Digitalisierungsstrategien für die öffentliche Hand, Teil 1 Souverän in die Cloud

Anbieter zum Thema

noris network AG

Ceyoniq Technology GmbH

The Quality Group GmbH

mgm technology partners GmbH

Die Cloud ist in Bund, Ländern und Kommunen angekommen – allerdings eingeklemmt zwischen nationalem Digitalisierungsdruck und internationalem Datenzugriff.

Die öffentliche Verwaltung hat ihre Berührungsängste abgelegt: Galt die Cloud für Behörden lange als tabu, erzwingt die digitale Realität heute ein Umdenken. Bund, Länder und Kommunen sind zu der Erkenntnis gekommen, dass sich die ambitionierten Ziele des Onlinezugangsgesetzes (OZG) und seiner Novelle mit klassischen Altsystemen nicht mehr erreichen lassen. Das OZG-Änderungsgesetz verlangt medienbruchfreie Verfahren von der Antragstellung bis zum Bescheid.

Mit der DeutschlandID, dem Once-Only-Prinzip und der Registermodernisierung steigt der Bedarf an skalierbaren, hochverfügbaren Fachverfahren allerdings massiv. Jetzt schwebt ein Damoklesschwert über den deutschen Amtsstuben: Schon ab 2028 können Bürger den digitalen Zugang zu zentralen Leistungen des Bundes notfalls sogar einklagen. Damit erhält die Debatte, unter welchen rechtlichen wie technischen Bedingungen Verwaltungsdaten in die Cloud wandern dürfen, neuen Zündstoff.

Eine Frage der Datenhoheit

Denn wo einem Industrieunternehmen ein Gartenzaun reicht, braucht der Staat einen Hochsicherheitstrakt: DSGVO, BSI-Grundschutz und fachspezifische Vorgaben legen genau fest, wo Daten liegen dürfen, wie sie zu verarbeiten sind und wer auf sie zugreifen darf. Der BSI-Grundschutz unterteilt den Schutzbedarf in Kategorien. Je höher der Bedarf, desto enger der Kreis zulässiger Betriebsmodelle. Eine Cloud, die diese Vorgaben nicht beachtet, scheidet für die öffentliche Hand von vornherein aus. Der bestimmende Unterschied zur Privatwirtschaft liegt nicht in der Technik, sondern im Maßstab.

Policy Paper zur Cloud-Souveränität

Handlungsfähigkeit der Verwaltung stärken

Die Verwaltung verwaltet kein Eigentum, sie hütet fremdes Vertrauen – ein Vertrauen, das in Gefahr schwebt. Der CLOUD Act erlaubt US-Behörden unter bestimmten Voraussetzungen den Zugriff auf Daten amerikanischer Anbieter, selbst dann, wenn deren Server physisch in Europa stehen. Überwachungsbefugnisse wie die Section 702 des US-amerikanischen FISA, die den Zugriff auf Kommunikationsdaten ermöglichen, verschärfen die Lage zusätzlich.

Daran ändert auch das Datenschutzrahmenwerk zwischen der EU und den USA wenig. Es steht rechtlich auf wackeligem Fundament, kann politisch jederzeit infrage gestellt werden. Für sensible Verwaltungsverfahren ist dieses Restrisiko nicht hinnehmbar, weil vertragliche Zusicherungen ins Leere laufen, sobald das anwendbare Recht im Zweifel jenseits des Atlantiks gilt. Für einen erheblichen Teil der öffentlichen Datenbestände scheiden die großen US-Plattformen damit faktisch aus.

Souveränität durch offene Standards

Neben dem Zugriffsrisiko wiegt eine zweite Gefahr schwer: die Bindung an einen einzelnen Anbieter, auch bekannt als Vendor Lock-in. Proprietäre Plattformen verankern Fachverfahren in geschlossenen Ökosystemen und entziehen der Verwaltung langfristig die Kontrolle über ihre kritische IT. Wer hier einmal zu tief in die Umgebung eingetaucht ist, zahlt für das spätere Auftauchen häufig einen schmerzhaften Aufpreis. Das OZG-Änderungsgesetz hält hier mit offenen Standards wie XÖV und FIM dagegen, um Schnittstellen zu vereinheitlichen und die Nachnutzung von Lösungen zu erzwingen. Das Ziel der Initiative: Interoperabilität und ein geordneter Ausstieg.

Souveräne Cloud-Infrastrukturen europäischer Anbieter lösen beide Probleme zugleich – insbesondere, wenn sie konsequent auf den Sovereign Cloud Stack (SCS) setzen. An die Stelle proprietärer Hyperscaler-Technologie treten hier Transparenz und Interoperabilität; der Vendor Lock-in wird durch diesen Ansatz bereits in der Konstruktion ausgeschlossen.

Dieser quelloffene Aufbau ist weit mehr als eine Nebensache: Offengelegter Code lässt sich prüfen, nachvollziehen und im Zweifel von Dritten weiterentwickeln. Das erhöht nicht nur die Revisionssicherheit, sondern kappt aktiv die Nabelschnur zu einem einzelnen Hersteller. Der Betrieb erfolgt ausschließlich in deutschen Rechenzentren, sodass Behörden die Hoheit über ihre Daten behalten und technologisch voll handlungsfähig bleiben. Konform zur Deutschen Verwaltungscloud-Strategie fügt sich die Lösung nahtlos in die bestehende Landschaft ein – schließlich liegt der Reiz offener Standards darin, Abhängigkeiten gar nicht erst entstehen zu lassen.

Vertrauen per Brief und Siegel

In der Verwaltung entsteht Vertrauen nicht durch Zusicherungen, sondern durch prüfbare Nachweise. Maßgeblich ist hier das Testat nach BSI C5, und zwar in der aussagekräftigen Variante Typ 2. Der Unterschied: Während Typ 1 lediglich bewertet, ob die Sicherheitsarchitektur zu einem Stichtag korrekt konzipiert ist, belegt Typ 2 über einen längeren Zeitraum, ob die Maßnahmen im Betrieb auch tatsächlich gelebt werden. Flankiert wird dies durch die Zertifizierung nach ISO 27001 auf Basis des BSI-Grundschutzes sowie ergänzende Vertrauenssignale wie das IT-Sicherheitskennzeichen. Erst solche Belege verwandeln den Cloud-Einsatz für die Hüter fremden Vertrauens in eine verantwortbare Entscheidung.

Passende Architektur für den Schutzbedarf

Klar ist aber auch: Nicht jedes Verfahren benötigt dieselbe Umgebung. Das Spektrum reicht von der eigenen Hardware in der Colocation über gemanagte Plattformen bis hin zur vollständig souveränen Cloud. Den Kompass für diese Auswahl liefert eine saubere Datenklassifizierung: Erst wenn feststeht, welches Verfahren welchen Schutzbedarf hat, lässt sich entscheiden, was zwingend in eine souveräne Umgebung gehört und was in hybriden Konstellationen vertretbar bleibt. Das Ziel ist stets der ideale Betriebspunkt, an dem Sicherheit, Wirtschaftlichkeit und operative Stabilität verschmelzen. So könnte auch eine VMware-basierte Variante – sofern konform mit BSI C5 Typ 2 – eine Lösung für bestehende IT-Umgebungen darstellen.

Erkennungsmerkmale eines qualifizierten Partners

Am Ende ist Souveränität keine rein technische Frage, sondern eine der Partnerwahl. Ein qualifizierter Dienstleister betreibt seine Rechenzentren im EU-Rechtsraum, belegt seine Sicherheit durch unabhängige Testate und legt Betriebsprozesse sowie Zugriffswege transparent offen.

Behörden sollten sich darüber in Klaren sein: Die Cloud ist gekommen, um zu bleiben. Ob sie jedoch souverän, sicher und zukunftsfähig bleibt, entscheidet weniger die gewählte Plattform als der Partner, der sie hütet. Wie eng diese digitale Souveränität mit der aktiven Abwehr von Cyberangriffen verknüpft ist, beleuchtet der zweite Teil dieser Serie zum Aufbau einer resilienten Sicherheitsarchitektur.

Sovereign Cloud Stack

DSGVO und NIS-2 unter Kontrolle

(ID:50916826)