JWCC-Vertrag wirft Bedenken hinsichtlich Cybersicherheit und Kartellrecht auf.

Im Jahr 2019 vergab das Verteidigungsministerium einen Cloud-Computing-Auftrag im Wert von 10 Milliarden US-Dollar an Microsoft, bekannt als „War Cloud“ oder JEDI-Auftrag. Ziel des Auftrags war es, die technologische Infrastruktur des Pentagon zu modernisieren und militärische Operationen zu verbessern. Der JEDI-Auftrag wurde 2022 gekündigt, aber ein neuer Auftrag, der Joint Warfighting Cloud Capability (JWCC), tritt dieses Jahr an seine Stelle.

Der Vertrag hat jedoch bei Vertretern des Kongresses und des Verteidigungsministeriums Bedenken hinsichtlich möglicher Auswirkungen auf die Cybersicherheit und Verstöße gegen das Kartellrecht ausgelöst, da Microsoft zunehmend für Cybersicherheitstools und -dienste herangezogen wird. Dies schließt andere Anbieter aus und birgt potenzielle Sicherheitsrisiken, da so viele Cybersicherheitslösungen auf eine einzige Quelle konzentriert sind.

Der 10-Milliarden-Dollar-Auftrag „War Cloud“ wurde im Oktober 2019 vom Pentagon an Microsoft vergeben, das sich in einem Ausschreibungsverfahren gegen Amazon Web Services durchgesetzt hatte. Ziel des Auftrags war es, das Pentagon bei der Modernisierung seiner Technologiesysteme und der Verbesserung seiner militärischen Operationen, Infrastruktur und Datenspeicherung zu unterstützen. In diesem Jahr wurde der Auftrag durch das JWCC ersetzt, das ein breiteres Netz für mehrere Cloud-Anbieter bevorzugt.

Dies könnte jedoch nicht ausreichen. Das Ende des JEDI-Programms löste unter den Mitgliedern des Pentagon erhebliche Kritik aus, da die Abhängigkeit von Microsoft weiter zunimmt. Selbst unter dem neuen Vertrag scheint es eine übermäßige Abhängigkeit von Microsoft-Cloud-Diensten zu geben, um die Schwerarbeit zu bewältigen. Geld zu sparen ist schön und gut, aber nicht, wenn dies auf Kosten der Sicherheit und der Schaffung eines Monopols geht.

Der JEDI-Vertrag war nur eine von vielen Möglichkeiten, mit denen die Regierung Microsoft mit der Verwaltung der Cybersicherheit des US-Militärs beauftragt hat, was in den kommenden Jahren aufgrund der weiter steigenden Dienstleistungspreise Nachteile mit sich bringen könnte. Eine übermäßige Abhängigkeit von einem einzigen Anbieter für wichtige Sicherheitslösungen schließt nicht nur den Wettbewerb durch möglicherweise überlegene Lösungen aus, sondern führt auch zu potenziellen Risiken bei der Datenspeicherung.

Der Cloud-Vertrag des Verteidigungsministeriums weckte auch Befürchtungen hinsichtlich potenzieller Sicherheitsrisiken, die sich auch auf andere Aspekte der laufenden Nutzung des Dienstes auswirken. Die Daten des Pentagon würden in eine kommerzielle Cloud verlagert, wodurch sensible Informationen dem Risiko von Datenverstößen, Cyberangriffen oder unbefugtem Zugriff ausgesetzt wären. Die frühere Beteiligung von Microsoft an Regierungsaufträgen und seine Beziehungen zu Regierungsbeamten gaben ebenfalls Anlass zu Bedenken hinsichtlich Verstößen gegen das Kartellrecht.

Das Verteidigungsministerium hat im April 2019 eine Untersuchung zum JEDI-Vertrag eingeleitet, um mögliche kartellrechtliche Bedenken zu prüfen. Eine laufende Überprüfung der Sicherheitsauswirkungen des Vertrags ist ebenfalls im Gange. Ein fairer und offener Wettbewerb, insbesondere im Bereich der Cybersicherheitslösungen, sollte auf Leistung und Nutzung basieren und nicht nur auf Bequemlichkeit. Derzeit rühren die Bedenken hinsichtlich des JWCC daher, dass der Großteil der Cloud-Ressourcen und Betriebssysteme unter das Dach von Microsoft fällt.

Bedenken hinsichtlich des JEDI-Vertrags veranlassten den Kongress zum Handeln. Im November 2019 forderte der Kongress eine Überprüfung der potenziellen Sicherheitsrisiken im Zusammenhang mit dem Vertrag und verlangte mehr Transparenz im Beschaffungsprozess. Microsoft und das Verteidigungsministerium reagierten auf diese Bedenken, indem sie Sicherheitsprotokolle betonten und den Wettbewerb in der Technologiebranche förderten. Microsoft gab außerdem eine Erklärung ab, in der es sein Engagement für die nationale Sicherheit betonte. Doch trotz der Beendigung von JEDI und der Ersetzung durch JWCC bestehen weiterhin Bedenken hinsichtlich der Macht, die Microsoft innerhalb der Regierung hat.

Seit 2017 verwendet das US-Verteidigungsministerium ausschließlich das Betriebssystem Microsoft Windows auf allen seinen über vier Millionen Computern und nutzt zunehmend die Cloud-Computing-Dienste von Microsoft Azure. Die meisten aktiven und reservistischen Militärangehörigen verwenden Microsoft-Programme wie Outlook oder Office. Jetzt setzt die Regierung auch Microsoft Defender for Endpoint ein. Angesichts der steigenden Anwendungsfälle und der aus dem Rennen gefallenen Konkurrenten sieht es so aus, als würde Microsoft ein vollständiges Software-Monopol in der Regierung anstreben.

Der JWCC-Vertrag des Pentagon mit Microsoft hat erhebliche Bedenken hinsichtlich potenzieller Sicherheitsrisiken und Verstößen gegen das Kartellrecht aufgeworfen. Der Kongress reagierte auf JEDI mit der Forderung nach mehr Transparenz und Rechenschaftspflicht im Beschaffungsprozess, während Microsoft und das Verteidigungsministerium Anstrengungen unternahmen, um diese Bedenken auszuräumen.

Jetzt steht noch mehr auf dem Spiel, da der aktuelle JWCC-Vertrag oberflächlich betrachtet für mehr Cloud-Anbieter attraktiv erscheint, aber darunter verbirgt sich eine Flut von Microsoft-Produkten und -Kontrollen. Es gibt viele Optionen, aber wenn man an die Verwendung derselben Software gewöhnt ist, fällt der Umstieg schwer.

Wenn das Verteidigungsministerium bald verstärkt auf Microsoft setzt, werden Wettbewerber ausgeschlossen. Es liegt in der Verantwortung der Regierung, einen uneingeschränkten und offenen Wettbewerb zu gewährleisten und die diesbezüglichen Gesetze einzuhalten. Die Übertragung von Entscheidungsbefugnissen im Bereich Cybersicherheit an Dritte wirft zu viele Probleme auf, für die es nicht genügend Lösungen gibt, unabhängig vom Grad der Kontrolle. Die Übertragung dieser Befugnisse an Dritte wie Microsoft entzieht der Regierung ihre Macht und sollte missbilligt werden, auch wenn es ihr das Leben erleichtert. Bei der Sicherheit geht es nicht um Benutzerfreundlichkeit, sondern um Wirksamkeit.