74 Prozent fürchten den US-Kill-Switch, 36 Prozent testen ihren Notfallplan nie

Ein Arbeitstag. So lange halten es 54,5 Prozent der befragten Unternehmen aus, wenn ihnen von heute auf morgen E-Mail, Kalender und Dateiablage wegbrechen. Danach: Betrieb einstellen. Die Zahl stammt aus einer Umfrage, die der Schweizer Anbieter Proton am 6. August veröffentlicht hat, The Register hat sie am selben Tag aufgegriffen, heise online am 7. August. Die Schlagzeile daraus lautet überall gleich: 74 Prozent der Befragten halten es für möglich, dass ein US-Anbieter ihnen auf Druck der US-Regierung den Zugang zu geschäftskritischen Diensten abdreht. „Kill-Switch“ nennt sich das, ein Kippschalter, mit dem jemand in Washington deinen Zugang ausknipst.

Ich halte diese Schlagzeile für die uninteressanteste Zahl der ganzen Erhebung.

Die interessante steht weiter unten, und sie handelt nicht von Geopolitik, sondern von Hausaufgaben: 94 Prozent der Befragten haben einen Notfallplan. 44 Prozent testen ihn regelmäßig. 36 Prozent nie.

Wer diese Umfrage bezahlt hat

Proton ist ein Schweizer Anbieter für verschlüsselte E-Mail, Kalender und Cloud-Speicher, also für genau die Dienste, um deren Ausfall es in der Umfrage geht. Proton hat die Erhebung selbst in Auftrag gegeben. Proton verkauft die Alternative, die als Konsequenz aus den Ergebnissen naheliegt. Und Karim Khan, der Chefankläger des Internationalen Strafgerichtshofs, dessen Fall als einziger echter Präzedenzfall durch sämtliche Artikel zum Thema geistert, ist nach dem Verlust seines Microsoft-Kontos zu Proton gewechselt. Auftraggeber, Verkäufer und Nutznießer in einer Firma.

Dazu kommt die Stichprobe: 1.500 Entscheidungsträger*innen, je 500 in Deutschland, Frankreich und Großbritannien, befragt zwischen dem 15. und 24. Juli 2026. heise weist ausdrücklich darauf hin, dass die Erhebung nicht repräsentativ ist, eine repräsentative Gewichtung gibt Proton auch gar nicht an. Als Stimmungsbild taugen die Zahlen. Als Beleg dafür, wie viele europäische Organisationen tatsächlich wie stark gefährdet sind, taugen sie nicht.

Erfunden sind die Zahlen deshalb nicht. Sie sagen nur etwas anderes aus, als die Überschriften vermuten lassen: Eine Firma hat eine Umfrage über die Angst vor US-Anbietern bezahlt, und heraus kam, dass die Leute Angst vor US-Anbietern haben.

Der eine Fall, den alle zitieren, ist bis heute nicht aufgeklärt

Wenn du in den letzten Monaten irgendwo über den Kill-Switch gelesen hast, dann stand dort mit ziemlicher Sicherheit ein Satz wie dieser: Microsoft hat dem Chefankläger des Internationalen Strafgerichtshofs die E-Mail gesperrt. Dieser Satz ist keine belegte Tatsache.

Belegt ist die Vorgeschichte. Am 6. Februar 2025 unterzeichnete der US-Präsident die Executive Order 14203, ein Präsidialdekret, das ohne Beteiligung des Kongresses gilt, mit dem Titel „Imposing Sanctions on the International Criminal Court“. Gemeint ist der Internationale Strafgerichtshof in Den Haag, das Gericht, das Kriegsverbrechen und Völkermord verhandelt. Karim Khan wird in diesem Dekret nirgends genannt, dort stehen nur Benjamin Netanjahu und Yoav Gallant, gegen die der Gerichtshof Haftbefehle erlassen hatte. Auf die eigentliche Sanktionsliste kam Khan erst eine Woche später, am 13. Februar 2025, durch das OFAC, das Sanktionsbüro des US-Finanzministeriums.

Belegt ist auch das Ergebnis: Khans E-Mail-Konto war weg, und er arbeitet seitdem mit Proton. Zuerst berichtet hat das die Nachrichtenagentur AP, heise online hat es am 19. Mai 2025 aufgegriffen. Peter Ganten, Vorsitzender der Open Source Business Alliance, nannte den Vorgang damals „beispiellos in diesem Kontext und mit dieser Wirkung“.

Bestritten wird alles dazwischen. Microsoft-Präsident Brad Smith erklärte am 5. Juni 2025, das Unternehmen habe die Dienste für den Strafgerichtshof zu keinem Zeitpunkt eingestellt. Was genau mit dem Konto passiert ist, wer es deaktiviert hat und auf welcher Grundlage, hat bis heute weder Microsoft noch der Gerichtshof erläutert. Der einzige Vorfall, mit dem die Angst vor dem Kill-Switch begründet wird, ist über ein Jahr später immer noch ungeklärt.

Und ein Fall, in dem ein europäisches Unternehmen durch eine Anordnung der US-Regierung von seinen Cloud-Diensten abgeschnitten wurde? Gibt es bislang nicht. Keinen einzigen dokumentierten.

Was ein Microsoft-Manager unter Eid nicht garantieren konnte

Erledigt ist die Sache damit trotzdem nicht, und zwar wegen einer Anhörung in Paris. Am 10. Juni 2025 saß Anton Carniaux, Direktor für öffentliche und juristische Angelegenheiten bei Microsoft Frankreich, vor dem Untersuchungsausschuss des französischen Senats zur öffentlichen Auftragsvergabe. Unter Eid gefragt, ob er garantieren könne, dass Daten französischer Bürger*innen niemals ohne ausdrückliche französische Zustimmung an US-Behörden gehen, antwortete er: nein, das könne er nicht garantieren. Er fügte hinzu, Microsoft widersetze sich unbegründeten Anfragen, und passiert sei es bisher nicht.

Der rechtliche Hintergrund heißt CLOUD Act, ein US-Gesetz von 2018. Es verpflichtet Unternehmen, die der US-Rechtsprechung unterliegen, zur Herausgabe von Daten, unabhängig davon, wo auf der Welt diese Daten gespeichert sind. Ein Rechenzentrum in Frankfurt ändert daran nichts, solange der Betreiber ein US-Konzern oder dessen europäische Tochter ist. Carniaux hat unter Eid bestätigt, wie das in der Praxis aussieht: Microsoft prüft solche Anfragen, ablehnen kann es sie bei formaler Korrektheit nicht.

Nebenbei, weil es in Sekundärquellen immer wieder durcheinandergeht: Diese Aussage stammt von Carniaux, nicht von Brad Smith. Smith hat sich fünf Tage vorher zu einem anderen Vorgang geäußert, nämlich zum Strafgerichtshof. Zwei Manager, zwei Themen, eine Woche Abstand.

Microsoft hat im April 2025 außerdem zugesagt, gegen eine staatliche Anordnung zur Einstellung des europäischen Cloud-Betriebs „umgehend und energisch“ gerichtlich vorzugehen. Brad Smith wörtlich: „When necessary, we’re prepared to go to court.“ Diese Zusage beantwortet eine ganz andere Frage. Sie betrifft die Abschaltung des Betriebs in Europa, nicht die Herausgabe einzelner Daten und nicht die Deaktivierung einzelner Konten. Beide Aussagen können gleichzeitig zutreffen, und in der verkürzten Berichterstattung geht dieser Unterschied fast immer verloren.

Die Zahl, die niemand auf ein Plakat schreibt

Zurück zu den Hausaufgaben. 94 Prozent der Befragten geben an, einen Notfallplan zu haben. 44 Prozent testen ihn regelmäßig. 36 Prozent haben ihn noch nie getestet.

Ein Notfallplan, der nie getestet wurde, ist der Rauchmelder an der Decke, dessen Testknopf seit dem Einbau niemand gedrückt hat. Er hängt da. Er sieht beruhigend aus. Ob die Batterie noch etwas taugt, weiß niemand, und herausfinden wirst du es genau einmal.

Es geht weiter: Nur 34 Prozent haben überhaupt eine Ausweichlösung für E-Mail. Für den Kalender sind es 16 Prozent. Fünf von sechs Organisationen wüssten also nicht mehr, welche Termine in den nächsten zwei Wochen anstehen, wenn der Kalender morgen früh nicht mehr aufgeht.

Und dann steht in derselben Umfrage noch dieser Wert, der es in keine Schlagzeile geschafft hat: 86 Prozent haben bereits mindestens eine Störung eines benötigten Dienstes erlebt. Nicht durch einen Kippschalter aus Washington, sondern durch Cyberangriffe und Ausfälle beim Anbieter. Das ganz normale Kaputtgehen.

Ob du an den Kill-Switch glaubst, ändert an der Aufgabe nichts

Hier laufen die beiden Zahlen zusammen. Die Wahrscheinlichkeit, dass die US-Regierung deinem Sportverein in Baden-Württemberg das Microsoft-Konto abdreht, ist gering. Die Wahrscheinlichkeit, dass dein Anbieter einen halben Tag ausfällt, dass eine automatische Missbrauchserkennung dein Konto dichtmacht, weil ein Serienbrief zu viele Mails auf einmal verschickt hat, dass eine unbezahlte Rechnung im Spam-Ordner gelandet ist oder dass ein Erpressungstrojaner die Vereinsgeschäftsstelle lahmlegt, liegt nach derselben Erhebung bei 86 Prozent erlebter Störungen.

Für dich macht das keinen Unterschied. Der Bildschirm zeigt in beiden Fällen dieselbe Fehlermeldung, die Post kommt in beiden Fällen nicht an, und die Vorbereitung ist in beiden Fällen dieselbe. Wer sich gegen das eine wappnet, ist gegen das andere automatisch mit gewappnet.

Deshalb kannst du die Debatte darüber, ob die 74 Prozent Angst berechtigt sind, für die Praxis überspringen. Die Übung lohnt sich unabhängig davon, welche Antwort du darauf gibst.

Ein Nachmittag, an dem nichts funktioniert

Der Test, der dir zeigt, wo es weh tut, kostet einen halben Tag und kein Geld. Du brauchst dafür einen Zettel, einen Stift und die Bereitschaft, ehrlich zu dir selbst zu sein.

Nimm dir einen Nachmittag und tu so, als wäre heute früh alles weg: E-Mail, Kalender, Dateiablage, das ganze Konto. Dann arbeite die folgenden Fragen durch, und zwar schriftlich, nicht im Kopf.

Wie erfahren die Menschen, die dich erreichen müssen, dass sie dich gerade anders erreichen müssen? Über welche Adresse, welche Nummer, welchen Kanal? Und kommst du an diese Nummern überhaupt heran, oder stehen sämtliche Kontakte im Adressbuch desselben gesperrten Kontos?

Welche Termine stehen in den nächsten zwei Wochen an? Kannst du sie ohne den Onlinekalender rekonstruieren, oder wäre das ein Rundruf bei allen Beteiligten?

An welchen Dateien hast du in den letzten vier Wochen gearbeitet? Wo liegt davon eine Kopie, die nicht in demselben Konto liegt?

Wie meldest du dich beim Anbieter, um die Sperrung klären zu lassen, wenn die Bestätigungsmail an genau die Adresse geht, die gesperrt ist? Weißt du deine Kundennummer? Weißt du, welcher Vertrag läuft und auf wen er läuft?

Wer außer dir kommt an dieses Konto heran, und was passiert, wenn diese Person gerade im Urlaub ist?

Am Ende dieses Nachmittags hast du keine Lösung, aber du hast eine Liste. Und du weißt, welcher Punkt darauf dich am meisten erschreckt hat. Genau der kommt zuerst dran.

Die eine Sache, die du danach änderst, wenn du nur eine änderst

Aus dieser Liste ergeben sich bei fast allen dieselben drei Baustellen: eine eigene Domain für die E-Mail, exportierte Kontakte und Kalender, eine lokale Kopie der aktuellen Dateien.

Wenn du nur eine davon anpackst, dann nimm die Domain. Eine Domain ist deine eigene Adresse im Internet, so etwas wie musterverein-sulz.de. Wenn deine E-Mail-Adresse auf dieser Domain liegt und nicht auf @gmail.com oder @outlook.de, dann gehört die Adresse dir und nicht dem Anbieter. Beim Domain-Anbieter gibt es einen Eintrag, der festlegt, welcher Mailserver für diese Domain zuständig ist. Diesen Eintrag kannst du ändern, und innerhalb weniger Stunden landet deine Post bei einem anderen Anbieter, ohne dass du einer einzigen Person eine neue Adresse mitteilen müsstest. Auf den Briefköpfen, den Visitenkarten, im Vereinsregister, überall steht weiterhin dasselbe.

Diese Umzugsfähigkeit ist die billigste Versicherung, die es in der IT gibt. Eine Domain kostet im Jahr ungefähr so viel wie zwei Tassen Kaffee. Postfächer bei europäischen Anbietern wie Mailbox.org, Posteo oder Tuta gibt es ab wenigen Euro im Monat, und keiner der drei unterliegt dem CLOUD Act.

Das Zweite sind Kontakte und Kalender. Beides lässt sich bei praktisch jedem Anbieter über eine Exportfunktion herausholen, Kontakte landen dann in einer Datei mit der Endung .vcf, Termine in einer mit .ics. Diese beiden Dateien passen zusammen auf jeden USB-Stick und lassen sich bei jedem anderen Dienst wieder einlesen. Einmal im Quartal exportieren reicht, und der Export gehört auf ein Gerät, das du in der Hand halten kannst.

Das Dritte sind die aktuellen Dateien. Nicht das ganze Archiv der letzten zwölf Jahre, sondern das, woran gerade gearbeitet wird. Eine Kopie auf dem eigenen Rechner oder auf einer externen Festplatte, regelmäßig aktualisiert. Wer das dauerhaft sauber lösen will, landet bei einer eigenen Nextcloud, einer freien Software für Dateiablage, Kalender und Kontakte, die du entweder bei einem europäischen Hoster wie Hetzner, IONOS oder OVHcloud mietest oder auf eigener Hardware betreibst. Dann liegen die Daten dort, wo du bestimmst, wer sie sieht.

Die BSI-Vorlagen liegen nicht da, wo alle sie suchen

Den Notfallplan selbst musst du dir nicht ausdenken. Das BSI, das Bundesamt für Sicherheit in der Informationstechnik, hat am 5. November 2025 eine Broschüre mit dem Titel „Einstieg in das BCM für KMU“ veröffentlicht, kostenlos, elf Seiten, zu finden unter bsi.bund.de/dok/bcm-kmu. BCM steht für Business Continuity Management, auf Deutsch also die Frage, wie der Betrieb weiterläuft, wenn etwas ausfällt. Die Broschüre beschreibt drei Ausbaustufen und empfiehlt kleinen Organisationen ausdrücklich die kleinste davon als Einstieg.

Was in dieser Broschüre nicht steht, obwohl es überall so weitergereicht wird: ausfüllbare Vorlagen. Sie enthält eine kurze Checkliste, mehr nicht. Die eigentlichen Vorlagen liegen eine Ebene tiefer, bei den Hilfsmitteln zum BSI-Standard 200-4 unter bsi.bund.de/dok/200-4-hilfsmittel. Dort gibt es unter anderem eine Dokumentenvorlage für ein Notfallhandbuch mit editierbaren Beispieltexten und Tabellen, ebenfalls kostenlos.

Für einen Verein oder einen Betrieb mit drei Leuten und ohne IT-Abteilung ist die 200-4-Welt allerdings zwei Nummern zu groß. Fang stattdessen mit dem One-Pager „Einstieg ins IT-Notfallmanagement für kleinere und mittlere Unternehmen“ der Allianz für Cyber-Sicherheit an, eine einzige Seite, zu finden unter bsi.bund.de/dok/934912. Eine Seite, die du wirklich ausfüllst, ist mehr wert als ein Handbuch, das du nie aufschlägst.

Ab Januar 2027 kostet der Absprung nichts mehr

Ein Argument gegen den Wechsel fällt in anderthalb Jahren weg. Der Data Act der EU, offiziell die Verordnung (EU) 2023/2854, gilt seit dem 12. September 2025. Artikel 29 trägt die Überschrift „Schrittweise Abschaffung von Wechselentgelten“ und sagt: Ab dem 12. Januar 2027 dürfen Anbieter von Datenverarbeitungsdiensten für den Vollzug eines Anbieterwechsels keine Wechselentgelte mehr erheben. Bis dahin sind ermäßigte Entgelte erlaubt, gedeckelt auf die Kosten, die dem Anbieter durch den Wechsel unmittelbar entstehen.

Drei Einschränkungen gehören dazu, sonst wird daraus ein Versprechen, das die Verordnung nicht hält. Die Regel gilt für Datenverarbeitungsdienste, also Cloud- und SaaS-Angebote. SaaS steht für Software as a Service, gemeint ist Software, die du im Browser mietest, statt sie zu installieren. Ein allgemeines Recht auf kostenlosen Umzug bei jedem beliebigen Onlinedienst folgt daraus nicht. Zweitens fallen die Entgelte weg, der Aufwand bleibt: Zusatzleistungen über die Mindestpflichten hinaus, etwa die Umwandlung deiner Daten in ein Wunschformat oder ein verlängerter Zugriff auf die alte Umgebung, dürfen weiterhin berechnet werden. Und drittens nimmt Artikel 31 maßgeschneiderte Dienste, die für einen einzelnen Kunden gebaut wurden, von diesen Pflichten aus.

Wenn dein Verein oder dein Betrieb gerade einen Cloud-Vertrag verlängert, der über den Januar 2027 hinausläuft, schau dir die Klauseln zu Kündigung und Datenexport trotzdem jetzt an. Ab diesem Datum darf der Absprung dich nichts mehr kosten, und das ist ein Hebel, den du im Gespräch mit dem Anbieter benutzen kannst.

Angst ist keine Vorbereitung

Die Umfrage hat gemessen, wovor Leute Angst haben. Was sie nebenbei gemessen hat, ist unangenehmer: dass 36 Prozent einen Plan besitzen, den sie noch nie ausprobiert haben, und dass zwei von drei Organisationen nicht sagen könnten, über welche Adresse sie morgen erreichbar wären.

Der Kippschalter in Washington ist eine Möglichkeit. Der ausgefallene Anbieter, das gesperrte Konto, der Erpressungstrojaner sind eine Wahrscheinlichkeit. Gegen beides hilft derselbe Nachmittag mit einem Zettel. Trag ihn dir ein.

Wenn du diesen Nachmittag nicht allein durchspielen willst, oder wenn beim Durchgehen der Fragen herauskommt, dass die Antwort auf jede einzelne davon „liegt bei Microsoft“ oder „liegt bei Google“ lautet: Genau dafür bin ich da. Eigene Domain einrichten, E-Mail zu einem europäischen Anbieter umziehen, Kontakte und Kalender aus der fremden Cloud holen, Nextcloud aufsetzen, Backups so bauen, dass sie im Ernstfall auch wirklich da sind. Das mache ich für Privatpersonen, Vereine und kleine Betriebe, und ich fange dabei immer mit derselben Frage an: Was passiert, wenn es kaputtgeht.

Reden wir über deinen Notfallplan.

Schreib mir eine E-Mail: Kurz beschreiben, was du vorhast oder was dich beschäftigt. Ich melde mich in der Regel innerhalb eines Werktages. hallo@chrislo.de

Kein Kontaktformular, keine Pflichtfelder, keine Datenspur. Einfach schreiben.