Bewertung des EU Cloud Sovereignty Framework (SEAL)

Zusammenfassung

Dieses Dokument bewertet die Architektur und das Betriebsmodell von StateWarden anhand des EU Cloud Sovereignty Framework (Version 1.2.1, Oktober 2025). Die Bewertung prüft die 8 Sovereignty Objectives (SOV) und bestimmt das Sovereignty Effectiveness Assurance Level (SEAL).

Bewertungsgrundlage: Selbstbewertung - keine auditierte Zertifizierung. Diese Bewertung wurde intern vom StateWarden-Team durchgeführt und wurde von keiner unabhängigen Stelle auditiert, verifiziert oder zertifiziert. Das Ergebnis ist ein Assurance-Profil pro Ziel und kein einzelnes Gesamtniveau: Die meisten Ziele sind mit SEAL-4 selbst bewertet, SOV-5 (Lieferkettensouveränität) mit SEAL-3 bis SEAL-4 und SOV-7 (Souveränität bei Sicherheit und Compliance) mit SEAL-3, hauptsächlich weil die Zertifizierungen nach ISO/IEC 27001 und ENISA noch nicht erlangt wurden. StateWarden operiert unter EU-Kontrolle, unterliegt EU-Recht und hat keine strategischen Abhängigkeiten von Nicht-EU-Staaten.

Detailbewertung nach Sovereignty Objective

SOV-1: Strategische Souveränität (15 %)

Die strategische Souveränität erfasst den Grad, in dem die Dienste im rechtlichen, finanziellen und industriellen Ökosystem der EU verankert sind.

• Bewertung: SEAL-4
• Begründung:
  • Kontrolle und Governance: Das Unternehmen und seine Leitungsorgane befinden sich vollständig innerhalb der EU.
  • Investition und Wertschöpfung: Die Software wird in Rust entwickelt, ohne Abhängigkeit von strategischen Investitionen aus Nicht-EU-Staaten.
  • Autonomie: Die Architektur von StateWarden (eigenständige Komponenten Agent, Artemis und Driad) unterstützt den unabhängigen Betrieb ohne externen Herstellersupport.

SOV-2: Rechtliche und jurisdiktionelle Souveränität (10 %)

Bewertet das rechtliche Umfeld, die Exposition gegenüber ausländischen Behörden und die Durchsetzbarkeit von Rechten.

• Bewertung: SEAL-4
• Begründung:
  • Jurisdiktion: Betrieb unter EU-Jurisdiktion. Nicht dem US CLOUD Act oder vergleichbaren ausländischen Cybersicherheitsgesetzen unterworfen.
  • Datenisolierung: Die Plattform wird auf OVHcloud-Bare-Metal-Infrastruktur in EU-Rechenzentren gehostet. Es werden keine Public-Cloud-APIs genutzt.
  • Geistiges Eigentum: Das geistige Eigentum ist innerhalb der EU registriert und wird dort verwaltet.

SOV-3: Daten- und KI-Souveränität (10 %)

Konzentriert sich auf den Schutz, die Kontrolle und die Unabhängigkeit von Datenbeständen.

• Bewertung: SEAL-4
• Begründung:
  • Kryptografische Kontrolle: StateWarden nutzt ein Cascade-Cryptography-Modell (mTLS, BLAKE3, AES-256-GCM, ChaCha20-Poly1305, ML-KEM/Kyber). Zero-Knowledge-Provisioning stellt sicher, dass der Kunde die ausschließliche Kontrolle über die kryptografischen Schlüssel behält.
  • Datenbegrenzung: Speichervorgänge (driad) sind auf europäische Jurisdiktionen beschränkt.
  • Auditierbarkeit: Realm Logs protokollieren Datenzugriffsereignisse zu Audit-Zwecken.

SOV-4: Operative Souveränität (15 %)

Misst die praktische Fähigkeit von EU-Akteuren, eine Technologie unabhängig von ausländischer Kontrolle zu betreiben, zu unterstützen und weiterzuentwickeln.

• Bewertung: SEAL-4
• Begründung:
  • Externe Abhängigkeiten: Die Plattform minimiert externe Abhängigkeiten und setzt auf native Implementierungen (z. B. einen nativen iSCSI-Target-Server, der in den Rust-Agenten integriert ist).
  • Wartbarkeit: Kernkomponenten sind in Rust geschrieben, was tiefe technische Kontrolle und Wartbarkeit unterstützt.
  • Vendor Lock-in: StateWarden erfordert keine proprietären Closed-Source-Ökosysteme von Nicht-EU-Anbietern.

SOV-5: Lieferkettensouveränität (20 % - höchste Gewichtung)

Bewertet den geografischen Ursprung, die Transparenz und die Resilienz der Technologie-Lieferkette.

• Bewertung: SEAL-3 bis SEAL-4
• Begründung:
  • Hardware: Hosting auf OVHcloud-Bare-Metal-Servern (ein EU-Anbieter). Physische Siliziumkomponenten stammen zwar aus globalen Quellen, doch die logische Kontrolle über die Bare-Metal-Server verbleibt in der EU.
  • Software-Ursprung: Der Software-Stack wird innerhalb der EU entwickelt.
  • Open-Source-Resilienz: Software-Abhängigkeiten werden aktiv verwaltet und versioniert festgelegt, um Stabilität zu gewährleisten.

SOV-6: Technologiesouveränität (15 %)

Bewertet den Grad an Offenheit, Transparenz und Unabhängigkeit des zugrunde liegenden Technologie-Stacks.

• Bewertung: SEAL-4
• Begründung:
  • Unabhängigkeit: Interne Dienste (z. B. Hermes für SMTP, Vigil für Threat Feeds) ersetzen externe Abhängigkeiten.
  • Transparenz: Es wird auf die Integration offener Standards gesetzt (QMP/NBD für Proxmox, OSV/NVD für Schwachstellen) statt auf proprietäre Formate.

SOV-7: Souveränität bei Sicherheit und Compliance (10 %)

Misst, in welchem Umfang Sicherheitsbetrieb, Compliance-Pflichten und Resilienzmaßnahmen innerhalb der EU kontrolliert werden.

• Bewertung: SEAL-3 (Ziel: SEAL-4 nach Zertifizierung)
• Begründung:
  • Kontrolle des Betriebs: Sicherheitsbetrieb und Logging unterliegen EU-Kontrolle.
  • Compliance: Einhaltung der DSGVO (Art. 32) sowie Unterstützung von NIS2- und DORA-Compliance-Mechanismen.
  • Lücke: StateWarden hält noch keine Zertifizierungen nach ISO/IEC 27001 oder ENISA, die für ein höheres Niveau in dieser Kategorie maßgeblich sind. StateWarden verfolgt diese Zertifizierungen derzeit.

SOV-8: Ökologische Nachhaltigkeit (5 %)

Bewertet die Autonomie und Resilienz von Cloud-Diensten langfristig in Bezug auf den Energieverbrauch.

• Bewertung: SEAL-4
• Begründung:
  • Energiequelle: Die Rechenzentren nutzen erneuerbare Energiequellen.
  • Effizienz: Die Implementierung der Kernkomponenten in Rust sorgt für einen geringen Rechenaufwand und trägt auf Softwareebene zur Energieeffizienz (Power Usage Effectiveness, PUE) bei.