Der zweite Blackout: wenn der Anbieter ausfällt
AKTE 05
Akte 05: Digitale Abhängigkeiten bleiben oft unsichtbar, bis ein Zugang gesperrt ist, ein Anbieter ausfällt oder Daten nicht mehr erreichbar sind. Dieses Beweisstück zeigt, warum Anpassung auch bedeutet, jederzeit eine zweite Möglichkeit zu haben.
Das Wichtigste auf einen Blick
- Nicht nur Strom kann ausfallen. Ein gesperrtes Konto, ein insolventer Anbieter oder ein verschlüsselter Server legt einen Betrieb genauso still, nur ohne Vorwarnung.
- Laut der Bitkom-Studie „Wirtschaftsschutz 2025″ waren 87 Prozent der befragten Unternehmen in zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen. Der Schaden allein durch Cyberangriffe wird dort mit 202,4 Milliarden Euro beziffert.
- Zugleich beziehen 67 Prozent ihre Sicherheitslösungen aus den USA, und 74 Prozent wünschen sich eine stärkere Unterstützung deutscher Anbieter. Diese Lücke ist das eigentliche Thema.
- Der Abhängigkeits-Test dauert eine Stunde und besteht aus vier Schritten. Der zweite davon ist der, den fast niemand macht.
In unserem Beitrag zu den ersten sechs Stunden ging es um den Fall, dass der Strom wegbleibt. Es gibt eine zweite Variante desselben Problems, die deutlich häufiger vorkommt und deutlich seltener geprobt wird: Der Strom ist da, das Netz ist da, und trotzdem kommst du nicht an deine Daten.
Ein gesperrtes Konto nach einem Zahlungsproblem. Ein Anbieter, der den Dienst einstellt. Ein Mitarbeiter, der ausscheidet und dessen Zugang der einzige war. Ein verschlüsselter Server. Von außen sieht das jedes Mal anders aus. Im Betrieb fühlt es sich identisch an.
Dieser Beitrag zeigt, warum das ein Anpassungsthema ist und nicht nur ein IT-Thema, und wie du deine Lage in einer Stunde prüfen kannst.
Was heißt digitale Souveränität für einen kleinen Betrieb?
Nicht, dass du alles selbst betreibst. Sondern dass du jederzeit an deine eigenen Daten kommst, sie in ein anderes System übertragen und weiterarbeiten kannst, auch wenn ein Anbieter ausfällt oder du ihn wechseln möchtest. Souveränität heißt hier schlicht: Du hast eine zweite Möglichkeit.
Digitale Souveränität: Der Begriff klingt nach Politik und ist im Alltag sehr konkret. Er beantwortet drei Fragen: Wo liegen meine Daten? Komme ich allein an sie heran? Und wie lange bräuchte ich, um umzuziehen?
Für die meisten Betriebe lautet die ehrliche Antwort auf die dritte Frage: unbekannt. Das ist kein Vorwurf. Digitale Dienste sind genau deshalb so erfolgreich, weil sie diese Fragen unsichtbar machen. Sie funktionieren, bis sie es nicht mehr tun.
Der BDS SH hat dieses Thema im MeetingPoint bereits aufgegriffen, unter der Beobachtung, dass die bequeme Abhängigkeit von wenigen großen Anbietern Betriebe in eine schwer verhandelbare Position bringt. Das ist die Verbandsseite der Sache. Die betriebliche Seite ist banaler und dringlicher.
Warum ist ein einzelner Anbieter ein Klumpenrisiko?
Weil er mehrere Ausfallarten gleichzeitig bündelt. Wenn Speicher, E-Mail, Zugangsverwaltung und Sicherung beim selben Anbieter liegen, ist derselbe Vorfall für alle vier zuständig. Ein einziger gesperrter Zugang trifft dann nicht ein System, sondern den ganzen Betrieb.
Das ist derselbe Denkfehler wie beim Notstrom. Wer eine Sicherung dort ablegt, wo auch das Original liegt, hat keine Sicherung, sondern eine Kopie am selben Ort.
Selbst ausprobieren
Was passiert, wenn ein einziger Zugang gesperrt wird?
Vereinfachte Darstellung. Zahlen zur Lage: Bitkom, „Wirtschaftsschutz 2025“, über 1.000 befragte Unternehmen ab zehn Beschäftigten.
Die Zahlen aus der Bitkom-Studie „Wirtschaftsschutz 2025″ zeigen die Lücke deutlich: 87 Prozent der befragten Unternehmen waren betroffen, aber nur rund die Hälfte hält sich für ausreichend vorbereitet. Ransomware, also die Verschlüsselung der eigenen Daten mit anschließender Lösegeldforderung, verursachte in 34 Prozent der Unternehmen Schaden. Befragt wurden über 1.000 Unternehmen ab zehn Beschäftigten.
Dass es Alternativen gibt, lässt sich in Enge-Sande besichtigen, auf demselben Gelände, auf dem in diesem Jahr der Landesverbandstag stattfindet. Dort betreibt die Firma Windcloud ein Rechenzentrum, das seinen Strom aus regionaler Windkraft bezieht und die Abwärme der Server in eine Algenfarm auf dem Dach leitet. Ein Rechenzentrum, das mit Nordfriesland auf den ersten Blick nichts zu tun hat, und das genau deshalb dort steht. Es ist ein gutes Bild für den ganzen Gedanken: Souveränität entsteht nicht durch Abschottung, sondern dadurch, dass es mehr als eine Adresse gibt.
Wie prüfst du deine Abhängigkeit in einer Stunde?
In vier Schritten. Drei davon sind Schreibtischarbeit, der zweite ist der einzige, der wirklich etwas beweist. Er ist auch der, den fast niemand macht.
1. Die Liste, 20 Minuten. Schreibe auf, welche Dienste dein Betrieb täglich braucht: Datenspeicher, E-Mail, Warenwirtschaft, Buchhaltung, Kassensystem, Terminbuchung, Website, Telefonie. Daneben zwei Spalten: welcher Anbieter, und wer im Haus hat Zugang. Diese Liste ist bei den meisten Betrieben länger als erwartet und existiert nirgends.
2. Der Export-Test, 20 Minuten. Nimm die zwei wichtigsten Dienste und exportiere deine Daten wirklich. Nicht das Häkchen bei „Datenexport verfügbar“ suchen, sondern die Datei herunterladen und öffnen. Erst dann weißt du, ob du am Ende eine brauchbare Tabelle bekommst oder eine Datei, mit der außer diesem einen Anbieter niemand etwas anfangen kann.
3. Die zweite Kopie, 10 Minuten Planung. Die verbreitete Faustregel lautet: drei Kopien der wichtigen Daten, auf zwei verschiedenen Arten von Speicher, eine davon außer Haus und vom Netz getrennt. Entscheidend ist der letzte Teil. Eine Sicherung, die mit demselben Passwort erreichbar ist wie das Original, hilft bei einem Angriff nicht.
4. Zugänge, die nicht an einer Person hängen, 10 Minuten. Wer kommt an die Verwaltungszugänge, wenn die eine Person, die sie eingerichtet hat, im Urlaub oder im Krankenhaus ist? Wenn die Zwei-Faktor-Bestätigung nur auf einem einzigen Telefon liegt, ist dieses Telefon Ihr eigentliches Betriebsrisiko. Das ist übrigens dieselbe Frage, die auch der Notfallplan aus Beweisstück 2 stellt, nur mit anderem Gegenstand.
Häufige Fragen zur digitalen Abhängigkeit im Mittelstand
Betrifft mich das NIS2-Gesetz?
Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist. Es verpflichtet nach den vorliegenden Angaben rund 29.500 Einrichtungen in 18 Sektoren, im Grundsatz ab 50 Beschäftigten oder 10 Millionen Euro Umsatz. Die meisten Mitgliedsbetriebe fallen damit nicht direkt darunter. Wichtiger ist der indirekte Weg: Betroffene Auftraggeber müssen die Anforderungen an ihre Lieferkette weitergeben. Wer für größere Kunden arbeitet, bekommt die Fragen also vertraglich gestellt, auch ohne selbst verpflichtet zu sein. Für die verbindliche Einordnung gibt es die Betroffenheitsprüfung des Bundesamts für Sicherheit in der Informationstechnik. Wir ersetzen keine rechtliche Beratung, helfen aber beim Sortieren.
Muss ich deswegen den Anbieter wechseln?
Nein. Der Test beantwortet zuerst nur, ob du wechseln könntest. Das ist eine andere Frage als die, ob du wechseln solltest, und sie lässt sich in Ruhe beantworten.
Was ist der günstigste erste Schritt?
Schritt 2. Ein einziger echter Export sagt mehr über deine Lage aus als jede Anbieterzusage.
Fazit und nächster Schritt
Beim Strom ist die Abhängigkeit sichtbar, es gibt ein Kabel und einen Zähler. Bei digitalen Diensten ist sie unsichtbar, und genau deshalb wächst sie unbemerkt. Der Unterschied ist nicht das Risiko, sondern die Aufmerksamkeit.
Mache die Liste und den Export-Test. Wenn du danach eine Einordnung möchtest, steht dir in der BDS SH Community eine kostenfreie Erstberatung von bis zu zwei Stunden zur Verfügung.
