SAP darf in seiner Cloud-Region Walldorf künftig Daten und Anwendungen mit dem Geheimhaltungsgrad „Nur für den Dienstgebrauch“ verarbeiten. Die Erlaubnis des Bundesamts für Sicherheit in der Informationstechnik stärkt die Position des Konzerns im Markt für eine souveräne Behörden-Cloud, ist aber noch nicht mit einer vollständigen Zulassung gleichzusetzen.
Die VS-NfD-Einstufung betrifft dienstliche Verschlusssachen, die nicht für die Öffentlichkeit bestimmt sind. Für Behörden und Unternehmen aus regulierten Branchen ist deshalb nicht allein entscheidend, wo Daten gespeichert werden, sondern auch, wer Systeme betreibt und wie Zugriffe kontrolliert werden. Auf der Plattform sollen sowohl SAP-Programme als auch kundeneigene Anwendungen unter diesen Vorgaben laufen können. Nach Angaben des Unternehmens gehört SAP damit zu einer kleinen Gruppe von Anbietern mit einer entsprechenden BSI-Erlaubnis für zentrale Sicherheitskomponenten.
Die Erlaubnis ist ein wichtiger Schritt, aber noch keine vollständige BSI-Zulassung
Die Genehmigung gilt zunächst für bestimmte Arbeitslasten in den firmeneigenen Rechenzentren in Walldorf und St. Leon-Rot. Der Betrieb soll ausschließlich durch sicherheitsüberprüftes Personal erfolgen, wodurch Wartung, Administration und Zugriffsrechte enger gefasst werden als bei gewöhnlichen Cloud-Angeboten. Die VS-NfD-konforme Cloud bleibt damit an klar definierte technische und organisatorische Bedingungen gebunden. Als nächster Schritt steht die vollständige BSI-Zulassung an, zu der auch eine erneute Zertifizierung nach ISO 27001 auf Grundlage des IT-Grundschutzes gehören soll.
Dieser Zwischenstatus ist für die Einordnung entscheidend. Eine Einsatzerlaubnis zeigt, dass wesentliche Komponenten bereits für den vorgesehenen Sicherheitszweck genutzt werden dürfen, sie ersetzt jedoch nicht das gesamte Prüfverfahren. Für potenzielle Kunden schafft das mehr Planungssicherheit, während Umfang und Zeitplan der abschließenden Zulassung offenbleiben. Der in rund zwölf Monaten abgeschlossene Evaluierungsprozess deutet zugleich auf eine engere Zusammenarbeit zwischen Behörden und Industrie bei der IT-Sicherheit hin.
Der Cloud-Standort Walldorf wird zum strategischen Baustein deutscher Digitalpolitik
Die Cloud-Region Walldorf besteht aus drei räumlich getrennten Verfügbarkeitszonen. Fällt ein Rechenzentrum aus, können Anwendungen grundsätzlich innerhalb der Region verteilt werden, was die Widerstandsfähigkeit erhöhen soll. Betrieb und Infrastruktur bleiben nach Unternehmensangaben vollständig unter Kontrolle von SAP in Deutschland. Damit wird der Cloud-Standort Walldorf auch zu einem Argument in der Debatte über digitale Abhängigkeiten.
Für die öffentliche Verwaltung ist diese Frage besonders wichtig. Viele Behörden wollen moderne Cloud-Dienste nutzen, müssen sensible Informationen aber unter engeren Sicherheits- und Kontrollvorgaben verarbeiten. Eine souveräne Behörden-Cloud soll diesen Zielkonflikt entschärfen, indem Datenhaltung, Betrieb, Technik und rechtliche Zuständigkeit enger kontrolliert werden. Ob daraus ein breiter Markt entsteht, hängt jedoch auch von Kosten, Leistungsfähigkeit und der Möglichkeit ab, bestehende IT-Systeme ohne lange Unterbrechungen zu verlagern.
Offene Technologien allein schaffen noch keine digitale Souveränität
Technisch handelt es sich bei der SAP Cloud Infrastructure um ein Infrastructure-as-a-Service-Angebot. Kunden mieten dabei Rechenleistung, Speicher und Netzwerktechnik, statt eigene Hardware zu betreiben, tragen aber weiterhin Verantwortung für Anwendungen und Konfiguration. SAP setzt nach eigenen Angaben auf Open-Source-Technologien und verbindet diese mit eigenen Betriebs- und Sicherheitsprozessen. Die souveräne Cloud-Infrastruktur soll dadurch überprüfbarer und weniger abhängig von einzelnen proprietären Komponenten werden.
Entscheidend ist allerdings nicht nur der Quellcode. Digitale Souveränität umfasst auch die Frage, ob ein Anbieter Personal, Schlüsseltechnologien, Support und rechtliche Entscheidungsgewalt langfristig kontrollieren kann. SAP verweist auf Zertifizierungen für Informationssicherheit, Rechenzentrumsbetrieb und Cloud-Kontrollen sowie auf eine Selbstbewertung nach dem BSI-Kriterienkatalog C3A. Solche Nachweise erleichtern Beschaffungsentscheidungen, müssen aber regelmäßig erneuert und im laufenden Betrieb durch Audits, Sicherheitsupdates und belastbare Notfallprozesse bestätigt werden.
SAP verschärft den Wettbewerb um sensible Cloud-Aufträge
Mit der Freigabe erweitert SAP sein Angebot für Behörden und regulierte Industrien, in denen gewöhnliche Cloud-Verträge häufig nicht ausreichen. Die SAP Cloud Infrastructure ergänzt weitere Betriebsmodelle des Konzerns, darunter Lösungen in kundeneigenen Rechenzentren und die auf die öffentliche Verwaltung ausgerichtete Delos Cloud. Diese Staffelung erlaubt unterschiedliche Grade an Kontrolle, erhöht aber auch die Komplexität bei Auswahl, Migration und Betrieb.
Strategisch versucht SAP, seine starke Stellung bei Unternehmenssoftware mit eigener Infrastruktur zu verbinden. Das kann den Wechsel in die Cloud für Bestandskunden erleichtern, weil Anwendungen, Datenbanken und Betriebsumgebung aus einer Hand kommen. Gleichzeitig wächst die Bindung an das SAP-Ökosystem, was Behörden und Unternehmen bei langfristigen Verträgen berücksichtigen müssen. Die Freigabe verbessert die Ausgangslage des Konzerns, entscheidet den Wettbewerb um sicherheitskritische Cloud-Aufträge aber noch nicht.
