Cloud-MDM und BSI-Zertifizierung: drei Abhängigkeiten, die alle offen sind

Die Diskussion über Cloud-MDM im VS-NfD-Kontext vermischt regelmäßig drei Ebenen, die unterschiedlich weit entwickelt sind. Getrennt betrachtet ergibt sich ein klareres Bild.

Was heute belegt ist

NIAP hat Microsoft Intune als erstes Cloud-MDM weltweit nach Common Criteria zertifiziert, unter US-amerikanischen Annahmen. In Deutschland ist BSI-CC-PP-0115-2021 strukturell auf On-Premises-Betrieb ausgelegt, und BlackBerry UEM ist das einzige vollständig BSI-zertifizierte MDM. Die Existenz einer US-Zertifizierung sagt nichts über die Übertragbarkeit nach Europa.

Was methodisch ungelöst ist

Zwei Fragen hat bisher kein europäisches Gremium beantwortet. Wie grenzt man ein Target of Evaluation ab, dessen Infrastruktur sich täglich ändert? Und wie funktioniert Assurance Continuity für einen Dienst, der kontinuierlich aktualisiert wird? NIAP hat selbst dokumentiert, dass cloud-spezifische Sicherheitsanforderungen im MDM-Protection-Profile fehlen.

Was politisch offen ist

EUCS Level High fordert operative Immunität gegenüber Drittstaatenzugriff. US-Anbieter unterliegen dem CLOUD Act, und deutsche Rechenzentren mildern das, sie lösen es nicht. Die EU diskutiert Modelle mit EU-seitiger Kontrolle, operativ ist davon nichts. Kein Datum, kein Beschluss, kein Zeitplan.

Drei Abhängigkeiten, und alle drei müssen erfüllt sein

Ein neues Protection Profile. Common-Criteria-Anforderungen für Cloud-MDM existieren nicht. Ein neues Profil muss entwickelt, konsultiert und auf europäischer Ebene harmonisiert werden. Das ist prozessualer Aufwand mit entsprechender Trägheit.

SOGIS-Harmonisierung. Eine Zertifizierung in einem EU-Mitgliedstaat muss in Deutschland anerkannt werden. Dafür braucht es Einigung der nationalen Zertifizierungsstellen. Automatismus gibt es keinen, Schnellverfahren auch nicht.

Klärung zu EUCS Level High. Ob und unter welchen Bedingungen US-Hyperscaler die Anforderungen an souveräne Datenhaltung erfüllen können, ist politisch ungeklärt. Solange das offen ist, bleibt jede Cloud-MDM-Zertifizierung im VS-NfD-Kontext angreifbar.

Das ist kein Technikproblem

Es ist eine Frage der Zuständigkeit. Die Technik hinter einem Cloud-MDM ist nicht schlechter als die eines On-Premises-Systems. Was fehlt, ist ein Prüfverfahren, das zu ihr passt, und eine politische Antwort auf die Frage, wer im Ernstfall Zugriff hat.

Solange diese drei Abhängigkeiten offen sind, ist On-Premises-MDM auf souveräner Infrastruktur die prüfbare Architektur für VS-NfD-Deployments. Nicht die einzige denkbare, aber die einzige, für die heute keine offene Nachweislücke zu erklären ist.

Die Wahl des MDM legt in einem indigo-Vorhaben zugleich den Betriebsmodus fest. Was daraus für die Betriebsumgebung folgt, steht auf der indigo-Seite.