Digitale Souveränität in der Verwaltung Baden-Württemberg zweifelt an Souveränität der Delos Cloud

Anbieter zum Thema

Microsoft Deutschland GmbH

Hyland Software Germany GmbH

STACKIT GmbH & Co. KG

Yorizon GmbH & Co. KG

Das Innenministerium des Landes räumt ein, dass bei der Verwaltungscloud Delos trotz deutscher Infrastruktur Zugriffe durch Drittstaaten nicht ausgeschlossen werden können. Damit steht die viel diskutierte Lösung von SAP und Microsoft erneut im Zentrum der Souveränitätsdebatte.

Die Delos Cloud sollte als souveräne Plattform den digitalen Wandel in Bund und Ländern beschleunigen. Doch eine aktuelle Stellungnahme des Innenministeriums Baden-Württemberg zeigt: Die Lösung kann die digitale Souveränität der Verwaltung nicht vollständig garantieren.

Das Ministerium bestätigt, dass Delos zwar über eine in Deutschland betriebene und vom Bundesamt für Sicherheit in der Informationstechnik (BSI) zertifizierte Infrastruktur verfügt, die Anwendungsebene jedoch weiterhin proprietäre Microsoft-Software nutzt. Diese unterliegt den Vorgaben des US Cloud Act und damit potenziellen Zugriffen durch US-Behörden, selbst wenn die Daten physisch in Europa gespeichert werden.

Neue Cloud-Alternative

Delos Cloud: Souverän trotz Azure?

„Theoretisch können Zugriffe auf Anwendungsdaten durch Drittstaaten zumindest in einer Grauzone nicht ausgeschlossen werden“, heißt es wörtlich in der Stellungnahme an den Landtag (Drucksache 17/9179). Das Risiko bleibe bestehen, da die Kontrolle über die Software letztlich beim US-Anbieter liege.

Technische Souveränität mit jurischer Unsicherheit

Delos Cloud wurde 2022 als Tochterunternehmen von SAP gegründet, um in Zusammenarbeit mit Microsoft und Arvato Systems eine souveräne Hyperscale-Cloud für den öffentlichen Sektor aufzubauen. Die Infrastruktur soll unter deutschem Recht betrieben werden, während Microsoft die technischen Komponenten liefert. Ziel war es, die Anforderungen des BSI für Geheimschutz und Datenschutz erfüllt und gleichzeitig den Einsatz vertrauter Microsoft-Produkte ermöglicht.

Bereits im September 2024 unterzeichneten die Partner ihre finalen Verträge. Der Betrieb der Plattform soll bis Ende 2025 anlaufen, mit Azure Foundational Services im ersten und Mainstream-Services im zweiten Halbjahr. Delos positioniert sich damit als Bindeglied zwischen Public-Cloud-Diensten und souveräner Verwaltung.

Doch die rechtliche Trennung bleibt problematisch: Der CLOUD Act verpflichtet US-Unternehmen, auf Anordnung amerikanischer Behörden Daten offenzulegen und das unabhängig vom Speicherort. Auch Microsoft selbst hatte im Juni vor dem französischen Senat eingeräumt, keine vollständige Garantie gegen solche Zugriffe geben zu können. Der Fall stützt die Bedenken europäischer Datenschützer und zeigt, dass die Souveränität technischer Systeme ohne rechtliche Unabhängigkeit nicht vollständig erreicht werden kann.

Kritik aus Politik und Open-Source-Community

Bereits 2024 hatte die Open Source Business Alliance (OSB Alliance) vor einer „Aushöhlung der digitalen Souveränität“ gewarnt, sollte Delos zur zentralen Verwaltungscloud werden. Vertreter der Open-Source-Community, darunter Frank Karlitschek (Nextcloud) und Peter Wüst (Plusserver), kritisierten die enge Bindung an Microsoft und die Gefahr neuer Abhängigkeiten.

Im offenen Brief an den IT-Planungsrat wies die OSB Alliance darauf hin, dass Alternativen längst existieren, etwa die Private Cloud des ITZBund, Stackit von Schwarz IT, Ionos Sovereign Cloud oder die Open-Source-basierte Infrastruktur des Sovereign Cloud Stack. Auch das Zentrum für Digitale Souveränität (ZenDiS) arbeitet mit „openDesk“ an einer eigenen Verwaltungsplattform.

Für Baden-Württemberg spielen diese Angebote inzwischen eine Rolle: Laut Innenministerium wird „openDesk“ derzeit in einem Strategieprojekt getestet. Zudem sollen Multicloud-Fähigkeit und Nutzung offener Standards künftig Priorität haben.

Delos bleibt Bestandteil europäischer Cloud-Strategien

Trotz der Vorbehalte gilt Delos weiterhin als Schlüsselprojekt für die deutsche Verwaltungsdigitalisierung. SAP und Microsoft arbeiten an einer BSI-zertifizierten Plattform, die vertrauliche Daten deutscher Behörden verarbeiten soll. Gleichzeitig wird deutlich, dass technologische Souveränität ohne rechtliche Eigenständigkeit nur eingeschränkt möglich ist.

Baden-Württemberg hat bislang keinen konkreten Umstieg auf Delos beschlossen. Das Land prüft weiterhin alternative Cloud-Modelle und bewertet Risiken in Zusammenarbeit mit dem Landesdatenschutzbeauftragten. Etwa 51.500 Arbeitsplätze der Landesverwaltung arbeiten derzeit mit einer lokalen Microsoft-Version (Office 2024 LTSC), deren Support bis 2029 gesichert ist.

Wie US-Konzerne Europas digitale Unabhängigkeit untergraben

Souveränitäts-Washing in der Cloud

(ID:50613467)