Deutschlands Digitale Souveränität adé durch Trump, BSI und Google

Kürzlich wurde eine Kooperation des Bundesamt für Sicherheit in der Informationstechnik (BSI) mit dem US-Anbieter Google zwecke Etablierung einer Cloud-Lösung bekannt. Drei Arbeitskreise der Gesellschaft für Informatik (GI) haben die geplante Kooperation von BSI und Google mit großer Sorge zur Kenntnis genommen. Die GI stellt in meinen Augen berechtigt die Frage, ob Trump und Google zukünftig über unsere IT-Sicherheit bestimmen?

Die Google Cloud der Schwarz-Gruppe

Die Schwarz-Gruppe hegt ja lange Pläne, als europäischer Cloud-Anbieter aufzutreten. Im November 2024 gaben die Schwarz Gruppe und Google die Unterzeichnung einer Partnerschaft bekannt, die man zur Kenntnis nehmen kann. Aber der Titel „Sichere, souveräne Lösungen für mehr Effizienz am Arbeitsplatz für Deutschland und Europa: Unternehmen der Schwarz Gruppe und Google unterzeichnen Partnerschaft klang für mich wie Hohn. Hier die Kernpunkte:

• STACKIT, die Cloud-Einheit von Schwarz Digits, wird local data storage für Google Workspace bereitstellen und clientseitige Verschlüsselung bieten. Dadurch entstehe eine sichere und souveräne Lösung für Effizienz am Arbeitsplatz mit XM Cyber als integrierter Sicherheitslösung.
• Im Rahmen der Partnerschaft wird das Continuous Exposure Management von XM Cyber in das Sicherheitsportfolio von Google Cloud integriert, um ein neues gemeinsames Angebot zu entwickeln, das sich an Organisationen des öffentlichen und privaten Sektors richtet.
• Die Unternehmen der Schwarz-Gruppe mit 575.000 Mitarbeitern werden auf Google Workspace migrieren, um Sicherheit, Effizienz und Kontrolle ihrer Souveränität zu maximieren.

Die Schwarz-Gruppe bewegt sich mit ihrer IT also komplett zu Google Workspace und will zudem mit seiner Cloud-Einheit STACKIT die Google-Lösung als „souveräne Euro-Cloud“ für Behörden und Unternehmen vermarkten. Das ist im Grunde der gleiche Murks wie die Delos-Cloud, bei der eine SAP-Tochter eine souveräne Cloud auf Basis von Microsoft Azure bereitstellen will. Über diesen Sachverhalt hatte ich hier im Blog ja mehrfach berichtet (siehe Artikel am Beitragsende). Den Move der Schwarz-Gruppe hatte ich zwar mitbekommen und mir so meine Gedanken gemacht, aber nicht hier im Blog thematisiert.

Das BSI kooperiert mit Google

Dann gab es vor einer Woche noch die Bekanntgabe einer Kooperation zwischen BSI, der Schwarz-Gruppe und Google. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt das Ganze in der Mitteilung Cloud Computing: BSI und Schwarz Digits planen Kooperation.

Für eine moderne und digitale Verwaltung sei die Nutzung von Cloud-Angeboten unumgänglich, stellt das BSI fest. Um dabei auch den mit Cloud Computing verbundenen Risiken sowie aktuellen geopolitischen Entwicklungen Rechnung zu tragen, habe das BSI eine Cloud-Strategie entwickelt. Diese sieht zum einen vor, nationale und europäische Cloud-Strukturen konkurrenzfähig zu gestalten, und zum anderen zu analysieren, inwieweit die Public Clouds der Hyperscaler aktiv und sicher in Deutschland nutzbar gemacht werden können.

Daher streben das Bundesamt für Sicherheit in der Informationstechnik (BSI) und STACKIT, der Cloud-Provider von Schwarz Digits aus dem baden-württembergischen Neckarsulm, eine strategische Kooperation an. Ziel sei es unter anderem die gemeinsame Entwicklung souveräner Cloud-Lösungen, die auch für den Einsatz in der Bundesverwaltung nutzbar gemacht werden können.

Um die Cloud-Lösungen der Hersteller eingehend und in der notwendigen Sorgfalt prüfen zu können, bediene sich das BSI des Mittels der Kooperationsvereinbarungen, heißt es. Diese Kooperationen „bilden einen verbindlichen Rechtsrahmen“, um auch hoch vertrauliche Informationen auszutauschen und in der Tiefe technische Analysen und Bewertungen durchführen zu können.

Zum aktuellen Zeitpunkt hat das BSI entsprechende Kooperationen mit den Cloud Service Providern SAP (Delos), Oracle und Google Cloud vereinbart; neben der Partnerschaft mit STACKIT ist auch eine Kooperation mit dem US-amerikanischen Anbieter Amazon Web Services (AWS) geplant. Das ist das faktische Eingeständnis der Kapitulation vor Big-US-Tech in Sachen Cloud durch das BSI. In der Mitteilung des BSI lässt sich nachlesen, was man im Rahmen der Kooperation beabsichtigt: Nämlich die Untersuchung der verwendeten kryptographischen Verfahren. Das BSI trifft keine Vergabe- oder Implementierungsentscheidungen, heißt es – also ein vorsorgliches Feigenblatt, das BSI gibt seinen Namen, kann aber nichts entscheiden. Nur das Bewerten der erreichbaren Resilienz, das Analysieren komplexer Lieferketten und damit verbundener Risiken sowie das Erkennen technologischer Abhängigkeiten steht für das BSI auf der Agenda. Googles kurze Erklärung findet man hier.

GI: Digitale Souveränität adé

Die Gesellschaft für Informatik (GI) hat sich in drei Arbeitskreises mit dieser geplanten Kooperation von BSI und Schwarz-Gruppe / Google befasst. Die GI habe diese Kooperation mit großer Sorge zur Kenntnis genommen. Man sieht die digitale Souveränität durch diese Entwicklung flöten gegangen.

Die GI fragt: „Bestimmen zukünftig Trump und Google über unsere IT-Sicherheit?“ Die letzten Wochen haben eigentlich jedem gezeigt, welche ernst zu nehmenden Bedrohungsszenarien durch die digitale Abhängigkeit von US-Monopolisten entstanden sind.

Leider ist davon auszugehen, dass diese „Killswitches“ nicht nur ein fatales Erpressungspotenzial darstellen, sondern auch direkt oder indirekt vom US-Präsidenten sowie US-amerikanischen Behörden zu Lasten der deutschen Wirtschaft und Gesellschaft bedient werden, schreibt die GI.

Deren Arbeitskreise „Digitale Souveränität”, „Open Source Software” und „Datenschutz und IT-Sicherheit” haben den Diskussionsbeitrag Digitale Souveränität adé veröffentlicht, in dem sie die Risiken und fatalen Abhängigkeiten von den US-Cloud-Anbietern kritisieren.

Die Arbeitsgruppen der GI haben die Google-BSI-Vereinbarung einer fachlichen Analyse unterzogen und kommen zu dem Ergebnis, dass diese Zusammenarbeit den Kriterien der digitalen Souveränität widerspricht:

• Umfangreiche europäische und nationale Anstrengungen, um digitale Souveränität zu stärken, werden durch die Zusammenarbeit von Google und BSI zunichte gemacht.
  Im sensiblen Bereich der nationalen Sicherheit haben US-amerikanische Unternehmen, deren Geschäftsmodelle noch dazu auf die Erweiterung ihrer Macht und Einflussnahme auf andere Branchen (Gesundheitswesen, Finanzdienstleistungen usw.) ausgerichtet ist, nichts zu suchen.
• Die BSI-Google Zusammenarbeit ist ein potenzieller Booster für digitale Abhängigkeit und Erpressbarkeit Deutschlands von den USA. Es ist unverantwortlich, dass die US-Regierung zusätzliches Erpressungspotenzial – noch dazu von einer für IT-Sicherheit verantwortlichen deutschen Behörde – frei Haus erhält [2].
• Google ist aufgrund der Rechtslage in den USA nicht dazu in der Lage, einen souveränen Dienst in diesem Sinne anzubieten. Ein „souveräner Dienst“ muss alle Souveränitätskriterien erfüllen (Privacy, Integrität, Verfügbarkeit). Die Vereinbarung betrifft nur „Datensouveränität“ (bei uns Privacy), als wäre damit alles erfüllt. Was bei allen „Confidentiality“-Versprechen unerreichbar bleibt, ist der Teil Verfügbarkeit. Der US-Präsident kann immer das Licht ausschalten.
• Fehlende Transparenz: Die bisherigen Information der beiden  Kooperationspartner BSI und Google sind so dürftig und bei Weitem nicht transparent genug, um entscheiden zu können, welche Projektziele verfolgt werden und für welche Anwendungsszenarien die untersuchten Lösungen geeignet sein sollen. Grundsätzlich ist es problematisch, potenzielle Ergebnisse bereits vorab als souverän zu bezeichnen, denn hierfür wäre es insbesondere erforderlich zu erklären, wie mit dem US-amerikanischen CLOUD Act umgegangen wird, Lock-ins vermieden und digitale Souveränität nachhaltig gesteigert wird.
• Wettbewerbsverzerrung mit Benachteiligung deutscher und europäischer Unternehmen Durch eine solche Vereinbarung mit dem BSI erhält Google einen „TÜV-Stempel“, der seine marktbeherrschende Stellung noch weiter festigt. Dies bedeutet gravierende Wettbewerbsnachteile für europäische Anbieter. Laien gewinnen den Eindruck, Google sei per se sicher. Hingegen wurde noch gar nichts entwickelt und schon gar nicht geprüft. Man kooperiert zwar nur, aber die nächsten Schritte der Entwicklung sind die weiträumige Nutzung unter dem Prädikat der „Souveränität“. Es ist also Werbung für Google.
• Das Geschäftsmodell von Google basiert primär auf der Erfassung, Analyse und Verwertung von Daten Dritter. Eine Partnerschaft mit einem Unternehmen, dessen Kerngeschäft die Monetarisierung von Daten ist, wirft erhebliche Bedenken hinsichtlich der Unabhängigkeit und Souveränität der geplanten Cloud-Lösung auf. Selbst wenn zugesichert wird, dass keine wirtschaftliche Nutzung der in Deutschland gespeicherten behördlichen und unternehmerischen Daten erfolgt, bleibt die grundlegende Abhängigkeit von einem Anbieter bestehen, dessen Unternehmensstrategie auf Datenverkauf ausgerichtet ist und der nicht europäischer Gesetzgebung unterliegt.

Auch der Zeitpunkt für den Abschluss der Vereinbarung – kurz vor der Einrichtung eines Digitalministeriums – wirft laut GI viele Fragen auf. Es entstehe der Eindruck, dass die negative Bilanz der Digitalpolitik der Ampel nach der Neuwahl noch weitergeführt und die fatale digitale Abhängigkeit weiter verstärkt wird.

Die geplante Zusammenarbeit des BSI mit Google gefährdet nicht nur unsere nationale Sicherheit und Cybersecurity, sondern auch die strategische Autonomie und Handlungsfähigkeit der Bundesbehörden und erhöht die Erpressbarkeit von Bundesregierung, Bundesverwaltung und der deutschen Bürgerinnen und Bürger.

Die drei Arbeitskreise der Gesellschaft für Informatik e.V. appellieren daher an das BSI, seiner Verantwortung für die IT-Sicherheit Deutschlands sowie für den Schutz der Grundrechte der Bürgerinnen und Bürger und Unternehmen gerecht zu werden. Eine strategische IT-Infrastruktur muss so gestaltet sein, dass sie digitale Souveränität gewährleistet und zugleich den rechtlichen Anforderungen entspricht.

Die Sicht von BSI und Google

Die GI schrieb mir im Nachgang noch „Es gibt asymetrische Informationen von Google und dem BSI. Wie von uns befürchtet, scheint Google das zu Lasten der europäischen Konkurrenz auszunutzen, ohne dass das BSI bisher aktiv geworden ist.“ 

Die Redaktion von heise hat sich in diesem Beitrag mit dem Thema befasst und schreibt, dass die BSI-Präsidentin, Claudia Plattner die „Aufregung“ nicht verstehe. Das BSI hat inzwischen diese Stellungnahme veröffentlicht. Kernpunkte der Argumentation sind:

• Kryptographische Verfahren schützen vor Datenabflüssen an Dritte und auch vor dem Zugriff des Providers selbst, wenn Schlüssel- sowie Identitäts-/Zugriffsmanagement in der eigenen Hand liegen. Die Daten liegen damit zu jedem Zeitpunkt verschlüsselt vor und nur der Kunde hat die notwendigen Schlüssel, um sie lesbar zu machen.
• Eine europäische, unabhängige Instanziierung der Cloud-Plattform sowie Möglichkeit der Unterbrechung der Verbindung zum Provider ohne Ausfall der Instanz führt zu einer Unabhängigkeit von der globalen Infrastruktur des Herstellers.
• Die Kontrolle der Updatekanäle, sowie die Einsicht, Analyse und temporäre Unterbrechungsmöglichkeit herstellerseitiger Updates an die genutzte Cloud senken das Risiko schädlichen Einflusses aus den Netzen des Herstellers und ermöglichen die sicherheitstechnische Plausibilisierung der bereitgestellten Aktualisierungen.

Die Punkte gehen an das BSI und sind von der Argumentation her für mich nachvollziehbar. Ob die Kontrolle der Update-Kanäle wirklich wirksam durchgeführt werden kann, da würde ich ein Fragezeichen dran machen. Was ist, wenn eine Schwachstelle in der Cloud per Update geschlossen wird und gleichzeitig Code für einen Kill-Switch ausgerollt wird? Das BSI argumentiert auch, dass man Einsicht in und Kontrolle der an den Provider übertragenen (Telemetrie-)Daten als zweite Verteidigungslinie gegen Datenabflüsse sieht. Kann man so stehen lassen, sofern diese Prämisse zutrifft.

Hier geht das BSI davon aus, dass in kritischeren Fällen der Betrieb durch ein vom Provider unabhängiges europäisches Unternehmen erbracht werden muss, um auch einen direkten organisatorischen Einfluss auszuschließen. Es liege in der Natur der Sache, dass stets die Mithilfe des Herstellers oder Providers notwendig ist, um Lösungen zu entwickeln, die nach nationalen Anforderungen abgesichert werden können und für die eine kontinuierliche Überwachung sichergestellt werden kann, schreibt das BSI.

Da der Wegfall dieser Mitwirkung ebenfalls ein zu betrachtendes Risiko ist, ist es ferner notwendig, eine ausschließlich europäische, technische Rückfalllinie zu etablieren. Ein entsprechender Umstieg muss bei Eintritt des Risikos unter minimalen Ausfallzeiten möglich sein. Diesen Punkt sehe ich aktuell aber schlicht (noch) nicht.

Im Hinblick auf die Bundes-Cloud argumentiert das BSI, dass die Kooperationsvereinbarungen die rechtlichen Grundlagen bilden, um einen tiefen Einblick in die Produkte der Anbieter zu erhalten. Der Punkt geht an das BSI – sofern sich die Hoffnung auf einen „tiefen Einblick“ erfüllt.

Der Ansatz des BSI ist unter dem Blickwinkel „besser als nichts“ durchaus nachvollziehbar. Im Hinblick auf die Kritik der GI bleibt für mich aber das Fazit, dass das aufgeklebte „das BSI hat nachgekuckt“-Siegel im Hinblick auf „technische Souveränität“ nicht wirklich was bringt. Es ist eher eine Art „Feigenblatt“, es schadet nichts, hilft im Fall der Fälle – d.h. wenn die US-Administration „den Daumen senkt“ – vermutlich auch nicht wirklich. Und wie ich die GI oben zitiert habe „Wie von uns befürchtet, scheint Google das zu Lasten der europäischen Konkurrenz auszunutzen, ohne dass das BSI bisher aktiv geworden ist.“

Ähnliche Artikel:
IT-Planungsrat: Sondersitzung soll Weg für Delos-Cloud-Verträge frei machen
Delos-Cloud: Bundeskanzler Scholz bekommt Abfuhr von Bundesländern
Enkel-fähige „Digitale Souveränität“ statt Abhängigkeit von der Delos-Cloud
Europas und Deutschlands fatale digitale Abhängigkeit von den USA rächt sich
Delos-Cloud mit Azure 10-20 % teurer als MS-Cloud pur