BND, Verfassungsschutz und MAD wollen ihre geheimen Daten künftig in einer gemeinsamen Cloud teilen. Die Technik dafür kommt von Google. Technisch ist das durchdacht, politisch ist es ein Offenbarungseid. Ein Kommentar.
Es gibt Nachrichten, bei denen man zweimal hinschaut, ob man sich nicht verlesen hat. Diese hier gehört dazu: NDR und WDR haben recherchiert, dass die drei deutschen Nachrichtendienste, also der Bundesnachrichtendienst (BND, zuständig fürs Ausland), das Bundesamt für Verfassungsschutz (BfV, zuständig fürs Inland) und der Militärische Abschirmdienst (MAD, zuständig für die Bundeswehr), eine gemeinsame Daten-Plattform bauen. Sie heißt „ND-Cloud”, ND wie Nachrichtendienste. Und die Technik dafür liefert Google.
Kostenpunkt: mindestens 500 Millionen Euro. Verarbeitet werden sollen Informationen bis zur Geheimhaltungsstufe „Geheim”, der zweithöchsten, die es in Deutschland gibt.
Was genau geplant ist
Zunächst das Nüchterne, denn hier wird gern durcheinandergeworfen. Es geht nicht um Gmail, nicht um Google Drive und auch nicht um die normale Google Cloud, wie sie Unternehmen weltweit nutzen. Vorgesehen ist die „Google Distributed Cloud” in der sogenannten Air-Gapped-Variante. Air-Gapped heißt wörtlich „mit Luftspalt”: Das System ist vollständig vom Internet getrennt. Keine Leitung nach draußen, keine Verbindung zu Google-Servern.
Die Rechner stehen in Deutschland, voraussichtlich in einem Rechenzentrum der BWI, dem IT-Dienstleister der Bundeswehr. Google soll laut Planung keinen Zugriff auf die gespeicherten Informationen haben. Der Zweck: Bisher tauschen die drei Dienste ihre Erkenntnisse umständlich über stark abgeschirmte Einzelsysteme aus. Manche Dokumente lassen sich nur an speziellen Rechnern in der jeweiligen Behörde lesen. Das soll schneller werden. Später könnten auch die Landesämter für Verfassungsschutz angebunden werden.
Der Start war für Anfang 2027 geplant. Er verzögert sich, weil mehrere Komponenten noch durch das Zulassungsverfahren des Bundesamts für Sicherheit in der Informationstechnik (BSI) müssen. Erst danach fließt das Geld.
Ganz neu ist der Weg übrigens nicht. Die Bundeswehr hat denselben Deal bereits im Juni 2025 geschlossen: Die BWI baut mit Googles Air-Gapped-Technik die „pCloudBW”, die bis Ende 2027 stehen soll. Die ND-Cloud setzt darauf auf.
Warum ich trotzdem ein Problem damit habe
Ich unterstelle niemandem Leichtfertigkeit. Die Leute, die diese Entscheidung getroffen haben, wissen, was sie schützen. Und technisch ist eine abgeschottete Cloud ohne Internetverbindung eine saubere Idee.
Aber eine Frage bleibt: Warum muss es ein US-Konzern sein?
Seit Jahren redet die Politik von „digitaler Souveränität”. Wir müssten unabhängiger werden von amerikanischer Technik, heißt es in jeder zweiten Rede. Ausgerechnet Verfassungsschützer haben kürzlich noch gefordert, Deutschland müsse Alternativen zu solchen Produkten anbieten können. Und dann, beim sensibelsten Thema, das dieser Staat überhaupt hat, fällt die Wahl auf Google.
Dabei gäbe es Kandidaten. Die Telekom betreibt Hochsicherheits-Rechenzentren und hat mit T-Systems jahrzehntelange Erfahrung mit Behörden-IT. IONOS, Schwarz Digits (die IT-Tochter der Lidl-Mutter), SAP: Das sind keine Garagenfirmen. Vielleicht wäre das Ergebnis nicht ganz so elegant wie bei Google. Aber für Daten bis zur Stufe „Geheim” wäre mir ein solider Anbieter unter deutschem Recht deutlich lieber als ein brillanter unter amerikanischem.
Was US-Recht mit deutschen Daten macht
Denn das ist der Kern des Problems, und er ist keine Vermutung, sondern Gesetzeslage.
2013 verlangten US-Ermittler von Microsoft die E-Mails eines Verdächtigen. Die lagen auf einem Server in Irland. Microsoft weigerte sich: Für Daten in Europa seien europäische Gerichte zuständig. Der Streit ging durch alle Instanzen bis vor den Supreme Court. Bevor der entscheiden konnte, löste die Politik das Problem auf ihre Weise: Im März 2018 trat der CLOUD Act in Kraft. Seitdem gilt: US-Behörden dürfen von US-Unternehmen Daten verlangen, egal, wo auf der Welt sie gespeichert sind. Es reicht, dass der Konzern amerikanisch ist.
Das ist keine Theorie. Microsoft weist in seinen Transparenzberichten für 2025 erstmals Fälle aus, in denen Inhaltsdaten von Firmenkunden aus der EU an US-Strafverfolger gingen. Und im Juni 2025 saß Microsofts Frankreich-Justiziar Anton Carniaux im französischen Senat, unter Eid. Die Frage: Können Sie garantieren, dass Daten französischer Bürger niemals ohne Zustimmung Frankreichs an die US-Regierung gehen? Seine Antwort: „Nein, das kann ich nicht garantieren.”
Nun werden die Verantwortlichen sagen: Bei uns greift das nicht, die Box ist dicht, Google kommt gar nicht an die Daten. Das mag stimmen. Aber die Software in dieser Box kommt von Google. Jedes Sicherheitsupdate kommt von Google. Sven Herpig von der Berliner Denkfabrik Interface, einer der profiliertesten IT-Sicherheitsforscher des Landes, bringt es auf den Punkt: Kann ein Betreiber in Deutschland überhaupt beurteilen, welche Auswirkungen ein Update hat? Und wann ist ein Update so umfangreich, dass das BSI neu prüfen müsste? Niemand weiß das so recht.
Wer die Software kontrolliert, kontrolliert das System. Alles andere ist Hoffnung.
Die Vorbildrolle
Es kommt ein zweites Problem dazu, das weniger technisch ist. Behörden wie der BND sind Vorbilder, ob sie wollen oder nicht. Wie soll ein Mittelständler, ein Krankenhaus oder eine Stadtverwaltung ernsthaft darüber nachdenken, auf europäische Anbieter zu setzen, wenn selbst die Geheimdienste signalisieren: Ohne Google geht es nicht?
Jede Entscheidung dieser Art zementiert die Abhängigkeit ein Stück weiter. Und sie nimmt den deutschen Anbietern genau die Referenzprojekte, mit denen sie wachsen könnten. Souveränität entsteht nicht durch Reden, sondern durch Aufträge.
Mein Fazit
500 Millionen Euro sind genug Geld, um eine deutsche oder europäische Lösung zu bauen. Vielleicht hätte es länger gedauert. Vielleicht wäre es anfangs holpriger gewesen. Aber es wäre unsere Lösung gewesen, unter unserem Recht, mit unseren Updates.
Dass man es offenbar nicht einmal ernsthaft versucht hat, ist für mich keine verantwortungsvolle Entscheidung. Das ist Bequemlichkeit, bezahlt mit dem Wertvollsten, was ein Staat besitzt: seinen Geheimnissen. Und mit der Glaubwürdigkeit all jener, die am Sonntag von Souveränität sprechen und am Montag bei Google unterschreiben.
