Vor Kurzem veröffentlichte die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) ein Positionspapier, in dem sie Kriterien für Souveräne Clouds definiert. Ihre Forderungen sind begrüßenswert, gehen aber nicht weit genug, bedauert Holger Dyroff, Co-Founder und COO von ownCloud.
Das Papier ist in die Kategorien Nachvollziehbarkeit, Datenhoheit, Offenheit, Vorhersehbarkeit und regelmäßige Prüfungsmöglichkeit gegliedert und listet dazu die jeweiligen Kriterien auf, wobei es zwischen Muss- und Soll-Kriterien unterscheidet.
Als Muss-Kriterien nennt es unter anderem, dass es keine Zugriffe durch Drittländer gibt, sich geltendes Recht wirksam durchsetzen lässt, die Anbieter ihren Sitz im Europäischen Wirtschaftsraum haben und auch die Datenverarbeitung dort stattfindet.
Mit diesem Positionspapier erklären unsere obersten Datenschützer die Cloud-Plattformen der großen US-amerikanischen Player praktisch für unbenutzbar: Sie alle erfüllen die Muss-Kriterien nicht. Gleichzeitig gibt die DSK damit wohl grünes Licht für die Cloud-Angebote, die SAP mit Microsoft und die Telekom mit Google planen.
Mit der „Delos Cloud“ will SAP der öffentlichen Verwaltung künftig unter anderem Microsoft 365 zur Verfügung stellen, die „T-Systems Sovereign Cloud“ soll Behörden und Unternehmen in Zukunft mit den Diensten der Google Cloud versorgen.
Das Management der Services und der Betrieb der Clouds wird dabei der Kontrolle deutscher Tochterunternehmen von SAP und T-Systems unterliegen. Sie sollen als eine Art Treuhänder sicherstellen, dass keine Daten in die USA fließen und so die Defizite der aktuellen US-Clouds beseitigen.
Das Positionspapier der DSK ist begrüßenswert. Es leistet einen wichtigen Beitrag zur Diskussion um Digitale Souveränität, die ja von der Europäischen Union und auch der Bundesregierung immer wieder als erstrebenswertes Ziel ausgegeben wird. Das Papier geht aber nicht weit genug.
Seine Muss-Kriterien gewährleisten zweifellos mehr Digitale Souveränität als mit den heutigen Public Clouds gegeben ist. Dabei handelt es sich aber lediglich um eine Souveränität mittleren Grades. Sie entspricht ziemlich genau dem Maß, das Behörden und Unternehmen bei klassischen On-Premises-Implementierungen in ihren eigenen Rechenzentren erhalten.
Für eine hohe Digitale Souveränität braucht es mehr. Sie umfasst auch die Möglichkeit zur Selbstbestimmung und dafür sind Transparenz und Unabhängigkeit erforderlich. Die Garanten dafür, nämlich Open Source und offene Standards, führt das Positionspapier der DSK aber lediglich als Soll-Kriterien auf.
Das ist bedauerlich, denn Open Source ermöglicht es Organisationen, eingesetzte Software selbst zu prüfen oder von externen Dienstleistern prüfen zu lassen und damit selbst zu entscheiden, ob sie mit ihr die datenschutzrechtlichen Vorgaben einhalten können. Und offene Standards erlauben es Organisationen, eine Software jederzeit gegen eine alternative Lösung auszutauschen, weil sie ihre Daten ohne Hindernisse dorthin übertragen können. So sieht echte Souveränität aus.