Cloud-Abhängigkeit: Wann sie für Unternehmen zum Betriebsrisiko wird

Für regulierte Finanzunternehmen gelten konkrete Aufsichtsanforderungen, unter anderem aus DORA. Andere Unternehmen sind nicht automatisch denselben Regeln unterworfen. Die Grundfragen bleiben trotzdem nützlich: Welche Abhängigkeit stoppt das Geschäft, wie schnell muss es weitergehen und wurde die Wiederherstellung wirklich getestet?

Abhängigkeit ist mehr als ein Rechenzentrum

Ein Prozess kann trotz mehrerer Regionen an einer einzigen Identitätsplattform, DNS-Konfiguration, CI/CD-Pipeline oder externen API hängen. Ein zweiter Cloud-Anbieter hilft wenig, wenn beide Umgebungen denselben Login, dieselbe Deployment-Kette oder dasselbe Betriebswissen benötigen.

Das Cloudflare-Postmortem vom Februar 2026 zeigt einen solchen Betriebsaspekt: Eine interne Änderung an der BYOIP-Verwaltung führte bei einem Teil der Kunden zu zurückgezogenen Routen; die vollständige Wiederherstellung dauerte mehrere Stunden. Der Vorfall beweist keine allgemeine Unsicherheit von Cloud. Er zeigt, dass Änderung, Steuerungsebene und Wiederherstellbarkeit ebenso kritisch sein können wie Hardware.

Was ein belastbarer Plan B enthalten muss

Geschäftsziel: Für jeden kritischen Prozess RTO und RPO festlegen – also maximale Wiederanlaufzeit und akzeptablen Datenverlust.

Unabhängiger Zugang: Notfallkonten, Dokumentation und Kontakte dürfen nicht ausschließlich vom betroffenen Identitäts- oder Cloud-Dienst abhängen.

Wiederherstellbare Daten: Backups müssen exportierbar, geschützt und regelmäßig durch einen echten Restore getestet sein.

Abhängigkeitskarte: DNS, Identität, Netzwerk, APIs, Observability und Lieferanten gehören zum kritischen Pfad.

Geübter Ablauf: Rollen, Kommunikation und technische Schritte in Übungen testen. Eine Architekturzeichnung allein ist kein Fallback.

Multi-Cloud nur mit klarem Nutzen

Die EU-Kommission vergab 2026 vier parallele Verträge für souveräne Cloud-Dienste und nannte Diversifizierung und Resilienz ausdrücklich als Ziele. Für ein einzelnes Unternehmen folgt daraus nicht automatisch, dass Multi-Cloud richtig ist. Zusätzliche Plattformen erhöhen Kosten und Betriebsaufwand.

Die bessere Entscheidung beginnt beim Ausfallszenario. Wenn ein zweiter Anbieter einen realen gemeinsamen Fehler beseitigt und der Betrieb ihn beherrscht, kann Diversifizierung helfen. Wenn nur dieselbe Anwendung doppelt betrieben wird, während Identität und Deployment gemeinsam bleiben, entsteht vor allem Komplexität.

Cloud-Abhängigkeit wird beherrschbar, wenn kritische Pfade sichtbar, Wiederherstellungsziele messbar und Notfallwege geübt sind.