Mit NIS2 verändern sich die Anforderungen an Cloud-Strategien. Cyberresilienz, digitale Souveränität und Kontrolle gewinnen gegenüber reiner Skalierbarkeit an Bedeutung. Unternehmen müssen ihre Abhängigkeiten von Hyperscalern und die Resilienz ihrer digitalen Lieferketten neu bewerten.
Ein Gastbeitrag von Dejan Grofelnik Pelzel, Gründer und CEO, bunny.net
Lange galt die Cloud-Strategie vieler Unternehmen als vergleichsweise einfach. Wer maximale Skalierbarkeit, globale Verfügbarkeit und ein umfangreiches Serviceportfolio suchte, entschied sich für einen der großen Hyperscaler. Doch mit der zunehmenden Digitalisierung geschäftskritischer Prozesse verändert sich die Perspektive vieler IT-Entscheider.
Denn heute geht es nicht mehr nur um Rechenleistung und Speicherplatz. Themen wie Cyberresilienz, digitale Souveränität, regulatorische Anforderungen und operative Kontrolle rücken zunehmend in den Mittelpunkt. Spätestens mit der Umsetzung von NIS2 müssen Unternehmen ihre digitalen Lieferketten, Infrastrukturpartner und Sicherheitsmaßnahmen deutlich intensiver bewerten als bisher.
Es geht daher nicht mehr ausschließlich darum, welcher Anbieter die meisten Services bietet. Vielmehr ist entscheidend, wie resilient, transparent und kontrollierbar ihre Infrastruktur tatsächlich ist.
Die Bedrohungslage verändert sich schneller als viele Unternehmen denken
Wie dringend diese Diskussion geworden ist, zeigen aktuelle Telemetriedaten aus dem „2026 Edge Security Report“ von bunny.net. Zwischen Januar und Mai 2026 analysierten wir mehr als 42,4 Milliarden Requests auf unserer globalen Edge-Infrastruktur. Fast fünf Milliarden dieser Anfragen mussten durch Sicherheitsmechanismen abgewehrt oder überprüft werden. Gleichzeitig wurden über 17,6 Millionen Angreifer-IP-Adressen direkt auf Netzwerkebene blockiert.
Besonders auffällig ist die zunehmende Automatisierung des Internets. Rund jede fünfte Anfrage stammt mittlerweile nicht mehr von Menschen, sondern von automatisierten Systemen. Allein HTTP-Clients und API-basierte Tools wie curl, Requests oder Go HTTP Clients erzeugen inzwischen 19 Prozent des gesamten Traffics.
Gleichzeitig zeigt der Report einen deutlichen Anstieg KI-basierter Crawling-Aktivitäten. KI-Crawler erzeugen inzwischen mehr Traffic als klassische Suchmaschinen-Bots. Die Ära, in der Unternehmen lediglich Google-Bots im Blick behalten mussten, ist damit endgültig vorbei. So müssen die Sicherheitsstrategien deutscher Unternehmen heute auf dauerhaft automatisierte Angriffe, KI-gesteuerte Akteure und hochgradig verteilte Bedrohungen ausgelegt sein.
NIS2 macht Infrastruktur zur Managementaufgabe
Mit NIS2 steigen die Anforderungen an Governance, Risikomanagement und Business Continuity erheblich. Betreiber kritischer und wichtiger Einrichtungen müssen künftig nachweisen können, dass ihre technischen und organisatorischen Maßnahmen geeignet sind, Cyberrisiken wirksam zu minimieren. Dazu gehört neben Firewalls oder Endpoint-Security-Lösungen auch die Auswahl und Steuerung externer Dienstleister. Damit wird Infrastruktur zu einem strategischen Bestandteil der Unternehmenssicherheit.
Viele Organisationen haben ihre digitale Architektur über Jahre hinweg erweitert. Oft kommen dabei Dienste unterschiedlicher Anbieter, Clouds, Sicherheitslösungen und Netzwerkplattformen zum Einsatz. Diese Fragmentierung schafft jedoch operative Komplexität und erschwert Transparenz, Incident Response und Compliance-Nachweise. Je mehr Schnittstellen, Plattformen und Dienstleister beteiligt sind, desto schwieriger wird es, Verantwortlichkeiten und Risiken eindeutig zuzuordnen.
Gerade im Kontext von NIS2 gewinnt damit auch die digitale Souveränität an Bedeutung. Unternehmen müssen die Transparenz ihrer Infrastrukturen, ihre Abhängigkeiten von einzelnen Anbietern und ihre Reaktionsfähigkeit im Ernstfall kritisch bewerten.
Die Risiken einseitiger Anbieterabhängigkeiten
Eine zweite Herausforderung liegt in der starken Konzentration auf wenige globale Anbieter. Natürlich werden Hyperscaler auch künftig das Rückgrat vieler Digitalisierungsstrategien bleiben. Die zunehmende Zentralisierung erzeugt jedoch neue Abhängigkeiten. Fällt ein Anbieter aus oder verändert seine Support-, Preis- oder Governance-Modelle, haben Kunden oft nur begrenzte Handlungsoptionen.
Hinzu kommt ein strukturelles Problem. Während Hyperscaler kontinuierlich in Automatisierung und KI investieren, wünschen sich viele Unternehmen gerade bei Sicherheitsvorfällen und Infrastrukturproblemen einen direkten Zugang zu Experten.
In kritischen Situationen entscheidet nicht allein die Leistungsfähigkeit der Plattform über den Erfolg einer Reaktion, sondern auch die Geschwindigkeit, mit der Probleme identifiziert, analysiert und gelöst werden können. Deshalb entsteht Vertrauen zunehmend nicht allein durch Größe oder Marktanteile. Es sind vor allem Transparenz, Verlässlichkeit und partnerschaftliche Zusammenarbeit, die Vertrauen stiften.
Warum Infrastrukturkomplexität selbst zum Sicherheitsrisiko wird
Zudem bringt der Edge Security Report hervor, dass moderne Angriffe häufig strukturelle Schwächen verteilter Infrastrukturen ausnutzen. Ein Beispiel sind klassische Rate-Limiting-Mechanismen. Werden Schutzmaßnahmen nur lokal auf einzelnen Servern oder Regionen umgesetzt, bleibt die Gesamtperspektive verborgen. Verteilte Botnetze können ihre Anfragen über Tausende Quellen streuen und dadurch lokale Grenzwerte umgehen, während sie das Gesamtsystem dennoch massiv belasten.
Der Report dokumentiert beispielsweise einen Layer-7-DDoS-Angriff, der über 16,5 Millionen Requests pro Sekunde aus 392.000 unterschiedlichen IP-Adressen erzeugte. Ein weiteres Ereignis erreichte mehr als fünf Millionen Requests pro Sekunde aus über 100.000 Quellen.
Solche Angriffe lassen sich nicht mehr effektiv mit isolierten Sicherheitsmechanismen oder manuellen Reaktionsprozessen bekämpfen. Stattdessen benötigen Unternehmen global synchronisierte Sicherheitsarchitekturen, die Bedrohungen bereits am Netzwerkrand erkennen und blockieren können.
Digitale Souveränität bedeutet operative Wahlfreiheit
In Deutschland wird digitale Souveränität häufig auf Datenschutz und Datenstandorte reduziert. Tatsächlich umfasst sie deutlich mehr:
- Transparenz über kritische Abhängigkeiten
- Kontrolle über Sicherheits- und Betriebsprozesse
- Wahlfreiheit bei Infrastrukturentscheidungen
- Resilienz gegenüber Ausfällen einzelner Anbieter
- Nachvollziehbarkeit von Kosten und Verantwortlichkeiten
Vor diesem Hintergrund treten alternative Infrastrukturmodelle ins Blickfeld. Statt unterschiedlichste Dienste über mehrere Plattformen hinweg zu integrieren, setzen moderne Edge-Architekturen auf eine gemeinsame Infrastruktur für Content Delivery, Storage, DNS, Security, DDoS-Schutz und Computing. Ziel ist es, Komplexität zu reduzieren und Sicherheitsfunktionen direkt in die Infrastruktur zu integrieren.
Die Zukunft gehört resilienten Infrastrukturökosystemen
Die Debatte um digitale Souveränität wird häufig als Entweder-oder-Frage geführt: Hyperscaler oder europäische Anbieter. Die Realität dürfte deutlich differenzierter ausfallen.
Für viele Unternehmen wird die Zukunft nicht in vollständiger Unabhängigkeit liegen, sondern in größerer Diversifizierung. Multi-Cloud-Strategien, Edge-Plattformen und spezialisierte Infrastrukturpartner ermöglichen es, Risiken zu verteilen und Abhängigkeiten zu reduzieren.
Gerade unter NIS2-Gesichtspunkten dürfte diese Entwicklung an Fahrt gewinnen. Denn Resilienz entsteht nicht durch maximale Zentralisierung, sondern durch Transparenz, Kontrolle und die Fähigkeit, kritische Geschäftsprozesse auch unter außergewöhnlichen Bedingungen aufrechtzuerhalten.
Fazit
Digitale Souveränität ist deshalb längst kein politisches Schlagwort mehr. Für deutsche Unternehmen entwickelt sie sich zu einer strategischen Fähigkeit, die Infrastruktur selbstbestimmt zu gestalten, Risiken zu diversifizieren und auch in einem zunehmend komplexen Bedrohungsumfeld handlungsfähig zu bleiben.
Weitere Informationen
DATENSICHERHEIT.DE, 06.08.2026
NIS-2-Compliance beweist sich erst in der Krise
DATENSICHERHEIT.DE, 31.07.2026
NIS-2-Registrierungslücke als Symptom für ein größeres Problem
DATENSICHERHEIT.DE, 25.07.2026
NIS-2: Unternehmen sollten DORA-Erfahrungen für sich nutzen
