Cloud-Anforderungen für die Öffentliche Verwaltung Digitale Souveränität schaffen und stärken

Anbieter zum Thema

Bundesministerium des Inneren Geschäftstelle IT-Planungsrat

OSB Alliance Open Source Business Alliance e.V.

publicplan GmbH

SysEleven GmbH

mgm technology partners GmbH

Welche Voraussetzungen müssen Cloud-Lösungen für die Öffentliche Hand erfüllen, um die digitale Souveränität zu gewährleisten? Eine Expertengruppe aus dem Umfeld der OSB Alliance hat Mindestanforderungen formuliert, die Entscheider im Public Sector bei der Auswahl unterstützen sollen.

Cloud Computing ist ein entscheidender Hebel für die Verwaltungsdigitalisierung, es ermöglicht skalierbare Lösungen und schont die eigenen IT-Ressourcen. Doch darf dabei auch die digitale Souveränität nicht außer Acht gelassen werden, wichtige staatliche Funktionen müssen auch in Krisenfällen verfügbar sein. Darauf verweisen mehrere Experten aus dem Umfeld der OSB Alliance: Die Einsatzfähigkeit dieser Infrastrukturen und Dienste müsse „unabhängig von den Interessen nicht oder nur schwer beeinflussbarer Staaten oder Unternehmen gewährleistet, funktional kontrolliert und an neue Bedürfnisse angepasst werden können.“ Daraus ergeben sich auch Bedingungen für die Auswahl von Cloud-Angeboten durch die Öffentliche Hand.

In einem kürzlich veröffentlichten Papier hat die Expertengruppe die aus ihrer Sicht mindestens notwendigen und durch deutsche und europäische Cloud-Anbieter erfüllbaren Bedingungen zusammengestellt.

Digitale Souveränität

Aber was ist unter digitaler Souveränität zu verstehen? Selbstbestimmung und Wahlfreiheit sind wesentliche Aspekte, nicht aber Autarkie. Im Gegenteil: Digitale Souveränität ist die Grundlage für eine selbstbestimmte Kooperation. Sven Thomsen, CIO des Landes Schleswig-Holstein, hat das bei einer Veranstaltung der AG Cloud im Mai 2022 erläutert. Er ging dabei auch auf die Bedeutung von Kompetenz ein: Neben Wahlfreiheit brauche es auch entsprechende Kenntnisse, um qualifizierte Entscheidungen zu treffen.

Vor diesem Hintergrund sind auch die Ausführungen der Expertengruppe zu sehen. Die Einhaltung von Mindestanforderungen und die Auseinandersetzung damit soll auch zu einer „Verbesserung der digitalen Kompetenz und Leistungsfähigkeit sowie der digitalen Souveränität der Gesellschaft als Ganzes“ führen. Die Autoren betrachten dabei die Aspekte Sicherheitsanforderungen, Resilienz und Widerstandsfähigkeit sowie rechtliche Anforderung.

Sicherheitsanforderungen

Die Einhaltung von Sicherheitskriterien sollte jederzeit überprüfbar sein. Die Experten weisen darauf hin, dass Mitarbeitende des Anbieters unter Einwirkung fremder Gerichtsbarkeiten Einfluss auf den Source-Code der Cloud nehmen könnten, und schließen daraus: „Ohne den jederzeit möglichen Einblick in den Source-Code der Softwarekomponenten, mit denen ein Cloud-Dienst realisiert ist, kann der betreffende Dienst nicht als sicher angesehen werden“. Dieser Einblick solle auch für die Kunden selbst jederzeit möglich sein und daher sei „für alle Bestandteile der Cloud jeweils eine Lösung zu bevorzugen, die Open Source ist".

Zudem müssten alle Komponenten der Software, die sogenannte Software Bill of Materials, vollständig dokumentiert und für den Anwender transparent sein.

Kritische Teile der Cloud-Lösung wie das Nutzermanagement, die Zertifikatsverwaltung und -ausstellung sowie das Schlüsselmanagement sind durch architekturelle Sicherheitsmaßnahmen zusätzlich abzusichern – auch das ist nachzuweisen.

Resilienz und Widerstandsfähigkeit

Um die IT-Infrastruktur unabhängig von Dritten betreiben, sicher zu halten und an aktuelle Anforderungen anpassen zu können, sollten folgende Bedingungen eingehalten werden:

• Für den Betrieb dürfen nur Mitarbeitende eingesetzt werden, die ausschließlich lokaler Gesetzgebung unterstehen.

• Das Erkennen von Software-Funktionen, die nach Aktivierung den Zugriff auf Daten ermöglichen oder den Betrieb gefährden, sei ohne Zugriff auf den Quellcode praktisch unmöglich, dieser ist deswegen zwingend zu fordern.

• Software-Aktualisierungen müssen „auch dann zur Verfügung gestellt werden können, wenn dies nicht mehr dem Willen des ursprünglichen Herstellers oder des Staates entspricht, in dessen Rechtssystem sich der betreffende Hersteller befindet“. Auch Anpassungen etwa an neuere Anforderungen oder Schnittstellen müssen unabhängig vom ursprünglichen Hersteller möglich sein. Dies werde am besten durch die Nutzung von Open-Source-Code sichergestellt.

Rechtliche Anforderung

Für Echtzeit-Ansicht der Daten wie auch für Bewertungen zu Datenschutz und -sicherheit müsse die Software und deren spezifischer Code quelloffen und auditierbar sein. Es werden auch Anforderungen in Bezug auf Verschlüsselung und Anonymisierung von Daten erläutert. Ein weiteres Kriterium ist die Transportabilität: „Der Cloud-Anbieter muss sicherstellen, dass die gesamte Datenhaltung und die Technik ihrer Verarbeitung portabel und mit quelloffenen Software-Stacks auf anderen IaaS-Plattformen einsetzbar ist.“ Quelloffenheit und Transportabilität der Daten innerhalb gesicherter Datenräume müssten Cloud-Anbieter vertraglich zusichern.

Schließlich sind auch die Rechte der Betroffenen auf Einsicht, Änderung oder Löschung ihrer Daten zu berücksichtigen. Dazu müssten offene Standards und quelloffene Software verpflichtend gemacht werden, befinden die Experten.

Mit ihren Ausführungen erheben die Autoren keinen Anspruch auf Vollständigkeit, das Papier soll vielmehr eine Diskussionsgrundlage bieten und einen konstruktiven Austausch ermöglichen.

Gaia-X: eine europäische Erfolgsgeschichte?

Der Traum vom Datenraum

(ID:48613429)