Umstrittene Cloud für den Staat: Delos will Anfang 2027 starten

Die speziell für den deutschen Staat entwickelte Cloudplattform der SAP-Tochter Delos soll Anfang 2027 starten. Im Oktober habe man „den operativen Betrieb der souveränen Cloud-Plattform vollständig in eigene Hände übernommen“, teilte das Unternehmen Anfang November mit. Der Technologielieferant Microsoft habe nun keinen Zugriff mehr auf die Plattform.

Die Delos Cloud GmbH arbeitet seit ihrer Gründung im Jahr 2022 an der Cloudplattform für die Behörden von Bund, Ländern und Kommunen. Die größte Besonderheit: Microsoft soll im Rahmen der Partnerschaft die Software und Updates liefern, die Rechenzentren gehören allerdings nicht Microsoft, sondern Delos. Als Betriebspartner ist zudem Arvato Systems an Bord. Durch diese Konstruktion sollen die Daten der Behörden rechtlich vor US-Zugriffen sicher sein.

Delos hat nach eigenen Angaben sein Informationssicherheits-Managementsystem und den Betrieb der „Delos Cloud Direct Connection“ nach ISO/IEC 27001 zertifizieren lassen. In den kommenden Monate strebe man die C5-Testierungen nach Typ 1 und Typ 2 sowie die ISO 27001-Zertifizierung auf Basis des IT-Grundschutzes des Bundesamts für Sicherheit in der Informationstechnik (BSI) an, ergänzte Delos-Cloud-CEO Nikolaus Hagl auf Rückfrage von c't.

Bezüglich der Cloud Platform Requirements des BSI laufe der Prüfprozess und man blicke „dem Ergebnis zuversichtlich entgegen“. Bei den Cloud Platform Requirements handelt es sich um Anforderungen, die das BSI speziell für Cloud-Plattformen für die Bundesverwaltung entwickelt hat.

Alle News und Debatten zum Thema Digitalisierung: Abonnieren Sie jetzt den kostenlosen c't-Newsletter D.digital.

E-Mail-Adresse

Ausführliche Informationen zum Versandverfahren und zu Ihren Widerrufsmöglichkeiten erhalten Sie in unserer Datenschutzerklärung.

Länder und Kommunen können die Cloud laut Delos nach Abschluss des C5 Typ 1-Testats und der bereits erreichten ISO/IEC 27001-Zertifizierung nutzen. Für Bundesbehörden gebe es einen zweistufigen Prozess: Wenn die IT-Sicherheitszertifizierungen einschließlich des C5 Typ 2-Testats und der IT-Grundschutz-Zertifizierung abgeschlossen sind, muss das Bundesministerium für Digitales und Staatsmodernisierung zusätzlich eine Nutzungsempfehlung für Bundesbehörden im Rahmen des gemeinsamen Prüfprojekts aussprechen.

Warnung vor Erpressbarkeit

Aus Sicht der Open-Source-Konkurrenz und weiterer Kritiker ist Delos ein Beispiel für Souveränitäts-Washing: „Bei der Delos-Cloud handelt es sich um eine Cloud, die im Kern Microsoft-Technologie beinhaltet und damit von der Lieferung von Microsoft-Updates abhängig ist“, warnt etwa der Arbeitskreis Digitale Souveränität der Gesellschaft für Informatik. Wer eine solche Cloud einsetze, mache sich erpressbar.

Gegen den Vorwurf des Souveränitäts-Washings wehrte sich wiederum Delos schon 2023 in einem ausführlichen Interview mit c’t.

Einen ausführlichen Bericht zum geplanten Delos-Start lesen Sie in der aktuellen Ausgabe von D.digital, dem Newsletter von c’t zu den Themen Digitalisierung und Digitalpolitik. Den Newsletter können Sie hier kostenlos abonnieren.