Lieber Big Tech: Warum das BIT europäische Cloud-Alternativen sperrt

Im Zuge meiner Public Cloud-Recherche habe ich mich bei einigen Bundesangestellten etwas umgehört. Wofür genau brauchen sie eigentlich eine Cloud? Was sind die klassischen Anwendungsszenarien (Datenbanken, Dokumentenbearbeitung, Applikationen)? Mit welch alternativer Software – ausser dem omnipräsenten Microsoft (wie etwa dem bundeseigenen „Intranet“ Sharepoint, Teams, Emails und und und) – arbeiten sie noch gemeinsam an Dokumenten und wo speichern sie diese? Was sind typische Collaboration Cloud und File Sharing-Lösungen, die nicht vom Big Tech-Riesen aus Redmond stammen?

Dabei bin ich auf ein interessantes Dialogprojekt beim BAFU Bundesamt für Umwelt gestossen. Mitarbeitende experimentieren dafür mit Kommunikationstools und mit Open Source Lösungen wie „Nextcloud“ die es erlauben, Daten auf dem eigenen Server zu hosten. Die europäische Alternative zu den amerikanischen Cloud-Giganten ist bei verschiedenen Schweizer Institutionen beliebt. Bei der ETH und beim CERN werden Nextcloud-Server für eigene Dokumente genutzt. Institutionen denen aufgrund von Forschungsgeheimnissen womöglich ebenfalls viel an Datenhoheit liegt.

Soweit, so gewöhnlich. Doch eine eigene Instanz via Nextcloud-Startseite aufzusetzen und zu betreiben, ist gar nicht so ein einfaches Unterfangen bei der Bundesverwaltung. Es scheint als ob die BAFU-Mitarbeitenden diese Lösungen nur über ihr privates Netz einrichten konnten. Denn der Zugriff auf nextcloud.com ist vom bundeseigenen Netzwerk nicht erlaubt, wie verschiedene Bundesangestellten gegenüber DNIP bestätigten. Dasselbe gilt auch für Google Drive, was wiederum aus Gründen des amerikanischen Cloud Acts nachvollziehbar ist. Anders ist das natürlich bei der „Standard-Infrastruktur“ von Microsoft. Microsoft 365, Skype und auch Teams sind Anwendungen, mit denen Bundeseinheiten arbeiten und die standardmässig eingerichtet sind (und offenbar nach eigener IT-Sicherheitsanalyse des Bundes – im Jargon: SCHUBAN, Schutzbedarfsanalyse- genannt, kein Risiko für die Behörden darstellt).

Auch der Zugriff auf AWS-Cloud-Lösungen unterliegen keinen Restriktionen. Kein Wunder: Neben Swisstopo, arbeiten auch das BIT (Bundesamt für Informatik und Telekommunikatin), die eidgenössische Zollverwaltung und das Bundesamt für Meteorologie mit Amazons Cloud-Datenzentren.

Dass in einer Verwaltung oder in einem Staatsbetrieb alternative Speicher- und Cloud-Dienste extra streng geprüft und je nachdem auch gesperrt werden, liegt auf der Hand. Doch wir wollten es genauer wissen. Wir haben beim BIT nachgefragt, wie die Policy dazu ist:

„Es werden beispielsweise Dienste gesperrt, welche die Informationssicherheit der Bundesverwaltung gefährden können oder aufgrund von zu viel Datenverkehr die Performance des Internetzugangs der Bundesverwaltung zu stark belasten würden.“

Sonja Uhlmann, BIT-Sprecherin

Uhlmann verweist auch auf die „Web Proxy Policy“. Gemäss dieser ( nicht öffentlich verfügbaren) Policy sind folgende Dienste gesperrt:

Spiele für Erwachsene (Adult games)
– Anonymisierer (Anonymizers)
– Werbebanner (Banners)
– DNS-Dienste (DNS Services)
– Spielen/Wetten (Gambling)
– Hackers
– Plauderprogramme / Sofortiger Datentransfer (Chatprogramme / Instant Messaging)
– Schadsoftware (Malware)
– Online Speicher (Online Storage)
– P2P-Software (Peer-to-Peer (P2P) Softwareserver)
– “Angeln” (Phishing)
– Anstössige Inhalte (Pornography)
– Fernwartungs-Software (Remote-Control Software)
– Späh- oder Schnüffelsoftware (Spyware)
– Virtuelle private Netzwerk Software (VPN Software)
– Internet-Telefonie Software (VoIP Software)

Offenbar gibt es in der Kategorie „Online Speicher“ durchaus genehmigte Ausnahmen wie obige Beispiele sagen. Ebenfalls interessant: Auch die Schweizer Lösungen wie Infomaniak oder Switchdrive scheinen problemlos erreichbar zu sein. Eine Angestellte könnten daher problemlos mit kDrive (von Infomaniak) an Office-Dokumenten arbeiten und Daten miteinander teilen.

Weshalb ist dann genau Nextcloud.com „blackgelistet“? Darauf haben wir keine eindeutige Antwort erhalten, nur eine allgemeine.

„Bei der Kategorie Speicherdienste besteht die Gefahr, dass geschäftliche Informationen nicht autorisierter Drittpersonen zur Verfügung gestellt werden könnten. Der Zugriff auf die oben genannten Kategorien ist gemäss der Web Proxy Policy aus dem internen Netz des Bundes grundsätzlich gesperrt und wird nur bei geschäftlichen Bedarf auf Antrag dediziert geöffnet.“

Sonja Uhlmann, Mediensprecherin BIT

Vielleicht sollte die Bundesverwaltung oder das BIT nochmals über die Bücher gehen und seine Whitelist nach eingehender Prüfung updaten. Nextcloud erfreut sich zunehmender Beliebtheit in der Schweiz und untersteht dem noch viel strengeren restriktiven DSGVO-Gesetz. Der Datenhunger europäischer Strafverfolgungs- oder Sicherheitsbehörden ist zweifellos auch da. Und auch wenn Verschlüsselungsfrage sicherlich auch eine Rolle spielt und hierbei auch Big Tech einiges investiert hat und anbietet: Die Gefahr, dass autorisierte Drittpersonen auf Bundesdaten zugreifen können, ist bei den amerikanischen oder chinesischen Big Tech-Firmen aufgrund deren gesetzlichen Herausgabepflichten, die auch extraterritorial angewendet werden, noch einiges grösser.

Ah ja Fun Fact: Um eine eigene Nextcloud-Instanz als Verwaltungseinheit betreiben zu können, braucht man gar keinen Zugriff auf nextcloud.com. Da es sich um eine Open Source-Lösung handelt, kann man diesen direkt von Github installieren, oder via einem „Repository“ (wie „apt-get“ oder „snap“ oder „Docker Container“), und die passenden Server dazu gibts ja via AWS. Darauf lässt sich dann auch ironischerweise mit den Bundesrechnern problemlos darauf zugreifen. (all die IP-Adressen mit Nextcloud-Instanzen individuell zu sperren, wäre ja bisschen Sisyphos-Arbeit für das BIT)

Und zu allerletzt: Für die „Web Proxy Policy“ ist offenbar eine andere Behörde zuständig: Der Bereich Digitale Transformation und IKT-Lenkung DTI der Bundeskanzlei. Ich habe ebenfalls eine BGÖ-Anfrage an das BIT bezüglich aller gesperrten Webdiensten gerichtet. Updates folgen…

Update 13:35: Da auf Twitter die Frage aufkam bezüglich illegitimer Experimente und „Schatten-IT“: die betreffenden Verwaltungseinheiten experimentieren nicht mit Bundesdaten und auf Arbeitsgeräten. Sie testen selber privat (mit eigenen Rechnern) wie man Nextcloud konkret nutzen kann. Der Dialog dazu läuft ganz öffentlich und offiziell über die jeweiligen Dienste. Das geht aus meinem Text nicht klar hervor, weswegen ich das nochmals ausdrücklich festhalten möchte.