Die deutschen Nachrichtendienste stehen vor einem grundlegenden Wandel. Der Bundesnachrichtendienst (BND), das Bundesamt für Verfassungsschutz (BfV) und der Militärische Abschirmdienst (MAD) wollen ihre bisher strikt getrennten und schwerfälligen IT-Systeme durch eine gemeinsame Plattform, die sogenannte ND-Cloud, ersetzen. Das erklärte Ziel besteht darin, den Austausch von Informationen bis zur höchsten Geheimhaltungsstufe „Geheim“ zu beschleunigen und die Zusammenarbeit der Behörden zu verbessern.
Doch die technische Grundlage dieses Prestigeprojekts wirft Fragen auf, die weit über den operativen Nutzen hinausgehen. Denn laut übereinstimmender Medienberichte soll die ND-Cloud maßgeblich auf Technologie des US-amerikanischen Konzerns Google basieren.
Konkret ist die Rede von der „Google Distributed Cloud“ in einer sogenannten „Air-Gapped“-Variante. Diese Architektur ist darauf ausgelegt, vollständig vom Internet und von den Servern des Herstellers isoliert zu sein. Die Daten sollen ausschließlich in Deutschland liegen und Google soll keinen Zugriff auf die gespeicherten Informationen haben. Auf den ersten Blick scheint dies ein hohes Maß an Sicherheit zu gewährleisten.
Ein milliardenschweres Projekt mit Verzögerungen
Die Dimensionen des Vorhabens sind enorm. Insider schätzen die Kosten für den Aufbau und Betrieb der ND-Cloud auf mindestens 500 Millionen Euro. Ursprünglich war die Inbetriebnahme für das erste Quartal 2027 geplant. Doch dieser Zeitplan ist ins Wanken geraten. Mehrere Komponenten des Systems befinden sich derzeit noch im Zulassungsverfahren durch das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Erst nach einer positiven Bewertung durch die Behörde sollen die Haushaltsmittel für das Projekt freigegeben werden. Offensichtlich will der Bund sicherstellen, dass die hochsensible Infrastruktur den strengen Sicherheitsauflagen für Verschlusssachen genügt.
Die Souveränitätsfrage: Ein Widerspruch in sich?
Die Entscheidung für einen US-amerikanischen Anbieter steht in einem bemerkenswerten Kontrast zur aktuellen politischen Großwetterlage. In Berlin und Brüssel wird seit geraumer Zeit intensiv über digitale Souveränität und die Reduzierung der Abhängigkeit von US-Tech-Konzernen diskutiert. Gerade für Sicherheitsbehörden, die den Staat vor Bedrohungen schützen sollen, wäre die Nutzung von Software aus einem Drittstaat ein fatales Signal.
Kritiker sehen in dem Vorhaben denn auch weniger eine souveräne Lösung als vielmehr eine Verlagerung der Abhängigkeit. Der Sicherheitsexperte Sven Herpig von der Denkfabrik Interface weist auf einen entscheidenden Punkt hin: Selbst bei einer vollständig abgeschotteten Cloud kämen die Software-Updates weiterhin von Google. Die zentrale Frage sei, ob die Betreiber in Deutschland überhaupt beurteilen könnten, welche Auswirkungen ein Update auf die Sicherheit und Funktionsweise des Systems habe. Zudem sei völlig unklar, ab welcher Größenordnung ein Update eine erneute Prüfung und Zulassung durch das BSI erforderlich mache. Im schlimmsten Fall könne eine solche Cloud ohne die Hilfe des Herstellers nur für einige Monate bis maximal ein Jahr weiterbetrieben werden, so Branchenkenner.
Dieser Aspekt wiegt schwer, denn die Abhängigkeit beschränkt sich nicht nur auf die Software. Der Aufbau und Betrieb der notwendigen Rechenzentren könnte über die BWI, das IT-Systemhaus der Bundeswehr, erfolgen. Die BWI hat bereits im Vorfeld eine Partnerschaft mit Google Cloud geschlossen, um eine „Google Cloud Air-Gapped“-Lösung für die Bundeswehr zu beschaffen. Die personellen und infrastrukturellen Verflechtungen mit dem US-Konzern sind also bereits vorhanden.
Ein Dämpfer für die europäische Cloud-Branche
Die Vergabe an Google sendet zudem ein verheerendes Signal an die europäische und insbesondere die deutsche Cloud-Branche. Viele Anbieter hatten gehofft, dass gerade der hochsensible Sicherheitssektor als „Ankerkunde“ fungieren würde, um in eine souveräne Infrastruktur zu investieren und diese marktfähig zu machen. Die Entscheidung zeigt jedoch, dass selbst für die sensibelsten Daten des Staates offenbar keine europäische Alternative infrage kommt – zumindest nicht zu den Konditionen und mit dem Funktionsumfang, den man sich von Google verspricht.
Dabei gibt es durchaus Bestrebungen, Alternativen zu etablieren. So hat das Zentrum für Digitale Souveränität der öffentlichen Verwaltung (Zendis) mit „Opendesk“ eine Kollaborationssoftware vorgestellt, die explizit für Behörden entwickelt wurde und ebenfalls Air-Gap-fähig sein soll. Auch der verschlüsselte Messenger „Matrix” wird bereits in deutschen Behörden eingesetzt. Diese Lösungen sind in ihrer Leistungsfähigkeit den Hyperscalern noch unterlegen. Doch ohne politischen Willen, sie zu fördern und als Ankerkunden zu unterstützen, werden sie diesen Rückstand kaum aufholen können.
Fazit: Ein riskanter Balanceakt
Die ND-Cloud ist ein logistisches Mammutprojekt, das den Arbeitsalltag der deutschen Geheimdienste erheblich effizienter gestalten könnte. Doch der gewählte Weg ist ein riskanter Balanceakt zwischen technologischem Fortschritt und dem Verlust digitaler Selbstbestimmung.
Zwar schützt die physische Abschottung des Systems vor direkten Zugriffen von außen, doch die Abhängigkeit von den Software-Updates und der Produktstrategie eines US-Konzerns bleibt bestehen. Es ist widersprüchlich, wenn der Staat einerseits die europäische digitale Souveränität beschwört und sich andererseits bei der sicherheitskritischsten Infrastruktur in die Hände von Google begibt.
Die Frage ist nicht, ob die Air-Gapped-Cloud technisch sicher ist. Die Frage ist, ob man sich auf Dauer den Spielregeln eines Anbieters unterwerfen will, der den deutschen Behörden in einem Konfliktfall nicht verpflichtet wäre.
