„Kein Jammern auf hohem Niveau“

ITD: Herr Schuster, welche Rolle spielt Cloud Computing in der öffentlichen Verwaltung von Bund, Ländern und Kommunen?
Schuster: Leider eine immer noch zu geringe Rolle. Experten ist schon lange klar, dass wir in Deutschland mit der Digitalisierung der Verwaltung zu langsam vorankommen. Spätestens seit der Corona-Pandemie ist dies aber auch der breiten Bevölkerung bewusst. Dass die Beschwerden über geringe Fortschritte kein Jammern auf hohem Niveau sind, sondern berechtigte Forderungen, zeigt ein Blick auf den IMD Digital Competitiveness Index. Im internationalen Vergleich rutscht die Bundesrepublik seit Jahren weiter nach hinten und landet aktuell nur noch auf Platz 19. Cloud-Lösungen würden da sicherlich bei der Aufholjagd helfen, aber natürlich müssen sie den hohen Anforderungen an Datenschutz genügen. Inzwischen ist das mit Confidential Computing möglich. Diese Software-Lösung hat ein grundlegendes Sicherheitsproblem der Cloud geschlossen. Während es bisher nur möglich war, sensible Daten bei der Übertragung und beim Speichern zu verschlüsseln, können diese jetzt auch während der Verarbeitung verschlüsselt werden.

ITD: Wie weit ist die Umsetzung der Deutschen Verwaltungscloud-Strategie (DVS) vorangeschritten?
Schuster: Der Bund arbeitet mit den Ländern und Kommunen seit Jahren an dieser Lösung. Bisher sind viele Strategien erarbeitet und Konzeptpapiere veröffentlicht worden. Mir fällt dabei auf, wie lange diese Planungsphase gedauert hat. Klar, es gibt durch die föderalistische Struktur Deutschlands eine Vielzahl an Akteuren mit einzubinden, aber die aktuelle Lösung rechtfertigt meiner Meinung nach diesen Aufwand nicht. Ich finde, hinter der Verwaltungscloud-Strategie steckt ein falsches Verständnis von digitaler Souveränität. Was nützt es, wenn ich als Staat den Bau von dedizierten Datencentern in Deutschland plane und diese dann künftig mit amerikanischer Software betreibe? Das ist teuer, langsam und bietet in der Praxis nur einen sehr eingeschränkten Sicherheitsgewinn.

ITD: Was sind häufige Bremsklötze bei der Umsetzung von Cloud-Strategien?
Schuster: Da sind einerseits große Datenschutz- und Sicherheitsbedenken und andererseits eine Vielzahl von Software-Lösungen, deren Qualität aber nicht auf den ersten Blick zu erkennen ist. Das kann die Auswahl der richtigen Anbieter und Partner für die Umsetzung sehr komplex machen. Hinzu kommen mangelnde Fachkenntnisse. Insbesondere in der Verwaltung ist es gar nicht so leicht, qualifiziertes Personal zu finden, das mit Cloud-Technologien vertraut ist. Es wurde an dieser Stelle lange versäumt, in Schulungen und Weiterbildungsmaßnahmen zu investieren, das macht sich jetzt bemerkbar.

ITD: Wie kann die Cloud wirklich sicher gemacht werden und welche Rolle spielt dabei z.B. Confidential Computing?
Schuster: Confidential Computing schließt die Sicherheitslücke der Cloud und macht sie zum Ort für sensible und schützenswerte Daten. Aufgrund der neuartigen Laufzeitverschlüsselung können die Daten zu keinem Zeitpunkt im Klartext ausgelesen werden, was sie vor dem unberechtigten Zugriff von Mitarbeitern des Cloud-Anbieters, fremden Behörden, Regierungen oder Hackern schützt. Bestätigt wird das durch ein vom Prozessor ausgestelltes und nicht manipulierbares Zertifikat. So ist jederzeit nachvollziehbar, was mit den Daten gemacht wurde und dass sie zu keinem Zeitpunkt entschlüsselt worden sind. Mit diesem Prinzip ist es jetzt auch möglich, dass Unternehmen, sogar Staaten, sensible Daten ohne Sicherheitsrisiko bei den gängigen Cloud-Anbietern wie AWS, Azure und Google speichern. Für die Installation sind weder große Investitionen, noch Ressourcen notwendig. Es gibt bereits Lösungen auf dem Markt, die nach dem Plug-and-Play- sowie nach dem Lift-and-Shift-Prinzip funktionieren. Das bedeutet, dass es einerseits einfach ist, die Software-Lösung einzusetzen, und dass es zusätzlich leicht gelingt, Daten von der unsicheren in die sichere Umgebung umzuziehen. Es ist also mit eher geringem Aufwand möglich, den höchsten Schutz für sensible Daten zu etablieren. Das wäre die moderne und effizientere Alternative zur deutschen Verwaltungscloud-Strategie.

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2023. Bestellen Sie ein kostenfreies Probe-Abo.

ITD: Welche konkreten Anwendungsmöglichkeiten bietet Confidential Computing?
Schuster: Neben der Digitalisierung der Verwaltung, kommt genauso die Digitalisierung des Gesundheitswesens schneller mit Confidential Computing voran. Die Software-Lösung sichert beispielsweise die Daten der elektronischen Patientenakte, die künftig in Deutschland für alle Bürger eingerichtet werden soll. Aber neben personenbezogenen Daten kann Confidential Computing auch geistiges Eigentum schützen, was in Wirtschaft, Forschung und Entwicklung eine große Rolle spielt. Die Verschlüsselungstechnik ermöglicht es, Forschungsdaten in der Cloud ohne Sicherheitsrisiko zu nutzen oder Daten aus vernetzten Geräten zu verarbeiten. Außerdem kommt die Software-Lösung in der Finanzbranche, beim Berechnen von Modellen oder beim Sichern von Transaktionsdaten in der Cloud zum Einsatz. Ich denke, dass wir in ein paar Jahren sehen werden, dass Confidential Computing zum Standard geworden ist. Vergleichen kann man das mit der Einführung der Transport Layer Security (TLS). Zunächst führten Banken das Protokoll ein und verhinderten so, dass die Daten ihrer Kunden ausspioniert oder manipuliert werden konnten. Innerhalb weniger Jahre zogen fast alle Unternehmen nach. Inzwischen gibt es fast keine Website mehr, die ohne TLS auskommt. Nutzt man es nicht, wirkt das unprofessionell und fahrlässig. So wird sich auch der Einsatz von Confidential Computing entwickeln.

Bildquelle: Edgeless Systems