1. Rechtssicherheit und DSGVO-Konformität, ohne Zugriff ausländischer Behörden auf Daten.
2. Wechselfähigkeit, um Vendor-Lock-in zu vermeiden.
3. Sicherstellung der Kontrolle, auch bei Ausfall, Sperrung oder Wechsel von Dienstleistern.
4. Transparenz, etwa durch einsehbaren Quellcode.
5. Anpassbarkeit und Gestaltbarkeit, zum Beispiel durch Weiterentwicklung in der Community oder durch Dienstleister.

Ich habe es hier schon oft angemerkt und finde es positiv, dass nun auch eine verwaltungsnahe deutsche Einrichtung öffentlich Kritik äußert. Indirekt richtet sich diese übrigens auch an das BSI, das sich am Washing beteiligt hat.

Ein besonders bemerkenswerter Abschnitt:

Doch auch solche Zweifel will Delos ausräumen. „Jedes einzelne Update läuft durch ein vom BSI freigegebenes Gateway und wird durch uns und das BSI geprüft“, sagt Hagl. „Falls es einmal eine technische Situation gibt, für die es Spezialisten aus den USA braucht, dann guckt dabei immer jemand über die Schulter.“

Die Vorstellung, dass für jede technische Herausforderung tatsächlich Spezialisten aus den USA eingeflogen werden, erscheint wenig plausibel. In der Praxis wird ein solcher Support wohl remote erfolgen – ganz ohne physische Aufsicht vor Ort.

Ein weiteres fragwürdiges Versprechen folgt hier:

All das soll dazu dienen, die strengen Sicherheitsanforderungen der deutschen Verwaltung zu erfüllen. Und was ist, wenn Donald Trump anordnet, dass Microsoft künftig keine Services mehr an Deutschland liefern darf? „Im extremen Krisenfall kann Delos Cloud völlig autark weiterlaufen, selbst wenn Microsoft in den USA gezwungen würde, Dienste abzuschalten“, verspricht Hagl. „Das kann niemand sonst.“

Die Aussage suggeriert, dass eine Microsoft-basierte Cloud einfach ohne jegliche Updates weiterlaufen könnte – und das, obwohl regelmäßig neue Sicherheitslücken bekannt werden. Es liegt nahe, sich zu fragen, ob diese Lücken bewusst als potenzielle Hintertüren bestehen bleiben.

Natürlich sind weder tiefgehende Sicherheitskenntnisse noch Expertenwissen in der Microsoft-Welt erforderlich, um skeptisch zu sein. Wer regelmäßig IT-Nachrichten verfolgt, dürfte Zweifel daran haben, dass diese Cloud tatsächlich dem US-amerikanischen Cloud Act entgehen kann.