KI für Verschlusssachen: secunets Cloud ist noch ein Versprechen

Eine Infrastrukturmeldung mit einer entscheidenden Einschränkung

Wer KI auf sensiblen Verwaltungs- oder Sicherheitsdaten betreiben will, stößt schnell an die Grenze üblicher Cloud-Versprechen. Ein Modell kann technisch stark sein und dennoch für Verschlusssachen ungeeignet, wenn Betriebsstandort, Schlüsselverwaltung, Datenflüsse oder formale Freigaben nicht passen. secunet will mit Red Hat und deepset genau diesen Einsatzbereich adressieren. Die Partner bestätigten das Vorhaben im Umfeld der NVIDIA GTC Berlin; die Pressemitteilung stammt vom 26. Oktober.

Der wichtigste Satz steht allerdings am Ende der Ankündigung: Die Komponenten müssen noch integriert und in den vorgesehenen Szenarien validiert werden. Anschließend stehen erforderliche Zulassungen und Freigaben an. Anders gesagt: Die Partner kündigen ein künftiges Angebot an, keinen ab sofort uneingeschränkt einsetzbaren KI-Dienst für beliebig klassifizierte Informationen.

Wie die geplante KI-Cloud zusammengesetzt ist

secunet soll den Betrieb über eigene Rechenzentren in Deutschland übernehmen und dafür Erfahrung mit der SINA-Cloud einbringen. Red Hat liefert mit seiner AI Factory die Plattformschicht für containerisierte KI-Workloads, aufbauend auf NVIDIA-Technologie. deepset steuert mit Haystack das Open-Source-Framework bei, das Modelle, Datenquellen, Retrieval und agentische Arbeitsschritte verbindet. Als technische Grundlage nennt secunet unter anderem NVIDIA BlueField-3-DPUs für eine hardwaregestützte Trennung von Sicherheitsfunktionen.

Das ist ein nachvollziehbarer Architekturentwurf: Die Modellinferenz allein genügt für behördliche KI-Prozesse nicht. Es braucht auch ein geregeltes Laufzeitumfeld, Identitäts- und Rechteverwaltung, nachvollziehbare Datenzugriffe und eine Orchestrierung, die Aufgaben mit dem richtigen Wissensbestand verbindet. Doch genau an diesen Übergängen entstehen in der Praxis die schwierigsten Sicherheitsfragen.

Warum bestehende BSI-Zulassungen nicht die neue Runtime zertifizieren

Die SINA-Cloud und ihre Sicherheitskomponenten verfügen laut secunet bereits über BSI-Zulassungen für die Verarbeitung entsprechend eingestufter Informationen. Dieser bestehende Nachweis ist relevant. Er darf aber nicht auf das erst geplante Zusammenspiel aus GPU-Infrastruktur, KI-Modellen, Haystack-Werkzeugen und neuen Agentenabläufen übertragen werden. secunet selbst beschreibt noch ausstehende Integrations-, Validierungs- und Freigabeschritte.

Für eine Behörde macht diese Unterscheidung den Unterschied zwischen einer interessanten Marktentwicklung und einer belastbaren Beschaffungsgrundlage. Eine Zulassung muss zum konkreten System, Betriebsmodell, Schutzbedarf und Verwendungszweck passen. Eine Komponentenfreigabe allein beantwortet nicht, wie Eingaben protokolliert werden, wo temporäre Modelldaten liegen oder welche externen Verbindungen ein Agent während einer Aufgabe nutzt.

Unsere Einschätzung: Souveränität muss im Betrieb messbar sein

Wir halten die Kombination aus deutschem Betrieb, offenen Schnittstellen und einem etablierten Agentenframework für strategisch sinnvoll. Sie zielt auf einen realen Engpass: Besonders sensible Organisationen können nicht einfach jede neue Modellfunktion in einer gewöhnlichen Public Cloud ausprobieren. Ein Angebot, das solche Workloads mit überprüfbaren Sicherheitsgrenzen ermöglicht, hätte einen praktischen Wert.

Das Etikett »souverän« ist für uns trotzdem kein Qualitätsbeweis. Entscheidend sind die tatsächlichen Kontrollrechte: Lassen sich Modelle austauschen? Können Betreiber jeden externen Netzwerkpfad sperren? Sind Geheimnisse und Berechtigungen vom Agentenprozess getrennt? Lässt sich nachvollziehen, welche Dokumente ein Retrieval-Schritt gelesen und welche Werkzeuge der Agent angestoßen hat? Wenn diese Fragen unbeantwortet bleiben, schafft eine nationale Cloud-Adresse noch keine operative Unabhängigkeit.

Was Beschaffer vor einer Pilotfreigabe verlangen sollten

Ein ernstzunehmender Pilot braucht zunächst eine präzise Schutzbedarfsklasse sowie eine freigegebene Architekturzeichnung, nicht nur ein Produktdiagramm. Hinzu kommen Nachweise zu Rollen und Rechten, Datenresidenz auch für Logs und Zwischenspeicher, Offline- und Netzwerkgrenzen, Schlüsselverwaltung, Änderungsmanagement sowie zu den konkreten Zulassungen. Bei agentischen Anwendungen gehört eine Testreihe mit verbotenen Tool-Aufrufen und absichtlich manipulierten Dokumenten dazu.

AgentenCode ordnet solche Aussagen im Trust- und EU-Kontext sowie in unserem Fachartikel zur Sicherheit von KI-Agenten ein. Das Agentenverzeichnis macht zudem sichtbar, dass die Orchestrierungs- und Laufzeitumgebung von einem einzelnen KI-Modell zu unterscheiden ist. Für das geplante secunet-Angebot liegt damit noch kein unabhängig verifiziertes Gesamtprodukt-Dossier vor – und genau diese Lücke sollte offen bleiben.

Originalquellen und AgentenCode-Daten

• Originalmitteilung ↗
• Technische Vertiefung ↗

Unsere redaktionelle Bewertung wird aus den genannten Primärquellen und den nachgewiesenen Grenzen abgeleitet; sie ist kein Praxistest.