AWS-Ausfall: Bahn und Telefónica brauchen Exit-Optionen bei AWS
Nach der globalen Störung bei AWS sprachen wir mit Thomas Thiele, Digitalexperte(öffnet im neuen Fenster) bei der Unternehmensberatung Arthur D. Little(öffnet im neuen Fenster), über die Risiken für Betreiber Kritischer Infrastrukturen (Kritis) in Deutschland, auch vor dem Hintergrund eines drohenden Faschismus in den USA.
Die technischen Ursachen lagen nach jetzigem Kenntnisstand in dem Ausfall der DNS-Auflösung für interne Endpunkte von AWS. So fiel etwa DynamoDB in US East 1 aus. "Zahlreiche abhängige Services schlugen fehl; teils ließen sich nicht einmal Support Tickets öffnen. Die Ausfälle propagierten sich in der Wirkungskette über 80 Services wie Lambda Invokes, EC2 Launches oder SQS Polling", erklärte Thiele.
"Die globale Störung mit Schwerpunkt US East 1 in Nord Virginia legte dann zahlreiche Dienste wie Signal, Snapchat, Fortnite und Amazon Eigendienste lahm", erklärte Thiele. "AWS sprach zunächst von DNS-Auflösungsproblemen; später konkretisierte AWS in einem Statusupdate, ein internes Subsystem für die Health-Überwachung von Network-Load-Balancern hat die Störung ausgelöst. Gegenmaßnahmen führten im Laufe des Vormittags zu einer Erholung. Mehr als 80 AWS-Services waren zeitweise betroffen."
Technische Resilienz nötig
Dennoch könnten sich die Deutsche Bahn und der Mobilfunkbetreiber Telefónica leisten, so stark von AWS abhängig zu sein, meinte Thiele, der fünf Jahre lang Chief AI Officer bei der Bahn war. "Es braucht aber eine technische Resilienz, mit klaren hybriden Pfaden oder sogar Exit-Optionen und regulatorisch belastbaren Souveränitätsmaßnahmen", betonte er.
Momentan bestehe kaum eine andere Wahl, weil die Umstellung auf diese Cloudsysteme bereits beschlossen und umgesetzt worden sei. "Die ist nicht ohne größere Aufwände umkehrbar. Allerdings können die Unternehmen schrittweise die Verbindungen lösen", sagte er. Dazu gehöre Provider-Diversifizierung: Für Kritis-Funktionen brauche man technische Fallbacks außerhalb von AWS, etwa auf eigenem Bare Metal / Private Cloud oder bei einem zweiten Hyperscaler. Die Verwendung und das Umschalten auf Fallback-Systeme müsse technisch verankert sein. "Ich teile sehr die Empfehlung des BSI, Souveränitäts- und Kontrollverlust in der Cloud aktiv abzumildern", sagte Thiele.
Kryptografische Souveränität mit External Key Stores
Wichtig seien auch kryptografische Souveränität mit External Key Stores oder kundeneigene HSMs außerhalb von AWS, "um die Schlüsselhoheit zu behalten und rechtliche Risiken zu reduzieren". Die Perspektive sei die Sovereign Cloud.
Laut einigen politischen Beobachtern stehen die USA am Rande des Faschismus. Thiele hält dies für überspitzt: "Entscheidungen wurden in der Vergangenheit unter anderen Prämissen und politischer Richtung der USA getroffen", sagte er. Seit Längerem könnten US-Behörden unter Umständen auf Daten bei US-Providern zugreifen, auch wenn diese in der EU liegen. Für Unternehmen erhöhe sich aktuell der Rechts- und Souveränitätsdruck – besonders bei Kritis-relevanten Themen.
Als Konsequenzen für deutsche Kritis-Betreiber, die konkret umsetzbar seien, nannte Thiele: "EU-Regionen nutzen und operative Schlüssel außerhalb von AWS halten (XKS/HSM). Das verhindert keinen behördlichen Zugriff per se, erhöht aber die technische und rechtliche Schwelle."
AWS in Europa: ein umstrittener Ausweg
Für besonders sensible Funktionen sollte man auf EU-geführte Plattformen wie die AWS European Sovereign Cloud ausweichen oder alternative EU-Clouds einplanen. Für die Control-Plane-Unabhängigkeit seien eigene DNS-Resolver oder Out-of-Band-Management aufzubauen, damit eine Cloudstörung nicht die Steuerung der Wiederherstellung blockiere. Andere Experten halten die EU-AWS-Cloud für keine Alternative und verweisen auf europäische Angebote.
Wichtig seien laut Thiele getrennte Domänen für Safety/Mission Critical: Bei der Bahn müsse man sicherheitskritische Leit- und Sicherungstechnik klar vom Hyperscaler-Stack entkoppeln. Bei Telefónica sei der Minimum Viable Core, zum Beispiel Nokia-basierte Funktionen außerhalb der Public Cloud als Warm-Stand-by zu halten. Hintergrund sei die vorhandene tiefe Integration des 5G-Core in AWS bei dem Netzbetreiber.
In Verträgen und der IT-Architektur sei ein Multicloud-Exit zu verankern mit Back-ups, Images, IaC-Portabilität und Daten-Egress-Pfaden. Daten-Egress-Pfade in der Cloud bezeichnen alle Netzwerkverbindungen, über die Daten die Infrastruktur eines Cloudanbieters verlassen. "Diese muss man regelmäßig testen, was das BSI auch explizit fordert", betonte Thiele.
AWS-Ausfall habe die Bahn nicht betroffen
Der Ausfall habe die Bahn nicht betroffen: "Die Systeme der Deutschen Bahn liefen am heutigen Montag reibungslos. Weder bei den IT-Systemen zur Steuerung des Eisenbahnbetriebs noch bei den Auskunftssystemen für unsere Kunden (bahn.de, DB Navigator) gab es heute Ausfälle oder Störungen", sagte ein Bahn-Sprecher am 20. Oktober 2025 Golem. Das DB-Rechenzentrum in Berlin-Mahlsdorf mit bis zu 8.000 eigenen Servern ist Vergangenheit. Die Bahn schaltete im Jahr 2020 ihr eigenes Rechenzentrum ab und beendete damit den Umzug in die US-Cloud der Hyperscaler. Darüber laufen nun der Ticketverkauf, die ständigen Verspätungsinformationen sowie die Überwachung aller Weichen des Schienennetzes.
Telefónica kommentierte: "Unser Netz läuft ununterbrochen reibungslos. Es versorgt unsere Kundinnen und Kunden zuverlässig mit Mobilfunk. Der Teil der Kernnetzinfrastruktur, der auf AWS-Komponenten läuft, befindet sich in der Region Frankfurt, die nicht von Ausfällen betroffen war. Andererseits bauen wir unser Netz mit AWS-Outposts aus – die Technik steht dabei in unseren eigenen Rechenzentren und verfügt über Redundanzen innerhalb der EU."
Man nutze "für den Großteil unseres Kernnetzes die Technologie des europäischen Netzausrüsters Ericsson. Parallel dazu betreiben wir für rund eine Million Kunden ein Kernnetz mit Nokia-Technologie auf der AWS-Infrastruktur. Zudem haben wir angekündigt, parallel eine weitere Sprachplattform aufzubauen", sagte Unternehmenssprecher Florian Streicher.
- Anzeige Hier geht es zur AVM Fritzbox 7590 AX bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.