F-Secure warnt vor Europas US-Abhängigkeit

Man stelle sich eine Krankenhausangestellte vor, die am Montagmorgen ihren Dienst beginnt. Das Gebäude steht, die Netzwerkkabel sind intakt, die Server im Keller laufen. Doch der Anmeldebildschirm weist ihr Passwort zurück. Nicht wegen eines Hackerangriffs oder Stromausfalls, sondern weil das amerikanische Unternehmen, das die Authentifizierung des Krankenhauses verwaltet, die Zugangsbedingungen geändert hat. Die Patientenakten liegen wenige Meter entfernt. Erreichbar sind sie trotzdem nicht.

So sieht digitale Abhängigkeit im Alltag aus. Es braucht keine gekappten Kabel und keine brennenden Rechenzentren. Es reicht ein Vermieter, der über Nacht den Türcode ändert. Als Timo Laaksonen, der Vorstandschef des finnischen Cybersicherheitsunternehmens F-Secure, in diesem Monat vor Europas starker Abhängigkeit von US-kontrollierten kritischen Diensten warnte, meinte er genau diese leise, strukturelle Verwundbarkeit (Yle).

Der Türcode liegt nicht in Europa

Um die Schwachstelle zu verstehen, muss man verfolgen, was passiert, bevor die Krankenhausangestellte überhaupt ihr Postfach sieht.

Sie gibt ihre Zugangsdaten in ein Anmeldesystem ein. Viele europäische Organisationen nutzen dafür Identitätsdienste amerikanischer Anbieter, besonders häufig Microsoft Entra ID. Diese Systeme prüfen, wer sich anmelden darf. Fällt der Anbieter aus oder wird der Zugang entzogen, sind alle dahinterliegenden Anwendungen zugleich blockiert (Hypergate). Eine verschlossene Tür, viele Räume dahinter.

Hinzu kommt die Fernsteuerung der Cloud-Infrastruktur: jene Verwaltungsoberfläche, über die IT-Abteilungen Server anlegen, Datenbanken betreiben und die digitalen Schlüssel für sensible Daten verwalten. Die Patientenakten eines Krankenhauses können physisch auf einem Server in Frankfurt liegen. Wenn aber die Bedienkonsole, das Abrechnungskonto und die Verschlüsselungsschlüssel von einem amerikanischen Mutterkonzern kontrolliert werden, bedeutet „in Europa gehostet“ eben nicht „von Europa kontrolliert“ (JRC).

Dasselbe Muster findet sich bei E-Mail, Dokumentenspeichern, Softwareaktualisierungen und sogar beim digitalen Adressbuch des Internets, dem Domain Name System, das Browsern sagt, wo eine Website zu finden ist. Nach deutschen Erhebungen hängen rund 96 Prozent der deutschen Unternehmen von importierten Digitaltechnologien ab; amerikanische Cloud-Anbieter kommen auf mehr als 70 Prozent Marktanteil in Europa (egovernment.de).

Wenn das Schloss tatsächlich schließt

Drei jüngere Fälle zeigen, dass es sich nicht um ein theoretisches Risiko handelt.

Das KI-Unternehmen Anthropic sperrte für einige Nutzer den Zugang zu seinen neuesten Modellen, um amerikanische Exportkontrollen einzuhalten. Kein Server wurde abgeschaltet. Eine rechtliche Vorgabe reichte, damit eine digitale Fähigkeit von bestimmten Bildschirmen verschwand (AP, Reuters).

In den Niederlanden untersagte ein Gericht dem US-Unternehmen Kyndryl die Übernahme von Solvinity, jenem Anbieter, der DigiD betreibt, das digitale Identitätssystem für Steuern und Gesundheitsdienste. Der Grund lag im amerikanischen Recht: Nach dem CLOUD Act und FISA können Unternehmen unter US-Kontrolle zur Herausgabe von Daten verpflichtet werden, unabhängig davon, wo diese Daten gespeichert sind. Ein nationales Identitätssystem kann unter einem solchen Rechtsregime kaum als souveräne Infrastruktur gelten (Ius Mentis).

In Frankreich kam ein Untersuchungsausschuss der Nationalversammlung zu dem Ergebnis, dass etwa 80 Prozent der öffentlichen Softwarekäufe über amerikanische Akteure laufen, mit einem Volumen von rund 1,5 Mrd. EUR im Jahr. Ministerien, Energieversorger und Verkehrsnetze stützen sich damit auf Anbieter, die den Zugang zumindest theoretisch unter politischem oder rechtlichem Druck beschränken könnten (Banque des Territoires, Clubic).

Ausweichwege statt Wunschdenken

Europa wird den amerikanischen Technologiestapel nicht kurzfristig aus eigener Kraft nachbauen können. Dafür sind Skaleneffekte, Kapitalmacht und Marktdurchdringung der großen US-Anbieter zu stark. Erreichbar ist aber, dass weniger zusammenbricht, wenn eine zentrale Zugangsebene ausfällt.

Frankreich verlangt inzwischen, dass Cloud-Dienste für sensible staatliche Anwendungen nicht durch ausländisches Recht zur Aufgabe der Kontrolle gezwungen werden können (CER). Deutschland arbeitet mit openDesk an einer quelloffenen Arbeitsplatzumgebung. Die Europäische Kommission fasst das Problem in ihrem Tech Sovereignty Package breiter, nämlich über Halbleiter, künstliche Intelligenz, Cloud-Infrastruktur und Open Source hinweg (European Commission).

Der finnische Cybersicherheitsforscher Mikko Hyppönen weist auf einen Punkt hin, der in der Debatte oft untergeht: Selbst Schutzsysteme können Abhängigkeiten schaffen. Eine Firewall in Helsinki, die Bedrohungsdaten, Virensignaturen und Softwareaktualisierungen aus dem Ausland bezieht, bleibt auf den ununterbrochenen Zugang zu einem fremden Dienst angewiesen. Wird diese Versorgung gekappt, wird die Schutzmauer blind (YouTube / Hyppönen).

Der praktische Test für jedes europäische Krankenhaus, jede Kommune und jedes Ministerium ist deshalb einfach: Können die Mitarbeiter noch einloggen, Akten abrufen und kommunizieren, wenn morgen früh ein Anbieterkonto, ein Identitätsdienst oder ein Aktualisierungsfeed verschwindet? Institutionen, die diese Frage bejahen können, besitzen digitale Souveränität. Alle anderen sind Mieter, die noch nicht geprüft haben, wer den Schlüssel hält.