Die EU will für die Industrie eine sichere Cloud-Lösung schaffen. Braucht es eine europäische Alternative zu kommerziellen US-Anbietern?
Zuvorderst ist zu klären, was im technischen Sinne unter einer europäischen „Cloud-Lösung“ verstanden werden soll. Begrifflich lassen sich hierunter verschiedene Modelle mit unterschiedlichen Servicekategorien fassen. So, wie sich der „Cloud-Airbus“ zurzeit darstellt, soll es sich wohl um eine reine Speicherlösung für industrielle Unternehmen handeln, die in der EU angesiedelt sind. Sicherlich gibt es im Hinblick auf US-amerikanische Datenschutz- und IT-Sicherheitsanforderungen spätestens seit den Snowden-Enthüllungen von 2013 Bedenken, Daten in die USA zu übermitteln, aber auch zuvor gab und gibt es ja schon seit 2001 den „Patriot Act“. Die EU ist hier rechtlich bisher deutlich besser gestellt, beispielsweise durch die Datenschutzrichtlinie und -grundverordnung sowie die NIS-Richtlinie zur Verbesserung europäischer IT-Sicherheit, gleichwohl es in Europa in den vergangenen Jahren auch einige erhebliche Überwachungsskandale gegeben hat. Letztlich führt aber auch die Safe Harbor-Entscheidung des EuGH von Oktober 2015 dazu, dass die Datenübermittlung in die USA erheblich erschwert wird. Theoretisch besteht somit ein europäischer Bedarf. Praktisch aber würde ich keinem Industrieunternehmen empfehlen, seine sensiblen Daten überhaupt in einer Cloud zu speichern. Hier wird man sehen müssen, wie die entwickelte Lösung angenommen wird.

Was können öffentlich geförderte Unternehmen mehr an Sicherheit bieten als privat finanzierte?
Ich würde nicht generell sagen, dass öffentlich geförderte Unternehmen per se mehr an Sicherheit bieten als privat finanzierte. Gewiss wird man vertreten können, dass im Rahmen einer öffentlich finanzierten Erforschung eines neuen Cloud-Dienstes weniger – vielleicht auch gegenläufige – Interessenlagen aufeinandertreffen. Die Vertrauenswürdigkeit eines neu entwickelten Dienstes muss man aber dennoch für jeden Einzelfall prüfen. Dass der Staat in einem für die Datensicherheit negativen Sinne Einfluss auf öffentlich finanzierte Forschungsvorhaben nimmt, halte ich jedoch kaum für möglich. Zur Beurteilung der Betriebssicherheit des Cloud-Dienstes wird es aber letztlich auch darauf ankommen, bei welcher Institution gespeichert wird. Transparenz ist hier oberstes Gebot.

Laut EU-Digitalkommissar Oettinger richtet sich das Angebot an die Industrie. Wo speichern Privatpersonen ihre sensiblen Daten?
Auf diese Frage gibt es eigentlich nur eine Antwort: Genauso wenig, wie die Industrie ihre sensiblen Daten in einer Cloud speichern sollte, sollten Privatpersonen dies tun. Und wenn Daten schon unbedingt in einer Cloud gespeichert werden müssen, dann nur verschlüsselt. Hier gibt es schon zahlreiche Anbieter teils auch kostenfreier Lösungen für Private mit Datenspeicherung im europäischen Raum.

Nach Medienberichten ist u.a. das Fraunhofer-Institut bei der europäischen Cloud-Computing-Initiative im Boot. Lässt sich so der Marktvorsprung von Microsoft, Google, Dropbox und Co. noch aufholen?
Dass auf europäischer Ebene eine Befassung mit Cloud-Themen stattfindet, ist nicht neu. So wurde bereits im September 2012 die „European Cloud Computing Strategy“ ins Leben gerufen, die sich unter anderem damit befasst, europaweit einheitliche technische wie rechtliche Standards für das Cloud-Computing zu entwerfen. Hier sind von deutscher Seite das BSI und Fraunhofer FOKUS Mitglied. Der Vorsprung US-amerikanischer Anbieter hat jedoch nicht viel damit zu tun, welche Forschungseinrichtungen in einem Konsortium sind, sondern wie die entwickelten Lösungen von Unternehmen und Bevölkerung in der Praxis angenommen werden. Hier ist es wie oft so: Wer zuerst kommt, hat den größten Vorteil. Sollte sich die europäische Lösung langfristig als praktikabel erweisen, so halte ich einen sukzessiven Umstieg weg von US-Anbietern in Richtung EU-Produkte nicht für ausgeschlossen.