Interview: Kann Delos die Behörden-Cloud vor Zugriffen der US-Behörden schützen?

Der deutsche Betreiber nutzt Microsoft-Software für seine Behörden-Cloud und spricht von Wahlfreiheit statt Souveränität. Sind die öffentlichen Daten sicher?

In Pocket speichern vorlesen Druckansicht 22 Kommentare lesen
Schränke eines Rechenzentrums

(Bild: SAP (Symbolbild))

Lesezeit: 9 Min.

Auch deutsche Behörden wollen Clouddienste wie Microsoft 365 nutzen, doch bislang verhindern Datenschutzregeln das in vielen Fällen. Dieses Problem soll die SAP-Tochterfirma Delos lösen: Sie baut auf Basis von Microsoft Azure und Microsoft 365 eine Cloudplattform für die Verwaltung auf.

Da Delos und SAP deutschem und europäischem Recht unterliegen, sollen US-Behörden juristisch keine Möglichkeit haben, auf Daten zuzugreifen. Auch mit technischen Mitteln will Delos Spionage verhindern. Sogar die Anforderungen an die Verarbeitung geheimer Verschlusssachen könne es erfüllen, verspricht das Unternehmen.

Aktuell läuft der Aufbau der ersten Rechenzentren, deren Standorte verrät Delos aus Sicherheitsgründen nicht. 2024 soll der Betrieb anlaufen – vorausgesetzt, das Bundesamt für Sicherheit in der Informationstechnik (BSI) gibt grünes Licht. Im Interview erklärt Delos-Chef Georges Welz, wie er die BSI-Anforderungen erfüllen will.

c’t: Herr Welz, Sie versprechen eine souveräne Cloud für die Verwaltung. Was verstehen Sie unter Souveränität?

Georges Welz: Die Definition, was souverän ist, liegt in der Hand des Souveräns, nicht in der Hand der Industrie. Wir übersetzen den Begriff aber gerne mit Wahlfreiheit. Wir wollen moderne Hyperscaler-Cloud-Technik für die Verwaltung nutzbar machen, ohne dass diese sich dabei in eine Abhängigkeit begibt. Man muss zum Beispiel ausschließen, dass jemand einen Dienst wie E-Mail oder Videokonferenz einfach abdrehen kann.

Der ehemalige Microsoft-Manager Georges Welz baut nun als CEO der Delos Cloud GmbH ein spezielles Cloud-angebot für die deutsche Verwaltung auf.

(Bild: Delos)

c’t: Falls Microsoft aus irgendeinem Grund, zum Beispiel wegen eines Handelskonfliktes, keine Updates mehr an Sie ausliefert, wäre Ihre Cloud allerdings nicht mehr sicher nutzbar. Kann da von Souveränität die Rede sein?

Welz: Da die Cloud unter unserer Kontrolle ist, kann niemand unmittelbar den Betrieb einschränken. Und falls es keine Updates mehr geben sollte, könnten wir über Monate weiterarbeiten, weil die Cloud auch autark funktioniert. Insofern bieten wir durchaus Souveränität, nämlich einen Handlungszeitraum, um zu reagieren. Man könnte sich über Monate überlegen, wie man die Daten zu einer anderen Plattform bewegt. Deswegen verfolgen Bund und Länder auch eine Multi-Cloud-Strategie. Hier können wir uns im Vergleich zu heute nur verbessern. Wenn man heute keine Updates für Microsoft-Software im eigenen Rechenzentrum bekommt, hat man auch ein Problem.

c’t: Manche Sicherheitslücken muss man binnen Tagen oder Stunden schließen. Riskieren Sie nicht eine hohe Verwundbarkeit, wenn Sie ohne Updates über Monate weiterarbeiten?

Welz: Im Grundsatz ist das richtig. Aber unsere Plattform hat keine unkontrollierte Verbindung mit dem Internet. Man kann das gesamte Umfeld, die Plattform und die angeschlossenen Behördennetze als eine Zone mit höherer Sicherheit betrachten als zum Beispiel einen öffentlichen Exchange-Server.

c’t: Welche Verbindungen wird es zwischen Ihrer Plattform und Microsoft-Servern geben?

Welz: Es gibt Verbindungen, aber keine unkontrollierten. Einwärts gibt es eine Schnittstelle, an der wir und die Behörden die Updates von Microsoft überprüfen können. Und wir müssen auch Informationen aus der Plattform herausbekommen, zum Beispiel Abrechnungsinformationen. Aber auch das ist eine Schnittstelle mit definierten Formaten. Es gibt keinen unkontrollierten Traffic. Zum Beispiel kann keine Applikation auf einen Lizenzserver oder ein Laufwerk in den USA zugreifen.

c’t: Wie läuft die Abrechnung zwischen der Verwaltung, Ihnen und Microsoft?

Welz: Wir werden so nah wie möglich am klassischen System der Public Cloud bleiben. Das heißt, wir rechnen gemäß Nutzerzahl und Nutzung mit der Verwaltung ab und zahlen eine Lizenzgebühr an Microsoft, die wiederum von der Nutzerzahl und der Nutzung abhängt. Deshalb müssen wir Nutzungsinformationen an Microsoft weitergeben, aber diese werden sehr abstrakt sein und zum Beispiel keine Namen von Nutzern enthalten. Die Daten sind auch wichtig für die Kapazitätsplanung, also für die Frage, wann wir neue Hardware installieren müssen.

c’t: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) fordert in seinen sogenannten roten Linien auch, dass kein Dritter, also auch nicht Microsoft, in der Lage sein darf, Daten aus der Cloud zu schmuggeln. Wie wollen Sie das sicherstellen, wenn die Software und Updates von Microsoft kommen?

Welz: Man muss die Updates in Testumgebungen einspielen und schauen, was dort passiert. Microsoft ist auch bereit, eine gewisse Transparenz zu erzeugen. Quellcode-Inspektion funktioniert aber nicht mehr händisch. Es bringt nichts, sich in einen Raum zu setzen und zehn Millionen Zeilen Quelltext zu lesen. Da muss man mit Tools arbeiten. Und alles, was mit Kryptoschlüsseln zu tun hat, werden wir mit der deutschen Sicherheitsindustrie machen. Wir werden dafür keine Standardtools aus den USA verwenden.

c’t: Das heißt, Microsoft wird Ihnen oder den Behörden den Quellcode der Updates bereitstellen?

Welz: Ja. Und das BSI erarbeitet zurzeit, wie man damit umgeht. Bei Verdachtsmomenten könnte man im Quellcode gezielt nachforschen. Aber wir müssen uns dabei auch auf Tools verlassen. Jeder Cloudanbieter macht ein paar Hundert Updates in der Woche. Und selbst, wenn jemand es schafft, etwas in die Cloud hereinzuschmuggeln: Dann befindet er sich in einem geschlossenen Umfeld, aus dem keine Daten herausgehen.

"Wir werden die Verfehlungen der letzten 20 Jahre nicht mit einem Fingerschnippen umkehren"

c’t: Sie sagten eingangs, dass Sie der Verwaltung auch Wahlfreiheit bieten wollen. Faktisch wären die Behörden aber lahmgelegt, wenn sie nicht mehr auf Microsoft Office zugreifen könnten.

Welz: Wir in Europa haben unsere eigene IT über Jahrzehnte abgeschmolzen und uns auf andere verlassen. Das kriegen wir jetzt nicht in fünf Minuten gelöst. Aber abgesehen von Microsoft 365 ist in unserer Cloud die Anwendungsschicht unabhängig von der Plattform. Man kann Anwendungen mithilfe von Containern zum Beispiel zu einer Plattform von Google und der Telekom transferieren, falls diese ebenfalls die BSI-Anforderungen erfüllt.

Aber ich empfehle der öffentlichen Hand auch, eine Alternative zu Microsoft Office zu schaffen. Das wird schwierig, wenn man es unter Druck und im Klein-Klein versucht, wie in München bei Limux. Man kann nicht 20 Jahre Office-Entwicklung in ein paar Jahren nachholen.

c’t: Wenn wir einmal zusammenfassen, bieten Sie keinen hundertprozentigen Schutz vor Spionage, den kann es in der IT auch gar nicht geben. Und bei der wirtschaftlichen Abhängigkeit ändert sich erst mal gar nichts. Insgesamt wirkt Ihr Slogan von der souveränen Cloud aus unserer Sicht übertrieben.

Welz: Das Besondere unserer Cloud ist, dass wir eine deutsche Betreiberfirma sind. Bei Druck von außen haben wir keinen unmittelbaren Handlungsbedarf. Und, ja, man muss Microsoft Office vorerst weiternutzen. Aber man kann parallel zum Beispiel Dataports quelloffenes Phoenix-Office auf der Plattform laufen lassen. Wir werden die Verfehlungen und die wirtschaftliche Entwicklung der letzten 20 Jahre nicht mit einem Fingerschnippen umkehren.

c’t: Die Bundesregierung hat in den vergangenen Jahren immer mehr Geld für Microsoft-Lizenzen ausgegeben. Wird es mit dem Umstieg auf Ihre Cloud günstiger oder noch teurer?

Welz: Das ist pauschal nicht zu beantworten. Im Vergleich wird die normale, öffentliche Microsoft-Cloud günstiger sein, weil die Anforderungen der Verwaltung einen erheblichen Zusatzaufwand bedeuten. Aber es gibt auch große Einsparpotenziale. Die öffentliche Hand betreibt wahrscheinlich über 150 Rechenzentren. Wenn in 100 davon Exchange läuft, und man konsolidiert das auf einer Plattform, dann spart man bei Energie, Fläche, Personal und so weiter automatisch viel ein.

c’t: Allerdings werden Sie mit Ihrer Delos-Cloud quasi ein Einhorn sein. Was schützt den Staat davor, dass Sie Monopolgewinne abschöpfen?

Welz: Ich glaube nicht, dass wir der einzige Anbieter sein werden. Wir haben dieses Projekt und die Entwicklung der roten Linien durch das BSI vor viereinhalb Jahren angestoßen. Aber andere können das auf Basis anderer Plattformen umsetzen. Und wir verstehen uns als Partner der öffentlichen Hand. Wir werden uns Mühe geben, dass wir in den Verhandlungen ein belastbares und gesundes Modell finden, das langfristig funktioniert.

c’t: Warum braucht der Bund Sie als private Betreibergesellschaft? Die staatlichen IT-Dienstleister der Behörden könnten die Plattform doch günstiger und genauso gut selbst betreiben.

Welz: Ein staatlicher Betreiber würde dem Haushaltsrecht unterliegen, das ist heute genau das Problem. Da muss man erst einmal sagen, was man braucht, dann verhandelt der Bundestag über den Haushalt, und erst dann kann man die Hardware nachrüsten. Das widerspricht komplett der Art und Weise, wie Cloud funktioniert. Dort bringen erst die Anbieter die Innovation ein, und die Kunden können sie dann je nach Bedarf nutzen.

c’t – Europas größtes IT- und Tech-Magazin

Alle 14 Tage präsentiert Ihnen Deutschlands größte IT-Redaktion aktuelle Tipps, kritische Berichte, aufwendige Tests und tiefgehende Reportagen zu IT-Sicherheit & Datenschutz, Hardware, Software- und App-Entwicklungen, Smart Home und vielem mehr. Unabhängiger Journalismus ist bei c't das A und O.

(cwo)