US-Abhängigkeit in der IT-Sicherheit Geopolitische Abhängigkeit bedroht Europas Cybersicherheit

Anbieter zum Thema

InfoGuard AG

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Große US-Anbieter dominieren die IT-Sicherheit in Europa, und geo­po­li­ti­sche Verwerfungen machen diese Abhängigkeit zum handfesten Risiko. Di­gi­ta­le Souveränität ist kein Wunschdenken, aber der Weg dorthin braucht Strategie, klare Prioritäten und einen langen Atem.

„Donald Trump ist unser Kunde des Monats“. Das sagen europäische Cloud-Anbieter mittler­weile seit vielen Monaten. Die US-Außenpolitik hat spätestens seit der zweiten Amtszeit des Präsidenten zu einem erhöhten Bewusstsein für die Bedeutung digitaler Souveränität geführt. Als Konsequenzen sehen wir einen verstärkten Push zu Cloud-Lösungen aus Europa sowie den Aufbau eines Deutschland- bzw. EuroStacks.

Derzeit bieten US-Anbieter in einiger Hinsicht noch unvergleichbare Vorteile: bestehende globale Infrastrukturen, enorme Investitionssummen und integrierte Ökosysteme, die sich als Standard etabliert haben, wie etwa Microsoft-Produkte. Dadurch sind diese tief in die IT-Systeme von Unternehmen, öffentlichen Verwaltungen und Privatanwendern verwurzelt. Europas Herausforderung liegt hier neben dem Rechtsraum also vor allem in der Marktstruktur.

Das wirkt sich auch auf die Cyber Security aus – doch nun hat die EU-Kommission eine Zäsur für den europäischen IT-Markt eingeleitet. Ihr Entwurf für den Cyber Security Act 2 soll eine rechtliche Grundlage schaffen, um geopolitischer Erpressbarkeit entgegenzuwirken. Angesichts der aktuellen Umstände stellt sich allerdings die Frage: Wie realistisch ist das Erreichen einer Security-Souveränität in Europa und welche Auswirkungen ergeben sich daraus für Unternehmen und Sicherheitsanbieter?

Security-Insider Podcast – Folge 113

Digital souverän, aber ohne den Hype!

Was Souveränität für Cyber Security-Anbieter bedeutet

Um ein häufiges Missverständnis zu klären: Souveränität bedeutet, jederzeit Kontrolle über seine eigenen Daten zu haben und zu wissen, wo diese liegen und wer Zugriff darauf hat. Häufig verwenden Diskutanten den Begriff fälschlicherweise synonym mit Autarkie, also der vollständigen Unabhängigkeit. Diese ist jedoch, über die gesamte Lieferkette von Rohstoffen bis Dienstleistung gedacht, schlicht illusorisch. Die wichtigen Rohstoffe für IT-Komponenten kommen etwa nur an bestimmten Orten dieser Welt vor, die Produktion bestimmter Komponenten ist vielerorts entweder unwirtschaftlich oder die entsprechende Expertise fehlt. Insofern ist es wichtig, die Abhängigkeiten dort zu reduzieren, wo es besonders darauf ankommt.

Spezifisch regelt etwa der 2018 eingeführte US „Cloud Act“ den Zugriff von US-Behörden auf Daten, die bei US-Unternehmen gespeichert sind. Er berechtigt sie auch dann dazu, diese Daten einzufordern, wenn sich der Speicherort außerhalb der USA befindet. Das Gesetz steht also klar im Konflikt zum Beispiel mit der DSGVO. Grundsätzlich ist bei internationalen Konzernen teilweise intern unklar, die Rechtsprechung welches Landes im Einzelfall anzuwenden ist. Da Cyber Security-Anbieter allerdings sauber und compliant arbeiten müssen, gilt es für sie, solche Fragen frühzeitig zu klären.

Wie uns fehlende Digitalsouveränität erpressbar macht

Warum digitale Souveränität jeden von uns angeht

Wo steht Deutschland in Sachen Cyber Security-Souveränität?

Gegenwärtig bestehen noch recht eingeschränkte Optionen für europäische und deutsche Unternehmen, um außereuropäische Technologie zu vermeiden. Sowohl die IT-Security-Hardware und -Software als auch ein Großteil des Security-Unterbaus stammen primär aus den USA, aus China oder aus Israel. Dazu kommen die von den USA aus betriebenen Datenbanken für Schwachstellen-Klassifizierung und Bedrohungsinformationen wie die CVE-Datenbank (Common Vulnerabilities and Exposures), die Unternehmen und Cyber Security-Anbieter als Quasi-Standard verwenden. Mittlerweile gibt es allerdings mit der EUVD eine auf die europäische Rechtslage zugeschnittene Alternative.

Dennoch könnte ein geopolitisch unberechenbarer US-Präsident Europas Abhängigkeit gezielt nutzen, um eigene Interessen durchzusetzen. Sich kurzfristig daraus zu lösen, ist eher unrealistisch, glaubt auch BSI-Präsidentin Claudia Plattner. Insofern zählt angesichts der volatilen geopolitischen Lage aktuell jeder Schritt in diese Richtung. Doch wie kann so eine Lösung aussehen?

Streit um Digitale Souveränität

Schlagabtausch zwischen BSI-Chefin und Open Source Community

Kernaspekte einer souveränen Security-Lösung

Um eine souveräne Security-Lösung aufzubauen, gilt es, strategische und technische Aspekte zu berücksichtigen. Statt auf punktuelle Security-Anwendungen zu setzen, sollten Unter­neh­men daher einen sorgsam ausgearbeiteten Plan entwickeln, der eine tragfähige Gesamtbetrachtung der IT-Sicherheit abbildet.

Die strategische Betrachtung muss dabei folgendes berücksichtigen:

• Rechtsraum: Die Security-Anbieter müssen vollständig unter die Gerichtsbarkeit im EU-/EWR-Raum fallen, sodass ausschließlich europäisches Recht gültig ist. Muttergesellschaften außerhalb der EU können durch extraterritorial wirkende Gesetze wie den US CLOUD Act ein Souveränitätsrisiko darstellen, selbst bei physischer Speicherung der Daten innerhalb Europas.

• Datenverantwortung: Klare Regelungen zur Datenverantwortung sind entscheidend. Hierzu gehört etwa ein Ausschluss von Datenverarbeitung durch Dritte in außereuropäischen Staaten. Im Hinblick auf Due Diligence sind außerdem kritische Zulieferer offenzulegen und die geopolitischen Abhängigkeiten zu bewerten.

• Compliance: Die Security-Anbieter müssen nachweisen können, dass sie den Vorgaben relevanter Rahmenwerke wie NIS2, BSI IT-Grundschutz und ISO 27001 / ISO 27701 entsprechen und DSGVO-konform agieren.

• Auditierbarkeit: Security-Anbieter müssen nachweisbare Transparenz über ihre Logging-Prozesse bieten und ihre Security-Prozesse lückenlos dokumentieren. Entscheidend ist zudem die forensische Nachvollziehbarkeit von Sicherheitsvorfällen, um im Ernstfall schnell und fundiert reagieren zu können.

• Herstellerunabhängigkeit: Um einen Vendor Lock-In zu vermeiden, sollten Anbieter auf offene Schnittstellen und standardisierte Datenformate setzen. Unternehmen benötigen außerdem eine klare Exit-Strategie, die Migrationen zu anderen Lösungen jederzeit und ohne Datenverlust oder langwierige Übergangsphasen ermöglicht.

• Systemintegration: Die nahtlose Integration in bestehende Security-Landschaften ist unverzichtbar. Security-Lösungen müssen sich problemlos in vorhandene SIEM-, XDR- und EDR-Systeme einbinden lassen, um einen ganzheitlichen Schutz zu gewährleisten und Medienbrüche zu vermeiden.

Medien-Stammtisch von Myra

Der Wunsch nach Souveränität endet oft bei der eigenen IT

Von technischer Seite her sollte dabei primär folgendes im Blickpunkt stehen:

• Architektur und Betriebsmodell: Die Unternehmen müssen klar definieren, welche Betriebsmodelle sie wählen – On-Premise, Private Cloud, Sovereign Cloud oder hybride Ansätze – und prüfen, welche Anbieter hier besonders geeignet sind.

• Datenspeicherung: Die physische Speicherung sämtlicher Daten muss ausschließlich im EU-Raum erfolgen. Nur so lässt sich sicherstellen, dass sensible Informationen nicht dem Zugriff außereuropäischer Behörden oder Gesetzgebungen unterliegen und die digitale Souveränität gewahrt bleibt.

• Security-Architektur: Moderne Security-Lösungen müssen auf Zero-Trust-Architekturprinzipien basieren und Konzepte wie Microsegmentierung sowie Least Privilege konsequent umsetzen. Eine Ende-zu-Ende-Verschlüsselung ist dabei unverzichtbar, um Daten durchgängig vor unbefugtem Zugriff zu schützen.

• SOC-Integration: Die nahtlose Integration der eigenen Systeme in ein Security Operations Center (SOC) ist essenziell. Dazu gehört die Kompatibilität mit SIEM-, SOAR-, EDR/XDR- und NDR-Systemen. Zudem stellen die Detection-Fähigkeiten der Anbieter ein wichtiges Entscheidungskriterium dar.

• Threat Intelligence: Ebenfalls ein Kernkriterium ist die Möglichkeit, MITRE ATT&CK Mapping und Threat Intelligence Feeds aus EU-basierten Quellen zu unterstützen, um aktuelle Bedrohungslagen präzise einordnen zu können.

• Sicherheitsprüfungen: Anbieter sollten, wo relevant, Code-Audits ermöglichen und regelmäßige Penetrationstests sowie Red Team Assessments durchführen.

• Transparenz: Dokumentierte Incident-Response-Prozesse und transparente, engmaschige Patch-Management-Zyklen schaffen zusätzliches Vertrauen und ermöglichen eine vorausschauende Sicherheitsstrategie.

Souveränitäts-Washing?

Ein kritischer Blick auf die Partner­schaft zwischen BSI und AWS

Der lange Weg zu Souveränität

Bis eine echte souveräne europäische Security-Lösung existiert, werden wir noch einen langen Atem benötigen. Doch dieser Prozess bietet eine Chance – sowohl für Security-Anbieter als auch Unternehmen in Europa. Denn statt Souveränität als Abschottung gegenüber dem außer­euro­päischen Wettbewerb zu verstehen, können sie die Möglichkeit der Diversifizierung mit in den Fokus nehmen. So können Security-Anbieter und Unternehmen selbstbestimmt ein euro­päisches Cyber-Ökosystem stärken, statt sich über Abhängigkeiten und Machtlosigkeit gegenüber den großen Akteuren aus den USA zu beklagen.

Über den Autor: Daniel Heinzig ist CEO der InfoGuard Deutschland GmbH und Experte für Cyber Defence, Incident Response und Managed Security. Er unterstützt Unternehmen dabei, ihre Cyberresilienz nachhaltig zu stärken – von der Entwicklung belastbarer Sicherheits­strate­gien über den Aufbau moderner Security-Architekturen bis hin zur operativen Reaktion auf Cyberangriffe. Sein Fokus liegt auf der Verbindung strategischer Sicherheitsplanung mit praxisnaher Cyberabwehr.

(ID:50867192)