Unsere Souveränität selbst bewertet: openEduSuite auf dem EU Cloud Sovereignty Framework
„Cloud Sovereignty" ist leicht zu behaupten und schwer zu messen. Ein früherer Beitrag hat die acht Objectives des EU Cloud Sovereignty Framework durchgegangen und sie gegen eine selbst gehostete Plattform gelesen. Ein Framework gegen eine Hypothese zu lesen ist eine Sache; eine reale Bereitstellung zu bewerten eine andere, denn das erzeugt überprüfbare Zahlen.
Wir haben unseren openEduSuite-Referenzcluster mit der offiziellen Framework-Methodik bewertet: alle 48 Kriterien, den gewichteten Sovereignty-Score und die Schwachglied-SEAL-Stufe. Dieser Beitrag berichtet das Ergebnis, wo die Plattform stark ist und wo das Ergebnis gedeckelt ist.
Was das Framework misst
Das EU Cloud Sovereignty Framework (v1.2.1) beurteilt ein Cloud-Angebot über acht Objectives (SOV-1 bis SOV-8) und 48 Kriterien. Jedes Kriterium ist eine ordinale Antwortleiter; jede Antwort trägt einen Punktwert und eine SEAL-Stufe (0 bis 4). Die Punktwerte speisen den gewichteten Sovereignty-Score, normiert auf /1000. Die SEAL-Stufe speist den Gesamt-SEAL.
Die entscheidende Eigenschaft ist das Schwachglied: Der Gesamt-SEAL entspricht der niedrigsten SEAL-Stufe, die bei irgendeinem einzelnen Kriterium erreicht wird. Ein Anbieter kann gut punkten und trotzdem bei SEAL-1 landen, wenn ein einziges Kriterium schwach ist, etwa Hardware, auf die eine Nicht-EU-Behörde zugreifen kann. Der Score belohnt Stärke im Durchschnitt; der SEAL nicht.
flowchart LR
A["Kriterium-Antwort<br/>(48 Kriterien, SOV-1 bis SOV-8)"] --> B["Punktwert"]
A --> C["SEAL-Stufe (0 bis 4)"]
B --> D["Gewichteter Sovereignty-Score<br/>73,5 % (735 / 1000)"]
C --> E["Gesamt-SEAL = niedrigster SEAL<br/>über alle Kriterien"]
E --> F["SEAL-1 · Jurisdiktionssouveränität"]
Was wir bewertet haben
Gegenstand ist der openEduSuite-Referenzcluster aus dem Sovereign-Cloud-Days-Workshop: drei wiederverwendete Huawei RH2288E V2-Server (ca. 2013) mit SCS-verified K3s auf Bare Metal, Ceph-Speicher, Flannel, MetalLB, HAProxy und ArgoCD. Er wird vor Ort am HRZ der Philipps-Universität Marburg betrieben und trägt die Multi-Tenant-Workloads von openEduSuite sowie eine CPU-basierte Ollama-Inferenz.
| Metrik | Ergebnis |
|---|---|
| Sovereignty-Score (gewichtet, /1000) | 73,5 % (735/1000) |
| SEAL (Schwachglied über alle Kriterien) | SEAL-1 (Jurisdiktionssouveränität) |
Score und SEAL weichen voneinander ab: ein solider Score und eine niedrige Stufe, beides aus denselben Daten.
Aufschlüsselung nach Objective
| Objective | Gewicht | Score | Objective-SEAL |
|---|---|---|---|
| SOV-1 Strategische Souveränität | 20 % | 94 % | SEAL-4 |
| SOV-4 Betriebliche Souveränität | 15 % | 83 % | SEAL-3 |
| SOV-6 Technologie-Souveränität | 15 % | 80 % | SEAL-3 |
| SOV-3 Daten- & KI-Souveränität | 10 % | 75 % | SEAL-1 |
| SOV-2 Recht & Jurisdiktion | 10 % | 71 % | SEAL-1 |
| SOV-7 Security & Compliance | 15 % | 64 % | SEAL-1 |
| SOV-5 Lieferketten-Souveränität | 10 % | 50 % | SEAL-1 |
| SOV-8 Umwelt-Nachhaltigkeit | 5 % | 19 % | SEAL-1 |
xychart-beta
title "Sovereignty-Score nach Objective (%)"
x-axis ["SOV-1","SOV-2","SOV-3","SOV-4","SOV-5","SOV-6","SOV-7","SOV-8"]
y-axis "Score (%)" 0 --> 100
bar [94,71,75,83,50,80,64,19]
Wo die Plattform stark ist
SOV-1 Strategische Souveränität (94 %, SEAL-4). Die Einrichtung ist ihr eigener Anbieter. Kontrolle, Eigentum, Finanzierung und Roadmap liegen vollständig in der EU. Das ist die Baseline, die jede selbst gehostete Plattform erreichen sollte; der Score bestätigt sie.
SOV-4 Betriebliche Souveränität (83 %, SEAL-3). Der Cluster wird von einem EU-basierten Team ohne Nicht-EU-Anbieter-Lebensader betrieben. Upgrades, Patchen und Troubleshooting erfolgen im Haus; offene Standards und GitOps halten den Workload portabel. Die verbleibende Lücke ist Formalisierung, nicht Fähigkeit.
SOV-6 Technologie-Souveränität (80 %, SEAL-3). Alles ist Open Source und läuft auf offenen Standards (Kubernetes, Ceph, OIDC) und kann von uns eingesehen, verändert und neu bereitgestellt werden. Das ist das Kernversprechen von openEduSuite.
Wo das Ergebnis gedeckelt ist
Der Gesamt-SEAL-1 wird von jenen Kriterien bestimmt, die die höheren Stufen nicht erreichen können.
SOV-5 Lieferkette (50 %, SEAL-1). Die Hardware (Huawei-Server, Intel- oder Huawei-Komponenten, opaque Firmware) ist nicht-EU-Ursprungs mit nur teilweiser Offenlegung. Das ist der größte einzelne Bremsklotz, und zugleich eine Beschaffungsentscheidung, die wir bewusst getroffen haben, um zu zeigen, dass ausgemusterte Hardware weiterhin nützlich sein kann. Die Software ist souverän; die wiederverwendete Hardware nicht.
SOV-7 Security & Compliance (64 %, SEAL-1). Der Cluster ist SCS-verified (6/6 KaaS-Standards, 444/444 CNCF-Konformität) und aktiv überwacht, aber SCS-Compliance ist keine formale EAL-Zertifizierung, und unabhängige Auditrechte sind noch nicht vollständig wahrgenommen. Die Lücke ist prozedural, nicht technisch.
SOV-3 Daten & KI (75 %, SEAL-1). Daten bleiben vor Ort in der EU, die Schlüssel sind unsere, und der KI-Pfad ist auditierbares Open Source auf CPU. Was das Objective deckelt, ist die verifizierbare Löschung: Löschung wird intern gegen Richtlinien validiert, entbehrt aber eines unabhängigen, evidenzgestützten Nachweises.
SOV-8 Umwelt (19 %, SEAL-1). Legacy-Hardware wiederzuverwenden ist solide Praxis, aber wir veröffentlichen weder einen PUE-Wert noch eine Emissionszahl.
Was SEAL-1 bedeutet
SEAL-1 ist Jurisdiktionssouveränität: EU-Recht gilt für den Betrieb, aber kritische Abhängigkeiten liegen weiterhin außerhalb der EU-Kontrolle. Für openEduSuite auf diesem Cluster ist das eine treffende Beschreibung. Software, Daten und Betrieb sind unser; das Silizium darunter nicht.
Das ist eine Selbstbewertung, keine Zertifizierung. Vergabestellen können das Framework anders gewichten, und eine echte Beschaffung würde auditiert. Wir veröffentlichen die Zahlen, weil ein Score nur nützt, wenn er reproduzierbar ist; die Antwortkarte für 48 Kriterien und das Scoring-Skript liegen im Bewertungs-Repository.
Von SEAL-1 zu SEAL ≥ 3
Drei Schritte:
- Hardware angehen (SOV-5). Herkunftsnachweise oder eine EU-gefertigte Plattform beheben die strukturelle Schwäche.
- Formale Zertifizierung erreichen (SOV-7). Die Lücke zwischen SCS-Verifikation und einem EAL-anerkannten Niveau schließen.
- Umweltzahlen veröffentlichen (SOV-8). PUE-Messung, CSRD-konformes Emissions-Reporting und EU-Erneuerbare-Energie.
Jeder Schritt ist ein echtes Projekt. Genau deshalb zählt das Schwachglied-Design: Es lässt ein starkes Objective nicht für ein schwaches kompensieren. Souveränität ist kein Durchschnitt.
Fazit
Wir haben diese Bewertung durchgeführt, um eine Frage zu beantworten, die in jedem Workshop aufkommt: Wie souverän ist diese Bereitstellung? Die Antwort in Zahlen ist 73,5 % mit einem SEAL-1-Schwachglied; stark, wo es um Software und Betrieb geht, gedeckelt durch die wiederverwendete Nicht-EU-Hardware, das Fehlen einer formalen Zertifizierung und das Fehlen eines Umwelt-Reportings.
Für Einrichtungen, die entscheiden, ob sie eine solche Plattform übernehmen sollen, ist das nützlicher als eine Behauptung. Eine Selbstbewertung, die das Schwachglied benennt, ist eine Grundlage für eine Beschaffungsentscheidung.
