Alarmzeichen: Deutschland demnächst im goldenen Microsoft-Käfig?
Auf dem Digital-Gipfel der Bundesregierung in Frankfurt wurde die Digitale Souveränität Deutschlands wieder einmal zur Chefsache erklärt. Doch insbesondere der Umgang mit Microsoft lässt daran zweifeln, wie ernst es der Bundesregierung und einigen Landesregierungen damit wirklich ist.
Immer mehr deutsche Behörden wollen auf die Microsoft-Cloud zurückgreifen. Damit wandern auch zunehmend sensible Bürgerdaten in die Obhut des Tech-Konzerns. Die besorgniserregende Abhängigkeit von Microsoft wird nicht nur zementiert sondern weiter ausgebaut. Der Präsidiumsarbeitskreis „Digitale Souveränität“ und der Arbeitskreis „Datenschutz und IT-Sicherheit“ der Gesellschaft für Informatik (GI) e.V. sehen darin unvertretbare Risiken für die digitale Unabhängigkeit Deutschlands und den Schutz der Daten von Bürgerinnen und Bürgern sowie von Unternehmen. Und dafür gibt es gleich eine Reihe von Gründen.
Gefährliche Abhängigkeit: Warum die Datenfalle uns alle betrifft
In einem Interview mit der BBC im Jahr 2021 beschreibt der britische Geheimdienstchef Sir Richard Moore, MI6, die Gefahren digitaler Abhängigkeiten. Der Auslandsgeheimdienstchef spricht dabei von einer „Datenfalle“: „Wenn Sie einem anderen Land erlauben, Zugang zu wirklich kritischen Daten über Ihre Gesellschaft zu erhalten, wird das mit der Zeit Ihre Souveränität aushöhlen, da Sie keine Kontrolle mehr über diese Daten haben.”
Übertragen auf Deutschland schließt sich die Datenfalle, wenn die Planungen einiger Bundesländer zur Migration in die Microsoft Cloud verwirklicht werden. Durch diese Verlagerung öffentlicher Infrastrukturen und Daten in die Cloud eines US-Unternehmens unterliegen die Daten nicht nur den heimischen, sondern auch den Rechtsvorschriften der USA.
Das liegt am US CLOUD Act. Er ermächtigt US-Behörden, ganz legitim auch auf Daten zuzugreifen, die in Rechenzentren von US-Dienstleistern außerhalb der USA gehalten werden. Dabei sind diese Dienstleister zum Stillschweigen über Zugriffe verpflichtet! Wer Daten in diesen ,Clouds’ speichert, verliert somit die Kontrolle über seine eigenen Daten. Er muss davon ausgehen, dass er damit ein hohes Risiko eingeht und unfähig wird, seine Zukunft selbständig gestalten zu können. Betriebsgeheimnisse und persönliche Daten könnten in falsche Hände geraten.
Teure Abhängigkeit: Digitale Monopole außer Kontrolle
Die aktuellen Preiserhöhungen der marktbeherrschenden Virtualisierungssoftware VMware, zeigen, wie Monopolstellungen wirtschaftlich ausgenutzt werden. Davon sind auch Bund, Länder und Kommunen erheblich betroffen. Die Nutzer beschweren sich anlässlich bis zu zwölffacher Preiserhöhungen über „Verachtung und Brutalität” von Broadcom.
Bei den Microsoft Produkten besteht ebenfalls eine extrem hohe Abhängigkeit der Bundesverwaltung, wie der Abschlussbericht der PwC-Marktanalyse “zur Reduzierung von Abhängigkeiten von einzelnen Software-Anbietern” dokumentiert, der im Auftrag des Bundesinnenministeriums erstellt wurde. Ein Zitat daraus: „Anbieter scheinen ihre Angebotsmacht zu ihrem Vorteil zu nutzen und Anforderungen ihrer Kunden, z.B. das erhöhte Bedürfnis nach Informationssicherheit im öffentlichen Sektor, nicht bzw. nur unzureichend zu adressieren. Dies kann die Digitale Souveränität der Verwaltung gefährden.“ Allein im Zeitraum von 2015 bis 2021 (sieben Jahre) haben sich die Ausgaben der Bundesverwaltung für Microsoft fast verfünffacht. In der Öffentlichen Verwaltung sind explodierende IT-Kosten zu erwarten. Die Ressorts der Bundesregierung haben in 2023 die Ausgaben für Software-Lizenzen von rund 771 Millionen Euro im Jahr 2022 auf über 1,2 Milliarden in 2023 gesteigert. Das entspricht einer Zunahme von 441 Millionen Euro beziehungsweise rund 57 Prozent.
Schutz oder Ausbeutung? Wie Big Tech-Unternehmen unsere Daten missbrauchen
In der ZDF-Dokumentation „Wie Amazon seine Konkurrenz zerstört“ wird aufgezeigt, wie z.B. Amazon systematisch vertrauliche Daten von Anbietern, die in Amazon Rechenzentren (AWS) gespeichert werden, auswertet, Kopien der Produkte herstellt und diese „Eigenprodukte“ aggressiv auf der eigenen Plattform vermarktet. Es stellt sich daher auch die Frage, inwieweit vertrauliche Daten bei Microsoft ausreichend vor Missbrauch geschützt sind. Auch Behörden speichern sensible Daten über Bürger und Unternehmen, z.B. Finanzämter.
Einen einzigartigen Einblick in den globalen Datenhandel gibt ein Dokument, das von netzpolitik.org analysiert und veröffentlicht wurde. Über Microsofts Datenmarktplatz Xandr können Werbetreibende Daten kaufen und dabei aussuchen, ob sie lieber einen Satz "Gebrechliche Senioren", "LGBTQ" oder "Moms who shop like crazy" ansprechen möchten. Es gibt auch Listen zu Einkommen, Militärangehörigkeit und psychischer Gesundheit.
Vertrauen verloren: US-Behörden alarmiert über Microsofts Sicherheitslücken in der Cloud
Vor etwas mehr als einem Jahr kam es in der Microsoft-Cloud zu einem schwerwiegenden Sicherheitsvorfall (GAU), bei dem ein gestohlener Masterkey Angreifern den Zugriff auf E-Mail-Konten und sensible Daten von Regierungsbehörden und Unternehmen ermöglichte. Die Angreifer konnten unter anderem Azure- und Outlook-Konten kompromittieren und deren Kommunikation überwachen. Microsoft hat versucht, das Ausmaß des Vorfalls herunterzuspielen. Die zentrale Gefahr liegt in der Manipulation von Daten und dem unentdeckten, langfristigen Zugriff auf kritische Systeme, wodurch dauerhaft erhebliche Sicherheitsrisiken für die betroffenen Organisationen geschaffen wurden.
Das Vertrauen der US-Behörden in Microsoft scheint durch diese Sicherheitsprobleme erschüttert zu sein. Die Cyber Security and Infrastructure Security Agency (CISA) hat die Direktive "ED 24-02: Mitigating the Significant Risk from Nation-State Compromise of Microsoft Corporate Email System" erlassen. Diese verdeutlicht, dass fremde staatliche Akteure in Microsofts E-Mail-Systeme über längere Zeit eindringen konnten. Nach wie vor ist unklar, ob die Risiken vollständig beseitigt sind.
Vergabe ohne Wettbewerb: Milliarden-Aufträge ohne EU-Ausschreibung?
Nicht zuletzt bestehen Zweifel an der Rechtkonformität der Vergabe von Aufträgen dieser Größenordnung ohne vorherige EU-weite Ausschreibung. Es ist hinreichend bekannt, dass alternativer Lösungen auf dem Markt verfügbar sind, die aus Gründen des Datenschutzes, der Datensicherheit und der Kosten vorzuziehen wären. Das Bundesland Schleswig-Holstein macht es vor. Auch Lösungen „made und hosted in Germany“, z.B. von BITMi- oder OSBA-Unternehmen, kommen infrage. Was ist mit der von der Bundesregierung geförderten Microsoft Alternative openDesk?
Forderung an die Politik: Setzt die digitale Souveränität Deutschlands über Microsofts Interessen!
Die Zukunft Deutschlands darf nicht von der Willkür ausländischer Großkonzerne abhängen. Es ist von entscheidender Bedeutung, dass wir unsere digitale Zukunft selbstständig, selbstbestimmt und sicher gestalten können. Die Digitalisierung der Verwaltung muss die Bürgerinnen und Bürger in den Mittelpunkt stellen. Sie darf nicht einem Überwachungs- und Datenkapitalismus dienen, der digitale Monopole stärkt , uns manipulieren und unsere Wirtschaft und Gesellschaft zerstören kann.
In der Digitalstrategie 2022 der Bundesregierung wurde die „Stärkung der Digitalen Souveränität“ Deutschlands zum Leitmotiv erhoben. Es ist überfällig, dass dies in die Praxis verantwortungsvoll umgesetzt und die fatale Abhängigkeit von digitalen Monopolen vermindert und nicht weiter verstärkt wird. Hierzu haben Bund und Länder Vorbildfunktion und eine besondere Verantwortung.
Über die Autoren
Prof. Dr. Harald Wehnes ist Sprecher des Präsidiumsarbeitskreises „Digitale Souveränität“, Kontakt: wehnes@informatik.uni-wuerzburg.de
Dr. Martin Weigele ist Sprecher des Arbeitskreises „Datenschutz und IT-Sicherheit“
Kontakt: info@weigele.de
