Im vergangenen Jahr haben wir häufig in der Zeitung gelesen, dass wir uns in Deutschland um die „Digitale Souveränität“ oder „Technologische Souveränität“ kümmern müssen. Auch beim Digitalgipfel am 29.10. haben Bundeskanzlerin Angela Merkel (CDU) wie auch Bundeswirtschaftsminister Peter Altmaier (CDU) hervorgehoben, dass wir bei digitalen Plattformen auch die digitale Souveränität Deutschlands im Blick behalten müssen.
Worum geht es im Kern? Wir müssen unseren digitalen Infrastrukturen und Diensten vertrauen können. Und zwar nicht blind vertrauen, sondern wir müssen nachvollziehen und kontrollieren können, warum Systeme wie arbeiten und entscheiden.
Souveränität verlangt keine Autarkie. Denn gerade in einer digital und global vernetzten Welt gibt es keine Autarkie. Umgekehrt fehlt es an Souveränität, wenn man fremdbestimmt ist. Kurzum bedeutet souverän zu sein, dass man selbstbestimmt handeln und entscheiden kann, ohne dabei ausschließlich auf eigene Ressourcen zurückgreifen zu müssen. Was das konkret für die öffentliche Hand bedeutet, möchte ich mit einigen Fragen verdeutlichen.
Können wir die Cloud souverän nutzen?
Die Nutzung von Infrastrukturen, Diensten und Entwicklungsplattformen über das Internet bietet erst einmal eine ganze Reihe von greifbaren Vorteilen, wie extreme Skalierbarkeit, höhere organisatorische Flexibilität, geringerer IT-Administrationsaufwand, geringere Investitionen in Hardware, bessere Planbarkeit und nicht zuletzt auch höhere Sicherheit, da die meisten der Bedrohungen durch Viren oder Ransomware bei Cloud kaum oder keinen Schaden anrichten können.
Aber Kritiker befürchten, dass sich Unternehmen, Behörden und auch private Nutzer zu abhängig machen und im schlimmsten Fall die Kontrolle über die Daten verlieren und Anforderungen des Datenschutzes nicht einhalten können, sobald diese in der Cloud gehostet werden.
Viele fordern daher Standards und Zertifikate für Cloud. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat strenge Regeln aufgestellt, die festlegen, welche Anforderungen die Cloud-Anbieter erfüllen müssen beziehungsweise auf welche Anforderungen der Cloud-Anbieter mindestens verpflichtet werden sollte. Mit dem sogenannten Cloud Computing Compliance Controls Catalogue – oder kurz C5 haben wir hier eine gute Basis: Stenge Regeln stellen sicher, dass vertrauliche Daten vertraulich sind und insbesondere auch bei der Verarbeitung von personenbezogenen Daten die Regeln der Datenschutzgrundverordnung eingehalten werden. Das ist eine solide Ausgangslage für eine souveräne, selbstbestimmte Nutzung von Cloud-Diensten.
Manche Kritiker sagen, dass Daten – auch sensible Unternehmensdaten oder persönliche Daten der Bürger schutzlos und im Klartext vorliegen. Das ist nicht der Fall, es bestehen viele und gute Konzepte, um Daten auch in Public Clouds wirksam zu schützen: Etwa durch clientseitige Ende-zu-Ende-Verschlüsselung, durch die Fragmentierung und Verteilung der Daten auf mehreren Cloud-Speichern (RAID-Konzept) und ein striktes Rollen und -Rechtemanagement lässt sich durchaus sicherstellen, dass jeder nur die Daten lesen und bearbeiten kann, die er auch lesen und bearbeiten darf.
Muss der Staat seine Software selbst entwickeln?
Der klare globale Trend ist Standardsoftware. Auch in der öffentlichen Verwaltung. Jedenfalls für die allermeisten Aufgaben. Es mag immer spezielle Aufgaben geben, die eine Eigenentwicklung im Ausnahmefall erfordern, vielleicht auch weil sich keine Unternehmen finden, die sinnvolle Lösungen anbieten. Aber da, wo Unternehmen im Wettbewerb, zumeist im globalen Wettbewerb Lösungen anbieten, muss man sich schon genau fragen, ob man nicht das Rad neu erfindet, wenn man selbst Software entwickelt. Und selbstverständlich muss immer die Wirtschaftlichkeit im Fokus bleiben, denn immerhin werden Steuergelder eingesetzt.
Nikolaus Hagl ist Senior Vice President und Leiter des Geschäftsbereichs Public Services & Healthcare bei SAP Deutschland. Den ersten Teil mit einem Beitrag von Johann Bizer vom öffentlichen IT-Dienstleister Dataport lesen Sie hier.
