Digital souverän in die Cloud

Cloudangebote für Behörden sollten sowohl Sicherheit als auch digitale Souveränität bieten. Die Lösung liegt in der Kombination von Open-Source-Software und hochsicherer Kryptografie

In Behörden mit hohen Sicherheitsanforderungen war die Cloud lange tabu. Doch mit der voranschreitenden digitalen Transformation wächst auch der Druck, von den Vorteilen der Cloud zu profitieren, nämlich Flexibilität in Bezug auf Verfügbarkeit, Kosten und Leistung. Sichere Angebote gibt es mittlerweile, allerdings berührt der Gang in die Cloud in besonderem Maß die Frage der digitalen Souveränität.

Warum muss die Cloud nicht nur sicher, sondern auch souverän sein? Der Wert der digitalen Souveränität wird deutlich, wenn man sich deren Gegenteil vorstellt, nämlich digitale Abhängigkeit –zum Beispiel von einem Anbieter, der einen Wechsel zu einem anderen Anbieter erschwert, oder von einem der weltweit dominanten Akteure, bei denen mitunter Fra-

Sovereign Cloud gen zu Technologie und Datenschutz offen bleiben. Aus diesen und ähnlichen Gründen haben sich Behörden bisher von der Cloud ferngehalten.

Doch wie kann eine Cloud im Behördenumfeld mit hohen Sicherheitsanforderungen konkret aussehen? Zunächst braucht sie ein Betriebssystem „made in Germany“, das Daten hochsicher verschlüsselt und auf Open-SourceSoftware basiert. Letzteres ist wichtig, weil die zugrundeliegenden Softwarebausteine jederzeit transparent und damit nachprüfbar sein müssen.

Zudem stellt sich die Frage, wo die Daten letztlich liegen, wenn eine Auslagerung zu einem der gängigen Cloud-„Hyperscaler“ nicht in Frage kommt. Eine aufwändige, aber sichere Möglichkeit ist es, eigene Rechenzentren zu betrei- ben. Doch auch eine komplette Auslagerung lässt sich mittlerweile nachprüfbar sicher umsetzen. secunet hat in den letzten Jahren Schritt für Schritt ein eigenes, hochsicheres Cloud-Angebot aufgebaut, das diese Punkte abdeckt.

Die in einem Joint Venture von secunet und Cloud&Heat entwickelte Cloud-Plattform basiert auf hochsicherer Kryptographie und der Open-Source-Software OpenStack. Im Mai 2022 übernahm secunet zudem den Cloudund Kubernetes-Spezialisten SysEleven, der eine eigene, OpenSource-basierte Cloud-Infrastruktur mit ISO27001-zertifizierten Rechenzentrumsstandorten in Deutschland betreibt. Auch die SINA Architektur, die viele Behör- den bereits im Einsatz haben, kann im Cloud-Kontext hilfreich sein: Die SINA Workstation, der stark abgesicherte Client eines SINA Netzwerks, sorgt dann für einen sicheren Zugriff auf die Cloud. DabeileidetauchdieNutzerfreundlichkeit nicht, denn mit der SINA Workstation lässt sich ohne Sicherheitseinbußen parallel in verschiedenen Sicherheitsdomänen arbeiten. Nutzer*innen sind also beispielsweise gleichzeitig im Behördennetzwerk mit eingestuften Dokumenten, in der Cloud und im offenen Internet unterwegs. Dabei sind die Sicherheitsdomänen jederzeit gegeneinander abgeschottet.

Die Orchestrierung standardisierter Container auf Basis von Kubernetes ist einer der Kompetenzbereiche des Cloudnative-Spezialisten SysEleven, den secunet im Jahr 2022 an Bord geholt hat