Das Bundesamt für Cybersicherheit (Bacs) schlägt für die Verarbeitung schützenswerter Informationen spezielle Systeme mit einer definierten Zielarchitektur vor. Die Expertinnen und Experten nennen dabei nicht explizit Produkte. Als Beispiele führen sie jedoch unter anderem Google Workspace, Microsoft 365, Nextcloud, Sharepoint und Slack an.

Die Grundidee der Zielarchitektur bestehe darin, die schützenswerten Informationen jeweils nur an einem Ort zu halten. Sie könnten dann über gesicherte Kommunikationskanäle und kontrollierte Endgeräte zugänglich gemacht werden. So lässt sich dem Bundesamt zufolge insbesondere vermeiden, dass schützenswerte Informationen beliebig kopiert werden und diese Kopien dann einzeln geschützt werden müssen. Durch den singulären Ablageort der Daten lassen sich Sicherheitsanforderungen besser orchestrieren und gewährleisten.

Für die synchrone Sprach- und Videokommunikation sieht die Zielarchitektur eine Ende-zu-Ende-Verschlüsselung vor. Bei der kryptografischen Absicherung der Informationen muss die Schlüsselverwaltung so gestaltet sein, dass eine Einsicht oder Manipulation durch Dritte nicht möglich ist. Falls die Verarbeitung in fremd betriebenen Rechenzentren erfolgt, muss mit Verschlüsselungsverfahren und/oder Confidential-Computing-Technik sichergestellt sein, dass der Betreiber keine Einsicht nehmen oder Daten manipulieren kann.

Für die Datenablage fordert das Bundesamt in der Zielarchitektur die Datensouveränität. Um dieser Anforderung zu entsprechen, müssten Systeme entweder selbst On-Premises betrieben werden. Oder es müsse anderweitig sichergestellt sein, dass der Betreiber die Informationen nicht einsehen oder manipulieren kann.

Als eine Lösung führt das Bundesamt die Technik des Confidential Computing an. Mit ihr könne hardwareseitig sichergestellt werden, dass ein nicht vertrauenswürdiger Betreiber die schützenswerten Daten nicht einsehen kann. Jedoch gebe es auch hier die Einschränkung, dass das Vertrauen in den Hardwarehersteller gegeben sein muss. "Blindes Vertrauen in die Sicherheitsangaben und -versprechen der Hersteller ist hier nicht zielführend und muss hinterfragt werden", konstatiert das Bacs. Die Adäquatheit und Nutzbarkeit der Technologie müsse im Einzelfall geprüft und bestätigt werden.

Die zweite Lösung ist laut dem Bundesamt die Verschlüsselung der schützenswerten Daten. Die Technologie stehe zur Verfügung, wobei die Schlüsselverwaltung im Sinne von "Control Your Own Key" oder "Hold Your Own Key" bei der Organisation liegen müsse. Anderenfalls müsse das Konzept "Bring Your Own Key" zur Anwendung kommen, bei dem der Betreiber eines organisationsfremden Systems nur verschlüsselte Daten erhält, ohne selbst einen Schlüssel zu besitzen.

Für den Datenzugriff sieht die Zielarchitektur gut geschützte Endgeräte vor, von denen aus authentifizierte Personen und Prozesse über kontrollierte Kommunikationskanäle die Informationen einsehen und/oder bearbeiten können. Dabei erfolge der Zugriff grundsätzlich auf dem Server, so dass ein Herunterladen auf den Client im Idealfall vermieden werden kann. Sei dies doch erforderlich, könne mithilfe von Virtualisierungstechnologien wie Sandboxen die Sicherheit der Endgeräte gestärkt respektive eine Exfiltration von Daten erschwert werden.

Die Zielarchitektur werde sowohl für Projekte als auch für Beschaffungsvorhaben zur Prüfung empfohlen, so das Bundesamt.