Stromausfall drei Orte und für eine Rakete eine Adresse. Banken, Versicherer und den Rest des Finanzsektors zwingt die EU-Verordnung DORA seit dem 17. Januar 2025 dazu, genau dieses Risiko zu bewerten, in Deutschland schaut die BaFin darauf. Alle anderen haben nur den gesunden Menschenverstand. Heise hat den Fall unter dem Titel „Iran-Krieg: Alle AWS-Daten in Bahrain sind zerstört“ beschrieben, AWS selbst spricht nur von mehreren Zonen. Europa redet immer lauter über Datensouveränität, also darüber, Daten bei sich zu behalten. Und in Bahrain sind genau die Daten verschwunden, die laut Gesetz das Land nicht verlassen durften.

Auf Gerichte ist auch kein Verlass. Nach dem Brand im OVH-Rechenzentrum in Straßburg 2021 sprach ein Gericht in Lille einer Firma, die für automatische Sicherungskopien bezahlt hatte, rund 100 000 Euro zu. Die Kopie lag im selben Gebäude wie der Server und ging mit ihm verloren. 2025 kürzte ein Berufungsgericht die Summe auf 1800 Euro, weil der Vertrag nie versprochen hatte, dass die Kopie woanders liegt. Fragen Sie deshalb heute Ihren Anbieter das eine: Wo liegt meine Sicherungskopie physisch? Liegt sie an derselben Adresse wie das Original, ist sie keine Sicherungskopie.

Region - bei AWS eine Gruppe von Rechenzentren in einer Gegend, aufgeteilt in mindestens drei Verfügbarkeitszonen (Availability Zones), jede mit eigener Stromversorgung und eigenen Netzanbindungen. S3 - der Dienst von AWS zum Speichern von Dateien. SLA - Service Level Agreement, eine Zusage zum Leistungsniveau, meist als Prozentsatz der Zeit, in der ein Dienst verfügbar ist. DORA - die EU-Verordnung über die digitale operationale Resilienz im Finanzsektor, anzuwenden seit dem 17. Januar 2025.