Alle Eier in Frankfurt

I. Drei Treffer in vier Tagen

In der Nacht zum 8. Oktober 2026 schlug eine ukrainische Drohne in ein Rechenzentrum von Yandex in Sassowo ein, im Gebiet Rjasan südöstlich von Moskau. Es brannte, der Betrieb wurde vollständig eingestellt. Am 9. Oktober traf es ein Rechenzentrum im Gebiet Kaluga, mehrere Module fielen komplett aus. Am 11. Oktober folgte Wladimir östlich von Moskau. Yandex meldete, der Betrieb sei „vollständig eingestellt“, die Plattform laufe im Notbetrieb mit „instabiler“ Restkapazität, und forderte seine Firmenkunden auf, ihre Notfallpläne zu aktivieren.

Drei Treffer in vier Tagen, und die Hälfte der großen Rechenzentren des größten russischen Internetkonzerns war ganz oder teilweise außer Betrieb. In Sassowo standen nach Berichten von Al Jazeera zwei der drei Supercomputer, mit denen Yandex sein KI-Modell entwickelt.

II. Wer angefangen hat

Die Angriffe kamen nicht aus heiterem Himmel. Ende September hatte Russland begonnen, Rechenzentren in der Ukraine zu beschießen. Mindestens acht große Standorte in Kiew wurden getroffen, das Internet fiel großflächig aus. Moskau begründete das damit, dort würden militärische Aufklärungsdaten verarbeitet. Wolodymyr Selenskyj nannte die Antwort „spiegelbildlich“: „Wir antworten immer symmetrisch.“

Damit ist eine Schwelle überschritten. Bis dahin galten Rechenzentren als zivile Infrastruktur, die man allenfalls mit Schadsoftware angreift. Jetzt sind sie Ziele für Sprengstoff, und beide Seiten haben gezeigt, dass sie die Gebäude finden und treffen können. Was in diesem Krieg einmal erprobt wurde, steht danach in jedem Lehrbuch, wie wir in „Die Erprobung der neuen Spielzeuge der kleinen Jungs“ beschrieben haben.

III. Eine Wolke ist ein Gebäude

Was ausfiel, zeigt, wie weit die Abhängigkeit reicht. Yandex Cloud hat mehr als 64.000 Firmenkunden. Ihre Daten, Dokumente, Tabellen und Programme waren plötzlich nicht mehr oder nur noch teilweise erreichbar. Der Bezahldienst stockte. Yandex erlässt seinen Cloud-Kunden nun die Gebühren vom 8. bis 31. Oktober, die Aktie verlor in zwei Handelstagen 5,4 Prozent. Kremlsprecher Dmitri Peskow erklärte, Yandex habe „Schwierigkeiten“, die Regierung bespreche die Lage, für eine Schätzung der Schäden sei es zu früh.

Das Wort „Cloud“ hat uns daran gewöhnt, Daten für etwas Schwebendes zu halten, das überall und nirgends ist. Eine Wolke ist aber ein Gebäude. Es hat eine Adresse, ein Dach, einen Stromanschluss und eine Kühlanlage. Wer das Dach durchschlägt, holt die Wolke auf den Boden. Für den Buchhalter in Kasan, dessen Firmenkonten in Sassowo lagen, war die Wolke am 8. Oktober ein brennendes Gebäude in einer Kleinstadt, von der er vorher nie gehört hatte.

IV. Drei Viertel in einer Region

Und in Deutschland? Nach einer Marktanalyse des Immobilienberaters JLL vom April 2026 verfügen die deutschen Rechenzentren über rund 1.300 Megawatt Leistung. Fast 1.000 davon stehen in Frankfurt und im Rhein-Main-Gebiet, rund drei Viertel. Berlin kommt auf 136, München auf rund 100, Köln und Düsseldorf zusammen auf rund 55 Megawatt. In Frankfurt sind weitere 285 Megawatt im Bau und 550 geplant.

Hinzu kommt der Knoten. In Frankfurt sitzt mit dem DE-CIX einer der größten Internet-Austauschpunkte der Welt, über den die Netze der Anbieter ihre Daten miteinander tauschen. Und die großen amerikanischen Cloud-Anbieter haben ihre deutschen Regionen überwiegend dort angesiedelt. Frankfurt ist also dreierlei zugleich: Lagerhaus, Kreuzung und Filiale fremder Konzerne.

Yandex hatte seine Leistung auf fünf oder sechs große Standorte verteilt, und drei Treffer haben genügt. Deutschland hat sie im Wesentlichen auf eine Region verteilt. Die Konzentration nimmt sogar zu, und wo sie abnimmt, liegt es nicht an der Sicherheit. Berlin und Nordrhein-Westfalen holen auf, weil in Frankfurt die Stromanschlüsse knapp werden. Für große Rechenzentren kann ein Netzanschluss dort bis zu 13 Jahre dauern.

V. Schweinfurt 1943

Es gibt ein deutsches Lehrstück dafür, wie das ausgeht. Im Zweiten Weltkrieg kam ein großer Teil der deutschen Kugellager, nach den meisten Darstellungen rund die Hälfte, aus einer einzigen Stadt: Schweinfurt. Ohne Kugellager drehte sich kein Panzer, kein Flugzeugmotor, keine Werkzeugmaschine. Die Alliierten hatten das erkannt und griffen die Stadt im August und im Oktober 1943 aus der Luft an. Albert Speer ließ die Fertigung danach auf viele kleinere Standorte verteilen. Die Konzentration, die im Frieden effizient gewesen war, hatte sich im Krieg als Schwachstelle erwiesen.

Andere haben dieselbe Lehre früher und billiger gezogen. Venedig verlegte 1291 seine Glasöfen auf die Insel Murano, auch weil die Feuer in der dicht bebauten Stadt eine ständige Brandgefahr waren. Der Förster lernt es nach jedem Sturm: Die Fichten-Monokultur liefert am meisten Holz pro Hektar, bis der Wind kommt. Der Mischwald bringt weniger, aber er fällt nicht auf einmal um.

VI. Geheim oder bekannt?

Liegt der Schutz darin, die Standorte geheim zu halten? Seit 2025 gibt es nach dem Energieeffizienzgesetz ein nationales Rechenzentrumsregister. Es ist, wie Julian Bothe von AlgorithmWatch im Gespräch mit Ingo Dachwitz bei netzpolitik.org feststellte, „sehr lückenhaft“: Bis Juli hatten nur 482 von geschätzt rund 1.000 meldepflichtigen Rechenzentren gemeldet. Die Industrie möchte die Daten als Geschäftsgeheimnis behandeln, Behörden verweisen auf Sicherheitsrisiken.

Das Sicherheitsargument trägt nicht weit. Die Betreiber werben selbst mit ihren Standorten, weil ihre Kunden dorthin kommen und ihre Server anschließen müssen. Ein großes Rechenzentrum ist ein Gebäude mit eigenem Umspannwerk, Kühltürmen und Notstromaggregaten, auf jedem Luftbild zu erkennen und in jedem Bauantrag beschrieben. Ein Gegner, der Drohnen mit Hunderten Kilometern Reichweite baut, findet es ohne Register. Die Geheimhaltung schützt vor allem vor der Öffentlichkeit, die wissen möchte, wie viel Strom und Wasser verbraucht wird. Sie schützt nicht vor dem, der angreifen will.

VII. Was das Gesetz schützt

Das KRITIS-Dachgesetz, dem der Bundesrat im März 2026 zugestimmt hat, regelt zum ersten Mal den physischen Schutz kritischer Anlagen. Die Betreiber müssen sich registrieren, Risiken analysieren, einen Resilienzplan vorlegen und Störungen binnen 24 Stunden melden. Die Fristen sind lang: Registrierung ab Juli 2026, Risikoanalyse neun Monate danach, Resilienzplan nach zehn Monaten. Welche Anlagen genau darunter fallen, soll erst eine Verordnung festlegen.

Das Gesetz denkt in einzelnen Anlagen. Jede soll ihren Zaun, ihren Plan und ihre Meldekette bekommen. Was es nicht erfasst, ist die Summe: dass drei Viertel der Leistung in einer Region stehen, an einem Knoten hängen und zu einem großen Teil von Anbietern betrieben werden, die amerikanischem Recht folgen. Hundert gut gesicherte Anlagen in einer Region sind immer noch ein Korb.

VIII. Die richtige Frage

Nach dem Brandanschlag auf das Berliner Stromnetz im Januar 2026 fragte der Regierende Bürgermeister Kai Wegner: „Soll ich an jeder Stelle einen Polizisten hinstellen?“ In „MESH – Die falsche Frage des Bürgermeisters“ haben wir geantwortet, dass die Frage falsch gestellt ist. Die richtige lautet: Warum bringt ein einzelner Ausfall so viel zum Stillstand? Unsere Grundregel war: Kein Element darf so gebaut sein, dass sein Ausfall mehr als eine örtliche und vorübergehende Störung verursacht.

Für Daten heißt das: Nicht jedes Rechenzentrum gegen jede Drohne härten, sondern so verteilen und spiegeln, dass der Verlust eines Standorts, ja einer ganzen Region, nichts Wesentliches abschaltet. Behörden, Krankenhäuser, Stadtwerke und Banken brauchen Kopien ihrer Daten an mindestens einem zweiten, weit entfernten Ort, und zwar in Betrieb, nicht als Sicherung im Schrank. Kommunale und regionale Rechenzentren sind dann kein Luxus, sondern Teil der Verteidigung. Und der Umschalter muss geübt sein. Yandex hatte mehrere Standorte und forderte seine Kunden trotzdem auf, ihre Notfallpläne zu aktivieren. Viele hatten offenbar keine.

In „Der Schalter“ lag der Schalter, der Europa digital abschalten kann, in Washington. In „Der Schalter im Rathaus“ lag der zweite bei unseren eigenen Mehrheiten. Yandex zeigt einen dritten: Man muss niemanden überreden und kein Gesetz ändern. Es genügt eine Drohne über einem Dach.

IX. Was dagegen spricht

Deutschland ist nicht im Krieg, Frankfurt liegt weit von jeder Front. Das stimmt. Aber Rjasan liegt auch weit von der Ukraine, und der Berliner Stromausfall vom Januar brauchte keine Drohne, sondern einen Kanister Benzin. Wer Infrastruktur nur gegen den Krieg plant, den er für unwahrscheinlich hält, übersieht die Sabotage, die schon stattfindet.

Verteilung kostet Geld, und Konzentration hat gute Gründe: kurze Wege, schnelle Verbindungen, gemeinsame Stromversorgung. Auch das stimmt. Aber es ist dieselbe Rechnung, die Schweinfurt 1943 aufgemacht hatte und die nach jedem Sturm im Fichtenwald aufgeht. Redundanz sieht im Frieden aus wie Verschwendung. Wer bis zum Ernstfall wartet, stellt die Frage, die wir in „Bauen wir die Arche erst, wenn die Sintflut da ist?“ gestellt haben, und bekommt die Antwort, die wir in „Es muss erst schlimm werden“ beschrieben haben.

Yandex hatte seine Eier auf fünf oder sechs Körbe verteilt, und drei Drohnen haben genügt. Deutschland hat drei Viertel in einem Korb, und der Korb steht in Frankfurt.