Open Source und Standards gegen Anbieter-Abhängigkeit Digitale Souveränität bei IT-Sicher­heits­lösungen endlich ernst nehmen

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Unternehmen und Behörden werden oft des „Greenwashings“ und „AI-Washings“ beschuldigt, nun auch des „Souveränitäts-Washings“, indem sie digitale Souveränität und Datenschutz nur vortäuschen. Trotz Verfügbarkeit europäischer IT-Sicherheitslösungen setzen viele auf US-Anbieter, was problematisch ist. Open-Source-Technologien und europäische Standards bieten Lösungen gegen Abhängigkeit. Digitale Souveränität muss ernst genommen und praktisch umgesetzt werden.

Unternehmen und Behörden werden zurecht verstärkt des „Greenwashings“ bezichtigt, neuerdings auch des „AI-Washings“. Ähnlich wie sich manche Organisationen Nachhaltigkeit oder den Einsatz von KI auf die Fahnen schreiben, obwohl es an der Umsetzung mangelt, achten sie vorgeblich auf die Sicherheit der Daten, ihrer eigenen wie der ihrer Kunden, und streben digitale Souveränität an.

Häufig aber kann in diesen Fällen eher von „Souveränitäts-Washing“ die Rede sein, und ausgerechnet bei der Wahl von IT-Sicherheitslösungen machen sie es sich zu einfach, indem sie auf die bekannten US-Amerikanischen Anbieter setzen. Dieser Umstand ist besonders im Lichte aktueller weltpolitischer Entwicklungen alles andere als begrüßenswert. Dabei stehen für nahezu alle Anwendungsbereiche der IT-Sicherheit Lösungen zur Verfügung, die sehr wohl digitale Souveränität und die Einhaltung hiesiger Datenschutzbestimmungen wie der DSGVO gewährleisten.

Digitale Souveränität – darum geht’s

Kurz zur Erinnerung: Der Beauftrage der Bundesregierung für Informationstechnik definiert digitale Souveränität folgendermaßen: „‘Digitale Souveränität‘ beschreibt die Fähigkeiten und Möglichkeiten von Individuen und Institutionen, ihre Rolle(n) in der digitalen Welt selbstständig, selbstbestimmt und sicher ausüben zu können. Dazu muss die Verarbeitung der für die Verwaltung notwendigen Daten durch zeitgemäße funktionale und vertrauenswürdige Informationstechnik gewährleistet werden.“ Für die öffentliche Verwaltung konstatiert der Bundesbeauftragte hingegen eine „hohe Abhängigkeiten zu einzelnen Technologieanbietern. Dies birgt die Gefahr, die Kontrolle über die eigene IT zu verlieren und u. a. Informations- und Datenschutz gemäß nationalen und EU-weit gültigen Vorgaben nicht mehr gewährleisten zu können.“ Im Wesentlichen geht es also darum, Abhängigkeit von einzelnen Technologieanbietern zu verhindern und technische Maßnahmen zu treffen, die geeignet sind, die Vorschriften für Informations- und Datenschutz einzuhalten.

Informations- und Datenschutz

Technische Maßnahmen, die geeignet sind, die Vorschriften für Informations- und Datenschutz einzuhalten, müssen vor allem sicherstellen, dass persönliche Daten nicht die EU verlassen oder die Auswertung dieser Daten durch Unbefugte anderweitig verhindern. Gerade bei IT-Sicherheitslösungen können viele Anbieter das nicht gewährleisten. Betrachten wir beispielsweise die Verwaltung von Logins und digitalen Identitäten ist dies nahezu unmöglich, wenn die Identitäten im Klartext bei der im Drittland gehosteten Lösung vorliegen müssen. Dies ist ein grundsätzliches Problem für alle Cloud-Dienste, bei IT-Sicherheitslösungen allerdings ist es als besonders problematisch zu betrachten. Unternehmen und Behörden in Deutschland sollten sich daher nicht nur zur Einhaltung von Vorschriften für Informations- und Datenschutz bekennen, sondern IT-Sicherheitslösungen wählen, deren Hersteller europäischen Datenschutzrechten unterliegen, die ausschließlich in Europa gehostet werden und auch hier entwickelt wurden.

Open Source und Standards gegen Anbieter-Abhängigkeit

Die Abhängigkeit von einigen wenigen IT-Anbietern ist ein alles andere als triviales Problem. Selbst wenn ein Anbieter zu Beginn einer Partnerschaft alle technischen und regulatorischen Anforderungen erfüllt, kann sich die Lage schnell ändern, wenn sich z.B. die technischen Anforderungen des Kunden ändern oder ein neues Gesetz in Kraft tritt, das striktere Anforderungen an die Datenverarbeitung stellt. Insbesondere durch die Verwendung rein proprietärer Technologie machen es die meisten IT-Anbietern ihren Kunden nahezu unmöglich, kurz- oder auch nur mittelfristig auf einen anderen Anbieter umzusteigen.

Einen Ausweg bieten IT-Lösungen, die auf Open-Source-Technologie aufbauen und relevante Branchenstandards umsetzen, statt komplett auf proprietäre Entwicklung zu setzen. Um wieder das Beispiel der Verwaltung von Logins und digitalen Identitäten zu wählen, steht mit dem Open Source IAM Framework Keycloak eine leistungsfähige und sichere Basis zur Verfügung, die sich jedoch im Eigenbetrieb als wenig benutzerfreundlich gestaltet. Glücklicherweise gibt es kommerzielle Anbieter, die den Lock-In vermeiden, indem sie die Open Source Basis nutzen und um eine Anwenderumgebung mit benutzerfreundlicher Admin-Oberfläche und weiteren Features anreichern. Sollte es aus irgendeinem Grund zu Unzufriedenheit mit dem Anbieter kommen, kann ein Kunde einfach auf die Open Source Basis umsteigen. Open-Source-Lösungen bieten zudem den Vorteil, dass sie ein größtmögliches Maß an Sicherheit bieten, weil sie vollkommen transparent sind und Anbieter-unabhängig entwickelt und kontrolliert werden.

Digitale Souveränität ernst nehmen

Um ein englisches Sprichwort zu verwenden, wird es Zeit „to put your money where your mouth is“. Öl, Gas, Photovoltaik-Module, Hochleistungs-CPUs: Die Liste der Abhängigkeiten von unsicheren Lieferketten, die in Ländern bestenfalls zweifelhafter politischer Provenienz ihren Ursprung haben, ließe sich beinahe unendlich fortsetzen. Es ist nicht absehbar, dass sich internationale Abhängigkeiten in Zeiten vielfältiger globaler Krisen von selbst verringern, und es gilt, die Fehler der Vergangenheit zu vermeiden. Daher ist es aktuell notwendiger denn je, dass Behörden und Unternehmen Worten Taten folgen lassen und die Gewährleistung digitaler Souveränität zu einem wichtigen Auswahlkriterium gerade für IT-Sicherheitslösungen machen.

Über den Autor: Elmar Eperiesi-Beck ist bei Bare.ID Teil des Managements und dort für Vertrieb & Strategie zuständig.

(ID:50109637)