Update: Wie sieht die Zusammenarbeit aus? BSI und Google wollen sichere Cloud-Lösungen entwickeln

Anbieter zum Thema

Google Cloud EMEA Ltd

Bundesamt für Sicherheit i.d.Informationstechnik

BMBF - Bundesministerium für Bildung und Forschung Pressereferat

Gesellschaft für Informatik e.V. Wissenschaftszent.

Fsas Technologies GmbH

mehr weniger

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

weniger

Um die Datensouveränität im öffentlichen Sektor zu erhöhen arbeiten das BSI und Google ab sofort zusammen. Die Kooperation umfasst die Entwicklung von quantensicherer Cloud-Lösungen sowie strategischen Austausch. Kritik erntet das BSI dafür vor allem von der Gesellschaft für Informatik.

Im Februar 2025 haben das Bundesamt für Sicherheit in der Informationstechnik (BSI) und Google Cloud eine Kooperationsvereinbarung unterzeichnet, deren Ziel es ist, die Entwicklung und Bereitstellung sicherer und souveräner Cloud-Lösungen für Behörden auf Bundes-, Landes- und Kommunalebene zu unterstützen. Doch genau den Punkt Souveränität scheint die Gesellschaft für Informatik (GI) dem BSI nicht so recht abzukaufen. Die europäischen und deutschen Bemühungen, die digitale Souveränität zu stärken, würden durch die Zusammenarbeit des BSI mit Google zunichte gemacht.

Wir haben BSI-Präsidentin Claudia Plattner gefragt, wie sich die Zusammenarbeit mit Google bisher gestaltet. Sie können das Statement hier im Player anhören oder darunter vollständig lesen:

Claudia Plattner:  Wir arbeiten mit sehr vielen verschiedenen Cloud-Unternehmen zusammen und wir haben mit allen immer wieder den Punkt, dass wir ganz klar sagen müssen, okay, das hier sind Sicherheitsanforderungen, die wir umgesetzt sehen wollen. Das betrifft manchmal rein die Sicherheit in den Rechenzentren und es betrifft aber natürlich auch die Frage, wie man mit einer Cloud zusammenarbeiten kann und wo man gegebenenfalls auch Sicherheitspunkte einziehen kann. Gerade für US-Hyperscaler ist es natürlich spannend zu sagen, wie sieht denn eigentlich ein Cloud-Betrieb hier in Europa aus, wie kann man den absichern, wie kann man hier gegebenenfalls auch aus deutscher Seite, aus europäischer Seite eine entsprechende Kontrolle ausüben, und genau das schauen wir uns zusammen an. Es betrifft immer die Daten, die rausgehen, also zum Beispiel Telemetriedaten, es betrifft aber immer auch, was kommt denn rein, zum Beispiel Updates oder Steuerbefehle. Und dann nicht zuletzt wie gut funktioniert denn eine Cloud, wenn wir sie mal sozusagen von den USA lösen. Und das sind die Fragen, die wir uns zusammen anschauen. Und da sind wir sehr konstruktiv mit sehr vielen Anbietern unterwegs. Das machen wir in der Tat nicht nur mit einem Hyperscaler sondern mit mehreren. Und hier versuchen wir Lösungen zu schaffen, die dann wiederum zu Optionen werden können, die dann die Bundesregierung, Landesregierung oder auch die deutsche Wirtschaft ziehen können.

Cloud-Strategie des BSI

So will das BSI die Cloud souverän und sicher machen

Datensouveränität und Post-Quanten-Kryptografie

Die gemeinsam entwickelten Lösungen des BSI und Google sollen speziell auf die Anforderungen des öffentlichen Sektors zugeschnitten werden, unter Einhaltung der deutschen und europäischen Datenschutzbestimmungen. Besonderer Schwerpunkt soll dabei die Gewährleistung der Datensouveränität sein. Als Basis für die Cloud-Lösungen dient das gesamte Cloud-Portfolio von Google, einschließlich der KI-Anwendungen und zugehöriger Support-Dienste.

Außerdem sollen modernste kryptografische Verfahren integriert werden, wie Google berichtet. An der Entwicklung von Post-Quanten-Kryptografie sowie dem Einsatz von Brainpool-Kurven würden die beiden Partner bereits arbeiten. Die Brainpool-Kurven beschreiben spezielle mathematische Funktionen, die in der Elliptischen-Kurven-Kryptographie (ECC) verwendet werden. Sie helfen, Daten sicher zu verschlüsseln. „Die Kooperation mit Google Cloud ermöglicht im Bereich der Post-Quanten-Kryptografie eine zukunftssichere digitale Infrastruktur, die auch kommenden technologischen Herausforderungen gewachsen ist“, sagt Thomas Caspers, Designierter Vizepräsident des BSI.

An dieser Stelle kritisieren die Arbeitskreise „Digitale Souveränität“, „Open Source Software“ und „Datenschutz und IT-Sicherheit“ der GI sowie ihre Vertreter Prof. Dr. Harald Wehnes, Prof. Dr. Julian Kunkel und Dr. Martin Weigele fehlende Transparenz. Die bisherigen Informationen seien so dürftig, dass nicht klar werde, für welche Anwedungsszenarien die untersuchten Lösungen geeignet seien sollen.

Security-Insider Podcast – Folge 96

Digitale Souveränität stärken – mit oder ohne Open Source

Statement von BSI-Präsidentin Claudia Plattner

Auf der Nationalen Konferenz IT-Sicherheitsforschung des Bundesministerium für Bildung und Forschung (BMBF) traf Security-Insider BSI-Präsidentin Claudia Plattner zum Gespräch. Wir haben sie auf die Kritik zur Kooperation mit Google angesprochen:

Nationale Konferenz IT-Sicherheitsforschung 2025

Cybersicherheit als Schutzschild für Daten und Demokratie

Kritikpunkte der Gesellschaft für Informatik

Weitere Argumente der GI, warum die Kooperation des BSI mit Google den Kriterien der digitalen Souveränität widerspreche, sind:

• Die Zusammenarbeit des BSI mit Google würde als potenzieller Booster für die digitale Abhängigkeit und Erpressbarkeit Deutschlands gegenüber den USA fungieren. Es sei unverantwortlich dass das Bundesamt somit der US-Regierung Möglichkeiten der Erpressung frei Haus liefere.

• Google sei aufgrund der Rechtslage in den USA gar nicht imstande, einen souveränen Dienst anzubieten. Denn ein souveräner Dienst müsse unter anderem die Datenintegrität sowie die Datenverfügbarkeit sicherstellen. Doch im Rahmen der Kooperation würde Google nur auf die Datensouveränität eingehen. Über die Verfügbarkeit der Daten hätte allerdings der US-Präsident die Macht.

• Das BSI würde mit der Kooperation Google eine Art „TÜV-Stempel“ erteilen, der dessen marktbeherrschende Stellung noch weiter festige. Dies bringe erhebliche Wettbewersnachteile für europäische Anbieter mit sich.

• Zu guter Letzt werfe eine Partnerschaft mit einen Unternehmen, dessen Kerngeschäft der Verkauf von Daten ist und das nicht der europäischen Gesetzgebung unterliegt, erhebliche Bedenken hinsichtlich der Unabhängigkeit und Souveränität der geplanten Cloud-Lösungen auf. Selbst wenn versichert würde, dass keine wirtschaftliche Nutzung der in Deutschland gespeicherten behördlichen und unternehmerischen Daten erfolge, bleibe eine grundlegende Abhängigkeit von Google bestehen.

In einer Pressemitteilung vom 18. März 2025 kündigte das BSI eine Kooperation mit Stackit an. Dies ist zwar der Cloud-Provider des deutschen Unternehmens Schwarz Digits, und auch eine Kooperation mit SAP sei vereinbart, doch im selben Atemzug werden auch Partnerschaften mit den US-Hyperscalern AWS und Oracle angekündigt. Grundsätzlich stuft die GI dieses neue Bündnis als Gefahr ein, sowohl für die nationale Sicherheit und Cybersecurity wie auch für die strategische Autonomie und die Handslungsfähigkeit der Bundesbehörden.

Weniger kritisch sieht Prof. Dr. Dennis-Kenji Kipker, Forschungsdirektor des Cyberintelligence Institutes (CII), die Kooperation hinsichtlich der Souveränität. Auch mit ihm hat Security-Insider im Rahmen der Nationalen Konferenz IT-Sicherheitsforschung darüber gesprochen, wie er zu der Zusammenarbeit zwischen dem BSI und Google steht. Doch auch Prof. Kipker hat Bedenken:

Strategische Partnerschaft

Ebenfalls Teil der Partnerschaft zwischen BSI und Google ist das neu eingerichtete „Kooperationsforum“. Dieses wird von BSI-Vizepräsidenten Thomas Caspers und Dr. Wieland Holfelder, Vice President Engineering & Site Lead bei Google Cloud, geleitet. Vor dort aus sollen alle Aktivitäten der Zusammenarbeit koordiniert werden sowie die systematische Sicherheitsüberwachung, Incident Response sowie die Entwicklung neuer Standards und Zertifizierungen stattfinden. Auch für den Austausch von Threat Intelligence soll dort Platz sein, um neue Bedrohungen proaktiv und schnell zu bekämpfen.

Daneben umfasst die strategische Zusammenarbeit mit dem BSI auch die regelmäßige Überprüfung auf Sicherheitslücken und die Sicherheits­dokumentation. Google verpflichtet sich zudem, das BSI proaktiv über sicherheitsrelevante Entwicklungen zu informieren, insbesondere bei Vorfällen von besonderem öffentlichen Interesse. Darüber hinaus erhält das BSI Einblicke in Googles Maßnahmen zur Lieferkettensicherheit, um den eigenen Zugriffsschutz und die Manipulationsabwehr zu verbessern.

Digitale (Un-)Souveränität

Die bittersüße Abhängigkeit von Microsofts Cloud

(ID:50346587)