SAP legt zwischen seine beiden Rechenzentren in Walldorf und St. Leon-Rot eine Verschlüsselung, die das BSI für Verschlusssachen freigegeben hat. Die Technik von Adva Network Security arbeitet auf der Glasfaser selbst und schützt jeden Datenstrom, auch das Backup und die Verwaltung. Für Behörden und regulierte Branchen wird die Leitung damit zur Grundlage einer souveränen Cloud.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
SAP verschlüsselt die Verbindung zwischen seinen beiden deutschen Rechenzentren künftig auf der untersten Netzebene, dort wo das Licht durch die Glasfaser läuft. Datenleitungen im eigenen Netz galten lange als sicher genug. Der Anbieter Adva Network Security, eine Tochter von Adtran, liefert dafür eine vom Bundesamt für Sicherheit in der Informationstechnik zugelassene Technik.
Das Wichtigste in Kürze
- SAP verschlüsselt die Verbindung seiner Rechenzentren Walldorf und St. Leon-Rot auf der optischen Ebene (Layer 1).
- Die Technik von Adva Network Security ist vom BSI für Verschlusssachen (VS-NfD) zugelassen.
- Ein quantensicheres Schlüsselverfahren schützt vor dem Abgreifen heute und dem Entschlüsseln später.
- Zielgruppe sind Behörden, KRITIS-Betreiber und regulierte Branchen mit Bedarf an souveräner Cloud.
Was SAP zwischen Walldorf und St. Leon-Rot absichert
Optische Ebene: SAP nutzt die Layer-1-Verschlüsselung von Adva Network Security, um den kompletten Verkehr zwischen seinen Rechenzentren in Walldorf und St. Leon-Rot abzusichern.[1] Codiert wird direkt am optischen Übertragungsweg, bevor ein einziges Datenpaket die eigene Anlage verlässt. Das schließt Replikation, Backup und Verwaltungsdaten ein, nicht nur die eigentliche Nutzlast.
Zulassung für Verschlusssachen: Die Freigabe des BSI reicht bis zur Stufe „Verschlusssache, nur für den Dienstgebrauch“ (VS-NfD). „Mit der vom BSI zugelassenen Layer-1-Verschlüsselung kann SAP Daten in Bewegung zwischen seinen Rechenzentren schützen und damit Anwendungen mit erhöhten Anforderungen an Vertraulichkeit, Compliance und digitale Souveränität absichern“, sagt Christoph Glingener, Technikchef von Adtran. Wenige Tage zuvor hatte eine kritische Lücke in der SAP Commerce Cloud gezeigt, wie schnell Angreifer eine offene Flanke ausnutzen.
Warum die Verschlüsselung auf der Glasfaser ansetzt
Kaum Tempoverlust: Layer 1 codiert die gesamte Wellenlänge, bevor sie in die Faser geht, transparent und mit voller Leitungsgeschwindigkeit. Verfahren auf höheren Ebenen wie IPsec oder MACsec kosten Durchsatz und lassen Verkehrsmuster und Metadaten sichtbar. Auf der optischen Ebene bleibt selbst verborgen, wann und wie viel zwischen den Standorten fließt.
Quantensicher vorgesorgt: Adva kombiniert etablierte Kryptografie mit quantensicheren Verfahren, der ConnectGuard-Technik. Angreifer schneiden verschlüsselten Verkehr schon heute mit, um ihn zu speichern und mit einem künftigen Quantenrechner zu knacken. Gegen dieses Muster, im Fachjargon „harvest now, decrypt later“, richtet sich der post-quantensichere Schlüsseltausch. Das BSI drängt Betreiber kritischer Netze seit Längerem zu genau dieser Umstellung.
Die Leitung zwischen zwei Rechenzentren ist der blinde Fleck vieler Sicherheitskonzepte. SAP macht daraus ein Verkaufsargument für die souveräne Cloud und liefert dem Mittelstand damit den entscheidenden Hebel.
— Michael Dobler, Herausgeber Dr. Web
Was das für deutsche Entscheider bedeutet
VS-NfD als Eintrittskarte: Ohne diese Freigabestufe kommt kein Anbieter an Cloud-Aufträge aus dem öffentlichen Dienst oder von KRITIS-Betreibern. NIS2 verlangt von Betreibern wesentlicher Dienste den Stand der Technik bei der Verschlüsselung. Die DSGVO schreibt in Artikel 32 dasselbe für personenbezogene Daten fest. Wie stark der Staat als Nachfrager wirkt, zeigt das wachsende Sicherheitsgeschäft von secunet.
Souveränität als Muster: Der Schritt reiht sich in eine Bewegung ein. Adva sammelte BSI-Zulassungen bereits für die Ethernet-Verschlüsselung 2023 und für 400 Gbit/s 2025. Betreiber holen sich Infrastruktur zurück, sichtbar auch an der Debatte um selbst gehostete Mailserver. Kontrolle über den eigenen Datenweg wird vom Nischenwunsch zur Vergabebedingung.
Transit prüfen: Entscheider sollten klären, ob ihre Standortverbindungen und Mietleitungen überhaupt verschlüsselt sind und ob der Anbieter einen Migrationsplan zur post-quantensicheren Kryptografie vorlegt. Die Verbindung zwischen zwei Rechenzentren gehört in jedes Sicherheitskonzept, nicht erst in die Kür.
FAQ: SAP verschlüsselt die Datenleitung zwischen seinen Rechenzentren
Was ist Layer-1-Verschlüsselung?
Layer-1-Verschlüsselung codiert Daten direkt auf der optischen Übertragungsebene, also im Licht der Glasfaser, bevor Datenpakete das Rechenzentrum verlassen. Das Verfahren erfasst den gesamten Verkehr einer Leitung samt Backup und Verwaltung, hält die volle Leitungsgeschwindigkeit und verbirgt auch Verkehrsmuster und Metadaten.
Was bedeutet die BSI-Zulassung VS-NfD?
VS-NfD steht für „Verschlusssache, nur für den Dienstgebrauch“, die niedrigste amtliche Geheimhaltungsstufe in Deutschland. Eine vom BSI für VS-NfD zugelassene Verschlüsselung darf entsprechend eingestufte Behördendaten schützen und ist oft die Voraussetzung für Cloud-Aufträge aus dem öffentlichen Dienst.
Was heißt harvest now, decrypt later?
Der Begriff beschreibt Angreifer, die heute verschlüsselten Verkehr mitschneiden und speichern, um ihn später mit einem leistungsfähigen Quantenrechner zu entschlüsseln. Post-quantensichere Kryptografie soll genau das verhindern, indem sie Schlüssel schon jetzt gegen künftige Quantenangriffe härtet.
Betrifft die SAP-Verschlüsselung auch bestehende Kunden?
Die Verschlüsselung sichert die Verbindung zwischen SAP-Rechenzentren in Deutschland und wirkt im Hintergrund, ohne Zutun der Kunden. Profitieren sollen vor allem Behörden, KRITIS-Betreiber und regulierte Branchen, die Daten nachweislich vertraulich und kontrolliert in Deutschland verarbeiten müssen.
Quelle
[1] Adva Network Security: „SAP strengthens its cloud infrastructure in Germany with BSI-approved Layer 1 encryption from Adva Network Security“
Mehr Newshunger?
- SAP Commerce Cloud: Angreifer nutzen die kritische Lücke drei Tage nach dem Patch
- Munich Re übernimmt At-Bay: 500 Millionen Euro für die Cyber-Abwehr
- 287 Millionen Euro Auftragseingang: Wie der Staat secunets Sicherheitsgeschäft antreibt
- Selbst gehostete Mailserver: Der Anteil sinkt auf 22,4 Prozent
- FortiWeb-Lücke: Ein beliebiges Passwort genügt für den Admin-Zugang
- 86 Prozent KI-Phishing: Wie sich Mittelständler 2026 wirklich schützen
