Datensicherheit in der Cloud: Was der Totalverlust bei AWS in Bahrain für österreichische Unternehmen bedeutet
Am 15. September 2026 hat Amazon Web Services offiziell erklärt, dass Daten, die ausschließlich in der AWS-Region Bahrain gespeichert waren, nicht mehr wiederhergestellt werden können. Betroffen sind alle drei Availability Zones der Region – also genau jene Redundanz, die einen Ausfall eigentlich abfangen soll. Die Lektion für jedes Unternehmen, ob AWS-Kunde oder nicht: Die Cloud ist ein Speicherort, kein Backup. Wer keine unabhängige Kopie außerhalb des Anbieters hat, hat seine Daten nur ausgelagert, nicht gesichert.
⚠️ Sie wissen nicht, ob Ihre Cloud-Daten wiederherstellbar sind? Die fünf Fragen, die Sie heute klären sollten:
- In welcher Region und in welchem Land liegen unsere Daten und Anwendungen?
- Nutzen unsere Systeme tatsächlich mehrere Availability Zones – oder steht alles in einer?
- Existiert für geschäftskritische Daten eine Kopie in einer anderen Region oder bei einem anderen Anbieter?
- Wann wurde die Wiederherstellung zuletzt geprobt – und wie lange hat sie gedauert?
- Was passiert, wenn unser Cloud-Konto morgen gesperrt ist?
Was ist in Bahrain passiert?
Ende Februar 2026 begann der bewaffnete Konflikt zwischen den USA, Israel und dem Iran. Der Iran reagierte mit Angriffen auf Ziele in mehreren Golfstaaten – darunter Rechenzentren von Amazon Web Services in Bahrain und den Vereinigten Arabischen Emiraten. Die Chronologie laut AWS Health Dashboard, heise online und Reuters:
- Anfang März 2026: Erste Schäden an der AWS-Infrastruktur in Bahrain (Region
me-south-1) und den VAE (me-central-1). - Ende März: AWS fordert seine Bahrain-Kunden auf, Workloads in andere Regionen zu verlagern.
- April: Die gesamte Region Bahrain ist nicht mehr verfügbar.
- 15. September 2026: AWS erklärt nach über sechs Monaten Wiederherstellungsversuchen: „Nach gründlicher Lagebewertung haben wir festgestellt, dass wir nicht in der Lage sind, Zugriff auf Ressourcen und Daten, die ausschließlich in diesen Availability Zones gehostet sind, wiederherzustellen.“
Betroffen sind alle drei Availability Zones in Bahrain (mes1-az1, mes1-az2, mes1-az3) sowie eine von drei Zonen in den Emiraten (mec1-az2). Die Kunden werden auf ihre eigenen Backups verwiesen. Weitere Informationen zu Bahrain will AWS erst Anfang 2027 veröffentlichen.
Warum haben drei Availability Zones nicht gereicht?
Um das einzuordnen, muss man verstehen, wie große Cloud-Anbieter – AWS, Microsoft Azure, Google Cloud, aber auch Exoscale – ihre Infrastruktur aufbauen:
- Eine Region ist ein geografischer Standort (AWS betreibt aktuell 39 davon).
- Jede Region besteht aus mehreren Availability Zones (AZ) – räumlich getrennte Rechenzentren mit eigener Stromversorgung und Netzanbindung.
- Verteilt ein Kunde seine Systeme über mehrere Zonen („Multi-AZ“), überstehen sie den Ausfall einer Zone: einen Brand, einen Stromausfall, einen technischen Defekt.
Das Konzept funktioniert gegen lokale Ausfälle sehr gut. Es funktioniert nicht, wenn mehrere Zonen derselben Region gleichzeitig zerstört werden. AWS formuliert es selbst so: Die Schäden „erstreckten sich über mehrere Availability Zones und gingen über das hinaus, wofür unsere regionalen und Multi-AZ-Dienste ausgelegt sind.“
Die entscheidende Erkenntnis: Regionale Redundanz schützt nicht vor dem Ausfall einer ganzen Region. Multi-AZ und Multi-Region sind zwei verschiedene Dinge – und das zweite kostet zusätzlich Geld, das viele Unternehmen bislang gespart haben.
Zwei weitere Punkte werden gerne übersehen:
- Nur weil eine Region drei Zonen hat, sind Ihre Daten nicht automatisch dreifach gespiegelt. Das hängt vom jeweiligen Dienst und von Ihrer eigenen Konfiguration ab. Ein einzelner Server in einer Zone bleibt ein einzelner Server.
- Das Shared-Responsibility-Modell gilt bei jedem Anbieter. Der Cloud-Anbieter verantwortet die Sicherheit der Cloud (Gebäude, Hardware, Netz). Der Kunde verantwortet die Sicherheit in der Cloud – Zugriffsrechte, Verschlüsselung und ausdrücklich auch die Datensicherung. AWS, Microsoft und Google schreiben das in ihre Verträge. Wer sich auf den Anbieter verlässt, verlässt sich auf etwas, das dieser nie zugesagt hat.
Was hat das mit mir zu tun, wenn ich kein AWS-Kunde bin?
Mehr, als die meisten denken. Kaum ein Unternehmen in Österreich hat direkt eine Region in Bahrain gebucht. Aber:
- Ihre SaaS-Anwendungen laufen auf genau dieser Infrastruktur. Buchhaltung, CRM, Ticketsystem, Zeiterfassung, Telefonanlage – hinter fast jedem Online-Dienst steht AWS, Azure oder Google Cloud. Hat der Anbieter Ihres Vertrauens keine Ausweichstrategie, trifft Sie sein Ausfall, ohne dass Sie je gewusst hätten, wo Ihre Daten physisch liegen.
- Microsoft 365 und Google Workspace sind kein Backup. Ein gelöschtes Postfach, ein durch Ransomware verschlüsseltes SharePoint oder ein kompromittiertes Konto – Microsoft stellt Ihnen die Plattform bereit, nicht die Wiederherstellung Ihrer Daten über die Standard-Aufbewahrungsfristen hinaus. Was das im Ernstfall bedeutet, haben wir in unserem Beitrag Microsoft 365 gehackt: Was jetzt zu tun ist beschrieben.
- Bei Verbraucherdiensten können Sie nicht einmal wählen, wo Ihre Daten liegen oder wie der Anbieter sie intern spiegelt. Umso wichtiger ist eine Kopie, die unabhängig vom Anbieter existiert.
Der Fall Bahrain ist ein Extrem – Krieg, Marschflugkörper, zerstörte Gebäude. Aber die Ursache ist austauschbar: Ein Großbrand (OVH Straßburg 2021), ein Konkurs des Anbieters, ein gesperrtes Konto, eine fehlerhafte Löschroutine oder ein Verschlüsselungstrojaner führen zum selben Ergebnis. Die Daten sind weg, und der Anbieter verweist auf Ihr Backup.
Wie sichere ich Unternehmensdaten in der Cloud richtig?
Die 3-2-1-Regel – nach wie vor der Maßstab
Die Faustregel ist Jahrzehnte alt und hat sich in Bahrain einmal mehr bestätigt:
- 3 Kopien Ihrer wichtigen Daten insgesamt
- auf 2 voneinander unabhängigen Speichertechnologien
- davon 1 Kopie an einem anderen physischen Ort
Für ein KMU heißt das konkret: Das Original liegt in der Cloud oder auf dem Firmenserver, eine Sicherung auf einem NAS oder Backup-Server im eigenen Haus, eine weitere verschlüsselte Kopie bei einem zweiten, unabhängigen Anbieter – idealerweise in einem anderen Land oder zumindest in einer anderen Region. Eine Kopie im selben Rechenzentrum desselben Anbieters ist keine dritte Kopie, sondern ein Trugbild.
Wir empfehlen die moderne Erweiterung 3-2-1-1-0: eine Kopie zusätzlich unveränderlich (Immutable Storage / Object Lock, damit Ransomware oder ein Angreifer mit Admin-Rechten sie nicht löschen kann) und null Fehler bei der regelmäßigen Wiederherstellungsprobe. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung, kein Backup.
Für Unternehmen, die selbst Cloud-Infrastruktur betreiben
- Region und Zonen bewusst wählen und dokumentieren. Für österreichische Unternehmen sprechen DSGVO, Latenz und der US CLOUD Act für europäische Standorte – in unserem Alltag heißt das oft Exoscale mit Rechenzentren in Wien, Zürich und Frankfurt oder Azure-Regionen in der EU.
- Cross-Region-Replikation für S3/Objektspeicher und Datenbanken aktivieren. Genau das hat AWS seinen Bahrain-Kunden ab März 2026 dringend empfohlen – wer es bis dahin nicht hatte, hatte danach oft keine Gelegenheit mehr.
- Kubernetes-Cluster mit Velero sichern – inklusive Persistent Volumes, nicht nur Manifeste. Wir beschreiben das in Managed Kubernetes.
- PostgreSQL: Streaming-Replikation in eine zweite Region plus tägliche Base-Backups mit WAL-Archivierung in unveränderlichen Objektspeicher. Details unter Postgres Datenbankadministration.
- Infrastruktur als Code. Wer Server, Netze und Konfiguration in Terraform oder Ansible beschreibt, kann eine ganze Umgebung in einer anderen Region in Stunden neu aufbauen – statt in Wochen aus dem Gedächtnis. Aus unserer Praxis: Beim Infrastrukturpartner Swuppi (Pflege-Software mit Gesundheitsdaten) ist die komplette Exoscale-Umgebung als Terraform-Code hinterlegt; ein Wiederaufbau an einem anderen Standort ist damit ein Deployment, kein Projekt.
Für kleine Unternehmen ohne eigene IT
Eine einfache Kombination reicht oft schon:
- Microsoft 365 / Google Workspace zusätzlich mit einer Drittanbieter-Lösung sichern (Postfächer, OneDrive/SharePoint, Teams-Daten), Ziel: Speicher außerhalb von Microsoft.
- Wichtige Dateien nicht ausschließlich in einem Cloud-Speicher halten – ein NAS im Büro mit automatischer, verschlüsselter Auslagerung zu einem zweiten Anbieter kostet weniger als ein Tag Stillstand.
- Einmal jährlich eine Wiederherstellung durchspielen: eine Datei, ein Postfach, ein ganzes Verzeichnis. Zeit stoppen.
Was sagt das Gesetz dazu?
Datensicherung ist keine Kür. Art. 32 DSGVO verlangt von jedem Verantwortlichen „die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“. Ein Unternehmen, das seine Kundendaten nach einem Anbieterausfall nicht wiederherstellen kann, hat nicht nur ein betriebliches, sondern ein rechtliches Problem – unabhängig davon, wessen Rechenzentrum brannte.
Für Unternehmen, die unter NIS2 fallen (in Österreich über das NISG 2026 umgesetzt), gehören Backup-Management, Wiederherstellungsverfahren und Krisenmanagement ausdrücklich zu den verpflichtenden Risikomanagementmaßnahmen. Die Geschäftsführung haftet persönlich für deren Umsetzung.
Häufige Fragen (FAQ)
Ist meine Cloud automatisch gesichert?
Nein. Cloud-Anbieter sichern ihre Infrastruktur, nicht Ihre Daten. Datensicherung liegt nach dem Shared-Responsibility-Modell beim Kunden – bei AWS, Azure, Google Cloud und Microsoft 365 gleichermaßen.
Reicht Multi-AZ als Absicherung?
Gegen lokale Ausfälle (Brand, Strom, Defekt) ja. Gegen den Verlust einer ganzen Region – wie in Bahrain – nein. Dafür braucht es eine Kopie in einer anderen Region oder bei einem anderen Anbieter.
Was ist die 3-2-1-Regel?
Drei Kopien, zwei unterschiedliche Speichertechnologien, eine Kopie an einem anderen Ort. Erweitert um eine unveränderliche Kopie und regelmäßige Wiederherstellungstests (3-2-1-1-0).
Wie oft sollte ich eine Wiederherstellung testen?
Mindestens jährlich vollständig, geschäftskritische Systeme quartalsweise. Der Test muss die tatsächliche Wiederanlaufzeit messen, nicht nur prüfen, ob die Backup-Datei existiert.
Was kostet ein zweiter Standort?
Objektspeicher in einer zweiten Region kostet bei europäischen Anbietern wenige Euro pro Terabyte und Monat. Die Kosten eines Datenverlusts beginnen bei mehreren Tagen Stillstand.
Fazit: Die Cloud kann Teil Ihres Backups sein – aber nie Ihre einzige Kopie
Bahrain ist ein außergewöhnliches Beispiel dafür, dass selbst die Infrastruktur eines der größten Cloud-Anbieter der Welt nicht gegen jedes Szenario geschützt werden kann – und dass der Anbieter am Ende auf Ihr Backup verweist. Die gute Nachricht: Die Maßnahmen sind bekannt, bezahlbar und in wenigen Wochen umsetzbar. Was fehlt, ist meist nur die ehrliche Bestandsaufnahme.
So unterstützt Sie SKAWINSKI – Ihr IT-Partner für Backup, Cloud und Datensicherheit
Als IT-Dienstleister für den DACH-Raum unterstützt die SKAWINSKI GmbH kleine und mittlere Unternehmen dabei, ihre Daten so zu sichern, dass ein Anbieterausfall kein Geschäftsrisiko mehr ist. Wir prüfen, wo Ihre Daten liegen, ob die Wiederherstellung funktioniert, und schließen die Lücken – von der Backup-Strategie bis zum Multi-Region-Betrieb.
✓ IT-Healthcheck – über 170 Prüfpunkte in 14 Bereichen, Backup und Wiederherstellung sind Kernbestandteil
✓ Backup-Strategie nach 3-2-1-1-0 – unveränderliche Kopien, getestete Wiederherstellung, dokumentierte RTO/RPO
✓ Cloud-Migration und Multi-Region-Architektur – Azure und die souveräne europäische Exoscale-Cloud
✓ Infrastructure as Code – Terraform und Ansible, damit ein Wiederaufbau ein Deployment ist, kein Projekt
✓ Microsoft-365-Backup außerhalb von Microsoft – Postfächer, SharePoint, Teams
✓ Microsoft- und Exoscale-Partner mit über einem Jahrzehnt Erfahrung in der IT-Betreuung
✓ Lokaler Anbieter aus Eichgraben mit persönlichem Service vor Ort in Wien, Wien Umgebung und Niederösterreich
✓ Remote-Service europaweit verfügbar – schnelle Hilfe ohne geografische Grenzen
Wissen Sie, wo Ihre Daten liegen und ob Sie sie morgen wiederherstellen könnten? Melden Sie sich für einen IT-Healthcheck – Sie erhalten in 2–3 Wochen einen Bericht mit priorisierten Maßnahmen.
„Wir fangen da an, wo andere aufhören.“
– Robert Skawinski · SKAWINSKI GmbH
Quellen: AWS Health Dashboard (Statusmeldung me-south-1 / me-central-1, 15.09.2026); Reuters, „Amazon’s AWS is unable to restore access to Bahrain, one UAE cloud data zone after war damage“, 15.09.2026; heise online, „Iran-Krieg: Alle AWS-Daten in Bahrain sind zerstört“, 15.09.2026; heise & c’t (YouTube), „AWS gibt auf: Daten aus drei Rechenzentren nicht mehr erreichbar“, 16.09.2026; Art. 32 DSGVO; AWS Shared Responsibility Model.
Dieser Beitrag wurde mit KI-Unterstützung durch die SKAWINSKI GmbH erstellt und redaktionell geprüft.
