Monatsrückblicke · Dr. Christian Knebel

Der Staat fährt schwarz. Oktober 2026 im E-Government-Rückblick.

Fri, 30 Oct 2026 20:00:00 +0100

Dieser Monatsrückblick hat diesmal einen Schwerpunkt. Normalerweise gehe ich hier mehrere Themen des Monats in ähnlicher Tiefe durch. Im Oktober hat ein Ereignis die Verwaltung so direkt getroffen, dass ich ihm den größten Teil des Textes gebe. Die übrigen Themen kommen am Ende kürzer.

Am 21. Oktober hat das PHP-Projekt Notfall-Updates für zwei Sicherheitslücken veröffentlicht, CVE-2026-109618 und CVE-2026-109619. Beide haben einen CVSS-Wert von 9,2, beide erlauben es Angreifern, ohne Anmeldung eigenen Code auf dem Server auszuführen. Beim Bundesamt für Sicherheit in der Informationstechnik (BSI) hielt Vizepräsident Thomas Caspers am selben Tag eine “kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates” für wahrscheinlich: “Es besteht also unverzüglicher Handlungsbedarf!” Berichtet wurde von der Warnstufe 3, Orange.

Was folgte, war eine Abschaltwelle durch alle Ebenen. Das ITZ Bund nahm mehrere Websites vorsorglich vom Netz, zeitweise waren laut KOMMUNAL auch RKI, Bundespolizei, Zoll und Bundesinnenministerium betroffen. In Hessen gingen hessen.de und die Seiten der Ministerien offline, dazu Kassel, mehrere Landkreise und zwei Unikliniken. Das Thüringer Landesrechenzentrum schaltete unter anderem Finanz- und Justizministerium ab. In Berlin traf es berlin.de und die Internetwachen der Polizei, beim Abgeordnetenhaus waren Teile der Website eingeschränkt, in Brandenburg Cottbus und mehrere Landkreise. Mainz, München, Dachau, Unna und Datteln stehen ebenfalls auf der Liste.

Deutschland war damit nicht allein. In Frankreich ließ das Innenministerium nach einer Empfehlung der ANSSI die Seiten der Präfekturen abschalten, in den Niederlanden gingen overheid.nl, MijnOverheid und DigiD vom Netz, in Finnland die öffentlichen Webdienste der Regierung über den Dienstleister Valtori. In Großbritannien waren 32 Regierungsdienste nicht erreichbar, in Australien sogar die Seite der nationalen Cyberbehörde, cyber.gov.au.

Offline heißt nicht gehackt, darauf hat die Forrester-Analystin Madelein van der Hout zu Recht hingewiesen: Die Abschaltung war eine “proportionate risk decision”. Spätestens seit dem 26. Oktober ist aber klar, dass die Vorsicht berechtigt war. Die US-Cyberbehörde CISA hat beide Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Abgeschaltet haben viele. Für die Pflege der Technologie dahinter bezahlt haben die wenigsten.

Vierzehn Jahre im Code, und einer hat für die Prüfung bezahlt

Der Fehler ist nicht neu. Betroffen sind alle Versionen zurück bis PHP 5.4, und die ist im März 2012 erschienen. Gefunden haben ihn im August Sicherheitsforscher mithilfe von Sprachmodellen: zuerst die Sicherheitsfirma Calif mit OpenAI, acht Tage später unabhängig davon Wiz, ebenfalls mit KI-Unterstützung (t3n). OpenAI-Präsident Greg Brockman kündigt an, man erwarte “many more such issues”.

Thomas Jarzombek, Parlamentarischer Staatssekretär im Digitalministerium, hat das auf LinkedIn sehr klar eingeordnet: “Software ist etwas grundlegend anderes als ein Schrank oder ein Elektroherd”. Produkte würden nie fertig, es gelte, einen durchgehenden Update- und Weiterentwicklungsprozess zu organisieren. Und: Was man bei PHP sehe, sei “keine Ausnahme oder ein einmaliges Problem, sondern im KI-Zeitalter das neue Normal”.

Für einen externen Blick in den Code bezahlt hat vorher genau eine Stelle. Das erste externe Sicherheitsaudit des PHP-Kerns seit über zehn Jahren hat 2024 die Sovereign Tech Agency bezahlt, eine Agentur des Bundes. Es brachte 17 sicherheitsrelevante Befunde und lieferte laut Sovereign Tech Agency einen Beitrag zur späteren Arbeit an der Ursache einer der beiden Lücken. Erste Hinweise auf den Fehler gab es dabei schon, gefixt wurde er damals nicht, weil sich das Entwicklerteam uneinig war und kein Angriffsweg bekannt war (t3n). netzpolitik.org nennt als Grund schlicht fehlende Ressourcen.

205.000 Euro hat die Sovereign Tech Agency 2023 und 2024 in die PHP Foundation gesteckt. Damit ist die Sovereign Tech Agency laut netzpolitik.org drittgrößte Geldgeberin der PHP Foundation, Jarzombek nennt den Bund ebenso den drittgrößten Unterstützer von PHP. Über alle Projekte hinweg hat die Sovereign Tech Agency in fünf Jahren über 60 Millionen Euro in mehr als 110 Vorhaben investiert. Die Sovereign Tech Agency handelt seit Jahren danach, dass Open Source Infrastruktur ist und Infrastruktur Wartung braucht. 💡

Der Rest des Staates fährt mit. Die PHP Foundation hat nach Auskunft ihrer Direktorin genau eine Vollzeitkraft, sie selbst, und 14 überwiegend in Teilzeit tätige Auftragnehmer. Auf der anderen Seite: Der Government Site Builder des Bundes, mit dem über 80 Bundesbehörden und -einrichtungen mehr als 250 Websites betreiben, zieht mit Version 11 auf TYPO3 und damit auf PHP um. Budget: 108 Millionen Euro über vier Jahre. Insgesamt hat der Bund von 2020 bis 2025 rund 3,1 Milliarden Euro für Software ausgegeben.

Ökonomen nennen das Trittbrettfahren. Alle nutzen das Gemeingut, kaum jemand zahlt für seinen Erhalt. Erik Möller von der Sovereign Tech Agency formuliert es so: Diese Lücke, “nicht irgendein einzelner Fehler, ist die eigentliche Schwachstelle”.

In der Verwaltung ist das Problem erkannt, Jarzombeks Beitrag zeigt das. Bei den Behörden, die PHP-Anwendungen betreiben, kommt diese Erkenntnis nach meinem Eindruck bisher kaum an. Und der Haushaltstitel, aus dem unter anderem die Sovereign Tech Agency finanziert wird, soll laut Regierungsentwurf 2027 leicht sinken, von 28,65 auf rund 28,3 Millionen Euro. Wer ein erfolgreiches Modell skalieren will, fängt so nicht an.

Wartung lässt sich kaufen

Es gibt mehrere Wege, das aktuelle Problem künftig zu vermeiden, keiner davon braucht ein neues Fachgesetz.

Der wirksamste liegt in der Vergabe. Sebastian Bergmann hat im September im Blog der PHP Foundation zwei Vorschläge von Tiffany Farriss (Drupal Association) aufgegriffen: 2 bis 5 Prozent des Auftragswerts für die Upstream-Wartung der genutzten Open-Source-Komponenten, und 20 Prozent der Wertungspunkte für nachweisbare Beiträge zu diesen Projekten. Auf das Budget des Government Site Builder umgelegt wären das zwischen 2,2 und 5,4 Millionen Euro über vier Jahre. Zum Vergleich: Die PHP Foundation hat 2025 insgesamt rund 730.000 Dollar eingenommen.

Der Vorschlag passt genauso auf Drupal, Nextcloud und viele andere populäre Open-Source-Lösungen, also auf alles, worauf die Verwaltung im großen Stil baut. Die EU-Kommission betreibt rund 770 Drupal-Seiten, die Nextcloud-basierte SIB-Box der Bundescloud hat etwa 300.000 Nutzende (PHP Foundation).

Der zweite Einstieg sind die Verträge. Die neuen EVB-IT machen Open Source seit März zum Standard in den Vertragsmustern für neue Entwicklungsprojekte. Das ist ein großer Schritt. Ein fester Wartungsanteil für die Upstream-Projekte gehört als nächstes hinein. Die Open Source Business Alliance hat dafür schon 2025 Auswahlkriterien vorgelegt: Nähe des Dienstleisters zur Community, Veröffentlichung von Änderungen upstream, Level-3-Support, Unterstützung der Lieferkette. Ihr Kernsatz: Das billigste Angebot ist meist nicht das wirtschaftlichste.

Der dritte Einstieg ist Enterprise Open Source, also Software mit Herstellersupport, bei dem die Wartung eingepreist ist. Was das wert ist, hat PHP2Shell gezeigt. Das PHP-Projekt hat reguläre Updates nur für die Versionen ab 8.2 veröffentlicht. Für 7.4 bis 8.1 gab es lediglich minimale Quellcode-Patches zum Selbstbauen, ansonsten hieß es “contact your vendor … or upgrade”. Wer einen Supportvertrag hatte, etwa über Ubuntu Pro, Red Hat oder Freexian ELTS für Debian, bekam auch für PHP 7.4 ein fertiges, getestetes Paket. Lückenlos war das nicht, auch dort war nicht jede Version abgedeckt. Der Unterschied ist die Zuständigkeit: Es gibt jemanden, der liefern muss.

Der vierte ist die Sovereign Tech Agency selbst. Jarzombek will ihr Modell skalieren und europaweit ausrollen, mit Mitteln der EU und des Digital Commons EDIC. Ein Pilot für einen europäischen Sovereign Tech Fund ist seit dem Frühjahr als eines der ersten Vorhaben des Digital Commons EDIC angekündigt, gemeinsam mit der Sovereign Tech Agency. Damit das nicht beim Pilot bleibt, braucht er einen Haushaltsansatz, der wächst.

Und wem die Kosten für solche Wartung zu hoch sind, dem sei als Beispiel das Projekt Civitas Connect ans Herz gelegt. Der Verein, in dem sich Kommunen und kommunale Unternehmen zusammengeschlossen haben, hatte für den 12. Oktober Dienstleister und Betreiber seiner Open-Source-Datenplattform eingeladen, mit einer einfachen Frage: “Wie wird aus einem erfolgreichen Open-Source-Projekt dauerhaft verlässliche digitale Infrastruktur?” Die Produkthoheit bleibt bei den öffentlichen Mitgliedern, die Unternehmen sollen sich an Pflege, Tests, Fehlerbehebung und Sicherheit beteiligen. 15 der 24 teilnehmenden Unternehmen haben eine Absichtserklärung unterschrieben, Grundsatz “Upstream first”.

Verbindliche Zusagen stehen da noch nicht drin. Ob aus der Absichtserklärung Geld und Personal werden, entscheidet sich beim nächsten Treffen am 9. November.

Wer nicht weiß, was läuft, kann nur den Stecker ziehen

PHP2Shell hat noch ein zweites Problem sichtbar gemacht. Mein Eindruck aus den Tagen danach: Viele Stellen haben vorsorglich abgeschaltet, ohne genau zu wissen, ob und wo sie betroffen sind. Der Bitkom hat am 21. Oktober geraten: “Wer Online-Anwendungen betreibt, sollte daher unbedingt prüfen, ob diese PHP verwenden …” Bei Log4Shell im Dezember 2021 klang der Rat ganz ähnlich: herausfinden, wo die Bibliothek überall steckt. Fast fünf Jahre, dieselbe Empfehlung.

Dass es anders geht, zeigen die Niederlande. Während overheid.nl, MijnOverheid und DigiD vorsorglich offline gingen, konnte die Regierung noch am selben Tag sagen, dass ein großer Teil ihrer Websites, darunter rijksoverheid.nl, kein PHP nutzt. Dafür muss man wissen, was man betreibt.

Thüringen zeigt die zweite Schwachstelle. Dort hieß es aus dem Digitalministerium: “Der Hersteller des Betriebssystems hat noch nicht für alle PHP-Versionen das entsprechende Update bereitgestellt.” Wer beim Patchen allein am Update-Kanal des Betriebssystem-Herstellers hängt, kann nur warten.

Das ist kein Einzelfall. Die ATHENE-Studie zur IT der Bundesministerien fand in mehreren Ministerien einen Apache-Webserver in einer Version, die über zwölf Jahre alt ist. Fast die Hälfte der über 2.182 aktiven kritischen Lücken stammte aus den Jahren 2015 bis 2017 (Datenstand Ende 2025). Bei PHP sieht es im Netz insgesamt nicht besser aus: Von den erreichbaren Servern mit sichtbarer Versionsangabe liefen am Tag vor den Patches 59 Prozent auf Versionen ohne Sicherheitsupdates. Und am 31. Dezember endet auch der Support für PHP 8.2.

Die Antwort darauf hat einen Namen: Software Bill of Materials, kurz SBOM, eine maschinenlesbare Stückliste aller Komponenten und Versionen. Der Cyber Resilience Act verpflichtet die Hersteller ab Dezember 2027 dazu, mindestens für die direkten Abhängigkeiten. Eine Pflicht, sie an öffentliche Auftraggeber herauszugeben, sieht er aber nicht vor. In den neuen EVB-IT ist die Übergabe einer SBOM eine Option, keine Pflicht.

Das reicht nicht. Die SBOM gehört verpflichtend in jeden Vertrag, nach dem Zuschlag, für die Lieferung und für jedes Update, und zwar vollständig. Ohne dieses Inventar lässt sich Patch-Management kaum automatisieren. Die neuen SBOM-Mindestanforderungen, die die CISA Ende Juli mit 17 Partnerbehörden veröffentlicht hat, darunter NSA, FBI und das BSI, sagen es deutlich: Für manuelle Prozesse ist das Volumen zu groß.

Open Source professionell zu betreiben heißt also: Inventar, Versionsstand, Update-Kanal, eine verantwortliche Stelle. Das haben in der öffentlichen Hand nur wenige auf dem Schirm. Ohne diese vier Dinge bleibt im Ernstfall genau eine Maßnahme, die immer funktioniert, und das ist der Stecker.

Ein Manifest für den eigenen Platz am Tisch

Themenwechsel. In diesem Monat ist ein Papier bekannt geworden, das genau diese Fragen hätte beantworten können. Govdigital, die Genossenschaft der öffentlichen IT-Dienstleister, hat ihr “Zielbild IT-Dienstleister und Govdigital 2030” schon am 24. Juni beschlossen. Präsentiert hat sie es den Mitgliedern Anfang Oktober, bei der Vorstellung des neuen “Haus der öffentlichen IT” in Berlin (Tagesspiegel Background, Paywall; ebenso). Acht Schwerpunkte stehen darin, darunter ein gemeinsames Leistungsversprechen, gebündelte Beschaffung souveräner Lösungen, die Konsolidierung und Professionalisierung des IT-Betriebs und eine neue Rollenverteilung: Flächenversorger für die kleinen Kommunen in der Region, Spezialversorger über Ländergrenzen hinweg, und für besonders kritische Leistungen mindestens zwei Anbieter, damit Ausfallsicherheit und Wettbewerb möglich bleiben. Open Source könne bei der gemeinsamen Beschaffung eine Rolle spielen, sei aber keine Voraussetzung, sagte Vorstandschef Martin Schallbruch (Tagesspiegel Background, Paywall). Öffentlich habe ich das Papier selbst nicht gefunden.

Der Druck, unter dem das Papier entstanden ist, lässt sich gut ablesen. Das ITZ Bund soll laut Referentenentwurf ab 2028 als Anstalt mit Zustimmung des BMDS auch Aufgaben für Länder und Kommunen übernehmen dürfen. Die KI-Cloud des Bundes über 250 Millionen Euro ging an zwei Konsortien, um T-Systems und SAP sowie um SVA, Schwarz Digits (STACKIT) und Codesphere. Die Betriebsplattformen der Deutschen Verwaltungscloud laufen auf IONOS und STACKIT, Dataport und IT.NRW managen sie. Und openDesk als Dienst über Govdigital betreibt zunächst exklusiv STACKIT. Das Haus der öffentlichen IT selbst versteht sich ausdrücklich als Ort “für eine stärkere Präsenz öffentlicher IT im politischen Berlin”.

Die Beteiligten sagen es selbst: Es seien “Fragen nach der Zukunft der Govdigital” aufgekommen, das Zielbild ist das Ergebnis des Strategieprozesses dazu (Tagesspiegel Background, Paywall). Ich lese das Manifest deshalb vor allem als Versuch, sich einen modernen Anstrich zu geben und im Spiel zu bleiben. Ganz ohne Substanz ist das nicht: Die Deutsche Verwaltungscloud ist seit April 2025 im Produktivbetrieb, die gemeinsame GenAI-Plattform läuft seit dem 13. Oktober. Und das Rollenmodell mit zwei Anbietern je kritischer Leistung ist richtig, weil es Wechselfähigkeit schafft.

Was fehlt, ist das Leistungsversprechen, das nur ein öffentlicher Dienstleister glaubwürdig abgeben kann. Tagesspiegel Background hält fest: “Wer künftig welche Leistungen verantwortet, bleibt bislang jedoch offen.” Die Professionalisierung des Betriebs steht als Schwerpunkt im Papier. Wie sie konkret aussehen könnte, hat PHP2Shell frei Haus geliefert: ein vollständiges Inventar für jede Kommune, automatisiertes Patch-Management und ein fester Wartungsbeitrag an die Projekte, auf denen der Verbund läuft. Ein transparentes Gesamtportfolio, das zeigt, welche Lösungen es schon gibt, ist ohnehin geplant. Das Inventar der Komponenten darunter wäre der nächste Schritt. Das wäre ein Grund, beim öffentlichen Dienstleister zu bleiben, statt direkt beim Cloud-Anbieter zu buchen. Ein guter erster Schritt wäre, das Zielbild zu veröffentlichen. Dann schaue ich es mir auch gern an und schreibe mehr dazu.

Kurz notiert

Zur Smart Country Convention vom 13. bis 15. Oktober habe ich einen eigenen Nachklapp geschrieben: Souverän ist, wer es draufdruckt. Dort geht es um das Wort, das auf fast jeder Messewand stand, und warum es ein Siegel braucht.

Der neue Digital Dependence Index der Universität Bonn und des Vodafone Instituts sieht Deutschland mit 0,73 (Datenstand 2023) auf einer Skala von 0 (unabhängig) bis 1 (vollständig abhängig) auf Rang 25 von 51 Ländern. Verschlechtert hat sich Deutschland seit 2010 vor allem bei Software und IT-Dienstleistungen, bei Plattformen liegt Europa insgesamt bei 0,98. Software und IT-Dienstleistungen sind allerdings der Teil, auf den die öffentliche Hand über ihre eigene Beschaffung am meisten Einfluss hat.

Beim Bürokratieabbau rechnen Regierung und Normenkontrollrat mit verschiedenen Zahlen. Die Bundesregierung meldet einen um mehr als zehn Milliarden Euro gesenkten Erfüllungsaufwand, im selben Bericht stehen bei den Bürokratiekosten “lediglich” rund 232 Millionen Euro Einsparung. Der Normenkontrollrat kommt auf einen Rückgang des Erfüllungsaufwands um rund 6,8 Milliarden Euro, überwiegend durch das Gebäudemodernisierungsgesetz, und auf jährliche Bürokratiekosten, die um rund 1,3 Milliarden Euro gestiegen sind. NKR-Chef Lutz Goebel weist darauf hin, dass ein Großteil der Entlastung Aufwand betrifft, “der in der Praxis noch gar nicht entstanden war”. Dazu kommen unterschiedliche Berichtszeiträume. Solange beide Seiten anders zählen, lässt sich keine Bilanz ziehen. Eine gemeinsam festgelegte Zählweise wäre der billigste Bürokratieabbau des Jahres.

Fazit und Ausblick

Am 2. und 3. November lädt die Bundesregierung zum Digital-Gipfel nach Berlin, Motto “Shaping AI: safe, sovereign, competitive”. Ein Jahr nach dem deutsch-französischen Gipfel zur digitalen Souveränität lohnt der Blick zurück. Im November 2025 gab es Investitionszusagen von über zwölf Milliarden Euro, eine deutsch-französische Taskforce und eine KI für die Verwaltung mit Mistral und SAP, deren Rahmenvertrag bis Mitte 2026 stehen sollte. Laut Digitalministerium ist er vorerst vom Tisch. Sichtbar geblieben ist vor allem das Digital Commons EDIC, und mit ihm der Pilot für einen europäischen Sovereign Tech Fund.

Ich war damals dabei und habe beim Begleitforum zur öffentlichen Beschaffung einen Workshop für das Digitalministerium gehalten. Bei der Grundfrage, was Souveränität in der Beschaffung heißt, sehe ich seitdem keinen Schritt Bewegung. Macron wollte eine klare europäische Präferenz, Merz hielt sie wohl nur in den Verwaltungen für durchsetzbar und setzte auf Sicherheitsvorgaben. Frankreich will die europäische Präferenz für Staat und Wirtschaft, Deutschland nur für die Verwaltung und über Sicherheitsvorgaben.

Am ersten Gipfeltag sitzen Jarzombek und Erik Möller von der Sovereign Tech Agency gemeinsam auf dem Panel “AI, Open Source and Digital Sovereignty”. Da wird sich zeigen, ob der Gipfel wieder schöne Fotos und Reden liefert oder eine Zahl: einen Haushaltsansatz für den europäischen Sovereign Tech Fund, oder einen festen Wartungsanteil in der Bundesbeschaffung. Abschalten kann jeder. Wartung muss man bezahlen.

Der Name war das Einfachste. September 2026 im E-Government-Rückblick.

Wed, 30 Sep 2026 22:23:16 +0200

Am 29. September hat die Initiative D21 den eGovernment MONITOR 2026 vorgelegt, und darin steht das Problem so klar, wie man es selten liest. 64 Prozent erwarten Verwaltungsleistungen genauso einfach online wie von Privatunternehmen, 15 Prozent sehen diese Erwartung erfüllt. 12 Prozent sagen, der Staat macht ihr Leben leichter. Jede zweite Person hat ihr letztes Verwaltungsanliegen vollständig offline erledigt, und 62 Prozent nutzen digitale Wege seltener, weil sie befürchten, am Ende doch analog weitermachen zu müssen. Das Vertrauen in den Staat liegt bei 32 Prozent.

Am selben Tag ist in Washington america.gov online gegangen: ein Eingabefeld, das Fragen in Alltagssprache beantwortet, gelegt über die Inhalte von rund 29.000 Websites der US-Bundesverwaltung. Dazu eine Executive Order, die jede Bundesleistung mit mehr als 100.000 Nutzenden im Jahr zur Anbindung verpflichtet, mit 90 Tagen Frist für die Leitlinien.

Das ist eine Antwort auf genau das Problem, das der Monitor beschreibt. Nicht die vollständige, aber die sichtbare. Wer nicht weiß, wo er anfangen soll, bekommt eine Stelle, an der er anfängt.

Bevor der Reflex kommt: america.gov löst die bequeme Hälfte. Mikey Dickerson, Gründungs-Administrator des US Digital Service, nennt es „the easiest 5% of the problem", und der Chatbot gab in den ersten 24 Stunden widersprüchliche Antworten auf politische Fragen. Zuständigkeiten, Programmdefinitionen, Datenhaltung bleiben auch dort unberührt.

Bei uns ist die Reihenfolge umgekehrt, und das lässt sich im September an einer einzigen Website ablesen. Wer wissen will, wie weit die Registermodernisierung ist, findet das auf noots.gov.de, der Wissensplattform der FITKO. Die Seite richtet sich an fachlich Verantwortliche, nicht an Bürger:innen, und sie ist sehr gut: eine Statusampel über 77 Registereinträge, drei Systeme, ein Flächenrollout in drei Stufen, Erfahrungsberichte aus abgeschlossenen Anschlussvorhaben. Nur sagen die Ampeln auch, wie weit es tatsächlich ist: zwei Einträge gelten als für das NOOTS ertüchtigt, 64 stehen ohne Aktivität. Und ein Datum gibt es nicht, weil der IT-Planungsrat erst „nach Vorliegen der technischen Voraussetzungen" mit den Fachministerkonferenzen beschließt, bis wann angeschlossen sein muss.

Das ist die unbequeme Hälfte, und sie ist richtig. Ohne Register bleibt jede Oberfläche ein Formular mit besserer Schriftart. Es ist nur die Arbeit, von der niemand etwas merkt, der sie am Ende benutzen soll. Wir arbeiten im Hintergrund und im Detail, sehr sorgfältig, und das Einzige, was in diesem September nach vorne sichtbar wurde, war ein Name.

Der Name war schneller fertig als die Spezifikation

Am 9. September hat das Digitalministerium der deutschen Eudi-Wallet einen Namen gegeben: d-you, mit rund 40 Partnern aus Wirtschaft, Wissenschaft und Verwaltung, Start am 2. Januar 2027. Das Ministerium erklärt den Namen selbst: „d" für digital und für Deutschland, „you" für Nutzerzentrierung.

Mich beschäftigt an dieser Stelle weniger das Logo als die Umbenennung an sich. „Wallet" ist der eine Begriff in diesem Feld, den die Leute schon kennen, und sie kennen ihn nicht von uns, sondern von Apple und Google. Wer eine digitale Brieftasche einführt, startet damit mit einem Vorsprung, den man nicht kaufen kann: ein Wort, das keine Erklärung braucht. d-you muss sich diesen Vorsprung erst erarbeiten.

Wie groß die Aufgabe ist, steht im eGovernment MONITOR, erhoben vor dem Namenstag: 19 Prozent haben von der Wallet gehört, 8 Prozent können sie richtig beschreiben. Zum Vergleich: die Online-Ausweisfunktion kennen 88 Prozent, genutzt haben sie 29 Prozent. Bekanntheit war also nie das Problem. Nutzen war es.

Helmut Krcmar von der TU München, Mitherausgeber der Studie, rät deshalb davon ab, die Wallet als solche zu bewerben, und stattdessen einzelne gut funktionierende Leistungen, mit der Wallet als Werkzeug (Tagesspiegel Background, Paywall). Da bin ich bei ihm, und das Material liegt schon vor. Die Pressemitteilung nennt für den 2. Januar drei Dinge, die tatsächlich gehen werden: das Alter nachweisen, rechtssicher einen Vertrag abschließen, ein Bankkonto eröffnen. Unter den Launch-Partnern stehen Rossmann, der Landkreis Harz, Dresden, Aachen und Heidelberg; in Sachsen laufen Dresden-Pass und Ehrenamtskarte schon als Anwendungsfall. Drei davon auswählen und nur über die reden. Der Rest kommt über die Nutzung.

Dass der Termin fällt, halte ich übrigens für ausgeschlossen. Er ist zu oft wiederholt worden, er steht in der Eidas-Verordnung, und das Digitale-Identitätengesetz war am 23. September in erster Lesung im Bundestag. Wer bis hierhin mitgegangen ist, geht nicht drei Monate vorher zurück.

Genau deshalb ist die Kommunikation der letzte verbliebene Hebel. Denn die technische Seite ist eng. Landes-CIOs beklagten im September, die technische Spezifikation nicht erhalten zu haben, Brandenburgs Ernst Bürger mit der Frage „Wie sollen wir das noch schaffen?", Sachsen-Anhalts Bernd Schlömer mit „Wir haben bislang noch gar kein Signal bekommen" (Tagesspiegel Background, Paywall). Das Ministerium hält dem entgegen, dass es keine eigene Installation brauche, weil die Bereitstellung über die bestehende Bund-ID-Infrastruktur läuft, und hat dafür einen Handlungsleitfaden im Self-Service-Portal hinterlegt. Beides stimmt gleichzeitig. Wer die Bund ID nutzt und einen angebundenen Dienst hat, muss wenig tun. Fünf Länder nutzen sie nicht.

Die Bund ID zählte im August 7.449.232 Konten. Das ist die Schiene, auf der d-you fahren soll, und sie trägt. Der Leitfaden liegt allerdings hinter einer Organisationsregistrierung mit Elster-Zertifikat. Wenn ich eine Sache an diesem Quartal ändern könnte, wäre es diese: das Dokument dahin legen, wo Kommunen tatsächlich nachsehen, und drei Leistungen benennen. Das kostet nichts und ist in zwei Wochen gemacht.

Zwanzig Teams, und ein Engpass, den der Staat selbst benannt hat

Am 14. September war ich bei der Mentor Madness in München, dem Kick-off der Prototyping-Phase der Mission „Deutschland, was geht?". Den Wettbewerb macht die Sprind, den Rahmen stellt in Kooperation die TU München. Ein Tag Gespräche mit Teams, die sich an Verwaltungsprozesse heranarbeiten, und mit Verwaltungsleuten, die dabei mit am Tisch sitzen.

Zwei Dinge sind mir geblieben. Erstens: die Ideen sind gut, und sie sind konkret. Zweitens, und das hat mich mehr überrascht: die kommunale Seite will. Da sitzen Leute, die nach vorn gehen wollen und das auch sagen.

Was die Teams vorhaben, listet die Sprind öffentlich, zwanzig Vorhaben, je bis zu 25.000 Euro, Prototyp bis Dezember, danach pitchen die besten vor dem Bundesdigitalminister, bis zu fünf Teams bekommen bis zu 100.000 Euro, und veröffentlicht wird auf openCode.de. Lesen Sie die Titel einmal hintereinander: „OneProof, Einreichen statt Nachreichen". „Nachweislich, Entscheiden statt Tippen". „Antragsfrei durch Push Government". „Treasure, das ausführbare Verwaltungsverfahren". „VergabeFit, ProcurDat trifft den Markt". Dazu Lexaru, eine KI-Fachanwendung für Ausländerbehörden und Jugendämter, und Parla vom CityLAB Berlin, das Verwaltungs- und Parlamentsdokumente durchsuchbar macht.

Keines dieser Vorhaben braucht ein neues Fachverfahren. Jedes braucht Zugang zu einem bestehenden. Und genau da hakt es, nach meiner Beobachtung immer an derselben Stelle: keine Schnittstelle, keine Testdaten, keine Gespräche. Nicht das Vergaberecht, nicht der Datenschutz, nicht das Geld.

Das ist keine Einzelbeobachtung von einem Mentorentag, und es ist auch keine These, die man dem Markt unterschieben muss. Der Staat hat sie selbst aufgeschrieben. Im Folgebericht zu offenen API-Ökosystemen, den Bremen für den IT-Planungsrat erstellt hat, steht der Satz: Schnittstellen böten „den etablierten Akteuren immer wieder Ansatzpunkte, ihre Marktmacht auszunutzen und neue Akteure am Zugang zu hindern oder für die Realisierung von Schnittstellen hohe Entgelte zu verlangen". Und ein paar Seiten weiter: Wenn die Produktpolitik von Herstellern darauf gerichtet sei, offene Schnittstellenstandards zugunsten eigener Online-Dienste zu unterlaufen, müsse ein digital souveräner Staat dagegen Lösungen finden. Der Bitkom formuliert es aus Anbietersicht nüchterner: „fehlende oder inkonsistente Schnittstellen stellen heute eine große Hürde bei der Digitalisierung dar", mit der Folge, dass Anbieter je Behörde individuelle Lösungen bauen.

Wer ein Fachverfahren betreibt, hat an einer offenen, dokumentierten Schnittstelle kein eigenes Interesse, weil sie den Zusatzauftrag ersetzt, der sonst bei ihm liegt. Das ist kein Vorwurf, das ist Betriebswirtschaft. Es ist nur nicht die Betriebswirtschaft der Kommune, die zahlt.

Der Hebel ist deshalb unspektakulär und liegt bei den Kommunen und Ländern selbst, nicht in Berlin. Was Startups brauchen, hat Berlin in seinem GovTech-Report ziemlich genau benannt: „gut dokumentierte APIs, einheitliche Datenformate und klare Nutzungsbedingungen". Das sind drei Zeilen, und sie gehören bei der nächsten Verlängerung eines Fachverfahrensvertrags nicht in die Wunschliste, sondern in die Leistungsbeschreibung, mit erreichbarer Testinstanz und als gewichtetes Zuschlagskriterium. Der IT-Planungsrat hat „API First" bereits beschlossen. Es fehlt die Stelle, die es in einen Vertrag schreibt. Eine Kommune kann das allein, und wenn eine es vormacht, kopieren es die anderen aus dem Vergabevermerk.

Warum der Staat das Fundament gebaut hat und nicht den Anwendungsfall

Die Spark-Module des Digitalministeriums sollen Planungs- und Genehmigungsverfahren beschleunigen, seit April laufend bereitgestellt, der komplette Workflow seit Juni, veröffentlicht auf Open Code. Gebaut haben es externe Dienstleister: Spark Workflow kommt von PwC, die Spark-API von Capgemini. Was das gekostet hat, wurde erst bekannt, nachdem jemand privat eine IFG-Anfrage gestellt und nach Fristüberschreitung nachgefasst hatte: 32,6 Millionen Euro für die Entwicklung, dazu Verpflichtungsermächtigungen von 54 Millionen bis 2029 (Tagesspiegel Background, Paywall).

Mein Eindruck ist: hier ist ein Tanker entstanden. Stuttgart hat Spark verprobt, und Thomas Bönig, CDO und CIO der Stadt, sagt, die Architektur sei für den kommunalen Eigenbetrieb schlicht ungeeignet und das System mit teils mehr als 50 KI-Agenten sehr fehleranfällig (ebd.). Stuttgart arbeitet stattdessen mit ChatSTR, und ChatSTR ist kein Eigenbau, sondern das Münchner MUCGPT unter anderem Namen. Nachnutzung, wie sie im Lehrbuch steht, zum Bruchteil der Summe.

Die Preisfrage ist dabei nicht die interessante. Interessant sind die Total Cost of Ownership, und die liegen bei einem System dieser Bauart so hoch, dass der Nutzennachweis strukturell schwierig wird. Wer Betrieb, Wartung, Anpassung und Schulung dagegenrechnen muss, bekommt am Ende eine Zahl, die niemand gern veröffentlicht.

Die eigentliche Frage ist eine andere, und sie ist unbequem: Warum hat der Staat hier so viel Fundament gebaut statt sich auf Anwendungsfälle und deren Nutzen zu konzentrieren? Ich glaube, die Antwort liegt in der Anreizrichtung, und sie hat nichts mit der Qualität der beteiligten Häuser zu tun. Ein Fundament lässt sich in Modulen, Releases und Betriebsjahren weiterschreiben, ein Anwendungsfall ist irgendwann fertig. Rund um eine Plattform entsteht Beratungsvolumen, rund um einen fertigen Anwendungsfall nicht. Wer das Fundament baut, hat nach der Abnahme einen Betriebsvertrag, wer den Anwendungsfall liefert, hat einen zufriedenen Sachbearbeiter. Ich habe das Anfang September ausführlicher aufgeschrieben: Wenn der Umsetzer gleichzeitig die Architektur empfiehlt, empfiehlt er die Architektur, die ihn braucht.

Wie es anders aussieht, lässt sich an zwei US-Bundesstaaten ablesen, nicht weil die weiter wären, sondern weil sie etwas anderes veröffentlichen. Nebraska hat den Assistenten des Verkehrsamts nach drei Monaten Pilot landesweit ausgerollt und nennt dazu 88.000 beantwortete Fragen, über 3.400 Weiterleitungen in Online-Dienste und bis zu 20 Prozent weniger Anrufvolumen. Kalifornien hat AskCA nach Lebenslagen gebaut und lässt Antworten von Fachleuten gegen verifizierte Quellen prüfen. Beide Zahlen gehören zu einem Anwendungsfall, nicht zu einer Plattform.

Der Pfad ist entsprechend klein. Vor dem nächsten Modul ein Verfahren benennen, eine Durchlaufzeit messen, einen Zielwert festlegen, und beides veröffentlichen. Und beim Thema Nachnutzung die Prüffrage ändern: nicht, ob der Code auf Open Code liegt, sondern ob eine Kommune ihn ohne Projekt betreiben kann. Open Code ist eine Bedingung, keine Nachnutzung.

Kurz notiert

Das Zendis öffnet sein Open-Desk-Partnerprogramm erstmals für privatwirtschaftliche Dienstleister, in drei Kategorien, wegen hoher Nachfrage. Und die Bundesdruckerei-Gruppe hat am 29. September eine Zusammenarbeit mit dem Zendis angekündigt, in der openDesk mit der genusecure Suite von genua zu einem Arbeitsplatz für Dokumente mit dem Grad „Verschlusssache, nur für den Dienstgebrauch" kombiniert werden soll. Beides ist Betriebsmodell, nicht Ideologie: ein Produkt, Partner mit Zulassungsverfahren, ein Sicherheitsniveau, nach dem Behörden konkret fragen. Den ersten gemeinsamen Showcase zeigen beide auf der Smart Country Convention vom 13. bis 15. Oktober in Berlin.

Schleswig-Holstein und Thüringen haben am 22. September in Erfurt eine Absichtserklärung zu Open Source und Law as Code unterzeichnet, zunächst ohne finanzielle Verpflichtungen. In Kiel arbeiten inzwischen mehr als 200 Beschäftigte der Staatskanzlei auf Linux, rund 20 Arbeitsplätze bleiben wegen Fachanwendungen auf Windows. Die Schweizer Bundeskanzlei stellt rund 3000 Mitarbeitende bis Ende 2027 auf einen Arbeitsplatz auf Open-Source-Basis um, erste Phase geschätzt 9 Millionen Franken.

Eine Auswertung der Open Knowledge Foundation zur Antwort der Bundesregierung auf eine Kleine Anfrage kommt auf mindestens 630 Millionen Euro, die 2025 aus dem Bundeshaushalt in Lizenzen für proprietäre Software geflossen sind. Das ist die Vergleichsgröße, an der sich jede Diskussion über die Kosten von Open Source messen lassen muss.

Seit dem 11. September gelten die Meldepflichten des Cyber Resilience Act, alle Anforderungen ab dem 11. Dezember 2027. Laut einer PwC-Umfrage unter 100 Industrieunternehmen halten sich drei Prozent für vollständig konform, die Hälfte hat keine externe Meldestelle. Dazu passt, dass Sovereign Tech Resilience am 28. September mit vier neuen Diensten neu gestartet ist, unter anderem CRA-Konformität für Open-Source-Projekte. Der Satz aus der Ankündigung, der hängen bleibt: „Finding bugs is getting easier; fixing them is not."

Und die Teilung des ITZ Bund zum 1. Januar 2027 ist nicht mehr zu halten, der Entwurf für die Gesetzesnovelle steckt in der Ressortabstimmung (Tagesspiegel Background, Paywall).

Fazit

Der September hat eine Diagnose geliefert und eine mögliche Antwort darauf, nur aus zwei verschiedenen Ländern. Der Monitor sagt, woran es liegt: die Leute finden nicht, was es gibt, und rechnen damit, am Ende doch zum Amt zu müssen. Washington hat daraufhin eine Oberfläche gebaut und damit die bequeme Hälfte erledigt. Wir haben die unbequeme Hälfte in Arbeit, ordentlich dokumentiert, mit zwei von 77 ertüchtigten Registereinträgen und ohne Termin.

Was fehlt, ist kein Budget und kein Gesetz. Es ist die Stelle, an der die Arbeit im Hintergrund für jemanden sichtbar wird. Konkret: welche drei Leistungen am 2. Januar wirklich funktionieren, und die Disziplin, nur über die zu reden. 19 Prozent haben von d-you gehört. Mit einer Marke holt man die anderen 81 nicht.

Mitte Oktober bin ich auf der Smart Country Convention. Ich werde an drei Dingen merken, ob sich etwas bewegt hat: ob bei d-you über Leistungen geredet wird statt über die Brieftasche, ob auf den KI-Folien Durchlaufzeiten stehen statt Modulnamen, und ob irgendwer für die Registeranbindung ein Datum nennt. Beim dritten Punkt bin ich mir selbst nicht sicher, ob ich es hören will.

Einmal sterben, dauerhaft sparen. August 2026 im E-Government-Rückblick.

Mon, 31 Aug 2026 09:22:21 +0200

Der Bundestag ist seit der Sitzungswoche vom 6. bis 10. Juli in der Sommerpause, zurück ist er erst im September. Auch das Kabinett tagte erst am 25. und 26. August wieder, zur ersten Klausur “nach der Sommerpause” (taz.de; Bundesregierung). Aufgefallen ist mir dieses Jahr trotzdem das Gegenteil von Stille: Am 31. Juli ein Bundesrechnungshofbericht zum Deutschland-Stack, am 21. August eine vom IT-Planungsrat beauftragte Standardstudie, am 25./26. August die Klausur selbst, am 31. August ein offener Brief des Databund, alle vier zum selben Grundproblem.

Der Bundesrechnungshof hat Ende Juli festgestellt, was in der Verwaltung längst niemand mehr bestreitet: Der Deutschland-Stack hat noch immer keine verbindlichen Standards, kein übergreifendes Berichtswesen und kein Werkzeug, mit dem sich sein eigener Fortschritt messen ließe (Bericht nach § 88 Abs. 2 BHO; netzpolitik.org). Drei Wochen später lässt der IT-Planungsrat zusammen mit Sachsen-Anhalt eine weitere Studie vorstellen, die klären soll, welcher von zwei konkurrierenden Standards die Verwaltung eigentlich braucht (Tagesspiegel Background, Paywall). Und am letzten Tag des Monats warnt der Databund den IT-Planungsrat schon vor jeder Entscheidung vor deren Folgen.

An Standards mangelt es nicht. An einem Enddatum schon.

Der Rechnungshof zählt, was fehlt

Der Bericht vom 31. Juli liest sich wie eine Liste dessen, was ein Jahr nach dem Stack-Beschluss noch nicht existiert. Verbindliche Standards für den Stack sollen laut Zeitplan des Ministeriums erst Anfang 2028 stehen, offen bleibt dabei, ob die längst laufenden Komponenten wie Fit-Connect, das Nationale Once-Only-Technical-System oder die Eudi-Wallet damit überhaupt kompatibel sind. Ein übergreifendes Berichtswesen fehlt weiterhin. Das zentrale Steuerungswerkzeug PMflex, eigentlich binnen vier Monaten einsatzbereit, wird laut Rechnungshof erst 2027 nutzbar sein. Die Ziele der Modernisierungsagenda selbst bleiben, so der Befund, vage und ohne belastbare Kennzahlen formuliert.

Diese Kritik ist keine Momentaufnahme. Die Antwort des BMDS auf eine Kleine Anfrage der Grünen im Bundestag zeigt für denselben Sommer: Von 26 bis Ende Juni zu erreichenden Zielen sind 14 nicht fristgerecht umgesetzt (Tagesspiegel Background, Paywall). Der Zustimmungsvorbehalt für Digitalausgaben verschiebt sich um ein weiteres Quartal auf den 31. Dezember, die zentrale Behördeninventur wird erst Ende des Jahres fertig, und für die Zendis-DevOps-Plattform, eigentlich Ende März fällig, gibt es keinen neuen Termin mehr. Der Bitkom-Digitalmonitor vom Juli zeigt für die Digitalvorhaben der Bundesregierung insgesamt ein ähnliches Bild: Von 221 Vorhaben sind erst zwölf Prozent vollständig abgeschlossen, 57 Prozent stecken noch in der Umsetzung (Bitkom).

Der Rechnungshof fordert damit im Kern nicht mehr Tempo. Er fordert eine Zahl pro Ziel. Das wäre, verglichen mit allem anderen in diesem Bericht, die billigste Reparatur des Sommers: kein neues Programm, sondern ein Kennzahlen-Regime, dessen Fehlen auch etwas kostet.

Zwei Standards, eine Studie, keine Entscheidung

Es geht um die Frage, mit welchem Transportstandard Behörden künftig Daten austauschen, und die Kostenfrage aus dem Rechnungshofbericht zieht sich hier direkt weiter.

Die erste Front verläuft zwischen OSCI und Fit-Connect. Staatssekretärin Anke Pörksen hatte den IT-Planungsrat aufgefordert, endlich eine Vorentscheidung zu treffen. Der Databund antwortete am 31. August mit einem offenen Brief: OSCI laufe seit zwanzig Jahren zuverlässig in der Innenverwaltung, stoße aber an Grenzen, sobald Bürgerportale beteiligt sind. Genau dafür sei Fit-Connect entwickelt worden. Beide Standards beantworten laut Databund unterschiedliche Sicherheitsfragen, ein Vergleich der einmaligen Umstellungskosten falle zwar zugunsten von Fit-Connect aus, blende aber die laufenden Kosten und unrealistische Annahmen aus. Die Forderung des Verbands: beide Standards im Deutschland-Stack behalten, bestehende Investitionen schützen, Priorität auf noch nicht digitalisierte Prozesse legen (Tagesspiegel Background, Paywall).

Die zweite Front verläuft zwischen den deutschen Standards insgesamt und internationalen Alternativen. Die Fraunhofer-IESE-Studie, in Auftrag gegeben vom IT-Planungsrat und von Sachsen-Anhalts CIO Bernd Schlömer, hat OSCI und XTA mit Fit-Connect, dem Once-Only-System Noots und mit dem estnischen X-Road sowie dem EU-Standard eDelivery AS4 verglichen. Ergebnis, vorgestellt am 21. August: Die deutschen Lösungen sind ausgereift, aber technisch teils veraltet und ohne europäischen Anschluss. International etablierte Standards gelten als robust, werden in Deutschland aber kaum genutzt. Eine Empfehlung liefert die Studie ausdrücklich nicht, das sollen jetzt Architekturboard und Standardisierungsboard übernehmen. Bemerkenswert dabei: Kosten und rechtliche Fragen waren von vornherein aus dem Untersuchungsauftrag ausgeklammert, also genau die beiden Variablen, an denen die Entscheidung am Ende hängt (Tagesspiegel Background, Paywall).

Das ist nicht die erste Verzögerung mit Ansage. Schon im März 2025 hatte der IT-Planungsrat in einer eigens so benannten “Eskalationsentscheidung” beschlossen, eine unabhängige Studie in Auftrag zu geben und parallel drei Jahre lang Bremens Personalkosten für die OSCI- und XTA-Beratung zu finanzieren, ausdrücklich nur “bis zum Vorliegen der Ergebnisse der Studie” (IT-Planungsrat, Beschluss 2025/18). Die Ergebnisse liegen jetzt vor. Entschieden ist trotzdem nichts, weil die Studie die Kostenfrage von Anfang an nicht stellen sollte.

Während in Berlin die dritte Runde Gutachten gelesen wird, verbindet Schleswig-Holstein längst estnische Technik mit dem eigenen Registernetz. Seit Juni 2025 läuft dort der Aufbau einer eigenen X-Road-Infrastruktur, mit Pilotverfahren in der Einbürgerungsverwaltung, bei Wohngeld, Jugendämtern, Kita-Trägern und Rettungsdiensten, landesweiter Rollout für dieses Jahr angekündigt (X-Road Schleswig-Holstein). Wer sich an die X-Road anschließt, wird laut Betreibern automatisch NOOTS-kompatibel, der Konflikt zwischen deutschem Registernetz und estnischem Vorbild löst sich damit in der Praxis auf, bevor er in Berlin überhaupt entschieden ist (eGovernment.de). Mecklenburg-Vorpommern kooperiert seit Oktober 2025 mit Schleswig-Holstein in genau diesem Themenfeld, neben gemeinsamen Datenpools, IT-Resilienz und Open Source (Landesregierung Mecklenburg-Vorpommern). Thüringen geht noch einen Schritt weiter: Die neue Digitalstrategie “Smart State” enthält einen eigenen Abschnitt namens “Thüringen Road”, ausdrücklich am estnischen Vorbild orientiert und neben Noots als zweite tragende Säule gedacht, nicht als ideologisches Bekenntnis zu Open Source, sondern, so die Strategie selbst, als gezielter, pragmatischer Einsatz (Thüringer Landtag, Drucksache 8/2958).

Was nützt dem Rechnungshof-Befund von oben ein drittes Gutachten, wenn drei Länder das Prinzip längst im Wirkbetrieb testen? Ein Standard wie X-Road, seit 2001 in Estland produktiv im Einsatz (X-Road History), muss nicht neu erfunden werden, genau das macht ihn günstig. Die Fraunhofer-Studie bestätigt das technisch, ohne es aussprechen zu dürfen, weil sie nach Auftrag gar nicht durfte.

Der Databund hat mit seiner Sorge um bestehende Investitionen nicht unrecht, das Argument ist ehrlich gemeint. Trotzdem ist der Reflex dahinter das eigentliche Problem: die Vorstellung, ein einmal eingeführter Standard müsse grundsätzlich bewahrt werden, nur weil irgendwer ihn irgendwann bezahlt hat. Genau das kann sich ein föderaler Stack nicht leisten. Abschalten gehört zur Technik dazu, gerade bei Standards, sonst wächst die Verwaltung jedes Jahr um eine weitere Schnittstelle, die niemand mehr abbestellt.

Zwischen Pörksens Wunsch nach einer schnellen Vorentscheidung und Databunds Wunsch, beides für immer zu behalten, liegt eine dritte Option: eine einmalige, bezahlte Migrationsfrist für die Kommunen, mit Ankündigung und festem Enddatum für den unterlegenen Standard. Das kostet kurzfristig echtes Geld, mehr als der offizielle Kostenvergleich heute ausweist. Aber es bleibt billiger als der ewige Parallelbetrieb plus die nächste kostenblinde Studie plus die nächste Beratungsfinanzierung für Bremen. Ein Stack funktioniert über Vorgaben mit wenigen Ausnahmen, nicht über eine Dauerschleife aus Vergleichsgutachten. Etwas muss sterben dürfen, einmal richtig bezahlt und dann beendet, statt für immer in Watte gepackt und alle drei Jahre neu begutachtet.

Kurz notiert

Nicht alles im August war Verzögerung. Der Noots-Staatsvertrag ist seit dem 17. August vollständig ratifiziert, Bund und alle 16 Länder haben ihre Urkunden hinterlegt, der Flächenrollout ist für das vierte Quartal angekündigt (eGovernment.de). Der neue “Kombiantrag” für Unternehmensgründungen verbindet erstmals Gewerbeanmeldung und steuerliche Erfassung in einem Prozess, zunächst an acht Pilotstandorten von Aachen bis Nordfriesland (BMDS). Baden-Württemberg und Niedersachsen sind ans neue Justiznetz angeschlossen, als erste Anwendung läuft das gemeinsame Fachverfahren GeFa (move-online.de). Und im Abschlussbericht zum Agentic-AI-Hub des BMDS sanken die Durchlaufzeiten komplexer Antragsverfahren in den 20 Pilotprojekten aus 19 Kommunen um mehr als 90 Prozent, Runde zwei ist bereits ausgeschrieben (move-online.de; Kommune21).

Ein Sammelsurium bleibt übrig, das jeweils einen eigenen Beitrag verdient hätte, aber keinen ganzen Monatsrückblick: Beim offenen Schweizer Sprachmodell Apertus liegt die Trefferquote bei einfachen Anfragen inzwischen bei 82 Prozent und damit knapp vor GPT-4o-mini, bei anspruchsvolleren Antworten bleibt der Rückstand mit einer Faithfulness von 0,50 zu 0,79 aber deutlich (liip.ch). Das Düsseldorfer Start-up Kauz AI kombiniert auf einer No-Code-Plattform mehrere Sprachmodelle zu Firmen-Chatbots und wirbt mit europäischer Datenverarbeitung (germantech.org), während Stripe mit der Übernahme von OpenRouter für über sieben Milliarden Dollar selbst zum Modell-Router-Anbieter wird (TechCrunch). Und die Bundesdruckerei hat mit dem MÖVE-Benchmark einen ersten öffentlichen Vergleich von über 50 Sprachmodellen für die Verwaltung veröffentlicht, bewertet nach Leistung, Sicherheit, Governance und Ressourcenschonung (ots.at).

Fazit

Vier Dokumente in einem Monat, der eigentlich Sommerpause war: der Rechnungshofbericht vom 31. Juli, die Fraunhofer-Studie vom 21. August, die Kabinettsklausur vom 25./26. August, der Databund-Brief vom 31. August. Und am Ende keine einzige Entscheidung darüber, welcher Standard bleibt. Während in Berlin das nächste Papier gelesen wird, tauschen Kita-Träger, Jugendämter und Rettungsdienste in Schleswig-Holstein schon heute produktiv Daten über X-Road aus, kein Testballon mehr, sondern Alltag. Estland hat sich diesen Standard nicht geleistet, weil das Land reich ist. Estland konnte ihn sich leisten, weil es sich 2001 entschieden hat und seitdem keine neue Vergleichsstudie mehr bestellen musste.

Zweimal weg in fünf Tagen. Juli 2026 im E-Government-Rückblick.

Fri, 31 Jul 2026 20:00:00 +0200

Ich habe beide Ausfälle verpasst. Am 25. Juli war ChatGPT für Stunden weltweit nicht erreichbar, samt der Coding-Plattform Codex (BleepingComputer). Vier Tage später antwortete Claude über mehrere Modelle hinweg nur noch mit „529 Overloaded“, auch über die Schnittstelle (BleepingComputer). Ich war im Urlaub und habe von beidem erst hinterher erfahren.

Das ist, ehrlich gesagt, der interessantere Teil. Es war Juli, halbe Republik im Urlaub, und zwei Totalausfälle der beiden größten Anbieter innerhalb von fünf Tagen sind fast unbemerkt durchgelaufen. Nicht weil sie harmlos waren. Sondern weil bei den meisten von uns noch nichts drangehangen hat, das nicht warten konnte.

In zwei Jahren wird das anders sein. Und dann fällt so ein Ausfall nicht in die Sommerpause.

Die Frage ist nicht, wem das Modell gehört. Die Frage ist, was mit Ihrem Prozess passiert, wenn es weg ist.

Wenn das Modell weg ist, was macht dann der Vorgang?

Im Juni hatte ein Brief des US-Handelsministeriums Anthropic dazu gebracht, Fable 5 und Mythos 5 weltweit abzuschalten, 72 Stunden nach Veröffentlichung. Ich habe das damals ausführlich eingeordnet. Im Juli waren es keine Anordnungen, sondern zwei ganz normale Betriebsstörungen.

Drei Ereignisse, drei völlig verschiedene Ursachen: Exportkontrolle, Überlast, unbekannt. Für den Vorgang in der Behörde macht das keinen Unterschied. Das Modell antwortet nicht.

Ich sage das ausdrücklich nicht gegen amerikanische oder chinesische Modelle. Wer sie einsetzt, hat oft gute Gründe, und ein europäisches Rechenzentrum ist gegen Überlast genauso wenig immun. Die Souveränitätsdebatte in Deutschland dreht sich seit Jahren um Rechtsraum und Datenabfluss. Beides zu Recht. Nur trifft Sie im Zweifel zuerst etwas anderes, nämlich schlichte Nichtverfügbarkeit.

Volker Oshege hat bei t3n aus der Juni-Sperre die Konsequenz gezogen, die ich für die richtige halte: Es geht um Architektur, nicht um Anbieterwechsel. Für die Verwaltung gilt das genauso.

Was hilft, ist eine Frage, die vor der Modellauswahl beantwortet wird, nicht danach: Läuft der Vorgang ohne Modell weiter, langsamer, aber vollständig? Läuft er mit einem schwächeren Modell weiter, mit schlechterem Ergebnis, aber ohne Bruch? Oder steht er? Diese drei Stufen kann jede Fachabteilung für ihre Verfahren durchgehen, ohne einen einzigen Berater. Wer sie nicht beantwortet hat, hat keine KI-Strategie. Er hat einen Vertrag.

Nebenbei zeigt der Juli, dass Verfügbarkeit nicht nur an der Leitung hängt. Bei OpenAI haben sich zwei Modelle in einem internen Test selbstständig aus der Sandbox befreit und fremde Server angegriffen, betroffen waren Hugging Face und mindestens ein weiteres Unternehmen (t3n). Und eine Schwachstelle in sechs Coding-Assistenten hat Angreifern erlaubt, ausgerechnet dem Menschen in der Freigabeschleife falsche Informationen vorzulegen (CSO Online). Das ist kein Sicherheitskapitel für diesen Rückblick. Es ist ein weiterer Grund, die Rückfallebene nicht als Kür zu behandeln.

Der Preis fällt. Das ist der Haken, nicht das Angebot.

Der Juli war der Monat, in dem KI billiger wurde, und zwar sichtbar.

Moonshot hat Kimi K3 veröffentlicht, 2,8 Billionen Parameter, offene Gewichte auf Hugging Face. The New Stack hat es gegen Fable 5 antreten lassen: vergleichbare Ergebnisse, ein Drittel der Kosten, viermal langsamer. Anthropic hat Opus 5 nachgelegt, nach eigener Aussage nah an Fable 5 zum halben Preis. Und offene Modelle liegen insgesamt bei etwa einem Zehntel pro Token, bei einem Rückstand, den Beobachter auf wenige Monate schätzen.

Das klingt nach Entwarnung. Es ist der Teil des Zyklus, in dem die Abhängigkeit entsteht.

Neue Spitzenmodelle kommen teuer auf den Markt. Dann fällt der Preis, und genau in dieser Phase werden Prozesse angebunden, Schnittstellen gebaut, Fachverfahren umgestellt. Der niedrige Preis ist das Argument, mit dem die Anbindung durch die Gremien geht. Die Wechselkosten entstehen still und tauchen in keiner Wirtschaftlichkeitsbetrachtung auf. Zwei Preisrunden später ist der Tarif wieder oben, und die Frage nach dem Wechsel beantwortet sich von selbst.

Wie weit das schon getragen hat, zeigt eine Analyse von 514 deutschen KI-Unternehmen: Wer seinen Anbieter offenlegt, sitzt zu 53 bis 60 Prozent bei US-Anbietern, ein europäisches Modell nutzt etwa jedes zehnte.

Der Weg da raus ist nicht neu, er wird nur selten genommen: Rechnen Sie nicht den Tokenpreis, rechnen Sie die Wechselkosten. Wenn Sie heute anbinden, was kostet der Umzug auf ein anderes Modell in achtzehn Monaten? Wenn Sie die Zahl nicht haben, ist der günstige Preis keine Ersparnis, sondern eine Anzahlung.

Technisch ist die Antwort längst da. Vercel und Coinbase routen produktiv über mehrere Modelle statt über einen Anbieter, weil die Modelle für den Alltag ähnlich genug geworden sind (The New Stack). Was sie dafür brauchen, ist keine Eigenentwicklung, sondern eine Zwischenschicht, die inzwischen einen Namen hat: das LLM-Gateway. Eine Adresse für die Anwendung, dahinter beliebig viele Anbieter, dazu Umschaltung bei Ausfall, Kostenkontrolle und Protokollierung.

Für die Verwaltung ist hier die Auswahl wichtiger als die Technik. Gehostete Router wie OpenRouter nehmen einem die Arbeit ab, führen aber eine neue Abhängigkeit ein, und zwar ausgerechnet an der Stelle, die gegen Abhängigkeit helfen soll. Wer die Rückfallebene an einen Dienst hängt, der selbst ausfallen kann, hat das Problem verschoben, nicht gelöst.

Die passendere Antwort ist quelloffen und läuft im eigenen Haus. LiteLLM ist ein Open-Source-Gateway für über hundert Modellanbieter, selbst betreibbar, mit OpenAI-kompatibler Schnittstelle, Fallback-Regeln, Rechteverwaltung und Protokollierung. Daneben stehen mit Envoy AI Gateway und Kong Angebote aus dem Cloud-Native-Umfeld, und Kubernetes-Betreiber können mit vLLM offene Modelle gleich selbst hinter dieselbe Schnittstelle hängen (CNCF).

Das ist der eigentliche Souveränitätsgewinn, und er ist unspektakulär: nicht ein anderes Modell, sondern eine austauschbare Schnittstelle. Wer sie hat, kann den Anbieter wechseln, wenn der Preis steigt, und weiterarbeiten, wenn einer ausfällt. Wer sie nicht hat, verhandelt beides nicht.

Eine Ausnahme, die niemand definiert hat

Zwei Dinge sind im Juli in der Aufsicht passiert, und sie zeigen in verschiedene Richtungen.

Das Erste ist eine gute Nachricht, die niemand als solche erzählt hat. Das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz ist am 29. Juli in Kraft getreten. Die Bundesnetzagentur wird damit Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung, dazu zentrales Koordinierungs- und Kompetenzzentrum. Die Behörde nennt das einen hybriden Ansatz: Wo es etablierte Fachaufsicht gibt, bleibt sie zuständig, die BaFin im Finanzsektor, die Landesmedienanstalten im Medienbereich. Und die Länder können die Bundesnetzagentur im Wege der Organleihe in Anspruch nehmen, statt sechzehn eigene Aufsichten aufzubauen.

Das ist bemerkenswerter, als es klingt. In einem System, das sonst zuverlässig sechzehn Zuständigkeiten produziert, wo eine reicht, wird die Doppelstruktur diesmal ausdrücklich vermieden. Nur ist die Organleihe eine Kann-Regelung. Ob die Länder sie nutzen, entscheidet sich in den nächsten Monaten, und das ist die eigentliche Nagelprobe.

Das Zweite ist offen. Ab dem 2. August setzen das KI-Büro der Kommission und die nationalen Behörden die Regeln durch, und am selben Tag greifen die Transparenzpflichten (Europäische Kommission). Das ist der Teil, den die meisten kennen: Ein Chatbot muss den Menschen wissen lassen, dass er mit einer Maschine spricht, und KI-erzeugte oder KI-veränderte Inhalte müssen als solche gekennzeichnet werden. Für jede Behörde, die einen Assistenten auf ihrer Website betreibt oder Texte maschinell erstellen lässt, ist das ab übermorgen eine Pflicht und keine Empfehlung.

Weniger bekannt und für die Open-Source-Welt wichtiger: Die Ausnahme für offene Modelle ist genau das nicht: eindeutig. Sie ist ohnehin nur eine Teilbefreiung, sie entfällt bei Monetarisierung, und bei systemischem Risiko gelten die vollen Pflichten unabhängig von der Lizenz. Dass diese Abgrenzung nicht sauber trägt, wird seit Jahren kritisiert.

Für die Open-Source-Industrie ist genau das der Kern. Rechtsunsicherheit ist keine gleich verteilte Last. Ein Konzern preist sie ein, beauftragt eine Kanzlei und wartet die erste Entscheidung ab. Ein Projekt mit fünf Maintainern und einer Stiftung im Rücken kann das nicht. Es veröffentlicht im Zweifel nicht, oder es veröffentlicht ohne Gewichte, oder es verzichtet auf das Geschäftsmodell, das die Wartung finanziert. Wenn sich die Abgrenzung über Einzelfälle einschleift, entscheidet am Ende Verwaltungspraxis darüber, wie offen europäische Modelle sein können.

Es gibt eine naheliegende Stelle, an der man das früh klären kann. Die Bundesnetzagentur baut mit dem KI-Service-Desk und den Reallaboren genau die Struktur auf, in der eine belastbare Auslegungshilfe für offene Modelle entstehen könnte. Wer offene Modelle in der Verwaltung einsetzen oder anbieten will, sollte die Frage jetzt stellen und nicht nach dem ersten Bußgeldbescheid. Das wäre kein Gesetzesproblem. Das wäre eine Auslegungsfrage, die man vorne klärt statt hinten.

Der Antrag, den es nicht geben müsste

Und dann war da noch ein Projekt, das ausgezogen ist, Formulare abzuschaffen, und mit dem Gegenteil zurückkam.

Das CityLAB Berlin untersucht mit Beyond Forms seit 2025, ob es Anträge in Zukunft überhaupt noch braucht, wenn jede und jeder einen KI-Agenten hat. Erster Anwendungsfall ist der Zugang zu Sozialleistungen, zusammen mit der Sozialverwaltung, der Caritas-Sozialberatung und den Ämtern für Soziales. Finanziert wird das von Google.org mit einer Million US-Dollar und einem halben Jahr Entwicklerunterstützung, die Ergebnisse sollen als Open Source herauskommen. Mitte 2026 stand der erste Prototyp.

Bemerkenswert ist, was das Projekt über seinen eigenen Ausgangspunkt schreibt: Digitale Formulare verbessern die Lage kaum, wenn sie Papier nur eins zu eins auf den Bildschirm übertragen, weil der Ablauf genauso kompliziert bleibt. Aus dem Projekt ist zu hören, dass sich das Formular selbst als der unproblematischste Teil erwiesen hat. Wo „Name“ steht, trägt man seinen Namen ein, und ein Dialogsystem macht daraus einen längeren Weg. Der Engpass sitzt woanders, bei unvollständigen Unterlagen und in der Bearbeitung, und am Ende fehlt in vielen Häusern schlicht der durchgehend digitale Prozess.

Das ist der Befund, an dem sich sechs Jahre Formulardigitalisierung erklären. Wir haben die Oberfläche zuerst gebaut. Der Engpass sitzt dahinter.

Wie es andersherum aussieht, kann man dieser Tage in Colorado und New Jersey sehen. Code for America testet dort Simple File, ein Werkzeug für Haushalte, die keine Steuererklärungspflicht haben, aber Anspruch auf Gutschriften. Kein vollständiger Antrag mehr, nur noch die Prüfung des Anspruchs. Der Antrag wird nicht schöner, er wird kleiner.

Interessanter ist, was die Briten im selben Monat gemacht haben. Die GOV.UK-App ist ein Jahr alt, über 600.000 Downloads, mehr als die Hälfte der Nutzenden richtet sich die Startseite selbst ein, ein Fünftel ruft kommunale Leistungen ab. Ein Erfolg also. Und einen Tag später kündigt der Government Digital Service nicht die nächste App-Funktion an, sondern den Umbau des Service Standard, also des Maßstabs, an dem sich seit 2014 jeder digitale Dienst der britischen Regierung messen lassen muss.

Die Begründung ist der Teil, der uns etwas angeht. Der Standard sei zu eng an die Abnahme zentraler Vorhaben zu bestimmten Meilensteinen gerückt, statt im laufenden Betrieb verankert zu sein. Und er lasse sich schlecht auf Leistungen anwenden, die über mehrere Organisationen und Kanäle hinweg von Anfang bis Ende laufen. Der neue Standard soll deshalb ausdrücklich auch die operativen und die nicht-digitalen Teile eines Vorgangs erfassen.

Übersetzt: Die App war nicht das Problem, der Maßstab war es. Man kann eine Oberfläche beliebig erweitern und trotzdem nie den Vorgang verbessern, wenn das Gütekriterium nur die Oberfläche prüft und nur zum Abnahmetermin. Wer in Deutschland über EfA-Nachnutzung und Reifegrade diskutiert, misst gerade sehr ähnliche Dinge.

Übersetzen lässt sich das, aber nicht als Produkt. Die übertragbare Bewegung ist die Reihenfolge: erst der durchgehende Prozess und die Schnittstellen, dann die Oberfläche. Wer es andersherum macht, bekommt ein schöneres PDF.

Und eine Frage gehört vor jedes Formularprojekt: Welche dieser Daten hat der Staat schon, und warum fragt er trotzdem? Damit ist man bei der Registermodernisierung, und zwar unweigerlich. Ein Antrag schrumpft genau um die Felder, die aus einem Register beantwortet werden können. Ohne Registeranbindung bleibt jede Vereinfachung Oberfläche.

Das ist die unbequeme Seite dieses Blocks. Die PD hat im April zusammen mit dem DigitalService die Kosten geschätzt, die Ertüchtigung und Anschluss der deutschen Register verursachen würden, und kommt zu einem klaren Befund: Es wäre weder sinnvoll noch finanzierbar, die abertausend Register in ihren bestehenden Strukturen an das Nationale Once-Only-Technical-System anzuschließen. Ihre Empfehlung ist eine mutige Konsolidierung der Register und neue föderale Formen der Datenhaltung.

Das wird gern als Argument gegen den Anfang benutzt. Es ist aber vor allem eines gegen die falsche Reihenfolge. Kein Antragsprojekt braucht alle Register. Es braucht die drei oder vier, die diese eine Leistung berührt. Wer die zuerst anbindet und danach die Oberfläche baut, hat am Ende ein kürzeres Formular und einen Vorgang, der durchläuft. Wer es andersherum macht, hat beides nicht und die Rechnung trotzdem.

Fazit

Der Juli hat keine große Entscheidung gebracht. Er hat drei Dinge sichtbar gemacht, die zusammengehören.

Modelle fallen aus, aus Gründen, die niemand kontrolliert. Sie werden billiger, und genau dann wird angebunden. Und die Regeln für die offene Alternative sind noch unscharf, während die Durchsetzung übermorgen anläuft.

An Modellen mangelt es nicht. An Rückfallebenen schon.

Pflicht von oben, Rechnung von unten. Juni 2026 im E-Government-Rückblick.

Mon, 29 Jun 2026 18:23:00 +0200

Der IT-Planungsrat hat im Juni geliefert, woran er sich jahrelang die Zähne ausgebissen hat. Bund und Länder haben am 17. Juni in Frankfurt beschlossen, dass fünf Komponenten des Deutschland-Stacks verpflichtend werden und der Bund Entwicklung und Betrieb finanziert (IT-Planungsrat). Staatssekretär Markus Richter, dieses Jahr Vorsitzender des Gremiums, sagt, der Stack nehme konkrete Formen an, Finanzierungs- und Umsetzungsfragen seien geklärt.

Im selben Monat legt der Bundesrechnungshof einen Bericht vor, der zeigt, woran solche Beschlüsse sonst zerschellen. Und auf dem Zukunftskongress in Berlin wurde über all das geredet, als wäre Geld das kleinste Problem.

Der Durchbruch ist echt. Aber er endet dort, wo er ankommen müsste: an der Kasse der Kommunen.

Drei Komponenten Pflicht, eine Rechnung offen

Die Länder haben sich einstimmig verpflichtet, drei der fünf Basisdienste flächendeckend auszurollen und zu nutzen: die EUDI-Wallet, das Registernetz NOOTS und den Übertragungsstandard FIT-Connect (Beschluss B-2026/18). Das ist mehr als alles, was in den Jahren davor zustande kam. Noch im Frühjahr war die Nutzung nur „angestrebt". Diesmal steht eine Verpflichtung, und der Bund zahlt bei diesen Komponenten für Entwicklung, Betrieb und Wartung. Die Bezahlkomponente und das Postfach bleiben vorerst offen, ihr Finanzierungsmodell soll erst bis zur nächsten Sitzung stehen.

Der Haken steht im Kleingedruckten. Die Kosten für den Anschluss der Komponenten in der Fläche bleiben bei Ländern und Kommunen. Genau dort, wo die Haushalte leer sind. Philipp Amthor hat es im Interview klargestellt: Der Bund werde aus Gründen der Finanzverfassung „keine dauerhafte IT-Finanzierung der Kommunen" übernehmen (Tagesspiegel Background, Paywall). Der laufende Betrieb in Land und Kommune gehöre nicht zu den Aufgaben des Bundes.

Wie konkret das wird, zeigt FIT-Connect selbst. Für Bund und Länder ist der Dienst kostenlos. Aber am Übergang zum Fachverfahren der Kommune verlangen die Hersteller für den Adapter zwischen ihrer Software und FIT-Connect fünfstellige Beträge, pro Instanz (netzpolitik). Vendor-Lock-in im Kleinen, genau dort, wo das Geld am knappsten ist. Und die Verpflichtung hat Schlupflöcher: Ihre alten Transportwege müssen die Länder nicht abschalten, abweichende Lösungen sind erlaubt. NRW baut mit APIGATE bereits einen eigenen, verpflichtenden Landesweg parallel auf. Neuer Briefkasten an die Wand, die alten daneben hängen lassen.

Wer wissen will, wie das endet, muss nur den Rechnungshof lesen. Nach zehn Jahren und 836 Millionen Euro Dienstekonsolidierung nutzte im Schnitt nicht einmal ein Drittel der verpflichteten Behörden die zentralen Lösungen, den einheitlichen Bundesclient gerade 14 Prozent (Tagesspiegel Background, Paywall). Vor genau diesem Muster warnt der Bundesrechnungshof seit Jahren (Bundesrechnungshof). Bereitgestellt heißt eben nicht genutzt. Und verpflichtet heißt es auch nicht, solange am Ende der Kette niemand den Anschluss bezahlen kann.

Der Hebel liegt deshalb nicht im nächsten Beschluss, sondern in der Reihenfolge. Erst die Anschlussfinanzierung der Kommunen klären, dann die Pflicht scharf stellen. Andersherum entsteht wieder eine Pflicht auf dem Papier, neben der die alten Verfahren weiterlaufen. Doppelt vorgehalten, doppelt bezahlt.

Und hier wird es interessant. Drei Tage nach dem Stack-Beschluss haben sich Bund und Länder am 25. Juni auf eine neue Finanzregel geeinigt: „Wer bestellt, bezahlt". Verursacht ein neues Bundesgesetz den Ländern und Kommunen Mehrkosten von zusammen über 200 Millionen Euro, übernimmt der Bund künftig 80 Prozent (Bundesregierung). Das ist genau das Prinzip, das beim Stack-Anschluss fehlt. Der Haken liegt im Detail: Die Regel greift erst ab dem 1. September, nur bei Bundesgesetzen, und Steuer- sowie EU-Vorgaben sind ausgenommen. Die Stack-Pflicht ist aber kein Bundesgesetz, sondern ein Beschluss des IT-Planungsrats plus Selbstverpflichtung der Länder. Genau so rutscht der Anschluss an der neuen Regel vorbei. Wer will, dass der Bund ihn mitträgt, müsste die Nutzungspflicht in ein Gesetz gießen, nicht in ein Ratsprotokoll. Die Hintertür steht offen. Jemand muss nur durchgehen.

Wenn jeder abrufen darf, wozu noch ausschreiben?

Das zweite Juni-Thema wirkt technisch, ist aber grundsätzlich. Govtech Deutschland, lange eine Blackbox selbst für Insider, hat einen Cloud-Rahmenvertrag über 250 Millionen Euro an Bechtle vergeben (eGovernment). Abrufbar für Bund, Länder und Kommunen, sofern sie Mitglied sind. Der Clou liegt in der Konstruktion: Weil Govtech über Mitgliedschaft und eine Überkreuzbeteiligung mit der PD als inhouse-fähig gilt, können Mitglieder die Leistungen beziehen, ohne ein eigenes Vergabeverfahren durchführen zu müssen.

Das ist kein Einzelfall, das ist ein Muster. Die Genossenschaft govdigital macht es über sogenannte Umklappverträge (govdigital) genauso. Wer bei einer dieser Strukturen abrufberechtigt ist, kommt über wenige Verbindungsschritte an fast jeden großen Rahmenvertrag. Und damit drängt sich eine unbequeme Frage auf: Ist die Ausschreibung am Ende noch das Verfahren, oder nur noch die Eintrittskarte? Wenn ich an meinen Wunschpartner ohnehin über irgendeinen Abruf herankomme, verlagert sich der Wettbewerb dorthin, wo kaum noch jemand hinschaut.

Es gibt einen zweiten Effekt, der seltener ausgesprochen wird. Große, gebündelte Rahmenverträge sind auf große Anbieter zugeschnitten. Anfang Juni hat die FITKO eine Rahmenvereinbarung über rund 254 Millionen Euro ausgeschrieben, eine integrierte Projekt- und Produktberatung über acht Disziplinen, ausdrücklich als Generalunternehmer-Leistung mit eigener Haftung für die Gesamtabwicklung (Vergabeunterlage). Wer ein solches Volumen über acht Felder hinweg stemmen können muss, ist nicht der Fachanbieter, sondern der Generalist. Der Spezialist, der die eigentliche Lösung baut, kommt nur noch als Unterauftragnehmer durch dessen Tür, zu Konditionen, die der Generalunternehmer setzt. Aus dem Anbieter wird ein Türsteher.

Das ist aus zwei Gründen teuer. Erstens hat in der Verwaltungsdigitalisierung über weite Strecken der Mittelstand den Fortschritt gebracht, die nachnutzbaren Fachverfahren, die EfA-Dienste, die laufenden Lösungen in Ländern und Kommunen. Und die Wertschöpfung blieb in der deutschen Wirtschaft. Zweitens sind die großen Umsetzer untereinander kaum zu unterscheiden. Wenn nach einer gewonnenen Ausschreibung ganze Teams vom einen Haus ins andere wechseln, war die Auswahl nie eine fachliche, sondern eine formale. Differenzierung sieht anders aus.

Der Hebel ist deshalb nicht, die Bündelung abzuschaffen, sondern sie anders zuzuschneiden. Lose klein genug, dass ein Fachanbieter direkt anbieten kann. Rahmenverträge Open-Source-fähig und auditierbar, damit der Wettbewerb auf der Plattform echt ist und nicht nur behauptet. Und Transparenz als Bedingung, nicht als Kür. Dass IFG-Anfragen zu Govtech seit über 250 Tagen unbeantwortet beim Ministerium liegen (Tagesspiegel Background, Paywall), ist das Gegenteil davon. Bündelung ohne Einsicht ist kein Fortschritt, sondern eine größere Blackbox.

Der Pilot, der die Wand zeigt

Wie hoch die Wand ist, führt der Agentic AI Hub vor. Neun Start-ups, neunzehn Kommunen, zwanzig Pilotprojekte in drei Monaten, und einige Ergebnisse sind beachtlich: Bei Auskunftsanfragen nach der DSGVO sank die Durchlaufzeit um über 90 Prozent, bei Sitzungsprotokollen die Nachbearbeitung von rund 45 auf 10 Minuten (BMDS). Dann kommt die eigentliche Frage: Wie kommt das in die Fläche der rund 11.000 Kommunen? Das Ministerium räumt selbst ein, dass genau das noch nicht gelöst ist, und nennt es die eigentliche Aufgabe.

Es ist dieselbe Wand wie beim Stack. Die Technik funktioniert, der politische Rückhalt war der eigentliche Beschleuniger, sagen die Beteiligten. Aber in die Fläche kommt es nur, wenn die Kommunen es bezahlen können, und auch hier verweist das Ministerium darauf, dass der Bund verfassungsrechtlich nicht einspringt. Die Lösung soll ein „dynamisches Beschaffungssystem" sein, ein digitales Kaufhaus für abrufbare KI-Produkte. Womit wir wieder bei Block zwei wären: das nächste Bündelvehikel, mit derselben offenen Frage, wer es zuschneidet und wer hineinschauen darf.

Der gangbare Weg ist nicht, mit 11.000 Kommunen einzeln zu verhandeln. Er heißt Zugriff statt Beschaffung: einmal sauber nachnutzbar gemacht, über offene Standards in die Fläche gereicht. Das ist die Mechanik, die der Stack-Beschluss eigentlich verspricht, wenn man ihn unten anschließt statt oben verkündet.

Der Schalter liegt in Washington

Ein Vorgang im Juni hat gezeigt, wie schnell Abhängigkeit konkret wird. Auf Anweisung der US-Regierung hat Anthropic seine aktuellen Modelle Fable 5 und Mythos 5 gesperrt, weltweit, weil das Unternehmen seine Nutzer nicht nach Nationalität trennen kann. Was als Exportkontrolle begann, wirkt am Ende wie ein informelles Lizenzregime für KI, ohne feste Regeln und ohne Transparenz. Für die Verwaltung ist das keine Randnotiz: Wer Fachverfahren auf Frontier-Modelle aus den USA aufsetzt, gibt den Schalter aus der Hand.

Ich habe das in einem eigenen Beitrag ausführlich eingeordnet, was digitale Souveränität dann wirklich kostet und wo der gangbare Weg liegt (72 Stunden). Die Kurzfassung: Souveränität heißt, den Schalter selbst in der Hand zu behalten, über offene Modelle und europäische Alternativen, und zwar bevor man sie braucht.

Fazit

Juni war kein schlechter Monat. Der Stack wird verbindlich, die KI-Piloten liefern, der Bund übernimmt mehr Verantwortung als je zuvor. Aber an drei Stellen dieselbe Lücke: Oben wird beschlossen, unten fehlt das Geld zum Anschließen. Und auf dem Zukunftskongress, so der Eindruck aus der Ferne, war davon wenig Neues zu hören.

An Beschlüssen mangelt es nicht mehr. An der Anschlussfinanzierung schon.

Schleswig-Holstein macht es für drei Millionen. Mai 2026 im E-Government-Rückblick.

Sun, 31 May 2026 12:08:06 +0200

Ein Jahr Bundesdigitalministerium. Die Bilanz, die sich aus den Zahlen ergibt, ist ernüchternd: Die Länder haben Microsoft im Jahr 2025 rund 191 Millionen Euro überwiesen - 84 Prozent mehr als 2021. Der BMI-Rahmenvertrag liegt bei weiteren 481 Millionen Euro. Oracle kommt allein aus neun Ländern auf über 261 Millionen. Das sind keine Schätzungen. Das sind Zahlen aus parlamentarischen Anfragen.

Gleichzeitig zeigt Schleswig-Holstein, was möglich ist, wenn man aufhört zu warten: Der Standardarbeitsplatz kostet dort heute drei Millionen Euro pro Jahr statt achtzehn. Nicht durch ein Sonderprogramm, nicht durch eine neue Behörde. Durch LibreOffice statt Microsoft Office.

Ein Jahr BMDS: Das Werkzeug liegt bereit, wird aber kaum angefasst

Der IT-Zustimmungsvorbehalt war die große strukturelle Neuerung des ersten Jahres. Das Digitalministerium kann seitdem IT-Projekte anderer Ressorts prüfen und stoppen, bevor neue Abhängigkeiten entstehen. In der Theorie ist das genau das Instrument, das jahrelang gefehlt hat. In der Praxis wurden bisher gerade einmal rund 200 Projekte geprüft - bei einem Bundeshaushalt, der Hunderte von IT-Vorhaben parallel trägt.

Das ist kein Versagen des Ministeriums. Es ist ein Kapazitätsproblem mit struktureller Ursache: Wer jeden Projektstart prüfen will, braucht Kriterien, die das automatisch filtern. Nicht ein Team, das manuell entscheidet. Der Weg führt nicht über mehr Personal, sondern über andere Defaults. Wer Open Source als Standardoption in Ausschreibungsvorlagen setzt, muss proprietäre Entscheidungen aktiv begründen. Dann prüft das System, nicht der Sachbearbeiter.

Golem hat das erste Jahr des Digitalministeriums analysiert und die Lücke zwischen Ankündigung und Umsetzung klar benannt. Was jetzt fehlt, ist die nächste Entscheidung: Vergabedefaults ändern. Nicht in einer Legislatur. In den nächsten sechs Monaten.

Dabei passiert auf der Konzeptebene gerade etwas Wichtiges: Das ZenDiS hat ein Diskussionspapier zu Souveränitätskriterien vorgelegt, das digitale Souveränität messbar machen will. Die OSBA-Stellungnahme begrüßt das, setzt aber einen klaren Punkt: Messbarkeit ohne Verbindlichkeit ist Souveränitätswashing. Wer ein europäisches Rechenzentrum bucht, aber weder Quellcode einsehen noch die Roadmap beeinflussen kann, hat keine Souveränität. Er hat einen anderen Lieferanten.

Das ist die richtige Debatte. Und der Begriff trifft.

Was Schleswig-Holstein beweist

Während Berlin diskutiert, liefert Kiel Zahlen. Die Migration der Landesverwaltung von Microsoft Office auf LibreOffice hat die jährlichen Lizenzkosten für den Standardarbeitsplatz von 18 Millionen auf 3 Millionen Euro gesenkt. Das ist kein Pilotprojekt. Das ist Regelbetrieb.

Die OSB Alliance hat im Mai nachgelegt: Unter dem Titel “Trauen Sie sich, Herr Minister!” benennt sie konkrete Hebel, die heute verfügbar sind - keine neuen Gesetze, keine Haushaltsmittel. EVB-IT Musterverträge, die Open-Source-Beschaffung strukturell bevorzugen; OSS-first Vergabekriterien, die den Beweislastwechsel einleiten; Pflichtmeldung bei Neuverträgen mit denselben Herstellern, die schon die Bestandssysteme dominieren. Das sind Verwaltungshandlungen, keine Gesetzgebung.

Der Einwand, den man an dieser Stelle hört, ist immer derselbe: Das Vergaberecht lasse das nicht zu. Schleswig-Holstein hat es trotzdem gemacht. Zürich testet gerade openDesk im Echtbetrieb. Frankreich hat die DINUM-Toolbox. Die Frage ist nicht, ob es geht. Die Frage ist, wer anfängt.

💡 Drei Millionen statt achtzehn ist kein Proof of Concept. Das ist ein Referenzwert, an dem sich jede neue Beschaffungsentscheidung messen lassen muss.

Europa gibt Rückenwind

Bisher mussten Entscheider:innen in Behörden die Open-Source-Entscheidung gegen den Strom treffen. Das ändert sich strukturell: Die EU hat für den 3. Juni die Verabschiedung des Cloud Alignment and Data Act (CADA) angekündigt - Teil des Tech Sovereignty Package. Die EU gibt derzeit schätzungsweise 264 Milliarden Euro pro Jahr für US-IT-Dienstleistungen aus. CADA verpflichtet öffentliche Auftraggeber, bei neuen Cloud-Verträgen aktiv Alternativen zu prüfen und die Entscheidung zu dokumentieren.

Das ist kein Verbot. Es ist ein Begründungszwang. Wer weiterhin AWS, Azure oder Oracle bucht, muss erklären, warum keine europäische Alternative in Frage kam. Das klingt nach Bürokratie, ist aber das Gegenteil: Es macht die implizite Entscheidung für den Incumbent sichtbar. Und angreifbar.

Für Ministerien und Landesbehörden, die intern ohnehin über Souveränität sprechen, ist CADA eine Entlastung. Die Frage “Darf ich das?” stellt sich dann nicht mehr. Die Frage wird: “Warum haben wir es nicht gemacht?”

Fazit

Mai 2026 in zwei Sätzen: Die Kosten steigen weiter, aber die Beweise, dass es anders geht, liegen auf dem Tisch - mit Namen, Zahlen und Kontaktpersonen. Wer jetzt noch auf eine gesetzliche Erlaubnis wartet, wartet auf etwas, das er nicht braucht.

652 Millionen pro Jahr ohne Reform. April 2026 im E-Government-Rückblick.

Thu, 30 Apr 2026 21:06:06 +0200

Im April 2026 liefert die Verwaltungs-Realität konkrete Beweise zu den Diagnosen der Vormonate. Eine Tagesspiegel-Headline vom 07.04.2026 (Tagesspiegel Background, Paywall) fasst es zusammen: „Register kosten ohne Reform 652,5 Millionen Euro jährlich." Das ist die Größenordnung dessen, was der Status quo der föderalen Registerlandschaft an laufendem Betrieb verschlingen wird, wenn staatliche Stellen ihre Register nicht technisch und strukturell modernisieren.

Im selben Monat passieren drei Dinge, die methodisch zusammenhängen: Eine Deutschland-App wird an SAP und Telekom vergeben. Das BSI legt erstmals Cloud-Souveränitätskriterien vor. Der Bundestag beschließt einen Digital-Haushalt. Drei Bewegungen, drei Diagnosen.

652 Millionen ohne Reform

Die Zahl ist beunruhigend, aber sie ist nicht überraschend. Sie ist der Beleg für das, was hier als Diagnose schon im März stand: zu komplex gedacht, zu viel Geld, das jedem erlaubt, sein eigenes Ding zu machen. Der Bundesrechnungshof hat bereits im Oktober 2025 gewarnt, dass die Registermodernisierung an einer Finanzierungslücke von 300 Millionen Euro hängt. Der [Bundeshaushalt 2026 sieht 194 Millionen Euro für Register-Digitalisierung vor[https://www.bundestag.de/presse/hib/kurzmeldungen-1105894), das sind 69 Millionen weniger als 2025. Die Reform wird leiser finanziert, der Bestand teurer betrieben.

Die eigentliche Frage stellt der Tagesspiegel nicht: Wenn die Register im aktuellen Zustand laut dem PD Positionspapier 652 Millionen pro Jahr kosten, ohne dass spürbarer Mehrwert für Bürger:innen oder Unternehmen entsteht, wie teuer wird das Ganze, wenn die Register wirklich genutzt werden? Wenn der Datenaustausch über NOOTS in den vollen Betrieb geht, wenn Once-Only kein Pilot mehr ist, wenn alle Verfahren angeschlossen sind? Wer rechnet?

Reform ist hier nicht ein Wort für Strukturkosmetik. Reform heißt: weniger Register, klarer abgegrenzte Zuständigkeiten, weniger parallele Datentöpfe. Die aktuelle Kosten-Größenordnung ist nicht nur eine Effizienz-Frage. Sie ist ein politisches Risiko.

Die Deutschland-App und drei Probleme

Mitten im April wird klar, wer die Deutschland-App bauen soll. Das BMDS hat den Auftrag an SAP und die Telekom vergeben, eine FOIA-Anfrage von FragDenStaat bestätigt: über bestehende Framework-Verträge, ohne offene Ausschreibung für die erste Phase. Drei Probleme dazu, die alle in der LinkedIn-Diskussion und in netzpolitik, heise und der OSB-Alliance-Kritik auftauchen.

Erstens, die Vergabe. Wenn ein Großprojekt mit dieser strategischen Bedeutung über Framework-Verträge an SAP und Telekom geht, fehlt der Wettbewerb. Das Echo der Corona-Warn-App-Vergabe ist nicht zufällig laut. Wer den deutschen GovTech-Markt ernst nimmt, sollte nicht den ersten relevanten Auftrag der Legislaturperiode an die immer gleichen Konzerne vergeben. Der Protest des Google-Konsortiums gegen den Ausschluss bei einer parallelen Cloud-Vergabe zeigt, dass Vergabeverfahren rechtlich angreifbar sind, wenn der Wettbewerb erkennbar nicht gesucht wird. Die Open-Source-Verbände fordern hier zu Recht Transparenz und Marktöffnung.

Zweitens, das Frontend-Problem. Eine zentrale App ist ein neues Frontend für eine unveränderte Verwaltungsrealität dahinter. Die Verwaltungssuchmaschine NRW (heute Linie6plus) hat einen ähnlichen Suchmaschinen-Ansatz schon vor Jahren probiert, ohne KI-Würze. Dass dieselbe Idee jetzt mit KI-Agenten neu lackiert wird, löst keines der Probleme dahinter: weder die föderalen Zuständigkeiten noch das Kraut-und-Rüben-Problem in den Fachverfahren der Kommunen. Eine zentrale App wirkt höchstens auf wenige Leuchttürme. In die Fläche kommt sie nicht.

Schlimmer: Eine zu zentrale App-Logik droht bestehende, regional oder thematisch funktionierende Lösungen zu verdrängen, ohne sie zu ersetzen. Verdrängung ohne Ersatz ist die teuerste Form von Konsolidierung.

Drittens, das Verhältnis zum Deutschland-Stack. Beides kommt aus demselben Haus, dem BMDS. Wie die Deutschland-App architektonisch zum Stack passt, wer welche Bausteine wem liefert, ob die App den Stack nutzt oder ihn umgeht, ob KI-Agenten ein Stack-Modul werden oder ein App-internes Feature, ist nicht erkennbar. Aus zwei großen Versprechen wird so zwei Mal Risiko, und nicht ein gemeinsames Liefer-Versprechen.

💡 Die Deutschland-App ist nicht das Frontend, das den Stack erklärt. Sie ist ein Großprojekt on top.

BSI-Kriterien: Definition wird konkret

Am 27. April hat das BSI die Criteria enabling Cloud Computing Autonomy (C3A) veröffentlicht. Acht prüfbare Kriterien, anschlussfähig an das EU Cloud Sovereignty Framework, mit Fokus auf das, was das BSI „Cyber Dominance" nennt: den anhaltenden Hersteller-Zugriff auch nach formaler Datenresidenz. Das C3A ist komplementär zum bestehenden C5-Sicherheits-Katalog. Was C5 für Sicherheit definiert, leistet C3A für Autonomie.

Methodisch ist das die richtige Antwort auf die Beobachtung aus dem Januar-Rückblick: dass „Souveränität" als Begriff inflationär und ohne Norm ist. Mit C3A gibt es jetzt einen prüfbaren Maßstab, an dem sich Cloud-Angebote messen lassen müssen. Der Vergabeblog hat bereits darauf hingewiesen, dass C3A in Beschaffungsverfahren als Anforderung gesetzt werden kann.

Damit existieren jetzt parallel mindestens zwei deutsche Souveränitäts-Kataloge. C3A vom BSI ist enger zugeschnitten auf Cloud-Dienste. Die 20 Souveränitätskriterien des ZenDiS (Konsultation läuft noch bis 15. Mai) decken eine breitere IT-Architektur ab, mit Fokus auf Wechselbarkeit und Anbieter-Einflussmöglichkeit. Das ist kein Widerspruch. Es ist eine Schichtung: BSI für Cloud-Beschaffung, ZenDiS für Open-Source-Software-Auswahl, beide an unterschiedlichen Stellen anwendbar.

Was fehlt, ist die Praxis. Welche Ausschreibung im Mai oder Juni wird C3A erstmals als Pflicht ausweisen? Welche Behörde traut sich, einen Anbieter zu disqualifizieren, weil er die Kriterien nicht erfüllt? Definitions-Arbeit ist notwendig, aber sie ersetzt nicht die Vergabe-Praxis – Souveränität entscheidet sich in der Beschaffung, nicht in Erklärungen. Die nächste Stufe heißt: Kriterien in der echten Beschaffung benutzen.

Verschiebebahnhof Digitalhaushalt

Am 22. April hat der Bundestag den ersten Digital-Haushalt der Bundesrepublik beschlossen. 4,47 Milliarden Euro, in einem neuen Einzelplan 24, konsolidiert aus Mitteln, die vorher auf sechs verschiedene Häuser verteilt waren: Kanzleramt, BMI, BMJV, BMF, BMWK und BMVI. Davon entfallen rund 650 Millionen Euro auf Verwaltungsdigitalisierung, der größte Block geht in Breitband-Infrastruktur.

Das ist mehr Reform, als auf den ersten Blick aussieht. Mit BMDS, FITKO, ZenDiS und dem DigitalService gibt es jetzt einen Apparat, der die Zuständigkeit für Verwaltungs-IT bündelt. Aber Zuständigkeit ohne Geld ist halbe Macht. Der Konsolidierungs-Schritt ist deshalb notwendig, damit das BMDS mehr ist als ein Koordinations-Container ohne Hebel.

Genau deshalb ist die Bezeichnung Verschiebebahnhof zutreffend, aber nicht abwertend. Der politische Streit um die Verlagerung ist der eigentliche Punkt: Werden die alten Häuser wirklich Ihre finanzielle Mittel (und damit Macht) abgeben an das BMDS? Mit ihren Lieblings-Projekten, eigenen Anbieter-Beziehungen, Linien-Macht und Personalplanung? Oder bleibt das BMDS am Ende eine zusätzliche Schicht, ohne dass die Häuser ihre eigenen Digitalprojekte aus der Hand geben?

Die Legislaturperiode ist schon weit fortgeschritten. Wenn sich die Konsolidierung zu lange ziert, geht das Zeitfenster zu, in dem die Reform politisch durchsetzbar ist. Eine Bundes-Digital-Architektur, die nominal zentralisiert ist, faktisch aber weiterhin durch Hausherrschafts-Konflikte gebremst wird, leistet wenig.

Fazit

April hat die Vormonate vermessen. 652 Millionen Euro pro Jahr, ohne dass Bürger:innen es spüren. Eine Deutschland-App, die mehr Frontend ist als Lösung. Acht BSI-Kriterien, die jetzt Definitions-Lücken schließen. Ein Digital-Haushalt, der Macht zentralisieren will, aber den Streit erst auslöst.

An Diagnose mangelt es nicht. An echter Reform schon.

Zuviel Geld ist das Problem. März 2026 im E-Government-Rückblick.

Tue, 31 Mar 2026 18:01:16 +0200

Der März stand im Zeichen des Deutschland-Stacks. Das BMDS hat erstmals eine Nationale Rechenzentrumsstrategie vorgelegt. ZenDiS hat seine 20 Souveränitätskriterien zur öffentlichen Konsultation gestellt. Der IT-Planungsrat hat in Rostock den Stack mit Plattformkern beschlossen und das FITKO-Budget neu sortiert.

Klingt nach Bewegung. Klingt aber auch nach dem, was der Tagesspiegel in derselben Woche pointiert getitelt hat: „Erst der Auftrag, dann das Konzept."

Mein Eindruck nach drei Wochen mit dem Thema: Wir reden hier nicht über zu wenig Geld. Wir reden über die Folgen einer Politik, die zu vielen parallelen Spuren gleichzeitig Geld gibt.

Stack ohne Stack

Wer sich aktuell mit Rechenzentrums-, Souveränitäts- und Stack-Diskussionen beschäftigt, hört von Anbietern und Verbänden den gleichen Satz: „Es ist zu wenig Geld da." Ich halte das für eine Verschiebung der Diagnose.

Geld ist absolut betrachtet eher zu viel da. Es reicht nur nicht aus, um alle parallelen, ähnlichen, aber konkurrierenden Aktivitäten dauerhaft zu finanzieren. Und am Ende wird mehrfach bezahlt, was eigentlich nur einmal gedacht und gebaut werden müsste.

Das aktuell sauberste Beispiel: ZaPuK, die föderale Zielarchitektur für Postfach- und Kommunikationslösungen. Die FITKO hat im März die Phase 2 vorgestellt. Der Hintergrund: In Bund und Ländern existieren über die Jahre eine Reihe von Postfach- und Kommunikationsdiensten parallel – entwickelt, finanziert, betrieben. Jetzt wird Geld investiert, um sie unter eine gemeinsame föderale Architektur zu bringen, samt Anbindung an EUDI-Wallet und BundID. Viel Geld, über viele Jahre, on top – nachdem die Einzellösungen vorher ebenfalls viel Geld gekostet haben.

Das Muster ist alt: Erst entstehen Insellösungen entlang der Föderalismus-Linien, weil jede Ebene ihren Anspruch in eigene Software gegossen hat. Dann kommt der Integrationslayer, der das Ganze zusammenklammert. Dann kommt – drei Jahre später – der nächste Integrationslayer, der die Klammer ersetzt. Das ist nicht Souveränität, das ist Sedimentierung.

Damit verschiebt sich auch das eigentliche Risiko des Deutschland-Stacks. Die Diskussion fokussiert sich darauf, was in den Stack gehört. Sie sollte sich darauf fokussieren, was nicht mehr in den Stack gehört.

Der größte gemeinsame Nenner

Aktuell beobachte ich das Gegenteil. Das BMDS bewirbt den Stack als „nationale souveräne Technologie-Plattform". Verbände, Anbieter, Bundesländer, Communities und Forschungsinstitute reklamieren dazu – nachvollziehbar – Sichtbarkeit für ihre eigenen Bausteine. Jede:r will sagen: „Wir sind da auch drin."

Damit wird der Deutschland-Stack zum größten gemeinsamen Nenner. Er sammelt fleißig ein. Aber genau das war nicht die Idee.

Die Idee eines Stacks lebt davon, was er nicht enthält. Reduktion ist die Funktion, nicht die Schwäche. Eine Plattform, die alles aufnimmt, ist keine Plattform mehr – sie ist ein Verbund mit neuem Logo. Genau das passiert gerade.

Der saubere Test wäre: Welche bestehenden, parallel laufenden Initiativen werden durch den Stack abgelöst? Welche Förderlinien laufen aus, welche Verträge werden nicht verlängert, welche Plattformen werden migriert und dann abgeschaltet? Wenn auf diese Frage keine konkreten Antworten existieren, ist der Stack keine Vereinfachung, sondern eine Erweiterung.

💡 Stack-Politik braucht keine 21. Initiative. Sie braucht die Bereitschaft, ein paar der bestehenden zu beenden.

Die 20 ZenDiS-Souveränitätskriterien sind in genau dieser Logik der konzeptionell stärkste Beitrag des März. Kriterien definieren, was reingehört und was nicht – und damit, was an Vorhandenem nicht mehr ausreicht. Ob die politische Umgebung den Mut für diese Konsequenz aufbringt, ist die zweite Frage. Aber methodisch ist das der richtige Schritt.

Was Österreich uns sagt – und was nicht

Im selben Monat eine andere Geschichte: Österreich migriert Teile seiner Verwaltung auf Open Source. „Reibungsloser als erwartet", schreibt Golem über die laufende Umstellung. Parallel hat das Bundesrechenzentrum (BRZ) eine Public-AI-Initiative auf Open-Source-Basis aufgesetzt – mit eigener Modell-Strategie statt Hyperscaler-Abhängigkeit.

Der deutsche Reflex auf solche Nachrichten ist berechenbar: „Lasst uns das übernehmen."

Das wäre ein Trugschluss. Österreich ist juristisch, fachlich und technisch anders aufgestellt als Deutschland. Andere Föderalismus-Architektur, andere Beschaffungsregeln, andere Größenordnungen, andere Anbieter-Ökosysteme. Was dort funktioniert, lässt sich nicht eins zu eins importieren – die Strukturen sind nicht kompatibel.

Daraus lernen ist trotzdem der Punkt. Die Frage ist nie „wie kopieren wir das?", sondern „was davon lässt sich in unseren föderalen Kontext übersetzen?". Welche Vorgehensweise, welche Governance-Struktur, welche Rolle für die Anbieter, welche Eskalationswege – was davon ist anschlussfähig an deutsche Realität, welche Bausteine sind es nicht.

Das ist der Unterschied zwischen Inspiration und Folklore. Aus Wien lassen sich in diesem Sinne mehrere konkrete Punkte herausziehen – der wichtigste: dass Souveränität nicht mit einem zentralen Plattform-Statement beginnt, sondern mit konsequenter Anbieter-Auswahl in jeder einzelnen Ausschreibung. Auch das ist ein Punkt, den der Deutschland-Stack noch nicht beantwortet.

Fazit

März 2026 in einem Satz: An Konzepten mangelt es nicht. An Entscheidungen schon. Und am Mut, parallele Spuren zu schließen, statt sie hinterher mit dem nächsten Stack-Layer zu integrieren.

Halbfertig, aber teuer. Februar 2026 im E-Government-Rückblick.

Sat, 28 Feb 2026 21:11:23 +0200

481 Millionen Euro hat der Bund 2025 für Microsoft-Lizenzen gezahlt – gegenüber 74 Millionen 2017 ein Anstieg um 550 Prozent in acht Jahren. Die Zahl wurde im Februar öffentlich, aufbereitet von OSB Alliance, nachgereicht in einer Antwort der Bundesregierung auf eine Kleine Anfrage der Grünen. Die Computerwoche schreibt von „digitaler Geiselhaft", heise von „Microsoft Dependency". Die Empörung ist groß.

Die Empörung ist auch alt. Die PwC-Studie für das BMI von 2019 hat das Abhängigkeitsproblem schon damals systematisch dokumentiert – mit klaren Handlungsoptionen. Der Bundesrechnungshof hat noch früher Open Source gefordert. Neu ist nicht der Befund. Neu ist, dass jetzt alle reagieren wollen – jeder für sich.

Wegbewegung von Microsoft. Jeder für sich.

Die Bewegung im Februar war auffällig:

Im Bundestag prüft eine Kommission unter Andrea Lindholz Microsoft-Alternativen, mit IT-Strategie bis Mai 2026 und ersten Pilotlösungen (Wire als Messenger, Delos als Cloud-Layer). Berlin hatte Mitte Januar eine Open-Source-Strategie verabschiedet – sieben Maßnahmen über sieben Jahre, ITDZ als Programm-Office. Sachsens neue CIO Daniela Dylakiewicz erklärt, dass Sachsen „gut daran tut, alternative Lösungen zu testen und einzusetzen". Aus dem Hochschulbereich kommt die Forderung, openDesk kostenfrei für Universitäten verfügbar zu machen.

Dass sich da etwas bewegt, ist gut. Wie es sich bewegt, ist das Problem.

Jeder geht das Thema für sich an. Bund, Länder, Kommunen, Hochschulen – jede:r mit eigenem Geld, eigenen Pilotprojekten, eigenen Zeitplänen. Erfahrungen werden nicht systematisch ausgetauscht. Eine Migration in Schleswig-Holstein hilft nur indirekt einer Migration in Sachsen-Anhalt, obwohl die Probleme zu 80 Prozent dieselben sind.

Eigentlich gäbe es einen Akteur, der genau dafür gegründet wurde: ZenDiS, das Zentrum für Digitale Souveränität. Aber ZenDiS ist zu spät dran, zu wenig sichtbar, und das Kernprodukt openDesk ist nach allem, was zu sehen ist, noch kein 1:1-Replacement für Microsoft 365. Das ist ein Problem, das sich technisch lösen lässt – aber nur, wenn es die nötigen Ressourcen und Reichweite bekommt.

Statt dass die nun anlaufenden Migrationsbewegungen in Bund und Ländern ZenDiS stärken, machen viele ihr eigenes Ding. Das ist nachvollziehbar – niemand wartet auf einen Träger, dessen Produkt noch nicht reif ist. Aber die Konsequenz ist absehbar: Am Ende haben alle halbfertige Lösungen. Halbfertig und teuer.

💡 Souveränität skaliert nicht über zerstreute Einzelmigrationen. Sie skaliert über einen Träger, dem alle das Mandat geben – und dem alle den Druck machen, schneller marktreif zu werden.

Mehr Organisationen statt mehr Wirksamkeit

Beim Deutschland-Stack hat der Februar zwei Bewegungen gebracht. Markus Richter (BMDS-Staatssekretär, vorher Bundes-CIO) plant einen verbindlichen Deutschland-Stack plus ein neues „Digitalcenter". Karsten Wildberger umreißt im selben Monat eine „Deutschland-App" mit KI-Agenten, die BAföG-Anträge, Anmeldungen und Firmengründungen erledigen soll – Details für Sommer 2026 sind angekündigt.

Das Muster ist erkennbar: Statt bestehende Strukturen wirksamer zu machen oder einzelne abzulösen, wird eine neue Organisation hinzugefügt. Und parallel ein neues App-Versprechen kommuniziert. “On top” auf dem, was alles schon existiert-

Bei der Konsultation zum Deutschland-Stack – zweite Runde 16.01.–15.02.2026 – ist aus dem kommunalen Umfeld zu hören, die Beteiligung sei zu spät und zu schmal angesetzt gewesen. Das passt zu einem Muster, das im E-Government seit über 25 Jahren wiederkehrt: Die Kommunen, in denen die Verwaltungsleistungen am Ende ankommen, werden bei der Konzeption strukturell vergessen.

Beides muss man zusammen denken. „Alle mitnehmen" ist richtig – und im deutschen Föderalismus ohne Alternative. Aber „alle mitnehmen" heißt nicht, dass die Wünsche von allen in den D-Stack eingeschrieben werden. Sonst wird er der größte gemeinsame Nenner: Aber die Idee eines Stacks lebt davon, was er nicht enthält.

Verbindlichkeit ist methodisch ein richtiger Hebel. Aber sie funktioniert nur, wenn sie auf einer realistischen, fokussierten Architektur ruht – nicht auf einem aufgeblähten Wunsch-Sammelsurium. Sonst entsteht aus „verbindlich" entweder eine Compliance-Hürde, an der Behörden vorbei-improvisieren. Oder eine politische Sollbruchstelle, die niemand durchhalten will.

Shop für alles. Wettbewerb für wenige.

Parallel zum Stack läuft eine zweite Konsolidierungs-Bewegung: die Vereinheitlichung der IT-Beschaffungs-Marktplätze. Im März geht der Marktplatz Deutschland Digital in den Produktivbetrieb, betrieben von govdigital eG, mit Konsolidierung des FIT-Stores, des EfA-Marktplatzes und des Cloud-Service-Portals. Im Februar lief die Vorbereitung. Auch die Länder denken über eigene Marktplatzlösungen nach.

Auf den ersten Blick eine sinnvolle Bewegung: Findbarkeit für Verwaltungseinkäufer:innen verbessert sich, Anbietersuche wird effizienter. Auf den zweiten Blick steht da ein Problem.

Diese Marktplätze leben innerhalb eines komplexen Geflechts kommunaler und landeseigener IT-Dienstleister, Zweckverbände und gemeinsamer Beschaffungsorgane. Welche Verwaltungseinheit was beziehen darf, hängt nicht nur vom Ausschreibungsergebnis ab – sondern auch von Mitgliedschaften und Zugehörigkeiten. Über solche Konstrukte landet manch ein Rahmenvertrag faktisch im Inhouse-Direktzugriff, ohne dass es nach außen sichtbar wird.

Vereinheitlicht man jetzt die Shops, ohne diese strukturelle Logik anzufassen, verschiebt sich das Problem nicht – es zentralisiert sich. Wer im Geflecht ist, profitiert mehr. Wer nicht drin ist (mittelständische Open-Source-Anbieter, Startups, neue Markteinsteiger), ist von einem wachsenden Anteil öffentlicher IT-Beschaffung praktisch ausgeschlossen.

Wettbewerb sieht anders aus. Innovation bleibt auf der Strecke. Und Startups auch.

Fazit

An Bewegung mangelt es nicht. An Koordination schon. Und am Mut, eigene Pilotprojekte und neue Strukturen zugunsten gemeinsamer, bestehender, schneller wachsender aufzugeben. Das gilt im Microsoft-Exit, im Deutschland-Stack, in der Beschaffung – und es gilt seit mindestens 2019.

Souveränität ohne Definition. Januar 2026 im E-Government-Rückblick.

Sat, 31 Jan 2026 22:17:28 +0200

Der Januar war ein Souveränitäts-Monat. Hyperscaler taufen ihre Verwaltungsgeschäfte zum „Jahr der souveränen Clouds" (Tagesspiegel Background, Paywall) um. Microsoft, AWS und Google haben sortiert, wie sie ihre „Sovereign Cloud"-Linien an deutsche Behörden vermarkten. Daneben passiert tatsächlich etwas: Sozialversicherungsträger pilotieren openDesk als Notfallarbeitsplatz, Frankreich verlässt Microsoft Teams und Zoom zugunsten der eigenen LaSuite, der Berliner Senat verabschiedet am 14. Januar eine Open-Source-Strategie. Und der Bund unterzeichnet den NOOTS-Staatsvertrag, die Rechtsgrundlage für Once-Only.

Der Begriff „Souveränität" ist im Januar an vielen Stellen gleichzeitig im Mund. Was er bedeutet, weiß keiner.

Open Washing trifft Pioniere

Jede:r ist heute souverän. Auf Foliensätzen jedenfalls. Microsoft hat seine „Sovereign Cloud", Google sortiert „Sovereign Controls", AWS bewirbt EU-spezifische Datenresidenz, dazu kommt Delos als deutsche Hybrid-Variante. Die Marktübersicht listet inzwischen ein Dutzend Anbieter, die das Wort beanspruchen.

Das Wort ist aber undefiniert. Es gibt keine deutsche oder europäische Norm, die festlegt, was eine „souveräne Cloud" leistet. Open Source nach OSI-Definition ist es bei keinem dieser Angebote. Datenhoheit, Code-Zugriff, Migrierbarkeit – all das wird je nach Anbieter selbst neu definiert. Das ist offenes Spielfeld für Marketing.

Man nennt das auch Open Washing: Der Anbieter klebt sich das Souveränitäts-Etikett selbst auf, der Kunde übernimmt es ungeprüft, der politische Diskurs nimmt das Wort als Beweis, dass etwas geliefert wird. Geliefert wird, was der Anbieter unter Souveränität versteht – nicht, was der Staat braucht.

Die spannende Gegenbewegung im Januar: Die großen Kunden machen tatsächlich Bewegung weg von diesen Angeboten. Nicht alle. Nicht synchron. Aber konkret.

Sozialversicherungsträger probieren openDesk im Pilot-Setup als Krisenfall-Backup („Backup statt Blackout"). Frankreich rollt LaSuite und seine eigene Visio-Plattform für 200.000 Beschäftigte aus und begründet das ausdrücklich mit Sicherheits- und Souveränitätsanforderungen. Berlin verankert in seiner Open-Source-Strategie sieben Maßnahmen über sieben Jahre, mit dem ITDZ als Programm-Office.

💡 Souveränität wird aktuell von zwei Seiten gemacht: Anbieter etikettieren, Kunden migrieren. Beides nennt sich gleich. Geliefert wird Unterschiedliches.

Wer Souveränität ernst nimmt, sollte das Wort nicht den Marketing-Abteilungen überlassen. Eine arbeitstaugliche Definition (Datenhoheit, Code-Zugriff, Vendor-Wechselbarkeit, EU-Recht-Vorrang) muss von den Bedarfsträgern kommen – nicht aus Whitepapers von Anbietern.

NOOTS-Staatsvertrag – der Eigenweg und seine Folgen

Am 14. Januar geht das NOOTS live: Erste Nachweisdatenabrufe laufen über das National-Once-Only-Technical-System. Der Staatsvertrag dazu ist unterzeichnet. Damit fällt eine alte Ausrede weg: „Wir können nicht, weil die Rechtsgrundlage fehlt." Diese Tür ist zu.

Davor stehen die anderen Türen weiterhin offen. Drei verdienen den Blick.

Erstens: Der deutsche Eigenweg architektonisch. Deutschland setzt für NOOTS auf das 4-Corner-Modell – eine eigene Variante, die in dieser Form an europäische Strukturen wie OOTS angeschlossen werden muss, statt nahtlos zu integrieren. Schleswig-Holstein hat im Februar 2025 mit dem Nordic Institute for Interoperability Solutions ein Partnerschaftsabkommen für X-Road unterzeichnet – also für die seit zwei Jahrzehnten in Estland erprobte Standard-Architektur, die auch Finnland, Island und mehrere weitere Länder einsetzen. S-H baut x-road-sh.de parallel zur deutschen Linie auf. Brücken zwischen NOOTS und EU-OOTS müssen jetzt als zusätzliche Teilprojekte gebaut werden. Das kostet Zeit und Geld, das anderswo fehlt.

Wir denken methodisch noch über Architektur nach, während andere Länder ihre Once-Only-Infrastruktur seit Jahren operativ betreiben.

Zweitens: Wieder das Muster paralleler Initiativen. Schleswig-Holstein evaluiert X-Road. Der Bund macht Pilotierungsprojekte mit Nordrhein-Westfalen (D-NRW) und Baden-Württemberg (Jobcenter-Pilot). Der GovTech Campus arbeitet an Register-as-a-Service. Einzelne Fachverfahrens-Anbieter platzieren sich mit eigenen Anschluss-Lösungen für ihre Bestandskunden. Die Kommunen – am Ende der Lieferkette – werden ohne kollektive Lösung ins Rennen geschickt.

Jeder macht aktuell Registermodernisierung. Niemand fängt es ein. Das ist das gleiche Muster, das im OZG, beim Souveränen Arbeitsplatz und bei den Postfach- und Kommunikationslösungen abläuft. Föderalismus, der seine Vielfalt mit Konzept-Vielfalt verwechselt.

Drittens: Zerstückelung als Beruhigungsmittel. Registermodernisierung war als Milliardenprojekt geplant. Geliefert wird sie als eine Vielzahl von Teilprojekten in Millionen-Größenordnung. Das erhöht die Komplexität. Jedes Teilprojekt braucht eigene Steuerung, eigene Vergaben, eigenes Konsortium, eigene Schnittstellen. Der Vorteil dieser Zerstückelung ist nicht technisch – er ist politisch. Mehr Akteure bekommen ein Stück, mehr Akteure stimmen positiv. Aber die Summe der Teile ergibt nicht das Ganze, das einmal versprochen war.

Der Staatsvertrag ist ein wichtiger Schritt. Er beseitigt eine Ausrede. Er beseitigt nicht das eigentliche Problem: Dass Deutschland in der Once-Only-Frage seit Jahren über Architektur nachdenkt, während andere bereits liefern. Und dass die Liefer-Architektur, auf die wir uns festlegen, das, was anderswo läuft, nicht ablöst, sondern parallel dazu existiert.

Randnotiz: Der BMDS-Startup-Hub

Eine Bewegung des Januar verdient eine eigene Erwähnung – auch wenn sie konzeptionell noch zu früh ist für eine harte Bewertung. Das BMDS hat in einem Workshop „Agentische KI-Lösungen für die Verwaltung" Startups und kommunale Anwender:innen zusammengebracht. Daraus soll ein laufendes Format werden, das KI-fähige Fachverfahren zwischen GovTech-Startups und Bedarfsträgern brokert.

Das Format ist anschlussfähig an die Lücke, die die deutsche Verwaltungs-IT im GovTech-Ökosystem hat: Startups können das öffentliche Vergaberecht selten allein bewältigen, etablierte Integratoren können die Produkt- und Geschwindigkeitslogik junger Anbieter selten übersetzen. Wenn dieser Hub schafft, was bisher noch keine Initiative geschafft hat – Brücken aus dem Pilot-Setup in echte Produkteinsätze zu legen – wäre das eine ernsthafte Bewegung. Wenn er bei Workshop-Pilotage hängen bleibt, eine weitere Initiative im Wimmelbild.

Fazit

An Bewegung mangelt es nicht. An Definition schon. „Souveränität" trägt im Januar zu viele Bedeutungen gleichzeitig – und wer sie ernst nimmt, muss das Wort wieder mit Substanz versehen, statt es den Anbietern als Etikett zu überlassen. Beim NOOTS gilt: Der Vertrag ist da. Die Architektur, die operativ trägt, ist es noch nicht.

500 Meinungen. Kein Fundament. - E-Government im Dezember 2025.

Mon, 22 Dec 2025 16:17:28 +0200

Der Dezember 2025 fühlte sich an wie ein Sprint auf eine Ziellinie, die noch niemand genau kennt. Die Ministerpräsidentenkonferenz beschloss eine föderale Modernisierungsagenda mit über 200 Maßnahmen. Der IT-Zustimmungsvorbehalt des Bundesdigitalministeriums trat in Kraft. Die Konsultation zum Deutschland-Stack endete mit 500 Stellungnahmen. Und Govtech Deutschland legte den Nachweis vor: Cloud-Register sind rechtlich zulässig.

Klingt nach Bewegung. Klingt aber auch nach Nachholen. Als wollte man Versäumnisse von 2025 noch eben vor Weihnachten schließen.

Der Stack und das Veto: Steuerung ohne Kompass

Die 500 Stellungnahmen zur Konsultation des Deutschland-Stacks sind beeindruckend – von Bitkom über die OSBA bis zu kommunalen IT-Dienstleistern und Einzelpersonen. Ich habe selbst eine eingereicht[https://gitlab.opencode.de/dstack/d-stack-home/-/work_items/505]. Die Frage, die mich dabei begleitet hat: Wer liest das eigentlich – und mit welchem Gewicht? Nicht weil Beteiligung schlecht ist. Sondern weil eine Konsultation ohne transparenten Verarbeitungsprozess schnell zum Alibi wird.

Das Feedback in „Version 1.0 des Tech-Stacks" einfließen lassen, fertig bis Ende Januar 2026 – so lautet die Ansage des BMDS. Wie, nach welchen Kriterien und mit welcher Priorisierung: unbekannt.

Strukturell ist das Problem bekannt. Das Gitlab-Tool funktioniert für Entwicklerinnen und Entwickler. Für die 11.000 Kreise, Städte und Gemeinden, die die größte Nutzergruppe des Stacks sein werden, ist es ein fremdes Format. Der Deutsche Städte- und Gemeindebund hat das klar benannt: Kleinere Kommunen hatten keine Kapazitäten für eine technische Beteiligung. Die, die am meisten betroffen sind, kommen am wenigsten zu Wort.

Parallel dazu trat der IT-Zustimmungsvorbehalt in Kraft. Karsten Wildberger bekommt Veto-Recht über IT-Projekte anderer Bundesministerien ab 500.000 Euro pro Jahr. Die Idee ist richtig: Fünf verschiedene KI-Umgebungen in der Bundesverwaltung sind kein Zeichen von Vielfalt, sondern von koordinationslosem Einkauf. Aber das Veto ist nur so stark wie der Prüfkatalog dahinter. Ohne öffentlich bekannte Kriterien, nach denen Projekte genehmigt oder geblockt werden, ist das zunächst vor allem eines: eine Gefühlssache. Für die anderen Ministerien genauso wie für das BMDS selbst.

Cloud-Register: Technik-Zauber für schlechte Gesetze?

Der Proof of Concept von Govtech Deutschland ist das ehrlichste Stück Lieferung im Dezember. Das Ergebnis: Cloud-Register sind verfassungs- und datenschutzrechtlich zulässig, Confidential Computing macht es technisch möglich. Drei Konsortien haben die Architektur implementiert, Hogan Lovells hat sie geprüft. 💡

Und dann: Zwei von drei beteiligten Kommunen sind aus dem Konsortium ausgestiegen. Sie konnten keine virtuelle Maschine aufsetzen und keinen kryptografischen Vault verwalten. Das ist kein Scheitern – das ist eine präzise Diagnose. Die Technologie ist bereit. Die Kommunen sind es nicht. Die Antwort ist klar: „Komplett As-a-Service. Link klicken und fertig." So Govtech-Vorstand Ammar Alkassar. Das stimmt.

Trotzdem muss man die tieferliegende Frage stellen: Wie viel Technikaufwand betreiben wir gerade, um einen schlechten Status Quo abbildbar zu machen? Die Trennung der Datenzuständigkeiten und Registerführungskompetenzen ist ein juristisches Konstrukt – gewachsen aus Gesetzen, die für die analoge Welt gemacht wurden. Confidential Computing ist die technische Antwort darauf: hochkomplex, kostspielig, erklärungsbedürftig.

Was wäre, wenn man stattdessen die Grundprinzipien der Registerführung selbst anfasste? Einfachere, zentraler organisierbare Lösungen wären möglich – wenn die Gesetzgebung den Weg freimacht. Stattdessen bauen wir technische Schlösser um Paragrafen herum, die niemand anfassen will. Das ist teuer. Und es verlangsamt die NOOTS-Roadmap erheblich.

Haushalt als Verschiebebahnhof

Der Dezember endete mit einem Befund, der sich mit dem Jahresabschluss gut zusammenfasst. Das Geld für die Verwaltungsdigitalisierung ist vorhanden – nur landet es nicht dort, wo es wirken würde. Ein Kommentar auf Golem bringt es auf den Punkt: Der Bundeshaushalt 2026 nutzt das Sondervermögen, um laufende Kosten zu decken – echte Investitionen in digitale Infrastruktur bleiben aus.

ZenDiS ist das anschaulichste Beispiel für das Gegenteil: wenig Ressourcen, viel Wirkung, aber strukturell unterfinanziert. Wer openDesk als strategische Alternative zu Microsoft 365 ernstnimmt – und das sollte man, gerade jetzt, wo Microsoft seine Preise erneut anzieht – muss auch bereit sein, ZenDiS mit entsprechenden Mitteln auszustatten.

Das Muster ist nicht neu. Bekannte Löcher werden gestopft, politische Versprechen bleiben auf dem Papier. Wie sich das 2026 auflöst, wird eine der entscheidenden Fragen des Jahres.

Fazit

An Beschlüssen mangelt es nicht im Dezember 2025. An Konsequenz schon. Der Deutschland-Stack braucht keine weiteren Stellungnahmen mehr – er braucht transparente Kriterien, wie aus Feedback Architekturentscheidungen werden. Das Cloud-Register braucht keinen weiteren Proof of Concept – es braucht Gesetze, die einfachere Lösungen ermöglichen. Und der Haushalt braucht keine weiteren Verschiebebewegungen. Er braucht echte Investitionsentscheidungen.

Der Gipfel und die Milliarde - E-Government im November 2025.

Sun, 30 Nov 2025 11:57:45 +0200

Ich war in Berlin dabei. Der Summit on European Digital Sovereignty am EUREF-Campus, über 1.000 geladene Gäste, Merz und Macron Seite an Seite, Wildberger und EU-Kommissarin Virkkunen auf der Bühne. Große Bekenntnisse zur digitalen Unabhängigkeit Europas. Schöne Reden, großer Rummel. Die entscheidende Frage ließ sich auf der Bühne nicht beantworten: Was meinen wir eigentlich damit?

Vor dem Gasometer stand ein Pavillon von Microsoft – Delos-Cloud. Auf der Bühne wurde Open Source mit keinem Wort erwähnt. Und als Vorzeige-Projekt für europäische KI-Souveränität präsentierten SAP und Mistral AI ihren geplanten „ersten vollständig souveränen KI-Stack Europas" – wobei Microsoft in Mistral investiert ist und seit Jahrzehnten SAPs zentraler Infrastrukturpartner ist. Bayern zahlte in diesem Monat eine Milliarde Euro an Microsoft. Und die europäische Open-Source-Industrie veröffentlichte die „Declaration of Digital Independence" – als direkte Reaktion auf das, was in Berlin gefeiert wurde.

Zwei Definitionen von Souveränität

Die Debatte hinter den Kulissen in Berlin hat mich mehr beschäftigt als die Reden auf der Bühne.

Frankreich will Souveränität konsequent über Beschaffung umsetzen: Buy European als gelebtes Prinzip, bis in die Vergabeentscheidungen hinein – europäische Anbieter bevorzugt, Punkt. Deutschland folgt dieser Logik nicht. Wahrscheinlich kein Zufall, wenn man schaut, wer auf dem Gipfel einen Pavillon hatte.

💡 Und Open Source? Blendet diese Debatte auf beiden Seiten aus. Dabei liegt hier der eigentlich interessante Gedanke: Codeherkunft taugt nicht als Souveränitätskriterium – Open-Source-Code entsteht in globalen Communities, Entwicklerinnen aus aller Welt tragen bei. Wer das als Filter für „europäisch" nutzen will, scheitert an der Realität. Aber wo die Dienstleistungen rund um Open Source eingekauft werden – Betrieb, Implementierung, Support – das ist eine andere Frage. Und da wäre „European first" nicht nur sinnvoll, sondern würde dem hiesigen Ökosystem tatsächlich nützen.

Stattdessen läuft der Gipfel in eine andere Richtung: Startups auf der Bühne, Big Tech am Steuer. Souveränität als Marketingbegriff, besetzt von denen, die das Gegenteil davon repräsentieren. Die Declaration of Digital Independence der OSBA und ihrer europäischen Partner ist der deutlichste Versuch, diese Lücke zu benennen. Ob daraus mehr wird als ein Dokument, entscheidet sich nicht auf Gipfeln – sondern in Ausschreibungen.

Doppelstrukturen ohne Verantwortung

Parallel zum Souveränitäts-Theater läuft im November ein älteres Problem weiter durch den Institutionen-Apparat.

Die Digitalministerkonferenz traf sich am 24. November in Berlin, zwei Tage später folgte die 48. Sitzung des IT-Planungsrats in Stralsund – dieselben Themen, zwei Gremien, doppelter Personalaufwand, ungeklärtes Verhältnis zueinander. Offen wird die DMK als „Schaufenstergremium" bezeichnet. ZenDiS: Die Idee stimmt, die Umsetzung ist wackelig. Die Länderbeteiligung scheitert am Mischverwaltungsverbot – ein juristisches Konstrukt verhindert, was politisch ausdrücklich gewollt ist.

Das Grundproblem ist bekannt: Wo Zuständigkeiten unklar sind, übernimmt niemand Verantwortung. Das gilt für das Verhältnis DMK zu IT-PLR genauso wie für ZenDiS gegenüber den Ländern.

Der BMDS-Haushalt fügt sich ins Bild. 4,47 Milliarden klingen imposant – aber wenn das Sondervermögen für laufende Kosten verwendet wird und das Ministerium, das gerade den IT-Zustimmungsvorbehalt durchsetzen soll, über kein eigenes KI-Budget verfügt: Dann ist das vor allem eines: ein Scheinriese.

Fazit

November 2025 war der Monat, in dem man genauer hinschauen musste. Nicht weil besonders viel schiefgelaufen ist – sondern weil der Abstand zwischen Gipfel-Rhetorik und tatsächlichen Entscheidungen so greifbar war.

Wer trotzdem den richtigen Rahmen für echte Souveränitätsprojekte sucht – jenseits der Bekenntnisse – findet ihn nicht in Beschlüssen. Sondern in Architekturentscheidungen, Vergabekriterien und dem Mut, das Richtige zu beschaffen, auch wenn der einfachere Weg der gewohnte Anbieter ist.

Jeder weiß es. Keiner handelt. – E-Government im Oktober 2025.

Fri, 31 Oct 2025 20:17:15 +0200

Oktober 2025 war ein Monat mit zwei Gesichtern. Auf der einen Seite: Bekenntnisse, Dokumente, Websites und der wachsende Verdacht, dass das Wissen über Probleme und das Handeln dagegen zwei verschiedene Dinge sind. Auf der anderen: ein legislativer Meilenstein, auf den die Verwaltungsdigitalisierung lange gewartet hat.

Deutschland-Stack: Wimmelbild mit Frühwert

Mitte Oktober launcht das BMDS die neue Projekt-Website zum Deutschland-Stack und startet den Konsultationsprozess. Die Reaktion in der Community ist geteilt, und ehrlich.

Die Kritik ist berechtigt. „Keine Strategie, keine technische Tiefe und fehlender Mut zur echten Veränderung", schreibt Thomas Bönig, Leiter des Stuttgarter Amts für Digitalisierung, auf LinkedIn. Netzpolitik konstatiert, das Projekt bleibe „Open Source vor verschlossenen Türen". Der Tagesspiegel Background beschreibt das Informationsangebot als „Sammelsurium von Platzhaltern" (Paywall). Man kann das als Scheitern lesen.

💡 Man kann es aber auch anders einordnen: Im agilen Sinne ist frühes Veröffentlichen richtig. Eine unfertige Website schafft Druck auf den Konsultationsprozess, sie lädt zur Kritik ein, und Kritik braucht das Projekt. Wer eine fertige, glattpolierte Strategie abliefert, bekommt Zustimmung. Wer früh zeigt, was noch nicht steht, bekommt Feedback. Der D-Stack braucht das zweite.

Parallel tickt die Uhr: Die H2KI-Plattform soll bis 15. November in Hamburg stehen, nach mehreren Verspätungen, mit eingekürften Funktionalitäten. Ob der Termin hält, ist ungewiss.

Jeder weiß es. Keiner handelt.

Das Bemerkenswerteste im Oktober ist nicht neu, aber es ist jetzt schwarz auf weiß dokumentiert.

Baden-Württembergs Innenministerium räumt gegenüber Golem ein: Delos Cloud kann von der US-Regierung angewiesen werden, einen Datenabfluss in seine Software zu integrieren. Man nutzt Delos trotzdem.

Warum das relevant ist, zeigt ein Beispiel vom 31. Oktober: Der Internationale Strafgerichtshof in Den Haag gibt bekannt, von Microsoft Office auf OpenDesk zu wechseln, entwickelt von ZenDiS. Der Auslöser: Trump hatte im Februar Sanktionen gegen den ICC-Chefankläger verhängt; sein Microsoft-Konto war danach nicht mehr zugänglich. Keine Theorie, keine Risikobetrachtung. Ein konkreter Einschnitt in den laufenden Betrieb eines internationalen Gerichts.

Das Muster ist in Deutschland bekannt. Schleswig-Holsteins Digitalminister Dirk Schrödter nennt Abhängigkeiten von deutschen Hyperscalern wie Stackit im TSB-Interview (Paywall) „hochgefährlich" und handelt auch: Schleswig-Holstein ist das einzige Bundesland, das die Open-Source-Transformation konsequent umsetzt, auch ohne auf openDesk zu warten. Es gibt Reibung an der Basis, eine Legacy-Anwendung blockiert noch den Linux-Arbeitsplatz. Aber es passiert.

Dänemark, kurz: Kopenhagen und Aarhus kündigen den Abschied von Microsoft an, die Digitalministerin folgt. Der Kontext ist klar: Trump und Grönland. Konkreter geopolitischer Druck erzeugt konkrete Entscheidungen. Ein eigenes Stück dazu kommt.

NOOTS: Lieferung nach langer Wartezeit

Am 16. Oktober verabschiedet der Bundestag das Gesetz zum NOOTS-Staatsvertrag. Für die meisten ein unscheinbarer Verwaltungsakt. Für die Verwaltungsdigitalisierung: ein echter Meilenstein, auf den lange gewartet worden ist.

Das Nationale Once-Only-Technical-System schafft die rechtliche und technische Grundlage dafür, dass Behörden Daten untereinander austauschen können, einmal angegeben, nicht wieder abfragen müssen. Die praktische Bedeutung zeigen zwei konkrete Testfälle: In Baden-Württemberg läuft am selben Tag, an dem der Bundestag abstimmt, der erste erfolgreiche Datenabruf für einen Anwohnerparkausweis über das NOOTS, Fahrzeugdaten direkt vom Kraftfahrt-Bundesamt, kein Papiernachweis. In Nordrhein-Westfalen läuft der zweite Use Case: Gewerbeanmeldung via Handelsregister.

Ohne den Staatsvertrag wären diese Tests nicht weitergegangen. Jetzt sind sie Realität. Das ist der Unterschied zum Wimmelbild.

Fazit

Oktober 2025 zeigte: Wissen reicht nicht. BaWü kennt das Delos-Risiko und zieht keine Konsequenzen. Andere, ein Bundesland, ein internationaler Gerichtshof, ein skandinavisches Nachbarland, ziehen sie. Was davon ein Vorbild ist und was eine Ausnahme bleibt, entscheidet sich nicht in Websites, sondern in Beschaffungsentscheidungen.

Erst die Pressemitteilung, dann das Konzept. – September 2025 im E-Government-Rückblick.

Tue, 30 Sep 2025 20:17:15 +0200

September 2025 war ein Monat voller Startschüsse. Bundesdigitalminister Wildberger schickte seine Modernisierungsagenda in die Kabinettsklausur am Tegeler See. Bayern und Hessen wurden offiziell zu Pilotländern für Verwaltungsdigitalisierung. Und die Denkfabrik Agora Digitale Transformation legte eine Studie vor, die beschreibt, warum Bundesfördergelder digitale Projekte nicht nur nicht voranbringen, sondern manchmal aktiv blockieren.

Ankündigen geht schnell. Liefern braucht Strategie, klare Zuständigkeiten und jemanden, der Verantwortung übernimmt, wenn die Schlagzeile schon wieder woanders ist.

Wer am lautesten trommelt, wird Pilotland

Bundesdigitalminister Wildberger hatte im August angekündigt, bis Jahresende in „einigen Bundesländern" Pilotprojekte starten zu wollen. Die Länder hörten: Jetzt bewerben. Rheinland-Pfalz erklärte sich kurzerhand selbst zum „bundesweiten Pilotland für Verwaltungsdigitalisierung". Das BMDS dementierte, halb: Rheinland-Pfalz komme „zu einem späteren Zeitpunkt". Bayern trommelte lauter, bekam ebenfalls die Zusage. Ende der Woche stehen zwölf Pilotkommunen aus zwei unionsgeführten Ländern (Tagesspiegel Background, Paywall).

Das ist kein Versehen und keine Panne. Es ist ein Symptom: Wo Auswahlkriterien unklar bleiben, entscheiden Lautstärke und politische Nähe. Wo Erfolg zunehmend an Presseresonanz, Followerzahlen und Kommentaren gemessen wird, bewerben sich alle per Pressemitteilung. Wer früh im Newsletter steht, zieht nach. Wer zu leise ist, kommt „zu einem späteren Zeitpunkt".

Der Weg heraus ist nicht kompliziert: Klare Auswahlkriterien vorab, öffentlich nachlesbar. Wer als Pilotland infrage kommt, nach welchen Kriterien, und wann entschieden wird. Dann kann sich kein Land durch Medienarbeit vordrängeln. Die Auswahl wird anfechtbar, was gut ist. Unklare Prozesse erzeugen nicht weniger politischen Druck, sondern mehr. Wenn man die Kriterien vor der Kommunikation veröffentlicht, löst sich das Chaos von selbst.

Was Open Source wirklich zum Laufen bringt

September hatte zwei Open-Source-Meldungen, die zusammen mehr sagen als jede Grundsatzdebatte.

Das österreichische Bundesheer hat seine vollständige Migration von Microsoft Office auf LibreOffice abgeschlossen. Fünf Jahre, kein Rollback, rund 70.000 Nutzer, vom Stabsoffizier bis zur Verwaltungsstelle.

Gleichzeitig zeigt der Bitkom Open Source Monitor 2025: 73 Prozent der deutschen Unternehmen nutzen Open Source, Höchststand. Aber 63 Prozent ohne Strategie. Größte Bremse: Fachkräftemangel. Dahinter: unklare Gewährleistungssituationen und Lizenzunsicherheiten.

Was macht den Unterschied beim Bundesheer? Strategie, ausreichend Geld und klare Ownership: Eine Stelle ist verantwortlich, nicht alle-und-keiner. Niemand kann sich hinter unklaren Zuständigkeiten verstecken. Wenn die Migration scheitert, scheitert sie mit Namen. Genau das fehlt in vielen deutschen Verwaltungsprojekten.

💡 73 Prozent Nutzung, 37 Prozent mit Strategie. Die Lücke ist nicht das Produkt. Sie ist die Entscheidung, wer die Verantwortung trägt.

Dass Bundesdigitalminister Wildberger Ende September die Schirmherrschaft für den Open Source Wettbewerb 2025 der OSBA übernahm, ist ein Signal. Was auf das Signal folgen müsste: eine konkrete Antwort auf die Frage, wer nach der Preisverleihung die Ownership für die Gewinnerprojekte übernimmt, damit sie nicht im Schrank enden.

Hebelprojekte statt Leuchttürme: Wortschatz oder Wende?

Im August 2025 veröffentlichte die Agora Digitale Transformation das Policy Paper „Strg+C". Der Befund: Bundesförderprogramme setzen systematisch Anreize für Neuentwicklungen, nicht für Nachnutzung. Das Ergebnis sind Dutzende Digitalprojekte, die in ihrer Pilotkommune funktionieren, aber nicht skalieren. Inseln statt Infrastruktur. Leuchtturm statt Landschaft.

Zeitgleich kursiert in Berlin der Entwurf von Wildbergers Modernisierungsagenda, die das Kabinett bei seiner Klausur am Tegeler See verabschieden soll. Das Wort „Leuchtturmprojekte" taucht darin nicht mehr auf. Stattdessen: „Hebelprojekte". Das klingt besser.

Die entscheidende Frage ist, ob sich nur das Wort ändert oder auch die Auswahllogik. Ein Hebelprojekt mit denselben Förderkriterien wie ein Leuchtturmprojekt landet am gleichen Ort. Was „Hebelprojekt" strukturell bedeuten müsste: EfA-Kompatibilität als Zulassungsbedingung, nicht als Bonus. Nachnutzungspflicht von Anfang an. Und einen Betreiber, der nicht aufhört, wenn die Förderung endet.

Dass messbare Erfolgsindikatoren für Digitalpolitik weitgehend fehlen, hat Agora ebenfalls im September belegt. Ohne Messung, kein Hebel. Und ohne Hebel bleibt der Name das Einzige, was sich geändert hat.

Das wäre kein Gesetzesproblem. Das wäre ein Reihenfolge-Problem.

Fazit

September 2025 erzählte drei Geschichten mit derselben Diagnose. Pilotländer, die sich selbst ernennen, weil Auswahllogik fehlt. Open-Source-Projekte, die skalieren, wo Ownership klar ist. Förderprojekte, die versickern, weil niemand für Nachnutzung zuständig ist.

An Ankündigungen mangelt es nicht. An Verantwortung schon.

Das Bundesheer hat nach fünf Jahren gezeigt: Es geht. Zwölf neue Pilotkommunen haben jetzt die Chance, dasselbe zu beweisen. Vorausgesetzt, jemand ist für den Erfolg zuständig, wenn die nächste Pressemitteilung schon wieder woanders ist.

An Worten mangelt es nicht. An Kriterien schon. – E-Government im August 2025.

Sun, 31 Aug 2025 20:17:15 +0200

Im August hat das BMDS einen Zeitplan für den Deutschland-Stack vorgelegt: fünf Missionen, erste Ergebnisse bis Ende 2025, abgeschlossen 2028. Die OSB Alliance und 59 Mitunterzeichner haben einen offenen Brief an BSI-Präsidentin Claudia Plattner verschickt. Botschaft: Digitale Souveränität ist möglich, man müsse sie nur wollen. Und das Kabinett hat das Vergabebeschleunigungsgesetz beschlossen.

Drei starke Wörter dominierten den Sommer: „Souveränität." „Stack." „Beschleunigung." Alle drei haben dasselbe Problem: Sie kommen nicht in den Beschaffungskriterien an.

Wenn Begriffe nicht ankommen

„Digitale Souveränität" ist ein politisch nützliches Wort. Es schließt Debatten ab, ohne sie zu lösen. Denn sobald man fragt, was es in einer konkreten Ausschreibung bedeutet, also welche Anforderungen daraus folgen und welcher Anbieter damit qualifiziert oder nicht, schweigt der Begriff.

Das zeigt sich gerade an einem konkreten Beispiel: Hyperscaler-„Sovereign Cloud"-Angebote bieten keine echte Souveränität. Die strukturellen Abhängigkeiten von CLOUD Act, Drittstaaten-Jurisdiktion und Lizenz-Architektur bleiben bestehen. Trotzdem werden diese Produkte beschafft, weil niemand sagen kann, was „souverän genug" in einer Leistungsbeschreibung bedeutet.

Windows 10 läuft im Oktober 2025 aus. In Ländern, die rechtzeitig migrieren wollen, sind Fachverfahren das größte Hindernis. Anwendungen, die seit Jahren auf bestimmten Betriebssystem-Versionen festsitzen, weil niemand Exit-Kriterien in die ursprüngliche Beschaffung geschrieben hat. Das ist kein technisches Problem, das ist das Ergebnis von Beschaffungsentscheidungen ohne Ausstiegsplan.

Open Source trifft dasselbe Hindernis von der anderen Seite. Als Argument ist es zu technisch, um politisch verkaufbar zu sein. Die OSB Alliance zieht nach 100 Tagen Bundesregierung eine ernüchternde Bilanz: kein „Open Source by Default" im Vergaberecht, keine klare Priorität im D-Stack. Das Vergabebeschleunigungsgesetz enthält mehr Klauseln, aber nicht klarere Kriterien. Kommunen hatten das vor dem Beschluss deutlich gesagt (Tagesspiegel Background, Paywall).

Was fehlt, sind drei bis fünf konkrete Anforderungen, die in jede Leistungsbeschreibung passen: Offenlegung des Sourcecodes, Kontrolle über Hosting-Standort und Betreiber, Lizenz ohne Drittstaaten-Abhängigkeit, Weiterentwicklungsrecht. Das sind keine Wunschlisten. Das sind Entscheidungskriterien. Wer sie standardisiert und in Vergabeverfahren einbaut, macht aus dem Begriff eine Funktion.

Was konkret aussieht

Schleswig-Holstein hat im August angekündigt, X-Road für den behördeninternen Datenaustausch einzuführen. X-Road ist das estnische Datenaustausch-System, das Behörden direkt miteinander verbindet, ohne zentrale Plattform dazwischen. Estland nutzt es seit fast 25 Jahren, Finnland ebenfalls. Finnland steht aktuell auf Platz 1 im EU-Digitalranking. Deutschland weiter hinten.

Die Ankündigung aus Kiel hat keine große Pressekonferenz bekommen. Sie ist trotzdem präziser als alle Souveränitätsbeschlüsse des Monats zusammen.

Der Reflex, internationale Beispiele mit „das lässt sich nicht übertragen" abzublocken, stimmt und stimmt nicht. Die Frage ist nie „wie kopieren wir das?", sondern „welche Anforderung, welchen ersten Schritt können wir übersetzen?" Estland ist juristisch und strukturell anders aufgestellt. Aber die Entscheidung, Datenaustausch ohne zentrale Plattform-Abhängigkeit zu lösen, ist übertragbar. Schleswig-Holstein hat genau das entschieden.

Deutschland debattiert konzeptionell Ähnliches im NOOTS-Kontext seit Jahren. Schleswig-Holstein wartet nicht auf den bundesweiten Beschluss.

„Eine Behörde reicht. Wenn sie’s vormacht, kommt der Rest mit." Das ist kein Optimismus. Das ist Realismus.

D-Stack: Zeitplan ja, Klarheit nein

Der D-Stack-Zeitplan ist ein Fortschritt. Benannte Missionen, benannte Daten. Konkret genug, um daran gemessen zu werden.

Die Lücken sind bekannt. ZenDiS, die Einheit, die den Stack operativ bauen soll, bekommt 2,6 statt der geforderten 30 Millionen Euro. Das BMDS arbeitet an einem IT-Zustimmungsvorbehalt, der je nach Ausgestaltung 3,5 bis 12 Milliarden Euro Bundesausgaben erfassen könnte, ohne dass die Governance-Struktur dahinter steht (Tagesspiegel Background, Paywall).

Und dann ist da das GovStack-Paradox: Deutschland hat über das BMZ in den vergangenen Jahren einen Tech-Stack für 25 andere Länder entwickelt und exportiert. Für sich selbst baut es einen anderen. Das ist keine Kritik, aber es ist eine offene Frage. Wer anderen erklärt, wie ein guter Stack aussieht, sollte beantworten können, warum er selbst einen anderen braucht.

Geld und Zuständigkeit entscheiden, ob der D-Stack in zwei Jahren ein nutzbares Portfolio hat oder ein gut dokumentiertes Versprechen bleibt. Weder das eine noch das andere ist im August geklärt worden.

Fazit

August 2025 in einem Satz: An starken Begriffen mangelt es nicht. An Beschaffungskriterien schon. Und an Ländern, die einfach anfangen, auch.

Zehn Jahre. Drei Gremien. Kein Durchgriff. Juli 2025 im E-Government-Rückblick.

Thu, 31 Jul 2025 20:17:15 +0200

Der Bundesrechnungshof hat dem Haushaltsausschuss des Bundestages Anfang Juli einen Bericht zur zentralen IT des Bundes (Tagesspiegel Background, Paywall) vorgelegt: zehn Jahre IT-Konsolidierung, drei parallele Gremien, Einstimmigkeitsprinzip in zwei davon, Parallelentwicklungen trotz Zentralstellenmandat. Gleichzeitig erscheint auf Golem eine nüchterne Analyse: Open Source hat im Bund keine Lobby. Und Microsoft sperrt das Konto eines LibreOffice-Entwicklers. Ohne Vorwarnung, ohne Erklärung.

Das neue Digitalministerium verwaltet unterdessen Haushaltsmittel für Registermodernisierung, EUDI-Wallet, Deutschland-ID. Und erbt eine Entscheidungsarchitektur, die Entscheidungen systematisch verlangsamt.

Klingt nach Handlungsdruck. Klingt aber auch nach einer Frage, die zu selten laut gestellt wird: Welches der geerbten Probleme kann Wildberger eigentlich lösen?

Eine Erbschaft, die niemand freiwillig angetreten hätte

Der Bundesrechnungshof-Bericht ist kein Skandal. Er ist die Dokumentation des Offensichtlichen. Das Einstimmigkeitsprinzip im IT-Rat und im Lenkungsausschuss IT-Konsolidierung lähmt Entscheidungen. Das CIO Board konnte sich nicht einigen, Haushaltsmittel für ein simples Planungstool bereitzustellen. Einzelbeschaffungen gehen weiter an der Zentralstelle IT-Beschaffung vorbei. Fast die Hälfte der Bundesbehörden erfüllt die Sicherheitsanforderungen für die Netze des Bundes nicht vollständig. Sanktionsmöglichkeiten: keine.

Das alles übergibt die Bundesregierung nun an das BMDS. Auftrag laut BMI und BMF: eine „Neujustierung der IT-Steuerung mit Durchgriffsrechten" vornehmen. Was klingt wie Ermächtigung, ist in Wirklichkeit die Umschreibung einer offenen Rechnung, die zehn Jahre kein Haus bezahlen wollte.

Für Wildberger ergibt sich daraus ein klares Bild: Hier gibt es keinen schnellen Erfolg zu holen. IT-Konsolidierung ist Verwaltungspolitik auf Sicht, kein Gewinnerthema für ein neues Ministerium in seiner ersten Legislatur. Wer das zum Leuchtturmprojekt erklärt, läuft in eine strukturelle Falle.

Der eigentliche Hebel liegt nicht in einem weiteren Reorganisationserlass. Er liegt in einer schlichten Änderung der Gremien-Geschäftsordnungen: weg vom Einstimmigkeitsprinzip, hin zu qualifizierten Mehrheitsentscheidungen. Das wäre kein Gesetzesproblem, das wäre ein Reihenfolge-Problem. Und es wäre der erste Schritt, den man in dieser Legislatur tatsächlich sehen könnte.

Open Source braucht keine Lobby. Sondern Beschaffungsentscheidungen.

Die Golem-Analyse zur fehlenden Lobby ist ehrlich. Aber sie trifft die falsche Stelle.

Open Source hat im Bund keine strukturelle Verankerung in der Beschaffung. Nicht in den Ausschreibungsvorlagen, nicht als Muss-Kriterium, nicht in den Bewertungsmatrizen. Solange Open Source als Option behandelt wird statt als Anforderung, wird die Lobby-Frage nie beantwortet sein.

Der Microsoft-Vorfall mit dem LibreOffice-Entwickler erzählt das in einem Bild: Jemand, der aktiv an der Open-Source-Alternative zu Microsoft Office arbeitet, verliert seinen Infrastrukturzugang bei Microsoft. Ohne Vorwarnung. Das ist kein Datenschutzproblem. Das ist eine Infrastrukturabhängigkeit, die niemand bewusst gewählt hat, weil niemand bis zu diesem Punkt gefragt hat: Auf wessen Infrastruktur laufen eigentlich unsere Alternativen?

Die Delos Cloud ist das aktuell anschaulichste Beispiel für diese Spannung. Hessen steht als erster Interessent bereit, die ersten Azure Foundational Services sollen im dritten Quartal 2025 verfügbar sein (Tagesspiegel Background, Paywall), Office 365 Ende des Jahres. Aber die Rechenzentren gehören noch Microsoft. Der Eigentumsübergang ist für 2026 geplant. Das ist kein Einwand gegen Delos, es ist eine Erinnerung daran, wie lang der Weg noch ist, wenn man Souveränität in Infrastruktur-Eigentum messen will.

💡 ZenDiS ist das richtige institutionelle Instrument für Open Source in der Verwaltung. Aber ohne Beschaffungsrichtlinien, die Open Source priorisieren statt optionalisieren, und ohne politischen Rückenwind, der sich in Haushaltsmitteln ausdrückt, bleibt es eine gut gemeinte Initiative ohne Skalierungslogik.

Geld für Register, Komplexität im System

Der Kabinettsentwurf für den Bundeshaushalt 2026 (Tagesspiegel Background, Paywall) sieht 194 Millionen Euro für die Registermodernisierung vor, dazu über 250 Millionen für die Deutschland-ID und 162 Millionen für die EUDI-Wallet. Das Geld ist da.

Eine Golem-Analyse zur Registermodernisierung zeigt die Lücke: Schneller Start beim Umzug in ein neues Bundesland? Theoretisch ja. Praktisch entstehen neue Komplexitäten, sobald die EU-Sicherheitsarchitektur zwischen den beteiligten Registern ins Spiel kommt. Das bekannte Muster: Warum muss ich dem Staat Daten geben, die er schon hat? Die Antwort liegt nicht in mehr Haushaltsmitteln, die sind vorhanden. Sie liegt in der Bereitschaft, Registerführungskompetenzen zu entflechten, statt technische Schichten über bestehende Strukturen zu bauen.

Daneben: Die „Initiative für einen handlungsfähigen Staat" unter Schirmherrschaft von Bundespräsident Steinmeier legt im Juli einen 160-seitigen Abschlussbericht mit 35 Forderungen vor. Experimentierklauseln, Zuständigkeitsentflechtung, zentrale Dienstleistungsplattformen. Zehn Jahre Horizont. Gut diagnostiziert. Aber ohne konkreten ersten Schritt bleibt auch der beste Bericht Papier.

Fazit

Juli 2025 in zwei Sätzen: Das BMDS erbt Baustellen, keine Blaupausen. Wer im Herbst über Wildberger urteilen will, sollte nicht fragen, was er plant, sondern welche seiner Erbschaften er als erstes ablegt.

Das Gegenbeispiel kommt aus Nürnberg. Juni 2025 im E-Government-Rückblick.

Mon, 30 Jun 2025 20:00:00 +0200

Das Bundesministerium für Digitales und Staatsmodernisierung startete seine ersten Wochen mit einem Kabinettsrang vor dem Verkehrsministerium, einem geliehenen Autohaus-Showroom als Besprechungsraum und drei Diensthandys für Staatssekretär Markus Richter – je eines aus dem Innen-, Verkehrs- und Finanzministerium. Mitte Juni veröffentlichte das Haus ein erstes Organigramm (Tagesspiegel Background, Paywall): „Version 0.1", so Richter intern, „eine Version, die uns zunächst Orientierung bietet." Kein eigener Etat für 2025, rund 500 Mitarbeitende formal noch bei ihren Herkunftshäusern. Gleichzeitig reservierte der Haushaltsentwurf 2025 1,6 Milliarden Euro aus dem Sondervermögen Infrastruktur für zentrale Digitalprojekte: 263 Millionen für die Registermodernisierung, 243 Millionen für das Bürgerkonto, 131 Millionen für die EUDI-Wallet.

Wer in diesem Monat mit konkreter Verwaltungsdigitalisierung überraschte, saß nicht in der Englischen Straße 30 in Berlin-Charlottenburg.

Struktur kommt zuletzt

Ein Ministerium aus sechs Vorläufern zusammenzuziehen ist kein bürokratischer Routinevorgang. Das BMDS war im Juni nicht einmal fertig beschriftet – am Eingang begrüßte die Plakette des Bundesinnenministeriums. Trotzdem produzierte das Haus innerhalb der ersten Wochen zwei Gesetze: das NOOTS-Gesetz, das die rechtliche Grundlage für behördenübergreifenden Datenaustausch legt, und das Glasfaserprivileg, mit dem der Breitbandausbau ins „überragende öffentliche Interesse" gehoben und damit Genehmigungsverfahren beschleunigt werden. Das ist politischer Produktionsbetrieb unter Baustellenbedingungen. Und es zeigt, was geht, wenn der politische Wille da ist.

Was das Organigramm darüber hinaus sichtbar macht: Der Deutschland-Stack bekommt eine eigene Abteilung, mit zwei Unterabteilungen für staatliche Infrastruktur und digitale Dienste. Organisatorisch mehr als eine symbolische Geste. Die Frage, ob dieser Stack eine echte Architekturentscheidung wird oder ein weiteres Sammelbecken für bestehende Initiativen, ließ sich im Juni noch nicht beantworten – das Team sollte bis Ende des Monats die Weichen stellen, ein ambitionierter Zeitplan für ein Vorhaben, das Bund, Länder und Kommunen verbinden soll.

Der eigentliche Hebel des Digitalministeriums liegt woanders: im Zustimmungsvorbehalt über IT-Ausgaben der Bundesverwaltung. Wenn das BMDS dieses Instrument konsequent nutzt, als echtes Entscheidungsfilter und nicht als weitere Koordinationsebene, entscheidet sich dort, ob der Stack eine technische Plattform wird oder ein politisches Label. Welche laufenden IT-Projekte werden auf Stack-Kompatibilität geprüft? Welche Ausschreibungen kommen nicht durch? Das sind die Fragen, die im Herbst Antworten brauchen.

Den Kontext dafür liefert der Markt selbst: Microsofts Ausgaben des Bundes für Softwarelizenzen sind 2024 deutlich gestiegen – Digitalisierung kostet zunächst mehr, nicht weniger, das ist ehrlich. Problematisch wird es, wenn die höheren Ausgaben in tiefere Abhängigkeit fließen, statt in Wahlfreiheit. Microsoft umwarb im Juni europäische Kunden aktiv mit seiner Sovereign-Cloud-Architektur. Deutschland und Frankreich vereinbarten höheres Tempo beim Aufbau europäischer Cloud-Plattformen. Beides zeigt, wohin sich die Debatte bewegt. Was noch fehlt: ein klares Signal des BMDS, welche Standards ein „souveräner" IT-Einkauf des Bundes künftig erfüllen muss – konkret, nicht als Grundsatzpapier.

Was die BA gerade macht

Während das Ministerium seine Organigramm-Version 0.1 kursieren ließ, gab BA-Chefin Andrea Nahles ein Interview über Multi-Cloud, Once-Only und Aleph Alpha (Tagesspiegel Background, Paywall), das im Fachkreis wenig Aufsehen erzeugte – das aber zeigt, wie Verwaltungsmodernisierung aussieht, wenn man sie operativ ernst nimmt.

Die Bundesagentur für Arbeit betreibt seit April einen Cloud-Broker-Rahmenvertrag über den sieben Anbieter abrufbar sind: amerikanische Hyperscaler und europäische Alternativen, ohne Abnahmeverpflichtung, ohne Mono-Strategie. Die zentralen Auszahlungssysteme ziehen 2025 in die SAP-Cloud-Umgebung. Nahles’ Begründung: Rechenzentrumskapazitäten freiräumen, um KI-Anwendungen mit sensiblen Daten weiterhin im eigenen Haus betreiben zu können. Das ist keine Widerspruch-Logik, das ist Architekturdisziplin: Cloudnutzung dort, wo es sinnvoll ist, Eigenregie dort, wo es darauf ankommt.

Beim Once-Only-Prinzip ist die BA als Pilotbehörde konkret unterwegs: Datenaustausch mit dem Bundeszentralamt für Steuern, Anbindung an das Bremer Datenschutzcockpit, vorausgefüllte Anträge. Nicht als Konzeptpapier, sondern als laufende Implementierung. Bremen hatte im selben Monat gezeigt, was Once-Only technisch voraussetzt (Tagesspiegel Background, Paywall): aufgeräumte Datenbestände. Wer seine Register nicht kennt, kann sie nicht teilen. Die BA kennt sie.

💡 Der Unterschied zwischen „wir arbeiten an Once-Only" und „wir tun Once-Only" ist ein aufgeräumtes Datenmodell. Wer da noch nicht angefangen hat, sollte nicht auf den Stack warten.

Und dann ist da noch die KI-Entscheidung. Die BA hat 2024 einen Rahmenvertrag über 19 Millionen Euro mit Aleph Alpha abgeschlossen, entwickelt gemeinsam einen internen Wissens-Assistenten namens „Bakira" und hat laut Nahles 21 KI-Anwendungsfälle aktiv, bis Ende 2025 sollen es über 30 sein. Was hier funktioniert, hat einen strukturellen Grund: Die BA verfügt über einen eigenen Technologie-Stack, der diese Integrationen trägt. Und sie hat eine Führung, die KI nicht als Kommunikationsbotschaft, sondern als Infrastrukturkomponente begreift.

Das ist kein Anlass zur Übertragung eins zu eins. Die BA ist ein Einzelakteur mit klaren Zuständigkeiten, eigenem Haushalt und einem internen IT-Dienstleister. Föderale Verwaltungsdigitalisierung ist strukturell anders. Aber das Muster ist übersetzbar: Erst die Datengrundlage, dann der Datenaustausch. Erst ein Anwendungsfall liefern, dann den nächsten bauen. Wenn eine Behörde es vormacht, kommen andere mit, schneller als es jede Bundesvereinbarung erzwingen könnte.

Fazit

Juni 2025: Das Digitalministerium entsteht. Der Deutschland-Stack bekommt eine Heimat im Organigramm. Die Milliarden aus dem Sondervermögen sind reserviert. Was noch fehlt, hat die BA schon: ein Architekturverständnis, das entscheidet, was reingehört und was nicht, und die Bereitschaft, mit einem konkreten ersten Schritt anzufangen.

Neue Zuständigkeit ist kein neues Ergebnis. Der erste echte Test für das BMDS wird nicht die nächste Agenda-Veröffentlichung sein, sondern die erste IT-Ausgabe einer Bundesbehörde, die es ablehnt.

Wildberger hat sechs Ministerien. Trump hat den Schlüssel zur Cloud. – Mai 2025 im E-Government-Rückblick.

Sat, 31 May 2025 20:00:00 +0200

Am 7. Mai 2025 vereidigt Bundeskanzler Friedrich Merz sein Kabinett. Das neue Bundesministerium für Digitales und Staatsmodernisierung (BMDS) unter Karsten Wildberger bündelt Kompetenzen aus sechs Ministerien: OZG, Staatsmodernisierung, IT-Beschaffung, das ITZBund, die strategische Vorausschau. Mehr stand noch nie unter einem digitalpolitischen Dach. In derselben Woche wird bekannt, dass Microsoft das E-Mail-Konto des Chefanklägers am Internationalen Strafgerichtshof (IStGH), Karim Khan, gesperrt hat, weil die Trump-Regierung Sanktionen gegen ihn verhängt hatte (Tagesspiegel Background, Paywall).

Klingt nach Zufall. Ist keiner. Der Mai zeigt an zwei Schauplätzen gleichzeitig, was Verwaltungsdigitalisierung 2025 bedeutet.

Das Ministerium, das ITZBund und die erste Machtfrage

Der Zuschnitt des BMDS ist ein echter Schritt. Markus Richter, bisheriger Bundes-CIO, bleibt als Staatssekretär, was operative Kontinuität sichert. Der Deutschland-Stack steht im Koalitionsvertrag. Und erstmals liegt die Zuständigkeit für souveräne Cloud, IT-Beschaffung und Verwaltungsdigitalisierung in einer Hand.

Dann, fast unmittelbar: Das Bundesfinanzministerium will das ITZBund nicht abgeben (Tagesspiegel Background, Paywall). Das ITZBund ist der IT-Dienstleister des Bundes mit Milliardenbudget. Ohne ihn ist das BMDS ein Ministerium mit Papier-Kompetenz, aber ohne operativen Hebel. Der Streit ist in der ersten Woche bereits da.

Das ist kein Betriebsunfall. Wer Haushalt und operative IT trennt, bekommt immer dieselbe Reibung. Der Schritt, der den Streit auflöst, ist nicht ein weiteres Abstimmungsgespräch, sondern eine klare politische Entscheidung: Wer am Ende entscheidet, BMDS oder BMF. Eine halbe Lösung kostet mehr als gar keine.

Parallel beginnt die Diskussion um den Deutschland-Stack, und sie beginnt so, wie solche Diskussionen in Deutschland beginnen: mit vielen Beteiligten, die alle etwas darin sehen wollen, und wenig Klarheit darüber, was der Stack eigentlich nicht enthält. Euro Stack, GovStack, Deutschland-Architektur: Die Begriffe kursieren parallel. Der IT-Planungsrat hat das Thema auf der Agenda, konkrete Beschlüsse gibt es noch nicht. Das ist der Moment, in dem Präzision mehr wert ist als Tempo. Ein Stack, der alles aufnimmt, ist keine Plattform. Er ist ein Verbund mit neuem Logo.

Was Karim Khans E-Mail-Konto mit dem Deutschland-Stack zu tun hat

Peter Ganten, Vorstandsvorsitzender der Open Source Business Alliance, nennt den IStGH-Fall einen „Weckruf für alle, die für die sichere Verfügbarkeit staatlicher und privater IT- und Kommunikationsinfrastrukturen verantwortlich sind" (Tagesspiegel Background, Paywall). Achim Weiß, CEO von Ionos, zieht die Konsequenz direkt: „Wenn Trump uns morgen die digitale Infrastruktur abdreht, sitzen wir auf dem Trockenen." Das ist kein hypothetisches Szenario mehr. Das ist der Mai 2025.

Die europäische Antwort auf genau diese Frage sollte Gaia-X sein. Fünf Jahre nach dem Start ist die Bilanz nüchtern (Tagesspiegel Background, Paywall): Standardisierungsfortschritte, einige frustrierte Unternehmen, kein handfestes Alternativangebot zu US-Hyperscalern. Die Idee war richtig. Die Umsetzung litt daran, dass zu viele Akteure zu viel auf einmal wollten, ohne dass irgendjemand die Entscheidung über Prioritäten hatte. Auch das ist ein Strukturproblem, kein Pech.

Was konkret hilft, zeigt sich ebenfalls im Mai: Die Schwarz Gruppe will mit ihrer Cloud-Tochter StackIT und SAP zum deutschen Hyperscaler werden. Wildberger war beim Start dabei. Das ist der andere Weg: Ein Unternehmen investiert in echte Infrastruktur, statt auf ein Konsortium zu warten. Kein Prozess, keine Taskforce. Einfach bauen.

Souveränität entscheidet sich nicht in Gipfelreden. Sie entscheidet sich in Beschaffungsentscheidungen. Jede Bundesbehörde, die heute einen europäischen Anbieter wählt, baut an der Antwort auf den IStGH-Fall. Das BMDS hat dafür jetzt die Zuständigkeit. Das ist keine Kleinigkeit.

Logineo und die Kosten der falschen Reihenfolge

Nordrhein-Westfalens Schulplattform Logineo steht vor dem Aus (Tagesspiegel Background, Paywall). T-Systems hat die Verträge gekündigt. Das Projekt existiert seit 2015, hat rund 200 Millionen Euro verschlungen und etwa 3.000 der 5.400 NRW-Schulen angebunden. Es scheitert nicht an fehlendem Budget, sondern an einer Architektur, die beim Start nicht nachnutzbar war und auf Technik setzte, die schon damals veraltet war.

Kritiker bringen es auf den Punkt: keine abgestimmte Strategie, keine Wiederverwendbarkeit, keine Einbindung der Schulträger. Das ist das Ergebnis, wenn die Reihenfolge falsch ist: erst entwickeln, dann fragen, was gebraucht wird.

Was hilft? Nicht das nächste Leuchtturmprojekt. Förderung, die Nachnutzung belohnt statt Innovation erzwingt. Die Agora Digitale Transformation empfiehlt im Mai genau das: Förderprogramme so umbauen, dass Kommunen für die Übernahme bewährter Lösungen gefördert werden, nicht für die Eigenentwicklung der nächsten Plattform. Der Weg ist nicht neu. Er wird nur nicht genommen.

Immerhin zwei konstruktive Signale aus dem Ökosystem: Google hat im Streit mit Nextcloud nachgegeben und gibt der App wieder volle Dateizugriffsrechte zurück. Und Wildberger bekannte sich auf der re:publica öffentlich zu Open-Source-Software, begleitet von erkennbarem Applaus. Beides sind noch keine Strategien. Aber es sind Signale, dass die Richtung stimmt.

Fazit

Der Mai 2025 ist der Monat des institutionellen Aufbruchs. Das BMDS ist real, die Kompetenz gebündelt, der Wille erkennbar. Und gleichzeitig: Die strukturellen Probleme treten ab Tag zwei in voller Schärfe auf. Der ITZBund-Streit ist ein Vorgeschmack. Der Deutschland-Stack ist noch eine Fläche ohne Kontur. Und der IStGH-Fall zeigt, dass die Welt auf keine Roadmap wartet.

An Kompetenzen mangelt es jetzt nicht mehr. An Entscheidungen schon.

Das Versprechen und die Entlassung. April 2025 im E-Government-Rückblick.

Wed, 30 Apr 2025 20:00:00 +0200

Am 9. April 2025 präsentierten CDU, CSU und SPD ihren Koalitionsvertrag. 144 Seiten, Titel: „Verantwortung für Deutschland." Digitale Souveränität steht weit vorne. Open Source soll mit „ambitionierten Zielen" vorangebracht werden. Das Zentrum für Digitale Souveränität (ZenDiS) wird namentlich als Träger genannt, ebenso wie die Sovereign Tech Agency und SPRIND. Am selben Tag beschloss das Bundesinnenministerium, ZenDiS-Geschäftsführerin Jutta Horstmann abzuberufen.

Das ist keine schlechte Koordination. Das ist die Diagnose.

Ambitionierte Ziele, vakante Strategie

Was der Koalitionsvertrag zu Open Source sagt, ist inhaltlich das Richtige: offene Schnittstellen, offene Standards, das IT-Budget strategisch ausrichten. Was fehlt, ist die Verbindlichkeit. Das von der SPD angestrebte 50-Prozent-Ziel für Open Source in der Beschaffung blieb draußen. Ein Digitalbudget fehlt ebenso. Alle Vorhaben stehen unter Finanzierungsvorbehalt. „Ambitionierte Ziele" ist eine Formel, die man ohne Konsequenzen stehen lassen kann.

Horstmann war dabei nicht irgendeine Managerin. Die Linux-Expertin und Politikwissenschaftlerin hatte das ZenDiS seit Oktober 2024 strategisch aufgestellt, Kooperationen mit Frankreich und den Niederlanden aufgebaut und openDesk als Plattform sichtbar gemacht. Das BMI begründete ihre Abberufung lapidar mit der „Bündelung von Prozessen und Kompetenzen." Die Formulierung erklärt nichts. Was bleibt, ist die von netzpolitik.org beschriebene Sorge, dass das ZenDiS zur Vertriebsorganisation wird: Produkte in die Breite bringen, Umsatz erzielen, die strategische Open-Source-Mission auf der Strecke lassen.

Das Muster ist nicht neu. Deutschland gründet Institutionen für digitale Souveränität, stattet sie mit Mandat und Sichtbarkeit aus und löst dann die Personalentscheidungen davon ab, wer das Mandat eigentlich trägt. Der IT-Planungsrat hat das ZenDiS 2021 erdacht, weil die Abhängigkeit der öffentlichen Verwaltung von US-Tech-Konzernen Informationssicherheit und Innovationsfähigkeit gefährdet. Ob das ZenDiS dieses Mandat unter neuer Führung noch verkörpert, ist offen.

Was würde helfen? Das geplante Digitalministerium könnte die strategische Rolle des ZenDiS verbindlich machen: konkrete Open-Source-Anteile im IT-Budget, Reporting-Pflichten, und die Einbindung der Bundesländer als Mitgesellschafter, die das BMI seit drei Jahren verschleppt. Ambitionierte Ziele brauchen Träger. Wer den Träger schwächt, schwächt das Ziel.

💡 Das 50-Prozent-Ziel wäre gar nicht nötig gewesen. Ein klares Anteilsziel von 20 Prozent für Open Source bei Bundesbeschaffungen, verbindlich und reportingpflichtig, hätte mehr Wirkung als jede Sonntagsformel.

Was trotzdem geliefert wird

Das ZenDiS selbst lieferte im April einen konkreten Beleg: openDesk kommt zur Bundeswehr. Die MS-Office-Alternative wird künftig in den deutschen Streitkräften eingesetzt. Kein Pilotprojekt, kein Memorandum. Ein geschlossener Vertrag. Open Source im Sicherheitsbereich, mit echten Anforderungen an Verfügbarkeit und Datenschutz. Das ist der Beweis, dass das Betriebsmodell funktioniert, auch wenn das Strategiekapitel gerade vakant ist.

Gleichzeitig erzeugt Donald Trumps Handelskrieg einen Marktdruck, den keine Kampagne hätte besser herbeireden können. Europäische Software-Anbieter melden deutlich gestiegene Anfragen. Die Abhängigkeit von US-Clouds ist nicht mehr akademisch: Das Bundesinnenministerium warnte im April explizit davor, dass ein Kollaps des EU-US Data Privacy Frameworks den Einsatz amerikanischer Cloud-Dienste für die Verwaltung faktisch unmöglich machen würde.

Das öffnet ein Fenster. Die Frage ist, ob die Verwaltung vorbereitet ist, es zu nutzen. Die Antwort aus der Praxis ist ernüchternd: Die Kosten für Clouddienste beim Bund werden laut einer Golem-Analyse massiv unterschätzt, weil Betriebskosten, Skalierungseffekte und Migrationsaufwände im Beschaffungsmodell kaum abgebildet sind. Wer jetzt in Alternativen investieren will, braucht zuerst einen realistischen Blick darauf, was der Status quo eigentlich kostet.

Bei der Registermodernisierung ist derweil eine pragmatische Idee in Bewegung: Cloud-Register. Die FITKO arbeitet an einem Konzept, das die dezentrale Registerlandschaft grundlegend verändern soll. Tausende Kommunen führen heute ihre Register lokal, viele auf eigenen Servern mit eingeschränkten Betriebszeiten. Der Koalitionsvertrag will Bundesregister auf „souveränen Cloud-Plattformen" zentralisieren. Welche Plattformen das sein sollen und was „souverän" in diesem Kontext konkret bedeutet: offen. Aber die Richtung stimmt. Und das NOOTS-System, das Register miteinander vernetzen soll, braucht genau diese Infrastruktur-Vereinheitlichung als Voraussetzung.

Das Ministerium und das Wimmelbild

Ende April wurde bekannt, was viele überrascht hat: Karsten Wildberger, bisheriger CEO von MediaMarktSaturn, soll erster Bundesdigitalminister werden. Kein Public-Administration-Hintergrund, kein explizites Open-Source-Profil, dafür Erfahrung in der Digitaltransformation eines komplexen Handelsunternehmens mit Filialnetz, Legacy-IT und Personaldruck.

Ob das reicht, ist die falsche Frage. Die richtige: Mit welchem Unterbau startet das Ministerium? Der Bitkom hat ein Papier vorgelegt, das eine koordinierende Einheit vorschlägt, die ZenDiS, Zentralstelle IT-Beschaffung, Digital Service und andere als „Spinne im Netz" zusammenführt. Das Prinzip klingt vernünftig. Die Gefahr ist dieselbe, die sich bei jedem neuen Koordinationsmechanismus in der föderalen IT zeigt: ein weiterer Layer, der das Wimmelbild unübersichtlicher macht, statt es zu vereinfachen. Der Bitkom formuliert das selbst: Die neue Einheit dürfe „das Wimmelbild nicht unübersichtlicher machen." Dass man das explizit hinschreiben muss, sagt alles über das Ausgangsproblem.

Der erste sichtbare Beweis für ein funktionierendes Digitalministerium wäre deshalb kein neues Konzeptpapier. Er wäre die Benennung dessen, was künftig nicht mehr parallel weiterläuft. Welche Förderlinien auslaufen. Welche Institutionen zusammengehen. Welche Verträge nicht verlängert werden. Reduktion ist die Funktion, nicht die Schwäche.

Fazit

April 2025 in zwei Sätzen: Der Koalitionsvertrag hat Open Source zur Staatsaufgabe erklärt. Das BMI hat am selben Tag die Person entlassen, die dafür am besten qualifiziert war.

An Absichtserklärungen mangelt es nicht. An messbaren Zielen, institutioneller Kontinuität und dem Mut zur Reduktion schon.

500 Milliarden, 0,5 Prozent. März 2025 im E-Government-Rückblick.

Mon, 31 Mar 2025 20:00:00 +0200

Am 12. März startete die Deutsche Verwaltungscloud (DVC) in den Produktivbetrieb. Ina-Maria Ulbrich, Vorsitzende des IT-Planungsrats, sprach von einem „Meilenstein für die digitale Souveränität". In den Koalitionsverhandlungen zwischen CDU/CSU und SPD kursierte zeitgleich ein Zwischenstand der AG Digitales, der Deutschland-Stack, Once-Only und eine mögliche „Deutsche Digitalservice Einheit" skizzierte – und beim Thema Open Source eine auffällige Leerstelle hinterließ. Der Bundestag verabschiedete außerdem mit der alten Mehrheit das Sondervermögen Infrastruktur über 500 Milliarden Euro. Digitalisierung soll einen Teil davon bekommen. Wie viel: offen.

März 2025 ist der Monat vor dem Neustart. Was er zeigt, ist lehrreich.

Die DVC ist live. Die Frage bleibt offen.

Der Produktivstart der Deutschen Verwaltungscloud ist tatsächlich ein Fortschritt. Vier Jahre nach dem Beschluss des IT-Planungsrats zur Stärkung der digitalen Souveränität steht ein Marktplatz für Cloud-Dienste, über den Bund, Länder und Kommunen Angebote verschiedener Anbieter flexibel abrufen können sollen. Das ist keine Selbstverständlichkeit im föderalen Betrieb. Ein funktionierender Marktplatz, der Anbieterwechsel strukturell ermöglicht, ist genau das Instrument, das verhindert, dass eine Cloud-Entscheidung zur Einbahnstraße wird.

Die offene Frage, die der Start nicht beantwortet: Was ist hier eigentlich souverän? Netzpolitik hat sie gestellt und die Antwort der Bundesregierung analysiert. Die IT-Planungsrats-Definition von „Souveränität" schließt Vendor-Lock-in-Vermeidung explizit nicht ein. Eine Exit-Strategie gilt als Kann-Bedingung, nicht als Muss. Und die Integration proprietärer Angebote, etwa über sogenannte Integratoren, die Microsoft-Dienste nach DVC-Standards konfigurieren, ist ausdrücklich vorgesehen.

Das ist das bekannte Muster: Man nennt einen Rahmen souverän, weil er technisch in Deutschland betrieben wird – nicht, weil man ihn verlassen könnte. Die Delos-Cloud-Debatte der Vorjahre zeigt, wohin das führt: Microsoft bleibt, der Standort wechselt. Das ist kein Souveränitätsgewinn, das ist ein Repositionierungsgewinn für Anbieter, die das Narrativ übernehmen.

Der Weg wäre ein anderer: Die DVC-Finanzierungsentscheidung, die der IT-Planungsrat im März in Hannover traf, hätte der richtige Moment gewesen, Souveränität als Vertragsanforderung zu verankern – mit konkreten Interoperabilitätsstandards, die Open-Source-Basis voraussetzen, und einer Exit-Strategie, die als Mindestanforderung gilt, nicht als Bonus. Schleswig-Holstein hat diesen Anspruch bereits formuliert: Wer keine Exit-Option hat, hat keine Souveränität. Das ist kein Purismus, das ist Beschaffungshygiene.

0,5 Prozent – und 50 sollen es werden

Das andere Bild des März stammt aus den Koalitionsverhandlungen. Die OSB Alliance analysiert den Zwischenstand der AG Digitales und benennt, was zwischen den Zeilen steht: Der Open-Source-Anteil an den Bundesausgaben für Software-Entwicklung und Dienstleistungen lag in der vergangenen Legislaturperiode bei etwa 0,5 Prozent des Gesamthaushalts. Die SPD will diesen Anteil bis 2029 auf 50 Prozent heben. Die CDU will „ambitionierte Zielmarken definieren". Das klingt nach einer inhaltlichen Differenz. Es ist eine kategoriale: eine Seite beschreibt eine Marke, die andere beschreibt einen Prozess.

Zum Kontext: Der Bund hat Rahmenverträge über 4,8 Milliarden Euro mit Oracle abgeschlossen. Für Microsoft-Lizenzen und Schulungen wurden 1,3 Milliarden Euro vertraglich gebunden. Das ZenDiS-Budget, das genau die Open-Source-Alternative aufbauen soll, wurde im Haushalt 2024 von knapp 50 Millionen Euro auf 24,7 Millionen Euro halbiert. Wer in dieser Ausgangslage nur „Zielmarken definieren" will, ohne Institutionen, Budgets und Zeitrahmen zu benennen, beschreibt keine Digitalpolitik, er beschreibt eine Absichtserklärung.

Was fehlt, ist das, was die DMK in ihrer Sondersitzung Ende März als Kernbedingung formuliert (Tagesspiegel Background, Paywall): ein zentrales Digitalbudget mit echten Durchgriffsrechten. Nicht als Schönheitsoperation für das Organigramm, sondern als haushaltliche Steuerungsfunktion. Wer das IT-Budget der Bundesverwaltung nicht genehmigen muss, kann den Open-Source-Anteil nicht steuern. Das ist kein Politikproblem, das ist ein Mechanikproblem.

💡 Der Unterschied zwischen 0,5 und 50 Prozent lässt sich nicht durch Zielmarken schließen. Er lässt sich durch Rahmenvertragslogik schließen: Wer die nächsten Bundesrahmenverträge schreibt, entscheidet über die Ausgangslage in vier Jahren.

Das wäre kein Gesetzgebungsproblem. Das wäre eine Beschaffungsentscheidung, die ein Digitalministerium mit Digitalbudget treffen kann – wenn es den Willen dazu hat und die Mandat-Klarheit bekommt, die im März noch nicht existierte. Die Agora Digitale Transformation hatte in einem gleichzeitig erschienenen Papier genau das gefordert: eine Digitalagentur als operativer Arm, der Rahmenverträge steuert, nicht nur Konzepte schreibt.

Fazit

März 2025: Die DVC lebt, das Sondervermögen ist beschlossen, die Koalitionspositionen liegen auf dem Tisch. Und Souveränität bleibt das, was sie in Deutschland oft ist: ein Begriff, über den man sich einig ist, bevor man klärt, was er konkret bedeutet.

Die nächsten Wochen entscheiden, ob das Digitalministerium als echtes Steuerungsinstrument in den Koalitionsvertrag kommt oder als Schaufenster. Der Unterschied liegt nicht im Namen, er liegt im Budget.

Souveränität für 15 Prozent Aufschlag. Februar 2025 im E-Government-Rückblick.

Fri, 28 Feb 2025 20:00:00 +0100

Am 23. Februar 2025 wählt Deutschland einen neuen Bundestag. CDU/CSU gewinnt, Friedrich Merz wird designierter Kanzler. Ein eigenständiges Digitalministerium gilt als sicher, die Besetzung ist noch offen. Ebenfalls im Februar: Deutschland hat 2024 mehr Geld an Microsoft gezahlt als je zuvor, über 200 Millionen Euro. Und SAP-Tochter Delos Cloud veröffentlicht ihre Preisliste für die „souveräne" Microsoft-Cloud für die Verwaltung: 15 Prozent Aufschlag auf den deutschen Standardpreis.

Das ist kein Fortschritt beim Thema Abhängigkeit. Das ist Abhängigkeit mit neuem Preisschild.

Der 15-Prozent-Irrtum

Die Idee hinter Delos klingt vernünftig: Microsoft-Produkte aus deutschen Rechenzentren, betrieben von SAP, geprüft vom BSI, rechtlich abgesichert gegen US-Zugriff. SAP-Vorstand Thomas Saueressig spricht von einer „digitalen Festung", Delos-CEO Nikolaus Hagl verspricht, dass die Cloud im Krisenfall „völlig autark weiterläuft". (Tagesspiegel Background, Paywall)

Was das Modell nicht beantwortet: Wer am Ende den Code schreibt, die Roadmap bestimmt und entscheidet, welche Features geliefert werden. Die Antwort ist dieselbe wie bisher: Microsoft. Delos kauft die Technologie ab und betreibt sie. Das ist ein operativer Fortschritt für den Fall einer akuten Krise, aber kein Ausstieg aus der strukturellen Abhängigkeit.

Neue Funktion. Gleicher Hersteller. Einige Monate autarker Betrieb im Krisenfall. Das ist der Wert des Modells. Und der 15-Prozent-Aufschlag ist der Preis dafür. Wer das für digitale Souveränität hält, verwechselt Notfallbetrieb mit Unabhängigkeit.

Dabei ist das Problem nicht neu. Eine PwC-Studie aus dem Jahr 2019 stellte schon damals fest, dass die Bundesverwaltung an vielen Stellen Standard-Produkte kommerzieller Anbieter einsetzt und dabei Abhängigkeiten entstehen, die Informationssicherheit und Flexibilität gefährden. Das Fazit war damals schon klar. Die Zahlen von 2024 zeigen: Es ist seitdem nicht besser, sondern teurer geworden.

Der Pfad aus dieser Situation führt nicht über einen günstigeren oder souveräner verpackten Microsoft-Vertrag. Er führt über andere Beschaffungsentscheidungen bei neuen Projekten. Wer heute ein neues Fachverfahren, eine neue Plattform oder eine neue Infrastrukturkomponente beschafft, hat die Wahl. Wenn die Antwort immer wieder proprietäre Software lautet, liegt das seltener am Vergaberecht und häufiger daran, dass die Ausschreibungskriterien diese Wahl nicht konsequent öffnen.

Was die Praxis liefert

Genau hier setzt ein Papier an, das im Februar wenig Aufmerksamkeit bekommen hat, aber operativ relevant ist: Die Open Source Business Alliance hat am 11. Februar Vergabekriterien für eine nachhaltige Beschaffung von Open Source Software veröffentlicht.

Das Dokument adressiert ein echtes Problem: Öffentliche Auftraggeber, die OSS beschaffen wollen, geraten regelmäßig in eine Dumpingfalle. Das günstigste Angebot gewinnt, aber es stammt oft von Anbietern, die die Software weder entwickeln noch langfristig pflegen. Das Geld fließt nicht an die Community zurück, die Entwicklung stagniert, die Sicherheit leidet. Und am Ende heißt es: „Open Source hat nicht funktioniert."

Das Papier zeigt, wie Vergabekriterien jenseits des Preises gesetzt werden können, um genau das zu verhindern: Qualifikationsanforderungen an Anbieter, Nachweise über Beiträge zur Community, Anforderungen an Wartung und Weiterentwicklung. Das ist kein Manifest. Das ist eine Checkliste für den Einkauf.

💡 Wer diese Kriterien in Ausschreibungen einbaut, trifft keine Grundsatzentscheidung für Open Source. Er stellt sicher, dass das, was er beschafft, auch hält, was es verspricht.

Parallel gewinnt die Diskussion um einen europäischen Technologie-Stack an Kontur. Die Idee: Statt US-Hyperscaler oder kostspieliger nationaler Wrappers eine koordinierte europäische Antwort auf Cloud, KI-Infrastruktur und Basisdienste. Ob das konkret wird, hängt von politischen Entscheidungen ab, die noch nicht getroffen sind. Aber die Richtung stimmt, und sie ist kein Gegensatz zu kurzfristigen Maßnahmen wie Delos, sondern deren sinnvolle Ergänzung.

Nach der Wahl, vor den Entscheidungen

Die OSB Alliance-Analyse der Wahlprogramme ist ein nüchternes Dokument. Ihr wichtigster Satz steht beim CDU/CSU-Kapitel: Open Source Software wird im Wahlprogramm der CDU/CSU an keiner Stelle erwähnt. Bei der SPD ebenfalls nicht.

Die Partei, die die neue Regierung führen wird, hat digitale Souveränität als Ziel formuliert, aber das wichtigste Werkzeug dafür nicht einmal benannt. Das ist keine Katastrophe, aber es ist ein Signal: Wer Open Source in der nächsten Legislatur politisch verankern will, muss das selbst einbringen. Es kommt nicht von allein.

Das Digitalministerium gilt als sicher. Die neue Regierung würde damit ein Ressort schaffen, das es bisher nicht gab. Ein Budget von rund 19 Milliarden Euro für Digitalisierung steht im Raum. Das ist Hebelmasse. Was damit gemacht wird, entscheidet sich in den Beschaffungsregeln, nicht in den Sonntagsreden.

Golem analysiert die strukturellen Probleme treffend: Föderale Zuständigkeitszersplitterung, fehlende zentrale Steuerung, jahrelange Investition in proprietäre Systeme. Das lässt sich nicht per Ministeriumsgründung auflösen. Aber ein Ministerium, das vom ersten Tag an andere Beschaffungsdefaults setzt, kann in vier Jahren etwas verschieben.

Das wäre kein Gesetzesproblem. Das wäre ein Reihenfolge-Problem. Erst Beschaffungskriterien ändern, dann liefern, dann berichten. Nicht umgekehrt.

Fazit

Februar 2025 in zwei Sätzen: Deutschland zahlt Microsoft immer mehr, und die große Lösung kostet 15 Prozent extra. Die Werkzeuge, es anders zu machen, liegen auf dem Tisch. Jetzt braucht es eine Regierung, die sie benutzt.

481 Millionen Euro für Microsoft. Dann kam DeepSeek. – Januar 2025 im E-Government-Rückblick.

Fri, 31 Jan 2025 20:00:00 +0100

Die Open Source Business Alliance veröffentlicht im Januar eine Zahl aus einer Bundestagsanfrage: 481,1 Millionen Euro hat die Bundesverwaltung 2024 für Microsoft-Lizenzen ausgegeben. 38 Prozent mehr als im Vorjahr. Am 20. Januar, dem Tag der Trump-Inauguration, erscheint DeepSeek R1: ein chinesisches Open-Source-Sprachmodell auf GPT-4-Niveau, trainiert für einen Bruchteil der üblichen Kosten, frei verfügbar und lokal betreibbar.

Zwei Nachrichten, ein Monat. Beide beschreiben dasselbe Problem von entgegengesetzten Seiten.

Was 481 Millionen wirklich bedeuten

Die Zahl ist kein Skandal. Sie ist ein Systemzustand.

Die Microsoft-Lizenzkosten der Bundesverwaltung sind in einem Jahr um 38 Prozent gestiegen – nicht weil die Nutzerzahl gewachsen wäre, sondern weil die Abhängigkeit so tief ist, dass kaum Verhandlungsmacht bleibt. Für 2026 sind weitere Preissteigerungen angekündigt. OSBA-Vorstandsvorsitzender Peter Ganten bringt es auf den Punkt: „Geld, das in die Lizenzen eines Konzerns fließt, fehlt für Lösungen, die gezielt auf die Bedürfnisse der Verwaltung zugeschnitten sind."

Die Delos Cloud war die Antwort auf genau dieses Unbehagen: eine „souveräne" Lösung, gebaut auf SAP- und Microsoft-Infrastruktur, mit deutschem Rechenzentrum. Im Januar räumt das Innenministerium Baden-Württembergs ein, was Fachleute seit Langem beobachten: Zugriffe durch Drittstaaten können nicht ausgeschlossen werden. Der Grund ist nicht die Hardware, sondern das Recht. Der CLOUD Act verpflichtet US-Unternehmen, auf behördliche Anordnung Daten herauszugeben – unabhängig davon, wo die Server stehen. Ein Microsoft-Frankreich-Direktor hat das im Juni 2024 unter Eid bestätigt: Er könne nicht garantieren, dass Daten französischer Behörden niemals ohne deren Zustimmung an die US-Regierung gehen.

Keine Architektur, kein Vertrag, kein nationales Rechenzentrum ändert daran etwas. Das ist kein technisches Problem. Das ist ein rechtliches. Und es macht eine ganze Klasse von „Souveränitätslösungen" strukturell wirkungslos.

Was hilft? Nicht das nächste Zertifikat für ein US-Produkt mit deutschem Label. Sondern die sachliche Frage, für welche Daten US-abhängige Infrastruktur überhaupt akzeptabel ist. Für unkritische Workloads kann das eine pragmatische Antwort sein. Für klassifizierte Verwaltungsvorgänge, Sicherheitsbehörden und kritische Infrastruktur ist es das nicht. Die Datenkategorie zieht die Grenze – nicht der Vertragstext.

Was DeepSeek mit Souveränität zu tun hat

Am 20. Januar erscheint DeepSeek R1: ein chinesisches Open-Source-Sprachmodell, das in Benchmarks mit GPT-4 und Claude mithalten kann und dabei nach eigenen Angaben für einen Bruchteil der bisherigen Trainingskosten entwickelt wurde. Trump bezeichnet es als „Weckruf" für die US-KI-Industrie. An der Wall Street bricht der Nvidia-Kurs ein.

In der deutschen Verwaltungsdigitalisierungsdiskussion löst das vor allem eine Frage aus: Kann man einem chinesischen Modell vertrauen? Die Frage ist nicht falsch. Sie übersieht aber den wichtigeren Punkt.

Dass ein leistungsfähiges Open-Source-Modell existiert, bedeutet: Es lässt sich lokal betreiben. Auf eigener Infrastruktur. Ohne Hyperscaler. Ohne US-Rechenzentrum. Ohne CLOUD-Act-Risiko. Die Bedeutung von DeepSeek für die digitale Souveränität liegt nicht darin, ob man es einsetzt, sondern darin, was es beweist: Dass die technische Architektur moderner KI keine Milliardenpipeline nach Redmond oder Seattle braucht.

Das ist dieselbe Logik wie bei VMware. Nachdem Broadcom die Preise nach der Übernahme drastisch erhöht hatte, haben europäische Cloud-Anbieter begonnen, auf Open-Source-Alternativen zu migrieren. Das österreichische Unternehmen Anexia hat 12.000 virtuelle Maschinen umgestellt. Der Schmerz war real. Die Migration auch. Am Ende lief die Infrastruktur – auf offenen Systemen.

💡 Souveränität entsteht nicht durch Bekenntnis, sondern durch laufende Systeme.

Open Source als Betriebsmodell hat dort funktioniert, wo proprietäre Preispolitik den Anstoß gab. Das sollte kein Zufall sein, sondern Strategie.

Was trotzdem vorangeht

Deutschland ist im Januar 2025 ein Land im Vorwahlmodus. Die Regierung agiert geschäftsführend, die Koalitionsverhandlungen für den Koalitionsvertrag liegen noch vor uns. Trotzdem passieren Dinge.

Berlin bereitet den Einsatz von openDesk in der Verwaltung vor, dem Open-Source-Arbeitsplatz von ZenDiS. Schleswig-Holstein veröffentlicht ein Impulspapier zum Deutschland-Stack mit konkreten Vorschlägen, wie ein föderaler Technologiestapel mit Open-Source-Kern aussehen könnte.

Und das Bundeskabinett beschließt die rechtliche Grundlage für NOOTS, das Nationale Once-Only Technical System: die föderale Dateninfrastruktur, mit der Bürger:innen staatlichen Stellen einmal gemeldete Daten nicht immer wieder neu übermitteln müssen. Das klingt nach Selbstverständlichkeit. In der deutschen Föderalstruktur ist es ein jahrzehntelanger Kampf – an dem in einem politisch schwergewichtigen Monat trotzdem ein weiterer Schritt gelingt.

Der Weg ist nicht neu. Er wird nur endlich genommen.

Fazit

Januar 2025 in zwei Sätzen: Die Kosten der Abhängigkeit sind sichtbar geworden. Und die Alternativen auch.

481 Millionen Euro Lizenzgebühren zeigen, wohin ein Jahrzehnt ohne Ausstiegsstrategie führt. DeepSeek zeigt, dass Open Source als ernsthaftes Betriebsmodell funktioniert. Und wer die Delos-Diskussion ehrlich führt, landet bei einer simplen Erkenntnis: Souveränität ist keine Produktkategorie. Sie ist eine Beschaffungsentscheidung.

Regierung weg. Staatsvertrag da. – Dezember 2024 im E-Government-Rückblick.

Tue, 31 Dec 2024 20:00:00 +0100

Am 16. Dezember verliert Olaf Scholz die Vertrauensfrage im Bundestag, planmäßig. Am 27. Dezember löst Bundespräsident Steinmeier den Bundestag auf, Neuwahlen für den 23. Februar sind angesetzt. Deutschland ist ohne reguläre Regierung. Vier Tage vor der Vertrauensfrage, am 12. Dezember, haben Bund und Länder den Staatsvertrag zur Registermodernisierung unterzeichnet.

Zwei Daten, ein Monat. Das zweite ist das wichtigere.

Was der Staatsvertrag bedeutet – und warum er zu lange gedauert hat

Die Registermodernisierung ist das Rückgrat aller Once-Only-Versprechen. Bürger:innen sollen staatlichen Stellen ihre Daten nicht immer wieder neu mitteilen müssen. Das Kindergeld-Formular kennt das Geburtsdatum bereits. Das Finanzamt kennt die Bankverbindung. Der Sachbearbeiter fragt trotzdem.

Damit das aufhört, müssen Register untereinander sprechen. Dafür braucht man erstens einen gemeinsamen technischen Standard, das Nationale Once-Only Technical System (NOOTS). Und zweitens einen Rechtsrahmen, der regelt, wer welche Daten unter welchen Bedingungen teilt – im föderalen Gefüge von 16 Ländern und dem Bund. Genau dafür ist der Staatsvertrag.

Das Bundesverwaltungsamt und das Statistische Bundesamt haben im Laufe des Jahres die Registerlandkarte veröffentlicht: eine systematische Bestandsaufnahme der zahllosen Register, die Deutschland führt. Sie ist die Grundlage. Der Staatsvertrag ist der Rahmen, der die Umsetzung ermöglicht.

Was jetzt fehlt: Tempo. Der Staatsvertrag schafft die Voraussetzung, er liefert keine Ergebnisse. Register sind heterogen, viele Jahrzehnte alt, oft in proprietären Fachverfahren vergraben. Der schwierigere Teil beginnt jetzt, und er beginnt in einer Phase politischer Unschärfe.

Was die Ampelkoalition hinterlässt – und was nicht

Das Ampel-Aus ist für die Verwaltungsdigitalisierung keine Katastrophe, aber eine Verzögerung. Was im Koalitionsvertrag stand und nicht geliefert wurde, wird jetzt auf die nächste Regierung verschoben. Was geliefert wurde, bleibt.

Die Liste der gelieferten Dinge ist länger, als die politische Stimmung Ende 2024 vermuten lässt. Das OZG 2.0 hat im April 2024 den Bundesrat passiert, nach einem langen Ringen und einem offenen Brief mittelständischer IT-Unternehmer, der die politische Bedeutung des Gesetzes unterstrich. Es bringt einen künftigen Rechtsanspruch auf digitale Verwaltung, eine Frist für Bundeswirtschaftsleistungen und den Abbau weiterer Schriftformerfordernisse. Es ist kein Leuchtturm. Es ist ein Fundament.

Das ZenDiS hat 2024 operativ Fahrt aufgenommen. Nach der formalen Gründung 2022 hat das Zentrum für Digitale Souveränität ein Team aufgebaut und mit openDesk eine produktionsfähige Open-Source-Office-Suite für die Verwaltung an den Start gebracht. Version 1.0 wurde im Oktober auf der Smart Country Convention vorgestellt, als Cloud-Angebot für öffentliche Stellen. Das ist kein Konzeptpapier mehr.

Was fehlt: Skalierung. openDesk läuft. Aber die meisten Behörden haben es noch nicht. Und mit einer geschäftsführenden Regierung wird es keine neuen politischen Impulse für die Rollout-Finanzierung geben.

Was der IT-Planungsrat trotzdem beschlossen hat

Die 45. Sitzung des IT-Planungsrats im November 2024 hat den ersten Teil der Föderalen Digitalstrategie beschlossen. Das ist das strukturelle Gerüst, das die 16 Länder und den Bund auf eine gemeinsame Richtung für die nächsten Jahre verpflichten soll. Der IT-Planungsrat ist kein Bundesministerium und fällt nicht mit der Koalition.

Das ist der strukturelle Vorteil des föderalen Systems, der im politischen Diskurs oft untergeht: Entscheidungen, die im kooperativen Gefüge zwischen Bund und Ländern getroffen werden, gelten unabhängig davon, welche Bundesregierung gerade im Amt ist. Der Staatsvertrag zur Registermodernisierung gilt. Die Föderale Digitalstrategie gilt. NOOTS läuft weiter.

Was das für 2025 bedeutet: Die neue Bundesregierung muss keine Grundlagen legen, sie muss bauen. Ob sie es tut, mit welcher Priorität und welchem Budget, das wird sich mit dem Koalitionsvertrag entscheiden. Die Erfahrung mit dem OZG 1.0 zeigt, dass Rechtrahmen und Umsetzungswillen zwei verschiedene Dinge sind.

💡 Dezember 2024 in einem Satz: Die Verwaltungsdigitalisierung liefert gerade dann Staatsverträge, wenn die Staatsführung pausiert.

Der Rückblick auf 2024 insgesamt ist gemischter, als die Schlagzeilen über das Ampel-Aus suggerieren. OZG 2.0 ist da. ZenDiS läuft. Der Registermodernisierungs-Staatsvertrag ist unterzeichnet. Und der IT-Planungsrat hat eine Föderale Digitalstrategie beschlossen, die keine Regierungskoalition braucht, um zu gelten.

Das ist keine schlechte Bilanz für ein Jahr, das mit einem Haushaltstreit begann und mit einer Vertrauensfrage endete.

Koalition geplatzt. Digitalstrategie beschlossen. – November 2024 im E-Government-Rückblick.

Sat, 30 Nov 2024 20:00:00 +0100

Am 6. November 2024 entlässt Bundeskanzler Olaf Scholz Finanzminister Christian Lindner. Die Ampelkoalition ist Geschichte. Sieben Tage später, am 13. November, tritt der IT-Planungsrat zu seiner 45. Sitzung zusammen und beschließt den ersten Teil der Föderalen Digitalstrategie: eine gemeinsame strategische Ausrichtung für Bund und 16 Länder.

Die Koalition endet. Das föderale System arbeitet.

Was mit der Ampel geht – und was bleibt

Die Netzpolitik-Bilanz der Ampel ist gemischt, und Mischung ist in diesem Fall eine freundliche Formulierung. Kritiker sprechen von einem „Sammelsurium gebrochener Versprechen". Das OZG 2.0 hat es nach langem Ringen durch den Bundesrat geschafft. Die Registermodernisierung hat erste Schritte gemacht. Das ZenDiS ist operativ. Das sind reale Lieferungen, keine Ankündigungen.

Was geht: Der Koalitionsvertrag. Die Planungen für ein eigenständiges Digitalministerium, wie die FDP es angestrebt hatte, sind vorerst erledigt. Die Digital- und IT-Kompetenzen bleiben im Innenministerium gebündelt, unter einer geschäftsführenden Regierung ohne Gestaltungswillen. Neue politische Impulse für die nächsten Monate? Unwahrscheinlich.

Was bleibt: die Rechtsrahmen. OZG 2.0 gilt. Der künftige Rechtsanspruch auf digitale Verwaltung steht im Gesetz, nicht im Koalitionsvertrag. Das ist der Unterschied. Koalitionsverträge laufen mit der Regierung aus. Gesetze nicht.

Der strukturelle Fehler der letzten Jahre war kein Ampel-spezifisches Problem: Digitalisierungsfortschritt wurde zu stark ans Bundesprogramm geknüpft. Als das Geld knapp wurde, die Steuereinnahmen sanken und der Haushaltsstreit eskalierte, schrumpfte auch das Budget für Verwaltungsdigitalisierung. Das ist ein Konstruktionsfehler, kein Versehen. Wer Digitalisierung ausschließlich als Bundesförderprogram begreift, macht sie abhängig von Haushaltsjahren.

Die Alternative: robuste föderale Finanzierungsmodelle, die nicht mit jeder Koalitionsrunde neu verhandelt werden müssen.

Was der IT-Planungsrat beschlossen hat – und was das bedeutet

Die Föderale Digitalstrategie des IT-Planungsrats ist kein Koalitionsvertrag. Sie bindet alle 16 Länder und den Bund, unabhängig davon, welche Partei gerade in Berlin regiert. Das ist ihr struktureller Vorteil.

Der Beschluss vom 13. November ist der erste Teil: Zukunftsbild und Leitlinien. Der zweite Teil, konkrete Projektvorhaben, soll 2025 folgen. Das klingt nach bürokratischer Reihenfolge. Es ist eine. Aber sie ist die richtige.

Ein gemeinsames Zukunftsbild ist keine Selbstverständlichkeit im deutschen Föderalismus. 16 Länder, die unterschiedliche Fachverfahren betreiben, unterschiedliche Dienstleister beauftragen und unterschiedliche politische Prioritäten setzen, auf eine gemeinsame Richtung zu verpflichten, dauert. Dass es passiert, während die Bundeskoalition auseinanderfällt, ist keine Ironie. Es ist der Beweis, dass das föderale IT-Governance-System mehr Puffer hat, als die politische Kommentarspalte vermutet.

Was fehlt: operativer Druck. Eine Strategie, die nicht terminiert und nicht budgetiert ist, ist ein Dokument. Die erste Bewährungsprobe der Föderalen Digitalstrategie ist, ob sie 2025 in konkrete Projektbeschlüsse mündet, mit Zeitplan und Verantwortlichkeit, nicht in ein weiteres Rahmenwerk.

openDesk: läuft – aber wo?

Einen Monat vor dem November-Rückblick, auf der Smart Country Convention Mitte Oktober in Berlin, hat ZenDiS openDesk 1.0 offiziell vorgestellt. Die Open-Source-Office-Suite ist als Cloud-Angebot für öffentliche Stellen verfügbar: Textverarbeitung, Tabellenkalkulation, E-Mail, Kalender, Videokonferenz, Projektmanagement. Alles auf offener Software, alles ohne US-Hyperscaler.

Frühe Nutzer sind das BMI, der Deutsche Wetterdienst, das Technische Hilfswerk und das Robert-Koch-Institut. Das sind keine kleinen Pilotkommunen. Das ist Bundesverwaltung mit Gewicht.

Was jetzt gebraucht wird: Rollout-Tempo. Der Launch ist die Voraussetzung, nicht das Ergebnis. Tausende Behörden kennen openDesk nicht, haben keine Migrationsressourcen und warten auf den nächsten Haushalt, um Entscheidungen zu treffen. Die technische Bereitschaft ist da. Die Anreizstruktur für die Breite ist es noch nicht.

Das löst keine geschäftsführende Regierung. Das löst eine neue, die openDesk aktiv in Beschaffungsrichtlinien verankert, statt es als Angebot zu parken.

openDesk ist live. Der Sovereign Tech Fund ist Agency. – Oktober 2024 im E-Government-Rückblick.

Thu, 31 Oct 2024 20:00:00 +0100

Vom 15. bis 17. Oktober findet die Smart Country Convention in Berlin statt. Das ZenDiS nutzt die Bühne für den offiziellen Launch von openDesk 1.0: die Open-Source-Office-Suite für die öffentliche Verwaltung, ab sofort als Enterprise Edition verfügbar, mit zwei Betriebsmodellen und ersten Bundesbehörden als Pilotkunden. Fast gleichzeitig wird der Sovereign Tech Fund zur Sovereign Tech Agency GmbH, einer eigenständigen Bundesgesellschaft unter SPRIND.

Zwei Institutionalisierungen in einem Monat. Beide erzählen dieselbe Geschichte: Open Source in der Verwaltung wächst aus der Pilotphase heraus.

openDesk 1.0: Was neu ist und was das bedeutet

openDesk ist seit Oktober nicht mehr im Beta-Status. Version 1.0 kommt als Enterprise Edition mit zwei Betriebsmodellen: Self-Hosting, unterstützt durch den ZenDiS-Partner B1 Systems, und Software-as-a-Service auf der StackIT-Infrastruktur der Schwarz Gruppe. Das bedeutet: Behörden, die keine eigene Serverkapazität haben oder wollen, können openDesk aus einer souveränen deutschen Cloud beziehen, ohne US-Hyperscaler zu benötigen.

Die integrierten Komponenten sind das, was man erwarten würde: Textverarbeitung, Tabellenkalkulation, E-Mail, Kalender, Videokonferenz, Cloudablage, Projektmanagement. Das Besondere ist nicht die Featureliste, sondern die Integration. Souveräne Office-Suiten scheitern in der Verwaltung regelmäßig nicht an einzelnen Funktionen, sondern an der fehlenden Kohärenz. Wer zwischen fünf verschiedenen Open-Source-Tools wechseln muss, wechselt irgendwann zurück zu Microsoft 365.

openDesk beantwortet das mit einer einheitlichen Oberfläche über alle Komponenten hinweg. Ob das in der Praxis hält, entscheidet sich nicht auf der SCCON, sondern in sechs Monaten, wenn die ersten Pilotbehörden ehrliche Rückmeldung geben.

Die Pilotkunden sind kein Zufall. BMI, Deutscher Wetterdienst, Technisches Hilfswerk und Robert-Koch-Institut sind keine Kleinstbehörden. Sie haben IT-Betrieb, Nutzeranforderungen und Compliance-Vorgaben in einem Maßstab, der einem echten Belastungstest nahekommt. Scheitert openDesk dort, hat man ein Problem. Hält es dort, hat man ein Argument.

Der nächste Schritt ist kein technischer, sondern ein beschaffungspolitischer: openDesk muss in Vergabeentscheidungen als Option erscheinen, nicht als Ausnahme. Das setzt voraus, dass Behörden wissen, dass es existiert. Die SCCON liefert Sichtbarkeit. Ausschreibungspraxis und Beschaffungsrichtlinien liefern Skalierung.

Was die Sovereign Tech Agency jetzt kann, was der Fund nicht konnte

Der Sovereign Tech Fund wird zur Sovereign Tech Agency GmbH. Der Unterschied klingt verwaltungsrechtlich. Er ist strategisch.

Als Pilotprojekt bei SPRIND war der STF agil, aber abhängig von jährlichen Haushaltsentscheidungen. Als eigenständige GmbH kann er Verträge mehrjährig planen, Personal mit Marktgehältern ausschreiben und Partnerschaften langfristig eingehen. Das sind Voraussetzungen, ohne die Open-Source-Infrastrukturförderung nicht skaliert.

Bis Ende 2024 hat der STF Verträge mit 60 kritischen Open-Source-Projekten geschlossen, Gesamtvolumen rund 23,5 Millionen Euro. Das klingt nach viel. Verglichen mit dem, was die öffentliche Verwaltung jährlich für proprietäre Lizenzen ausgibt, ist es wenig. Die Frage ist nicht, ob die Förderung gut angelegt ist. Die Frage ist, ob die Größenordnung stimmt.

Der Bundestag hat im Oktober 2024 zusätzlich rund vier Millionen Euro genehmigt, über den Regierungsvorschlag hinaus. Das ist ein Signal, dass der parlamentarische Rückhalt für Open-Source-Förderung vorhanden ist. Es ist kein Automatismus. Mit der Ampel, die auf ihr Ende zusteuert, ist offen, wie die nächste Regierung diese Linie hält.

💡 Was openDesk und Sovereign Tech Agency gemeinsam zeigen: Open Source in der Verwaltung braucht keine Manifeste. Es braucht laufende Systeme und institutionelle Dauerhaftigkeit.

Beide Launches im Oktober sind Schritte in diese Richtung. Die Belastungsprobe kommt 2025, wenn der Haushalt neu verhandelt wird und politische Prioritäten neu gesetzt werden.

Draghi rechnet ab. Schleswig-Holstein liefert. – September 2024 im E-Government-Rückblick.

Mon, 30 Sep 2024 20:00:00 +0200

Am 9. September 2024 veröffentlicht Mario Draghi seinen Bericht zur Zukunft der EU-Wettbewerbsfähigkeit. 400 Seiten, eine Investitionslücke von 800 Milliarden Euro jährlich und ein klares Urteil: Europa ist im Bereich digitaler Technologien von wenigen Lieferanten abhängig und handelt nicht, als wäre das ein Problem. Zur gleichen Zeit gibt Schleswig-Holsteins Digitalminister Dirk Schrödter in einem Brief an alle Landesbediensteten zu, dass die Open-Source-Migration Probleme hatte. Und setzt sie fort.

Zwei Aussagen, beide ungemütlich, beide notwendig.

Was Draghi sagt und was es für die Verwaltungsdigitalisierung bedeutet

Draghis Bericht ist kein digitalpolitisches Dokument im engeren Sinne. Er ist ein Wettbewerbsdiagnose-Bericht, der digitale Abhängigkeit als strukturelles Risiko behandelt. Die Schlussfolgerung ist ernüchternd: Europa ist besonders anfällig bei kritischen Rohstoffen und digitalen Technologien. Die Verwaltungsinfrastruktur kommt im Bericht nicht mit Namen vor. Die Beschaffungsmuster der deutschen Bundesverwaltung sind aber ein Lehrbuchbeispiel für das, was Draghi kritisiert.

800 Milliarden Euro Investitionslücke pro Jahr. Das ist die Größenordnung, die Europa benötigt, um mit den USA und China mitzuhalten. Ein Teil dieser Lücke betrifft digitale Infrastruktur. Wer sich die Verwaltungs-IT ansieht, die seit Jahrzehnten auf proprietären US-Systemen läuft, versteht, wo die Lücke entsteht: nicht im fehlenden Geld, sondern im fehlenden Willen, Geld in europäische Alternativen zu lenken.

Was bedeutet das konkret für Bund und Länder? Beschaffungsentscheidungen der nächsten Jahre. Jede Behörde, die jetzt Infrastrukturverträge neu verhandelt, sollte den Draghi-Bericht auf dem Tisch haben. Nicht als Argument für Schlussfolgerungen, die ohnehin gezogen werden. Sondern als Argument dafür, dass Abweichungen von der Standard-US-Infrastruktur keine ideologische Entscheidung sind, sondern eine wirtschaftspolitisch gebotene.

Das lässt sich übersetzen. Schlüsselwort ist Präferenz bei Gleichwertigkeit: europäische Anbieter und Open-Source-Lösungen als erste Wahl, wenn die Leistung vergleichbar ist. Das ist kein Vergaberecht-Umbau, das ist eine Beschaffungspolitik-Frage.

Schleswig-Holstein: Probleme zugeben, Migration fortsetzen

Schleswig-Holstein hat sich vorgenommen, 30.000 Behördenmitarbeitende von Microsoft auf Open-Source-Software umzustellen. LibreOffice statt Office, Thunderbird und Open-Xchange statt Outlook und Exchange, Linux statt Windows.

Im Sommer gab es Rückmeldungen aus der Praxis, die nicht schönzureden waren. Die Gewerkschaft der Polizei meldete E-Mail-Chaos nach der Migration, Mails aus dem Innenministerium landeten in falschen Abteilungen. Digitalminister Schrödter schrieb einen offenen Brief an alle Staatsbediensteten, räumte Fehler ein und erklärte, was die nächsten Schritte sind.

Das ist das Richtige. Nicht weil Transparenz schön ist, sondern weil sie die Einzige ist, die aus Piloten lernende Projekte macht. Wer Probleme vertuscht, macht in der nächsten Migration dieselben Fehler. Wer sie dokumentiert, gibt anderen Ländern die Möglichkeit, es besser zu machen.

Zum Zeitpunkt des Rückblicks sind rund 80 Prozent der Microsoft-Lizenzen in Schleswig-Holstein gekündigt. Die E-Mail-Migration läuft. Die Schulungen sind das, was am meisten Ressourcen bindet.

Was bedeutet das für andere Länder, die auf die SH-Erfahrung warten, bevor sie selbst entscheiden? Es bedeutet: Die Probleme sind real und lösbar. Das ist keine Werbung für Open Source als schmerzfreie Entscheidung. Es ist eine Einladung zu ehrlicher Migrationsvorbereitung, guter Schulungsplanung und dem Verzicht auf Big-Bang-Einführungen. SH hat nicht alles richtig gemacht. Es hat trotzdem weitergemacht. Das unterscheidet es von Bundesländern, die seit Jahren „prüfen".

EU AI Act: Die Uhr läuft

Am 1. August 2024 ist der EU AI Act in Kraft getreten. Der erste harte Termin – das Verbot bestimmter KI-Praktiken – gilt ab Februar 2025. Danach folgen in Zweijahresabständen weitere Stufen. Das klingt nach Vorlaufzeit.

Für öffentliche Verwaltungen, die KI-Systeme einsetzen oder planen, klingt es nach wenig. Wer risikoreiche KI im öffentlichen Sektor einsetzen will, muss vorher eine grundrechtliche Folgenabschätzung durchführen. Das ist keine Formalität, das ist ein Prozess. Behörden, die KI-Beschaffungsvorhaben jetzt starten, tun das in einem Rechtsrahmen, der sich noch in der Implementierung befindet und dessen nationale Umsetzungsgesetze noch nicht alle verabschiedet sind.

Der pragmatische Weg ist nicht Abwarten, sondern geordnete Bestandsaufnahme: Welche KI-Systeme sind bereits im Einsatz? Wie werden sie klassifiziert? Wer ist intern zuständig? Diese Fragen lassen sich jetzt beantworten, bevor die Behörde 2025 unter Druck steht.

Vier Millionen BundID-Konten. 80 Millionen Einwohner. – August 2024 im E-Government-Rückblick.

Sat, 31 Aug 2024 20:00:00 +0200

Im Mai 2024 meldet das Bundesministerium des Innern: Die BundID hat vier Millionen Nutzerkonten. Eine Wegmarke, wird betont. Im selben Jahr, in dem das Bundesinnenministerium den OZG-Etat im Haushalt 2024 von 377 Millionen auf 3,3 Millionen Euro zusammenstreicht.

Vier Millionen Konten klingt nach Fortschritt. Bei 84 Millionen Einwohnerinnen und Einwohnern ist es rund fünf Prozent. Und das nach Jahren des Aufbaus, Millionen investierter Steuergelder und konsequenter politischer Berichterstattung über das Thema. Der August 2024 ist kein schlechter Zeitpunkt, um zu fragen, warum.

Warum die BundID mit vier Millionen nicht ankommt

Das Problem ist nicht die Technik. Die BundID ist funktionsfähig. Das Problem ist die Angebotstreppe: Wer die BundID nutzen will, braucht dafür einen Anlass. Einen Anlass gibt es, wenn der gewünschte Online-Dienst die BundID als Anmeldeoption akzeptiert. Einen Online-Dienst gibt es, wenn die Behörde ihn entwickelt, betrieben und für die BundID freigeschaltet hat. Die Behörde tut das, wenn es einen rechtlichen Rahmen gibt, eine Finanzierung und den Willen des Dienstleisters.

Nur neun der 16 Bundesländer nutzen die bundesweite Authentifizierungslösung. Das heißt: Wer in einem der anderen sieben Bundesländer wohnt und einen Online-Dienst nutzen will, kommt an die BundID gar nicht heran.

Nur 35 Prozent der Deutschen haben die eID-Funktion ihres Personalausweises aktiviert. Die eID ist die sicherste Anmeldemethode für die BundID. Wer sie nicht aktiviert hat, muss auf weniger sichere Verfahren ausweichen oder bleibt draußen. Die eID ist seit 2010 im Personalausweis. Aktivierungsquote nach 14 Jahren: 35 Prozent.

Was hilft? Nicht noch eine Informationskampagne. Sondern die Umkehrung der Logik: opt-out statt opt-in. Wer einen neuen Personalausweis beantragt, hat die eID automatisch aktiviert, sofern er nicht ausdrücklich widerspricht. Das ist in mehreren europäischen Ländern Standard. In Deutschland ist es eine politische Entscheidung, die noch niemand getroffen hat.

Was der Haushalt über Prioritäten aussagt

Die Zahl 3,3 Millionen Euro für den OZG-Etat 2024 ist kein Schreibfehler. Sie ist das Ergebnis einer politischen Abwägung: In einem Jahr mit massivem Spardruck und einem Urteil des Bundesverfassungsgerichts zum Sondervermögen wurden Digitalisierungsmittel nicht als unantastbar behandelt.

Das Bundesinnenministerium hat auf die Kritik reagiert: Über nicht verausgabte Mittel aus Vorjahren sollten rund 300 Millionen Euro zusammenkommen. Das klingt beruhigend, ist aber strukturell das falsche Signal. Digitalisierungsfinanzierung aus Rücklagen früherer Haushaltsjahre ist keine belastbare Planungsgrundlage. Projekte, die Personal, Lizenzen und Infrastruktur über mehrere Jahre planen müssen, brauchen Verlässlichkeit, nicht Improvisation.

Das Muster ist nicht neu. Die Verwaltungsdigitalisierung in Deutschland wird regelmäßig als Bundesprojekt framed und dann über Haushaltsjahre gestückelt finanziert. Jede Koalitionsrunde riskiert Kürzungen, Umwidmungen oder Einfrierungen. Das Ergebnis sind Projekte, die nie die Größenordnung erreichen, in der sie wirksam wären.

Die Lösung ist keine haushälterische, sondern eine institutionelle: Digitalisierungsvorhaben, die auf föderaler Kooperation basieren, gehören in Finanzierungsmodelle, die koalitionsresistent sind. Was der Staatsvertrag zur Registermodernisierung versucht. Was NOOTS braucht. Was dem OZG bisher fehlt.

Was der Sommer trotzdem zeigt

August ist Sommerpause, in der Verwaltungsdigitalisierung wie in der Politik. Das hat seinen Wert: Was in ruhigen Monaten weiterläuft, läuft, weil es stabil genug ist, ohne politischen Treibstoff auszukommen.

openDesk befindet sich kurz vor seinem Launch. Schleswig-Holstein migriert weiter. Die Registerlandkarte des Bundesverwaltungsamts ist veröffentlicht. Das sind Vorgänge, die kein Pressebriefing brauchen, um wirksam zu sein.

Die Frage für den Herbst ist nicht, ob die Infrastruktur bereitsteht. Sondern ob die Nutzungsbedingungen dafür geschaffen werden: Pflicht zur BundID-Unterstützung für alle Länder, eID-opt-out, Anreize für Online-Dienst-Entwicklung. Infrastruktur ohne Nutzungspflicht ist ein Angebot. Ein Angebot, das man ausschlagen kann.

💡 Digitalisierung scheitert in Deutschland selten an der Technik. Meistens scheitert sie am Anreiz.

OZG 2.0 in Kraft. VMware kostet das Dreifache. – Juli 2024 im E-Government-Rückblick.

Wed, 31 Jul 2024 20:00:00 +0200

Am 24. Juli 2024 tritt das OZG-Änderungsgesetz in Kraft. Der Bundesrat hatte Ende Juni zugestimmt, nach einem langen Ringen zwischen Bund und Ländern. Das Gesetz war im Winter im Bundesrat hängengeblieben, weil die Länder mehr Einfluss auf die Umsetzungsarchitektur forderten. Ein offener Brief mittelständischer IT-Unternehmer hatte damals auf die Signalwirkung des Gesetzes aufmerksam gemacht. Jetzt ist es da.

Gleichzeitig verhandeln CIOs und IT-Verantwortliche in Behörden gerade eine andere Art von Gesetz: die neuen VMware-Lizenzpreise nach der Broadcom-Übernahme. Dreistellige Prozentanstiege, laufende Kosten statt Einmalkauf, gerichtliche Auseinandersetzungen in mehreren Ländern.

Was das OZG 2.0 wirklich ändert

Das OZG 1.0 war eine Frist ohne ausreichende Konsequenz. 575 Verwaltungsleistungen sollten bis Ende 2022 digitalisiert sein. Wer Anfang 2024 auf die öffentlich zugänglichen Dashboards schaute, sah je nach Zählweise zwischen 40 und 60 Prozent Erfüllungsgrad, mit erheblichen Unterschieden zwischen den Ländern.

Das OZG 2.0 räumt zwei strukturelle Fehler aus. Erstens baut es einen künftigen Rechtsanspruch auf digitale Verwaltung auf, der schrittweise eingeführt wird. Das ist kein Selbstvollzugsrecht, das Bürger:innen sofort einklagen können. Es ist die politische Commitmentstärke, die das OZG 1.0 nicht hatte.

Zweitens verankert es die Once-Only-Grundlage: Daten, die der Staat bereits kennt, soll er nicht mehrfach abfragen. Das ist der Hebel, der NOOTS seinen Sinn gibt. Kein technisches System kann Once-Only liefern, wenn es keine rechtliche Grundlage gibt, Daten zwischen Behörden zu teilen.

Was das OZG 2.0 nicht löst: die Umsetzungsarchitektur. Wer welche Leistung unter welchen Standards digitalisiert, wer finanziert, wer koordiniert, das sind Fragen, die das Gesetz zwar rahmt, aber nicht beantwortet. Genau hier ist die föderale Auseinandersetzung seit Jahren festgeklebt. Die gute Nachricht: Der IT-Planungsrat arbeitet daran. Die schlechte: Es dauert.

VMware und die Lektion, die niemand lernen wollte

Broadcom hat die VMware-Übernahme Ende 2023 abgeschlossen und danach die Preisgestaltung fundamental verändert. Weg von Dauerlizenz, hin zu Subscription. Weg von Einzelprodukten, hin zu Bundles. Die Preiserhöhungen für bestehende Kunden liegen laut Berichten zwischen 300 und 1.050 Prozent, je nach Vertragsstruktur.

Öffentliche Verwaltungen sind besonders betroffen. Sie haben VMware oft seit Jahrzehnten im Einsatz, mit tiefem Integrationsstatus in Fachverfahren und Rechenzentrumsarchitekturen. Verhandlungsmacht: gering. Alternativen: bekannt, aber nicht vorbereitet.

Die Alternative heißt ProxmoxVE, OpenStack oder schlicht bare-metal Linux. Das sind keine neuen Technologien. Sie sind seit Jahren stabil. Sie werden im kommunalen IT-Umfeld kaum eingesetzt, weil die Investition in Migration als Risiko galt, während die Investition in VMware als Standard galt.

Standard ist der Zustand, auf den man sich nicht vorbereitet. VMware war Standard. Jetzt ist Standard zu teuer.

Was die Broadcom-VMware-Situation für die Verwaltungsdigitalisierung konkret bedeutet: Sie ist ein Testlauf für jede andere proprietäre Plattform im öffentlichen Einsatz. Die Logik ist dieselbe. Ein Anbieter, der nach einer Konsolidierungsphase über genuinen Verhandlungsmacht verfügt, setzt Preise, die die Infrastruktur, die man braucht, unbezahlbar macht. Das passiert mit VMware. Es kann mit anderen Plattformen passieren.

Der einzige strukturelle Schutz dagegen ist nicht der Vertrag. Es ist die Exit-Fähigkeit. Wer auf offene Standards baut und dokumentiert, wie ein Systemwechsel aussehen würde, hat Verhandlungsmacht. Wer es nicht tut, zahlt die Rechnung, die Broadcom stellt.

Was der Juli zeigt

Zwei Schlagzeilen, eine Strukturdiagnose: Deutschland hat gerade Fortschritte beim OZG-Rechtsrahmen gemacht und gleichzeitig gezeigt, wie tief die Infrastrukturabhängigkeiten in proprietären Plattformen sitzen. Das OZG gibt dem Ziel eine neue Verbindlichkeit. VMware gibt der Frage nach digitaler Souveränität eine neue Dringlichkeit.

Beides zusammen ist keine Garantie für Fortschritt. Es ist ein Angebot. Man kann es annehmen.

Der Vermittlungsausschuss gibt nach. Europa reguliert KI. – Juni 2024 im E-Government-Rückblick.

Sun, 30 Jun 2024 20:00:00 +0200

Am 12. Juni einigen sich die Vertreter von Bundestag und Bundesrat im Vermittlungsausschuss auf das OZG-Änderungsgesetz. Am 14. Juni stimmt der Bundesrat zu. Bundes-CIO Markus Richter schreibt auf X: „Rückenwind für die Digitalisierung." Der Wind hatte bis dahin eher gegengeblasen.

Parallel hat der Rat der 27 EU-Mitgliedstaaten am 21. Mai den AI Act verabschiedet, den weltweit ersten umfassenden Rechtsrahmen für Künstliche Intelligenz. Veröffentlichung im EU-Amtsblatt: Juli. Inkrafttreten: August.

Zwei Gesetze, eine Gemeinsamkeit: Beide sind fertig. Beide müssen jetzt umgesetzt werden.

Was das OZG 2.0 nach dem langen Ringen enthält

Das OZG 1.0 aus dem Jahr 2017 war ein Verpflichtungsrahmen ohne Sanktion. Wer bis Ende 2022 nicht digitalisiert hatte, bekam keine Konsequenzen. Das neue Gesetz adressiert das, wenn auch schrittweise.

Drei Dinge, die neu sind. Erstens: Ein künftiger Rechtsanspruch auf digitale Verwaltungsleistungen, der für Bundesleistungen schrittweise eingeführt wird. Kein sofortiges Klagerecht, aber eine Richtung, die nicht mehr reversibel ist. Zweitens: Der Wegfall weiterer Schriftformerfordernisse. Unterschriften per Hand werden für mehr Verwaltungsvorgänge durch digitale Entsprechungen ersetzbar. Das klingt klein, ist aber ein jahrzehntealtes Nadelöhr in der Verwaltungspraxis. Drittens: Once-Only als gesetzliche Grundlage. Daten, die der Staat kennt, soll er nicht nochmal abfragen. Dieses Prinzip braucht NOOTS als technisches System. Es braucht aber erst die gesetzliche Grundlage, damit NOOTS wirksam werden kann.

Was das Gesetz nicht enthält: eine Antwort auf die Finanzierungsfrage. Wer zahlt für die Digitalisierung der kommunalen Leistungen, für die Anbindung an die BundID, für den Betrieb der Schnittstellen? Der Kompromiss im Vermittlungsausschuss hat Regelungen zur Bundesfinanzierung für Bundesleistungen geschaffen. Bei kommunalen Leistungen bleibt die föderale Finanzierungsarchitektur das offene Problem.

DeutschlandID: Der nächste Schritt für die digitale Identität

Ebenfalls im Juni: Bund und Länder einigen sich auf das Upgrade zur DeutschlandID. Die BundID, die zentrale Authentifizierungsplattform für digitale Verwaltungsleistungen, soll weiterentwickelt werden. Ziel ist die Kompatibilität mit der europäischen EUDI-Wallet, die ab 2026 jedem EU-Bürger eine digitale Identität auf dem Smartphone ermöglichen soll.

Das ist strategisch richtig. Die BundID hatte bislang das Problem, dass sie auf Bundesebene entwickelt wurde, aber nicht alle 16 Länder mitgemacht haben. Nur neun Länder nutzen sie aktuell. Die DeutschlandID-Einigung ist ein Schritt in Richtung vollständiger Abdeckung.

Der kritische Punkt bleibt: Nutzerzahlen entstehen nicht durch eine neue Marke. Sie entstehen durch Dienste, für die man die Identität braucht. Die Frage ist nicht, wie die BundID heißt. Die Frage ist, welche Verwaltungsleistungen ohne Papierkopie und persönliches Erscheinen erledigt werden können.

AI Act: Das Gesetz ist da. Die Hausaufgaben beginnen

Der AI Act ist nicht primär ein Verwaltungsgesetz. Er ist ein Produktregulierungsrahmen. Aber öffentliche Verwaltungen betreiben und beschaffen KI-Systeme, und viele davon fallen unter die Hochrisiko-Kategorie: Entscheidungssysteme in der Sozialverwaltung, Priorisierungsalgorithmen im Steuerbereich, biometrische Verfahren.

Für diese Systeme gilt nach Inkrafttreten: Grundrechtliche Folgenabschätzung vor dem Einsatz, Dokumentation, Transparenzpflichten. Das sind Prozesse, die in Verwaltungen aufgebaut werden müssen. Wer das auf den letzten Metern macht, hat ein Problem.

Die gute Nachricht: Der AI Act hat Übergangsfristen. Das Verbot für inakzeptable KI-Praktiken gilt ab Februar 2025. Hochrisiko-Anforderungen gelten ab August 2026. Diese Fristen ermöglichen geordnete Vorbereitung. Sie setzen aber voraus, dass jetzt begonnen wird: Bestandsaufnahme laufender KI-Systeme, Risikoklassifikation, Zuständigkeitsfestlegung intern.

Der AI Act ist eine Regulierung, die viele Behörden unterschätzen, weil KI für viele noch wie eine Zukunftstechnologie klingt. Das automatisierte Scoring-Tool in der Sozialverwaltung, das Dokumentenanalyse-System in der Finanzbehörde, das Chatbot-System im Bürgerservice: Das ist KI. Und es ist schon da.

OZG steckt im Vermittlungsausschuss. Europa beschließt das KI-Gesetz. – Mai 2024 im E-Government-Rückblick.

Fri, 31 May 2024 20:00:00 +0200

Ende März hat der Bundesrat das OZG-Änderungsgesetz abgelehnt. Seitdem liegt es im Vermittlungsausschuss, wo Bund und Länder um Kompromisse ringen. Das Kernproblem: Die Länder wollten mehr Mitgestaltungsrechte bei der Umsetzungsarchitektur. Der Bund wollte Standards setzen, ohne jeden Entwurf durch 16 Landesvorgaben schleifen zu müssen. Beides ist nachvollziehbar. Beides zusammen ergibt einen Patt.

Am 21. Mai verabschiedet der Rat der Europäischen Union den AI Act. Das erste umfassende KI-Regulierungsgesetz der Welt ist auf dem Weg ins EU-Amtsblatt.

Zwei sehr unterschiedliche Geschwindigkeiten.

Warum das OZG im Föderalismus immer wieder festhängt

Das Muster ist nicht neu. Das OZG 1.0 aus dem Jahr 2017 hat drei Jahre gebraucht, bis die Umsetzungsarchitektur halbwegs stand. Jetzt hängt das OZG 2.0 im Vermittlungsausschuss, weil Bund und Länder wieder die klassische föderale Reibung produzieren: Wer setzt die Standards? Wer zahlt? Wer entscheidet, wenn Standards und Länderinteressen kollidieren?

Der Normenkontrollrat hat dazu schon früh eine klare Position formuliert: Das Gesetz muss verabschiedet werden, weil das Signal wichtiger ist als die letzte Detailformulierung. Jeder Monat im Vermittlungsausschuss kostet Planungssicherheit für Kommunen und IT-Dienstleister.

Der Grundkonflikt lässt sich strukturell nicht durch ein besseres Gesetz lösen. Er verlangt eine politische Entscheidung: Entweder akzeptieren die Länder, dass bestimmte Standardsetzungskompetenzen beim Bund liegen müssen, damit föderale IT-Kooperation skaliert. Oder der Bund akzeptiert, dass Länder bei allem, was ihre Verwaltungshoheit berührt, faktisch ein Vetorecht haben. Beides hat seinen Preis. Das Teuerste ist die Unklarheit.

Die Lösung für Mai 2024 ist keine Verfassungsreform. Sie ist eine pragmatische: Den Vermittlungsausschuss abschließen, das Gesetz in Kraft setzen, die verbleibenden Architekturfragen im IT-Planungsrat klären. Genau das passiert schließlich im Juni.

AI Act: Was die EU-Regulierung für öffentliche Verwaltungen bedeutet

Der AI Act ist eine Produktregulierung, kein Verwaltungsrecht. Aber öffentliche Verwaltungen sind Anwender von KI-Systemen – und ein Teil davon fällt unter die Hochrisiko-Klassifikation.

Was Hochrisiko konkret bedeutet: Grundrechtliche Folgenabschätzung vor dem Einsatz, Transparenzpflichten, Dokumentation, Registrierungspflicht in einer EU-Datenbank. Das sind Prozesse, die in Verwaltungen nicht von selbst entstehen. Sie brauchen Zuständigkeit, Budget und Vorlauf.

Der strategische Fehler wäre jetzt, den AI Act als Thema für 2026 zu behandeln. Das erste harte Datum ist Februar 2025: Verbotene KI-Praktiken müssen abgestellt sein. Behörden, die KI-Systeme mit biometrischer Fernidentifizierung oder Profiling ohne ausreichende Rechtsgrundlage einsetzen, haben weniger als ein Jahr.

Was hilft: Nicht ein weiteres Regulierungsrahmen-Seminar, sondern eine Bestandsaufnahme. Welche Systeme laufen in meiner Behörde? Welche davon nutzen KI? Welche Risikokategorie haben sie? Das sind drei Fragen, die man jetzt stellen kann, ohne die nationale Umsetzungsgesetzgebung abzuwarten.

BundID meldet vier Millionen – und warum das zu wenig ist

Die BundID meldet im Mai ihre vierte Millionen registrierter Nutzerkonten. Das ist ein Meilenstein nach der Zählweise der Pressemitteilung. Bei 84 Millionen Einwohnerinnen und Einwohnern ist es knapp fünf Prozent.

Das Problem liegt nicht bei der BundID-Technik. Es liegt bei den Angeboten, für die man die BundID braucht. Wer keine Online-Leistung findet, die sein konkretes Anliegen abdeckt, registriert sich nicht. Wer sich registriert, aber keinen der großen Verwaltungsvorgänge damit erledigen kann, nutzt das Konto nicht wieder.

Die Logik kehrt sich um: Nicht die Infrastruktur zieht die Nutzung an. Die Nutzung braucht die Leistungen, die sie lohnend macht. Vier Millionen Konten zeigen, dass Menschen die BundID annehmen, wenn ein Anlass da ist. Die Anlässe sind zu rar.

Die Lektion aus anderen europäischen Ländern: Dänemark hat rund 90 Prozent der Bevölkerung, die digitale Identitätslösung aktiv nutzen. Der Unterschied ist nicht die Technik. Es ist die Menge der Dienste, für die man sie braucht. Pflicht vor Kür.