6 Objektspeicher bildet heute die Grundlage für ein breites Spektrum an Workloads im öffentlichen Sektor: digitale Beweismittel und Bodycam-Aufnahmen, Registraturarchive, gegen Ransomware geschützte Backups, Videoüberwachung, Gesundheits- und Sozialdaten, Geodaten, Forschungsdaten und die Datenplattformen hinter Bürgerdiensten. Behörden entscheiden sich für Objektspeicher, weil er bis in den Petabyte-Bereich skaliert, Daten effizient schützt und mit der S3-Schnittstelle arbeitet, die moderne Anwendungen erwarten. Öffentliche Auftraggeber bewerten ihn jedoch anders als die meisten Unternehmen. Sicherheitszulassung, Datensouveränität, Vergaberegeln, lange Aufbewahrung und öffentliche Rechenschaftspflicht prägen jede Entscheidung. Dieser Leitfaden erklärt, wie Behörden Objektspeicher bewerten, welche Anforderungen am wichtigsten sind, wie sich die Frameworks nach Region unterscheiden und wie die Wahl zwischen On-Premises, Government Cloud und hybriden Bereitstellungen ausfällt. Er führt unsere spezifischeren Leitfäden zusammen, darunter CJIS-konformer Speicher, FedRAMP-konformer Objektspeicher und CMMC-konformer Speicher für Rüstungsunternehmen. Was Behörden auf Objektspeicher ablegen Digitale Beweismittel und Bodycam-Videos für Polizei, Staatsanwaltschaften und Gerichte. Akten und Archive, die nach Archivgesetzen jahrelang oder dauerhaft aufbewahrt werden. Backups und Wiederherstellungskopien gegen Ransomware für kritische Systeme. Videoüberwachung für Städte, Verkehr und öffentliche Gebäude. Gesundheits-, Sozial- und Leistungsdaten mit strengen Datenschutzregeln. Geo-, Satelliten- und wissenschaftliche Daten für Kartografie, Umwelt und Forschung. Data Lakes und Analyseplattformen für Politikgestaltung, Betrugserkennung und KI. Viele davon haben drei Merkmale gemeinsam: große Volumen, lange Aufbewahrung und hohe Sensibilität. Die wichtigsten Anforderungen Sicherheit und Zulassung Behörden müssen nachweisen, dass der Speicher ihre Sicherheits-Frameworks erfüllt, bevor Daten in Betrieb gehen. Zu den typischen Erwartungen gehören Verschlüsselung im Ruhezustand und bei der Übertragung, starke Authentifizierung und rollenbasierter Zugriff, Funktionstrennung, detaillierte Audit-Logs, Schwachstellenmanagement und sichere Konfigurations-Baselines. Wo Frameworks es verlangen, müssen Produkte gegebenenfalls auch validierte Kryptomodule nutzen. Unveränderlichkeit und Ransomware-Resilienz Öffentliche Stellen sind häufige Ziele von Ransomware. Object Lock im Compliance-Modus, der das Löschen oder Ändern von Daten bis zum Ablauf ihrer Aufbewahrungsfrist verhindert, ist zu einer Kernanforderung für Backups, Beweismittel und Akten geworden. Getrennte Zugangsdaten und isolierte Kopien bieten zusätzlichen Schutz. Datensouveränität und Speicherort Die meisten Regierungen verlangen, dass einige oder alle ihrer Daten innerhalb der Landesgrenzen und unter nationaler Rechtskontrolle bleiben. Das betrifft auch Replikate, Backups, Metadaten und Logs und schränkt oft ein, wer Systeme administrieren oder Support leisten darf. Aufbewahrung und Schriftgutverwaltung Archivgesetze, Beweisregeln und Branchenvorschriften legen Aufbewahrungsfristen fest, die Jahrzehnte dauern können. Der Speicher muss Aufbewahrungsrichtlinien, Legal Holds und nachweisbare Löschung im großen Maßstab umsetzen und mehrere Hardwaregenerationen ohne Datenmigration überstehen. Resilienz und Kontinuität Kritische öffentliche Dienste können sich weder Datenverlust noch lange Ausfälle leisten. Erasure Coding, Bereitstellung über mehrere Standorte, getestete Wiederherstellung und Schutz vor regionalen Katastrophen sind Standarderwartungen. Kosten und Beschaffung Budgets werden genau geprüft und sind mehrjährig angelegt. Behörden vergleichen die Gesamtkosten über fünf bis sieben Jahre und müssen Vergaberahmen einhalten, die oft offene Standards und die Vermeidung von Lock-in begünstigen. Frameworks nach Region Die Anforderungen unterscheiden sich von Land zu Land, und Behörden brauchen in der Regel Speicher, der das jeweilige Framework unterstützt: Vereinigte Staaten: Bundesbehörden stützen sich bei Cloud-Diensten auf FedRAMP und auf die Sicherheitskontrollen des NIST; Daten der Strafverfolgung fallen unter die CJIS Security Policy; Rüstungsunternehmen, die Controlled Unclassified Information verarbeiten, unterliegen CMMC. Frankreich: Für sensible öffentliche Daten werden zunehmend Dienste verlangt, die nach dem ANSSI-Verfahren SecNumCloud qualifiziert sind, das auch Schutz vor außereuropäischem Rechtszugriff umfasst. Deutschland: Der Kriterienkatalog C5 des BSI ist eine zentrale Referenz für Cloud-Dienste, die von öffentlichen Stellen und Gesundheitseinrichtungen genutzt werden. Vereinigtes Königreich: Die meisten Daten des öffentlichen Sektors sind als OFFICIAL eingestuft und werden mit marktüblicher Sicherheit gemäß den Cloud-Sicherheitsprinzipien des NCSC behandelt. Japan: Die Beschaffung von Cloud-Diensten für Behörden setzt eine ISMAP-Registrierung voraus. Vereinigte Arabische Emirate: Behörden- und Gesundheitsdaten müssen nach Bundes- und Emiratsrecht in der Regel im Land bleiben. Europäische Union: Die DSGVO gilt für personenbezogene Daten, und NIS2 erhöht die Sicherheitspflichten für öffentliche Verwaltungen und wesentliche Dienste. Bereitstellungsoptionen On-Premises in behördlichen Rechenzentren Behörden betreiben Objektspeicher auf eigener Infrastruktur oder in gemeinsam genutzten Rechenzentren der öffentlichen Hand. Das bietet maximale Kontrolle über Speicherort, Zugriff und Support und eignet sich für sensible Daten, lange Aufbewahrung und große Volumen. Es erfordert Kapazitätsplanung und Betriebspersonal. Government oder Sovereign Cloud Für den behördlichen Einsatz zugelassene Cloud-Dienste oder von nationalen Anbietern unter Souveränitätsrahmen betriebene Dienste bieten Cloud-Betrieb mit definierten Zusicherungen. Behörden sollten prüfen, wo Daten, Schlüssel und Support angesiedelt sind und wie der Exit funktioniert. Hybrid Viele Behörden kombinieren beides: sensible und umfangreiche Daten On-Premises oder in souveränen Einrichtungen, weniger sensible Workloads in zugelassenen Cloud-Diensten. Objektspeicher, der die S3-API spricht, macht Daten zwischen den Umgebungen portabel. So bewerten Sie Objektspeicher für den behördlichen Einsatz | Bereich | Was zu prüfen ist | |—|—| | Sicherheit | Verschlüsselung, validierte Kryptografie wo erforderlich, rollenbasierte Administration, Audit-Logs, Härtungsleitfäden | | Unveränderlichkeit | Object Lock im Compliance-Modus, getrennte Zugangsdaten, isolierte Kopien | | Souveränität | Alle Daten, Metadaten, Logs und der Support innerhalb der geforderten Rechtsräume | | Aufbewahrung | Richtlinienbasierte Aufbewahrung, Legal Holds, nachweisbare Löschung | | Resilienz | Erasure Coding, Bereitstellung über mehrere Standorte, getestete Wiederherstellung | | Skalierung | Wachstum bis in den Petabyte-Bereich ohne Migrationen, Hardware-Erneuerung im laufenden Betrieb | | Offenheit | S3-Kompatibilität, Standardhardware, dokumentierte Exportwege | | Kosten | Kosten über fünf bis sieben Jahre pro nutzbarem Terabyte, Lizenzierung bei prognostizierter Kapazität | Gemeinsame Plattformen für mehrere Behörden Viele Regierungen konsolidieren ihren Speicher auf gemeinsamen Plattformen, die mehrere Ministerien, Behörden oder Kommunen bedienen. Eine gemeinsame Objektspeicher-Plattform kann die Kosten pro Terabyte senken, Sicherheitskontrollen vereinheitlichen und den Betrieb vereinfachen, muss die Daten jedes Mandanten aber strikt trennen. Achten Sie auf Konten, Zugangsdaten, Richtlinien, Kontingente und Verschlüsselung pro Mandant sowie auf ein Reporting, mit dem jede Behörde ihre eigene Nutzung und ihren Audit-Trail einsehen kann. Planung für Wachstum und Erneuerung Daten im öffentlichen Sektor schrumpfen selten. Bodycam-Programme werden ausgeweitet, Bilddaten wachsen, Akten sammeln sich an, und KI-Projekte bringen neue Datensätze mit. Planen Sie die Kapazität über mindestens fünf Jahre und wählen Sie Speicher, der sich in kleinen Schritten erweitern lässt. Ebenso wichtig ist die Erneuerung: Daten, die jahrzehntelang aufbewahrt werden, überdauern mehrere Hardwaregenerationen. Speicher, der Knoten im laufenden Betrieb ohne Datenmigration ersetzt, vermeidet wiederholte, riskante Projekte. Vorbereitung auf die Zulassung Zulassungen und Audits gehen schneller, wenn Speicherteams frühzeitig Nachweise vorbereiten: Architekturdiagramme mit Datenorten und Datenflüssen, Konfigurationsnachweise für Verschlüsselung und Object Lock, Zugriffsüberprüfungen für Administratoren, Log-Beispiele, Ergebnisse von Wiederherstellungstests und Dokumentation der Support-Vereinbarungen mit Anbietern. Plattformen, die Konfiguration und Logs über APIs bereitstellen, erleichtern es, diese Nachweise fortlaufend zu erbringen. Häufige Fehler Souveränität nur als Speicherort verstehen, während Logs, Telemetrie oder Support-Zugriffe das Land verlassen. Backups veränderbar lassen, sodass Ransomware jede Kopie erreichen kann. Für die heutige Kapazität kaufen und in wenigen Jahren vor einer kompletten Migration stehen. Die Aufbewahrung ignorieren, sodass sich Daten entweder unbegrenzt ansammeln oder ohne Nachweis gelöscht werden. Kontrollen unzureichend dokumentieren, was Zulassungen und Audits verzögert. Fragen an Anbieter Kann die Plattform vollständig auf unserer Infrastruktur laufen, ohne verpflichtende externe Dienste? Welche Frameworks und Zertifizierungen unterstützt sie in unserem Land? Wie wird Support geleistet, und lässt sich der Fernzugriff kontrollieren und protokollieren? Wie wächst die Kapazität, und was geschieht bei der Hardware-Erneuerung? Zusammenfassung Objektspeicher für Behörden muss Skalierung und Effizienz mit Sicherheitszulassung, Unveränderlichkeit, Souveränität, langer Aufbewahrung und öffentlicher Rechenschaftspflicht verbinden. Die Anforderungen unterscheiden sich zwischen den USA, Frankreich, Deutschland, dem Vereinigten Königreich, Japan, den VAE und der EU insgesamt, doch das Bewertungsmuster ist einheitlich: Sicherheitskontrollen, unveränderlichen Schutz, Grenzen für Speicherort und Support sowie Aufbewahrung und Resilienz prüfen und dann die langfristigen Kosten vergleichen. On-Premises- und souveräne Bereitstellungen bleiben für sensible und umfangreiche öffentliche Daten zentral, oft kombiniert mit zugelassenen Cloud-Diensten in einem hybriden Modell. Häufig gestellte Fragen Warum nutzen Behörden Objektspeicher? Weil er bis in den Petabyte-Bereich skaliert, Daten mit Erasure Coding effizient schützt, Unveränderlichkeit unterstützt und über die S3-API mit modernen Anwendungen arbeitet. Welche Sicherheitsfunktionen verlangen Behörden? Verschlüsselung, starke Authentifizierung, rollenbasierte Administration, Audit-Logging, Object Lock im Compliance-Modus und – wo Frameworks es verlangen – validierte Kryptomodule. Müssen Behördendaten im Land bleiben? Oft ja, besonders bei sensiblen Daten. Die Anforderungen variieren nach Land und Datenart und umfassen in der Regel auch Backups, Metadaten und Support-Zugriff. Ist Cloud-Speicher für Behördendaten zulässig? Ja, wenn die Dienste das jeweilige Framework erfüllen, etwa FedRAMP in den USA, SecNumCloud in Frankreich, C5 in Deutschland oder ISMAP in Japan. Wie lange müssen Behördendaten aufbewahrt werden? Das hängt von Archivgesetzen und Datenart ab. Manche Akten werden jahrzehntelang oder dauerhaft aufbewahrt, daher muss der Speicher lange Aufbewahrung und Hardware-Erneuerung unterstützen. Weiterführende Lektüre CJIS-konformer Speicher FedRAMP-konformer Objektspeicher CMMC-konformer Speicher Speicher für digitale Beweismittel Speicher für Sovereign Clouds
