Größtes Hindernis für sichere Cloud-Nutzung: Fehlende Strategie - Erfahrung und Lösungen
Sichere Cloud-Nutzung scheitert selten an der Technik – sie scheitert an fehlender Strategie. Das ist kein Spezifikum des Public Sector; das sagt auch die Cloud Security Alliance, und selbst Hyperscaler wie Microsoft benennen „fehlende Strategie" als das häufigste Anti-Muster erfolgreicher Cloud-Nutzung. Wer das „Warum" nicht geklärt hat, kann auch die technischen Fragen nicht beantworten: kein sinnvolles Workload-Design, keine belastbare API-Absicherung, keine konsistente Schlüsselverwaltung.
Doch dieser strategische Klärungsprozess ist im Public Sector strukturell schwierig – und das aus nachvollziehbaren Gründen. Cloud ist kein Produkt, das man einführt, sondern ein Paradigmenwechsel, der strategische Entscheidungen auf Leitungsebene erfordert – also dort, wo IT traditionell nicht als strategisches Thema verortet wird. Zugleich setzt sinnvolle Strategiearbeit ein Mindestmaß an technischem Verständnis voraus. Ein klassisches Henne-Ei-Problem, das niemandem anzulasten ist.
Besonders deutlich wird das beim Thema Souveränität: Die Debatte ist hochpolarisiert – und bleibt es, solange keine strategische Grundentscheidung getroffen wurde. Welcher Grad an Souveränität angemessen ist, lässt sich im Anbieter-Kunden-Verhältnis strukturell nicht auflösen. Es ist eine Leitungsentscheidung – die zugleich tiefes technisches Verständnis voraussetzt.
Der Vortrag liefert eine nüchterne Bestandsaufnahme – nicht um zu blamen, sondern weil eine präzise Standortbestimmung die Voraussetzung für jeden guten Weg hinaus ist. Und dieser Weg existiert.
Wenn Cloud-Projekte im öffentlichen Sektor ins Stocken geraten, liegt die Ursache selten dort, wo man zuerst sucht. Nicht die Technik ist das Problem – sondern eine Frage, die oft gar nicht gestellt wurde: Was wollen wir mit Cloud-Nutzung eigentlich erreichen?
Das klingt einfach. Ist es aber nicht. Welche Workloads gehören in die Cloud? Welche Daten dürfen dort verarbeitet werden? Welches Schutzniveau ist erforderlich – und für wen? Diese Fragen können auf technischer Ebene nicht abschließend beantwortet werden. Und dennoch landen sie dort – weil die Strukturen im öffentlichen Sektor es so vorsehen.
Patrick Grete, Projektleiter des BSI C5, berät als Cloud-Security-Experte beim Bundesamt für Sicherheit in der Informationstechnik (BSI) Bundesbehörden bei der Umsetzung konkreter Cloud-Projekte – von der ersten Bestandsaufnahme bis zur produktiven Nutzung. In dieser Arbeit begegnet er regelmäßig zwei strukturellen Spannungsfeldern, die er nicht als Versagen einzelner, sondern als systemische Herausforderung versteht:
These 1 – Das Henne-Ei-Problem: Strategische Cloud-Entscheidungen erfordern ein Denken, das über klassische IT-Logik hinausgeht – und zugleich ein technisches Verständnis, das erst entsteht, wenn man sich mit der Materie auseinandersetzt. Beides bedingt einander. Dieser Widerspruch lässt sich nicht wegdefinieren, aber er lässt sich navigieren.
These 2 – Das Kommunikationsproblem: Leitungsebene und technische Ebene sprechen nicht dieselbe Sprache – und haben zu wenig Einblick in die Welt der jeweils anderen. Die Ausgestaltung staatlicher Dienstleistungen über Cloud-Infrastrukturen ist aber eine Leitungsaufgabe, die technisches Verständnis voraussetzt. Die Antwort liegt nicht auf einer der beiden Seiten allein.
Das Thema Souveränität verdichtet diese Spannungsfelder exemplarisch: Kaum ein Begriff wird so kontrovers diskutiert – und kaum eine Frage bleibt so häufig strategisch ungeklärt. Souveränität ist kein binärer Zustand, sondern ein Spektrum bewusster Entscheidungen. Je mehr davon gefordert wird, desto präziser müssen die strategischen Vorgaben sein – und desto mehr technisches Verständnis ist auf Auftraggeberseite nötig. Diese Klarheit kann kein Dienstleister herstellen.
Der Vortrag liefert dazu eine nüchterne Bestandsaufnahme – ohne erhobenen Zeigefinger, aber ohne falsche Zurückhaltung. Wie bei der Navigation gilt: Wer seinen Standort nicht kennt, kann keinen Weg zu einem gewünschten Ziel planen. Das Ziel ist nicht, Schuldige zu benennen, sondern eine Lücke sichtbar zu machen, die im Alltag leicht übersehen wird: Die Frage, warum eine Behörde die Cloud nutzen will, wird selten explizit gestellt – und noch seltener auf der Ebene beantwortet, auf der sie hingehört. Was folgt, ist kein technisches Problem, sondern ein strategisches Vakuum, das sich irgendwann technisch manifestiert. Und das auch durch noch so viel technische Sorgfalt nicht gefüllt werden kann.
Der Vortrag teilt anonyme Erfahrungen aus der Beratungspraxis des BSI – nüchtern, mit konkreten Beispielen, und mit dem Ziel, einen Impuls zu geben, der über den Konferenztag hinaus wirkt.
Patrick Grete, promovierter Physiker kam 2011 als Quereinsteiger ins BSI und arbeitete im IT-Grunschutz mit Fokus auf BCM. Seit 2013 bildet er bei der Baköv die Notfallbeauftragten des Bundes auf. Er gestaltete im BSI das Thema Cloud-Security mit und hat mit dem Cloud Computing Compliance Criteria Catalogue (BSI C5) eines der erfolgreichsten Produkte des BSI geschaffen, das weltweit eingesetzt wird. Er hat mehrere Bücher um BCM sowie Cloud Computing im Bankensektor herausgegeben, ist zertifizierter Coach (EASC) und gibt Trainings für den Einsatz von KI.