Symbolbild Netzwerktechnik, keine Aufnahme der geplanten ND-Cloud. Bild: Brett Sayles / Pexels Foto 2881232, Pexels-Lizenz (keine CC0-Lizenz).

BND, Verfassungsschutz und Militärischer Abschirmdienst wollen geheime Informationen künftig über eine gemeinsame Cloud austauschen. Nach einer am 26. Oktober veröffentlichten Recherche von NDR und WDR soll dafür Technik von Google eingesetzt werden. Die geplante „ND-Cloud“ soll ohne direkte Verbindung ins Internet oder zu Google arbeiten. Für den Schutz der darin verarbeiteten Daten bleibt trotzdem eine Frage offen: Wer kontrolliert die Software, wenn nach der Zulassung das nächste Update kommt?

Stand: 26.10.2026

Was über die Pläne bekannt ist

Die Recherche von NDR und WDR bei der Tagesschau beschreibt ein gemeinsames System für Informationen bis zur Geheimhaltungsstufe „Geheim“. Beteiligt wären zunächst das Bundesamt für Verfassungsschutz, der Bundesnachrichtendienst und der Militärische Abschirmdienst. Später könnten die Verfassungsschutzbehörden der Länder hinzukommen. Heute ist der Austausch solcher Dokumente durch die besonders abgeschirmten Systeme der einzelnen Behörden aufwendig.

Als technische Grundlage nennen die Reporter eine Air-Gapped-Version von Google Distributed Cloud. Die Daten sollen in Deutschland bleiben; Google soll keinen Zugriff erhalten. Mehrere Komponenten befinden sich dem Bericht zufolge noch im Zulassungsverfahren beim Bundesamt für Sicherheit in der Informationstechnik. Die Freigabe der Haushaltsmittel soll erst danach erfolgen. Auch der ursprünglich angepeilte Start im ersten Quartal 2027 verzögere sich. Das ist der berichtete Planungsstand, keine Meldung über ein bereits vollständig zugelassenes oder in Betrieb genommenes System.

Abgeschottet betreiben heißt weiterhin Software übernehmen

Ein solches Cloud-System ist nicht mit einem gewöhnlichen Konto bei einem öffentlichen Cloudanbieter gleichzusetzen. Die Google-Dokumentation zur Air-Gapped-Version beschreibt den Betrieb auf eigener Infrastruktur ohne erforderliche Verbindung zu Google Cloud. Für die Installation werden Softwarepakete außerhalb des isolierten Netzes heruntergeladen und über einen Datenträger in die Umgebung übertragen. Der Hersteller nennt außerdem Prüfsummen zur Kontrolle der übertragenen Dateien.

Diese technische Beschreibung erklärt das Produkt, bestätigt aber keine konkrete Umsetzung bei den deutschen Nachrichtendiensten. Ein fehlender Internetanschluss schützt vor bestimmten Zugriffswegen. Er beantwortet noch nicht, wie eine neue Softwareversion geprüft wird, welche Funktionen sie verändert oder wer sie für den Einsatz mit geheimen Daten freigibt. Eine Prüfsumme kann bestätigen, dass eine Datei unverändert übertragen wurde. Ob ihre Funktionen für einen bestimmten Einsatz zulässig und ausreichend abgesichert sind, muss gesondert bewertet werden.

Der von NDR und WDR befragte Sicherheitsexperte Sven Herpig verweist genau auf diese Folgefrage. Updates kämen weiterhin von Google. Der Betreiber müsse beurteilen können, was sie verändern und ab welchem Umfang eine erneute Bewertung und Zulassung nötig wird. Aus der Auswahl eines US-Anbieters allein lässt sich weder ein Datenabfluss noch ein Zugriff durch diesen Anbieter ableiten. Belegt ist hier ein Abhängigkeits- und Kontrollproblem bei einem geplanten System, keine festgestellte Datenpanne.

Gemeinsame Technik braucht getrennte Zugriffsentscheidungen

Für den Umgang mit personenbezogenen Informationen ist neben der äußeren Abschottung relevant, was innerhalb der gemeinsamen Umgebung geschieht. Aus einer technisch möglichen Übermittlung folgt noch keine Befugnis, Informationen für jeden Zweck an jede beteiligte Stelle weiterzugeben. Die Recherche veröffentlicht weder ein vollständiges Berechtigungskonzept noch konkrete Regeln für Löschung und Protokollierung. Wie die einzelnen Behörden ihre Datenbestände voneinander abgrenzen sollen, lässt sich daraus daher nicht abschließend beurteilen.

Bei einer fachlichen Prüfung wären unter anderem die Freigabe zusätzlicher Zugriffsrechte und die Nachvollziehbarkeit behördenübergreifender Abrufe zu untersuchen. Ebenso müsste geklärt sein, wie korrigierte oder gelöschte Informationen in gemeinsam genutzten Beständen behandelt werden. Das sind Prüffragen der Redaktion, keine Behauptung, solche Vorkehrungen fehlten im Projekt. Die Tätigkeit der Nachrichtendienste unterliegt besonderen gesetzlichen Regeln; der Bericht belegt keinen pauschalen DSGVO-Verstoß.

Welche Nachweise vor dem Betrieb zählen

Für die weitere Bewertung wären die ausstehenden Zulassungen und die tatsächlichen Betriebsregeln aussagekräftiger als das Etikett „souveräne Cloud“. Dazu gehören nachvollziehbare Zuständigkeiten für Updates, Tests vor der Übernahme neuer Versionen und ein Verfahren für den Fall, dass der Hersteller keine benötigten Sicherheitskorrekturen mehr liefert. Auch ein Anbieterwechsel setzt voraus, dass gespeicherte Informationen und die zugehörigen Zugriffsregeln in eine andere Umgebung überführt werden können.

Die heutige Veröffentlichung macht ein konkretes deutsches Vorhaben öffentlich, dessen organisatorische und technische Freigaben noch nicht abgeschlossen sind. Ob die geplante Abschottung auch im laufenden Betrieb hält, hängt deshalb an Entscheidungen, die über den Standort der Server hinausgehen. Ein belastbarer Nachweis müsste den Weg vom gelieferten Softwarepaket bis zur freigegebenen Verarbeitung geheimer Informationen abdecken.