An:Bundesamt für Sicherheit in der Informationstechnik (BSI)
An:Bundesministerium für Digitales und Staatsmodernisierung (BMDS)
An:Europäische Kommission — DG CONNECT und DG FISMA
Nachrichtl.:ENISA, BaFin, Deutsche Bundesbank, EZB, Bundesnetzagentur
Wir schreiben diesen Brief öffentlich, weil die Sache zu wichtig ist für geschlossene Gesprächsräume.
Europa befindet sich an einem Wendepunkt, der sich nicht durch weiteres Abwarten auflöst. Die Gesetze sind in Kraft. Die Fristen sind real. Die ersten Bußgelder werden verhängt. Aber die Infrastruktur, die Finanzinstitutionen, Behörden, PropTech-Plattformen und den europäischen Mittelstand in die Lage versetzen würde, diese Vorschriften technisch nachweisbar, rechtlich belastbar und souveränitätswahrend einzuhalten, existiert noch nicht als anerkannter Standard.
Wir haben sie gebaut. Und wir fordern die hier angesprochenen Institutionen auf, das zu prüfen, zu zertifizieren und letztlich als verbindlichen Maßstab zu setzen.
Dieser Brief ist kein Produktpitch. Er ist ein technisches und rechtliches Argument für eine neue Infrastrukturkategorie, die wir Institutionelle Vertrauensinfrastruktur nennen.
Teil I
Das Problem, das niemand klar genug benennt
Der Digital Operational Resilience Act. NIS2. Das EU AI Act. Die DSGVO. AMLD6. PSD3. DORA Artikel 17. Das deutsche Geldwäschegesetz. Das KI-Durchführungsgesetz, das dem BSI und der Bundesnetzagentur explizit Marktüberwachungsaufgaben für Hochrisiko-KI-Systeme zuweist.
Jedes einzelne dieser Regelwerke verlangt im Kern dasselbe: technisch verifizierbaren Nachweis, dass Compliance genau in dem Moment vorlag, in dem eine regulierte Handlung ausgeführt wurde.
Nicht einen Bericht, der drei Wochen später geschrieben wurde. Nicht ein Policy-Dokument. Nicht einen Screenshot. Technisch verifizierbaren, kryptographisch unveränderlichen, zeitgestempelten Beweis.
Die Wahrscheinlichkeit, dass ein europäisches Kreditinstitut diesen Nachweis für die vergangenen 36 Monate vorlegen kann: konservativ geschätzt unter zwanzig Prozent.
Die Regulierung ist in Kraft. Die Durchsetzung hat begonnen. Die Infrastruktur fehlt.
Teil II
Der Trugschluss der digitalen Souveränität
Lassen Sie uns über etwas sprechen, das in der politischen Debatte regelmäßig zu unscharf bleibt.
Digitale Souveränität ist kein Versprechen. Sie ist entweder mathematisch erzwungen oder sie existiert nicht.
Der US CLOUD Act von 2018 berechtigt US-amerikanische Strafverfolgungsbehörden, US-Technologieunternehmen zur Herausgabe von Daten zu zwingen, unabhängig davon, wo diese Daten physisch gespeichert sind. Das gilt für AWS, Azure, Google Cloud und jeden anderen Anbieter mit US-amerikanischer Rechtsperson. Vertragliche Zusagen über Datensouveränität sind genau das: vertragliche Zusagen. Der CLOUD Act ist ein Bundesgesetz. Wenn beides kollidiert, gewinnt das Gesetz.
Das gilt auch für Angebote wie STACKIT, den Cloud-Dienst der Schwarz-Gruppe, der sich dezidiert als europäische Alternative positioniert. STACKIT ist ein seriöser Schritt in die richtige Richtung: europäisches Unternehmen, europäische Rechtsordnung, DSGVO-konformer Betrieb. Aber selbst hier gilt: Souveränität über die Daten ist nur dann vollständig, wenn die kryptographischen Schlüssel zu diesen Daten ausschließlich beim Kunden liegen und nicht rekonstruierbar beim Anbieter.
Das ist Zero Key Custody. Und es ist das einzige Prinzip, das digitale Souveränität technisch erzwingt statt vertraglich verspricht.
In der immo.quick-Architektur verlassen kryptographische Signing-Keys niemals die Infrastruktur des Kunden. Sie werden lokal auf dem eigenen Server erzeugt und verlassen ihn nie. Das US-Justizministerium kann jeden erdenklichen Beschluss senden. Es gibt nichts herauszugeben. Die Schlüssel existieren schlichtweg nicht auf Infrastruktur, die dem CLOUD Act unterliegt.
Das ist keine Marketingaussage. Das ist Mathematik.
Teil III
Das neue BSI-Mandat und warum unsere Architektur exakt das liefert, was gefordert wird
Das KI-Durchführungsgesetz weist dem BSI eine explizite Rolle bei der Marktüberwachung von Hochrisiko-KI-Systemen zu.
Hier liegt ein Steilpass, den wir direkt ansprechen wollen.
Die immo.quick immo.quick Serverless Edition verwendet keine KI für Compliance-Entscheidungen. Sie verwendet deterministische, rein mathematische Funktionen. Rechtsregeln, kodiert als versionierter Code. Null probabilistische Inferenz. Jedes Ergebnis ist vollständig erklärbar, vollständig reproduzierbar und vollständig auditierbar.
Aber das System schafft genau das, was das BSI-Mandat strukturell benötigt: das Beweissubstrat, auf dem Aufsicht überhaupt erst technisch fundiert ausgeübt werden kann. Jede Prüfung, jede Entscheidung, jede Regelanwendung erzeugt einen kryptographisch signierten, manipulationssicheren Receipt.
Teil IV
Was ein Receipt ist und was es belegt
Da dieses Konzept das Fundament aller unserer Argumente bildet, wollen wir es ohne Fachjargon erklären.
Jede Prüfung durchläuft festgelegte Prüfschichten, zum Beispiel die Identität des Gegenübers (GLEIF), Sanktionen (OFAC, EU, UK, UN und PEP-Abgleich über OpenSanctions) und die Regeln der jeweiligen Aufsicht. Das Ergebnis lautet CLEAR, REVIEW_REQUIRED, BLOCK oder INCOMPLETE. Es gibt keinen Score.
RECEIPT: SLE-AML-2026-000042 (Beispiel)
STANDARD: IQ-RECEIPT-STANDARD 4.0.0
INPUT: sha384:… (Hash der Eingabe, nicht die Eingabe)
RULES: KYC-AML-SCREENING-RULES · versioniert
SOURCES: OFAC · EU · UK · UN · OpenSanctions (Stand und Hash)
LAYER IDENTITÄT: CLEAR
LAYER SANKTIONEN: CLEAR
LAYER PEP: REVIEW_REQUIRED
ERGEBNIS: REVIEW_REQUIRED
SIGNATUR: Ed25519 + ML-DSA-87 · HMAC-SHA-256 intern
KETTE: sha384:… (vorheriges Receipt)
Wer ein Receipt und die öffentlichen Schlüssel hat, kann es auch ohne Internetverbindung prüfen. Wird nachträglich auch nur ein Zeichen verändert, schlägt die Prüfung fehl. Ein Receipt belegt, was geprüft wurde und mit welchem Ergebnis. Seine rechtliche Wirkung beurteilen Aufsicht und Gerichte im Einzelfall.
Teile V – X
Öffentliche Datenbeweis · Post-Quantum · Belastbare Evidenz · Mittelstand · Geopolitik · Standardisierung
Das Bedrohungsmodell „harvest now, decrypt later" macht Post-Quanten-Verfahren heute schon zur Pflicht, nicht erst in sieben Jahren. Im System trägt jedes Receipt ML-DSA-87 (NIST FIPS 204) zusätzlich zu Ed25519, Schlüssel werden hybrid mit X25519 und ML-KEM-1024 (FIPS 203) ausgetauscht, und die Kette nutzt SHA-384.
Ein Receipt ist keine Dokumentation. Er ist Exkulpation. Der Compliance-Officer, der diesen Receipt einem BaFin-Prüfer vorlegt, argumentiert nicht, dass seine Institution versucht hat zu entsprechen. Er beweist mathematisch, dass sie es getan hat.
Ein Mittelstandsfonds mit 200 Jahrestransaktionen gibt vierundzwanzig Euro pro Jahr für technisch verifizierbaren, für gerichtliche Prüfung ausgelegten Compliance-Nachweis aus, statt vierhunderttausend Euro für eine interne Compliance-Funktion, die ihre erste ernsthafte Regulierungsprüfung zu vierzig Prozent nicht besteht.
Hier sprechen wir einen strukturellen Punkt an, der selten offen ausgesprochen wird: DORA-Enforcement hat im Januar 2025 begonnen. Institutionen werden heute geprüft, nach Standards, die nicht auf einer technischen Infrastruktur basieren, die als Referenz existiert. Die Europäische Union kann sich diesen Ansehensverlust nicht leisten.
Was wir fordern
Vom BSI
Prüfen Sie unsere Architektur als Referenzimplementierung für die Beweisanforderungen des neuen KI-Überwachungsmandats. Setzen Sie Zero Key Custody und Post-Quantum-Hybrid-Signaturen als verbindliche Anforderungen. Beschleunigen Sie den Normierungsprozess mit realen Systemen als Grundlage.
Vom BMDS
Erkennen Sie Institutional Trust Infrastructure als eigenständige und strategisch bedeutsame Kategorie in der deutschen Digitalinfrastrukturstrategie an. Adressieren Sie die Kosten-Asymmetrie zwischen Großinstitutionen und Mittelstand als Marktversagen, das Regulierung beheben, nicht vertiefen muss.
Von der EU-Kommission
Erklären Sie CLOUD-Act-Risiko zu einem formalen Compliance-Aspekt unter DORA und NIS2. Schreiben Sie Zero Key Custody für Compliance-Daten kritischer Infrastrukturen vor. Setzen Sie einen Zeitplan für Post-Quantum-Bereitschaft, der Dringlichkeit schafft, ohne Panik auszulösen.
Die Alternative
Das Dokumentationsvakuum wird von einer neuen Generation KI-generierter Berichte gefüllt werden, die sophistiziert, plausibel und technisch nicht verifizierbar sind. Regulatoren werden sie nicht von echten Nachweisen unterscheiden können. Durchsetzung wird zum Theater. Und europäische digitale Souveränität wird eine Wendung in Politikdokumenten bleiben, während die tatsächliche Infrastruktur der Rechtsjurisdiktion einer fremden Macht unterworfen ist. Wir haben die Alternative gebaut. Die Receipts sind real und mathematisch permanent.
immo.quick Global
Hattingen, Deutschland
Rami Cherri, Gründer & CEO
To:Federal Office for Information Security (BSI)
To:Federal Ministry for Digital Transformation and Government Modernisation (BMDS)
To:European Commission — DG CONNECT and DG FISMA
cc:ENISA, BaFin, Deutsche Bundesbank, ECB, Bundesnetzagentur
HISTORICAL DOCUMENT / CURRENT CLAIM NOTICE
This open letter documents an earlier public system and policy position. Architecture terminology, gate counts, assurance language and legal-effect statements in the original version may no longer represent the current immo.quick architecture or public claim standard. Current architecture is governed by the extensible Gate Catalog, Execution Rights™ model and current Claim Hygiene Standard. Where this historical text conflicts with current architecture pages, the current architecture pages control.
We are writing this letter publicly because the matter is too important for closed-door conversations.
Europe is at a turning point that does not resolve itself through further waiting. The laws are in force. The deadlines are real. The first fines are being issued. But the infrastructure that would actually allow financial institutions, government bodies, PropTech platforms, and the European Mittelstand to comply with these regulations in a technically demonstrable, legally defensible, and sovereignty-preserving way does not yet exist as a recognized standard.
We built it. And we are asking the institutions addressed here to examine it, certify it, and ultimately establish it as the binding benchmark.
This letter is not a product pitch. It is a technical and legal argument for a new infrastructure category that we call Institutional Trust Infrastructure.
Part I
The Problem That Nobody States Clearly Enough
The Digital Operational Resilience Act. NIS2. The EU AI Act. GDPR. AMLD6. PSD3. DORA Article 17. The German Anti-Money Laundering Act. The new German AI Implementation Act, which assigns the BSI and the Federal Network Agency explicit central roles in the market surveillance of high-risk AI systems.
Every single one of these frameworks demands the same thing: technically verifiable proof that compliance occurred at the exact moment a regulated action was taken.
Not a report written three weeks later. Not a policy document. Not a screenshot. Technically verifiable, cryptographically immutable, time-anchored proof.
The availability and quality of such historical evidence varies materially by institution and cannot be responsibly reduced to a universal percentage without a defined empirical basis.
The regulations are in force. Enforcement has begun. The infrastructure is missing.
Part II
The Illusion of Digital Sovereignty
Let us talk about something that remains consistently too vague in the political debate.
Digital sovereignty requires technical controls in addition to contractual and organisational commitments.
The US CLOUD Act of 2018 grants US law enforcement agencies the authority to compel US technology companies to produce data, regardless of where that data physically resides. Contractual commitments about data sovereignty are exactly that: contractual commitments. The CLOUD Act is a federal statute. When the two conflict, the statute wins.
This also applies to offerings like STACKIT, the cloud service of the Schwarz Group, which positions itself as a dedicated European alternative. STACKIT is a serious and meaningful step in the right direction. But even here the principle holds: sovereignty over data is only complete when the cryptographic keys reside exclusively with the customer and are not reconstructible by the provider.
Zero Key Custody is one technical control designed to reduce provider access to customer-controlled cryptographic keys; it does not by itself establish legal sovereignty or immunity.
In the immo.quick architecture, cryptographic signing keys never leave the customer's own infrastructure. They are generated locally on the operator’s own server and never leave it. There is nothing to hand over. The keys simply do not exist on infrastructure subject to CLOUD Act jurisdiction.
This is a technical control claim with a defined cryptographic scope, not a claim of legal immunity.
Part III
The New BSI Mandate and Why Our Architecture Delivers Exactly What Was Ordered
The AI Implementation Act assigns the BSI an explicit role in the market surveillance of high-risk AI systems.
Here is a direct opening, and we intend to address it head-on.
The immo.quick architecture separates probabilistic assistance from execution-relevant authorization. Deterministic domain logic is applied within the currently encoded and governed rule scope. The current architecture uses an extensible Gate Catalog rather than a fixed rule or gate count, and deterministic reproducibility does not imply infallibility or complete legal coverage.
But the system creates precisely what the BSI's new oversight mandate structurally requires: the evidentiary substrate on which supervision can actually be technically grounded.
Part IV
What a Receipt Is and What It Proves
Since this concept forms the foundation of all our arguments, we want to explain it without jargon.
Every check runs through defined check layers, for example counterparty identity (GLEIF), sanctions (OFAC, EU, UK, UN and PEP matching via OpenSanctions) and the rules of the relevant supervisor. The result is CLEAR, REVIEW_REQUIRED, BLOCK or INCOMPLETE. There is no score.
RECEIPT: SLE-AML-2026-000042 (example)
STANDARD: IQ-RECEIPT-STANDARD 4.0.0
INPUT: sha384:… (hash of the input, not the input)
RULES: KYC-AML-SCREENING-RULES · versioned
SOURCES: OFAC · EU · UK · UN · OpenSanctions (state and hash)
LAYER IDENTITY: CLEAR
LAYER SANCTIONS: CLEAR
LAYER PEP: REVIEW_REQUIRED
RESULT: REVIEW_REQUIRED
SIGNATURE: Ed25519 + ML-DSA-87 · HMAC-SHA-256 internal
CHAIN: sha384:… (previous receipt)
Anyone holding a receipt and the public keys can verify it, even offline. If a single character is changed afterwards, verification fails. A receipt proves what was checked and with which result. Its legal effect is assessed case by case by supervisors and courts.
Parts V – X
Public Data Proof · Post-Quantum · Exculpation · Mittelstand · Geopolitics · Standardization
The threat model "harvest now, decrypt later" makes post-quantum schemes a necessity today, not in seven years. In the System every receipt carries ML-DSA-87 (NIST FIPS 204) in addition to Ed25519, keys are exchanged in hybrid mode with X25519 and ML-KEM-1024 (FIPS 203), and the chain uses SHA-384.
A Receipt is technical evidence, not exculpation. It can preserve the system state, inputs, determinations and cryptographic bindings captured for a defined event. Its legal and evidentiary effect remains subject to the relevant regulator, court and case-specific assessment.
Economic effects depend on transaction volume, integration scope, external advisory needs and institutional operating model. Any cost or savings comparison should therefore be treated as an illustrative model unless supported by a defined, current commercial calculation.
Here we address a structural point that is rarely spoken openly: DORA enforcement began in January 2025. Institutions are being examined today, against standards that are not grounded in a reference technical infrastructure that actually exists.
What We Are Asking For
From the BSI
Examine our architecture as a reference implementation for the evidentiary requirements of the new AI oversight mandate. Establish Zero Key Custody and post-quantum hybrid signatures as mandatory requirements for regulated compliance infrastructure. Accelerate the standardization process using real production systems as the foundation.
From the BMDS
Recognize Institutional Trust Infrastructure as a distinct and strategically significant category in Germany's digital infrastructure strategy. Address the compliance cost asymmetry between large institutions and the Mittelstand as a market failure that regulation must correct, not deepen.
From the EU Commission
Declare CLOUD Act risk a formal compliance consideration under DORA and NIS2. Mandate Zero Key Custody for compliance data of critical infrastructure operators. Set a timeline for post-quantum readiness that creates urgency without creating panic.
The Alternative
The documentation vacuum will be filled by a new generation of AI-generated compliance reports that are sophisticated, plausible, and technically unverifiable. Regulators will not be able to distinguish them from genuine contemporaneous records. Enforcement will become theater. And European digital sovereignty will remain a phrase in policy documents while the actual infrastructure on which European regulated data depends sits in data centers subject to the legal jurisdiction of a foreign power. We have built the alternative. The Receipts are real and mathematically permanent.
immo.quick Global
Hattingen, Germany
Rami Cherri, Founder & CEO