Der digitale Wandel macht auch vor den sensibelsten Bereichen unserer Gesellschaft nicht halt: Kritische Infrastrukturen, wie Energieversorgung, Gesundheitswesen und öffentliche Verwaltung, stehen zunehmend unter dem Druck, ihre IT-Systeme zu modernisieren. Die Integration von Cloud-Technologien verspricht Effizienz, Skalierbarkeit und Resilienz – doch sie birgt auch ernsthafte Risiken und regulatorische Hürden.
Cloudifizierung unter besonderer Beobachtung
Die Cloud hat sich längst vom Trend zur strategischen Notwendigkeit entwickelt. Laut einer Bitkom-Studie (2025) setzen 76 Prozent der deutschen Unternehmen bereits auf Cloud Computing – ein Anstieg von 12 Prozentpunkten gegenüber 2022. Besonders im Kontext kritischer Infrastrukturen (KRITIS) ist jedoch Vorsicht geboten: Hier gelten datenschutzrechtlich besonders hohe Anforderungen, zudem spielt die Souveränität über Daten, Systeme und Kommunikation eine zentrale Rolle.
Kritische Infrastrukturen sind nach Definition des Bundesamts für Sicherheit in der Informationstechnik (BSI) Einrichtungen, „deren Ausfall dramatische Auswirkungen auf die öffentliche Sicherheit und Ordnung haben kann“. Hierzu zählen unter anderem Energieversorger, Banken, Telekommunikationsdienste und große Regierungseinrichtungen.
Fallstudie: BSI-Zertifizierung für AWS – ein Meilenstein?
Ein für die Branche aufsehenerregender Schritt war die Entscheidung des BSI im Jahr 2023, einer isolierten Cloud-Umgebung von Amazon Web Services (AWS) die Zulassung nach § 8a BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) zu erteilen. Konkret ging es um die sogenannte „AWS Cloud for Government“, ein dediziertes Angebot für deutsche Behörden und KRITIS-Betreiber. Die BSI-Freigabe wurde nur unter strengen Auflagen erteilt: Die Infrastruktur muss ausschließlich in Deutschland betrieben werden, es gelten besondere Anforderungen an Zugriffsschutz, Verschlüsselung sowie organisatorische Kontrollprozesse.
Zwar sieht das BSI hierin einen „wichtigen Schritt in Richtung Moderner Verwaltung“, doch Kritiker monieren, dass trotz technischer Maßgaben weiterhin abhängigkeitstechnische Risiken bestehen – insbesondere im Hinblick auf US-amerikanische Cloudanbieter und deren mögliche Verpflichtungen nach dem CLOUD Act.
Sicherheitsbedenken und Compliance-Risiken
Die Integration cloudbasierter Lösungen in KRITIS-Sektoren bringt eine Reihe sicherheitstechnischer Herausforderungen mit sich:
- Datenlokalisierung: Eine der Hauptanforderungen ist die physische und logische Speicherung sensibler Daten innerhalb nationaler Grenzen. Besonders in föderalen Strukturen stellt dies hohe Anforderungen an Architektur und Governance-Modelle.
- Multi-Tenant-Umgebungen: Gemeinsame Nutzung von Ressourcen ist im klassischen Cloud-Modell Standard – für viele KRITIS-Akteure jedoch ein No-Go, da hierüber potenziell sensible Daten abgegriffen werden könnten.
- Rechtliche Drittzugriffsrisiken: Selbst bei Hosting innerhalb Deutschlands können aufgrund internationaler Gesetzgebungen Zugriffsrechte anfallen, wie der US CLOUD Act oder FISA 702.
Ein häufig übersehener Punkt sind auch die sogenannten Shared Responsibility Models, nach denen Cloudanbieter lediglich bis zur Virtualisierungsgrenze verantwortlich sind – die Konfiguration, Zugriffsteuerung und interne Sicherheit liegen dann beim Kunden. Fehleinstellungen, wie offene S3-Buckets oder leicht erratbare API-Schlüssel, gehören laut IBM „Cost of a Data Breach Report 2025“ weiterhin zu den häufigsten Ursachen erfolgreicher Angriffe.
Regulatorische Vorgaben: ein Dickicht aus Normen
Unternehmen und Behörden, die Cloudlösungen für kritische Infrastrukturen einsetzen wollen, sehen sich mit einem komplexen Geflecht an Regelwerken konfrontiert:
- BSIG §8a: Betreiber kritischer Infrastrukturen müssen IT-Systeme nach dem Stand der Technik absichern.
- KRITIS-Verordnung: Definiert Branchen, Größenordnungen und Schwellenwerte für Meldepflichten und Schutzanforderungen.
- NIS-2-Richtlinie: Die neue EU-Cybersicherheitsrichtlinie verschärft Anforderungen an Incident Reporting, Risikomanagement und Monitoring.
- EU Data Act & Cloud Switching: Erhöht Interoperabilitätsanforderungen und erleichtert Anbieterwechsel – was Cloud-Lock-in verhindern soll.
Darüber hinaus machen branchenspezifische Normen wie ISO/IEC 27001 oder B3S-Kataloge (branchenspezifische Sicherheitsstandards) eine einheitliche Cloudstrategie komplex. Juristische Detailkenntnisse müssen künftig in IT-Planungen integriert werden, was neue Kompetenzen in Behörden und Unternehmen erfordert.
Praxisrealitäten: Was der Markt hergibt – und was fehlt
Technologisch gibt es Fortschritte, etwa durch Sovereign Clouds oder Zero-Trust-Architekturen. Anbieter wie T-Systems bieten in Zusammenarbeit mit Hyperscalern souveräne Cloudlösungen an, die auf lokalem Betrieb, dedizierten Rechenzentren und erhöhtem Zugriffsschutz beruhen. Doch diese Speziallösungen sind oft kostenintensiv, organisatorisch komplex und decken bislang nur bestimmte Anwendungsfelder ab.
Aktuellen Zahlen von Gartner zufolge (2025) verzeichnet der globale Markt für Secure Cloud Infrastructure Services im KRITIS-Umfeld ein Wachstum von jährlich 14,8 Prozent. In Deutschland hinken jedoch viele Organisationen hinterher: Laut einer IDC-Studie von 2024 bezeichnen sich nur 28 Prozent der befragten KRITIS-Betreiber als „cloud-ready“.
Hybride Modelle als Brückentechnologie
Ein vielversprechender strategischer Ansatz liegt in hybriden Cloudmodellen: On-Premises-Rechenzentren werden mit öffentlichen Cloud-Diensten kombiniert – verbunden über sichere Netzwerkstrukturen und orchestriert über einheitliche Management-Plattformen. Microsoft Azure Stack HCI, OpenShift oder VMware Cloud Foundation bieten hier erprobte Technologien.
Diese hybriden Modelle erlauben es, sensible Daten lokal zu speichern, während skalierbare Ressourcen etwa für Analyseprozesse oder Testsysteme cloudbasiert genutzt werden. Das erhöht nicht nur die Flexibilität, sondern reduziert auch den regulatorischen Anpassungsdruck.
- Praxis-Tipp: Aufbau einer interdisziplinären Governance-Struktur mit rechtlicher, technischer und operativer Expertise.
- Praxis-Tipp: Analyse des eigenen Schutzbedarfs anhand BSI-Standards und Mapping auf geeignete Cloudmodelle (IaaS, PaaS, SaaS).
- Praxis-Tipp: Frühzeitiger Einbezug von Cloud-Anbietern in das Security-Konzept, inklusive Penetration Tests, Audit Trails und SLAs.
Fazit: Cloud als Chance – mit Augenmaß
Die Cloud ist ein Motor digitaler Souveränität – wenn sie mit Bedacht eingesetzt wird. Kritische Infrastrukturen benötigen maßgeschneiderte Sicherheitsarchitekturen und Rechtskonzepte, bevor sie den Schritt in die digitale Zukunft wagen können. Ein pauschales „Cloud ja oder nein“ greift zu kurz – entscheidend ist das Wie, mit wem und unter welchen Bedingungen.
Der Fall AWS und das Signal des BSI beweisen: Fortschritt ist möglich, wenn alle Beteiligten gemeinsam an Lösungen arbeiten. Die Cloud-Integration in KRITIS ist ein anspruchsvoller Prozess, aber einer, der sich gestalten lässt – mit Technologie, Transparenz und Vertrauen.
Welche Cloud-Pfade verfolgt Ihr Unternehmen im KRITIS-Kontext? Teilen Sie uns Ihre Erfahrungen mit – wir freuen uns auf Ihre Perspektiven in den Kommentaren!
