Object Storage Service – Gaia-X-compliant? Ja!

In diesem Artikel lesen Sie,

• wie Gaia-X Cloud Services auf ihre Souveränität überprüft,
• wie der Object Storage Service der Open Telekom Cloud ins Spiel kam
• und wie der Service die Compliance-Prüfung bestand.

Was macht eigentlich Gaia-X? Die europäische Initiative für souveränen Einsatz von IT-Ressourcen und Datenaustausch machte vor einigen Jahren Furore. 2019 gestartet, feierte Gaia-X kürzlich seinen fünften Geburtstag. Im November 2024 gab es in Helsinki auf dem Gaia-X-Summit wieder einen Austausch über den Status. Auch der deutsche Wirtschaftsminister Robert Habeck war digital dabei und betonte einmal mehr die Bedeutung einer souveränen digitalen Infrastruktur für Europa.

T-Systems ist eines der Gründungsmitglieder von Gaia-X und spielt eine wichtige Rolle in Leuchtturmprojekten wie Catena-X oder Structura-X. Daneben betreibt T-Systems auch ein Clearing House. Die Verantwortlichen für die Clearing-House-Dienste wollten den Compliance-Prozess an einem realen Beispiel durchexerzieren – und suchten dazu ein „Versuchskaninchen“. Sie griffen auf den Object Storage Service (OBS) der Open Telekom Cloud zurück, der bereits erfolgreich in verschiedenen Datenökosystemen eingesetzt wird; beispielsweise im Copernicus Data Space Ecosystem, wo er große Mengen von Satellitendaten speichert und verarbeitet.

Ein S3-kompatibler Object Storage Service, der bereits für europäische Projekte genutzt wird und aus einer europäischen Cloud stammt? Das Bauchgefühl sagt: „Gaia-X-compliant“. Das Clearing House wollte aber sicher sein und durchlief mit dem Object Storage Service das offizielle Compliance-Verfahren.

Die „Gaia-X Policy Rules and Labelling Criteria for Cloud Services“ führen mehr als 50 Kriterien ein, die die Dienste auf Gaia-X Compliance prüfen. Sie basieren auf bestehenden Zertifizierungssystemen wie SecNumCloud, BSI C5 Typ 2, ISO/IEC 27001, CISPE, EU Cloud Code of Conduct (DSGVO, XAAS), TISAX etc. Keines der existierenden Systeme garantiert jedoch die Einhaltung aller Labeling-Kriterien. 

Für die Überprüfung der Gaia-X-Konformität des Open Telekom Cloud Object Storage Service mussten zunächst etwa 30 rechtliche, technische und organisatorische Informationen zusammengetragen werden. Das Team strukturierte diese Informationssammlung in Form eines überprüfbaren Berechtigungsnachweises (Verifiable Credentials). Das ist eine maschinenlesbare Sammlung von Aussagen, bereichert mit einer digitalen Signatur. Die erstellten Berechtigungsnachweise werden in einem einzigen „Umschlag“ gesammelt – einer „verifizierbaren Präsentation“ (Verifiable Presentation), so der Fachbegriff in der Welt der souveränen digitalen Identitäten. Und damit kann die Compliance-Prüfung starten. 

Die Verifiable Presentation wird online an den Loire-Compliance-Service übermittelt. Dieser wird auf einem offiziellen Gaia-X-Digital-Clearing-House-Knoten betrieben. „T-Systems erfüllt zwar dieses Kriterium, aber Vertrauen in eine föderierte Umgebung entsteht nur durch gegenseitige Anerkennung. Daher nutzten wir einen der Digital-Clearing-House-Knoten von Gaia-X, nicht den unseren“, erläutert Kelečević. Mit dem automatisierten Verfahren können Dienste die Konformitätsstufe Level 1 erreichen. Innerhalb von etwa zehn Sekunden validierte das Gaia-X-Clearing House 40 Kriterien, einige davon mit Tausenden von Einzelvergleichen und -prüfungen. Im Oktober 2024 erhielt der Object Storage Service das Gaia-X Compliance Label Level 1. 

Neben der Basis-Konformität und dem Label-Level 1 gibt es im Gaia-X-Konformitätsrahmen die Label-Level 2 und 3. Diese höheren Stufen erfordern eine umfassendere Prüfung der Gaia-X-Standards und -Kriterien. Level 2 braucht beispielsweise eine zusätzliche Bestätigung durch einen unabhängigen Auditor oder Wirtschaftsprüfer.

„Die Gaia-X-Compliance belegt unsere Vermutung, dass die Open Telekom Cloud die richtige Wahl für europäische Unternehmen ist. Sie erlaubt eine souveräne Nutzung von Cloud-Ressourcen und eine souveräne Datenverarbeitung“, resümiert Ryan Skipp vom Team der Open Telekom Cloud. „Der erfolgreiche Durchlauf für den Object Storage Service ist ein Ansporn, 2025 auch das offizielle Konformitätslevel 1 für weitere Dienste zu erreichen“.