Google-Cloud sei „sicher“: Kanzler-TÜV gegen Expertenmeinungen

Ziemlich genau ein Jahr ist es her, da wollte Bundeskanzler Friedrich Merz zusammen mit dem französischen Präsidenten Emmanuel Macron den Weg der europäischen Unabhängigkeit beschreiten. Insbesondere bei Künstlicher Intelligenz und Cloud sei das vonnöten, hieß es damals – zurecht. Das wackelige Verteidigungsbündnis mit den USA, die fragwürdige Verlässlichkeit der US-Dienste im Konfliktfall mit Russland, all das erfordert tatsächlich eine souveränere Aufstellung. Doch die kann nur kommen, wenn ein Staat wie Deutschland, dessen Militärausgaben bald das dreifache Frankreichs betragen werden, Alternativen selbst groß macht.

Die Frage, auf die Merz beim Digitalgipfel in Berlin antwortete: Ist es ein schlechtes Zeichen für deutsche Rechenzentrenbetreiber, wenn deutsche Nachrichtendienste für ihre Aufgaben auf die Google-Cloud zurückgreifen? Der Kanzler, dessen Kanzleramt für die Nachrichtendienstkoordination und den BND zuständig ist, sieht das nicht – weil ja auch Google in Europa investiere. „Ich habe ein hohes Vertrauen in unsere Dienste, dass die Daten, die wir dort haben, sicher und geschützt sind, auch dann, wenn zum Beispiel ein amerikanischer Anbieter eine große Cloudinfrastruktur baut“, sagte Merz. „Sie ist für uns sicher.“

Falk Steiner ist Journalist in Berlin. Er ist als Autor für heise online, Tageszeitungen, Fachnewsletter sowie Magazine tätig und berichtet unter anderem über die Digitalpolitik im Bund und der EU.

Das falsche Szenario

Doch da irrt der Kanzler nachhaltig. Es geht nicht um das Szenario, in dem Google den US-Diensten auf Anweisung des Präsidenten Zugriff auf deutsche Nachrichtendienstdaten geben müsste. Das lässt sich tatsächlich mit technischen und organisatorischen Maßnahmen im Rahmen einer Air-Gapped-Cloud erreichen.

Es geht um ein zweites Szenario, vor dem Beobachter warnen: ein softer Kill-Switch. Ob Amazons European Sovereign Cloud, die auf Microsoft Azure-basierende Delos Cloud, Googles-Kooperationen wie S3NS in Frankreich oder eben die geplante Thales Cloud in Deutschland – technologisch hängen alle vom Maintainer des Softwarestacks der Cloudlösung ab. Der Stack ist neben den Kosten ein zentrales Kriterium der Entscheidung für oder gegen einen Anbieter.

Die Auswahl des Cloudanbieters ist keine Herzensangelegenheit, sondern eine nüchterne, rationale Abwägung entlang vorab definierter Kriterien. Eines davon ist die Business Continuity. Also die Fähigkeit, den Betrieb im Krisenfall aufrechtzuerhalten. Genau dies ist aber der Pferdefuß der US-Cloudanbieter. Das ist allen Beteiligten längst bewusst.

Erst sollten Rechenzentren und Cloudzonen geografisch in der EU liegen, dann folgen die formalen europäischen Betreibersitze sowie erhöhte Anforderungen an Mitarbeiter und Update-Reviews für Dritte. Nur eines blieb immer gleich: Die kontinuierliche Weiterentwicklung der Software, ohne die jede Cloudlösung nach wenigen Monaten bröckelt und Risse bekommt, bleibt bei den US-Unternehmen.

Präsidentenlaunen sind kein undenkbares Szenario mehr

Verfügt ein schlecht gelaunter US-Präsident eines Tages, dass diese Updates anderen nicht mehr zur Verfügung gestellt werden, dann bleiben wenige Monate, um die Daten und Cloudanwendungen auf eine lauffähige Zielinfrastruktur zu migrieren. Doch diese muss es dafür erst einmal geben – und genau das ist das Problem: ohne Ankerkunden wie eben die deutschen Nachrichtendienste mit ihren höchsten Sicherheitsanforderungen lohnt sich weder die Entwicklung noch der Betrieb einer solchen Infrastruktur. Und damit fehlt ein Ort, an den die Nachrichtendienste umziehen könnten.

Auf EU-Ebene wird derzeit am „Cloud and AI Development Act“ (CADA) geschraubt, der unter anderem die relevanten Kriterien für Souveränität festlegen soll. Deutsche Vorgaben sollen die Unabhängigkeit im gesamten öffentlichen Sektor und darüber hinaus auch bei Dienstleistern im öffentlichen Auftrag, etwa im Gesundheitsbereich, sicherstellen. Konzeptionell ist das ein kompliziertes Werk, das rechtlich wasserdicht zu machen ebenso.

Umso mehr muss es da verwundern, wenn ausgerechnet die Bundesrepublik mit ihren geplanten Fähigkeiten und enormen finanziellen Aufwänden in diesem Bereich auf Googles ND-Cloud-Lösung setzt. Denn das Wissen der Nachrichtendienste gehört hoffentlich zum Geheimsten, was die Bundesrepublik technisch zu bieten hat.

Kanzler-TÜV gegen Expertenmeinungen

„Sie ist für uns sicher“, sagt der Kanzler, als ob er das tatsächlich beurteilen könne. Die deutschen Nachrichtendienste würden das hinbekommen. Selbst wenn er damit gemeint haben sollte, dass diese sich nach der Nachrichtendienstrecht-Reform unter solchen Umständen legal in Googles Cloud-Entwicklung einhacken und den Update-Code für die Betriebsfähigkeit von dort stehlen dürften, dürfte das frommes Wunschdenken sein: das wird nicht passieren.

Merz hat mit seinen Einschätzungen allen Bemühungen um mehr digitale Souveränität einen Bärendienst erwiesen. Denn genau dann, wenn es zum Schwur kommt, ist diese dann eben doch nur zweitranging. Das werden sich alle merken, die mit ihm noch vor Wochenfrist beim Investitionsgipfel noch Milliardenbeträge zugesagt haben – damit Deutschland vorankommt und dabei Europa souveräner wird. Das ist tatsächlich sicher – und viel sicherer als eine Google-Cloud jemals sein wird.