Nachrichtendienste: BND und BfV wollen angeblich auf Google setzen

Der Bundesnachrichtendienst, das Bundesamt für Verfassungsschutz und der Militärische Abschirmdienst wollen für den Austausch geheimer Informationen eine verteilte Cloudlösung aus dem Hause Google einsetzen. Das berichtet die Tagesschau unter Berufung auf damit vertraute Kreise. Sicher sein soll das System, weil es weder mit dem Internet noch mit der allgemeinen Google-Cloud verbunden ist. Solche „Google Distributed Cloud“-Lösungen bietet das Unternehmen seit einiger Zeit für Kunden an, die auf der einen Seite besonderen Sicherheitsanforderungen wie dem Regime für geheimschutzbedürftige „Verschlusssachen“ unterliegen, aber auf der anderen Seite etablierte und nachgewiesenermaßen unter Last skalierende Systeme nutzen wollen. Aus diesem Grund will etwa auch die Bundeswehr über ihr IT-Systemhaus BWI geschützte Daten auf Air-Gapped-Systemen von Google verarbeiten. Die BWI soll laut Tagesschau auch beim Betrieb der ND-Cloud helfen.

Google selbst beschreibt etwa die Offline-Übersetzung von Inhalten als typisches Einsatzszenario für diese „Air Gapped“-Clouds. Das wäre etwa hilfreich, wenn Rohdaten wie Mitschnitte von Telefonaten, Videodateien oder Texte ausgewertet und zu sogenannten „Meldungen“ verarbeitet werden, also dem eigentlichen „Produkt“ der Nachrichtendienstarbeit. Angesichts der geplanten Ausweitung der Aufgaben für die beiden deutschen Nachrichtendienste ist absehbar, dass diese sowohl bei der Überwachung einzelner Ziele als auch bei der sogenannten strategischen Aufklärung wesentlich mehr Daten zur Auswertung zur Verfügung haben werden. Zugleich würde eine Vergabe an Google absehbar neue Souveränitätsdebatten vom Zaun brechen.

Google setzt auf EU-Partner

Google versucht verstärkt, seine Clouddienste auch unabhängig von den eigenen Rechenzentrumsverbünden zur Verfügung zu stellen. Bereits 2021 hatte Google zusammen mit der Deutschen Telekom eine hochsichere Cloudlösung präsentiert, für deren Air-Gapped-Variante Berichten zufolge jedoch keinen einzigen Kunden gewinnen können. Google betreibt mit dem französischen Rüstungskonzern Thales in Frankreich unter dem Namen S3NS ein Angebot, bei dem der praktische Betrieb an den europäischen Partner abgegeben ist. Doch bleibt der US-Konzern am Ende für die Softwareweiterentwicklung zuständig. Damit hängt die dauerhafte Betriebssicherheit von der Verfügbarkeit etwa von Updates ab – ohne Googles Hilfe kann eine so konstruierte Cloud Brancheninsidern zufolge einige Monate, im besten Fall ein gutes Jahr weiterlaufen. In dieser Zeit müsste allerdings ein Umzug stattfinden können oder die Hoffnung auf Ausräumung des Hemmnisses bestehen.

Nachrichtendienste könnten fatales Signal senden

Die Chefs der Nachrichtendienste betonten zuletzt im Bundestag, dass die Dienste auf leistungsfähige Technik angewiesen seien – und die Herkunft der Anbieter immer nur ein Faktor für die Entscheidung sein könne. Mit einer Auftragsvergabe der deutschen Nachrichtendienste-Cloud an einen US-Konzern würde allerdings das politische Signal ausgesendet, dass alternative, europäische Anbieter derzeit nicht in der Lage sind, ein ähnliches Leistungsniveau zu erreichen. Dabei hatten viele EU-ansässige Anbieter darauf gehofft, dass gerade aus dem hochkritischen Sicherheitsbereich Anwender ihre Angebote trotz Mehrkosten buchen würden – und dabei als „Ankerkunde“ eine Grundrefinanzierung nötiger Investitionen leisten.

Formalisierung der Unabhängigkeitsanforderungen in Arbeit

Laut dem Tagesschau-Bericht soll derzeit das Bundesamt für Sicherheit in der Informationstechnik (BSI) noch Komponenten des Vorhabens prüfen. Erst nach der Zulassung sollen die Haushaltsmittel freigegeben werden. Insider schätzen die Kosten auf mindestens 500 Millionen Euro. Der ursprünglich für das erste Quartal 2027 geplante Start verzögert sich damit. Das BSI hatte erst im Frühjahr ergänzend zu den klassischen technischen Sicherheitskriterien auch Kriterien zur Einstufung von Abhängigkeitsgraden vorgeschlagen. Diese sind allerdings derzeit im Rahmen der Auftragsvergabe nicht verpflichtend einzuhalten, sondern stellen einen Vorschlag dar. Auch die EU diskutiert derzeit, inwieweit sie bei der Vergabe von öffentlichen Aufträgen im Bereich Cloud und KI formalisierte Souveränitätskriterien anlegen kann. Die Diskussion um mehr Unabhängigkeit von US-Anbietern und auch die um einen souveränen, nationalen Hyperscaler sind dabei nicht ganz taufrisch.

Für die Opposition ist die nun berichtete Entscheidung für Google fragwürdig. „Die Sicherheit und Souveränität einer nachrichtendienstlichen Cloud ist von überragender sicherheitspolitischer Bedeutung“, sagt Konstantin von Notz, der stellvertretende Vorsitzender des Parlamentarischen Kontrollgremiums. Vor diesem Hintergrund werfe es Fragen auf, dass die Bundesregierung entschieden habe, dabei mit einem US-amerikanischen Anbieter zusammenzuarbeiten. „Die Bundesregierung wird beantworten müssen, warum eine europäische Lösung aus ihrer Sicht nicht möglich war und wie sichergestellt werden kann, dass die Integrität und Souveränität nachrichtendienstlicher Daten auch in Zukunft über jeden Zweifel erhaben ist“, so von Notz auf Anfrage von heise online.