Sina Cloud Security Layer erhält BSI-Zulassung

In Kooperation mit Secunet stellt die Bundesdruckerei-Gruppe Behörden und öffentlichen Verwaltungen bereits seit 2024 sichere Cloudangebote zur Verfügung. Nun hat der deutsche Anbieter Secunet für seine Sina-Cloud die Zulassung des Bundesamts für Sicherheit in der Informationstechnik (BSI) erhalten. Behörden und Unternehmen können ab sofort hochsensible und eingestufte Informationen rechtskonform zur Verschlusssachenanweisung (VSA) in der Cloud verarbeiten.

Vom Bundesamt für Sicherheit in der Informationstechnik (BSI) wurden dafür alle relevanten Sicherheitsfunktionen der secunet SINA Cloud für Verschlusssachen (VS) bis einschließlich der Einstufung GEHEIM geprüft und dann zugelassen, wie Secunet bereits am 22. Mai 2025 in dieser Meldung bekannt gegeben hat.  Damit hält die Cloud-Transformation erstmals in erheblichem Umfang auch im VS-Bereich Einzug. secunet öffnet damit sein Ökosystem souveräner Cloud-Lösungen für andere souveräne deutsche Cloud-Dienste-Anbieter und Cloud-Betreiber.

Verschlusssachen (VS) in diesem Zusammenhang sind Informationen, die zum Wohl der Bundesrepublik Deutschland geheimgehalten werden müssen. Wer VS digital verarbeitet, muss aufwendige Maßnahmen ergreifen, zahlreiche Standards einhalten, zugelassene IT-Sicherheitsprodukte einsetzen und einen herausfordernden Freigabeprozess durchlaufen. Diese regulatorischen und technischen Voraussetzungen bremsten bisher den Einsatz von Cloud-Technologien in deutschen Behörden und der sicherheitsbetreuten Industrie.

Open-Source-basiert und flexibel skalierbar

Wie alle Cloud-Lösungen von secunet basiert auch die Verschlusssachen-Cloud auf Open-Source-Bausteinen wie der Plattform OpenStack, mit dem Lifecycle-Management Yaook und der Linux-Variante „NixOS", zu denen secunet maßgebliche Beiträge an die Open-Source-Community leistet. Dies sorgt für Transparenz und verhindert einen Vendor-Lock-in.

Die starke Kryptografie stammt von der IT-Hochsicherheitslösung SINA. Dank der umgesetzten Mandantenfähigkeit bleiben eingestufte Daten und Anwendungen mehrerer Endkunden strikt kryptografisch getrennt und können gemeinsam auf einer Infrastruktur verarbeitet werden.

Anders als bei nachträglich gehärteten Cloud-Plattformen schafft das zusätzliche Flexibilität, so der Anbieter: Auf der Cloud können beliebige cloud-native Dienste laufen und bei Erweiterungen oder Updates im Cloud-Stack bleibt die VSA-Konformität bestehen. Sofern keine geheimschutzrelevanten Änderungen vorgenommen werden, ist eine erneute Freigabe dann nicht mehr erforderlich.

Zunächst steht eine On-Premises-Lösung der SINA Cloud bereit, die Kunden in ihren Rechenzentren selbst betreiben. Für das zweite Halbjahr 2025 ist zudem eine von secunet betriebene Version als Infrastructure as a Service (IaaS)-Lösung in Vorbereitung. In dieser Variante läuft die Plattform in deutschen, zertifizierten Rechenzentren von secunet. Das entlastet vor allem die Kunden, die mit VS umgehen müssen, aber keine Ressourcen für den Betrieb einer eigenen Cloud-Plattform aufbauen wollen oder können.

Effizienter Betrieb durch Produkt-Zulassung

Der SINA Cloud Security Layer ist die erste Technologie, welche das neue Komponentenzulassungsverfahren des BSI erfolgreich durchlaufen hat. Dabei wird nicht ein Gesamtprodukt, sondern einzelne Komponenten für den Einsatz mit Verschlusssachen zugelassen. Im Fall der SINA Cloud wurden zusätzlich IT-Grundschutzaspekte in die Zulassung einbezogen. Durch den Einsatz eines mitgelieferten IT-Grundschutzprofils wird ein wertvolles Werkzeug für eine VS-IT-Freigabe beigesteuert.  Nun erhielt die letzte von drei Komponenten die Zulassung, während die ersten beiden bereits Anfang November 2024 zugelassen wurden.

Im Interesse der Förderung einer staatlichen Souveränität im Cloud-Umfeld wird secunet die Hochsicherheitslösung auch für andere souveräne deutsche Cloudanbieter öffnen und in Kooperations- und Partnermodellen gemeinsame Kundenangebote gestalten.

Testmöglichkeit im BSI-Showroom

An seinem Standort in Freital betreibt das BSI einen Showroom für IT-Systeme für Verschlusssachen. Dort können sich Bedarfsträger umfassend über die Cloud informieren und sie auch testen. Das Angebot richtet sich an Entscheidungsträger*innen, Geheimschutzberatende, Endnutzende, Administrator*innen und Betreiber von VS-IT-Systemen. Mehr Informationen zur SINA Cloud finden Interessierte hier. (via)