SAP erhält VS-NfD-Zulassung: Darf Geheimnis-Daten hosten

SAP darf Verschlusssachen hosten und plant 300 Millionen Euro für Cloud- und KI-Ausbau in Frankreich.

Der Walldorfer Softwarekonzern darf künftig als einer von wenigen Anbietern in Deutschland Verschlusssachen in seiner Cloud verarbeiten.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat SAP am gestrigen Dienstag offiziell die Berechtigung erteilt, Daten der Geheimhaltungsstufe „VS-NfD“ (Verschlusssache – nur für den Dienstgebrauch) auf der hauseigenen Cloud-Infrastruktur zu hosten. Die Zulassung gilt für die Rechenzentren in Walldorf und St. Leon-Rot. Das Prüfverfahren des BSI habe rund zwölf Monate gedauert, teilte das Unternehmen mit.

Einzigartige Marktposition für Behörden und Industrie

Anzeige: Wer als IT-Sicherheitsverantwortlicher die neue VS-NfD-Zulassung von SAP für die eigene Cloud-Migration nutzen will, braucht klare Compliance-Schritte – inklusive Shared-Responsibility-Audit und Patch-Priorisierung. Jetzt kostenlosen VS-NfD-Migrations-Report anfordern

Mit dieser Zertifizierung positioniert sich SAP als derzeit einziger Anbieter, der sowohl Standard-SAP-Anwendungen als auch kundenspezifische Applikationen in einer VS-NfD-konformen Umgebung unterstützen kann. Das dürfte vor allem für öffentliche Auftraggeber und regulierte Branchen interessant sein – von der Bundesverwaltung bis zur Rüstungsindustrie. Sie alle benötigen höchste Datensouveränität und Sicherheit, treiben aber gleichzeitig ihre digitale Transformation voran.

Frankreich-Offensive: 300 Millionen Euro für souveräne Cloud

Parallel zum deutschen Erfolg baut SAP sein europäisches Sovereign-Cloud-Geschäft weiter aus. Erst am Montag, beim „Choose France“-Gipfel in Paris, kündigte SAP-Chef Christian Klein Investitionen von bis zu 300 Millionen Euro in lokale Cloud- und KI-Kapazitäten an.

Konkret will SAP seine Dienste über die französische Plattform Bleu anbieten und die SecNumCloud 3.2-Qualifizierung der französischen Cybersicherheitsbehörde ANSSI erreichen. Gelänge dies, wäre SAP der erste nicht-französische Anbieter mit diesem Status. Die Expansion folgt auf ein starkes erstes Quartal 2026: Der Cloud-Auftragsbestand wuchs um 25 Prozent auf 21,9 Milliarden Euro.

Neue KI-Architektur: Der Weg zur autonomen Firma

Ebenfalls am Montag stellte SAP ein neues technisches Framework vor: die „AI-Native North Star Architecture“. Das Vier-Schichten-Modell – bestehend aus User-Experience-, Prozess-, Foundation- und Platform-Layer – soll das Fundament für die sogenannte „Autonomous Enterprise“ bilden. Die Architektur verspricht, KI-Agenten wie Joule mit tieferen Kontextinformationen aus der SAP Business Data Cloud zu versorgen.

Erste Praxiserfahrungen gibt es bereits: Beim Pharmakonzern Takeda führte der Einsatz zu Produktivitätssteigerungen von bis zu zehn Prozent.

Strategische Partnerschaften für mehr Intelligenz

SAP gab am Montag gleich mehrere neue Kooperationen bekannt:

• Giotto.ai: Gemeinsam mit dem Schweizer KI-Labor will SAP die Reasoning-Fähigkeiten seiner Joule-Agenten verbessern.
• OpenText: Die erweiterte Zusammenarbeit zielt auf eine „Zero-Copy“-Enterprise-Intelligence-Plattform ab, die SAP-Strukturdaten mit OpenTexts Content-Management kombiniert.
• Sopra Steria: Über die SAP-Tochter Delos Cloud sollen Regierungsbehörden bei der Migration zu einer souveränen Microsoft-basierten Plattform unterstützt werden, die von sicherheitsüberprüftem Personal in Deutschland betrieben wird.

Kritische Sicherheitslücken geschlossen

Anzeige: Sicherheitslücken mit CVSS 9,9 in SAP NetWeaver gefährden Ihre VS-NfD-Daten – der Report zeigt, wie Sie kritische Patches priorisieren und Ihre Cloud-Umgebung souverän absichern. SAP-Sicherheits-Patch-Guide jetzt sichern

Das Thema Sicherheit stand auch am Dienstag im Fokus: SAP veröffentlichte Updates für 15 Sicherheitslücken, von denen vier als kritisch eingestuft wurden – mit CVSS-Werten bis zu 9,9. Die schwerwiegendsten Probleme betrafen XML-Signature-Wrapping in SAML-Systemen von SAP NetWeaver sowie Speicherkorruptionsrisiken durch nicht autorisierte RFC-Anfragen.

Geteilte Verantwortung in der Cloud

Branchenbeobachter wiesen am Montag darauf hin, dass bei Cloud-Modellen wie SAP RISE ein „Shared Responsibility“-Modell greift. Während SAP die physische Infrastruktur und Hypervisoren verwaltet, bleiben die Kunden für die Anwendungssicherheit, den Datenschutz und die Compliance selbst verantwortlich. Drittanbieter wie Claranet haben deshalb erst Anfang der Woche neue SAP-spezifische Bedrohungserkennungsdienste gestartet, um die Transparenz in diesen spezialisierten Umgebungen zu erhöhen.