Souverän und Sicher in die Cloud: Der PoC von Delos Cloud, DriveLock und Exxeta

Autoren:  
Georg Sebald, Mitglied der Geschäftsleitung und Leiter Customer Experience bei Delos Cloud GmbH 
Tobias Schacht, Partner und Community Manager bei Delos Cloud GmbH 
Ralph Herrmann, Chief Operating Officer Corporate Function bei Exxeta 
Frank Sonne, Director bei Exxeta 
Dr. Philipp Müller, VP Public Sector bei DriveLock SE 
Udo Riedel, CTO und Gründer bei DriveLock SE 

In der deutschen Verwaltung hat sich ein Konsens herausgebildet, der die strategische Ausrichtung der digitalen Transformation und die föderale Zusammenarbeit maßgeblich bestimmt.

An erster Stelle steht die Etablierung einer ebenen übergreifenden Kooperationskultur, die sich in der Umsetzung und Weiterentwicklung von Initiativen wie dem Onlinezugangsgesetz (OZG) 2.0, dem Einer-für-Alle-Prinzip (EfA), der Koordination durch den IT-Planungsrat, der Unterstützung durch die FITKO sowie GovDigital manifestiert. Ergänzt werden diese durch eine Reihe formeller und informeller Standards, Prinzipien, Entscheidungsmechanismen und Diskussionsforen, die als Leitplanken für eine harmonisierte Digitalisierung dienen.

Darüber hinaus besteht Konsens, die Nähe zum aktuellen Stand der Technik zu suchen und sich an bewährten, marktgängigen Technologien zu orientieren. Dies soll einen intelligenten Einstieg in eine Multi-Cloud-Welt ermöglichen, in der zwar nicht alle denkbaren technologischen Optionen zur Verfügung stehen, aber auch keine Abhängigkeiten entstehen, die Innovationen hemmen oder die Handlungsfreiheit der Verwaltung einschränken könnten.

Digitale Souveränität wird zudem nicht mehr nur theoretisch diskutiert, sondern pragmatisch umgesetzt. Sie manifestiert sich in einem strategischen Fokus auf IT-Sicherheit und in der Fähigkeit, sowohl Veränderungen zu gestalten als auch Abhängigkeiten zu managen.

Markus Richter, CIO des Bundes

Dieses Verständnis von Souveränität ist entscheidend, um im globalen Kontext handlungsfähig zu bleiben und gleichzeitig den Schutz und die Integrität digitaler Infrastrukturen zu gewährleisten.

Jens Fromm, COO GovDigital

A. Die souveräne Cloud-Plattform von Delos Cloud  

Vor dem Hintergrund dieser Entwicklungen bietet die bevorstehende Verfügbarkeit der souveränen Cloud-Plattform von Delos Cloud Anfang 2025 große Chancen und eine strategische Gelegenheit, die Vorbereitungen jetzt zu intensivieren.  

Delos Cloud wird allen Ebenen der öffentlichen Verwaltung in Deutschland eine souveräne Cloud auf Basis einer anwendungs- und anbieterneutralen Hyperscaler-Plattform bieten. Dabei wird sie als erstes Angebot die Vorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) für Datenschutz, IT-Sicherheit und Geheimschutz vollumfänglich erfüllen und ein wesentlicher Baustein für die Umsetzung der Deutschen Verwaltungs-Cloud-Strategie (DVS) sein.  

Durch eine rechtzeitige Vorbereitung kann sichergestellt werden, dass die Potenziale der souveränen Cloud ab Verfügbarkeit optimal genutzt werden können. Die etablierten On-premise-Rechenzentrumsinfrastrukturen können dann reibungslos und ohne Verzögerung um Cloud-Dienste ergänzt werden. Behörden des Bundes, der Länder und der Kommunen können so effizienter, flexibler und skalierbarer agieren.

Ab 2025 können Verwaltungsmitarbeitende auf Cloud-Dienste, wie Fachverfahren und Kollaborations-Anwendungen wie Microsoft 365, durch Delos Cloud zugreifen. Dazu benötigen sie entsprechende Endgeräte, Software und Zugangsberechtigungen.  

B. Den Zugang zur Cloud absichern

Sicherheit ist ein kritischer Faktor bei der Implementierung von hoheitlichen Cloud-Infrastrukturen wie der Delos Cloud. Bei Cloud-Anbietern kann die Infrastruktur viel sicherer betrieben werden als im eigenen Rechenzentrum. Das liegt daran, dass bei hier modernste Sicherheitsverfahren und eine Vielzahl von hoch-ausgebildeten Systemspezialisten zur Verfügung stehen, um alle Arten von Angriffen auf die Infrastruktur abzuwehren.

Einer der entscheidenden Bereiche ist dabei die Absicherung der Zugangspunkte bzw. Gateways. Obwohl souveräne Cloud-Dienste durch einen hohen Automatisierungsgrad grundsätzlich sicher sind, entstehen potenzielle Schwachstellen genau dort, wo Nutzer und Geräte auf die Cloud zugreifen. Die Integrität dieser Zugangspunkte muss daher unbedingt gewahrt bleiben. Es muss sichergestellt werden, dass das Management von Schnittstellen, Anwendungen und Daten mit höchster Sorgfalt behandelt wird. 

Georges Welz, CEO Delos Cloud GmbH

Eine Cloud-Strategie muss sich immer auch mit der Absicherung der Endgeräte beschäftigen. In der Regel werden Endgeräte bei der Betrachtung jedoch vernachlässigt, da der Blick auf die Infrastruktur im Backend beschränkt bleibt. Dabei ist zum einen die Menge der Endgeräte heute stark diversifiziert (insbesondere in Bezug auf die Plattformen) und zum anderen werden es immer mehr Endgeräte, da die Anwender durch mobile Geräte oder BYOD im Homeoffice nicht mehr nur „ihren persönlichen Computer“ nutzen.

Der angemessene Schutz dieser Geräte muss sichergestellt werden. Darüber hinaus stellen auch Compliance-Regelungen wie NIS2 oder IT-Grundschutz entsprechende Anforderungen an den Schutz der Geräte bzw. den Zugriff auf die Daten. Hierzu bedarf es einer in der Cloud betriebenen Plattform, die sich dem Schutz von Daten und Geräten widmet und somit den Übergang in die Cloud optimal unterstützt bzw. den dort oft vernachlässigten Schutz der Endgeräte gewährleistet. 

C. Das Proof of Concept von Delos Cloud, DriveLock und Exxeta

Zur ganzheitlichen Betrachtung des Themas der sicheren Client-Kommunikation, haben DriveLock und Delos Cloud eine Partnerschaft geschlossen, in deren Rahmen ein Proof of Concept erarbeitet wird. Im Rahmen des Proof of Concept (PoC) wurde ein integrierter Ansatz verfolgt: Es wird ein DriveLock-Desktop mit Microsoft 365 und einer Cloud-basierten kommunalen Plattform am Beispiel der RathausCloud in einer Delos Cloud-Testumgebung eingerichtet. Die RathausCloud ist eine von der Betriebsgenossenschaft RathausCloud in Sachsen vorangebrachte und von Exxeta entwickelte ganzheitliche Plattform, die kommunale, digitale Dienste bündelt. Sie ist ein einzigartiges Beispiel für ein Cloud-basiertes Ökosystem, das den Herausforderungen der modernen Verwaltung gewachsen ist.

Diese PoC-Umgebung dient dazu, die Anwendbarkeit und das Nutzererlebnis konkret zu erfassen und zu optimieren. Der Fokus des Proof of Concept liegt auf der Herausforderung, die Bereitstellung von Cloud-basierten Fachverfahren in Kombination mit dem Management von Endgeräten und Desktops (Frontend Security) im Kontext der Sovereign Cloud Infrastruktur neu zu konzipieren. Ursprünglich war geplant, dass alle Endgeräte aus den Netzen des Bundes (NdB) auf die Cloud zugreifen. Dies ist jedoch aufgrund von Verfügbarkeits- und Latenzproblemen in verschiedenen Szenarien nicht immer umsetzbar. Zudem gibt es potenzielle Kunden der souveränen Cloud, wie z.B. kommunale Organisationen, die die Infrastruktur des NdB nicht nutzen können oder wollen. 

Ziel ist es, die Geräte abzusichern und für den sicheren Zugriff auf die hoheitliche Delos Cloud vorzubereiten. Über diese gesicherte Verbindung wird dann auch der Zugriff auf die RathausCloud als Software-as-a-Service (SaaS) ermöglicht, wobei die PoC-Ergebnisse die Machbarkeit und Sicherheit dieses Zugriffs unter realen Bedingungen aufzeigen sollen. Die HYPERSECURE Platform umfasst mehrere Module, die im Zusammenspiel eine umfassende Sicherheitslösung bieten: 

• Application Control: Dieses Modul verhindert die Ausführung unbekannter oder unerwünschter Programme durch eine Positivliste, die nur vertrauenswürdige Software zulässt. Der zuverlässigste Schutz gegen Ransomware.
• Device Control: Device Control bietet umfassende Kontrolle über den Datenfluss zu und von allen Geräten und Systemen. Sie lässt nur vorab genehmigte Geräte und externe Laufwerke zu, verschlüsselt USB-Medien automatisch und sicher und bietet umfangreiche forensische Analysen und granulare Reports.
• Security Awareness: Dieser Bereich konzentriert sich auf die Schulung der MitarbeiterInnen im sicheren Umgang mit Daten und externen Medien, um das Bewusstsein für Sicherheitsrisiken zu schärfen.
• Verschlüsselungs-Management: DriveLock erweitert die bestehende BitLocker-Installation um wichtige Funktionen wie zentrale Konfiguration, starke Pre-Boot-Authentifizierung und Multi-Faktor-Authentifizierung. 

Zu diesen kritischen Kontrollen kommen noch Patch-Management, Schwachstellen-Management und Data Access Governance, die gemeinsam den Zugang zur souveränen Cloud ermöglichen und absichern.  

D. Call-to-Action: Cloud-Migration vorantreiben

Angesichts des in Deutschland vorherrschenden Konsenses hin zu einem souveränen Multi-Cloud-Ansatz und der Stärkung der ebenen übergreifenden Zusammenarbeit ist es an der Zeit, die Weichen für die Zukunft zu stellen. Delos Cloud bietet eine hervorragende Möglichkeit, modernste Hyperscale-Cloud-Technologien mit einem souveränen Ansatz zur Gestaltung digitaler Prozesse zu verbinden. Der Proof of Concept von Delos Cloud, DriveLock und Exxeta zeigt eindrucksvoll, welche Aspekte für eine sichere Implementierung von Fachverfahren und Kollaborationswerkzeugen in der Cloud entscheidend sind. Es liegt nun an den IT- und Fachverantwortlichen in den Verwaltungen aller drei Ebenen, Kompetenzen aufzubauen und die Migrationsstrategie auf technologischer, strategischer und prozessualer Ebene anzugehen.

In diesem Zusammenhang empfehlen wir die folgenden Schritte für eine effektive Migration in die Cloud: 

1. Kompetenzaufbau und Ideenentwicklung rund um den PoC: Starten Sie mit einem Workshop, um das notwendige Wissen zu vertiefen und innovative Ideen zu entwickeln, die den PoC bestmöglich nutzen.
2. Aufbau eines Sovereign Cloud Center of Excellence: Etablieren Sie ein Kompetenzzentrum innerhalb Ihrer Organisation, das als Drehscheibe für Best Practices, Wissensaustausch und Expertise im Bereich Cloud-Technologien dient.
3. Sicherung der Zugangspunkte: Gewährleisten Sie die Integrität und Sicherheit der Zugangspunkte zur Cloud, um die Vertraulichkeit, Verfügbarkeit und Integrität der Daten zu schützen.
4. Analyse der bestehenden Fachverfahren: Untersuchen Sie Ihre bestehenden Fachverfahren gründlich, um zu verstehen, welche Anpassungen für eine effektive Cloud-Migration erforderlich sind.
5. Migrations Roadmap: Bewerten Sie die vorhandene Kollaborationssoftware auf ihre Cloud-Kompatibilität und erstellen Sie einen detaillierten Fahrplan für eine schrittweise Migration in die Cloud.

Es ist wichtig, dass Behörden aktiv werden und die notwendigen Schritte unternehmen, um ihre digitale Transformation zu beschleunigen. Die Cloud-Migration ist ein strategischer Hebel, um Dienste effizienter, sicherer und nutzerorientierter zu gestalten. Befolgen Sie die oben genannten Schritte und stellen somit sicher, dass Ihre Behörde in der Lage ist die, Vorteile der Cloud voll auszuschöpfen und in der digitalen Landschaft souverän zu agieren.