Sovereign Cloud Stack DSGVO und NIS-2 unter Kontrolle

Anbieter zum Thema

noris network AG

Mein Videotermin Suite | Voigtmann GmbH

SysEleven GmbH

mgm technology partners GmbH

In der Theorie machen in die Cloud verlagerte Workloads Behörden schneller, effizienter und bürgernaher. Wer aber Vorgaben wie C5, DSGVO und NIS-2 erfüllen will, braucht mehr als eine leistungsfähige IT-Infrastruktur. Diese Brücke schlägt der Sovereign Cloud Stack (SCS) der Open Source Business Alliance (OSBA).

„Jeder soll seine Behördengänge einfach, schnell, sicher und rund um die Uhr online von zu Hause aus erledigen können.“ Diesen Anspruch formulierte Markus Söder 2014 im Bayerischen Landtag. Zwölf Jahre später zeigt sich, wie ambitioniert dieses Vorhaben auch heute noch ist: Nach wie vor ringen deutsche Verwaltungen darum, Anträge, Bescheide und Statusabfragen so reibungslos und komfortabel zu gestalten wie das Online-Banking.

Open Source Business Alliance (OSBA)

„SCS-Standards“ kümmert sich um Sovereign Cloud Stack

Dabei scheitert es inzwischen nicht mehr – oder zumindest eher selten – an der Technik. Oft sind es gewachsene Strukturen, Zuständigkeiten, Medienbrüche, Altsysteme und Vergaberegeln, die Digitalisierungsprojekte im öffentlichen Sektor zäher als erhofft gestalten.

Zugleich sind mit Vorgaben wie der DSGVO und NIS-2 die Herausforderungen an Kontrolle und Nachweisbarkeit in den vergangenen Jahren enorm gestiegen. Register, Fachverfahren und Verfahrensdaten im behördlichen Umfeld sind in der Regel so sensibel, dass schon kleine Unklarheiten darüber, wer wann auf welche Daten zugreifen darf und wie sich diese Regeln prüfbar belegen lassen, schnell zum Risiko für das Vertrauen der Öffentlichkeit werden.

(K)eine Frage des Standorts

Kritisch wird es für staatliche Institutionen insbesondere dann, wenn ein Anbieter, dessen Konzernmutter oder zentrale Funktionen außerhalb der EU verankert sind, oder eine operative Steuerung aus einem Drittstaat möglich ist. Immer wieder wird in diesem Zusammenhang auf den 2001 verabschiedeten US Patriot Act verwiesen: Er verbindet bestimmte Auskunfts- und Überwachungsbefugnisse mit Geheimhaltungspflichten, sodass Anordnungen von US-Behörden nicht in jedem Fall transparent überprüfbar sind.

Damit steht der Patriot Act im Widerspruch zu DSGVO und NIS2, die Kontrolle, Nachweisbarkeit und belastbare Schutzprozesse für sensible Verwaltungsdaten verlangen. Einen Schritt weiter geht der US Cloud Act (2018). Er kann US-Anbieter verpflichten, Daten herauszugeben, die sich in ihrer tatsächlichen Verfügungsgewalt befinden, auch wenn sie außerhalb der USA gespeichert sind. Entscheidend ist also weniger der Serverstandort als vielmehr die Frage, ob der Provider Zugriff vermitteln oder Daten bereitstellen kann.

Sovereign Cloud Stack (SCS): Framework für Datenhoheit

EU-Behörden, die den Umzug in die Cloud erwägen, sollten deshalb zunächst drei essenzielle Fragen klären: Wer verfügt nach der Migration über welche rechtlichen Hebel, um Zugriffe anordnen und durchsetzen zu können und über welche Unternehmen läuft dieser Prozess? Wo liegen Schlüssel, Logs und Administratorrechte und wer kontrolliert sie? Und schließlich: Mit welchem Personal, Tools und Prozessen verläuft ein Exit, wenn Daten und Workloads in eine andere Umgebung migriert werden sollen?

Hier kommt der Sovereign Cloud Stack ins Spiel: Er übersetzt Anforderungen aus DSGVO und NIS2 in klar definierte, auditierbare Kontrollen für Cloud-Betrieb, Berechtigungen, Verschlüsselung, Protokollierung und Wiederanlauf. Damit wird die Cloud für Behörden zum System, das auch im harten Audit belastbar begründet werden kann und im Ernstfall handlungsfähig bleibt. Das Prinzip des Sovereign Cloud Stacks folgt einem Schichtenmodell.

Jede Schicht wird so gebaut und betrieben, dass Datenhoheit, Auditierbarkeit und Wechseloptionen ohne Einschränkungen erhalten bleiben. So lässt sich der Sovereign Cloud Stack als eine Art Framework lesen, der die Cloud in verständliche Ebenen zerlegt und für jede Ebene konkretisiert, was Behörden kontrollieren und später nachweisen können müssen.

Mit SCS ist hier das von der Open Source Business Alliance (OSBA) getragene Open-Source-Vorhaben gemeint. Der SCS definiert offene, nachvollziehbare Standards und Prüfkriterien, damit Cloud-Umgebungen verschiedener Anbieter kompatibel sind und sich Anwendungen und Daten planbar zwischen SCS-konformen Anbietern betreiben oder migrieren lassen. Kurz: SCS ist kein einzelnes Produkt, sondern ein gemeinsamer Bauplan mit Zertifizierbarkeit, der Interoperabilität und Anbieterunabhängigkeit absichert.

Stabiler Betrieb durch Automatisierung

Was das in der Praxis bedeutet, zeigt das Schichtenmodell: Es beginnt bei der technischen Basis und arbeitet sich Ebene für Ebene nach oben. Ganz unten steht die Basis. Dazu zählen Rechenzentrum, Netzwerk, Storage und Virtualisierung. Für das Rechenzentrum München wird die noris Sovereign Cloud als nach BSI C5 testiert deklariert und als DSGVO- sowie KRITIS-konform eingeordnet. Souverän ist diese Schicht freilich nur, wenn Betrieb und Aufsicht im EU-Rechtsraum liegen und klar ist, wer physisch und organisatorisch Zugriff auf die Infrastruktur hat.

Darüber liegt der Software-Stack der Cloud-Plattform, abgebildet durch OpenStack mit standardisierten Schnittstellen. Hier werden Mandanten getrennt, Netze segmentiert und Ressourcen standardisiert bereitgestellt. Das übergeordnete Ziel – ein Betrieb, der sich überall reproduzieren lässt: Deployments, Updates und Patches folgen zertifizierten Prozessen. Greifbar gemacht wird diese Ebene über mehrere Verfügbarkeitszonen für hochverfügbare Setups, S3-kompatiblen Object Storage mit standortverteilter Ablage sowie den Zugriff standardisierter REST-API.

Sollen Anwendungen containerisiert laufen, lässt sich darauf aufbauend eine Container-Ebene nutzen. Kubernetes und Automatisierung sorgen dafür, dass Workloads konsistent ausgerollt, skaliert und im Störfall reproduzierbar wiederhergestellt werden können. Entscheidend danach ist die Steuerungs- und Betriebsebene. Dort wird das auditierbare Rollen- und Rechtekonzept umgesetzt.

Privilegierte Zugriffe von Administratoren müssen streng geregelt, zeitlich kontrolliert und vollständig protokolliert sein; Administratorfunktionen dürfen nicht nebenbei über normale Nutzerkonten laufen. Und auch die Verschlüsselung ist hier geregelt. Sie schützt aber nur dann, wenn die Schlüsselverwaltung klar getrennt ist.

Ergänzend dazu braucht es technische Regeln, die Daten in passende Sicherheitszonen zwingen, und eine Protokollierung, die revisionssicher ist, damit sich Vorfälle nachvollziehen und rekonstruieren lassen. Hier kommt unter anderem ein Identity and Access Management (IAM) mit optionaler Multi-Faktor-Authentifizierung zum Einsatz, um Betrieb und Änderungen kontrolliert auszusteuern. Damit wird nachvollziehbar, wer was wann darf und was tatsächlich passiert ist.

Souveränität: Mehr als ein Versprechen

Der Unterschied zur „normalen“ Cloud liegt also weniger im Funktionsumfang als in der Frage, wer den Betrieb wirklich kontrolliert. Nicht umsonst entstehen die größten Risiken dort, wo zentrale Administration, Fernwartung, Supportzugänge oder Telemetrie unbemerkt dauerhaft Zugriff gestattet wird. Ein souveräner Stack reduziert diese Angriffsflächen und gewährleistet, dass sie jederzeit nachvollziehbar prüfbar sind.

Gerade bei Fachverfahren in Behörden ist das von immenser Wichtigkeit. Ein realistischer Weg für die öffentliche Hand beginnt deshalb idealerweise in klaren Etappen: Daten klassifizieren, Zonen sauber trennen, Schnittstellen definieren, Rollen und Rechte festlegen und die Kontrolle von Schlüsseln bestimmen. Auf dieser stabilen Basis lassen sich dann Workloads schrittweise verlagern, übergangsweise häufig in hybriden Szenarien.

Portale und Integrationsdienste lassen sich leicht skalieren und vorverlagern, wohingegen Datenbanken mit den hochsensiblen Bestandsdaten zunächst in streng kontrollierten Zonen des Rechenzentrums gesichert werden. Souveränität zeigt sich dann weniger in großen Versprechen als in der Fähigkeit, Zugriffe lückenlos zu dokumentieren und im Audit belastbar zu belegen.

Wie es nach dem Auslaufen der SCS-Förderung weitergeht

Souvereign Cloud Stack: Pläne und neue Projekte

(ID:50694263)