Blog
Souveränes Papier. Was hinter dem C3A des BSI steckt
Kennen Sie das Etikett „regional“ auf Joghurtbechern? Es klingt nach Kuh hinterm Haus. Wer nachfragt, landet aber oft bei Milch aus drei Ländern und einer Molkerei mit Sitz in den Niederlanden. Dem Wort „souverän“ geht es bei Cloud-Diensten gerade ähnlich.
Cloud bedeutet, dass eine Behörde Server und Software nicht mehr selbst betreibt, sondern beides mietet. Den Markt teilen sich im Wesentlichen Amazon, Microsoft und Google, in der Branche Hyperscaler genannt. Das ist bequem, bringt aber US-Recht mit ins Haus. Der Cloud Act erlaubt US-Behörden, von amerikanischen Unternehmen Daten herauszuverlangen, auch wenn diese in Frankfurt liegen. Seit Donald Trumps zweiter Amtszeit kommt eine unbequemere Frage hinzu: Was passiert, wenn Washington den Stecker zieht? Politik, Thinktanks und heimische Anbieter warnen seither im Wochentakt vor digitaler Abhängigkeit. Fast jedes Cloud-Angebot heißt inzwischen „souverän“. Was das bedeuten soll, hat bisher niemand verbindlich festgelegt.
Hier setzt das Bundesamt für Sicherheit in der Informationstechnik (vermeintlich) an, die deutsche Cybersicherheitsbehörde in Bonn. Für die Sicherheit von Cloud-Diensten hat das BSI seit Jahren den C5, einen Katalog mit Mindestanforderungen. Der C5 klärt, ob ein Dienst sicher betrieben wird. Wer ihn abschalten könnte, lässt er offen. Wie dort geprüft wird und wer die Qualität der Prüfung sicherstellt, habe ich gestern aufgeschrieben – die kurze Antwort lautet: niemand.
Im April 2026 hat das BSI deshalb einen weiteren Katalog nachgelegt, ausgerichtet an einem Rahmenpapier der EU-Kommission. Er heißt Criteria enabling Cloud Computing Autonomy, kurz C3A, sinngemäß: Kriterien für eine selbstbestimmte Cloud-Nutzung. Souveränität wird darin in sechs Bereiche zerlegt, von der Strategie über Daten und Recht bis zu Betrieb, Lieferkette und Technologie. Wer den C3A erfüllen will, muss vorher den C5 erfüllen.
Manche Anforderungen sind handfest. Die Cloud muss sich physisch komplett von den USA trennen lassen und danach 90 Tage weiterlaufen. Der Anbieter braucht einen Hauptsitz in der EU oder in Deutschland, das Personal muss aus EU-Bürgern mit Wohnsitz in der EU bestehen.
Gedacht ist der C3A als Einkaufshilfe – gedacht. Kunden sollen damit für ihren Einsatzzweck festlegen, wie viel Souveränität sie brauchen. Eine Steuerdatenbank braucht womöglich die volle Abkopplung, die Kantinen-App eher nicht.
Das BSI formuliert, Souveränität sei keine Abschottung, völlige Autarkie weder machbar noch gewollt. Es gehe darum, Abhängigkeiten beherrschbar zu machen.
Ganz so rund ist die Sache allerdings nicht. Der C3A hat keine regulative Wirkung. Wer ihn ignoriert, ignoriert ihn folgenlos.
Interessant ist: Nach eigener Aussage hat das BSI auf Erfahrungen aus Delos Cloud und SAP Cloud Infrastructure aufgebaut. Delos ist eine SAP-Tochter, die Microsoft-Technik in abgeschotteter Form für die deutsche Verwaltung betreibt. Den Entwurf bekamen zudem US-Konzerne vorab zu sehen, das BSI nennt das einen „Stresstest“. Ob ein Maßstab strenger wird, wenn die Gemessenen ihn vorher korrekturlesen, darf jeder selbst beurteilen …
Der europäische Cloud-Verband CISPE hat Lücken gefunden. Vom Hauptanbieter verlangt der C3A europäische Kontrolle. Bei Subunternehmern reicht ein eingetragener Sitz in der EU, wem sie tatsächlich gehören, spielt keine Rolle. Vorne hängt also ein europäisches Firmenschild, dahinter darf US-Infrastruktur laufen. Den Cloud Act nimmt der Katalog weitgehend hin. Verlangt wird eine jährliche Risikoanalyse zu ausländischen Zugriffen, aber keine Pflicht, die erkannten Risiken zu beseitigen. Metadaten, Telemetrie und Kontodaten bleiben ganz außen vor. Gerade Metadaten, also wer wann mit wem was getan hat, sind für Nachrichtendienste oft interessanter als der eigentliche Inhalt.
Für kleinere Anbieter wird die Latte so gesehen sehr hoch gelegt. Tägliche Quellcodekopien in der EU und eigene Umgebungen, um fremde Software im Notfall selbst zu flicken, kann kein Mittelständler bei globalen Softwarekonzernen durchsetzen.
Unterm Strich stellt der C3A Fragen in die richtige Richtung und lässt bei den unbequemsten Antworten sehr viel Luft …
Vergabestellen können ihn trotzdem theoretisch gebrauchen, als Werkzeugkasten: einzelne Kriterien gezielt auswählen, und bei den Zulieferern selbst nachschärfen.
Wer ihn als Gütesiegel liest, kauft am Ende wieder Joghurt mit Kuh auf dem Deckel, abgefüllt in einer Molkerei, deren Mutterkonzern die Frage nach dem Firmensitz sehr entspannt beantworten kann …