Drohnenangriff legt Yandex lahm, „Russlands Google“ gibt es zweimal

Das Unternehmen, dessen Rechenzentren in dieser Woche getroffen wurden, ist seit dem 15. Juli 2024 nicht mehr der Konzern, den die Presse als „Russlands Google“ kennt. An diesem Tag schloss die niederländische Yandex N.V. den Verkauf ihres gesamten Russland-Geschäfts¹ an ein Käuferkonsortium ab, zu einer Bewertung von rund 5,4 Milliarden US-Dollar. Die Holding heißt seit August 2024 Nebius Group N.V., sitzt in Amsterdam und baut KI-Rechenzentren in Finnland, Frankreich und den USA. Suchmaschine, Taxi-App und die Rechenzentren in Sassowo, Kaluga und, nach Agenturangaben, Wladimir gehören der MKPAO „Yandex“ in Moskau. Wenn mehrere Häuser berichten, ein Drohnenangriff habe „Russlands Google“ lahmgelegt, meinen sie den Teil, der bei dieser Trennung in Moskau blieb; die Holding, die ihn verkaufte, rechnet im finnischen Mäntsälä.

Yandex selbst schreibt am 9. Oktober² auf Telegram, in der Nacht vom 7. auf den 8. Oktober sei das Rechenzentrum in Sassowo „durch einen Drohnenangriff schwer beschädigt“ worden, sein Betrieb sei „vollständig eingestellt“; am Morgen des 9. Oktober sei ein weiteres Rechenzentrum in Kaluga angegriffen worden. Am 11. Oktober³ folgt: „Die Infrastruktur unserer Rechenzentren ist beschädigt.“ Wladimir und der „Notfall-Modus“ stehen in keinem der beiden Posts; beides melden dpa und AFP unter Berufung auf das Unternehmen. Sassowo ist laut Reuters eines von fünf großen Rechenzentren des Konzerns. Einen Urheber nennt Yandex nicht. Der ukrainische Präsident Selenskyj sagte am 8. Oktober laut Reuters: „Ihr wisst alle, sie treffen unsere Rechenzentren und tun es weiter. Wir antworten. Ich kann nicht alle Details teilen.“

Die Käufer zahlten 2,8 Milliarden Dollar bar und den Rest in Aktien des Verkäufers#

Der Vertrag datiert vom 4. Februar 2024. Vom Kaufpreis flossen laut Abschlussmitteilung nebius.com ↗ 2,8 Milliarden US-Dollar in bar, bei 5,4 Milliarden Bewertung 52 Prozent; den Rest beglich das Konsortium mit 162,5 Millionen Class-A-Aktien der Holding, die damit an sie zurückgingen. „All connections with Russia have now been severed“, sagt John Boynton, Verwaltungsratsvorsitzender der Holding, in der Mitteilung und dankt den „1.300 derzeitigen Beschäftigten“.

Gründer Arkady Volozh ist CEO von Nebius. Die Aktionärsstruktur⁴ der Moskauer MKPAO weist zum Stand 27. Juli 2026 70,09 Prozent für „Hauptaktionäre“ aus, darin 16,43 Prozent für das Management, 25,50 Prozent im Streubesitz, und hält fest: „Keiner der Aktionäre hat einen beherrschenden Anteil.“ Wer im Käuferkonsortium steht, führt die Seite nicht auf.

Die „Heimatbasis“ von Nebius, so nennt es der Konzern, ist das frühere Yandex-Rechenzentrum in Mäntsälä. Im Oktober 2024 kündigte Nebius an, dessen Kapazität auf 75 Megawatt zu verdreifachen⁶; die Abwärme, etwa 20.000 Megawattstunden im Jahr, heizt laut Nebius das Äquivalent von 2.500 finnischen Haushalten. Am 31. März 2026 meldete das Unternehmen den Ausbau als abgeschlossen und zugleich eine „KI-Fabrik“ in Lappeenranta mit bis zu 310 Megawatt nebius.com ↗, Betrieb ab 2027. Die Megawatt bezeichnen, wie bei Dummerstorfs 240 Megawatt⁷, die elektrische Leistung eines Standorts, nicht seine Rechenleistung.

In der Nacht auf den 3. März meldete Amazon Web Services auf seinem Status-Dashboard, zwei Rechenzentren in den Emiraten seien von Drohnen „direkt getroffen“ worden; die Drohnen kamen nach übereinstimmenden Berichten aus dem Iran.

Die EU führt Rechenzentren als kritisch und nimmt sie von den Resilienzpflichten aus#

Die CER-Richtlinie (EU) 2022/2557⁸ über die Resilienz kritischer Einrichtungen zählt „Anbieter von Rechenzentrumsdiensten“ zum Sektor 8 „Digitale Infrastruktur“ ihres Anhangs. Ihr Artikel 8 bestimmt: „Die Mitgliedstaaten stellen sicher, dass Artikel 11 und die Kapitel III, IV und VI nicht für die von ihnen ermittelten kritischen Einrichtungen in den Sektoren gelten, die unter den Nummern 3, 4 und 8 in der Tabelle im Anhang aufgeführt sind.“ In Kapitel III stehen die Risikobewertung (Artikel 12) und die Resilienzmaßnahmen (Artikel 13), darunter „einen angemessenen physischen Schutz ihrer Räumlichkeiten und kritischen Infrastrukturen zu gewährleisten“, als Beispiel nennt der Artikel „Zäune und Sperren“. Wer als kritisch eingestuft wird, bekommt das nach Artikel 6 binnen eines Monats mitgeteilt; den Einrichtungen des Sektors 8 teilt der Staat zugleich mit, „dass sie keine Verpflichtungen nach Kapiteln III und IV haben“. Den Grund nennt Erwägungsgrund 20: Die NIS-2-Richtlinie⁹ verlange von denselben Unternehmen ohnehin Maßnahmen, die auch „die physische Umwelt dieser Systeme vor Sicherheitsvorfällen“ schützen (Artikel 21 Absatz 2); ihre Anforderungen seien „zumindest gleichwertig“, „Doppelarbeit und unnötiger Verwaltungsaufwand“ sollten vermieden werden. Strengere nationale Vorschriften bleiben den Mitgliedstaaten nach Artikel 8 erlaubt.

Deutschland hat diese Teilung in das seit 17. März 2026 geltende KRITIS-Dachgesetz¹⁰ übernommen: § 4 Absatz 2 gesetze-im-internet.de ↗ nimmt die „Betreiber kritischer Anlagen im Sektor Informationstechnik und Telekommunikation“ unter anderem von den §§ 12 bis 16 aus, darunter § 13 gesetze-im-internet.de ↗ mit dem „angemessenen physischen Schutz von Liegenschaften und kritischen Anlagen“. Finnland ebenso: Das Gesetz 310/2025 finlex.fi ↗ zum Schutz der kritischen Infrastruktur, in Kraft seit 1. Juli 2025, erklärt in § 2 die §§ 14 bis 16 für kritische Akteure der digitalen Infrastruktur für unanwendbar; § 15 verlangt von den übrigen einen Resilienzplan, der den Schutz der Gebäude beschreibt, Zäune, Sperren, Melder und Zutrittskontrolle eingeschlossen. Das frühere Yandex-Rechenzentrum in Mäntsälä steht damit unter demselben Recht wie eines in Frankfurt: Der Sektor ist als kritisch gelistet, der Plan mit Zäunen und Sperren ist ihm erlassen, es bleibt der NIS-2-Satz über die physische Umwelt.