Warum Verteidigungsorganisationen sich nicht auf US-Cloud-Anbieter verlassen können

Verteidigungsorganisationen stehen unter beispielloser Beobachtung hinsichtlich ihrer Entscheidungen zur Cloud-Infrastruktur, insbesondere beim Umgang mit klassifizierten Informationen und sensiblen Betriebsdaten. Die Abhängigkeit von US-Cloud-Anbietern bringt erhebliche Risiken in Bezug auf Souveränität, Sicherheit und Compliance mit sich, die weit über technische Aspekte hinausgehen und geopolitische Verwundbarkeiten sowie regulatorische Risiken einschließen.

Traditionelle Cloud-Strategien, die für kommerzielle Unternehmen entwickelt wurden, greifen bei der spezifischen Bedrohungslage und den regulatorischen Anforderungen, denen Verteidigungsorganisationen begegnen, zu kurz. Dieser Artikel beleuchtet die besonderen Risiken, die US-Cloud-Anbieter für Verteidigungsorganisationen darstellen, und beschreibt die notwendigen Architektur- und Governance-Ansätze, um die operative Sicherheit zu gewährleisten und gleichzeitig strenge Compliance-Anforderungen zu erfüllen.

Das Verständnis dieser Einschränkungen ermöglicht es Führungskräften im Verteidigungsbereich, fundierte Infrastrukturentscheidungen zu treffen, die nationale Sicherheitsinteressen schützen und gleichzeitig operative Effektivität und regulatorische Compliance sicherstellen.

Executive Summary

Verteidigungsorganisationen können sich nicht ausschließlich auf US-Cloud-Anbieter verlassen, da diese Plattformen grundlegende Risiken für Souveränität, Sicherheit und Compliance mit sich bringen, die nationale Sicherheitsziele gefährden. US-amerikanische Rechtsrahmen wie der US CLOUD Act und verschiedene Überwachungsbefugnisse schaffen Mechanismen, durch die ausländische Regierungen Zugriff auf Daten erhalten können, die auf US-Infrastruktur gespeichert sind – unabhängig von deren Herkunft oder Klassifizierungsstufe.

Die von kommerziellen US-Cloud-Anbietern eingesetzten Sicherheitsmodelle stellen Verfügbarkeit und Skalierbarkeit über die Vertraulichkeit und Segmentierung, die Verteidigungsorganisationen zwingend einhalten müssen. Diese Plattformen bieten nicht die granularen, datenbewussten Kontrollen, die erforderlich sind, um Klassifizierungsstufen, Segmentierungsanforderungen und das Need-to-know-Prinzip durchzusetzen – alles Grundpfeiler der Informationssicherheit im Verteidigungsbereich.

Darüber hinaus schafft die Abhängigkeit von US-Cloud-Infrastruktur strategische Verwundbarkeiten in Zeiten geopolitischer Spannungen, wenn Lieferkettenstörungen, politische Veränderungen oder Sanktionen missionskritische Operationen gefährden können. Verteidigungsorganisationen benötigen souveräne Cloud-Fähigkeiten, die operative Unabhängigkeit gewährleisten und gleichzeitig strenge Compliance- und Prüfanforderungen gemäß nationalen Sicherheitsrahmen erfüllen.

wichtige Erkenntnisse

1. Risiken für die Datensouveränität. US-Cloud-Anbieter unterwerfen Verteidigungsdaten ausländischen Rechtsvorschriften wie dem CLOUD Act, wodurch die Offenlegung klassifizierter Informationen erzwungen werden kann.
2. Fehlende Ausrichtung des Sicherheitsmodells. Kommerzielle Cloud-Architekturen priorisieren Verfügbarkeit gegenüber den Vertraulichkeits- und Segmentierungskontrollen, die für Verteidigungsklassifizierungssysteme erforderlich sind.
3. Lieferkettenverwundbarkeiten. Vendor-Lock-in bei US-Anbietern schafft operative Abhängigkeiten, die durch geopolitische Spannungen oder politische Veränderungen unterbrochen werden können.
4. Compliance-Lücken. US-Cloud-Infrastrukturen können häufig die Anforderungen an Datenresidenz, Prüfzugriff und souveräne Kontrolle gemäß nationalen Sicherheitsvorgaben nicht erfüllen.

Herausforderungen der Datensouveränität in US-Cloud-Infrastrukturen

Datensouveränität ist das zentrale Anliegen für Verteidigungsorganisationen, die US-Cloud-Anbieter in Betracht ziehen. Wenn sensible Verteidigungsinformationen auf US-Infrastruktur gespeichert werden, unterliegen sie der US-Rechtsprechung und eröffnen ausländischen Regierungen Zugriffswege, die diplomatische und nachrichtendienstliche Protokolle umgehen.

Der US CLOUD Act ermöglicht es US-Strafverfolgungs- und Nachrichtendiensten, US-Cloud-Anbieter zur Offenlegung von Daten zu zwingen, die weltweit auf deren Infrastruktur gespeichert sind – einschließlich Informationen ausländischer Verteidigungsorganisationen. Diese extraterritoriale Reichweite bedeutet, dass klassifizierte Verteidigungsinformationen, Einsatzpläne und sensible Kommunikation auf US-Plattformen durch rechtliche Verfahren zugänglich sind, die Verteidigungsorganisationen weder anfechten noch kontrollieren können.

Europäische Verteidigungsorganisationen stehen vor besonderen Herausforderungen, da die Nutzung von US-Clouds mit nationalen Sicherheitsklassifizierungssystemen und Anforderungen an die Datenresidenz kollidieren kann. Viele Verteidigungsverträge schreiben explizit vor, dass sensible Informationen innerhalb nationaler Grenzen und unter souveräner Kontrolle verbleiben müssen – was US-Cloud-Infrastrukturen für klassifizierte Workloads ungeeignet macht.

Rechtliche Rahmenbedingungen für Verteidigungsdaten

Das Zusammenspiel von US-Überwachungsbefugnissen und Verteidigungsinformationen schafft komplexe rechtliche Verwundbarkeiten, die über klassische Cybersecurity-Aspekte hinausgehen. US-Nachrichtendienste agieren unter Rechtsrahmen, die weitreichende Befugnisse zur Sammlung ausländischer Informationen gewähren – einschließlich Daten verbündeter Verteidigungsorganisationen, wenn diese über US-Infrastruktur übertragen oder dort gespeichert werden.

Verteidigungsorganisationen müssen berücksichtigen, wie der Foreign Intelligence Surveillance Act, National Security Letters und andere US-Rechtsmechanismen ihre operative Sicherheit beeinflussen können. Diese Instrumente ermöglichen Datenerhebung ohne Wissen der ausländischen Organisation, sodass Führungskräfte im Verteidigungsbereich nicht beurteilen können, ob ihre Informationen kompromittiert wurden.

Die von Verteidigungsorganisationen genutzten Klassifizierungssysteme stehen häufig im Widerspruch zu den Transparenz- und Offenlegungspflichten, die in US-Rechtsverfahren verankert sind. Informationen, die unter nationalen Sicherheitsvorgaben höchsten Schutz genießen, werden durch US-Gerichtsverfahren, regulatorische Untersuchungen oder nachrichtendienstliche Operationen angreifbar, die Verteidigungsorganisationen weder überwachen noch kontrollieren können.

Fehlende Ausrichtung der Sicherheitsarchitektur auf Verteidigungsanforderungen

Kommerzielle US-Cloud-Anbieter entwickeln ihre Sicherheitsmodelle für zivile Unternehmensanforderungen und stehen damit im grundlegenden Widerspruch zu den Sicherheitsarchitekturen im Verteidigungsbereich. Diese Plattformen setzen auf Verfügbarkeit, Skalierbarkeit und Kosteneffizienz statt auf Vertraulichkeit und Segmentierung, die für den Umgang mit klassifizierten Informationen unerlässlich sind.

Verteidigungsorganisationen unterliegen Sicherheitsvorgaben, die eine strikte Trennung von Informationen nach Klassifizierungsstufen, Quellenschutz und operativen Segmenten verlangen. Kommerzielle US-Cloud-Plattformen bieten nicht die granularen, datenbewussten Kontrollen, um diese Trennungen effektiv durchzusetzen – so entsteht das Risiko, dass sensible Informationen von unbefugten Personen oder Systemen innerhalb der Cloud-Umgebung eingesehen werden können.

Das von US-Cloud-Anbietern genutzte Shared-Responsibility-Modell überträgt erhebliche Sicherheitsverantwortung auf Verteidigungsorganisationen, ohne die Transparenz und Kontrollmechanismen bereitzustellen, die für die Einhaltung von Klassifizierungsanforderungen notwendig sind.

Lücken bei Klassifizierungs- und Segmentierungskontrollen

Verteidigungsklassifizierungssysteme erfordern technische Kontrollen, die zwischen verschiedenen Arten sensibler Informationen unterscheiden und Zugriffsrechte nach Freigabestufen, operativen Rollen und Need-to-know-Prinzip durchsetzen. Kommerzielle US-Cloud-Plattformen setzen typischerweise RBAC ein, das nicht die erforderliche Granularität und Kontextsensitivität für Verteidigungsanforderungen bietet.

Die dynamische Natur von Cloud-Umgebungen – mit automatischer Skalierung, Lastverteilung und Ressourcenallokation – erschwert die konsistente Durchsetzung von Klassifizierungskontrollen über unterschiedliche Infrastrukturkomponenten hinweg. Verteidigungsorganisationen benötigen die Gewissheit, dass klassifizierte Informationen stets korrekt segmentiert bleiben, unabhängig von Veränderungen in der zugrundeliegenden Cloud-Infrastruktur.

Multi-Tenant-Modelle von US-Cloud-Anbietern bergen zusätzliche Risiken, da sensible Informationen physische und virtuelle Infrastruktur mit anderen Kunden teilen. Selbst mit Verschlüsselung und logischer Trennung besteht das Risiko von Side-Channel-Angriffen, Ressourcenüberlastung oder administrativem Zugriff durch Cloud-Anbieter-Personal – ein inakzeptables Risiko für klassifizierte Verteidigungs-Workloads.

Operative Unabhängigkeit und Lieferkettenverwundbarkeiten

Die Abhängigkeit von US-Cloud-Anbietern schafft strategische Verwundbarkeiten, die über unmittelbare Sicherheitsaspekte hinausgehen und die operative Unabhängigkeit betreffen. Verteidigungsorganisationen benötigen Infrastrukturen, die unabhängig von geopolitischen Entwicklungen, Handelskonflikten oder Veränderungen in außenpolitischen Beziehungen verfügbar und zuverlässig bleiben.

US-Cloud-Anbieter unterliegen US-Exportkontrollvorschriften, Sanktionsregimen und nationalen Sicherheitsanweisungen, die die Serviceverfügbarkeit für ausländische Organisationen in Spannungszeiten einschränken können. Solche Restriktionen können ohne Vorankündigung umgesetzt werden, sodass Verteidigungsorganisationen nur eingeschränkte Möglichkeiten zur Aufrechterhaltung kritischer Operationen haben.

Die Konzentration kritischer Cloud-Fähigkeiten bei wenigen US-Anbietern schafft systemische Risiken für Verteidigungsorganisationen, die diese Plattformen umfassend nutzen. Störungen im Lieferkettenmanagement – ob durch technische Ausfälle, Cyberangriffe oder politische Entscheidungen – können gleichzeitig mehrere Verteidigungsorganisationen betreffen und kollektive Sicherheitsfähigkeiten beeinträchtigen.

Vendor-Lock-in und Technologietransfer-Bedenken

Die Nutzung von US-Clouds führt häufig zu technischen Abhängigkeiten, die die Migrationsfähigkeit und operative Flexibilität von Verteidigungsorganisationen einschränken. Proprietäre APIs, spezialisierte Services und integrierte Toolchains erschweren es, Daten und Anwendungen bei strategischem Bedarf auf alternative Infrastrukturen zu übertragen.

Die für eine effektive Cloud-Nutzung erforderliche tiefe Integration bedeutet meist, dass technische Details zu Verteidigungssystemen, Betriebsprozessen und Sicherheitsarchitekturen mit US-Anbietern geteilt werden. Dieser Technologietransfer schafft nachrichtendienstliche Risiken, die mit sich verändernden geopolitischen Beziehungen erheblich werden können.

Verteidigungsorganisationen müssen zudem bedenken, wie sich Cloud-Nutzung auf ihre eigenen Technologiekompetenzen und die heimische Industrie auswirkt. Eine starke Abhängigkeit von US-Cloud-Anbietern kann Investitionen in souveräne Fähigkeiten untergraben und langfristige Abhängigkeiten schaffen, die die strategische Autonomie gefährden.

Compliance- und Audit-Einschränkungen in US-Cloud-Umgebungen

Verteidigungsorganisationen unterliegen Compliance-Rahmenwerken, die nachweisbare Kontrolle über Informationsverarbeitung, Audit-Trails und Sicherheitsimplementierungen verlangen. US-Cloud-Anbieter bieten meist Zertifizierungen, die auf zivile Unternehmen zugeschnitten sind und die spezifischen Anforderungen von Sicherheitsvorgaben im Verteidigungsbereich nicht abdecken.

Die für die Verteidigungs-Compliance erforderlichen Audit- und Prüfprozesse verlangen häufig unabhängige Überprüfung von Sicherheitskontrollen, Personalüberprüfungen und Betriebsabläufen. US-Cloud-Anbieter erlauben in der Regel nicht das Maß an Audit-Zugriff, das Verteidigungsorganisationen benötigen – so entstehen Lücken in der Compliance-Verifizierung, die diese Plattformen für klassifizierte Workloads disqualifizieren.

Nationale Sicherheitsvorgaben verlangen häufig, dass Audit-Logs, Sicherheitsprotokolle und Compliance-Dokumentationen unter souveräner Kontrolle bleiben und für nationale Sicherheitsbehörden einsehbar sind.

Konflikte zwischen regulatorischen Rahmenwerken und Durchsetzungsprobleme

Unterschiedliche nationale Sicherheitsvorgaben schaffen widersprüchliche Anforderungen, die US-Cloud-Anbieter für mehrere Verteidigungskunden nicht gleichzeitig erfüllen können. Sicherheitskontrollen, Audit-Prozesse und Compliance-Berichte, die einem nationalen Rahmenwerk genügen, können gegen die Anforderungen eines anderen verstoßen und operative Konflikte verursachen.

Die Durchsetzungsmechanismen, die Verteidigungsorganisationen zur Behebung von Compliance-Verstößen oder Sicherheitsvorfällen in US-Cloud-Umgebungen zur Verfügung stehen, sind durch Jurisdiktionsgrenzen und diplomatische Prozesse eingeschränkt. Verteidigungsorganisationen können US-Cloud-Anbieter nicht direkt zur Umsetzung spezifischer Sicherheitsmaßnahmen verpflichten, ohne US-Behörden einzubeziehen.

Kontinuierliches Compliance-Monitoring – essenziell für Sicherheitsvorgaben im Verteidigungsbereich – erfordert Echtzeit-Transparenz über Cloud-Betrieb, Sicherheitsereignisse und Konfigurationsänderungen. US-Cloud-Anbieter bieten in der Regel nur eingeschränkte Einblicke in ihre internen Abläufe, was es Verteidigungsorganisationen erschwert, die kontinuierliche Sicherheit und Compliance zu gewährleisten.

Fazit

Die Abhängigkeit von US-Cloud-Anbietern birgt grundlegende Risiken für Verteidigungsorganisationen: Verlust der Datensouveränität, strukturelle Diskrepanzen zu Klassifizierungsstandards und operative Abhängigkeit in geopolitischen Krisen. Kommerzielle Cloud-Modelle, die auf Skalierbarkeit ausgelegt sind, können souveräne Kontrolle nicht ersetzen und schützen Verteidigungsdaten nicht vor extraterritorialen Rechtsmechanismen wie dem US CLOUD Act. Um Einsatzbereitschaft und strenge nationale Sicherheitsstandards zu gewährleisten, sind souveräne Cloud-Architekturen erforderlich, die vollständige Hoheit, datenbewusste Sicherheit und kompromisslose Auditierbarkeit der Compliance garantieren.

Kiteworks Private Data Network

Das Kiteworks Private Data Network – FIPS 140-3 validiert, setzt TLS 1.3 während der Übertragung durch und ist FedRAMP High-ready – bietet Verteidigungsorganisationen eine souveräne Cloud-Lösung, die speziell für den Umgang mit sensiblen und klassifizierten Informationen entwickelt wurde. Im Gegensatz zu kommerziellen US-Cloud-Plattformen ermöglicht Kiteworks Institutionen im Verteidigungsbereich die vollständige Kontrolle über Infrastruktur, Sicherheitskonfigurationen und Datenresidenz und unterstützt gleichzeitig die Compliance mit Standards wie UK JSP 440, NIS 2 und NATO STANAG.

Kiteworks setzt zero trust und datenbewusste Sicherheitskontrollen ein, die zwischen unterschiedlichen Klassifizierungsstufen unterscheiden und Zugriffsrechte nach operativen Rollen und Freigabeanforderungen durchsetzen. Die Plattform bietet manipulationssichere Audit-Trails, die den Compliance-Anforderungen im Verteidigungsbereich entsprechen, und ermöglicht nahtlose Integration mit bestehenden SIEM-, SOAR- und Sicherheitsautomatisierungs-Workflows für sichere E-Mails, sicheres Filesharing und Managed File Transfer.

Verteidigungsorganisationen, die souveräne Cloud-Fähigkeiten für den Umgang mit klassifizierten Informationen suchen, können eine individuelle Demo des Kiteworks Private Data Network vereinbaren.