„Für 500 Millionen Euro würden wir eine eigenständige Tuta Drive-Instanz auf der Infrastruktur des BND einrichten – mit quantenresistenter Verschlüsselung.“
Um vertrauliche Informationen schneller austauschen zu können, planen der Bundesnachrichtendienst (BND), das Bundesamt für Verfassungsschutz (BfV) und der Militärische Abschirmdienst (MAD) die Einrichtung eines Cloud-Systems – gemeinsam mit Google. Was bedeutet das für die digitale Souveränität?
Tagesschau berichtet, dass der Bundesnachrichtendienst (BND) 500 Millionen Euro an Google zahlen will – für das Hosting streng geheimer Informationen. Quelle.
Wir bei Tuta sind verblüfft, dies zu erfahren. Ehrlich gesagt: Für 500 Millionen Euro würden wir eine eigenständige Tuta Drive-Instanz auf der Infrastruktur des BND einrichten – mit quantenresistenter Verschlüsselung. Das hybride Verschlüsselungsprotokoll von Tuta stellt sicher, dass alle Daten Ende-zu-Ende-verschlüsselt übertragen werden, sodass keine Dritten – nicht einmal wir bei Tuta (geschweige denn Google) – Zugriff auf diese streng geheimen Informationen erhalten könnten. Zudem ist der Code Open Source und kann von jedem überprüft werden, wodurch sichergestellt wird, dass es keine Hintertüren gibt. Wenn die Behörden von digitaler Souveränität sprechen, müssen sie ihren Worten Taten folgen lassen – anstatt erneut in die Falle von Big Tech zu tappen.“
Sicherheitsbewertung: Hohes Risiko
NDR und WDR berichten, dass die Cloud auf der Google Distributed Cloud (GDC) basieren wird, genauer gesagt auf einer sogenannten „Air-Gapped“-Version. Dieses System wird separat betrieben und verfügt über keine direkte Verbindung zu Google oder dem Internet. Stattdessen sollen die Daten in Deutschland in einem separaten, besonders geschützten IT-Netzwerk gespeichert werden. Das Problem ist jedoch, wie Sven Herpig, Leiter des Bereichs Cybersicherheit & Emerging Threats bei Interface, einer unabhängigen Organisation von IT-Fachleuten und Cybersicherheitsexperten, hervorhebt: „jedes Google-Update“. Zwar wird das System bei der Einführung geprüft und ordnungsgemäß gesichert sein, doch jedes Update verändert dieses System, und diese Updates werden von Google durchgeführt. Herpig sagt: „Dies wirft wiederum die Frage auf: Wie erheblich müssen die Änderungen sein, damit eine aktualisierte Version eine Neubewertung und erneute Genehmigung erfordert?“
Unklar bleibt zudem, ob die „air-gapped“ Cloud-Infrastruktur letztendlich vor Ort von Google-Mitarbeitern gewartet und betrieben werden muss, wie dies beispielsweise bei den Palantir-Systemen in Hessen oder Bayern der Fall ist.
Die Entscheidung für Google Cloud gefährdet sensible Daten. Hinzu kommt die Frage der Unabhängigkeit: Was passiert, wenn Google beschließt (oder von der US-Regierung dazu gedrängt wird), eine versteckte Hintertür in ein Update einzubauen? Was geschieht, wenn die US-Regierung Alphabet anweist, bestimmte Daten gemäß US-CLOUD-Act, FISA oder der Executive Order 123333 herauszugeben? Wird Alphabet die Aufforderung der US-Regierung ablehnen oder deutsche Daten herausgeben?
Dieses Risiko existiert, und angesichts des Wertes der sensiblen Informationen muss es als hoch eingestuft werden.
Digitale Souveränität?
Und schließlich: Wo steht Deutschland damit beim Thema digitale Souveränität? Ist das alles von Seiten der Politik nur leeres Gerede? Anstatt das Ziel der digitalen Souveränität – zumindest im Bereich der inneren Sicherheit – konsequent umzusetzen, gerät die Bundesregierung in eine weitere Abhängigkeit und verlässt sich auf Zusicherungen vom US-Hyperscaler Google.
Jetzt ist die Zeit, europäische Alternativen zu fördern und aufzubauen, und die Behörden müssen mit gutem Beispiel vorangehen! Die Entscheidung für Google anstelle deutscher Anbieter ist die schlechteste Entscheidung, die der BND hier hätte treffen können.