Für den Aufbau der internen Cloud-Infrastruktur der Bundeswehr hat sich BWI für die Google Cloud mit Air-Gap entschieden. Zwei voneinander getrennte Instanzen sollen bis 2027 entstehen – betrieben in Bundeswehr-Rechenzentren. IT-Experten sind entsetzt und kritisieren eine digitale Abhängigkeit von den USA und stellen die Sicherheit in Frage.

Der zentrale IT-Dienstleister der Bundeswehr, BWI, schließt mit der deutschen Google-Tochtergesellschaft Google Cloud Public Sector einen Rahmenvertrag über die Bereitstellung einer »air-gapped« Cloud-Lösung. Diese speziell konzipierte Cloud-Infrastruktur soll physisch isoliert in den eigenen Rechenzentren der Bundeswehr betrieben werden und erfüllt damit zentrale Anforderungen an Informationssicherheit und Kontrolle über sensible Daten.

Ziel ist es, eine sogenannte »private Cloud der Bundeswehr« (pCloudBw) zu etablieren – mit zwei physikalisch getrennten Cloud-Instanzen für offene und geschützte Daten.

Anzeige

SAP als zentrales Einsatzszenario

Hintergrund ist die Entscheidung der Bundeswehr, bestimmte geschäftskritische Anwendungen auf der »Business Technology Platform« (BTP) von SAP SE im privaten Deployment (sicherer Betrieb im eigenen Rechenzentrum oder Netzwerk) abzubilden. Eigenen Angaben zufolge kann die BWI mit der Gesamtlösung in Kooperation mit Google Cloud und SAP eine isolierte, sichere Umgebung für die IT-Unterstützung von logistisch-administrativen Prozessen der Bundeswehr gewährleisten.

Mit der Entscheidung verfolgt die Bundeswehr ihre »Cloud-First«-Strategie weiter. Künftige Anwendungen sollen bevorzugt cloud-basiert bereitgestellt werden – jedoch unter vollständiger Kontrolle und innerhalb der eigenen Infrastruktur.

»Die Google-Plattform ist Teil unseres Multi-Cloud-Ansatzes«, sagt Frank Leidenberger, Chief Executive Officer der BWI. Mit der Vorgehensweise will die BWI einseitige Abhängigkeiten verringern und so zur digitalen Souveränität der Bundeswehr beitragen. Gleichzeitig kann so für jede operative Anforderung die wirtschaftlichste Cloud-Lösung genutzt werden. »Mit Google Cloud Air-Gapped als Teil der pCloudBw erhält die Bundeswehr eine Lösung, die sie aktiv steuern kann und damit ihre Handlungsfähigkeit ausbaut«, sagt Leidenberger.

Kritiker bemängeln: Digitale Souveränität nicht im Fokus

Gerade vor dem Hintergrund jüngster Vorfälle – etwa der Sperrung eines E-Mail-Kontos durch Microsoft beim Internationalen Strafgerichtshof – gewinnt das Thema digitale Souveränität an Brisanz. Zwar betonen Anbieter wie Microsoft oder Google regelmäßig ihre Bemühungen um mehr europäische Kontrolle, doch im Zweifelsfall bleibt die Souveränität bei außereuropäischen Cloud-Lösungen eingeschränkt.

IT- und Security-Experten sind gelinde gesagt entsetzt: »Haben die den Tarnlack gesoffen? – Bundeswehr vertraut kritische Daten der Google-Cloud an«, schreibt Christian Hock, Vice President Cybersecurity IT/OT bei dormakaba Deutschland, auf Linkedin. Er bemängelt, dass unsere kritische Wehr-IT nun an einem US-Hyperscaler hängt, mit unbekannter Kostentransparenz und unklarer Exit-Strategie. Auch Updates und Patches bleiben Google-abhängig, trotz Air-Gap. Hock empfiehlt eine Exit-Strategie festzulegen, einen Open-Source-Fallback kontinuierlich zu prüfen und auch die Risikobewertung offenzulegen. »Transparenz gegenüber Parlament und Öffentlichkeit schafft Vertrauen«, sagt Hock.

Auch das Air-Gap sehen Experten bestenfalls als Feigenblatt. Selbst wenn die Infrastruktur im abgeschotteten Rechenzentren läuft, ohne direkte Verbindung zur Google-Cloud, kommt jedes Feature, jeder Patch, jedes Update von Google. Laut luckycloud-Gründer und CEO Lukas Mader, liegt hier der technische Schwachpunkt: Es bestehe keine unabhängige Code-Auditierung, kein Schutz auf Firmware-, BIOS- oder Hypervisor-Ebene bzw. kein Ausschluss versteckter Remote-Zugriffe über Out-of-Band-Kanäle.

»Die gefährlichsten Zugriffspunkte bleiben unterhalb der Oberfläche, wo kein Air-Gap schützt«, moniert Mader. Solange der Code proprietär bleibe, die Infrastruktur nicht offen geprüft wird und der Schlüssel zur Plattform in US-Händen liegt, handle es sich nicht um eine souveräne Cloud, sondern ein PR-Konstrukt. »Eine `Air-Gapped Cloud´ mag operativ isoliert sein, doch wer Root-Zugriff hat, den Code kontrolliert und im Zweifel gehorchen muss, entscheidet darüber, wem die Cloud wirklich gehört«, sagt Mader.

So sieht es auch Nextcloud CEO Frank Karlitschek und schreibt auf Linkedin: »Zu diesem Zeitpunkt weitere Abhängigkeiten zu US-Hyperscalern einzugehen ist eine fatale Fehlentscheidung. Da hilft auch das ganze Marketing rund um Air-Gap nichts. Wenn man einen proprietären Software-Stack einführt der nur von einem einzigen Unternehmen gewartet und weiterentwickelt werden kann, dann begibt man sich in eine 100% Abhängigkeit, aus der man nicht mehr herauskommt. Spätestens wenn Anwendungen die entsprechenden Google Cloud APIs implementieren, ist ein Wechsel nicht mehr möglich. Da Google Cloud nicht Open-Source ist kann die Software auch nicht von der BWI oder Dritten unabhängig auditiert oder gewartet werden. Da Google als US-Unternehmen dem Cloud-Act unterliegt kann Trump jederzeit die Lieferung von Sicherheits-Updates untersagen. Was für eine dramatische Fehlentscheidung.«

Zusammenfassung:

• Die Bundeswehr beauftragt Google mit dem Aufbau einer isolierten Cloud-Infrastruktur in eigenen Rechenzentren.
• Ziel ist es, IT-Sicherheit und digitale Souveränität durch physische Kontrolle und Open-Source-Komponenten zu stärken.
• IT- und Security-Experten werten die Zusammenarbeit mit einem US-Hyperscaler als Fehlentscheidung.

Anmerkung der Redaktion:

Karl Fröhlich, speicherguide.de»Haben die den Tarnlack gesoffen?«, ist mein Lieblingsspruch dazu. Wenn es aktuell ein Hype-Thema in der IT gibt, lautet es digitale Souveränität und die Reduzierung der Abhängigkeit von US-Anbietern. Die Ankündigung der Bundeswehr auf die Google Cloud zu setzen, geht komplett in die andere Richtung. Persönlich hoffe ich, dass dies keinen Vorbildcharakter für andere Behörden und Institutionen hat.

Nun wird so eine Entscheidung nicht bei zwei Tassen Kaffee getroffen, sondern über viele, viele Monate. Als Außenstehender sagt es sich natürlich leicht, »nach den ersten Dekreten von Herrn Trump hätte man die Bremse reinhauen sollen«. Dass diese Entscheidung für Ärger und Diskussionen sorgen wird, muss den Verantwortlichen aber klar gewesen sein.

Wir freunden uns alle erst mit dem Gedanken an, dass uns die USA und nicht mehr per se freundschaftlich gesonnen ist. Die USA sind zwar unser Verbündeter und wird es vermutlich auch bleiben, trotzdem schöpft der amtierende Präsident seine Machtbefugnisse bis über die Grenzen des erlaubten aus. Daher hätte ich mir von der Bundeswehr und seinem IT-Dienstleister mehr Fingerspitzengefühl erwartet.

Diskutiert wird auch, ob unsere »Wehr-IT« dem US-Cloud-Act unterliegt, immerhin wurde der Vertrag mit einer deutschen GmbH geschlossen. So weit ich es, über öffentlich zugängliche Quellen recherchieren konnte, ist die Google Cloud Public Sector – Deutschland GmbH die ehemalige Mandiant Deutschland GmbH. Mandiant wurde im September 2022 von Google übernommen, mit Google Cloud zusammengeführt und ist bzw. war Teil der Alphabet Inc.

Die deutsche GmbH ist eine juristisch eigenständige Gesellschaft nach deutschem Recht, aber als Teil der Konzernstruktur an die strategische Vorgaben der Mutter gebunden. Ich gehe davon aus, dass sich die GmbH vermutlich im Alleinbesitz von Google LLC befindet und sich im Zweifel niemand gegen die Durchsetzung des US-Cloud-Act erwehren könnte.