Souveräne Cloud für Bund, Länder und Kommunen Ohne Cloud-Technologie keine moderne Verwaltung

Anbieter zum Thema

Materna Information & Communications SE

cit GmbH

mgm technology partners GmbH

Sicherheit, Datenschutz, Souveränität – die Gründe, warum sich Behörden nicht in die Cloud trauen, sind vielfältig, dabei bietet die Technologie viele Chancen. Welche das sind und wie der Schritt in die Cloud gelingen kann.

Systeme in der Cloud zu betreiben und Daten dort vorzuhalten ist für einen Großteil privatwirtschaftlicher Unternehmen längst Normalität. Skalierbarkeit, größtmögliche Flexibilität, Schnelligkeit und der einfache Zugriff auf modernste Technologien sind hier nur einige der Pluspunkte, die für die Cloud sprechen. Diese Vorteile könnten – und müssten – auch Behörden nutzen. Und doch gilt, dass die Öffentliche Verwaltung bislang nur wenig auf die Cloud setzt. Das hat Gründe: Im öffentlichen Sektor gelten besondere Bedingungen rund um Themen wie Sicherheit, Datenschutz und Co. Auch gilt es, Abhängigkeiten so gering wie möglich zu halten. Dafür braucht es eine Cloud mit einer speziellen Architektur und einem besonderen Hosting-Konzept, die zudem gewährleistet, dass etwa ausländische Regierungen keinen Zugriff auf sensible Daten haben. Für all das steht der Begriff „souveräne Cloud“.

Die Cloud als Gamechanger

Die Nutzung von Cloud-Technologie eröffnet Behörden viele Chancen: Sie kann die Arbeitsweise disruptiv verändern und – damit einhergehend – die Qualität des Bürgerservices spürbar verbessern. Wenn es nicht mehr nötig ist, Bauanträge auszudrucken und in Ordnern abzuheften, weil all diese Daten geschützt in der Cloud liegen, und wenn Bürger ihren Umzug nicht mehr persönlich im Rathaus melden müssen, weil es dafür einen schlanken Online-Prozess gibt, hilft das der Bevölkerung sehr. Daneben profitieren auch Staatsangestellte von cloudbasierten Workflows – man denke nur an die vielzitierten 55 Aktenordner, in denen die Unterlagen für die Genehmigung einer einzigen Windkraftanlage gebündelt sind. Soll die Energiewende wirklich Fahrt aufnehmen, braucht es zwangsläufig effizientere Prozesse. Zumal Behörden mit der souveränen Cloud einen enormen Zugewinn an Skalierbarkeit, Flexibilität und Effizienz erfahren. Führt man sich zum Beispiel den großen administrativen Aufwand vor Augen, der durch eine hohe Anzahl von Flüchtenden entsteht, wird klar: Mit effizienten digitalen Prozessen wäre das vorhandene Personal in der Lage, die enorme Arbeitslast besser zu bewältigen. Und wann immer es mehr IT-Ressourcen braucht, um etwa entsprechende Anträge zu bearbeiten, ist es in der Cloud ein Leichtes, zusätzliche Rechenkapazitäten zeitweise bereitzustellen – ohne zusätzliche Server, einfach per Knopfdruck.

Das sind viele Vorteile und Möglichkeiten, die auch die Politik erkannt hat und für die Öffentliche Verwaltung nutzen möchte. Trotzdem ist die Public Cloud zumeist keine Option, denn sie erfüllt nicht alle speziellen Anforderungen an Souveränität, die für den öffentlichen Sektor obligatorisch sind. Informationen und Leitplanken zu Hintergründen und Voraussetzungen für eine souveräne Cloud bieten sowohl die Deutsche Verwaltungscloud Strategie (DVS) als auch die „roten Linien“ des Bundesamtes für Sicherheit in der Informationstechnik (BSI).

Die Deutsche Verwaltungscloud Strategie

Angebote im Bereich der souveränen Cloud sind zentraler Bestandteil der DVS als „Strategie zur Stärkung der Digitalen Souveränität der IT der Öffentlichen Verwaltung“. Die DVS soll insbesondere dazu dienen, gemeinsame Standards und offene Schnittstellen zu schaffen, die den effizienten Einsatz föderaler Cloud-Lösungen überhaupt erst ermöglichen. Denn die meisten der bis dato in der Verwaltung genutzten Cloud-Lösungen sind nicht miteinander kompatibel, weil die zugrundeliegenden Architekturen nicht auf gemeinsamen Standards basieren. Darum ist das oberste Ziel der DVS, eine souveräne Multi-Cloud-Infrastruktur für Bund, Länder und Kommunen zu etablieren, die es hiesigen Behörden erlaubt, Software-Lösungen einheitlich zu betreiben und Daten auszutauschen. Neben der so wichtigen Aufgabe, die Interoperabilität der Fachverfahren sicherzustellen, reduziert die DVS die kritischen Abhängigkeiten von Software-Anbietern (Vendor Lock-in) und ermöglicht, digitale Tools bedarfsgerecht einzuführen beziehungsweise bei Nichtgebrauch wieder abzulösen.

Die roten Linien des BSI

Wie genau die souveräne Cloud im Hinblick auf Architektur, Funktionalität und Sicherheit aufgebaut sein soll, hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) anhand sogenannter „roter Linien“ festgelegt. Dazu gehören unter anderem:

• Geografische Autonomie: Die souveräne Cloud muss in einem deutschen Rechenzentrum von einem deutschen Unternehmen betrieben werden.

• Infrastrukturelle Autonomie: Die souveräne Cloud muss eine Private Cloud in einer föderalen Infrastruktur und ausschließlich mit dem deutschen Regierungsnetz verbunden sein.

• Vernetzungsautonomie: Es ist Dritten untersagt, Daten und Metadaten aus der Cloud zu extrahieren oder in die Cloud einzuspeisen. Die souveräne Cloud ist Endpunkt aller Telemetriedaten von Geräten oder clientseitiger Software.

• Lifecycle Management: Unter anderem müssen Bugfixing, Release-Entwicklung und Release-Testing gewährleistet sein. Die Betreibergesellschaft muss die Verfügbarkeit von Kernfunktionalitäten und Schnittstellen garantieren.

• Operative Sicherheit: Das operative Sicherheitsmanagement verantwortet die Bundesregierung oder ein von ihr ausgewählter nationaler IT-Dienstleister. Erkannte Schwachstellen sind dem Hersteller zu melden, der diese managt und behebt.

• Normative Sicherheitsanforderungen: Die souveräne Cloud muss alle geltenden Sicherheitsanforderungen des BSI und sämtliche Anforderungen an Cloud-Plattformen in der Bundesverwaltung gemäß „IT-Grundschutz“ erfüllen. Software-Module müssen BSI und Cloud-Anbieter und -Betreiber gemeinsam auswählen.

• Interoperabilität: Die souveräne Cloud muss über offene Protokolle und herstellerunabhängige Schnittstellen Migrationen zwischen Anbietern und Diensten ermöglichen, etwa für SaaS-Angebote und integrierte Cloud-Services staatlicher Dienstleister.

Diese „Requirements for Cloud Platforms in the Federal Administration“, wie die „roten Linien“ offiziell heißen, bilden also das grundsätzliche Regelwerk für eine souveräne Cloud in Deutschland. Die definierten besonderen Anforderungen an technische, operative und rechtliche Souveränität sind nachvollziehbarerweise eine Herausforderung für entsprechende Anbieter von Cloud-Plattformen. Trotzdem sind sie umsetzbar – was allerdings bis zur Endstufe noch eine gewisse Zeit erfordert. Zeit, die durchaus bereits heute von Behörden genutzt werden kann und sollte, um sich auf die effektive Nutzung der absehbar zur Verfügung stehenden Cloud-Plattformen vorzubereiten.

Auf der nächsten Seite: Cloud-Migration

(ID:49687925)