Cloud Computing

Bundesinnenminister Hans-Peter Friedrich (CSU) forciert einem Bericht der Wirtschaftwoche zufolge den Aufbau einer sog. "Bundes-Cloud". Diese von einem inländischen Anbieter betriebene Cloud, die den strengen deutschen Datenschutzvorschriften gerecht werden soll, gilt als besonders sicher.

Die geplante Bundes-Cloud soll sogar den strengen Sicherheitsauflagen gerecht werden, die den Umgang mit vertraulichen Regierungsdaten und -dokumenten regeln. Dadurch dass die Daten ausschließlich in Deutschland gehostet werden, kann auch der Zugriff US-amerikanischer Sicherheitsbehörden vermieden werden. Aufgrund der Antiterrorgesetze der USA können amerikanische Cloud-Anbieter wie Amazon oder Microsoft nämlich gezwungen werden, selbst in Europa gespeicherte Daten bei Bedarf an US-Behörden auszuhändigen.

In den vergangenen Wochen hätten bereits Gespräche zwischen Vertretern der Bundesregierung, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Deutschen Telekom AG stattgefunden. Nach Ansicht von Reinhard Clemens, CEO von T-Systems, des auf Informations- und Kommunikationstechnologie spezialisierten Tochterunternehmens der Deutschen Telekom AG, könnte bereits 2012 eine "Nationale Plattform sichere Cloud" entstehen.

An der Cloud führt kein Weg vorbei

Apple iCloud, Telekom Cloud, Microsoft Cloud Services – keine Werbung kommt mehr ohne "Cloud Computing" aus. Bei dem frischen Wind aus der IT-Wirtschaft handelt es sich jedoch nicht um einen Marketinggag, sondern um eine neue Kombination von vorhandenen Technologien, Outsourcing-Konzepten und Geschäfts- und Abrechnungsmodellen.

Cloud Computing steht  für Datenverarbeitung in der Wolke. Die Wolke steht metaphorisch für das Internet als weltumspannendes Datennetz. Cloud Computing bezeichnet, nach der Definition des BSI, das dynamisch an den Bedarf angepasste Anbieten, Nutzen und Abrechnen von IT-Dienstleistungen über ein Netz. Rein praktisch können Unternehmen Rechenleistung, Speicherplatz, aber auch Anwendungen bis hin zu Serveranlagen an Cloud-Anbieter auslagern und übers Internet benutzen. Auch Verbraucher können Cloud Computing Dienste, zum Beispiel Office-Programme, die im Browser aufgerufen werden, oder Dienste zur Datenspeicherung und –synchronisation, nutzen.

Die Cloud kann in verschiedener Weise bereitgestellt werden. Die Modelle werden danach differenziert, wer sie betreibt und wer Zugriffsrechte hat. Unterschieden werden u.a. die sog. Private Cloud, die Public Cloud, die Community Cloud und die Hybrid Cloud (Verlinken auf Definitionen > Googlen). Die derzeitigen Konzepte der Bundes-Cloud entsprechen der sog. Community Cloud, bei der die Infrastruktur von mehreren Institutionen geteilt wird.

Die Bundes-Cloud wirft rechtliche Fragen auf

Nach dem Willen der IT-Dienstleister soll die Nutzung von IT durch Cloud Computing künftig so einfach werden, wie der Bezug von elektrischem Strom aus der Steckdose. Bevor diese IT-Revolution Realität werden kann, sind zahlreiche rechtliche Hürden zu bezwingen.

Für staatliche Stellen ist zunächst zu prüfen, ob die verfassungsrechtlichen und organisationsrechtlichen Rahmenbedingungen des IT-Outsourcings eingehalten werden. Das Verfassungsrecht limitiert gem. Art. 33 Abs. 4 GG die Möglichkeiten, hoheitliche Befugnisse von privaten Dritten wahrnehmen zu lassen. Bloße technische Hilfsfunktionen können allerdings von privaten Dienstleistern ausgeführt werden. Für die Zulässigkeit der Bundes-Cloud kommt es daher darauf an, dass die auslagernden Behörden stets die Entscheidungsbefugnis über die Datenverarbeitung und Weisungsrechte innehaben.

Auch eine Vermischung der grundgesetzlich getrennten Verwaltungsräume des Bundes, der Länder und der Kommunen in einer Bundes-Cloud könnte Probleme aufwerfen. Denn diese Bereiche sind organisationsrechtlich getrennt. Eine sog. Mischverwaltung, die durch eine technisch-organisatorische Verflechtung entstehen könnte, ist nur ausnahmsweise erlaubt. Eine ebenenübergreifende Kooperation, bspw. die gemeinsame Nutzung von Office-Anwendungen in der Cloud, ist aber zulässig, sofern es zu keiner Beeinträchtigung der organisatorischen Selbständigkeit, der Aufgabenerfüllung oder des Gesetzesvollzuges kommt. Die Erfüllung sonstiger Aufgaben, wie zum Beispiel die erste Beratung und Betreuung der potentiellen Leistungsempfänger, kann auch unter Verwendung einer Bundes-Cloud vorgenommen werden.

Die Auslagerung von personenbezogenen Daten in die Cloud wirft auch erhebliche datenschutzrechtliche Unsicherheiten auf. Ob mit der Bundes-Cloud eine gem. § 11 BDSG oder nach Landesdatenschutzrecht zulässige Auftragsdatenverarbeitung verwirklicht werden kann, hängt an der vertraglichen und technisch-organisatorischen Ausgestaltung. Sofern die Bundes-Cloud in Deutschland betrieben wird, bleibt zumindest die gesetzliche Problematik der Auslandsdatentransfers außer Betracht.

Entscheidende Bedeutung kommt dabei auch der IT-Sicherheit zu. Bisherige Zertifizierungskataloge sind sehr vage. Die Bundes-Cloud könnte daher ein vielversprechender Ansatz sein, neue, spezifische Anforderungen an ein angemessenes Schutzniveau in der Cloud zu definieren. Insgesamt handelt es sich somit bei der Bundes-Cloud um einen interessanten Vorstoß der Bundesregierung, die Migration in die Cloud, die angesichts der künftig weiter wachsender Datenflut unausweichlich ist, weiter zu fördern.

Die Autoren Michael Marc Maisch und Alexander Seidl sind Doktoranden und wissenschaftlicher Mitarbeiter am Lehrstuhl für Öffentliches Recht, Sicherheitsrecht und Internetrecht (Prof. Dr. Dirk Heckmann) an der Universität Passau.