ChatGPT aus Deutschland? Die SAP Delos Cloud bietet fast die Lösung

Kategorien: Datenschutz und Künstliche Intelligenz

Endlich gibt es eine sichere unabhängige Lösung für KI nur aus Deutschland. Aufwachen! Was SAP mit der souveränen Delos Cloud verspricht und das BSI in Aussicht stellt, ist nicht mehr als eine Mogelpackung. Statt keiner Kompromisse einzugehen, wird Papier auf ein Problem geworfen, das technisch besser hätte gelöst werden können. ChatGPT aus Deutschland: Ja, aber unsicher.

Einleitung

Die SAP Souverein Cloud soll unter anderem dafür sorgen, dass ChatGPT für deutsche Behörden und Unternehmen sicher genutzt werden kann. Dafür wird die SAP Delos Cloud als Teil der "souveränen" SAP Cloud angeboten. ChatGPT wird auf Microsoft Azure betrieben.

Die Architektur der SAP Delos Cloud besteht anscheinend aus folgenden Hauptakteuren:

• OpenAI für ChatGPT
• Microsoft für Azure
• SAP als Anbieter/Betreiber
• Delos als Anbieter/Betreiber
• BSI für Vorgaben zur Sicherheit und Prüfung der Sicherheit

SAP bezeichnet die Cloud als souverän.

Souverän kann im Kontext der SAP Souvereign Cloud mit der Bedeutung „unabhängig“ übersetzt werden. Diese Begriffszuordnung ist allerdings nur aufgrund des angenommenen Wunsches von SAP möglich, nicht aufgrund der Tatsachen. Die SAP Delos Cloud ist nämlich nicht unabhängig und somit nicht souverän.

Selbst der Landtag von Baden-Württemberg stellt am 21.07.2025 fest, dass die Delos Cloud nicht souverän ist: "Trotz der souveränen Infrastruktur kann daher nicht in vollem Umfang von vollständiger
Souveränität gesprochen werden…". Auch stellte dieser Landtag im selben Atemzug fest, dass die SAP Delos Cloud nicht sicher ist: "Das Risiko des US CLOUD Act bleibt bestehen, da die Kontrolle über die Software und damit potenziell über die in ihr verarbeiteten Daten letztlich beim US-Anbieter liegt. Beispielsweise könnte der Softwarelieferant angewiesen werden, einen Datenabfluss in seine Software zu integrieren, ohne dass der Kunde darüber in Kenntnis gesetzt wird".

Die „souveräne“ SAP Cloud geht keine Kompromisse ein – so die Werbeaussage von SAP:

Immerhin gibt SAP zu, dass es nur das Ziel ist, dass die Kunden die volle Kontrolle über deren Daten und Infrastruktur haben. Ein Ziel ist keine Garantie für ein eintretendes Ereignis.

Es mag stimmen, dass alle nationalen Gesetze und Vorschriften eingehalten werden. Allerdings werden von US-amerikanischen Zulieferern wie Microsoft und OpenAI auch die US-Spionagesetze und -vorschriften eingehalten. Diese rechtlichen Vorgaben zwingen Unternehmen in den USA, bei der Spionage von Ausländern (also unter anderem Deutschland und Europa) effektiv mitzuwirken. Diese Rechtsvorschriften sind vor allem der Cloud Act, der Präsidialerlass 12333 sowie FISA Sektion 702.

Wie anhand des informellen EU-US-Datenschutzabkommens TA-DPF und seiner für ungültig erklärten Vorgänger Privacy Shield und Safe Harbor gesehen werden kann, ist dieses Abkommen ein rein rechtliches Konstrukt, also Papier. Dieses Papier könnn Sie sich ausdrucken und an die Wand hängen. Die beste Verwendung dafür wäre, Pfeile darauf zu werfen (Luke Littler könnte ein Vorbild sein).

SAP geht noch weiter und verspricht noch mehr, als Papier ordentlich abzuheften:

Langsam geht es mit den Werbeaussagen von SAP Richtung Lüge. SAP behauptet, eine unübertroffene Sicherheit zu bieten. Das ist schlichtweg falsch. Alleine schon, dass keine Kompromisse eingegangen werden, ist abgrundtief falsch.

OpenAI schreibt über die Partnerschaft mit SAP:

Auch hier wird wieder das Adjektiv „souverän“ verwendet. SAP selbst geht an anderer Stelle auf den Deal mit OpenAI ein.

Warum ist Sicherheit bei KI-Systemen ein Thema? Die Sicherheit hat hier zwei Dimensionen:

1. Datensicherheit
2. Richtigkeit der Daten (insbesondere Bias)

Zur Richtigkeit der Daten sei folgendes festgestellt: Antworten von KI-Chatbots können gewünschte politische Meinungen und Ansichten verbreiten, unerwünschte Meinungen unterdrücken und Informationen nach Vorgaben des Modell-Erstellers (OpenAI -> USA) beeinflussen. Diese Art der Manipulation kann quasi nicht eingedämmt werden. Entweder wird ChatGPT verwendet, oder eben nicht.

Zur Problematik der Datensicherheit folgen einige Beispiele zur Illustration der realen Gefahr und bisher bereits eingetretener Sicherheitsprobleme.

Warum die USA Deutschland ausspionieren: Die geopolitische Dimension

Die Frage nach Backdoors in der Delos Cloud ist keine Paranoia, sondern geopolitische Realität. Die USA haben sowohl wirtschaftliche als auch nachrichtendienstliche Interessen, europäische Partner auszuspähen – selbst enge Verbündete wie Deutschland.

Historische Präzedenzfälle:

• NSA-Überwachungsskandal (2013): Edward Snowden enthüllte, dass die NSA das Handy von Bundeskanzlerin Angela Merkel abhörte. Selbst die Regierungschefin Deutschlands war Ziel systematischer US-Überwachung.
• Crypto AG-Affäre: Jahrzehntelang manipulierten CIA und BND gemeinsam Verschlüsselungsgeräte, um über 120 Staaten auszuspionieren (Crypto AG: Washington Post, "The intelligence coup of the century" (2020).
• Echelon-System: Globales Abhörnetzwerk der "Five Eyes" (USA, UK, Kanada, Australien, Neuseeland) zur massenhaften Überwachung auch europäischer Kommunikation (Bericht des Europäischen Parlaments)
• Wirtschaftsspionage: Der französische Konzern Alstom und der deutsche Siemens-Konzern waren nachweislich Ziele US-amerikanischer Industriespionage (Bericht des US-Justizministeriums).

Rechtliche Grundlage: US CLOUD Act

Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) von 2018 gibt US-Behörden weitreichende Befugnisse. US-Behörden können Daten von US-Firmen weltweit anfordern. Das gilt auch für Daten in Europa auf Servern von Microsoft, Google, Amazon. Selbst wenn Daten in Deutschland liegen, kann die US-Jurisdiktion greifen. Firmen wie Microsoft oder OpenAI dürfen geheime Anordnungen unter dem Foreign Intelligence Surveillance Act (FISA) nicht offenlegen.

Weil Microsoft und OpenAI US-Unternehmen sind, unterliegen sie dem CLOUD ACT und dem FISA. Selbst wenn SAP als deutsches Unternehmen operiert: Die Technologie kommt von US-Firmen.

Darum wäre ChatGPT das perfekte Spionagewerkzeug:

• Behörden und Unternehmen geben freiwillig sensible Informationen ein
• Konversationen offenbaren Denkprozesse und Strategien
• Zugriff auf Entwürfe und interne Überlegungen vor Veröffentlichung
• Langfristige Analyse zeigt Prioritäten und Schwächen

Das "Five Eyes" Problem

Deutschland ist kein Mitglied der "Five Eyes" Geheimdienstallianz. Die USA teilen nachrichtendienstliche Daten mit UK, Kanada, Australien, Neuseeland. Deutschland ist explizit ausgenommen und wird als "Drittland" behandelt. Deutschland ist potentielles Ziel, nicht Partner.

Konkrete Angriffsvektoren

US-Behörden wie FBI oder NSA erteilen OpenAI oder Microsoft Anordnungen zur Datenausleitung. OpenAI oder Microsoft muss Zugriff auf alle Delos-Instanzen geben, auch durch Einschleusen von Schadcode durch oder Ausschleusen von Daten und Verschlüsselungsschlüsseln. US-Agenten lesen in Echtzeit mit. OpenAI darf niemandem davon erzählen (Gag Order). SAP/Delos/BSI/Deutschland sind ahnungslos. Eine rechtliche Begründung in den USA kann in Form der Wirtschaftsspionage als "Terrorbekämpfung" angeführt werden. Immerhin machen deutsche Firmen Geschäfte mit dem Iran oder Russland.

Doch wie sollen diese Sicherheitsrisiken ausgeschlossen werden?

Das BSI prüft die Sicherheit

In einer Pressemitteilung vom 23.09.2024 schreibt SAP, dass alle Vorgaben des BSI (Bundesamt für Sicherheit in der Informationstechnik) eingehalten werden würden. Das BSI schreibt selbst (Zitat):

Eine souveräne Microsoft Cloud für die Öffentliche Verwaltung (Delos Cloud) wird nach Vorgaben des BSI aufgebaut und deren Sicherheit durch das BSI geprüft.

Quelle: siehe Text (Stand: 14.10.2025)

Wir wünschen dem BSI viel Erfolg beim Prüfen der Sicherheit von extrem komplexer Infrastruktur und Software von Microsoft und OpenAI. Es gibt zwei Möglichkeiten:

1. Das BSI prüft nur anfangs einmal, ob die SAP Delos Cloud aus Sicht des BSI sicher sei
2. Das BSI prüft die Sicherheit regelmäßig

Würde Möglichkeit 1 zum Ansatz kommen, wäre die Cloud wohl faktisch nicht sicher, außer höchstens zum Zeitpunkt der Inbetriebnahme. Jeder hat schon einmal davon gehört, dass regelmäßige Updates für komplexere Software-Lösungen unbedingt notwendig sind. Aber selbst diese nur einmalige Sicherheitsüberprüfung dürfte nicht gelingen.

Würde das BSI (oder eine andere, noch weniger vertrauenswürdige Stelle) notwendigerweise die Updates von Microsoft und OpenAI prüfen, die in der Delos Cloud eingespielt werden, dann kommen Fragezeichen auf:

• Microsoft Azure ist ein extrem komplexes Produkt. Es besteht aus vielen Millionen oder gar Milliarden Zeilen Programmcode. Updates werden aus vielen tausend Zeilen Code bestehen, wenn sie denn als Quellcode zur Prüfung übergeben werden und nicht als Binärdateien, die tatsächlich aus eingespielt werden können. Niemand kann tausende Zeilen Programmcode in akzeptabler Zeit so detailliert durchdenken, dass Sicherheitsrisiken ausgeschlossen werden können.
• Wer kompiliert den Quellcode der Updates