Kein souveräner Staat?: Geheimdienste in der Google-Cloud, geschwächte Verschlüsselung und ein Land am US-Tropf -

Die Bundesrepublik Deutschland ist offenbar digital nicht souverän. Sie ist es nicht in ihrer Verwaltung, nicht in ihrer Polizei und nicht einmal bei ihren Geheimdiensten. Das ist kein Gefühl und keine Polemik, sondern lässt sich Punkt für Punkt belegen. Der jüngste Beweis: Der Bundesnachrichtendienst, der Verfassungsschutz und der Militärische Abschirmdienst sollen ihre geheimsten Informationen künftig in einer Cloud von Google austauschen. Ich zeige in diesem Beitrag, warum das keine Ausnahme ist, sondern die logische Folge einer jahrzehntelangen Politik.

Der Anlass: Die ND-Cloud

Nach einer Recherche von NDR und WDR, die die Tagesschau veröffentlicht hat, planen BND, Bundesamt für Verfassungsschutz und MAD eine gemeinsame Cloud für Informationen bis zur Geheimhaltungsstufe „Geheim“. Grundlage soll eine abgeschottete Variante von Google Distributed Cloud sein. Laut Basic Tutorials läuft sie in eigenen Rechenzentren ohne Internetverbindung, die Daten sollen in Deutschland bleiben, Google soll keinen Zugriff haben. Später sollen die Landesämter für Verfassungsschutz hinzukommen, dazu ist KI-gestützte Datenanalyse geplant. Genannt wird eine Summe von mindestens 500 Millionen Euro. Das Geld soll erst fließen, wenn das BSI die Komponenten zugelassen hat, der Start im ersten Quartal 2027 verzögert sich.

Der Haken steht im Kleingedruckten: Die Software und ihre Updates kommen weiterhin von Google. DSGVOSCAN weist darauf hin, dass offen ist, wer diese Updates nach der Zulassung prüft. Der Sicherheitsforscher Sven Herpig verlangt, dass der Betreiber beurteilen können muss, was ein Update ändert. Eine Prüfsumme zeigt nur, dass eine Datei unverändert angekommen ist, nicht, was sie tut. Die t3n-Kommentierung fasst es so zusammen: Google-Software bleibt Google-Software. Dieselbe Quelle nennt Alternativen, die längst existieren: openDesk aus dem ZenDiS-Umfeld und Matrix/Element, das Behörden schon nutzen.

Ein Staat, der seine Geheimdaten auf der Technik eines US-Konzerns betreibt, muss sich auf dessen Updates, dessen Fahrplan und dessen Wohlwollen verlassen. Das ist das Gegenteil von Souveränität.

Verschlüsselung: Seit 1970 Sabotage im Dienst der Geheimdienste

Ich beginne bei der Verschlüsselung, weil sich hier die Haltung des Staates am klarsten zeigt. 1970 kauften BND und CIA gemeinsam die Schweizer Firma Crypto AG, getarnt über eine Stiftung in Liechtenstein. Die Geräte, die Regierungen in über 100 Staaten zum Schutz ihrer Kommunikation kauften, waren so gebaut, dass sie sich knacken ließen. Das belegten 2020 SRF, ZDF und Washington Post anhand eines rund 280-seitigen Geheimdienstdossiers zur „Operation Rubikon“. Der BND war zwei Jahrzehnte Miteigentümer und stieg 1993 aus, die CIA machte nach Quellenangaben mindestens bis 2018 weiter. Das ZDF zitiert daraus die Selbsteinschätzung, es sei eine der erfolgreichsten nachrichtendienstlichen Unternehmungen der Nachkriegszeit gewesen.

Der deutsche Staat hat also nicht nur geschwiegen, als Verschlüsselung geschwächt wurde. Er hat sie selbst geschwächt, gemeinsam mit den USA, und jahrzehntelang vom Betrug an der Sicherheit anderer profitiert. Matthias Schulze zog daraus 2020 bei netzpolitik.org die richtige Lehre: Mit guter Verschlüsselung sind wir sicherer als mit absichtlich geschwächter. Eine Hintertür, die nur die „Guten“ nutzen können, gibt es nicht.

Die Geheimdienstpartnerschaft: Deutschland als Zulieferer

Wie eng die deutschen Dienste an die USA gebunden sind, zeigte der NSA-Skandal. Bei der „Operation Eikonal“ zapfte der BND zwischen 2004 und 2008 einen Internetknoten der Deutschen Telekom in Frankfurt an und gab Daten an die NSA weiter. Die Dokumente dazu hat netzpolitik.org 2015 ausgewertet. Das Kanzleramt hatte in einem Schreiben von 2003 den Plan als „aus hiesiger Sicht in Einklang mit geltendem Recht“ bezeichnet.

Der NSA-Untersuchungsausschuss hielt 2017 fest, so fasst es der Tagesspiegel zusammen, dass die gesetzliche Grundlage für Eikonal nicht hinreichend geregelt war, dass die Filterung deutscher Daten nicht lückenlos funktionierte und dass der BND 2013 unzulässige NSA-Selektoren aussortierte. Nach Darstellung der Opposition zielten die BND-eigenen Selektoren auf EU-Regierungen und -Institutionen, auch der Ausschussvorsitzende hielt das Ausspähen europäischer Ziele für gegen deutsche Interessen gerichtet. Snowden wurde nie als Zeuge gehört, die Opposition wurde bei der Abstimmung über den Abschlussbericht überstimmt, und ihr Sondervotum erschien geschwärzt. Ein Staat, der seinen eigenen Untersuchungsausschuss so behandelt, will die Aufklärung nicht.

Die Cloud-Abhängigkeit: US-Recht gilt auch in Frankfurt

Dass Daten in europäischen Rechenzentren bei US-Anbietern dem Zugriff amerikanischer Behörden unterliegen, ist keine Verschwörungstheorie. Ein Gutachten der Universität Köln, nach Born für das Bundesinnenministerium erstellt und über „Frag den Staat“ geschwärzt veröffentlicht, kommt zu dem Ergebnis, dass US-Gesetze wie der CLOUD Act und Section 702 FISA US-Anbieter zur Herausgabe verpflichten, unabhängig vom Speicherort. Das gilt auch für europäische Töchter und für Firmen mit relevantem US-Geschäft.

Microsoft selbst räumte vor dem französischen Senat ein, dass es nicht ausschließen kann, dass US-Behörden auf Daten europäischer Kunden zugreifen, wie TechRadar im Juli 2025 berichtete. Das Unternehmen sei verpflichtet, gültigen Anfragen nachzukommen.

Auch der rechtliche Rahmen für Datenübermittlungen in die USA steht auf dünnem Eis. Der Europäische Gerichtshof hat Safe Harbor und Privacy Shield gekippt, weil die US-Überwachung nach FISA 702 und Executive Order 12333 die Rechte der EU-Bürger verletzte. Gegen das aktuelle Nachfolgeabkommen läuft nach heise ein Rechtsmittelverfahren vor dem EuGH, in dem der Kläger unter anderem die fehlende Unabhängigkeit des US-Kontrollgerichts und die Massenerfassung durch die NSA rügt.

Wie real die Gefahr der Abschaltung ist, zeigte sich im Fall des Internationalen Strafgerichtshofs. Nach US-Sanktionen sperrte Microsoft das E-Mail-Konto des Chefanklägers Karim Khan. Die Arbeit des Gerichts war laut heise erheblich beeinträchtigt, weil es von US-Diensten abhängt. Die Open Source Business Alliance sagte dazu: Man könne sich nicht auf Unternehmen verlassen, die nicht der eigenen Rechtsordnung unterliegen. Was dem Strafgerichtshof passiert ist, kann per Dekret auch einem anderen Staat passieren.

Die Zahlen: Der Bund zahlt Microsoft immer mehr

Die Bundesverwaltung ist laut Computerwoche auf Basis einer Antwort der Bundesregierung auf eine parlamentarische Anfrage mit Microsoft-Zahlungen von 274,1 Millionen Euro in 2023 und 347,4 Millionen im Jahr darauf auf zuletzt 481,1 Millionen Euro gestiegen, ein Plus von rund 38 Prozent innerhalb eines Jahres. Die Open Source Business Alliance, die die Zahlen einordnet und selbst für Open Source wirbt, spricht von „goldenen Handschellen“ und davon, dass proprietärer Quellcode nicht unabhängig auf Hintertüren oder Kill-Switches geprüft werden kann. Weitere Preiserhöhungen für 2026 seien angekündigt.

Im April 2026 kündigte Digitalminister Karsten Wildberger an, die Bundesverwaltung wolle ihre Microsoft-Nutzung schrittweise verringern, wie der Vergabeblog berichtet. Es fehlen laut diesem Bericht ein Zeitplan, eine Zielquote und konkrete Behörden, man spricht von einem „langfristigen Transformationsprojekt“. Und während man das ankündigt, plant man die Geheimdienst-Cloud bei Google.

Ernst gemeint wäre der Ausstieg, wenn der Bund dem Projekt, das ihn ermöglichen soll, nicht Steine in den Weg legte. Das tut er laut netzpolitik.org: Dem Zentrum für Digitale Souveränität (ZenDiS) sind demnach etwa 34 Millionen Euro bewilligter Bundesmittel nicht ausgezahlt worden, die Länder warten seit über zwei Jahren darauf, Gesellschafter zu werden, und eine Grundfinanzierung ist nicht vorgesehen. Wer Open Source in der Verwaltung verhindern wollte, könnte kaum anders vorgehen.

Dass es anders geht, beweist Schleswig-Holstein, das seine Landesverwaltung auf LibreOffice, Open-Xchange und Linux umstellt und laut Staatskanzlei auf fast 80 Prozent der Arbeitsplätze außerhalb der Steuerverwaltung bereits umgestellt hat und dabei über 15 Millionen Euro Lizenzkosten spart. Das Gegenbeispiel ist also da, der Bund folgt ihm nicht.

ePA: Das Experiment am lebenden Bürger

Wie ernst der Staat Datensicherheit nimmt, zeigt die elektronische Patientenakte. Ende 2024 zeigten Bianca Kastl und Martin Tschirsich vom Chaos Computer Club, dass sich Zugriffe auf Patientenakten erschleichen ließen. Die Bundesdatenschutzbeauftragte hatte früh vor dem hohen Risiko gewarnt, trotzdem hielt das Gesundheitsministerium am Starttermin fest, wie heise berichtete. Der CCC warnte laut t-online, Kriminelle könnten auf einen Schlag Zugriff auf mehr als 70 Millionen Akten erhalten. Die gematik hielt die Szenarien für technisch möglich, aber in der Praxis „wenig wahrscheinlich“.

Ein Jahr später, auf dem Kongress im Dezember 2025, war die Bilanz laut heise nicht besser: Schwächen bei Identitäten und Authentifizierung, falsch zugeordnete Heilberufsausweise, Flickschusterei bei den Gegenmaßnahmen und unveröffentlichte Unterlagen wie die Datenschutz-Folgenabschätzung. Der CCC forderte ein Ende der „ePA-Experimente an lebenden Bürgern“, eine unabhängige Sicherheitsbewertung und einen offenen Entwicklungsprozess. Betroffen sind Gesundheitsdaten von Millionen Menschen, geprüft wird nach dem Start.

Chatkontrolle: Die Hintertür bleibt auf dem Tisch

Auch bei der Chatkontrolle ist die Haltung der Bundesregierung klar, wenn man auf das schaut, was sie tut, und nicht auf das, was sie sagt. Zwar erklärte Justizministerin Stefanie Hubig im Oktober 2025, anlasslose Chatkontrolle müsse „in einem Rechtsstaat tabu sein“, so die Netzwoche. In den internen Ratsdokumenten vom Juli 2026, die netzpolitik.org ausgewertet hat, unterstützt die Bundesregierung aber die Wiedereinführung der Ausnahmeregel für freiwilliges Scannen privater Nachrichten mit „höchster Priorität“ und schließt verpflichtende Erkennung nicht aus, solange sie die freiwillige ergänze. Der Rat lehnt laut dem Bericht auch nicht ausdrücklich ab, verschlüsselte Kommunikation einzubeziehen, während das Europäische Parlament Ende-zu-Ende-Verschlüsselung ausnehmen will.

Die Datenschutzkonferenz, die Gemeinschaft aller unabhängigen Datenschutzbehörden, hat im Mai 2026 in einer Entschließung unmissverständlich geantwortet: Das Brechen von Ende-zu-Ende-Verschlüsselung und das Umgehen durch Client-Side-Scanning seien unverhältnismäßige Grundrechtseingriffe. Die Regierung hört auf ihre eigenen Datenschützer nicht.

Polizei: Palantir und der Preis der Bequemlichkeit

Auch bei der inneren Sicherheit setzen die Länder auf US-Technik. Bayern, Hessen und Nordrhein-Westfalen nutzen laut ZDF Software des US-Unternehmens Palantir, Baden-Württemberg hat den Weg dafür freigemacht, die Kosten gehen in die Dutzenden Millionen. Auch nachdem der Konzern ein politisches Manifest veröffentlichte, in dem unter anderem die deutschen Nachkriegsbeschränkungen angegriffen werden, hielten die meisten Länder an der Software fest. Hessens Innenminister nannte den Einsatz „derzeit richtig und notwendig“. Man sollte sich merken, wie leicht ein Bundesland sagt, es gebe keine Alternative, obwohl Rheinland-Pfalz europäische Produkte testet und Niedersachsen Palantir komplett ausschließt.

Mein Fazit

Die Belege liegen auf dem Tisch. Der Staat hat Verschlüsselung gemeinsam mit den USA gezielt geschwächt. Er hat seine Geheimdienste jahrzehntelang als Zulieferer der NSA arbeiten lassen. Er zahlt immer höhere Summen an Microsoft, kennt ein Gutachten, nach dem amerikanische Gesetze auf Cloud-Daten in Europa zugreifen können, und plant trotzdem die nächste Cloud bei einem US-Konzern. Er verschleppt die Mittel für das Projekt, das ihn unabhängig machen könnte. Er startet eine Patientenakte für Millionen Menschen vor der Sicherheitsprüfung, und er stellt sich in Brüssel nicht eindeutig gegen die Aushöhlung der Verschlüsselung.

Ich halte das nicht für eine Kette von Zufällen. Wer dieselbe Entscheidung über Jahrzehnte immer wieder trifft, trifft sie nicht aus Versehen. Ein Staat, der seine Geheimnisse bei Google, seine Büros bei Microsoft, seine Polizeianalyse bei Palantir und seine Sicherheitsgarantien bei den Interessen Washingtons verwahrt, ist in diesen Bereichen nicht frei. Er verwaltet seine Abhängigkeit, und er nennt sie Pragmatismus.

Dagegen hilft nur eines: offener Quellcode, europäische Alternativen, Verschlüsselung ohne Hintertüren und die Konsequenz, Ankündigungen an ihren Taten zu messen. Schleswig-Holstein zeigt, dass es geht. Alle anderen müssen nachziehen.

Quellen: Tagesschau/NDR/WDR: ND-Cloud, Basic Tutorials: ND-Cloud, DSGVOSCAN: Wer prüft die Updates?, t3n: Google Cloud für BND, MAD und Verfassungsschutz, SRF: Crypto AG, ZDF: Operation Rubikon, netzpolitik.org: Die Lehre aus der Operation Rubikon, netzpolitik.org: Operation Eikonal, Tagesspiegel: Was vom NSA-Skandal bleibt, Born: Gutachten zum US-Zugriff auf Cloud-Daten, TechRadar: Microsoft und der Cloud Act, heise: Klage gegen das EU-US-Datenabkommen, heise: Microsoft sperrt Konto beim Strafgerichtshof, Computerwoche: Bund zahlt fast eine halbe Milliarde an Microsoft, Vergabeblog: Bund will Microsoft-Abhängigkeit reduzieren, netzpolitik.org: ZenDiS, Staatskanzlei Schleswig-Holstein, heise: ePA-Start trotz Sicherheitslücken, t-online: ePA-Sicherheitslücken, heise: 39C3 zur ePA, Netzwoche: Deutschland und die Chatkontrolle, netzpolitik.org: Chatkontrolle-Zombie, DSK-Entschließung zur Chatkontrolle, ZDF: Palantir und die Länder

Digitale Souveränität Verschlüsselung Datenschutz ND-Cloud Google BND NSA Crypto AG ePA Chatkontrolle Cloud Act Microsoft Palantir Open Source