FragDenStaat: Antwort vom Zensus bezüglich Cloudflare
Wir erinnern uns: Zensus 2022: Wie das Statistische Bundesamt Vertrauen verspielt.
Bei FragDenStaat hat jemand dazu eine IFG-Anfrage an das Informationstechnikzentrum Bund gestellt (Ausschnitt):
Die Ausschreibung die zur Auswahl von Cloudflare im Rahmen von https://www.zensus2022.de/ führte und weitere Informationen zur Beantwortung der unten stehenden Fragen:
- Wurde für die Auswahl des Serverdienstes „Cloudflare“ für die Erfassung/Speicherung der Zensus Umfrage eine europaweite Ausschreibung gemacht?
- Wenn ja, ist dies ein Antrag um Herausgabe dieser.
- Wenn nein, warum nicht?
- Nach welchen Kriterien wurde sich für diesen IT-Diensteanbieter entschieden?
[…]
Die Antwort auf die Anfrage wurde nun veröffentlicht. Ich zitiere mal einige Stellen:
[…]
Gemäß § 8 Abs. 4 Nr. 10 UVgO ist ausnahmsweise die Durchführung einer Verhandlungsvergabe ohne Teilnahmewettbewerb zulässig, wenn der Auftrag nur von einem bestimmten Unternehmen erbracht oder bereitgestellt werden kann (Alleinstellungsmerkmal).
Bezüglich Cloudflare gab es also keine europaweite Ausschreibung, sondern laut Begründung wurde auf diese verzichtet, weil »der Auftrag nur von einem bestimmten Unternehmen erbracht oder bereitgestellt werden kann«. Das ist ja höchst interessant, dass lediglich Cloudflare die Leistung bieten kann, die das Statistische Bundesamt benötigt. Was sagen denn die CDN-Anbieter bzw. Alternativen aus Deutschland/Europa dazu?
Weiter wird ausgeführt:
Der Anbieter Cloudflare konnte garantieren, dass die personenbezogenen Daten nicht auf seinen Systemen zwischengespeichert, sondern auch bei jedweden Mitigationsmaßnahmen (Mitigation bedeutet imWortsinne Abschwächung oder Folgenminderung, auf die IT angewandt z.B. Minderung gegenüber DDoS-Attacken) und ausschließlich auf die Zielsystemen beim ITZBund geleitet werden. Ein Mitlesen der Antwortdaten ist ebenfalls ausgeschlossen.
Wie konnte das Cloudflare garantieren? Mit einem Stück Papier, also vertraglich? Gerade im Hinblick auf den Cloud-Act oder andere Überwachungsgesetze wie Foreign Intelligence Surveillance Act (FISA) ist das eine höchst naive Vorstellung.
Ich bleibe bei meinem Fazit:
Die Aufregung rund um die Website des Zensus 2022 wäre mit etwas mehr Sorgfalt und Sensibilität vermeidbar gewesen. So verspielt das Statistische Bundesamt wichtiges Vertrauen – und das ist einer Bundesbehörde, die sensible Bürgerdaten erhebt bzw. verarbeitet, nicht gerade zuträglich. Ganz zu schweigen von der fehlenden Vorbildfunktion.
Zensus 2022: Wie das Statistische Bundesamt Vertrauen verspielt
Zensus 2022: Statistisches Bundesamt hostet bei Cloudflare
TTDSG: Stellungnahme vom ZDF bezüglich Apps liegt vor
Cloudflare: CDN-Alternativen aus Deutschland/Europa