Gaia-X-Koordinator Marco-Alexander Breit im Interview

c’t: Herr Breit, 2019 hat Ihr Chef, Wirtschaftsminister Peter Altmaier, das Cloud-Projekt Gaia-X vorgestellt. Wann rechnen Sie mit den ersten darauf ­basierenden Diensten?

Breit: Das sind betriebswirtschaftliche Entscheidungen der beteiligten Unternehmen. Wir rechnen aber für Ende dieses Jahres mit lauffähigen Prototypen in Kundenumgebungen.

c’t: Was haben Sie denn in den beiden vergangenen Jahren erreicht, abgesehen davon, dass viele Präsentationen und Studien veröffentlicht wurden?

Breit: Es ist viel passiert. Vor zwei Jahren war Gaia-X eine Idee von zwei Ministerien der Bundesregierung, zwei Monate später hatten wir eine deutsch-französische Partnerschaft, noch mal sechs Monate später einen europäischen Schulterschluss. Und noch mal neun Monate später haben wir das Projekt an die Wirtschaft übergeben, an eine belgische Stiftung, an der sich 230 Unternehmen beteiligen. Hinzu kommen hunderte weitere Firmen in nationalen Hubs. Wir sind voll im Plan, auch mit unserem Förderwettbewerb. Da hat die Ausschreibung gerade geendet und 131 Ideen wurden eingereicht.

c’t: Können Sie einen Ausblick auf konkrete Dienste geben, die Sie fördern?

Breit: Wir sichten noch die Bewerbungen, deswegen kann ich dazu nichts sagen. Ich kann aber ein paar grundsätzliche Szenarien beschreiben, die mit Gaia-X möglich werden: Anbieter können zum Beispiel Gesundheitsdaten datenschutzkonform über Krankenhäuser und sogar über Länder hinweg austauschen. Im Industrie­bereich geht es um das Verfolgen von unternehmensübergreifenden Produktionsprozessen und Wertschöpfungsketten. Es wird auch Dienste für Privatnutzer geben, zum Beispiel datenschutzkonforme, anbieterübergreifende Smart-Living-Systeme. Oder E-Government-Angebote über Kommunen und Länder hinweg.

c’t: Und was genau trägt Gaia-X zu ­solchen Diensten bei?

Breit: Das Projekt schafft die nötigen Grundlagen: offene, einheitliche Schnittstellen, die den Wechsel von einem Cloud-Anbieter zum anderen vereinfachen. Ein weiteres Teilprojekt ist ein Katalog von Cloud-Diensten mit klaren Anforderungen an Datenschutz und Transparenz. So entsteht ein Innovations-Ökosystem vieler gleichberechtigter Akteure, das nicht auf Lock-in-­Effekten beruht und nicht auf der Abhängigkeit von einzelnen Anbietern, sondern auf breiter Kooperation, Interoperabilität, Modularität und Vertrauen.

c’t: Es geht also darum, die Abhängigkeit Europas von den Cloud-Marktführern Microsoft, Amazon und Google zu verringern. Warum dürfen dann ausgerechnet diese drei bei der Entwicklung der Schnittstellen und Mindestanforderungen mitmachen?

Breit: Es macht keinen Sinn, die US-Konzerne auszuschließen. Wenn man nur Regeln für europäische Anbieter definieren würde, würde man nicht die Bedürfnisse der Kunden befriedigen, die auch international Daten verarbeiten wollen. Und man würde ein Regelsystem schaffen, an das sich alle halten – außer diejenigen, bei denen zurzeit fast alle Kunden und fast alle Daten sind. Dann fehlt der Impact. Hinzu kommt: Wer Interoperabilität schaffen will, muss standardisieren. Und wenn man standardisiert, muss das Standardisierungsgremium offen sein. Das schreiben die Regeln der WTO vor.

Übrigens sind die internationalen Mitglieder nicht in der Lage, die Geschicke von Gaia-X zu bestimmen. Sie dürfen zwar mitmachen, aber das Board of Directors der Stiftung bleibt in der Hand europä­ischer Firmen. So wird gewahrt, dass Kern und Zielrichtung europäisch bleiben. Und der Aspekt, dass nichteuropäische Unternehmen bei der Standardisierung mitmachen dürfen, heißt nicht, dass alle Dienste dieser Unternehmen Gaia-X-konform sind. Da wird sich am Ende schon die Spreu vom Weizen trennen.

c’t: Nach allem, was wir hören, werden die Mindeststandards von Gaia-X trotzdem so lax ausfallen, dass die Amerikaner durchaus entsprechende Dienste anbieten können. Verkommt das Projekt damit nicht zum Datenschutz-­Feigenblatt für Amazon, Google & Co.?

Breit: Die Antwort liegt in der goldenen Mitte. Die Anforderungen dürfen nicht so streng sein, dass sie keiner mehr erfüllen kann. Ganze Kontinente auszuschließen ergibt keinen Sinn in einer globalisierten Welt. Die Mindesthürde ist die DSGVO, die gilt auf jeden Fall. Und Gaia-X wird an vielen Stellen über die DSGVO hinaus­gehen. Deswegen mache ich mir keine Sorgen, dass es zu einem Datenschutz-­Greenwashing kommt.

c’t: Können Sie als Politik denn nun überhaupt noch Einfluss nehmen?

Breit: Wir haben noch mehrere Möglichkeiten, Einfluss zu nehmen. Durch Regulierung, durch Förderprogramme, und durch den Austausch mit der Stiftung. Wir sind in einem beratendem Gremium vertreten, in dem wir unsere Punkte einbringen. Uns ist aber wichtig, dass die Standards und die Dienste von der Wirtschaft für die Wirtschaft entwickelt werden. Deswegen haben wir darauf geachtet, dass die Staaten nicht selbst Mitglied der Stiftung werden. Es ist am Ende ein Projekt, das von der Marktwirtschaftlichkeit lebt.

c’t: Datenschützer legen die DSGVO so aus, dass man den US-Anbietern gar keine personenbezogenen Daten von EU-Bürgern anvertrauen darf, was für viele EU-Firmen ein großes Problem ist. Wie soll Gaia-X dieses Problem lösen?

Breit: Ich kann den Standards nicht vorgreifen, die werden noch von den beteiligten Unternehmen diskutiert. Aber es ist denkbar, dass Gaia-X eine technische Lösung für das politische Problem entwickelt, dass die europäische DSGVO und der amerikanische Cloud Act sich widersprechen. Zum Beispiel ein System, bei dem personenbezogene Daten bei europäischen Anbietern landen, die Maschinendaten aber gerne auch bei Anbietern aus Übersee – und die Zusammenführung dann wieder in der Hoheit eines EU-Anbieters stattfindet. Das müsste natürlich datenschutzrechtlich geprüft werden, aber aus meiner Sicht wäre eine solche Lösung besser, als sich auf vage Standardvertragsklauseln zu verlassen.

c’t Für Cloud-Projekte im Rahmen von Gaia-X vergibt Ihr Ministerium mit einem Förderwettbewerb 180 Millionen Euro. Was können Sie mit einer solchen Summe ausrichten, wenn einzelne US-Konzerne jährlich zweistellige Milliardenbeträge investieren?

Breit: Ich halte solche Vergleiche für sehr verkürzt. Wir machen nicht Amazon direkt Konkurrenz, sondern es geht um technologische Innovationen für die nächsten 20, 30 Jahre – nach europäischen Standards. Das Zweite ist: Wenn man schon vergleicht, müsste man die Ausgaben aller 230 Unternehmen berücksichtigen, die bei der Stiftung mitmachen, plus die der nationalen Hubs in Deutschland, Frankreich, Italien, den Niederlanden und weiteren Ländern – also des gesamten Gaia-X-Ökosystems. Außerdem werden die EU-Kommission und die Mitgliedsstaaten noch viel in Cloud-Technologien investieren. Unser Ziel ist, dass das Gaia-X-konform passiert.

c’t: Genau wie viele Unternehmen aus der EU nutzt auch der deutsche Staat amerikanische Cloud-Dienste. Das ­Finanzministerium verhandelt sogar mit Microsoft über den Aufbau einer Cloud-­Plattform für alle deutschen Behörden. Wäre das nicht eigentlich das perfekte Projekt für einen EU-Anbieter, der die Gaia-X-Standards erfüllt?

Breit: Zu den Verhandlungen mit Microsoft kann ich mich nicht äußern. Uns als Bundeswirtschaftsministerium ist wichtig, dass die Lösung Gaia-X berücksichtigt und nicht im Widerspruch dazu steht. Die Bundesregierung muss zeigen, dass ihr Vertrauen und Datensouveränität wichtig sind.

c’t: Das klingt, als wüsste bei der Bundesregierung die eine Hand nicht, was die andere tut. Spricht das Wirtschaftsministerium nicht mit dem Finanzministerium?

Breit: Doch, das tun wir durchaus. Wir sind da gut abgestimmt unterwegs und an vielen Stellen schon weiter als öffentlich bekannt.

c’t: Kann man aus der Geschichte lernen, dass es künftig ein Digitalministerium geben sollte, in dem alle Fäden der IT-Politik zusammenlaufen?

Breit: Das müssen die künftigen Koalitionäre entscheiden. Als Beamter kann ich sagen, dass das Bundeswirtschaftsministerium im Bereich des Digitalen sehr gut aufgestellt ist und eine große Zahl der ­entscheidenden Technologien bereits jetzt dort seine Heimat hat, zum Beispiel KI, Cloud, Mikroprozessoren und Blockchain. (cwo@ct.de)

Entwürfe der Gaia-X-Standards: ct.de/ymad