Backup ist kein Schutz mehr. Recovery ist es.
92 Prozent. So hoch ist der Anteil westlicher Daten, der auf Servern amerikanischer Anbieter liegt – dokumentiert in einem aktuellen Bericht des Europäischen Parlaments. Diese Zahl stand in der vergangenen Woche gleich mehrfach im Mittelpunkt: in der politischen Debatte um digitale Souveränität, in der Diskussion über Compliance-Pflichten und in der anhaltenden Auseinandersetzung damit, was Backup 2026 tatsächlich leisten muss.
Digitale Souveränität: Vom Schlagwort zur regulatorischen Realität
Lange galt digitale Souveränität als strategisches Wunschziel ohne verbindliche Konsequenzen. Das ändert sich. Die EU treibt 2026 ein umfangreiches Gesetzespaket voran – darunter den Cloud- und KI-Entwicklungsakt, der strukturelle Abhängigkeiten von außereuropäischen Anbietern abbauen soll. Über 60 Prozent der Unternehmen der deutschen Informationswirtschaft geben an, in mindestens einem von acht Technologiefeldern stark abhängig von Anbietern außerhalb Europas zu sein.
Das Kernproblem bleibt dabei juristischer Natur: Amerikanische Anbieter – unabhängig davon, ob ihre Rechenzentren in Frankfurt oder Dublin stehen – unterliegen dem US CLOUD Act. Das bedeutet, dass US-Behörden unter bestimmten Voraussetzungen Zugriff auf gespeicherte Daten verlangen können, ohne dass europäische Datenschutzrecht dem entgegenstünde. Für Unternehmen, die NIS2, DORA oder das KRITIS-Dachgesetz einhalten müssen, ist das keine abstrakte Bedrohung mehr, sondern ein Beschaffungskriterium.
NIS2 und KRITIS-Dachgesetz: Der doppelte Fristendruck
Das NIS2-Umsetzungsgesetz gilt seit Dezember 2025 ohne Übergangsfrist für rund 29.500 Unternehmen in 18 Sektoren. Backup- und Notfallmanagement ist nach § 30 BSIG eine explizit vorgeschriebene Maßnahme – keine Empfehlung, sondern gesetzliche Pflicht. Parallel dazu ist das KRITIS-Dachgesetz am 16. März 2026 in Kraft getreten. Betreiber kritischer Anlagen – in den Bereichen Energie, Wasser, Gesundheit, Transport und öffentliche Verwaltung – müssen sich bis zum 17. Juli 2026 auf der gemeinsamen Plattform von BBK und BSI registrieren und in den Folgemonaten Risikoanalysen und Resilienzpläne vorlegen.
Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro; Geschäftsführer haften gemäß § 38 BSIG persönlich. Der Zeitdruck ist real: Die Registrierungsfrist für NIS2 lief bereits am 6. März 2026 ab, verspätete Anmeldungen sind noch möglich, aber das Fenster schließt sich.
Im Finanzsektor kommt DORA hinzu: Aktuelle Auswertungen zeigen, dass zwischen 44 und 50 Prozent der europäischen Finanzunternehmen noch nicht vollständig DORA-konform sind. Die BaFin hat seit Januar 2026 aktive Prüfungen eingeleitet. DORA verlangt – wie NIS2 – explizit ausgereifte Backup-Konzepte, Business-Continuity-Pläne und nachweisliche Resilienztests.
Recovery als eigentlicher Maßstab
Der World Backup Day 2026 (31. März) hat eine Debatte ausgelöst, die in der abgelaufenen Woche weiter nachgewirkt hat: Backup wird nicht mehr an der gesicherten Datenmenge gemessen, sondern daran, ob Daten im Ernstfall auch tatsächlich wiederhergestellt werden können. Speicherguide.de formulierte es prägnant: „Backup wird zur Frage der Wiederherstellung.”
Der Hintergrund: Ransomware-Angriffe nehmen in Volumen und Sophistikation weiter zu – laut BSI stiegen die gemeldeten Vorfälle in der ersten Jahreshälfte 2025 um mehr als 40 Prozent gegenüber dem Vorjahr. Besonders alarmierend ist die veränderte Angriffsstrategie: Angreifer verschlüsseln zunehmend zuerst die Backup-Repositories, bevor sie sich in der Produktionsumgebung offenbaren. Softwarebasierte Immutabilität, die über kompromittierte Admin-Accounts umgangen werden kann, bietet in diesem Szenario keinen zuverlässigen Schutz. Der Fokus verschiebt sich daher auf physisch isolierte, hardware-gesicherte Architekturen – und auf den Nachweis, dass Backups im Ernstfall auch unter Druck wiederherstellbar sind.
Laut einer aktuellen Erhebung sind nur 39 Prozent der Unternehmen vollständig zuversichtlich, ihre Daten nach einem Cyberangriff verlustfrei wiederherstellen zu können.
Sovereign AI: Lokale KI-Inferenz als strategische Anforderung
Ein weiteres Thema, das diese Woche an Schärfe gewann: On-Premises-KI. Unternehmen verlagern KI-Workloads zunehmend aus der Cloud in eigene Infrastrukturen – getrieben durch DSGVO-Anforderungen, den EU AI Act (vollständige Compliance-Pflichten ab August 2026) und den Wunsch, keine Abhängigkeit von externen Anbietern zu riskieren. Laut einer Gartner-Erhebung stufen inzwischen 93 Prozent der Unternehmensführer KI-Souveränität als strategische Priorität ein – gegenüber 41 Prozent im Jahr 2024.
Das Bundesministerium fördert aktiv die Entwicklung von On-Premises-KI-Plattformen für den deutschen Markt. Die technische Konsequenz ist eine drei-stufige Hybrid-Architektur, die sich als neuer Standard herauskristallisiert: Public Cloud für das Training, lokale Rechenzentren für die Produktions-Inferenz, Edge-Infrastruktur für latenz-kritische Anwendungen. Für regulierte Branchen – Pharma, Finance, Gesundheit, Behörden – ist lokale Inferenz dabei nicht optional, sondern regulatorisch geboten.
Was diese Woche auf LinkedIn diskutiert wurde
Auf LinkedIn dominierten in der vergangenen Woche zwei Themen die Fachcommunity: die 29-Minuten-Breakout-Zeit aus dem CrowdStrike Global Threat Report 2026 und die Frage, was Backup heute wirklich leisten muss. Die FAST LTA Unternehmensseite griff die CrowdStrike-Zahl als Aufhänger auf und verknüpfte sie mit dem Argument, dass Datensouveränität und physischer Air Gap keine technischen Nischenthemen mehr sind, sondern operative Realität. Der Beitrag erzielte die meisten Reaktionen aller Corporate-Posts der vergangenen 30 Tage.
In der Fachcommunity wurde parallel intensiv diskutiert, dass herkömmliche Backup-Konzepte im Ernstfall versagen – der Gedanke „The Cloud is just someone else’s computer” wurde geteilt und kommentiert. Zum Abschluss der Woche thematisierte ein weiterer Beitrag die Recovery-Lücke: Nur 39 Prozent der Unternehmen sind laut World Backup Day 2026 zuversichtlich, ihre Daten nach einem Angriff verlustfrei wiederherstellen zu können. Dieser Post erschien heute und markiert damit thematisch den Übergang von der vergangenen Woche in die neue. Durchgehend präsent waren die Hashtags #Cyberresilienz, #NIS2, #KRITIS, #OnPrem und #ZeroLoss.
Fazit
Die Woche vom 13. bis 17. April hat drei sich überlagernde Trends sichtbar gemacht: den wachsenden Regulierungsdruck durch NIS2, KRITIS-Dachgesetz und DORA, die strategische Neuausrichtung im Bereich KI hin zu lokaler, souveräner Infrastruktur und den Paradigmenwechsel im Backup-Markt von der Datensicherung zur nachweisbaren Wiederherstellbarkeit. Diese drei Entwicklungen sind kein Zufall – sie spiegeln eine breitere Neubewertung dessen wider, was IT-Resilienz 2026 bedeutet.
