Meinungsbeitrag: Digitale Souveränität adé

Die digitale Souveränität bezeichnet die Fähigkeit eines Staates, seine digitalen Systeme, Daten und Netzwerke unter seiner Kontrolle zu halten und die digitale Zukunft selbst zu gestalten. Sie umfasst die Fähigkeit, die eigenen digitalen Ressourcen zu nutzen, zu schützen und zu kontrollieren, ohne von anderen Staaten oder Unternehmen/Organisationen abhängig zu sein. Angesichts der geopolitischen Entwicklungen der letzten Wochen muss man sagen: Digitale Souveränität war nie wichtiger als heute. Ohne digitale Souveränität hat unsere Wirtschaft und Gesellschaft keine Zukunft [1]!

Die angestrebte Kooperation zur „Entwicklung von souveränen Cloud-Lösungen für die öffentliche Verwaltung in Deutschland“ wirft sowohl erhebliche sicherheits- und wirtschaftspolitische als auch wettbewerbs- und datenschutzrechtliche Fragen auf. Die Arbeitskreise „Digitale Souveränität“, „Open Source Software“ und „Datenschutz und IT-Sicherheit“ der Gesellschaft für Informatik e.V. haben die Google-BSI-Vereinbarung einer fachlichen Analyse unterzogen und kommen zu dem Ergebnis, dass diese Zusammenarbeit den Kriterien der digitalen Souveränität widerspricht:

• Umfangreiche europäische und nationale Anstrengungen, um digitale Souveränität zu stärken, werden durch die Zusammenarbeit von Google und BSI zunichte gemacht.
  Im sensiblen Bereich der nationalen Sicherheit haben US-amerikanische Unternehmen, deren Geschäftsmodelle noch dazu auf die Erweiterung ihrer Macht und Einflussnahme auf andere Branchen (Gesundheitswesen, Finanzdienstleistungen usw.) ausgerichtet ist, nichts zu suchen.
• Die BSI-Google Zusammenarbeit ist ein potenzieller Booster für digitale Abhängigkeit und Erpressbarkeit Deutschlands von den USA. Es ist unverantwortlich, dass die US-Regierung zusätzliches Erpressungspotenzial – noch dazu von einer für IT-Sicherheit verantwortlichen deutschen Behörde – frei Haus erhält [2].
• Google ist aufgrund der Rechtslage in den USA nicht dazu in der Lage, einen souveränen Dienst in diesem Sinne anzubieten. Ein „souveräner Dienst“ muss alle Souveränitätskriterien erfüllen (Privacy, Integrität, Verfügbarkeit). Die Vereinbarung betrifft nur „Datensouveränität“ (bei uns Privacy), als wäre damit alles erfüllt. Was bei allen „Confidentiality“-Versprechen unerreichbar bleibt, ist der Teil Verfügbarkeit. Der US-Präsident kann immer das Licht ausschalten.
• Fehlende Transparenz: Die bisherigen Information der beiden  Kooperationspartner BSI und Google sind so dürftig und bei Weitem nicht transparent genug, um entscheiden zu können, welche Projektziele verfolgt werden und für welche Anwendungsszenarien die untersuchten Lösungen geeignet sein sollen. Grundsätzlich ist es problematisch, potenzielle Ergebnisse bereits vorab als souverän zu bezeichnen, denn hierfür wäre es insbesondere erforderlich zu erklären, wie mit dem US-amerikanischen CLOUD Act umgegangen wird, Lock-ins vermieden und digitale Souveränität nachhaltig gesteigert wird.
• Wettbewerbsverzerrung mit Benachteiligung deutscher und europäischer Unternehmen Durch eine solche Vereinbarung mit dem BSI erhält Google einen „TÜV-Stempel“, der seine marktbeherrschende Stellung noch weiter festigt. Dies bedeutet gravierende Wettbewerbsnachteile für europäische Anbieter. Laien gewinnen den Eindruck, Google sei per se sicher. Hingegen wurde noch gar nichts entwickelt und schon gar nicht geprüft. Man kooperiert zwar nur, aber die nächsten Schritte der Entwicklung sind die weiträumige Nutzung unter dem Prädikat der „Souveränität“. Es ist also Werbung für Google.
• Das Geschäftsmodell von Google basiert primär auf der Erfassung, Analyse und Verwertung von Daten Dritter. Eine Partnerschaft mit einem Unternehmen, dessen Kerngeschäft die Monetarisierung von Daten ist, wirft erhebliche Bedenken hinsichtlich der Unabhängigkeit und Souveränität der geplanten Cloud-Lösung auf. Selbst wenn zugesichert wird, dass keine wirtschaftliche Nutzung der in Deutschland gespeicherten behördlichen und unternehmerischen Daten erfolgt, bleibt die grundlegende Abhängigkeit von einem Anbieter bestehen, dessen Unternehmensstrategie auf Datenverkauf ausgerichtet ist und der nicht europäischer Gesetzgebung unterliegt.

Auch der Zeitpunkt für den Abschluss der Vereinbarung – kurz vor der Einrichtung eines Digitalministeriums – wirft viele Fragen auf. Es entsteht der Eindruck, dass die negative Bilanz der Digitalpolitik der Ampel nach der Neuwahl noch weitergeführt und die fatale digitale Abhängigkeit weiter verstärkt wird [3].

Die geplante Zusammenarbeit des BSI mit Google gefährdet nicht nur unsere nationale Sicherheit und Cybersecurity, sondern auch die strategische Autonomie und Handlungsfähigkeit der Bundesbehörden und erhöht die Erpressbarkeit von Bundesregierung, Bundesverwaltung und der deutschen Bürgerinnen und Bürger.

Die drei Arbeitskreise der Gesellschaft für Informatik e.V. appellieren daher an das BSI, seiner Verantwortung für die IT-Sicherheit Deutschlands sowie für den Schutz der Grundrechte der Bürgerinnen und Bürger und Unternehmen gerecht zu werden. Eine strategische IT-Infrastruktur muss so gestaltet sein, dass sie digitale Souveränität gewährleistet und zugleich den rechtlichen Anforderungen entspricht.

_{[1] https://www.heise.de/news/Big-Tech-Abhaengigkeit-Trump-als-Booster-fuer-digitale-Souveraenitaet-in-der-EU-10294963.html}

_{[2] https://www.nzz.ch/report-und-debatte/friss-oder-geh-offline-wer-ei89ne-digitale-kolonie-ist-den-bestraft-donald-trump-ld.1865520}

_{[3] https://gi.de/meldung/drei-gi-arbeitskreise-ziehen-bilanz-zur-digitalpolitik-der-ampel}

Autoren:

Prof. Dr. Harald Wehnes, Sprecher des Präsidiumsarbeitskreises „Digitale Souveränität“
Prof. Dr. Julian Kunkel, Sprecher des Arbeitskreises „Open Source Software“
Dr. Martin Weigele, Sprecher des Arbeitskreises „Datenschutz und IT-Sicherheit“