Rechenzentren & Telekommunikation in Deutschland

Deutschland gehört zu den großen europäischen Rechenzentrumsstandorten. Die Bitkom-Studie von November 2025 nennt rund 2.000 Rechenzentren mit jeweils mehr als 100 kW Anschlussleistung.[1] Getrieben von Cloud und künstlicher Intelligenz erreichte die installierte Leistung 2025 rund 2.980 MW; den Strombedarf für dieses Jahr bezifferte die Studie auf 21,3 Milliarden Kilowattstunden.[2] Diese Infrastruktur trägt Bezahlsysteme, Behördenportale, Klinik-IT sowie die Steuerung von Energie- und Wassernetzen.

Auffällig ist die Konzentration. Nach der Bitkom-Studie von 2025 entfällt mehr als ein Drittel der deutschen Rechenzentrumskapazität auf den Großraum Frankfurt.[3] Kurze Wege, dichte Vernetzung und gemeinsame Anbindung schaffen Vorteile, können aber auch gemeinsame Abhängigkeiten erzeugen. Hinzu kommt die Telekommunikation: Festnetz, Mobilfunk, Glasfaser und internationale Seekabel sorgen dafür, dass Rechenzentren erreichbar bleiben. Fällt die Verbindung aus, steht auch leistungsfähige Rechenkapazität nur eingeschränkt zur Verfügung.

Die Vorfälle der vergangenen Jahre zeigen unterschiedliche Angriffsflächen. Im November 2016 führte ein fehlgeschlagener Mirai-Infektionsversuch zum Ausfall von Routern bei rund 900.000 Telekom-Kunden.[4] Im September 2020 bestätigte Equinix einen Ransomware-Angriff auf interne Systeme; nach Unternehmensangaben blieben Rechenzentren und Kundenbetrieb funktionsfähig. Medienberichte ordneten den Angriff NetWalker zu und nannten eine Lösegeldforderung von 4,5 Millionen US-Dollar.[5] Im Januar 2024 beeinträchtigte ein Ransomware-Angriff einen Teil eines schwedischen Tietoevry-Rechenzentrums und Dienste zahlreicher Kunden, darunter Einzelhändler und Hochschulen. Die Zuordnung zu Akira stammt aus Medienberichten.[6]

Die zweite Angriffsfläche ist physisch. Im Oktober 2022 wurden bei Herne und in Berlin-Karow nacheinander zwei für das Bahn-Funksystem GSM-R genutzte Datenleitungen durchtrennt. Die zweite Leitung diente als Redundanz; nach ihrem Ausfall wurde der Zugverkehr in Norddeutschland für etwa drei Stunden eingestellt. Ein koordinierter Angriff mit Insiderwissen ist damit nicht bewiesen; spätere Ermittlungen stellten diese erste Vermutung infrage.[7] Der Fall zeigt dennoch, dass Redundanz nur hilft, solange nicht beide Wege ausfallen. Im November 2024 wurden die Ostseekabel BCS East-West Interlink und C-Lion1 beschädigt. Politisch geäußerte Sabotagevermutungen sind von einer abschließend belegten Ursache zu unterscheiden.[8]

Die dritte Angriffsfläche ist die Lieferkette. Nach dem Cyberangriff auf BITMARCK im April 2023 führten vorsorgliche Systemabschaltungen zu weitreichenden Einschränkungen bei angeschlossenen gesetzlichen Krankenkassen. Der Geschäftsbericht unterscheidet diesen Vorfall ausdrücklich vom unberechtigten Zugriff auf Jira mit gestohlenen Zugangsdaten im Januar 2023.[9] Im Juli 2024 verursachte ein fehlerhaftes CrowdStrike-Update weltweit Windows-Ausfälle. In Deutschland waren unter anderem der Flughafen BER und das Universitätsklinikum Schleswig-Holstein betroffen, das geplante Operationen absagte.[10] Auch ohne Angriff kann die Abhängigkeit von einem gemeinsamen Dienstleister oder Softwareprodukt viele Organisationen gleichzeitig treffen.

Dass Ausfälle auch ohne Angreifer auftreten, zeigt die Uptime-Institute-Befragung 2024: 53 Prozent der befragten Betreiber berichteten einen Ausfall ihrer Organisation in den vorausgegangenen drei Jahren. Bei der Frage nach dem jüngsten Ausfall mit spürbaren Auswirkungen nannten 54 Prozent von 97 Antwortenden die Stromversorgung als Hauptursache.[11] Beim Brand des OVHcloud-Standorts Straßburg im März 2021 wurde SBG2 zerstört; zeitweise waren rund 3,6 Millionen Websites nicht erreichbar.[12] Räumlich getrennte Wiederanlauf- und Datensicherungsmöglichkeiten sind deshalb ein wesentlicher Teil der Resilienzplanung.

Für die regulatorische Einordnung müssen Betreiberrolle, Dienste, Größe und gegebenenfalls KRITIS-Einstufung getrennt geprüft werden. Für vom BSI-Gesetz erfasste wichtige und besonders wichtige Einrichtungen gehören Risikomanagement und Vorfallmeldungen zu den zentralen Pflichten. § 32 BSIG sieht bei erheblichen Sicherheitsvorfällen eine frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung, und eine weiterführende Meldung spätestens nach 72 Stunden vor; grundsätzlich folgt spätestens einen Monat nach dieser Meldung ein Abschlussbericht.[13]

Für öffentliche Telekommunikationsnetze und öffentlich zugängliche Telekommunikationsdienste gelten außerdem die einschlägigen Sicherheitsanforderungen des TKG. Der Sicherheitskatalog der Bundesnetzagentur konkretisiert die Grundlage für das Sicherheitskonzept.[14] Beim physischen Schutz ist eine wichtige Abgrenzung erforderlich: Das KRITIS-Dachgesetz nennt Informationstechnik und Telekommunikation als Sektor, nimmt dessen Betreiber kritischer Anlagen aber in § 4 Absatz 2 unter anderem von den Pflichten der §§ 12 bis 16 und § 18 aus. Eine pauschale Pflicht zu Risikoanalyse, Resilienzplan und Vorfallmeldung nach diesen Vorschriften lässt sich für Rechenzentren und Telekommunikation daher nicht behaupten. Verbleibende Pflichten und andere einschlägige Regelwerke sind im Einzelfall zu prüfen.[15]

Auch das Energieeffizienzgesetz prägt den Betrieb. Für Rechenzentren im gesetzlichen Anwendungsbereich unterscheiden sich PUE-Anforderungen und Vorgaben zur Wiederverwendung von Energie nach dem Zeitpunkt der Inbetriebnahme; für die Abwärmenutzung bestehen gesetzliche Ausnahmen. Der Stromverbrauch ist bilanziell seit 2024 zu mindestens 50 Prozent und ab 2027 zu 100 Prozent durch erneuerbare Energien zu decken.[16] Den fachlichen Rahmen für die Infrastruktur bilden unter anderem EN 50600 und ISO/IEC 22237. Dabei sind Klassifikationen auseinanderzuhalten: TIA-942 verwendet Rated-1 bis Rated-4; Tier I bis Tier IV gehören zum eigenständigen System des Uptime Institute. Eine Gleichsetzung ist fachlich nicht korrekt.[17] ISO/IEC 27001 ergänzt dies um den Managementrahmen für Informationssicherheit.

Die schwierigsten Risiken liegen häufig an den Schnittstellen zwischen Cybersicherheit, physischer Sicherheit, Stromversorgung und externen Dienstleistern. In der Uptime-Institute-Befragung ist die Stromversorgung die häufigste genannte Hauptursache des jüngsten Ausfalls mit spürbaren Auswirkungen.[11] Entscheidend ist deshalb, gemeinsame Ausfallursachen in Normalbetrieb, Notversorgung und Wiederanlauf zu erkennen. Eine zusätzliche Datenkopie im selben Brandabschnitt schützt nicht gegen den Verlust dieses Brandabschnitts.

In der Telekommunikation verlagert sich das Risiko nach außen, in die Fläche und unter Wasser. Glasfaserstrecken, Kabelschächte und Seekabel sind über große Distanzen kaum lückenlos zu schützen; der entscheidende Hebel liegt deshalb in echter, geografisch und physisch getrennter Redundanz und in der Frage, wie schnell eine Strecke überhaupt als beschädigt erkannt und umgangen werden kann. Über allem steht die Konzentration: Wenige große Cloud-Anbieter, wenige Sicherheitssoftware-Hersteller, wenige Knotenpunkte und Rechenzentrumsregionen tragen einen Großteil der digitalen Last. Diese Bündelung schafft Effizienz und gleichzeitig systemische Abhängigkeit — fällt ein zentrales Element aus, sind viele zugleich betroffen. Technisch greift dagegen Defense in Depth: gestaffelte, voneinander unabhängige Schutzschichten nach dem Zwiebelschalenprinzip, konsequente Segmentierung der Netze, Zonen- und Conduit-Modelle und das Leitbild Zero Trust — kein automatischer Vertrauensvorschuss, weder für Nutzer noch für Verbindungen oder Dienstleister. Standards wie ISO/IEC 27001 und die EN-50600-Familie setzen den fachlichen Rahmen; sie unterstützen die fachliche Ausgestaltung, ersetzen aber weder die Prüfung gesetzlicher Pflichten noch eine integrierte Sicherheitsarchitektur.