// HEISE ONLINE — INTELLIGENZA ARTIFICIALE
Google-Cloud sei „sicher“: Kanzler-TÜV gegen Expertenmeinungen
Friedrich Merz glaubt an eine Google-Cloudlösung, die souverän genug für deutsche Nachrichtendienste ist. Diese Haltung ist brandgefährlich, meint Falk Steiner.
Ziemlich genau ein Jahr ist es her, da wollte Bundeskanzler Friedrich Merz zusammen mit dem französischen Präsidenten Emmanuel Macron den Weg der europäischen Unabhängigkeit beschreiten. Insbesondere bei Künstlicher Intelligenz und Cloud sei das vonnöten, hieß es damals – zurecht. Das wackelige Verteidigungsbündnis mit den USA, die fragwürdige Verlässlichkeit der US-Dienste im Konfliktfall mit Russland, all das erfordert tatsächlich eine souveränere Aufstellung. Doch die kann nur kommen, wenn ein Staat wie Deutschland, dessen Militärausgaben bald das dreifache Frankreichs betragen werden, Alternativen selbst groß macht.
Die Frage, auf die Merz beim Digitalgipfel in Berlin antwortete: Ist es ein schlechtes Zeichen für deutsche Rechenzentrenbetreiber, wenn deutsche Nachrichtendienste für ihre Aufgaben auf die Google-Cloud zurückgreifen? Der Kanzler, dessen Kanzleramt für die Nachrichtendienstkoordination und den BND zuständig ist, sieht das nicht – weil ja auch Google in Europa investiere. „Ich habe ein hohes Vertrauen in unsere Dienste, dass die Daten, die wir dort haben, sicher und geschützt sind, auch dann, wenn zum Beispiel ein amerikanischer Anbieter eine große Cloudinfrastruktur baut“, sagte Merz. „Sie ist für uns sicher.“
Falk Steiner ist Journalist in Berlin. Er ist als Autor für heise online, Tageszeitungen, Fachnewsletter sowie Magazine tätig und berichtet unter anderem über die Digitalpolitik im Bund und der EU.
Doch da irrt der Kanzler nachhaltig. Es geht nicht um das Szenario, in dem Google den US-Diensten auf Anweisung des Präsidenten Zugriff auf deutsche Nachrichtendienstdaten geben müsste. Das lässt sich tatsächlich mit technischen und organisatorischen Maßnahmen im Rahmen einer Air-Gapped-Cloud erreichen.
Es geht um ein zweites Szenario, vor dem Beobachter warnen: ein softer Kill-Switch. Ob Amazons European Sovereign Cloud, die auf Microsoft Azure-basierende Delos Cloud, Googles-Kooperationen wie S3NS in Frankreich oder eben die geplante Thales Cloud in Deutschland – technologisch hängen alle vom Maintainer des Softwarestacks der Cloudlösung ab. Der Stack ist neben den Kosten ein zentrales Kriterium der Entscheidung für oder gegen einen Anbieter.
Die Auswahl des Cloudanbieters ist keine Herzensangelegenheit, sondern eine nüchterne, rationale Abwägung entlang vorab definierter Kriterien. Eines davon ist die Business Continuity. Also die Fähigkeit, den Betrieb im Krisenfall aufrechtzuerhalten. Genau dies ist aber der Pferdefuß der US-Cloudanbieter. Das ist allen Beteiligten längst bewusst.
Erst sollten Rechenzentren und Cloudzonen geografisch in der EU liegen, dann folgen die formalen europäischen Betreibersitze sowie erhöhte Anforderungen an Mitarbeiter und Update-Reviews für Dritte. Nur eines blieb immer gleich: Die kontinuierliche Weiterentwicklung der Software, ohne die jede Cloudlösung nach wenigen Monaten bröckelt und Risse bekommt, bleibt bei den US-Unternehmen.
Verfügt ein schlecht gelaunter US-Präsident eines Tages, dass diese Updates anderen nicht mehr zur Verfügung gestellt werden, dann bleiben wenige Monate, um die Daten und Cloudanwendungen auf eine lauffähige Zielinfrastruktur zu migrieren. Doch diese muss es dafür erst einmal geben – und genau das ist das Problem: ohne Ankerkunden wie eben die deutschen Nachrichtendienste mit ihren höchsten Sicherheitsanforderungen lohnt sich weder die Entwicklung noch der Betrieb einer solchen Infrastruktur. Und damit fehlt ein Ort, an den die Nachrichtendienste umziehen könnten.
Auf EU-Ebene wird derzeit am „Cloud and AI Development Act“ (CADA) geschraubt, der unter anderem die relevanten Kriterien für Souveränität festlegen soll. Deutsche Vorgaben sollen die Unabhängigkeit im gesamten öffentlichen Sektor und darüber hinaus auch bei Dienstleistern im öffentlichen Auftrag, etwa im Gesundheitsberei