Im August habe ich über eine Umfrage geschrieben, die 73,9 Prozent der europäischen Entscheidungsträger*innen das fürchten ließ, was in der IT-Branche nur hinter vorgehaltener Hand besprochen wird: den US-Kill-Switch. Die Angst, dass die US-Regierung europäischen Unternehmen, Vereinen oder NGOs von heute auf morgen den Zugang zu amerikanischer Infrastruktur kappen könnte. PayPal, Domains, Cloud-Speicher, alles weg.

Jetzt ist es passiert. Und zwar nicht irgendwo in einer fernen Ecke des Internets, sondern mitten in Europa, gegen eine italienische Organisation mit 25 Jahren Geschichte und 16.000 Nutzer*innen.

Am 26. August 2026 stufte das US-Finanzministerium das italienische Internetkollektiv Autistici/Inventati als terroristische Organisation ein. 48 Stunden später waren PayPal-Konto, Domain und Bankverbindung gesperrt. Am 6. September kündigte das Kollektiv die vollständige Einstellung aller Dienste an. 16.000 E-Mail-Konten, 10.000 Blogs, 1.500 Websites, 5.500 Mailinglisten. Weg.

Und die italienische Regierung? Schweigt. Die EU-Kommission? Schweigt. Ein italienischer Aktivist namens Marco Cappato fragte öffentlich: „Wie ist es möglich, dass wir als Regierung nichts zu sagen haben zu unseren amerikanischen Verbündeten über diese Angelegenheit?” Keine Antwort.

48 Stunden bis zur Abschaltung

Autistici/Inventati existierte seit 2001. Das Kollektiv entstand im Umfeld des G8-Gipfels in Genua, als Reaktion auf die Polizeigewalt gegen Demonstrierende. Die Idee war einfach: Werkzeuge für digitale Selbstverteidigung bereitstellen. Verschlüsselte E-Mail-Konten, Webspace für kleine Initiativen, Blogs für Aktivist*innen, Mailinglisten für Basisorganisationen. 25 Jahre lang, kostenlos, auf Spendenbasis.

Am 26. August 2026 setzte das Office of Foreign Assets Control, kurz OFAC, eine Behörde des US-Finanzministeriums, Autistici/Inventati auf die Liste der „Specially Designated Global Terrorists”. Rechtsgrundlage ist eine präsidentielle Anordnung von George W. Bush aus dem Jahr 2001, erlassen unmittelbar nach den Anschlägen vom 11. September. Executive Order 13224 ermächtigt die US-Regierung, Personen und Organisationen ohne Gerichtsverfahren als terroristisch einzustufen.

Die Begründung lautete: Das Kollektiv stelle digitale Infrastruktur für „gewalttätige Antifa-Zellen und andere linksextreme Militante” bereit. Autistici/Inventati wies das zurück und stellte klar: „Wir stellen lediglich Werkzeuge für digitale Selbstverteidigung und Infrastruktur für Kommunikationsfreiheit bereit. Antifaschismus und Antikapitalismus sind kein Terror.”

Öffentliche Beweise für konkrete terroristische Handlungen legte die US-Regierung nicht vor.

Was dann geschah, verlief mit einer Geschwindigkeit, die zeigt, wie abhängig digitale Infrastruktur von US-Unternehmen ist:

Tag 1, 27. August: PayPal sperrte das Konto. Ohne Vorwarnung, ohne Anhörung. PayPal ist ein US-Unternehmen und muss OFAC-Sanktionen umsetzen. Die Spenden, mit denen das Kollektiv seine Server bezahlte, waren von einem Tag auf den anderen unerreichbar.

Tag 2, 28. August: Die Domain autistici.org wurde unerreichbar. Nicht durch eine Beschlagnahme der Server, sondern durch eine DNS-Blockade. Die Public Interest Registry, kurz PIR, eine Organisation mit Sitz in Virginia, die weltweit 11,1 Millionen .org-Domains verwaltet, setzte die Domain auf „serverHold”-Status. Das bedeutet: Der DNS-Server antwortet nicht mehr auf Anfragen. Die Domain löst sich nicht mehr auf. Die Website ist weg, die E-Mail-Adressen funktionieren nicht mehr.

In den Tagen danach: Die italienische Bank Banca Etica kündigte das Konto aus Angst vor sekundären Sanktionen. Wer mit einer sanktionierten Organisation Geschäfte macht, riskiert selbst auf die schwarze Liste zu kommen. Selbst eine italienische Genossenschaftsbank, deren Satzung soziale und ökologische Projekte fördert, wollte dieses Risiko nicht eingehen.

Am 6. September kündigte Autistici/Inventati die vollständige Einstellung an. 25 Jahre Arbeit, ausgelöscht durch eine US-Behörde, der keine europäische Instanz etwas entgegenzusetzen hatte.

Warum .org keine neutrale Adresse ist

Die .org-Domain-Endung gilt als die Adresse für gemeinnützige Organisationen. „Public Interest”, steht im Namen der Organisation, die sie verwaltet. Neutral, unabhängig, für das Gemeinwohl.

Das ist eine Illusion.

Die Public Interest Registry sitzt in Reston, Virginia, USA. Sie ist formal unabhängig, aber sie unterliegt US-Recht. Wenn das US-Finanzministerium eine Organisation sanktioniert, muss PIR die Domain sperren. Kein Gerichtsverfahren, keine Anhörung, keine Berufungsmöglichkeit.

Das gilt für jede .org-Domain weltweit. Ein Verein in München, eine NGO in Rom, eine Initiative in Paris: Wer eine .org-Domain nutzt, gibt die Kontrolle darüber an eine Organisation ab, die in Virginia sitzt und US-Sanktionen befolgen muss.

Und .org ist kein Einzelfall. Auch .com und .net werden von US-Organisationen verwaltet. Zusammen sind das die drei meistgenutzten Domain-Endungen der Welt.

OFAC-Sanktionen funktionieren mit einer Geschwindigkeit, für die europäische Verwaltungen nicht ansatzweise ausgestattet sind. Eine Einstufung als „Specially Designated Global Terrorist” verpflichtet jedes US-Unternehmen und jede US-Person, alle Geschäftsbeziehungen sofort zu beenden. Sofort bedeutet: innerhalb von Stunden. PayPal, Stripe, jeder Zahlungsdienstleister. Domain-Registrare, Cloud-Anbieter, Hosting-Dienste. Alle müssen abschalten, oder sie riskieren selbst Sanktionen.

Und weil auch europäische Unternehmen mit US-Partnern arbeiten, greifen sekundäre Sanktionen. Die Banca Etica hatte keine rechtliche Verpflichtung, das Konto zu kündigen. Aber sie wollte kein Risiko eingehen. Das ist die Logik der Abschreckung: Die bloße Angst vor Sanktionen reicht aus, um europäische Institutionen zum Handeln zu zwingen.

Das ist kein Einzelfall

Autistici/Inventati ist nicht das erste Opfer. Die USA haben in der Vergangenheit wiederholt Domains beschlagnahmt:

Im Juni 2021 beschlagnahmte das US-Justizministerium 33 Domains der Iranian Islamic Radio and Television Union. Begründung: keine OFAC-Lizenz für die Domain-Nutzung beantragt. Im Mai 2013 beschlagnahmte NetworkSolutions Domains einer pro-Assad-Hackergruppe aus Syrien, darunter syrian-es.com und syrian-es.org. Im September 2024 wurden 32 Domains beschlagnahmt, die angeblich in russischen Einflussoperationen genutzt wurden.

In allen Fällen waren es .com-, .net- oder .org-Domains. Nationale Domains wie .de, .fr oder .it waren nicht betroffen. Auch die europäische .eu-Domain wurde nie beschlagnahmt.

Das Muster ist klar: Wer auf US-kontrollierte Domain-Endungen setzt, gibt den USA die technische Möglichkeit, den Stecker zu ziehen. Ohne Gerichtsverfahren, ohne europäische Gegenwehr.

Was das für deinen Verein bedeutet

Vielleicht denkst du jetzt: Das betrifft doch nur politische Aktivist*innen. Mein Verein hat mit Terror nichts zu tun.

Das dachte Autistici/Inventati auch. Die haben 25 Jahre lang E-Mail-Konten und Webspace bereitgestellt. Keine Waffen, keine Gewalt, nur Server.

Die Frage ist nicht, ob du etwas Falsches tust. Die Frage ist, ob die US-Regierung irgendwann entscheidet, dass du auf die falsche Liste gehörst. Und ob dein Verein sich dann wehren kann.

Stell dir vor, dein Verein nutzt PayPal für Mitgliedsbeiträge. Die Domain endet auf .org. Die E-Mails laufen über Gmail. Die Website liegt auf einem Server bei Amazon Web Services. Eines Tages bekommt ihr eine Meldung: PayPal-Konto gesperrt. Domain unerreichbar. E-Mails kommen nicht mehr an.

Keine Vorwarnung. Keine Erklärung. Nur eine Liste auf der Website des US-Finanzministeriums, auf der euer Vereinsname steht. Und ein Hinweis, dass ihr gegen Executive Order 13224 verstoßen habt.

Wer hilft euch dann? Das Amtsgericht? Die EU-Kommission?

Im Fall Autistici/Inventati gab es keine Hilfe. Keine offizielle Reaktion der italienischen Regierung. Keine Stellungnahme der EU. Ein italienischer Aktivist musste öffentlich fragen, ob die Regierung überhaupt etwas zu sagen habe.

Das ist die Realität digitaler Abhängigkeit: Wenn die Infrastruktur in den USA liegt, gelten amerikanische Regeln. Und die USA haben kein Interesse daran, europäische Vereine zu schützen.

Was du jetzt tun kannst

Die gute Nachricht: Es gibt Alternativen. Du musst nicht auf PayPal, .org-Domains und US-Cloud setzen. Es gibt europäische Dienste, die denselben Zweck erfüllen, ohne dass die US-Regierung den Stecker ziehen kann.

Zahlungsverkehr: Wero statt PayPal

Seit Juli 2026 gibt es Wero, ein europäisches Zahlungssystem für Echtzeitüberweisungen von Konto zu Konto. Entwickelt von 16 europäischen Banken, verfügbar in Deutschland, Frankreich, Belgien, Luxemburg und den Niederlanden. Du brauchst nur eine Handynummer oder E-Mail-Adresse, und das Geld geht direkt von einem Konto zum anderen. Kein Mittelsmann, kein US-Unternehmen, keine Abhängigkeit.

Und wenn Wero für deinen Verein nicht passt, bleiben klassische SEPA-Überweisungen oder Lastschriftverfahren. Unbequemer als PayPal, ja. Aber sicher vor US-Sanktionen.

Domains: .eu statt .org

Die .eu-Domain wird von EURid verwaltet, einer europäischen Organisation, die EU-Recht und DSGVO unterliegt. Keine direkte US-Kontrolle. Wer in der EU ansässig ist, kann eine .eu-Domain registrieren. Oder eine nationale Domain wie .de, .it, .at oder .fr. Die werden von nationalen Registrierungsstellen verwaltet, in Deutschland von der DENIC. Sie unterliegen deutschem Recht, nicht US-Sanktionen.

Wichtig: Auch der Registrar, also die Stelle, bei der du die Domain kaufst, sollte europäisch sein. Wenn du eine .de-Domain bei einem US-Registrar wie GoDaddy kaufst, besteht trotzdem ein Risiko.

Hosting: Europäische Anbieter statt US-Cloud

Statt Amazon Web Services, Microsoft Azure oder Google Cloud gibt es Hetzner, IONOS, OVHcloud, STACKIT oder Scaleway. Alles europäische Cloud-Anbieter, die EU-Recht unterliegen. Sie bieten dieselben Dienste wie die US-Hyperscaler, nur ohne die Abhängigkeit vom US Cloud Act, einem Gesetz, das US-Behörden Zugriff auf alle Daten gibt, die bei US-Unternehmen gespeichert sind, egal wo der Server physisch steht.

Ein Server in Frankfurt, der zu Amazon gehört, unterliegt trotzdem US-Recht. Ein Server in Frankfurt, der zu Hetzner gehört, nicht.

E-Mail: Tuta, Mailbox.org oder Posteo

Statt Gmail oder Outlook.com gibt es Tuta, Mailbox.org, Posteo oder Proton Mail. Tuta, Mailbox.org und Posteo sind deutsche Dienste, die deutsches Recht und DSGVO einhalten. Proton Mail sitzt in der Schweiz, nicht in der EU, aber ebenfalls außerhalb der US-Reichweite. Alle bieten Ende-zu-Ende-Verschlüsselung, hohen Datenschutz und keine Abhängigkeit von US-Konzernen.

Wenn du von Gmail wegwillst, brauchst du eine Übergangsphase: Alle Kontakte informieren, eine Weiterleitung einrichten, alte E-Mails exportieren. Aufwand, ja. Aber machbar.

Auch Europa ist kein Allheilmittel

Wichtig: Auch europäische Unternehmen können unter Druck geraten. Die Banca Etica hat das Konto aus Angst vor sekundären Sanktionen gekündigt, nicht weil sie dazu verpflichtet war. Vollständige Sicherheit gibt es nicht. Aber jede Abhängigkeit, die du abbaust, macht deinen Verein ein Stück widerstandsfähiger.

Europa schaut zu

Die EU hat in den letzten Jahren viel über digitale Souveränität geredet. Der Data Act soll Daten schützen, die NIS2-Richtlinie soll kritische Infrastrukturen absichern, der Cloud and AI Development Act soll die Rechenzentrumskapazität verdreifachen. Gaia-X, Delos Cloud, Sovereign Cloud Stack: große Namen, große Pläne.

Aber wenn eine italienische Organisation von der US-Regierung abgeschaltet wird, passiert: nichts. Keine Stellungnahme der EU-Kommission. Keine diplomatische Intervention. Kein rechtlicher Schutz.

Das hat einen einfachen Grund: Die EU hat keinen Schutz vor extraterritorialen US-Sanktionen. Wenn eine europäische Organisation auf US-Infrastruktur setzt, gilt US-Recht. Punkt.

Die einzige Möglichkeit, sich zu schützen, ist technische und organisatorische Unabhängigkeit. Europäische Domains, europäische Hoster, europäische Zahlungsdienstleister. Nicht, weil europäische Dienste technisch besser wären. Sondern weil sie nicht dem US-Finanzministerium unterstehen.

Der Kill-Switch ist kein Gedankenspiel mehr

Die Proton-Umfrage vom Juli 2026 zeigte: 73,9 Prozent der europäischen Entscheidungsträger*innen fürchten, dass die US-Regierung ihnen den Zugang zu amerikanischer Infrastruktur kappen könnte. 54 Prozent der europäischen Unternehmen könnten nicht länger als einen Tag ohne ihren Cloud-Dienst operieren. Nur 44 Prozent haben einen dokumentierten und regelmäßig getesteten Notfallplan.

Das war im Juli. Im August ist der Kill-Switch real geworden.

Autistici/Inventati ist nicht das letzte Opfer. Die USA haben in den letzten Jahren wiederholt gezeigt, dass sie bereit sind, ihre Kontrolle über digitale Infrastruktur zu nutzen. Iranische Websites, syrische Domains, russische Desinformationskampagnen: Immer wieder wurden Domains beschlagnahmt, PayPal-Konten gesperrt, Dienste abgeschaltet.

Die Frage ist nicht mehr, ob es passieren kann. Die Frage ist, wann es deinen Verein trifft.

Du kannst warten, bis die EU eine Lösung findet. Oder du kannst jetzt handeln. Du kannst Wero nutzen, eine .eu-Domain registrieren, zu Hetzner wechseln, ein Postfach bei Tuta anlegen. Keine dieser Umstellungen ist kompliziert. Keine davon kostet mehr als ein paar Stunden Arbeit.

Aber jede einzelne macht deinen Verein unabhängiger von einer Regierung, die kein Interesse daran hat, dich zu schützen.

Reden wir über deine digitale Infrastruktur.

Wenn du deinen Verein, deine Initiative oder dein kleines Unternehmen aus der US-Abhängigkeit holen willst, begleite ich dich dabei. Ich schaue mir an, wo du gerade stehst, zeige dir, welche Alternativen es gibt, und helfe dir bei der Umstellung. Keine Panik, keine Hektik. Aber auch kein Aufschieben mehr.

Schreib mir eine E-Mail: Kurz beschreiben, was du vorhast oder was dich beschäftigt. Ich melde mich in der Regel innerhalb eines Werktages. hallo@chrislo.de

Kein Kontaktformular, keine Pflichtfelder, keine Datenspur. Einfach schreiben.