Tiefenblicke · Dr. Christian Knebel

Souverän ist, wer es draufdruckt. Die SCCON 2026 im Nachklapp.

Fri, 16 Oct 2026 11:34:41 +0200

“Wie schreibt man eigentlich Souveränität?” Diese Frage muss in den vergangenen Monaten in vielen Marketingabteilungen gestellt worden sein, irgendwo zwischen Standbau-Briefing und Flyer-Freigabe. Anders lässt sich nicht erklären, was ich diese Woche in Berlin gesehen habe. Auf der Smart Country Convention (SCCON), 13. bis 15. Oktober, über 650 Aussteller in drei Hallen, und das Wort stand auf fast jeder Rückwand, auf fast jedem Flyer, in fast jedem Vortragstitel. Dazu die Begleitvokabeln: “resilient”, “Open Source”, “KI”. Und dann wieder “souverän”, klar.

Die Messe hatte dafür sogar einen eigenen Tag. Der neue “Resilience Day” widmete sich laut Veranstalter “Resilienz, Souveränität und Cybersicherheit im öffentlichen Sektor”. 27.000 Quadratmeter, 30.000 Teilnehmende, 1.400 Sessions. Und ein Wort.

Damit wäre zu den bestimmenden Themen der SCCON eigentlich alles gesagt. Weil sich dazu aber kaum jemand äußern wird, nehme ich mir in diesem Nachklapp genau dieses eine Wort vor.

Souveränität ist 2026 vom Anspruch zum Druckerzeugnis geworden.

Das Wort verkauft sich, weil der Bedarf vorhanden ist

Eins vorweg, zur Ehrenrettung der Aussteller: Die drucken “souverän” auf die Wand, weil ihre Kund:innen danach fragen. Und die haben dafür gute Gründe. Ich sehe drei.

Der erste ist geopolitisch, und er hat in diesem Jahr ein Datum: den 12. Juni 2026. An diesem Tag erhielt Anthropic eine Anordnung der US-Regierung, den Zugang zu seinen beiden stärksten Modellen für ausländische Staatsangehörige zu sperren, und schaltete Fable 5 und Mythos 5 daraufhin für alle Nutzer ab. Am 1. Juli war der Zugang wieder da. Dazwischen lagen 18 Tage, in denen der Bitkom von einer Abhängigkeit “vom Wohlwollen der US-Regierung” sprach, mit unmittelbaren Auswirkungen auf “unsere Verwaltungen”. Dass es dabei um mehr als KI geht, hatte Microsoft schon ein Jahr vorher vorgeführt. Im Mai 2025 verlor der Chefankläger des Internationalen Strafgerichtshofs nach US-Sanktionen sein E-Mail-Konto. Microsoft bestreitet bis heute, Dienste gekappt zu haben. Der Gerichtshof wechselt trotzdem zu openDesk. Und vor dem französischen Senat antwortete der Rechtschef von Microsoft France im Juni 2025 unter Eid auf die Frage, ob er garantieren könne, dass Daten französischer Bürger nicht an US-Behörden gehen: “Non, je ne peux pas le garantir”.

Die Parallele zur Energiekrise zieht inzwischen die Politik selbst. Schleswig-Holsteins Digitalminister Dirk Schrödter: Nach dem russischen Angriff auf die Ukraine sei allen die Abhängigkeit bei der Energieversorgung bewusst geworden, jetzt sehe man dieselben Abhängigkeiten im Digitalen. Was damals das Gas war, ist heute das Office-Paket.

Der zweite Grund steht in der Haushaltsrechnung. Der Bund hat 2025 481,4 Millionen Euro für Microsoft-Lizenzen ausgegeben, 38 Prozent mehr als im Vorjahr. Zum 1. Juli 2026 hat Microsoft die Preise für Microsoft 365 erneut angehoben, bei einzelnen Plänen um bis zu 33 Prozent, ausdrücklich auch für Behördenkunden. Microsoft ist damit in guter Gesellschaft. Atlassian hat seine Server-Lizenzen im Februar 2024 auslaufen lassen und den Kunden die Wahl zwischen Cloud und Data Center gelassen; wer Data Center genommen hat, zahlt seit dem 17. Februar 2026 15 Prozent mehr Listenpreis. Und wer VMware einsetzt, kennt das Muster in seiner Extremform: Die europäischen Cloud-Verbände beziffern die Kostensteigerung seit der Übernahme durch Broadcom auf über 1.000 Prozent. So etwas macht ein Anbieter nur, wenn er sicher ist, dass die Kunden nicht weglaufen können. Das ist der dritte Grund.

Drittens hängt die Verwaltung technisch an wenigen Kerntechnologien, ohne die nichts mehr geht. Die vom Bundesinnenministerium beauftragte Studie von 2019 fand Microsoft Office und Windows in 96 Prozent der befragten Bundesbehörden, bei den Datenbanken stellen Oracle und Microsoft zusammen fast 80 Prozent. München hat im Herbst 2025 als erste Großstadt 194 geschäftskritische Anwendungen mit einem eigenen Score bewertet. 21 Prozent landeten in der schlechtesten Stufe, darunter gesetzlich vorgeschriebene Fachverfahren, bei denen es schlicht keinen zweiten Anbieter gibt.

So weit die Nachfrageseite. Alles nachvollziehbar, alles begründet, und seit 2019 auch aktenkundig. Neu ist, dass die Anbieter es jetzt entdeckt haben. Und was sie daraus machen.

Sieben Arten, souverän zu sein, ohne es zu werden

Das Wort auf den Messewänden ist überall dasselbe. Gemeint ist jedes Mal etwas anderes. Ich habe mitgezählt und bin auf sieben Varianten gekommen.

Souverän heißt: Das Rechenzentrum steht in Deutschland. Microsoft verspricht für seine Sovereign Public Cloud, dass “customer data stays in Europe, under European Law”. AWS eröffnete im Januar in Brandenburg eine Region, die “operated exclusively by EU residents” wird. Beides ändert nichts an der Rechtslage. Das vom Bundesinnenministerium beauftragte Gutachten der Universität zu Köln stellt fest, dass der CLOUD Act “unabhängig davon” greift, ob Daten “in den USA oder im Ausland gespeichert sind”, und dass ausländische Tochtergesellschaften “in der Regel der Herausgabepflicht” unterliegen. Wo der Server steht, hilft also nur begrenzt, solange der Betreiber amerikanischem Recht unterliegt.
Souverän heißt: Eine deutsche GmbH betreibt es. Die Delos Cloud ist das prominenteste Beispiel: Microsoft-Technologie, betrieben von Arvato Systems, Eigentümerin eine SAP-Tochter, laut gemeinsamer Pressemitteilung “die erste souveräne Hyperscale-Cloud”. Der Delos-Geschäftsführer selbst räumte 2024 ein, die Cloud ließe sich nur einige Monate unabhängig von Microsoft betreiben, Souveränität also “nur mit Ablaufdatum”. SAP-Vorstand Thomas Saueressig nennt das trotzdem “extrem souverän. Quasi der Goldstandard.” Die Open Source Business Alliance (OSBA) hat für dieses Modell ein Wort: Sovereignty Washing. Der europäische Anbieter ist dann nur noch die “Hülle” um die Software eines außereuropäischen Hyperscalers.
Souverän heißt: Uns gehört die Firma selbst, uns kann keiner reinreden. So argumentieren die deutschen und europäischen Cloud-Anbieter, und von den sieben Varianten ist das die ernsthafteste, weil Eigentum und Rechtsraum in jedem Kriterienkatalog stehen. Nur reicht es eben nicht. Mit einer europäischen Gesellschafterstruktur hat man die Eintrittskarte, mehr erst einmal nicht. Wer darauf proprietäre Software betreibt, deren Code niemand prüfen kann, hat das Problem mit den US-Behörden gelöst und den Lock-in behalten.
Souverän heißt: Wir machen was mit Open Source. Wer macht das nicht. Nur sagt eine Open-Source-Lizenz noch nichts darüber, wer das Ding betreibt und wer es kontrolliert. Ein Open-Weight-Modell aus Kalifornien, gehostet in Frankfurt, wird dadurch nicht europäisch, und die Open Source Initiative hält Metas Llama-Modelle ohnehin für “still not Open Source by any stretch of the imagination”. Noch eine Stufe weiter geht “OpenAI for Germany”: von SAP und OpenAI offiziell als “sovereign” beworben, läuft es laut derselben Pressemitteilung auf der Delos Cloud “running on Microsoft Azure technology”. Ein US-Modell auf einer US-Plattform, betrieben von einer deutschen GmbH. Dreimal souverän?
Souverän heißt: Wir verkaufen Ihnen die Hardware, mit der Sie selbst souverän werden. Die Telekom startete ihre Industrial AI Cloud mit bis zu 10.000 Nvidia-GPUs unter dem Titel “Für ein souveränes Deutschland”, und Nvidia definiert “Sovereign AI” praktischerweise als Fähigkeit einer Nation, KI mit eigener Infrastruktur zu produzieren. Die Chips kommen aus Kalifornien, die Software, mit der man sie programmiert, auch. Souverän ist hier leider nur der Stromanschluss und das Blech.
Souverän heißt: Die KI kommt aus Europa. Bund und Frankreich kündigten im November 2025 mit Mistral und SAP eine “sovereign AI for public administration” an, ein Rahmenvertrag sollte bis Mitte 2026 stehen. Im Oktober erklärte das Digitalministerium, den habe nie jemand unterschrieben. Souverän ist hier bisher vor allem die Pressemitteilung. Kommt da noch mehr?
Souverän heißt: Wir haben ein C5-Testat. Das Testat des Bundesamts für Sicherheit in der Informationstechnik (BSI) prüft Informationssicherheit, nicht die Immunität gegen Drittstaatenrecht. Trotzdem steht es in dieser Messewoche in Pressemitteilungen als Souveränitätsnachweis. In derselben Mitteilung sagt die Vertreterin des Zentrums für Digitale Souveränität (ZenDiS) den Satz, der auf jede Rückwand gehört hätte: “Digitale Souveränität entsteht nicht durch ein einzelnes Produkt.”

Souveränitäts-Washing ist also in vollem Gange, und zwar quer durch die Branche, vom Hyperscaler bis zum deutschen Mittelständler. Peter Ganten von der OSBA hat es im vergangenen Jahr auf den Punkt gebracht: “Wenn ein Wort im Trend liegt, klebt das jeder bei sich drauf.” 25 europäische Cloud-Chefs warnten im März die EU-Kommission in einem offenen Brief ausdrücklich vor “sovereignty washing”. Dabei hat jeder einzelne Anbieter recht, dass sein Kriterium ein Souveränitätskriterium ist.

Also: Jeder einzelne irrt, wenn er behauptet, es sei das einzige.

Für den nächsten Messebesuch habe ich mir deshalb drei Fragen notiert: In welcher Dimension? Auf welcher Stufe? Und wer außer Ihnen hat das geprüft? Wer die drei beantworten kann, darf das Wort drucken.

Souveränität ist kein Frühstücksbuffet

Dabei ist das Wort längst definiert, seit fünf Jahren, und zwar von den Bedarfsträgern selbst. Der IT-Planungsrat hat im März 2021 die Strategie zur Stärkung der digitalen Souveränität beschlossen. Danach ist digital souverän, wer seine Rollen in der digitalen Welt “selbstständig, selbstbestimmt und sicher” ausüben kann, gemessen an drei Zielen: Wechselmöglichkeit, Gestaltungsfähigkeit und Einfluss auf Anbieter. Vom Standort steht da nichts, von der Gesellschafterstruktur auch nicht. Beides kann helfen, die drei Ziele zu erreichen. Ein Ziel ist es für sich genommen nicht.

Im Januar habe ich an dieser Stelle noch geschrieben, das Wort sei undefiniert und werde den Anbietern als Etikett überlassen. Da muss ich mich korrigieren. Definiert ist es. Angewendet wird es nicht. Und seitdem ist die Lage sogar besser geworden. Das BSI hat im April mit C3A einen Kriterienkatalog veröffentlicht, der die Souveränitätseigenschaften von Cloud-Diensten in sechs Dimensionen prüfbar macht, von der strategischen über die rechtliche bis zur Lieferketten-Souveränität. Ein C5-Testat muss man dort schon mitbringen, um überhaupt geprüft zu werden. Das ZenDiS hat im März 20 Kriterien in vier Kategorien zur Konsultation gestellt und auf der SCCON den Katalog als Basis für ein Messmodell vorgestellt. Die EU-Kommission bewertet ihre eigenen Cloud-Vergaben seit Oktober 2025 nach einem Framework mit acht Zielen und fünf Stufen, von SEAL-0 “No Sovereignty” bis SEAL-4 “Full Digital Sovereignty”. Und der im Juni vorgelegte Cloud and AI Development Act (CADA) will vier gesetzliche Vertrauensstufen einführen, mit Stufe 1 als Mindestanforderung für jede öffentliche Vergabe. Was CADA kann und wo es nicht reicht, habe ich im Juni beschrieben.

Allen diesen Katalogen ist zweierlei gemeinsam. Sie messen in mehreren Dimensionen gleichzeitig. Und sie kennen “souverän” gar nicht als Zustand, bei ihnen gibt es davon nur mehr oder weniger. Das EU-Framework ist dabei am konsequentesten. Die Gesamtstufe eines Angebots ist die niedrigste Stufe in irgendeinem der acht Ziele. Wer in sieben Kategorien glänzt und in einer bei null steht, steht insgesamt bei null.

Souveränität ist kein Frühstücksbuffet, an dem man sich nimmt, was einem passt. Sie ist eine Kette, und die hält, was das schwächste Glied hält.

Daraus lässt sich eine Arbeitsdefinition ableiten, die auf jeden Flyer passen würde: Digitale Souveränität ist der Grad, in dem eine Verwaltung für ein konkretes System den Anbieter wechseln, die Technik gestalten und ihre Bedingungen durchsetzen kann. Dafür braucht es viele Kriterien, jedes für sich bewertet, und am Ende zählt das schwächste. Was herauskommt, ist eine Zahl zwischen 0 und 100 Prozent, mit der man rechnen und vergleichen kann. München macht genau das seit einem Jahr auf einer Skala von 1 bis 5, und das Ergebnis war unbequem genug, dass man es ernst nehmen muss.

Was jetzt noch fehlt, ist das Siegel

Auf der Rückfahrt habe ich mich dann gefragt: Wenn Definition, Kriterien und Stufen alle da sind, warum druckt trotzdem jeder, was er will? Die Antwort ist unbequem einfach. Weil es niemand verbietet. Es gibt keine Stelle, die das Wort vergibt, und keine, die es wieder einsammelt.

Das hatten wir schon einmal. Bis 1978 konnte jeder Hersteller “umweltfreundlich” auf seine Verpackung schreiben. Dann vergab am 5. Juni 1978 erstmals eine Jury den Blauen Engel, das erste Umweltzeichen der Welt. Sein Bauplan ist 48 Jahre später ziemlich genau das, was der Souveränitätsdebatte fehlt: Das Umweltministerium ist Zeicheninhaber, das Umweltbundesamt entwickelt die Kriterien, eine weisungsfreie Jury aus 15 Mitgliedern aus Verbänden, Wissenschaft, Kommunen und Industrie beschließt sie, die RAL gGmbH prüft die Anträge, und die Kriterien stehen öffentlich im Netz. Heute tragen über 70.000 Produkte das Zeichen. Seit 2020 gibt es ihn sogar für Software, und ein Prüfbereich dort heißt “Nutzungsautonomie”: offene Datenformate, Deinstallierbarkeit, Modularität. Das ist näher an Wechselmöglichkeit und Gestaltungsfähigkeit als jedes IT-Label, das heute Souveränität verspricht.

Denn solche Labels gibt es, nur prüfen sie etwas anderes. “IT Security made in Germany” verlangt einen Hauptsitz in Deutschland, “Software Made in Germany”, seit Februar unter Schirmherrschaft des Digitalministeriums, verlangt Sitz, Entwicklung und Support in Deutschland. Ob ich an den Code komme, ob ich Einfluss auf die Roadmap habe, ob ich wieder herauskomme: Danach fragt keines davon. Geprüft wird im Kern die Postadresse. Frankreich zeigt seit 2022, dass es anders geht. Die ANSSI-Qualifikation SecNumCloud verlangt, dass außereuropäische Eigentümer nicht mehr als 24 Prozent einzeln und 39 Prozent zusammen halten dürfen. Rund ein Dutzend Angebote haben das bisher geschafft. Das sind wenige. Aber bei denen weiß man, was man hat.

Und in Deutschland vergibt sich der Markt die Siegel selbst. Die Schwarz-Gruppe hat im April mit ES³ ein eigenes Souveränitäts-Siegel mit vier Reifegraden vorgestellt, geprüft von einer Wirtschaftsprüfungsgesellschaft, vergeben an die eigenen Dienste. Ich mache dem Unternehmen daraus keinen Vorwurf, das ist Marketing, und zwar gutes. Nur hat ein Siegel, das der Geprüfte selbst herausgibt, den Wert einer Produktbroschüre mit Prüfvermerk. Der Blaue Engel wäre nie etwas geworden, hätte ihn die Waschmittelindustrie vergeben.

Deshalb meine ich das ernst: Deutschland braucht ein Souveränitätssiegel mit der Governance des Blauen Engels. Zeicheninhaber ist das Digitalministerium. Die Kriterien kommen aus dem, was vorliegt: C3A vom BSI für die Cloud, der ZenDiS-Katalog für Anwendungen und Organisation. Eine unabhängige Jury, in der Länder-CIOs, Kommunen, Datenschutzaufsicht, Wissenschaft und beide Lager der Industrie sitzen, OSBA wie Bitkom. Eine Prüfstelle, die vergibt und entzieht. Mehrere Stufen, damit aus “souverän” eine Zahl wird, mit der sich Angebote vergleichen lassen. Und eine Mindeststufe in jeder öffentlichen Vergabe, so wie CADA sie für Europa ohnehin vorsieht.

Ob das ein eigenes Institut braucht oder beim ZenDiS angedockt wird, das sich in dieser Woche eine Säule “Souveränitätsmanagement” mit regelmäßigen Lagebildern zu Abhängigkeiten gegeben hat (Tagesspiegel Background, Paywall), weiß ich nicht. Dass das Digitalministerium diese Pläne bisher zurückhaltend kommentiert und eine eigene Bestandsaufnahme der Abhängigkeiten im April noch für nicht erforderlich erklärt hat, spricht eher für eine Stelle mit eigenem Mandat. Österreich ist da einen Schritt weiter: Sieben Leitbetriebe fordern seit Juli ein “Gütesiegel für Souveränität” für die öffentliche Beschaffung. Der Weg ist nicht neu. Er wird nur nicht genommen.

Fazit

Die SCCON 2026 hat gezeigt, dass Souveränität angekommen ist. Im Marketing. Ob sie auch in den Rechenzentren und in den Verträgen angekommen ist, konnte die Messe nicht zeigen. Das kann derzeit niemand, weil es niemand prüft. An Definitionen mangelt es nicht. An Kriterien auch nicht mehr. An der Stelle, die beides verbindlich macht, schon.

Es bleibt abzuwarten, welche Kuh im Oktober 2027 durchs SCCON-Dorf getrieben wird. Meine Wette: dieselbe.

Tiefenblick: Wenn der Berater codet und der Entwickler berät; und beide im selben Revier landen.

Thu, 08 Oct 2026 10:02:48 +0200

Zweite Ausgabe von Tiefenblick, der monatlichen Schwerpunktanalyse zu Marktbewegungen mit Bezug zur Verwaltungsdigitalisierung.

103 Euro Stundensatz. Im Jahr davor 104. Beim Monatseinkommen derselben Freelancer stehen dagegen 6.653 Euro gegen 8.432 Euro im Vorjahr, ein Minus von 21 Prozent (freelancermap, Freelancer-Kompass 2026, Erhebung 17.11.2025 bis 08.02.2026, n gleich 5.412).

Ein Prozent beim Preis, 21 Prozent beim Einkommen. Diese Lücke kann fast nur über verkaufte Tage entstehen, also über die Auslastung, und dieselbe Erhebung bestätigt das: 24 Prozent hatten im vergangenen Jahr weniger als 50 Projekttage, 62 Prozent planen keine Erhöhung ihrer Sätze, 9 Prozent planen eine Senkung.

Der Markt verhandelt gerade nicht über den Tagessatz, sondern kämpft um die Auslastung. Genau das ist der Boden für eine Bewegung, die ich seit Monaten in fast jedem Gespräch höre: Berater fangen an, Software zu bauen, Softwareentwickler fangen an zu beraten, beide mit KI als Begründung. Und sie laufen dabei aufeinander zu. Der Reihe nach.

Was belegt ist, und was ich nur aus Gesprächen weiß

Belegt ist die abrupte Abkühlung. Der Hays Fachkräfte-Index IT steht in Q2/2026 bei 59 Prozent und damit 37 Prozentpunkte unter dem Vorquartal: Webentwickler minus 42, Java minus 36, .NET minus 35 Prozent, IT-Security dagegen bei 373 (Hays Fachkräfte-Index IT). 2025 sank die Beschäftigtenzahl in der IT-Branche erstmals seit über 20 Jahren, um 0,6 Prozent, und 54 Prozent der IT-Dienstleister erwarten bis 2028 sinkende Nachfrage nach Softwareentwickler:innen (Lünendonk-Listen 2026, 10.06.2026).

Die Tagessätze fallen dabei nicht flächendeckend. Entwickler:innen und Senior-Profile in der Anwendungsentwicklung legen 2026 noch zu, auf 805 und 1.192 Euro. Nach unten geht es oben: Spezialskills von 1.571 auf 1.498 Euro, Projektleitung und Architektur in der IT-Infrastruktur von 1.475 auf 1.369 Euro, also minus 7,2 Prozent (CIO.de mit Daten des Benchmarking-Anbieters Metrics, 11.03.2026).

An einer Stelle muss ich meine eigene These einschränken. Keine verfügbare Quelle quantifiziert Preisdruck speziell im deutschen öffentlichen Sektor. Es gibt dazu keine Tagessatzreihe, keine Auslastungsquote und keinen Anbieter, der sich öffentlich äußert. Was es gibt, spricht teilweise dagegen: adesso, größtes Segment öffentliche Verwaltung, steigerte den Umsatz je Mitarbeitenden in Q1/2026 von 114 auf 117 Tausend Euro (adesso SE, Q1 2026), Materna wuchs 2025 um 11,8 Prozent und im Public Sector um 18,4 (Materna, 17.02.2026).

Dafür gibt es aber eine Erklärung: Jahreszahlen zeigen abgeschlossene Projekte und nicht, was in laufenden Angebotsrunden verhandelt wird. Entscheidend ist dabei die Vertragslage: Preise für den öffentlichen Sektor wechseln nicht jährlich, sie stehen in mehrjährigen Rahmenverträgen fest. Den Preisdruck sieht man deshalb nicht laufend, sondern erst, wenn neu ausgeschrieben wird. Wer heute gute Zahlen zeigt, zeigt die Konditionen von 2023.

Der Preisdruck im öffentlichen Sektor ist damit strukturell plausibel, taucht in den Quellen aber noch nicht auf. Was ich dazu schreibe, ist die Beobachtung eines Praktikers.

Der Druck kommt aus kleineren Budgets, nicht aus der KI

Die einfachste Erklärung für den Preisdruck und die mangelnde Auslastung steht im Haushalt, und man sieht sie am OZG.

2020 beschloss der Bund im Konjunkturprogramm drei Milliarden Euro zusätzlich für die OZG-Umsetzung (IT-Planungsrat, Beschluss 2020/39, Eckpunkte Umsetzung des OZG). Erreicht wurden damit bis August 2023 von 575 Zielleistungen genau 127 flächendeckend (BT-Drs. 20/8958, 19.10.2023).

Was danach kam, ist eine andere Größenordnung. Für 2023 standen noch 377 Millionen Euro bereit, 2024 waren es über alle Bundesressorts zusammen 18,8 Millionen (netzpolitik.org, Fachpresse, 2024). Die gemeinsame Finanzierung der Einer-für-Alle-Dienste läuft heute mit 25 Millionen Euro pro Jahr über die FITKO (IT-Planungsrat, Beschluss 2025/51). Aus einer Aufbaufinanzierung ist eine Betriebskostenumlage mit Deckel geworden. Der Bundesrechnungshof hält für den Haushalt 2026 fest, dass der Bund für die FITKO 9,8 Millionen Euro einstellt, während sein geschätzter Anteil bei 56,6 Millionen liegt (Bundesrechnungshof, Bericht zum Einzelplan 24).

Dazu wird schärfer kontrolliert. Über den IT-Zustimmungsvorbehalt des Bundes wurden mehr als 4.000 Vorhaben geprüft, bei rund 800 Millionen Euro Volumen griff das BMDS steuernd ein (BT-Drs. 21/7989 vom 10.09.2026). Und die Titel, aus denen klassischer Umsetzungsumsatz kommt, sinken: die Registermodernisierung von 263 auf 194 Millionen Euro, also um gut ein Viertel (Bundesrechnungshof).

Stattdessen geht das Geld in die Verteidigung. Deren Haushalt stieg von 51,95 Milliarden Euro in 2024 auf 82,69 Milliarden in 2026, der Entwurf für 2027 nennt 109,7 Milliarden (BMVg, Entwicklung und Struktur des Verteidigungshaushalts). Seit der Grundgesetzänderung vom März 2025 fallen Verteidigungsausgaben oberhalb von einem Prozent des Bruttoinlandsprodukts nicht mehr unter die Schuldenbremse (bpb.de). Der Digitalhaushalt wächst im gleichen Zeitraum nur um 6 Prozent, von 1,36 auf 1,44 Milliarden Euro (Bundestag, hib 653/2026).

Keine amtliche Quelle wägt das eine gegen das andere ab, das ist meine Zuordnung. Aber für einen Dienstleister ist die Rechnung dieselbe, ob der Grund Krieg, Spardruck oder Notlage heißt: Es ist weniger zu holen, und was zu holen ist, wird genauer geprüft.

Bei der Frage, ob KI zusätzlich an der Preisschraube dreht, widersprechen sich die Erhebungen scheinbar. Der BDU weist für 2025 kalkulierte Tagessätze 2 Prozent unter Vorjahr aus, in der IT-Beratung 3 Prozent, und begründet das mit Konjunktur und zurückhaltenden Investitionen. 66 Prozent der befragten Häuser sehen keinen messbaren KI-Effekt auf ihre Honorarkalkulation (BDU, Honorare im Consulting 2025, 16.12.2025).

Diese Umfragen fragen Anbieter nach ihrer Kalkulation. Auf der Einkaufsseite sieht es anders aus: 70 Prozent der befragten IT- und Sourcing-Entscheider verhandeln bereits Abschläge auf Zeit- und FTE-Modelle, wenn der KI-Einsatz des Dienstleisters steigt, 90 Prozent fordern konkrete KI-Effizienzvorschläge ein (Lünendonk, IT-Sourcing-Trends 2026/2027, 30.09.2026, über 150 Entscheider). Dass Anbieter das noch nicht einkalkuliert haben, heißt nicht, dass es nicht auf dem Verhandlungstisch liegt.

Niedrige Auslastung heute, absehbar niedrigere Preise in der nächsten Ausschreibungsrunde. Wer das vor sich sieht, kann an zwei Stellen ansetzen: an den Kosten oder am Geschäftsmodell. Mich interessiert hier das Geschäftsmodell.

Der Berater baut jetzt selbst die Software

Das Argument dahinter ist gut, und ich halte es in Teilen für richtig. Wer seit Jahren Verfahrensvorschriften, Gesetze, Verordnungen und Prozesse in Behörden erhebt und dokumentiert, sitzt auf dem Material, das er benötigt, um mit Hilfe von KI selbst die Software zu entwickeln. Spec-driven development dreht dabei die Reihenfolge um, “specifications as the source of truth and code as a generated or verified secondary artifact” (Piskala, arXiv:2602.00180, 30.01.2026), und Microsoft lehrt die Methode inzwischen offiziell (Microsoft Learn). Das Fraunhofer IESE zeigt konkret, dass generative KI Datenmodelle aus Prozessdokumentationen ableiten und Anforderungen auf Vollständigkeit prüfen kann (Fraunhofer IESE).

Nur liegt der blinde Fleck nicht beim Coden.

Die Spezifikation ist nicht der Engpass. Keine empirische Arbeit setzt Spezifikationsqualität und KI-Codequalität ins Verhältnis, für Verwaltungsrecht und Fachverfahren schon gar nicht. Die beste verfügbare Empirie verschiebt den Engpass sogar: Der DORA-Report 2025 nennt Plattform-Engineering als Voraussetzung dafür, dass KI im Maßstab sicher wirkt, und empfiehlt, Kernplattformen und Liefermodelle umzubauen, bevor man KI skaliert (DORA 2025). Diese Plattformkompetenz fehlt den Beratern. Eine einzelne Fachanwendung zu bauen löst das Problem nicht, weil das Problem die fehlende Plattform darunter ist.

Das meiste, was eine Verwaltungsanwendung erfüllen muss, steht in keiner Fachspezifikation. Barrierefreiheit nach BITV 2.0 und EN 301 549. Die Anbindung an Nutzerkonto und Authentifizierung, an Bezahldienste, an die E-Akte, an die Übermittlungsinfrastruktur für Antragsdaten. Dazu IT-Grundschutz, bei Cloud-Diensten für amtliche Daten der BSI-Kriterienkatalog C5:2026 mit 168 Kriterien in 17 Themenbereichen (BSI, C5). Das ist in Teilen dokumentiert, aber das Wissen, wie man es tatsächlich zum Laufen bringt, sitzt in den Köpfen von Entwicklern, die seit Jahren in diesem Sektor arbeiten. Dieses Erfahrungswissen holt man sich nicht über eine Spezifikation, und auch nicht über ein Modell. Der generierte Code selbst ist dabei das kleinere Problem, erreicht 2026 aber auch nur eine Sicherheitsquote von 56 Prozent bei nahezu perfekter Syntax, in Java sogar nur 30 Prozent (Veracode 2026 GenAI Code Security Report, 28.07.2026).

Bauen ist der erste Schritt, das Geschäft kommt danach. Eine Fachanwendung lebt zehn Jahre und länger. In dieser Zeit braucht sie Releases, Sicherheitsupdates, Support mit Reaktionszeiten, Anpassungen an jede Rechtsänderung, Migrationen, Schulungen, einen 2nd-Level-Support, der auch an Feiertagen erreichbar ist, und jemanden, der die Abhängigkeiten pflegt. Das ist kein Projektgeschäft, das ist ein Betrieb mit eigenen Prozessen. Berater verkaufen Phasen, Softwarehäuser verkaufen Jahre. Wer über KI in die Entwicklung einsteigt, hat die Baukosten gesenkt und sich die teurere Hälfte ans Bein gebunden.

Der Vorsprung im Einsatz der KI-Werkzeuge hält außerdem nicht lange. GovTech Deutschland hat im Juli 2026 den GovTech AI Builder und ein AI Development Kit veröffentlicht, ausdrücklich für Fachverfahrenshersteller, IT-Dienstleister und Behörden. Vorstand Ammar Alkassar hat dazu beide Seiten in einem Satz formuliert: KI-Agenten übernähmen “praktisch das Coden”, aber Entwicklung und Betrieb produktiver Lösungen fänden “nicht in Hackathons oder auf Küchentischen” statt, sondern in klaren Governance- und Betriebsumgebungen (eGovernment Computing, 17.07.2026). Wenn alle dasselbe Werkzeug bekommen, ist “ich kann jetzt auch coden” kein Unterscheidungsmerkmal für Berater, sondern eine Mindestanforderung für alle.

Der Umsetzer steuert jetzt selbst seine Softwareprojekte

In der Gegenrichtung ist die Logik noch einfacher, und sie hat mit KI erst im zweiten Schritt zu tun.

Ein großes Software-Umsetzungsprojekt in der Verwaltung läuft seit Jahren mit Beratern an der Seite. Sie spezifizieren, führen das Gesamtprojekt, halten den Kontakt zu Fachbereich und Hausleitung, managen Stakeholder, schreiben Statusberichte, pflegen Risikolisten, moderieren Jour fixes. Das sind teils notwendige Leistungen, aber jeder zusätzliche Akteur macht das Gesamtprojekt teurer und die Abstimmung länger.

Genau diese begleitenden Tätigkeiten lassen sich mit KI inzwischen gut erledigen. Protokolle, Statusberichte, Risikolisten, Nachhalten von offenen Punkten, Zusammenfassungen für die Leitung: Das ist Arbeit an Text und Struktur, und darin ist KI stark. Dass Umsetzer das dann selbst machen wollen, ist nachvollziehbar. Sie sitzen näher an der Sache, sie verlieren weniger in der Übergabe, und sie können den Posten gleich mit anbieten.

Was dabei wegfällt, ist allerdings nicht nur Verwaltungsaufwand, sondern auch Governance. Umsetzung muss neutral begleitet und kontrolliert werden, und das kann der Umsetzer nicht für sich selbst tun. Wer das eigene Projekt bewertet, bewertet nicht. Die Frage, ob ein Meilenstein erreicht ist, ob der Aufwand angemessen war, ob eine Änderung wirklich nötig ist, braucht eine Instanz mit eigenem Interesse an der Antwort.

Diese Instanz kauft der Staat bewusst ein. Die PD, Berater der öffentlichen Hand, gehört zu 100 Prozent der öffentlichen Hand, hat Inhouse-Status, und das Bundesfinanzministerium bewirbt die Leistung ausdrücklich als “qualifizierte, unabhängige und neutrale Beratung” (BMF). Neutralität ist hier ein beschafftes Leistungsmerkmal, keine Nebenleistung, und dasselbe gilt für jede andere Beratung, die damit antritt.

Hinzu kommt ein Befund, der dort ansetzt, wo der Umsetzer die Anforderungsarbeit übernimmt. Das Fraunhofer IESE hält fest, dass generative Werkzeuge Lücken in Anforderungen “mit plausibel erscheinenden, aber oft fachlich fatalen Annahmen” füllen und dass sich “nicht mehr auszuschließen” sei, “dass gar kein Mensch mehr involviert ist, wenn Entscheidungen im Code manifestiert werden” (Fraunhofer IESE). Wenn derselbe Anbieter die Anforderung schreibt, die KI die Lücken füllt und niemand mit eigenem Interesse dagegenhält, dann wandert eine fachlich falsche Annahme ungebremst in die Software und von dort in den Bescheid, den der Bürger im Briefkasten hat.

Und dann greift das Vergaberecht, und zwar gegen beide Bewegungen gleichzeitig. § 7 VgV verlangt vom Auftraggeber angemessene Maßnahmen, wenn ein Unternehmen ihn beraten oder an der Vorbereitung mitgewirkt hat, und verpflichtet ihn, die weitergegebenen Informationen allen Bietern mitzuteilen (Normenkommentar cosinex zu § 7 VgV). Ausgeschlossen wird dabei kaum jemand: Das OLG Düsseldorf hat am 11.12.2024 einen automatischen Ausschluss des Projektanten abgelehnt und die Substantiierungslast dem unterlegenen Bieter zugewiesen (Vergabeblog zu OLG Düsseldorf, Verg 24/24).

Bezahlt wird an anderer Stelle. Die Vergabekammer des Bundes hielt 2023 den Ausschluss eines vorbefassten Bieters für unverhältnismäßig und gab dem Auftraggeber stattdessen auf, das Zuschlagskriterium zu eigenen Lösungsansätzen aus der Wertungsmatrix zu streichen, weil es sich für die Nutzung von Projektantenwissen besonders anbot (VK Bund, VK 2-68/23, 18.09.2023).

Wer die Vorstudie schreibt, darf anschließend bieten, aber in einem Verfahren, in dem sein Vorsprung nicht mehr bewertet wird, und er muss ihn vorher an alle Mitbieter weitergeben. Beide Leitfälle stammen aus Bau- und Projektsteuerungsverfahren, eine veröffentlichte Entscheidung aus einer deutschen IT-Vergabe habe ich nicht gefunden. Trotzdem halte ich das für übertragbar.

Und die Beratungsleistung selbst wird zum Produkt

Während beide Seiten ins Revier des anderen gehen, passiert etwas Drittes: Eine klassische Beratungsleistung wird als Lizenz verkauft.

Das deutlichste Beispiel ist die Erstellung von Vergabeunterlagen, bisher ein Standardauftrag für Vergabeberater. Nordrhein-Westfalen hat dafür einen Rahmenvertrag mit GovRadar geschlossen, deren KI Leistungsbeschreibungen “aus Millionen bestehender Vergabeunterlagen” erzeugt. Bei Veröffentlichung hatten 166 von 427 Kommunen Lizenzen angefordert, 2.140 Lizenzen waren verteilt, die Ausweitung auf Landesministerien, Landesbehörden, Hochschulen und landesnahe Unternehmen war vorgesehen (MHKBD NRW, 17.07.2025).

Für den Beratermarkt ist das die unangenehmste der drei Bewegungen. Der Wettbewerb kommt hier nicht als Berater und nicht als Entwickler, sondern als Lizenz, und er kommt über einen Landesrahmenvertrag an der Beratungsbeschaffung komplett vorbei. Wer dagegen antreten will, kann seinen Tagessatz nicht senken, denn er konkurriert nicht mit einem Tagessatz.

In Großbritannien lässt sich nachlesen, wie weit das trägt, weil die einschlägigen Anbieter dort börsennotiert sind. Kainos verschiebt Beratungsumsatz offiziell ins Produktsegment, weil dieses “better placed to deliver implementation services as the product scales” sei. Beratung ist dort Vorleistung zum eigenen Produkt, das 89 Millionen Pfund wiederkehrenden Umsatz bringt (Kainos, FY26 Results, 18.05.2026). Dasselbe Muster bei Netcompany, wo die Marge sich durch einen “higher proportion of licence revenue” verbessert (Netcompany, Q2 2026), und bei Palantir, dessen Modell ein Analystenhaus auf den Punkt bringt: “services are a means to drive product adoption, not the primary revenue stream” (Everest Group).

Was die öffentlichen Auftraggeber davon halten

Sie vergeben gegenläufig. Die großen Aufträge 2026 gingen nicht an Häuser, die alles aus einer Hand anbieten.

Die zentrale Runtime-Komponente des GovTech-Frameworks ging an das Karlsruher Scale-up Codesphere, mit einem Volumen von bis zu 30,8 Millionen Euro (eGovernment Computing, 30.04.2026). Die Werkzeugschicht darüber stellt GovTech Deutschland selbst bereit, für alle Marktteilnehmer gleichzeitig. Behörden kaufen also Plattform und Werkzeug zentral ein und holen sich dafür Spezialisten, nicht Generalisten.

Dataport macht die Trennung im Rahmenvertrag “Software, AI & Digital Services” vom 30.08.2026 explizit: Los 1 komplette Entwicklungsprojekte mit je einem Auftragnehmer, Los 2 skillorientiertes Engineering über rund 50.000 Personentage mit fünf Auftragnehmern und Mini-Wettbewerben, Los 3 die Vermittlung von KI- und Datendiensten (Vergabebekanntmachung, Aufbereitung über Vergabeplattformen). Genau das, was die Konvergenz zusammenlegen will, wird hier in drei Lose zerlegt.

Großbritannien hält dieselbe Trennung in Lot 1 und Lot 3 seines neuen Rahmenwerks und erlaubt die Bündelung in Lot 2 ausdrücklich wieder (Government Commercial Agency, 31.03.2026). Der Public Accounts Committee warnt im März 2026 vor genau dieser Bündelung, weil gebündelte Großverträge Beratungsausgaben unsichtbar machen (PAC-Bericht, 11.03.2026).

Der Ausweg führt aus der Aufwandsvergütung heraus

Beide Bewegungen laufen in dieselbe Richtung, weil sie derselben Vergütungslogik entkommen wollen. Wer nach Aufwand abrechnet, verdient an Tagen, und wenn die Tage billiger und weniger werden, hilft kein neues Leistungsfeld. Ansetzen muss man an der Abrechnung.

Dafür brauchen die EVB-IT keine Reform. Sie kennen zwar keine erfolgsorientierte Vergütung, aber sie kennen Pauschalfestpreise und Teilabnahmen, und mehr braucht es nicht (IT-Planungsrat, Beschluss B-2025/48-IT vom 26.11.2025).

Was Anbieter selbst tun können, und zwar ab dem nächsten Angebot:

Ergebnisse je Inkrement anbieten statt Tage. Technisch ist das eine Rahmenvereinbarung als Dach und darunter ein Erstellungsvertrag pro Inkrement, jeweils mit Pauschalfestpreis und eigener Teilabnahme. Für jedes Paket steht vorher fest, was geliefert wird und was es kostet, bezahlt wird nach Abnahme. Das ist mehr Papier als ein Dienstleistungsvertrag, aber es ist der Unterschied zwischen “wir stellen drei Entwickler für zwölf Monate” und “wir liefern diese Funktion zu diesem Preis”. Beim zweiten Angebot gewinnt nicht der mit dem niedrigsten Tagessatz.

Den Betrieb als eigenes Geschäft verkaufen, nicht als Anhang zum Projekt. Pflege, Support, Rechtsanpassung und Weiterentwicklung über zehn Jahre sind das eigentliche Geschäft, und sie sind schwer substituierbar, weil sie Erfahrung mit genau diesem Verfahren brauchen.

Die Abnahmekriterien selbst vorschlagen, statt sie sich vorschreiben zu lassen. Wer definiert, was “fertig” heißt, definiert, wann er bezahlt wird.

Und die Rollen pro Vorhaben trennen: Wer bauen will, verzichtet auf die Vorstudie. Das klingt nach Verzicht, ist aber die wirtschaftlich saubere Variante, weil das Vorbefassungswissen ohnehin an alle Mitbieter geht und das Wertungskriterium gestrichen wird, an dem der eigene Vorsprung hängt. Für den Auftraggeber hat die Trennung einen direkten Preiseffekt: Wenn die Vorstudie neutral entsteht, ist die Leistungsbeschreibung nicht auf einen Anbieter zugeschnitten, und dann bieten mehr Häuser auf dasselbe Los. Mehr Bieter bedeuten bessere Preise.

Was die öffentliche Hand ändern müsste:

Der Malus gehört ins Erstellungsmuster. EVB-IT Cloud ist bislang der einzige Vertragstyp mit eingebauter Mechanik für Leistungsdefizite, mit Verfügbarkeitsformel und einer Gutschriftenstaffel in vier Stufen (EVB-IT Cloudvertrag, Fassung 01.02.2024, ausgefülltes Exemplar govdigital und Dataport). Dieselbe Staffel in den Erstellungsvertrag zu übernehmen, wäre der kleinste wirksame Eingriff, den ich sehe. Zuständig ist die AG EVB-IT beim BMDS, und das Muster existiert schon, es steht nur im falschen Vertragstyp.

Die Zuschlagskriterien ausnutzen, die seit dem 01.07.2026 zur Verfügung stehen. Digitale Souveränität ist als Zuschlagskriterium in der Vergabeverordnung verankert und als Ausführungsbedingung im GWB vorgesehen, mit Datenstandort, Interoperabilität und Exit-Szenarien (KPMG Law zum Vergabebeschleunigungsgesetz). Damit lassen sich Wechselfähigkeit und Betriebsübergabe gewichten, ohne dass man es lange begründen muss.

Und das Modell, das mich am meisten interessiert, weil es Effizienzgewinne beim Auftraggeber ankommen lässt: Der amerikanische TechFAR Hub vereinbart die Abnahmekriterien nach dem Zuschlag und je Iteration, bei unbekannter Liefergeschwindigkeit nach 100 Tagen Baselining, und arbeitet mit einem kleinen Anreizanteil von 10 Prozent des Honorars (TechFAR Hub, USDS und GSA). Nach Deutschland übertragen heißt das: Wenn ein Anbieter mit KI schneller liefert, zahlt der Auftraggeber für weniger Inkremente, statt die Einsparung dem Anbieter zu lassen oder sie in Verhandlungen über Tagessätze zu suchen. Das wäre die Stelle, an der KI für die öffentliche Hand spürbar wird.

Gegen eines muss ich allerdings warnen, und das sind Erfolgsprämien. Der britische Rechnungshof hat 52 Programme mit erfolgsabhängiger Vergütung geprüft. Das größte sparte rund 2 Prozent, Innovation gab es kaum, Anbieter nahmen sich die leicht erreichbaren Fälle vor, und eine Ausschreibung erhielt nur einen Bieter, weil die übrigen das Modell für “unworkable” hielten (National Audit Office, Juni 2015). Der Nutzen liegt also nicht in Prämien, sondern darin, in kleinen Schritten zu liefern und früh zu sehen, ob etwas funktioniert. Inkremente ja, Bonuszahlungen nein. Ob Bonus-Malus-Regelungen im deutschen Vergaberecht überhaupt tragen, ist ohnehin offen: Ich habe keine Quelle gefunden, die sie für zulässig oder für unzulässig erklärt.

Was das für die nächste Entscheidung heißt

Die Flucht ins Nachbarrevier vieler Berater und Softwareentwickler ist nachvollziehbar, und sie wird zunehmen. Nur führt sie aus dem Preiskampf nicht heraus, sondern in einen zweiten hinein, mit mehr Teilnehmern und weniger eigener Tiefe.

Wie das endet, hat die Nearshore-Welle vorgeführt. Berater haben damals Kapazität in Osteuropa und Indien eingekauft, um günstiger liefern zu können. Einige Jahre später saßen die ehemaligen Subunternehmer mit eigener Kundenbeziehung im Markt und boten gegen ihre früheren Auftraggeber. Mit KI läuft es schneller, und es trifft beide Seiten gleichzeitig. Denn das Werkzeug, mit dem Berater jetzt bauen und Umsetzer jetzt steuern, steht auch der Behörde zur Verfügung. Der nächste Wettbewerber ist nicht der andere Anbieter, sondern der Kunde selbst, sobald er die KI in die eigene Hand nimmt. NRW kauft die Leistungsbeschreibung heute als Lizenz statt als Beratungstag. GovTech Deutschland stellt die Entwicklungsumgebung zentral bereit. Das ist dieselbe Bewegung, nur eine Stufe weiter.

Die Frage ist deshalb nicht, ob Berater coden lernen oder Entwickler beraten. Die Frage ist, ob der nächste Rahmenvertrag Tage kauft oder Ergebnisse.

Eine Antwort habe ich nicht auf alles. Entsteht aus dieser Konvergenz am Ende nur mehr Wettbewerb bei gleicher Projektqualität, oder gibt es auch Dynamiken, die daraus etwas Besseres machen, etwa kürzere Wege zwischen Konzept und Code? Die Quellenlage gibt dazu nichts her. Deshalb stelle ich die Frage, statt sie zu beantworten, und freue mich auf Widerspruch.

In eigener Sache

Dieser Text ist mit KI-Unterstützung recherchiert und geschrieben. Die Quellen habe ich selbst geprüft, die Einordnung ist meine, und die redaktionelle Verantwortung liegt bei mir.

Zwei Einschränkungen gehören bei diesem Thema dazu. Die Marktbeobachtungen zu Preisdruck und Rollenverschiebung im öffentlichen Sektor stammen aus meinen Gesprächen und nicht aus einer Statistik; wo die Datenlage anders aussieht als meine Beobachtung, habe ich das im Text gesagt. Und das hier ist die Einordnung eines Praktikers, keine vergaberechtliche Beratung. Für die konkrete Ausschreibung oder Vertragsgestaltung in Ihrem Haus ziehen Sie bitte Ihre Vergabestelle oder Rechtsabteilung hinzu.

Tiefenblick: Wenn der Berater zum Vertriebskanal wird; und "Abhängigkeit" verkauft.

Wed, 09 Sep 2026 10:12:48 +0200

Wie die KI-Partnerwelle von Anthropic und OpenAI die IT-Beratung neu verdrahtet, und was das für Verwaltungen bedeutet, die auf Souveränität setzen wollen.

Erste Ausgabe von Tiefenblick, der monatlichen Schwerpunktanalyse zu Marktbewegungen mit Bezug zur Verwaltungsdigitalisierung.

„adesso wird Partner von Anthropic und skaliert agentenbasiertes Software-Engineering für seine Kunden." So der Titel der Meldung im August 2026 (adesso). Der Titel sagt es bereits selbst: für seine Kunden, nicht nur für die eigene Belegschaft. Klingt trotzdem nach einer von hunderten Partner-Pressemitteilungen, die jede Woche irgendwo erscheinen.

Ist sie aber nicht. Sie ist ein Baustein in einem Muster, das sich seit rund einem Jahr durch die gesamte Beratungs- und Umsetzerlandschaft zieht. adesso ist dabei kein Zufallsbeispiel: Das Unternehmen zählt zu den größten IT-Dienstleistern für die deutsche öffentliche Verwaltung (adesso, Öffentliche Verwaltung).

Eine Partnerliste, die sich selbst erklärt

Fast jede große Beratung hat sich in den letzten Monaten öffentlichkeitswirksam an Anthropic, OpenAI oder beide gebunden. Entscheidend ist dabei, ob die Partnerschaft nur die eigene Belegschaft betrifft oder auch die Projekte, die für Kund:innen geliefert werden, denn genau dort entsteht der Lock-in-Hebel bei den Kund:innen selbst:

Accenture und Anthropic: Mehrjahrespartnerschaft mit eigener „Business Group", 2025 gestartet, 2026 um KI-gestützte Cybersecurity erweitert (Accenture Newsroom). Ausdrücklich nicht nur intern: „reinvention deployed engineers" bringen Claude „within client environments" zum Einsatz, öffentlicher Sektor wird als eigene Zielbranche genannt, wörtlich „AI agents that help citizens navigate complex government services" (Accenture Newsroom). Accenture ist parallel Gründungspartner von OpenAIs „Frontier Alliance" (Fortune).
Deloitte und Anthropic: bereits im Juli 2024 verkündet, mit dem erklärten Ziel, Claude-gestützte Anwendungen für „commercial and government clients" bereitzustellen, zunächst 15.000 geschulte Fachkräfte (Deloitte Newsroom). Im Oktober 2025 folgt die Ausweitung auf rund 470.000 Mitarbeitende, laut CNBC „Anthropics größter Enterprise-Rollout überhaupt" (CNBC).
KPMG und Anthropic: globale Allianz, Claude fest in die interne Plattform „Digital Gateway" integriert, 276.000 Mitarbeitende betroffen, verkündet Mai 2026 (KPMG). Ausdrücklich auch für Mandant:innen gedacht: „clients can build agentic workflows in real time" (KPMG). Zwei Monate später wird KPMG zusätzlich „Elite Partner" von OpenAI für „headless software" (Fortune).
PwC und OpenAI: bereits im Mai 2024 offizieller Resellerpartner für ChatGPT Enterprise, OpenAIs Global Head of Alliances wird zitiert mit „PwC becomes our largest customer, but they’re also our first partner who’s going to be reselling ChatGPT enterprise", über 100.000 Lizenzen, davon 75.000 in den USA und 26.000 im Vereinigten Königreich (Business Standard). Im Mai 2026 kommt eine erweiterte Anthropic-Allianz hinzu: 30.000 US-Fachkräfte werden auf Claude zertifiziert, mit geplanter Ausweitung auf „hunderttausende" Mitarbeitende weltweit. Claude läuft dabei laut Anthropic bereits produktiv in Kundenprojekten, u.a. „professional sports operations, insurance underwriting, mainframe modernization, HR transformation, and cybersecurity" (Anthropic).
BCG und McKinsey: beide Gründungspartner der OpenAI Frontier Alliance, deren erklärter Zweck es ist, „AI-driven transformations" bei den eigenen Klient:innen zu skalieren, also kein internes Werkzeug, sondern ein Kundenangebot (BCG), beide zusätzlich mit eigenen Anthropic-Allianzen unterwegs (VentureBeat). McKinsey selbst nutzt daneben seit Sommer 2023 mit „Lilli" ein rein internes KI-Tool für die eigene Beratungsarbeit, nach eigener Aussage „LLM-agnostisch" und unter anderem auf OpenAI-Modellen über Microsoft Azure sowie auf Modellen von Cohere basierend, kein Produkt, das an Mandant:innen verkauft wird (VentureBeat). Die Frontier Alliance von 2026 ist bei McKinsey damit keine neue Öffnung zu OpenAI, sondern die öffentliche, kundenseitige Bestätigung einer Bindung, die intern schon länger bestand.
Capgemini: nicht nur Partner, sondern direkter Investor in die „OpenAI Deployment Company", ebenfalls im Rahmen der Frontier Alliance und damit auf Kundentransformationen ausgerichtet (Capgemini).
IBM und Anthropic: Claude wird in „select IBM software products" integriert, aktuell in „private preview" bei ausgewählten Kund:innen, verkündet Oktober 2025 (IBM Newsroom). IBM nennt „expedited FedRAMP hardening" als Anwendungsfall, das US-Zulassungsverfahren für Cloud-Dienste in der Bundesverwaltung, ein konkreter Public-Sector-Bezug (IBM Newsroom).
Cognizant und Anthropic: „Global Premier Partner", über 30.000 Mitarbeitende Claude-geschult, verkündet Juli 2026. Unter der Überschrift „Cognizant puts Claude to work for clients" nennt Anthropic konkrete Kundenprojekte, darunter ein Kundenerfahrungsportal für einen globalen Hersteller und ein Vertragsanalyse-System für ein Biopharma-Unternehmen (Anthropic).
TCS und Infosys: klar auf das Kundengeschäft ausgerichtet. TCS baut eine eigene Business Unit „focused on deploying Anthropic’s AI models to its customers" auf, parallel erhalten auch die gut 50.000 eigenen Mitarbeitenden Zugang zu Claude, verkündet Juni 2026 (TechCrunch). Infosys entwickelt „enterprise-grade AI agents" auf Claude-Basis für seine Kund:innen, verkündet Februar 2026 (Futurum); alle drei indischen IT-Dienstleister (TCS, Infosys, Cognizant) sind zusätzlich in OpenAIs Codex-Partnerprogramm.
Salesforce und Anthropic: „Claudeforce", Claude wird direkt ins CRM-Produkt eingebettet, das an Kund:innen verkauft wird, Salesforce-Daten wandern umgekehrt in Claude, verkündet August 2026 (Salesforce).
EY, in einer globalen Initiative mit Microsoft, dem größten Anteilseigner von OpenAI, mit dem erklärten Ziel, Klient:innen beim Skalieren von KI zu unterstützen (Microsoft News).

Das ist keine vollständige Liste, es gäbe noch mehr Beispiele. Aber es reicht, um den Punkt zu machen: Es gibt praktisch keinen großen Berater mehr, der nicht an einen oder beide der dominierenden KI-Anbieter angedockt hat, und in den meisten Fällen ausdrücklich nicht nur für die eigene Belegschaft. Mehrere Namen, KPMG, PwC, Accenture, BCG, McKinsey, tauchen sogar doppelt auf.

Und die großen IT-Umsetzer und Integratoren

Neben den klassischen Strategie- und Prüfungsberatungen ziehen auch die IT-Umsetzer und Systemintegratoren mit, die im öffentlichen Sektor unmittelbar Projekte liefern:

DXC Technology und Anthropic: globale Mehrjahresallianz, verkündet Juni 2026, ausdrücklich für die „mission-critical technology infrastructure systems", die DXC für Großkunden betreibt. DXC nennt „government agencies" explizit als Kundengruppe, neben Banken, Airlines und Versicherern, und will „tens of thousands of forward-deployed, Claude-certified engineers" direkt in Kundenumgebungen einsetzen. Getestet wurde zunächst am eigenen Betrieb, DXC nennt das die „Customer Zero philosophy" (DXC Newsroom).
NTT DATA und OpenAI: Codex-Einsatz bislang vor allem intern, nach eigenem „Client Zero"-Prinzip: 9.000 aktive Nutzer:innen, Incident-Analysen von drei Tagen auf 30 Minuten verkürzt. Die Externalisierung zu Kundenprojekten ist laut OpenAI-Case ausdrücklich die nächste Stufe, aber zum Zeitpunkt der Veröffentlichung noch nicht abgeschlossen (OpenAI). NTT DATA ist auch im deutschen öffentlichen Sektor ein etablierter IT-Dienstleister, ein öffentlich dokumentierter Zusammenhang zur Codex-Partnerschaft besteht dafür bislang nicht.
Deutsche Telekom / T-Systems und OpenAI: Mehrjahreskooperation, verkündet im Dezember 2025, mit zwei Strängen: eigene KI-Produkte für Millionen Endkund:innen in Europa sowie interne ChatGPT-Enterprise-Nutzung zur Kundenbetreuung (OpenAI). T-Systems ist parallel einer der zentralen IT-Partner der deutschen Verwaltung, unter anderem mit der Betriebs- und Vertriebskonzession für den BundesMessenger und einem eigenen Geschäftsbereich „Öffentlicher Sektor" (T-Systems). Ein direkter Zusammenhang zwischen der OpenAI-Kooperation und diesen Verwaltungsprojekten ist öffentlich nicht dokumentiert, beide Fakten stehen für sich.
ServiceNow und Anthropic: verkündet Ende Januar 2026, Claude wird Standardmodell für den „ServiceNow Build Agent" und in die ServiceNow AI Platform integriert, parallel intern bei ServiceNow selbst für Vertrieb und Entwicklung genutzt (Anthropic). ServiceNow wird auch in deutschen Behörden als IT-Service-Management-Plattform eingesetzt, ein öffentlicher Nachweis, dass die Anthropic-Integration dort bereits ankommt, liegt nicht vor.

Diese vier ergänzen die Beraterliste um eine zweite Ebene. Es sind nicht nur die Berater, die sich binden, sondern auch die Plattformen und Umsetzer, über die Behörden am Ende tatsächlich Software beziehen.

Zwei Netzwerke, ein Geschäftsmodell dahinter

Wer nur auf die Pressemitteilungen schaut, sieht Technologiepartnerschaften. Wer auf die Finanzierungsstruktur schaut, sieht etwas anderes.

Im Mai 2026 haben Anthropic und OpenAI parallel eigene Joint Ventures für Enterprise-Vertrieb gegründet. Anthropics Venture, mit 1,5 Milliarden Dollar bewertet, wird von Blackstone, Hellman & Friedman und Goldman Sachs mitgegründet, mit Apollo, General Atlantic, GIC, Leonard Green und Sequoia als weiteren Investoren. OpenAIs „Deployment Company" kommt auf 10 Milliarden Dollar Bewertung, getragen von TPG, Brookfield, Advent und Bain Capital. Als Vorbild für das Modell nennt die Berichterstattung Palantirs „Forward Deployed Engineer"-Ansatz: Fachleute sitzen direkt beim Kunden, statt Software von außen zu verkaufen (TechCrunch).

Der entscheidende Satz aus der Berichterstattung: Diese Ventures erhalten „preferred sales access" zu den Portfoliounternehmen ihrer Investoren. Übersetzt heißt das: Die Finanzinvestoren, die an Beratungen, Softwarehäusern und Industriekonzernen beteiligt sind, öffnen ihren Portfoliofirmen bevorzugten Zugang zum jeweiligen KI-Anbieter, und umgekehrt.

Das ist kein Software-Partnering mehr. Das ist ein Vertriebsnetzwerk, das über Kapitalbeteiligungen verdrahtet wird. Die Beratung ist darin nicht Kunde, sie ist Vertriebskanal. Das Beratungshaus zertifiziert Mitarbeitende, trainiert sie auf ein bestimmtes Modell, und bekommt dafür bevorzugten Zugang und, je nach Konstruktion, eine Beteiligung am Geschäft. Wessen Interesse dabei zuerst bedient wird, das des Kunden oder das der Partnerschaft, lässt sich von außen nicht mehr trennscharf beurteilen.

Man kann diese Entwicklung nicht nur als Abhängigkeitsfalle lesen. Die Beratungen selbst begründen ihre Partnerschaften mit echten Effizienzgewinnen: schnellere Projektlaufzeiten, geringere Fehlerquote bei Routineaufgaben, spürbare Entlastung der eigenen Teams. Das ist nicht per se falsch. Nur beantwortet es nicht die Frage, wer am Ende entscheidet, welches Modell für welche Behörde die richtige Wahl ist, wenn Berater und Anbieter wirtschaftlich zusammengehören.

Was „Lock-in" hier konkret heißt

Bei KPMG und OpenAI zeigt sich, wohin das führt. Das Konzept heißt „headless software": Mitarbeitende navigieren nicht mehr durch Bildschirme und Softwaremodule, sie beschreiben Absichten, ein KI-Agent koordiniert die Aktionen im Hintergrund über mehrere Systeme hinweg (Fortune).

Klingt nach Effizienzgewinn. Ist es vermutlich auch. Aber der Princeton-Forscher Arvind Narayanan bringt im selben Artikel den Kern des Problems auf den Punkt: Der KI-Agent wird zur „Wissensdatenbank, die man nicht feuern kann, ohne dass jedes Team Workflows verliert". Ein Kollege, der nicht mehr gekündigt werden kann, ohne dass die Organisation stillsteht.

Eine unabhängige Analyse der OpenAI Frontier Alliance beschreibt drei konkrete Mechanismen (DeepHumanX):

Die Plattform wird tief in CRM-, HR- und Workflow-Systeme verwoben, ein Wechsel wird zur Geschäftsunterbrechung.
Die Organisation hängt an der Preis- und Produktentscheidung eines einzelnen Anbieters.
Und jede künftige KI-Investition muss sich an der Kompatibilität zur bestehenden Plattform messen lassen, bevor sie überhaupt geprüft wird.

Das ist die Definition von Lock-in. Nur diesmal nicht auf Ebene der Software allein, sondern auf Ebene von Software und Beratung gleichzeitig, weil beide beim selben Anbieter andocken.

Der Blick auf Deutschland: drei Fälle, die zeigen, worum es geht

Bislang ist das ein internationales, überwiegend privatwirtschaftliches Muster. Für die deutsche Verwaltung lässt es sich an drei aktuellen Fällen konkret machen.

Erstens, der Agentic AI Hub des BMDS. Im Juni 2026 meldet das Bundesministerium für Digitales und Staatsmodernisierung den Abschluss einer dreimonatigen Pilotphase: neun Startups, 19 Kommunen, 20 Pilotprojekte, fast 600 Bewerbungen (BMDS). Die Pressemitteilung betont Souveränität ausdrücklich, „autonom agierende Systeme" sollen „die Handlungsfähigkeit des Staates" sichern und Deutschland „als souveränen Technologiestandort" stärken, gestützt auf eine „souveräne KI-Cloud" und den Deutschland-Stack. Welche Modelle in den 20 Pilotprojekten tatsächlich laufen, nennt die Mitteilung nicht.

netzpolitik.org ordnet das kritisch ein: Kommunale Chatbots wie BärGPT in Berlin, Gerda Bürki in Gersheim oder JOST in Hagen laufen faktisch auf Systemen wie Gemini, Copilot oder ChatGPT. Für genau diese Systeme fand eine Studie der European Broadcasting Union im Oktober 2025 branchenweit eine Fehlerquote von rund 45 Prozent bei generierten Antworten. Ob sich das eins zu eins auf die Verwaltungs-Chatbots übertragen lässt, untersucht die Studie nicht, netzpolitik.org stellt die Verbindung explizit als naheliegende, aber unbewiesene Vermutung dar, nicht als Beleg (netzpolitik.org). Stefan Kaufmann von Wikimedia Deutschland bringt den eigentlichen Engpass auf den Punkt: Verwaltungen speichern ihr Wissen in Dokumenten statt in strukturierten, maschinenlesbaren Daten. Genau das, nicht ein weiteres Sprachmodell, wäre die Voraussetzung für verlässliche KI-Agenten (netzpolitik.org).

Zweitens, Copilot Chat in Niedersachsen. IT.Niedersachsen testet mit mehreren Landesressorts „Copilot Chat von Microsoft" und will ihn zeitnah für alle Nutzer:innen des NiedersachsenClient ausrollen. Zur Absicherung verweist die Landes-IT auf einen „geschützten Unternehmensmodus" mit technischen und vertraglichen Schutzmaßnahmen (IT.Niedersachsen). Welches Modell konkret hinter Copilot Chat arbeitet, wird auf der Seite nicht spezifiziert, Microsofts eigene Copilot-Produkte laufen auf OpenAI-Modellen. Ein Bundesland bindet sich damit an dieselbe Anbieterkette, die auch die globale Berater-Partnerwelle antreibt, nur über den Umweg Microsoft statt über eine direkte Anthropic- oder OpenAI-Partnerschaft.

Drittens, Accentures Auftritt auf der Smart Country Convention 2025. Accenture zeigt dort seine Plattform „NAV AI" für „modular, sicher, souverän" digitalisierte Verwaltungsprozesse und „KI-Superagenten" (Smart Country Convention). Weder Anthropic noch OpenAI werden dabei genannt, ebenso wenig ein anderer Modellanbieter. Dabei nennt Accenture in der eigenen globalen Anthropic-Partnerschaft den öffentlichen Sektor ausdrücklich als Zielbranche, dort ist wörtlich von „AI agents that help citizens navigate complex government services" die Rede (Accenture Newsroom). Auf der eigenen Verwaltungsmesse bleibt genau diese Verbindung unausgesprochen. Das ist selbst ein Befund: Wenn eine Beratung, die gleichzeitig Gründungspartner der OpenAI Frontier Alliance ist und öffentlich für Behörden-KI auf Anthropic-Basis wirbt, ihre konkrete Verwaltungsplattform mit dem Wort „souverän" bewirbt, ohne offenzulegen, welches Modell darunterliegt, ist Intransparenz kein Nebeneffekt des Lock-in-Problems. Sie ist ein eigenständiger Teil davon.

Warum das für die Verwaltung eine andere Kategorie ist

Für ein privates Unternehmen ist das ein Geschäftsrisiko, das es selbst abwägen kann. Für eine Behörde ist es etwas anderes.

Vendor Lock-in steht ohnehin auf der Sorgenliste jeder IT-Leitung, die gerade von proprietärer auf offene Software umstellen will. CLOUD Act, das Schrems-II-Urteil des EuGH und die NIS2-Richtlinie machen Datenhoheit und Anbieterprüfung zur Compliance-Pflicht, nicht zur Kür, das BSI hat dafür inzwischen einen eigenen Kriterienkatalog für KI-Modelle in der Bundesverwaltung veröffentlicht (BSI). Wenn jetzt zusätzlich der Berater, der bei der KI-Einführung beraten soll, selbst zertifizierter Partner mit Umsatzinteresse am gleichen Anbieter ist, verschiebt sich etwas Grundsätzliches: Die Instanz, die eigentlich unabhängig prüfen sollte, welcher Ansatz zur Behörde passt, hat ein eigenes Interesse an einer bestimmten Antwort.

Das ist kein Vorwurf an einzelne Berater:innen. Die Fachleute bei adesso, KPMG oder Accenture arbeiten mit dem, was ihr Haus anbietet, das ist normal. Der Punkt ist strukturell: Eine Partnerschaft mit Zertifizierungsquoten, Trainingszielen und Umsatzbeteiligung erzeugt einen Anreiz, der nicht verschwindet, nur weil er im Beratungsgespräch nicht ausgesprochen wird.

Wer als Behörde eine KI-Architektur ausschreibt und dabei einen Umsetzer bucht, der zufällig Select Partner, Elite Partner oder Global Premier Partner eines der beiden großen Anbieter ist, bekommt keine neutrale Empfehlung. Er bekommt die Empfehlung, die zur Partnerschaft passt.

Für eine Behörde kommt eine zweite Ebene hinzu, die ein Unternehmen so nicht hat: der OZG-Umsetzungsdruck. Im Bitkom-DESI-Index 2026 liegt Deutschland beim Gesamtranking auf Platz 17 von 27 EU-Staaten, in der Teilkategorie Digitalisierung der öffentlichen Verwaltung sogar nur auf Platz 22 (Bitkom, Haufe). Wer unter diesem Druck liefern muss und gleichzeitig zu wenige eigene Fachkräfte hat, greift eher zum Anbieter, der die schnellste Lösung verspricht, nicht zu dem, der die unabhängigste Architektur liefert. Genau in diesem Moment, unter Druck, mit knappem Personal, entscheidet sich häufig, ob eine Behörde in fünf Jahren noch verhandeln kann oder nur noch verlängern.

Was die Bundesverwaltung selbst schon anders macht

Interessant ist, dass die Bundesverwaltung sich in ihren eigenen Grundlagenpapieren längst gegen genau das Muster positioniert, das die Beratungswelt gerade vorlebt.

Ein erstes konkretes Beispiel liefert der Bund bereits im November 2025: Gemeinsam mit Frankreich startet er eine Initiative mit Mistral AI und SAP für souveräne KI in der Verwaltung, mit vier Schwerpunkten von intelligenten ERP-Systemen bis zu digitalen Assistenzsystemen für Bürger:innen. Die Begründung ist deutlich: „Über 80 Prozent der digitalen Werkzeuge, auf die wir uns verlassen, werden außerhalb Europas entwickelt, betrieben oder kontrolliert", heißt es in der gemeinsamen Erklärung, die das Format ausdrücklich als „offen für weitere europäische Anbieter" beschreibt (BMDS). Kein Zertifizierungsprogramm, keine Elite-Partner-Stufe, sondern eine direkte Regierungsinitiative mit einem europäischen Modellanbieter, ohne Beratungshaus dazwischen.

Im Dezember 2025 veröffentlicht das ÖFIT-Kompetenzzentrum am Fraunhofer FOKUS im Auftrag des BMDS eine Studie zu großen Sprachmodellen in der Bundesverwaltung. Der Befund: Bundesbehörden setzen bislang überwiegend auf Eigenentwicklungen, quelloffene Systeme, interne Hosting-Infrastruktur und austauschbare Modelle, ausdrücklich nicht auf marktdominante LLM-Anbieter. Die Studie empfiehlt zusätzlich geteilte KI-Hardware-Ressourcen von Bund und Ländern, ein europäisches quelloffenes Verwaltungs-LLM und verpflichtende Souveränitätsprüfungen für kritische Projekte (BMDS, ÖFIT). Digitalminister Karsten Wildberger wird mit dem Satz zitiert, man sei „bereits auf dem richtigen Weg, eine solide Grundlage für unabhängige KI-Lösungen in der Bundesverwaltung zu schaffen".

Das ist fast wörtlich die Gegenthese zur Partnerwelle der Beratungen: hier Austauschbarkeit und Eigenkontrolle als Ziel, dort Zertifizierungsquoten und Umsatzbeteiligung an genau zwei Anbietern.

Gleichzeitig zeigt der Bundesrechnungshof, wie weit Anspruch und Umsetzung noch auseinanderliegen. In einem Bericht von Anfang August 2026 moniert er beim Deutschland-Stack fehlende Risikoanalysen, unzureichende technische Standards und mangelnde Transparenz bei der Fortschrittskontrolle, bei einem geplanten Start Anfang 2028 (it-boltwise). Die Studie liefert die richtige Zielrichtung. Die Beschaffungspraxis liefert sie noch nicht.

Der Ausweg: Architektur vor Beschaffung

Das ist kein Grund, KI-Einsatz in der Verwaltung zu verschieben. Das wäre die falsche Schlussfolgerung. Der Druck, Verwaltungsprozesse mit KI zu unterstützen, ist real und wird nicht kleiner.

Fünf Punkte, die sich aus der Analyse ableiten lassen:

Architektur zuerst, Anbieter danach. Wer offene Schnittstellen, dokumentierte Datenflüsse und Modell-Agnostik als Ausschreibungskriterium festlegt, bevor er sich für einen Anbieter entscheidet, verhindert genau die Verwebung, die einen späteren Wechsel zur Geschäftsunterbrechung macht. Der Grundsatz ist derselbe wie bei Open-Source-Software: nicht das Modell entscheidet über die Souveränität, sondern die Architektur drumherum. Die eigene ÖFIT-Studie der Bundesverwaltung liefert dafür bereits die Blaupause, und die Mistral-SAP-Initiative von Bund und Frankreich zeigt, dass sich das auch auf Regierungsebene direkt umsetzen lässt, nicht nur als Studienempfehlung.

Beratung und Vertrieb trennen. Wer strategisch berät, welcher KI-Ansatz zur Behörde passt, sollte kein zertifizierter Partner des Anbieters sein, den er am Ende empfiehlt, erst recht nicht, wenn die Partnerschaft ausdrücklich für Kundenprojekte gilt und nicht nur für das eigene Haus. Das ist derselbe Maßstab, den man an jede andere Beschaffungsberatung auch anlegt. Er wird bei KI aktuell selten angewendet, weil das Thema neu wirkt. Ist es aber nicht.

Modell-Transparenz zur Ausschreibungsbedingung machen. Das NAV-AI-Beispiel von Accenture zeigt, wie leicht sich „souverän" sagen lässt, ohne zu sagen, welches Modell dahintersteckt. Jede Ausschreibung sollte verlangen, dass der Anbieter offenlegt, welches Modell, welcher Betreiber, welcher Rechtsraum, und wem dieser Anbieter aktuell gehört. Der BSI-Kriterienkatalog für KI-Modelle in der Bundesverwaltung liefert dafür bereits einen Prüfrahmen.

Eine Behörde reicht als Vorbild. Die Architekturfrage muss niemand für den gesamten Bund im ersten Anlauf lösen. Der Agentic AI Hub zeigt mit 19 beteiligten Kommunen bereits, dass sich Pilotformate organisieren lassen. Eine Kommune, die dokumentiert, wie sie Modell-Agnostik in ihre Ausschreibung übersetzt hat, liefert die Vorlage, die andere übernehmen können.

EfA-Logik auf KI übertragen. Was bei Fachverfahren längst Prinzip ist, eine Lösung bauen, die andere nachnutzen können, fehlt bei KI-Architekturen bislang komplett. Jede Behörde verhandelt einzeln mit denselben zwei oder drei Anbietern, während die Anbieterseite längst konsolidiert über Beratungsnetzwerke koordiniert. Eine gemeinsame Referenzarchitektur, offen dokumentiert und zwischen Ländern geteilt, wie sie die ÖFIT-Studie mit einem europäischen quelloffenen Verwaltungs-LLM andeutet, würde die Verhandlungsposition der Verwaltung stärken, ohne dass eine einzelne Behörde das Risiko allein tragen muss.

Keiner dieser fünf Punkte verlangt, auf Claude, ChatGPT oder ein anderes Modell zu verzichten. Sie verlangen nur, dass die Behörde die Architekturentscheidung trifft, bevor der Berater sie für sie trifft.

Was das für die nächste Entscheidung heißt

Die Partnerliste am Anfang dieses Artikels wird bis Jahresende länger, nicht kürzer. Das ist keine Prognose, das ist die Fortschreibung eines Trends, der sich seit einem Jahr in derselben Richtung bewegt.

Für Verwaltungen heißt das nicht: abwarten. Es heißt: die Architekturentscheidung von der Anbieterentscheidung trennen, bevor beide gemeinsam vom selben Berater kommen, der möglicherweise auch noch am Anbieter beteiligt ist. Wer das in der nächsten Ausschreibung schon mitdenkt, muss später nicht zurück, und muss auch nicht auf den für 2028 geplanten Deutschland-Stack warten, um damit anzufangen.

KI-Kennzeichnung in Behörden und Politik: Was ab dem 2. August gilt und was nur behauptet wird

Mon, 03 Aug 2026 12:36:12 +0200

Im Juni hat „Die Zeit" die Texte von Bundesdigitalminister Karsten Wildberger durch eine Analysesoftware geschickt. Ein Gastbeitrag im „Handelsblatt" vom April stammte demnach fast vollständig von einer KI, ein Text in der „Frankfurter Allgemeinen Sonntagszeitung" vom März überwiegend, eine Rede vor dem Atlantic Council im Juli 2025 komplett. Auch in mehreren Bundestagsreden fand die Software deutliche Spuren. Die Redaktionen wussten davon nichts, wie das Digitalministerium später bestätigte. Man lege über KI eben nicht anders Rechenschaft ab als über eine Textverarbeitung.

Zwei Tage vorher war der thüringische Ministerpräsident Mario Voigt in dieselbe Lage geraten. Die FAZ zog seinen Gastbeitrag zurück und sperrte ihn im Archiv.

Seitdem höre ich in Verwaltungen immer wieder denselben Satz: Ab August sei so etwas verboten. Das stimmt nicht. Nach meiner Lektüre der Vorschrift wäre der Fall Wildberger auch unter neuem Recht durchgegangen. Und ausgerechnet die Begründung des Ministeriums liefert den Grund dafür.

Vier Pflichten, die ständig durcheinandergeraten

Seit dem 2. August 2026 gilt Artikel 50 der KI-Verordnung. Er enthält vier eigenständige Transparenzpflichten, die unterschiedliche Rollen treffen. Aus dieser Unterscheidung entsteht praktisch die gesamte Verwirrung.

Absatz	Adressat	Inhalt
Abs. 1	Anbieter	Ein KI-System, das direkt mit Menschen interagiert, muss sich als KI zu erkennen geben
Abs. 2	Anbieter	Ausgaben maschinenlesbar markieren und erkennbar machen (Wasserzeichen, Metadaten, C2PA)
Abs. 3	Betreiber	Betroffene informieren, wenn Emotionserkennung oder biometrische Kategorisierung eingesetzt wird
Abs. 4	Betreiber	Deepfakes offenlegen sowie KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren

Anbieter ist nach Art. 3 Nr. 3 KI-VO, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein fremdes System in eigener Verantwortung verwendet.

Für die allermeisten Verwaltungen heißt das: Sie sind Betreiber. Wer Copilot, ChatGPT oder Gemini nutzt, muss keine Wasserzeichen einbauen. Diese Pflicht liegt bei OpenAI, Microsoft und Google. Die österreichische KI-Servicestelle der RTR hat das in einer sehr brauchbaren Übersicht aufbereitet, die ich Verwaltungen gerne weitergebe, weil sie die Systematik klarer darstellt als die meisten deutschen Ratgeber.

Anders sieht es aus, sobald eine Behörde einen eigenen Bürger-Chatbot beauftragt und ihn unter ihrem Namen betreibt. Dann rutscht sie in die Anbieterrolle und damit in die Pflichten aus Absatz 1 und 2.

Der Satz, der Wildberger gerettet hätte

Absatz 4 ist die Vorschrift, an der sich Verwaltungen und Politik reiben werden. Er verlangt eine Offenlegung für veröffentlichte KI-Texte über Angelegenheiten von öffentlichem Interesse. Die Leitlinien der EU-Kommission zählen dazu ausdrücklich Politik und demokratische Prozesse, öffentliche Verwaltung und öffentliche Dienstleistungen. Die Pressemitteilung eines Ministeriums fällt darunter. Der LinkedIn-Post eines Landesamts zur neuen Onlineleistung ebenso.

Dann kommt der zweite Unterabsatz, und der hebt die Pflicht wieder auf. Sie entfällt, wenn zwei Bedingungen zusammen erfüllt sind: Der Text hat eine inhaltliche menschliche Prüfung oder redaktionelle Kontrolle durchlaufen, und eine natürliche oder juristische Person trägt die redaktionelle Verantwortung für die Veröffentlichung. Eine Rechtschreibprüfung genügt dafür ausdrücklich nicht, verlangt wird eine echte Prüfung von Tatsachen und Quellen.

Mit dieser Ausnahme hat das Digitalministerium seinen Fall verteidigt. Vor jeder Rede stehe eine Vorbesprechung, das Redenreferat erarbeite Inhalt und Argumentation, KI diene als Sparringspartner. Bevor etwas in die Rede gehe, „muss ein Mensch prüfen, ändern und entscheiden".

Das ist wortgenau der gesetzliche Ausnahmetatbestand. Ein Gastbeitrag erscheint unter dem Namen des Ministers, die redaktionelle Verantwortung ist damit zugeordnet. Die Kennzeichnungspflicht wäre entfallen.

Damit liegt der eigentliche Befund offen. Was in der Debatte um Wildberger und Voigt verhandelt wurde, war nie eine Rechtsfrage. Es war eine Frage darüber, worauf Redaktionen und Öffentlichkeit sich bei einem Text verlassen können, der einen Namen trägt.

💡 Artikel 50 verlangt Transparenz über die Maschine. Wer für einen veröffentlichten Text geradesteht, muss die Organisation selbst regeln.

Fünf Sätze, die kursieren und nicht stimmen

„Ab dem 2. August muss jeder KI-Text gekennzeichnet werden." Nur veröffentlichte Texte über Angelegenheiten von öffentlichem Interesse, und auch die nur ohne menschliche Prüfung und benannte Verantwortung. Interne Vermerke, Protokollzusammenfassungen und Mails fallen nicht darunter.

„Der Digital Omnibus hat alles verschoben." Die Digital-Omnibus-Verordnung (EU) 2026/1744 ist Ende Juli 2026 in Kraft getreten und hat die Pflichten für Hochrisiko-KI auf Ende 2027 verschoben. Artikel 50 blieb unangetastet, die Kommission nennt den 2. August 2026 unverändert als Anwendungsbeginn. Wer den Omnibus als generelle Verschnaufpause liest, liegt falsch.

„Wir brauchen jetzt Wasserzeichen in unseren Dokumenten." Das ist Anbieterpflicht nach Absatz 2. Als Betreiber schulden Sie eine sichtbare, für Menschen wahrnehmbare Offenlegung, keine Technik.

„Auf jede Behörde kommen Bußgelder bis 15 Millionen Euro zu." Der Rahmen aus Art. 99 Abs. 4 KI-VO stimmt für Unternehmen. Für deutsche Behörden gilt er nicht, dazu gleich mehr.

„Am sichersten ist ein KI-Verbot im Haus." Verbote produzieren Schatten-KI auf privaten Geräten, und dort greift keine Ihrer Regeln. Die Alternative ist eine Dienstanweisung, die Nutzung erlaubt und Verantwortung zuordnet.

Was Behörden in Deutschland konkret erwartet

Das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz ist am 29. Juli 2026 in Kraft getreten, nachdem der Bundestag es am 11. Juni beschlossen und der Bundesrat am 10. Juli hat passieren lassen. Deutschland hatte die unionsrechtliche Frist zur Behördenbenennung zuvor um fast ein Jahr überzogen, wie Karsten Löw bei LTO nachzeichnet.

Drei Punkte daraus sollten Sie kennen.

Erstens die Zuständigkeit. Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde und Anlaufstelle, bei ihr entsteht mit KoKIVO ein Koordinierungs- und Kompetenzzentrum. Für KI-Systeme öffentlicher Stellen der Länder liegt die Aufsicht allerdings bei den nach Landesrecht zuständigen Behörden. Das ist wegen der Eigenstaatlichkeit der Länder verfassungsrechtlich zwingend, in der Praxis aber ein offener Punkt: In den meisten Ländern ist diese Stelle noch nicht benannt. Wenn Sie in einer Landes- oder Kommunalverwaltung arbeiten, ist das Ihre erste Frage an die Rechtsaufsicht.

Zweitens die Sanktion. § 17 Abs. 2 KI-MIG nutzt die Öffnungsklausel des Art. 99 Abs. 8 KI-VO und bestimmt, dass gegen Behörden und sonstige öffentliche Stellen im Sinne von § 2 Abs. 1 und 2 BDSG keine Geldbußen verhängt werden. Der Rechtsanwalt Jens Ferner nennt das in seiner Analyse des Gesetzes eine bewusste Privilegierung des Staates und hält sie rechtspolitisch für angreifbar. Ich teile diese Einschätzung.

Für die Praxis bedeutet das etwas Unbequemes. Die Pflicht aus Artikel 50 gilt für Ihre Behörde vollumfänglich, und die Marktüberwachung kann Maßnahmen anordnen, Auskünfte verlangen und Systeme untersagen. Weg fällt allein die schärfste Sanktion. Wer seine KI-Governance am Bußgeldrisiko ausrichtet, kommt in einer Behörde rechnerisch bei null heraus und baut deshalb gar nichts auf, obwohl die Pflicht unverändert besteht.

Drittens die KI-Kompetenz. Art. 4 KI-VO galt seit Februar 2025 als Pflicht, die Kompetenz des Personals nach besten Kräften sicherzustellen. Der Digital Omnibus hat das auf eine Förderpflicht abgeschwächt. Die Vorschrift ist damit weicher geworden, weggefallen ist sie nicht.

Elf Fälle aus dem Verwaltungsalltag

Ich habe die Fälle gesammelt, die mir in Gesprächen am häufigsten begegnen.

Fall	Kennzeichnung nach Art. 50?	Warum
Vermerk oder Sachstand für die Hausleitung	Nein	Nicht veröffentlicht
Zusammenfassung eines Sitzungsprotokolls	Nein	Begrenzter Personenkreis
Bescheidentwurf an eine Bürgerin	Nein	Keine Information der Öffentlichkeit, dafür greift Verwaltungsverfahrensrecht
Pressemitteilung, KI-erstellt, ungeprüft raus	Ja	Öffentliches Interesse, keine Prüfung
Pressemitteilung, fachlich geprüft, Pressestelle zeichnet	Nein	Ausnahme nach Abs. 4 UAbs. 2 greift
LinkedIn-Post der Behörde zur neuen Leistung	Kommt auf die Prüfung an	Öffentliche Dienstleistungen zählen zum öffentlichen Interesse
Website-Text, aus dem Fachtext KI-generiert	Kommt auf die Prüfung an	Gleiche Logik, benannte Verantwortung entscheidet
Erklärvideo mit KI-Avatar der Amtsleitung	Ja	Deepfake nach Art. 3 Nr. 60, Ausnahme greift hier nicht
Generiertes Titelbild mit fotorealistischen Menschen	Ja	Auch erfundene Personen sind Deepfakes, sobald sie real wirken
Rein illustratives Symbolbild, klar künstlich	Nein	Keine Verwechslungsgefahr mit der Realität
Bürger-Chatbot auf dem Serviceportal	Ja, plus Anbieterpflichten	Abs. 1 verlangt die Offenlegung bei der ersten Interaktion

Die Zeile, die in Diskussionen am meisten überrascht, ist die mit dem Avatar. Für Deepfakes gibt es keine Prüfungsausnahme. Sobald eine Behörde ein Gesicht oder eine Stimme synthetisch erzeugt, muss sie das offenlegen, gleichgültig wie sorgfältig geprüft wurde. Nur bei erkennbar künstlerischen oder satirischen Werken darf die Offenlegung zurückhaltender ausfallen.

Der blinde Fleck, über den kaum jemand schreibt

Artikel 50 regelt Transparenz gegenüber der Öffentlichkeit. Der Bescheid an die einzelne Bürgerin fällt nicht darunter, und deshalb landet er in den meisten Ratgebern gar nicht erst.

Dabei sitzt dort das größere Risiko. Für den vollständig automatisierten Erlass eines Verwaltungsakts verlangt § 35a VwVfG eine Rechtsvorschrift, die das zulässt, und er scheidet aus, wo Ermessen oder ein Beurteilungsspielraum besteht. Die Begründungspflicht aus § 39 VwVfG bleibt bestehen, ebenso die Amtsermittlung nach § 24. Ein KI-erzeugter Begründungstext, den niemand fachlich durchdrungen hat, ist im Widerspruchsverfahren angreifbar, ganz ohne KI-Verordnung.

Wer seine KI-Regeln nur an Artikel 50 ausrichtet, sichert also die Außenkommunikation und lässt die Bescheidproduktion offen. Sinnvoller ist eine Dienstanweisung, die beides zusammen denkt.

Fünf Dinge, die ich Verwaltungen jetzt empfehle

Klären Sie Ihre Rolle je System. Betreiber oder Anbieter, dokumentiert, pro eingesetztem Werkzeug. Diese Einordnung entscheidet über alles Weitere und lässt sich in einer Tabelle abbilden.
Fragen Sie Ihre Aufsichtsbehörde nach der Zuständigkeit. Auf Bundesebene ist die BNetzA gesetzt. Auf Landesebene ist die Frage in vielen Ländern noch unbeantwortet, und eine frühe Anfrage beschleunigt die Klärung.
Machen Sie redaktionelle Verantwortung zu einem Prozess. Die Ausnahme in Absatz 4 hängt an einer benannten Person und einer echten inhaltlichen Prüfung. Ein Häkchen im Redaktionssystem reicht dafür nicht. Halten Sie fest, wer geprüft hat und woran.
Setzen Sie ein einheitliches Kennzeichen. Die Kommission stellt ein lizenzfreies Icon-Set in drei Varianten bereit, für vollständig generierte und für teilweise bearbeitete Inhalte. Es ist getestet, es ist kostenlos, und es erspart Ihnen eine Hausdiskussion über Formulierungen. Denken Sie den Alternativtext für Screenreader gleich mit, die Barrierefreiheit verlangt Artikel 50 Absatz 5 ausdrücklich.
Prüfen Sie den freiwilligen Verhaltenskodex. Kommission und KI-Gremium haben ihn im Juni als geeignetes Instrument zum Konformitätsnachweis bestätigt, rund 190 Organisationen haben ihn bis Ende Juli unterzeichnet. Wer ihn nicht nutzt, muss die Gleichwertigkeit eigener Maßnahmen selbst darlegen.

Zurück zum Anfang

Der Vorwurf gegen Wildberger und Voigt war kein Rechtsverstoß. Er war eine Enttäuschung über eine Erwartung, die niemand vorher aufgeschrieben hatte.

Verwaltung arbeitet mit einem Vertrauensvorschuss, den sie sich über Jahrzehnte erarbeitet hat und den kein Bußgeld je abbilden könnte. Der deutsche Gesetzgeber hat Behörden mit § 17 Abs. 2 KI-MIG von Geldbußen freigestellt und ihnen damit den bequemsten Compliance-Treiber genommen. Das erhöht die Anforderung an die eigene Regel, statt sie zu senken.

Meine Empfehlung an Häuser, die gerade eine KI-Dienstanweisung schreiben: Setzen Sie die Kennzeichnung eine Stufe über das gesetzliche Minimum. Legen Sie offen, wo KI im Entstehungsprozess eines veröffentlichten Textes mitgewirkt hat, auch dort, wo geprüft wurde und die Ausnahme greifen würde. Dafür genügt ein Satz unter der Pressemitteilung, und er kostet Sie erheblich weniger als die Aufarbeitung eines Falls, wie ihn Wildberger und Voigt im Juni erlebt haben.

In eigener Sache

Dieser Text ist mit KI-Unterstützung recherchiert und geschrieben. Die Quellen habe ich selbst geprüft, die Thesen sind meine, und die redaktionelle Verantwortung liegt bei mir. Damit greift die Ausnahme aus Artikel 50 Absatz 4 und dieser Hinweis wäre rechtlich entbehrlich. Ich halte mich an meine eigene Empfehlung von zwei Absätzen weiter oben und schreibe ihn trotzdem hin.

Und weil auch das dazugehört: Ich bin kein Jurist. Was Sie hier lesen, ist die Einordnung eines Praktikers und keine Rechtsberatung. Für die verbindliche Bewertung Ihres Einzelfalls fragen Sie bitte Ihr Justiziariat oder eine Kanzlei.

Quellen und weiterführende Links:

72 Stunden. Wie schnell uns KI abhängig macht – und was digitale Souveränität jetzt wirklich kostet

Mon, 15 Jun 2026 16:36:23 +0200

Am Freitag, den 12. Juni, um 17:21 Uhr Ostküstenzeit, bekam Anthropic einen Brief vom US-Handelsministerium. Unterzeichnet von Minister Howard Lutnick. Inhalt: Die beiden neuen KI-Modelle Fable 5 und Mythos 5 dürfen für niemanden ohne US-Staatsbürgerschaft mehr laufen, innerhalb wie außerhalb der USA. Weil das Unternehmen seine Nutzer nicht zuverlässig nach Pass sortieren kann, hat es beide Modelle kurzerhand für alle abgeschaltet. Auch für die eigenen Mitarbeitenden. (heise online, the decoder)

Die Modelle waren zu diesem Zeitpunkt 72 Stunden alt.

Das ist kein Szenario aus einem Strategiepapier. Das war letzte Woche. Und für die Open Source Business Alliance ist es ein „Weckruf für Europa". Ich würde es nüchterner formulieren: Es ist der bisher deutlichste Beleg für etwas, das ich seit Jahren sage. Die Abhängigkeit von US-Technologie ist kein Risiko, das irgendwann eintreten könnte. Der Schalter existiert, und er wird benutzt. Erst bei der Cloud, als Trump den Schlüssel dazu in der Hand hatte, jetzt bei der KI.

Der eigentlich unangenehme Teil ist aber nicht der Vorfall. Es ist die Geschwindigkeit, mit der wir uns überhaupt erst in diese Lage gebracht haben.

Warum KI schneller abhängig macht als Microsoft

Bei Microsoft hat das zwei Jahrzehnte gedauert. Die Abhängigkeit ist über Beschaffungen entstanden, über Lizenzverträge und Rahmenvereinbarungen. Jede einzelne davon dokumentiert, ausgehandelt, von jemandem unterschrieben. Man kann finden, dass viele dieser Unterschriften ein Fehler waren. Aber es waren Entscheidungen. Allein zehn Bundesländer haben seit 2021 zusammen über 686 Millionen Euro an Microsoft gezahlt, mit im Schnitt fast 17 Prozent Steigerung pro Jahr. Und schon vorher war klar: Souveränität bei Microsoft gibt es bestenfalls gegen Aufpreis.

Bei KI läuft das anders. Hier entsteht die Abhängigkeit ohne eine einzige formale Entscheidung.

Sie kommt von unten. Nicht der CIO beschließt den Einsatz. Es ist die Kollegin, die das nächste Protokoll in ein Chatfenster kopiert, der Kollege, der seinen Vermerk dort gegenlesen lässt, das Sachgebiet, das sich die Bürgeranfrage zusammenfassen lässt. Kein Vergabeverfahren, kein Migrationsprojekt, kein Personalratsbeschluss. Das Werkzeug ist an der Tür kostenlos, die Ergebnisse sind verblüffend gut, und die Gewöhnung ist längst da, bevor jemand zum ersten Mal nach Datenabfluss, Vertragslage oder Ausstiegsoption fragt.

Wofür Microsoft 25 Jahre gebraucht hat, reichen bei KI 25 Tage. Am Ende dieser 25 Tage steht eine Organisation, deren Arbeitsfähigkeit an einem Dienst hängt, den sie nie beschafft, nie geprüft und nie vertraglich abgesichert hat. Souveränität war für mich nie ein Bekenntnis, sondern eine Architekturentscheidung. Bei KI wird diese Entscheidung gerade getroffen, nur trifft sie niemand bewusst.

Die Rechnung, die niemand eingepreist hat

Dass diese Werkzeuge kostenlos oder fast kostenlos sind, ist kein Geschenk. Es ist Kundengewinnung auf Pump.

Die Zahlen dahinter sind öffentlich und unbequem. Allein die Inferenz, also das reine Beantworten der Anfragen, hat sich bei OpenAI im Jahr 2025 vervierfacht und die bereinigte Bruttomarge von 40 auf 33 Prozent gedrückt. Für die Rechenleistung sind bis 2030 rund 600 Milliarden Dollar veranschlagt, bei einem für denselben Zeitraum erhofften Umsatz von 280 Milliarden. (the decoder) Und es zahlt ja nur ein Bruchteil der Nutzer überhaupt etwas. Der Rest wird quersubventioniert, um Marktanteile zu sichern.

Eine solche Lücke schließt sich nicht von selbst. Sie schließt sich über genau die Mechanismen, die wir gerade in Echtzeit beobachten. Rate Limits, die dann greifen, wenn man das Werkzeug am dringendsten braucht. Aufgeteilte Nutzungskontingente. Aufschläge für die automatisierte, „agentische" Nutzung. Und die Tarife, die nach oben gehen, sobald die Lockphase vorbei ist.

Die wichtigste Frage stellt beim Einstieg trotzdem niemand. Was muss dieser Dienst eigentlich kosten, damit er sich trägt? Und wer zahlt diesen Preis, wenn die Lockangebote auslaufen? Wer seine Prozesse heute auf eine subventionierte Gratisleistung stützt, baut auf einen Preis, den er nicht kennt, festgelegt von einem Anbieter, den er nicht wechseln kann.

Souveränität ist kein Etikett. Sie ist eine Skala.

Damit sind wir bei dem Begriff, der inzwischen alles und nichts heißt: digitale Souveränität. Das Problem ist nicht neu. Schon im Januar habe ich über Souveränität ohne Definition geschrieben. Bei KI wiederholt sich das im Zeitraffer. „Souveräne KI" steht heute auf Angeboten, bei denen außer dem Standort des Rechenzentrums nichts souverän ist.

Es lohnt sich deshalb, einmal zu sortieren, was eigentlich gemeint sein kann:

Das BSI definiert digitale Souveränität als die Fähigkeit, „Rollen in der digitalen Welt unabhängig, selbstbestimmt und sicher ausüben zu können", und übersetzt das mit seinem Kriterienkatalog C3A in prüfbare Anforderungen, gerade mit Blick auf die US-Politik.
Das Zentrum für Digitale Souveränität (ZenDiS) versteht darunter vor allem, kritische Abhängigkeiten von einzelnen proprietären Anbietern zu lösen, und betreibt mit openDesk die offene Alternative dazu.
Die EU-Kommission hat mit dem Cloud and AI Development Act gerade vier Souveränitätsstufen für die Cloud definiert, von der EU-Datenhaltung bis zur vollständig europäischen Lieferkette.

Überträgt man diese Logik auf KI, ergibt sich eine einfache Skala.

Am unteren Ende steht das Marketing-Label. Ein US-Modell, gehostet in einer „EU-Region", mit einem Datenschutz-Beiblatt. Das verschiebt den Speicherort, nicht die Kontrolle. Der CLOUD Act reicht weiterhin durch, der Schalter bleibt in Washington.

In der Mitte liegt konfigurierbare Kontrolle. Dedizierte Instanzen, vertragliche Zusicherungen, Auditierbarkeit. Besser, aber die Verfügbarkeit hängt am Wohlwollen und an der Rechtslage des Anbieters. Fable 5 hat gezeigt, wie schnell sich beides ändert.

Am oberen Ende steht echte Souveränität im Sinne von offenen Modellen, die man selbst betreibt, auf eigener oder europäischer Infrastruktur wie dem Sovereign Cloud Stack. Ein Modell mit offenen Gewichten auf der eigenen Maschine kann niemand per Brief abschalten. Es läuft einfach weiter.

Das Problem ist nicht, dass es das obere Ende nicht gäbe. Das Problem ist, dass das meiste, was sich „souverän" nennt, am unteren Ende sitzt, und dass kaum jemand weiß, wo seine eigene Lösung auf dieser Skala eigentlich steht. Genau das zu wissen, ist die eigentliche Kompetenz. Nicht das Bekenntnis zur Souveränität, sondern die ehrliche Verortung.

Wie weit Anspruch und Realität auseinanderliegen, zeigt die aktuelle Red-Hat-Studie unter deutschen IT-Entscheidern. Nur 57 Prozent haben überhaupt eine Exit-Strategie, falls ihr KI-Anbieter den Zugang einschränkt. 46 Prozent wissen nicht vollständig, wo ihre Daten verarbeitet werden. Und nur 30 Prozent haben eine ausgereifte Governance für ihre KI-Agenten. (OSBA zur Red-Hat-Studie) Abhängigkeit, kein Ausgang, kein Überblick über die Daten. Das ist die Lehrbuchbeschreibung von Erpressbarkeit.

Wie viel Souveränität können wir uns leisten?

Souveränität kostet Geld und Disziplin. Das ist der ehrliche Grund, warum wir sie immer wieder verschieben. Eigene Modelle zu betreiben, Workloads zu trennen, Ausstiegsszenarien durchzuspielen, das ist teurer und unbequemer, als sich ins nächste Gratis-Angebot einzuloggen.

Aber die Rechnung hat zwei Seiten. Auf die andere gehören der CLOUD Act, die Microsoft-Kosten, die in mehreren Ländern seit Jahren um knapp 17 Prozent jährlich steigen, und jetzt eine KI, die nach 72 Stunden abgeschaltet werden kann. Die Frage ist also nicht nur, wie viel Souveränität wir uns leisten können. Sondern auch, wie viel Abhängigkeit wir uns noch leisten wollen, wenn die Schlagzeilen offenbar im Wochentakt kommen, gern freitagnachmittags.

Die Antwort ist kein Alles oder Nichts. Niemand muss ab morgen jedes Modell selbst hosten. Souveränität ist eine Portfolio-Entscheidung, Workload für Workload, sortiert nach Sensibilität. Die Bürgeranfrage mit personenbezogenen Daten gehört nicht auf dieselbe Stufe wie die Formulierungshilfe für eine Pressemitteilung. Wer das trennt, darf den Komfort kommerzieller Modelle dort nutzen, wo er vertretbar ist, und behält die Kontrolle dort, wo sie zählt.

Der Weg dahin ist nicht neu, er wird nur selten gegangen. Er beginnt mit drei Schritten, die keine Gesetzesänderung brauchen:

Eine ehrliche Inventur, wo KI im Haus schon genutzt wird, meist breiter und unkontrollierter als gedacht.
Eine Einteilung der Anwendungsfälle nach Sensibilität.
Für die sensiblen Fälle eine dokumentierte Prüfung, ob eine offene, selbst betreibbare Alternative existiert, und zwar mit der Begründungslast beim Einkauf der Abhängigkeit, nicht beim Einsatz der offenen Lösung.

Dass das funktioniert, muss man nicht glauben, man kann es nachrechnen. Schleswig-Holstein hat seinen digitalen Standardarbeitsplatz auf offene Software umgestellt und die jährlichen Kosten dafür von 18 auf 3 Millionen Euro gedrückt. Das ist keine ideologische Entscheidung, das ist Verwaltungsökonomie.

💡 Open Source ist auch hier kein Kostenspar-Argument, sondern ein Souveränitäts-Argument. Wer offene Modelle einsetzt, hat keinen Lock-in, kann selbst betreiben und prüfen, und niemand schickt ihm freitagabends einen Brief.

Fable 5 hat ein Zeitfenster geöffnet, in dem solche Entscheidungen Aufmerksamkeit bekommen. Es schließt sich schnell wieder. Was es jetzt braucht, sind Verfahren. Keine Bekenntnisse.

Digitale Souveränität auf vier Stufen: Was CADA wirklich regelt - und zwei Stellen, an denen es noch nicht reicht

Mon, 08 Jun 2026 22:46:12 +0200

70 Prozent des europäischen Cloudmarkts liegen bei drei Unternehmen: Microsoft, Amazon Web Services und Google. Der Marktanteil europäischer Anbieter hat sich in weniger als zehn Jahren fast halbiert - von 29 Prozent im Jahr 2017 auf rund 15 Prozent heute. Gleichzeitig fließen jährlich schätzungsweise 264 Milliarden Euro aus dem EU-Wirtschaftsraum ab, während die Abhängigkeit von US-Infrastruktur wächst.

Das ist der Kontext, in dem die EU-Kommission am 3. Juni 2026 ihr sogenanntes Tech Sovereignty Package vorgelegt hat. Kern des Pakets: der Cloud and AI Development Act - kurz CADA. Dazu kommen ein Chips Act 2.0, eine Energieroadmap und eine EU-weite Open-Source-Strategie.

Was steckt da drin? Was bedeutet das für öffentliche Verwaltungen in Deutschland? Und wo bleibt der Vorschlag hinter seinen eigenen Ambitionen zurück?

Was CADA ist - und was es nicht ist

CADA ist kein US-Bann. Das ist das erste Missverständnis, das sich in der Debatte der letzten Tage hartnäckig hält.

Das Gesetz definiert vier Souveränitätsstufen für Cloud-Dienste, die aufeinander aufbauen. Welche Stufe für welchen Anwendungsfall gilt, entscheiden nicht Brüssel und nicht Berlin zentral - sondern die Behörden selbst im Rahmen einer vorgeschriebenen Risikoanalyse. Die Kommission gibt Methode und Kriterien vor; die Mitgliedstaaten wenden sie an.

Schauen wir uns die vier Stufen konkret an:

Level 1 ist die Basisstufe: Daten müssen innerhalb der EU verarbeitet werden, der Anbieter braucht eine europäische Niederlassung. US-Hyperscaler wie AWS, Microsoft Azure oder Google Cloud sind hier weiterhin zugelassen - solange sie eine EU-Tochter betreiben. Die Kommission schätzt, dass rund 70 Prozent der Anwendungsfälle im öffentlichen Sektor auf diesem Level landen.

Level 2 adressiert den „Kill Switch" - die Sorge, dass ein Drittstaat jederzeit Dienste einschränken oder Daten abgreifen könnte. Anbieter müssen nachweislich verhindern, dass Drittstaaten-Behörden auf Kundendaten zugreifen oder den Dienst stören können. Sicherheitsbehörden, Grenzschutz, kritische Infrastrukturen sollen mindestens auf diesem Level operieren.

Level 3 ist der Punkt, ab dem es für US-Hyperscaler real problematisch wird. Verschlusssachen dürfen hier in die Cloud - aber nur bei Anbietern, die von Drittstaaten-Gesetzen unabhängig sind, die Sicherheitsbehörden Datenzugriff ermöglichen. Das Problem: Der US Cloud Act tut genau das. Kommissionsvizepräsidentin Henna Virkkunen sagte es bei der Vorstellung des Pakets ohne Umschweife: „Es ist schwer, mit dem US Cloud Act dieses Level zu erreichen." Hinzu kommt eine Anforderung an die Staatsbürgerschaft der Mitarbeitenden - sie müssen aus der EU kommen und können auf Kundenwunsch sicherheitsüberprüft werden. Die Kommission schätzt den Anwendungsbereich auf rund neun Prozent der Fälle.

Level 4 ist die höchste Stufe: vollständige Kontrolle über den gesamten Software-Stack, europäische Lieferkette, keine außereuropäischen Anbieter. Verteidigung, Justiz, Strafverfolgung. Geschätzter Anwendungsbereich: ein Prozent.

Wichtig zu verstehen: Die Kommission sieht Unternehmen der Privatwirtschaft grundsätzlich nicht als verpflichtet an, nach CADA zu beschaffen. Es gibt eine Kann-Regel. Gleichzeitig behält sich die Kommission vor, in „hochkritischen Sektoren" durch weitere Rechtsakte auch private Unternehmen einzubeziehen - etwa die Rüstungsindustrie oder NIS-2-regulierte Sektoren.

Das ist der Rahmen. Jetzt kommen die zwei Debatten, die darin stecken.

Debatte 1: Souveränität oder Protektionismus?

Die EU-Kommission hat ihren eigenen Vorschlag mit einem ausdrücklichen Satz versehen: Das Paket bedeute „keine Isolation, keinen Protektionismus und keine technologische Abkopplung".

Auf der anderen Seite steht CCIA Europe - der Verband, der unter anderem große US-Tech-Unternehmen vertritt - und beschreibt CADA als „direktes Rezept für eine fragmentierte Diskriminierung in ganz Europa auf 27 verschiedene Arten". Der Vorwurf: Durch den Ausschluss bewährter internationaler Anbieter aufgrund ihrer Herkunft zwinge die Kommission Nutzer:innen in ein Korsett aus weniger wettbewerbsfähigen Alternativen.

Das ist die Lobby-Position. Aber das strukturelle Argument dahinter ist nicht falsch.

Das Problem liegt nicht im Ziel, sondern in der Architektur der Entscheidung. CADA delegiert die Stufenzuweisung an die Mitgliedstaaten. Das klingt nach Subsidiarität, ist aber in der Praxis eine Einladung zur nationalen Interpretation. Und hier trennen sich Frankreich und Deutschland.

Frankreich hat eine längere Tradition aktiver Industriepolitik im Digitalen - von der Förderung nationaler Cloud-Anbieter bis hin zur Frage, welche US-Dienste für sensible staatliche Prozesse überhaupt infrage kommen. Frankreich wird Level-3-Anforderungen breiter und früher anwenden. Deutschland hingegen steht unter doppeltem Druck: Ein großer Teil der Verwaltungs-IT läuft heute auf US-Cloud, und es fehlen sowohl Haushaltsmittel als auch einsatzbereite europäische Alternativen für viele Anwendungsfälle.

Das Ergebnis: 27 Mitgliedstaaten mit 27 unterschiedlichen Auslegungen, was „souverän" bedeutet. Das ist kein europäisches Souveränitäts-Framework - das ist ein europäisches Fragmentierungs-Risiko. Heise Online zitiert Dennis-Kenji Kipker vom Cyberintelligence.Institute mit der treffenden Formulierung: Selbst wer das Ziel teilt, muss die „Gefahr einer technologischen Entkopplung" ernst nehmen.

Ich teile die Diagnose, aber nicht die Resignation dahinter. Souveränität und Offenheit sind kein Widerspruch - wenn man die Reihenfolge richtig denkt. Das Centre for European Policy Network formuliert es produktiv: Souveränität als Voraussetzung für Offenheit, nicht als Alternative dazu. Wer handlungsfähig sein will, muss zunächst sicherstellen, dass niemand den Schalter umlegen kann. Danach kann man wählen, mit wem man zusammenarbeitet.

Die Lösung des Architektur-Problems heißt: zentralisierte Kriterien, dezentrale Anwendung. Die Kommission muss die Risikoklassifizierungsmethode so verbindlich vorgeben, dass Level-3-Entscheidungen nicht zur nationalen Handelspolitik werden. Noch ist der Entwurf im parlamentarischen Prozess - das ist der Moment, um genau das einzufordern.

Debatte 2: “Open Source First” ohne Durchsetzungsmechanismus

Hier wird es konkret. Und hier liegt meiner Ansicht nach die wichtigere Schwäche des Entwurfs.

CADA enthält in Artikel 41 ein Prinzip namens „Open Source First" - ausdrücklich im operativen Gesetzestext verankert, nicht nur in einer Präambel. SUSE-Direktor Andreas Prins schreibt dazu: „Das ist die ambitionierteste Open-Source-Verpflichtung, die die Kommission je in ein Gesetz geschrieben hat." In seinem Kommentar vom 3. Juni listet er auf, was das Paket tatsächlich enthält: das OSPO-Netzwerk für die öffentliche Verwaltung, eine 2-Milliarden-Euro-Investitionshülle für die Open-Source-Strategie, eine nationale Pflicht zur Cloud-Strategie mit expliziter Open-Stack-Komponente.

Das ist viel. Aber Prins stellt auch die entscheidende Frage: Ist das bindend und durchsetzbar?

Lesen wir Artikel 41 wörtlich: „The Union and Member States shall take the necessary measures to encourage Union entities and public sector bodies to use and facilitate the reuse of open standards and components released under an open source licence."

Encourage. Ermutigen. Nicht verpflichten. Nicht vorschreiben. Nicht mit Begründungspflicht versehen.

Der FSFE-Projektmanager Johannes Näder begrüßt das Paket als großen Schritt, fordert aber verbindliche Vorgaben. Er rechnet vor: Würde nur die Hälfte der 264 Milliarden Euro, die die EU jährlich für proprietäre IT ausgibt, in europäische Open-Source-Alternativen fließen, wäre das ein struktureller Wendepunkt.

Warum bleibt das relevant? Weil die Zahlen aus Deutschland zeigen, wohin ein „Ermutigen" führt. Tagesspiegel Background hat recherchiert, was die Bundesländer seit 2021 für Microsoft ausgegeben haben: zehn von 16 Ländern haben geantwortet - zusammen über 686 Millionen Euro. Tendenz: +84 Prozent in fünf Jahren, durchschnittlich fast 17 Prozent Kostensteigerung pro Jahr. Die anderen sechs Länder wollten oder konnten keine Zahlen liefern.

Das ist kein Angriff auf Microsoft. Das ist die Beschreibung einer strukturellen Abhängigkeit, die sich ohne Richtungsänderung nicht auflöst. Schleswig-Holstein hat vorgemacht, was möglich ist: Der Wechsel auf LibreOffice hat die Kosten für den digitalen Standardarbeitsplatz von 18 Millionen Euro auf drei Millionen Euro reduziert - jährlich. Das ist keine ideologische Entscheidung. Das ist Verwaltungsökonomie.

💡 Open Source ist in diesem Kontext kein Kostenspar-Argument. Es ist ein Souveränitäts-Argument. Wer Open Source einsetzt, hat keinen Vendor-Lock-in, kann Sicherheitslücken selbst schließen lassen, und muss keine jährlichen Lizenzkosten steigerungen einkalkulieren.

Was also fehlt in CADA? Ein strukturierter Pfad, nicht nur eine Haltung. Konkret drei Elemente:

Erstens: Bevor öffentliche Mittel für proprietäre Cloud- oder KI-Software ausgegeben werden, muss eine dokumentierte Prüfung stattfinden, ob eine qualifizierte Open-Source-Alternative existiert. Nicht als Formalie - als echte Vergabevoraussetzung.

Zweitens: Diese Prüfung muss auditierbar sein. Nicht intern verschwinden.

Drittens: Die Begründungslast muss beim proprietären Kauf liegen, nicht beim Open-Source-Einsatz. Heute ist es umgekehrt. Wer Open Source beschaffen will, muss erklären, warum. Wer Microsoft kauft, hat keine Erklärungspflicht.

SUSE hat dazu gemeinsam mit über hundert Unterzeichner:innen einen offenen Brief an die Kommission geschrieben. Die Richtung ist klar. Die Formulierung im Gesetz muss folgen.

Was jetzt kommt

CADA ist ein Kommissionsvorschlag. Parlament und Rat haben noch nicht Stellung bezogen. Der Telekommunikationsrat der Mitgliedstaaten berät in wenigen Tagen erstmals über die Vorlage - dort werden die nationalen Positionen sichtbar.

Zwei Weichen entscheiden über den Wert des Gesetzes:

Die erste: Ob die Kommission die Risikoklassifizierung so verbindlich zentralisiert, dass nationale Auslegungen nicht zum Instrument nationaler Industriepolitik werden. 27 Level-3-Definitionen sind keine Souveränität. Sie sind 27 Verhandlungspositionen.

Die zweite: Ob aus „Ermutigen" eine Verfahrenspflicht wird. Nicht als ideologisches Statement, sondern als beschaffungsrechtliche Logik: Wer öffentliche Gelder ausgibt, muss begründen können, warum er eine Abhängigkeit eingeht.

Das Tech Sovereignty Package ist der richtige Schritt. Virkkunen hat Recht, dass Europa zu lange weggeschaut hat. Aber gute Absichten allein ändern keine Beschaffungslogik. Was es braucht, sind Verfahren, nicht Bekenntnisse.

Der parlamentarische Prozess hat gerade begonnen. Wer in der Digitalpolitik, in Verwaltungsführung oder im GovTech-Umfeld arbeitet, hat jetzt mehr Einfluss mit seinem Feedback als nach der Abstimmung.

Registermodernisierung in Deutschland: Warum 652 Millionen Euro pro Jahr nicht reichen und wo die wirklichen Kosten lauern.

Tue, 26 May 2026 06:46:12 +0200

Das Worst-Case-Szenario, das keines sein müsste

Angenommen, der deutsche Staat schließt seine Register exakt so, wie sie heute sind, an das Nationale Once-Only-Technical-System (NOOTS) an. Keine Strukturreformen. Keine Konsolidierung. Keine Cloud-Migration. Einfach nur alte Systeme mit neuer Verkabelung verbinden. Was kostet das?

Die Antwort steht in einer Studie der PD (Beratungsgesellschaft der öffentlichen Hand), die im April 2026 veröffentlicht wurde und das nachrechnet: 652,5 Millionen Euro pro Jahr. Über zehn Jahre: 8,5 Milliarden Euro. Und das ist die konservative Rechnung.

Die realistischere Zahl lautet 11,7 Milliarden Euro in zehn Jahren.

Das ist nicht einfach ein statistisches Detail aus dem deutschen Haushalt. Das ist ein Zeichen dafür, dass das Land genug Geld für die Grundlagen hat, aber nicht die Struktur, um es richtig einzusetzen.

Worum es bei den Registern geht

Nehmen wir ein konkretes Beispiel. Sie ziehen um. Sie registrieren sich an Ihrer neuen Adresse. Hinter dieser einfachen Aktion passiert etwas Absurdes: Ihr Name und Ihre neue Adresse landen nicht in einem zentralen Register, das die Behörden dann alle einsehen. Sie landen in Dutzenden verschiedenen Registern gleichzeitig. Das Einwohnermeldeamt hat sein Register. Die Finanzämter haben ihre. Die Krankenkassen haben ihre. Jedes funktioniert weitgehend unabhängig.

Wenn eine Behörde Ihre Daten braucht, passiert das Verrückte: sie muss entweder die anderen Behörden fragen (das dauert) oder von Ihnen selbst verlangen, dass Sie Ihre Adresse erneut eingeben. Und es ist das genaue Gegenteil davon, wie es laut “Once-Only-Prinzip” eigentlich funktionieren sollte.

Die föderale Struktur Deutschlands macht das Problem größer. Jedes Bundesland betreibt seine eigenen Register oder Variationen von ihnen. Die Kommunen auch. Das Ergebnis ist ein Flickenteppich aus rund 200 verschiedenen IT-Systemen, von denen niemand genau weiß, wie viele es wirklich gibt.

Wo die 652 Millionen Euro hingehen (und warum das Problem größer ist)

Der Jahresbetrieb dieser fragmentierten Landschaft kostet einfach Geld. Nicht, weil die Register schlecht programmiert sind, sondern weil es unglaublich aufwendig ist, viele inkompatible Systeme parallel zu betreiben, abzustimmen und zu synchronisieren. Es ist wie ein Auto mit vier verschiedenen Antrieben: jeder einzelne kostet, und die Koordination obendrein.

Der Bundesrechnungshof hat im Oktober 2025 gewarnt, dass eine Finanzierungslücke von über 300 Millionen Euro die geplante Modernisierung dieser alten Registerlandschaft in Frage stellt. Der Bundeshaushalt 2026 sieht 194 Millionen Euro für Register-Digitalisierung vor, das sind 69 Millionen weniger als 2025. Die Reform wird leiser finanziert, während der Bestand teurer betrieben wird.

Das ist die Mathematik der Lähmung: Der Status quo kostet 652 Millionen jährlich. Die Reform kostet weniger insgesamt, aber sie kostet auch etwas, und das Geld fehlt dann in anderen Bereichen. Also passiert nichts.

Die unbeantwortete Frage: Was kostet wirklich funktionierende Reform?

Die PD-Studie wirft eine Frage auf, die kaum jemand laut stellt: Wenn die Register im aktuellen Zustand 652 Millionen pro Jahr kosten, ohne dass spürbarer Mehrwert für Bürger oder Unternehmen entsteht, wie teuer wird das Ganze, wenn die Register wirklich funktionieren?

Wenn der geplante Datenaustausch über NOOTS in den Vollbetrieb geht. Wenn die Once-Only-Initiative nicht mehr nur ein Pilot ist. Wenn tatsächlich alle sehr zahlreichen Behördenverfahren angeschlossen sind.

Die Antwort ist: Es wird nicht einfach teurer, es wird komplexer. Mehr Daten fließen. Mehr Schnittstellen-Komplexität entsteht. Mehr Prozesse werden ausgelöst. Die Betriebskosten steigen, aber auch die Integrationskomplexität.

Die PD-Studie hat die Kosten im Worst-Case bei 8,5 Milliarden Euro über zehn Jahre kalkuliert. Eine Fußnote sagt jedoch: Das könnte in Wirklichkeit 11,7 Milliarden Euro kosten. Diese Zahl ist “vermutlich realistischer, jedoch weniger belastbar quantifizierbar”. Das ist eine elegante Umschreibung für: Wir wissen, dass wir unterschätzen, aber wir können es nicht genau belegen.

Wer zahlt? Die Kostenverteilung zeigt das echte Problem

Das ist der Punkt, an dem die Mathematik des Staates crasht. Der Gros der Kosten fällt nicht bei der FITKO an (die mit einem Budget von etwa 40 Millionen Euro pro Jahr arbeitet). Die Kosten entstehen bei den registerführenden Stellen: bei Bund, Ländern und Kommunen.

Pro Register rechnet die PD mit durchschnittlichen Kosten von 339.000 Euro für den Anschluss. Plus 165.000 Euro pro Jahr für den Betrieb dieses Anschlusses (als Anschlussknoten).

Ein konkretes Beispiel: Eine große Kommune mit 16 verschiedenen Registern muss mit Kosten in Höhe von 32 Millionen Euro in den ersten zehn Jahren rechnen. 32 Millionen Euro.

“Das können sich die Kommunen nicht leisten”, sagt Dominik Zborek, der Projektleiter bei der PD. Und er hat recht. Deutsche Kommunen sind chronisch unterfinanziert. Ein großer Teil läuft mit roten Zahlen.

Die technische Wirklichkeit hinter der 652-Millionen-Zahl

Die PD-Studie hat nur 50 der gesetzlich verpflichtend anzuschließenden Register untersucht. Insgesamt gibt es in Deutschland über 350 verschiedene Registertypen. Das System besteht aus:

42.000 Vollzugsstellen (das sind Verwaltungsstellen wie Kommunen, die ein Register führen)
3.800 technisch unterschiedliche Register-Instanzen
Hunderte von verschiedenen Fachverfahrens-Herstellern

Und die Studie sagt selbst: Sie hat die Zahl der Betriebsinstanzen und Fachverfahrens-Hersteller “systematisch unterschätzt”. Bei den Kommunen gibt es keinen zentralen Überblick. Dominik Zborek sagt es so: “Da unterschätzen wir eher, wie viele Fachverfahren es wirklich gibt.”

Das bedeutet: Die 8,5 Milliarden Euro sind wahrscheinlich eine Untergrenze.

Das politische Rätsel: Warum passiert nichts?

Das Problem ist nicht technisch. Es ist politisch.

Die föderale Struktur bedeutet, dass jedes Bundesland ein Interesse daran hat, seine IT-Autonomie zu behalten. Jeder Ministerialapparat verteidigt sein Budget. Auf Bundesebene gibt es keinen Verantwortlichen, der sagen kann: So wird es gemacht, und alle ziehen mit.

Reform hier heißt nicht Strukturkosmetik. Reform bedeutet konkret:

Weniger Register (nicht 200 mal der verschiedenen Instanzen, sondern vielleicht 20 zentral betrieben)
Klar abgegrenzte Zuständigkeiten zwischen Bund, Ländern, Kommunen
Ein übergreifendes Datenmodell statt Hunderte parallel laufender Systeme

Das ist ein Machtverlust für Bundesländer und Ministerien. Das ist, warum es nicht passiert.

Drei konkrete Wege aus der Kostenfalle

Was die PD-Studie wertvoll macht: Sie schlägt nicht nur ein Problem vor, sondern auch Lösungen. Und nicht alle sind kompliziert.

1. Aufgabenvollzug neu ordnen

Der politische Wille ist da. Die Kommunen haben sich in den Dresdener Forderungen des Deutschen Städtetags für eine Neuverteilung der Aufgaben ausgesprochen. Die Ministerpräsidenten haben zuletzt in ihrer föderalen Modernisierungsagenda versprochen, Aufgaben zu bündeln und neu zu verteilen.

Der Haken: Das könnte eine Verfassungsänderung erfordern. Das ist nicht unmöglich, aber es ist nicht leicht.

2. Cloudregister als Konsolidierungsstrategie

Der Verein GovTech Deutschland hat in einem Pilotprojekt gezeigt, dass das funktioniert: Register lassen sich effektiv in die Cloud verlagern. Rechtlich spricht nichts dagegen. Technisch ist es machbar.

Das Problem: Die Kommunen sind mit der Installation der erforderlichen technischen Voraussetzungen überfordert. Hier müssten Fachleute unterstützen. Das ist eine Investition, die sich aber schnell amortisiert: Cloudregister senken die Betriebskosten deutlich.

3. Zentrale Verhandlung mit Fachverfahrens-Herstellern

Ein dritter Vorschlag wird gerade getestet: Der IT-Planungsrat entschied auf seiner Frühjahrssitzung, zentral mit den Fachverfahrens-Herstellern zu verhandeln. Der Test läuft mit der Genossenschaft “Govdigital”.

Das Prinzip: Wenn der Staat zentral einkauft statt 42.000 Kommunen einzeln, sinken die Preise. Die IT-Industrie kennt diesen Hebel und wird viel tun, hier nicht zu kurz zu kommen.

Was das für die deutsche Digitalisierung bedeutet

Die Register-Situation ist nicht isoliert. Sie ist das Prolog zu einem größeren Problem: Es gibt keine Entscheidungsklarheit über die Architektur des deutschen E-Government.

Wenn nicht geklärt wird, wie die fundamentalen Datenstrukturen funktionieren sollen, wer sie besitzt, wer sie kontrolliert, wer sie bezahlt, dann laufen alle darauf aufgebauten Projekte in das gleiche Problem.

Das ist auch, warum der Deutschland-Stack und die Deutschland-App, zwei weitere Großprojekte des BMDS, ein so hohes Risiko tragen. Sie sind Frontend-Versprechen für eine Backend-Architektur, die nicht entschieden ist.

Das Zeitfenster schließt sich

Die Legislaturperiode ist schon weit fortgeschritten. Wenn die Konsolidierung und echte Reform der Register nicht in den nächsten 12 bis 18 Monaten in Bewegung kommt, wird es schwierig.

Ein neuer Bundestag. Eine neue Legislaturperiode. Neue Prioritäten. Und die Register-Reform rutscht wieder nach hinten.

652 Millionen Euro jährlich für einen kaputten Zustand ist nicht nachhaltig. Aber solange der politische Wille für echte Konsolidierung fehlt, wird genau das die Realität bleiben.

Handlungspunkte für Entscheider:innen

Wenn Sie in einer Verwaltung, bei einer Behörde oder einem Bundesland für digitale Infrastruktur verantwortlich sind, gibt es drei konkrete Punkte, die Sie jetzt tun können:

1. Beschäftigen Sie sich mit der PD-Studie. Sie wurde im April 2026 veröffentlicht und ist nicht akademisch, sondern sehr praktisch. Sie zeigt die echten Kosten für Ihr Register auf.

2. Prüfen Sie die Cloudregister-Option. Wenn Ihr Register in den nächsten zwei Jahren modernisiert werden soll, ist Cloud nicht optional, sondern wirtschaftlich notwendig. Die GovTech Deutschland und der BSI haben das bereits validiert.

3. Beteiligen Sie sich an zentralen Beschaffungsverfahren. Der IT-Planungsrat testet zentrale Verhandlung mit Fachverfahrens-Herstellern. Das ist der richtige Weg. Machen Sie mit, statt isoliert zu kaufen.

Die Reform ist nicht unmöglich. Sie erfordert nur, dass jemand sagt: So wird es gemacht. Und dass die Kommunen und Bundesländer nicht mehr allein dafür zahlen.

NRW schafft die Schriftform ab – warum das mehr ist als Bürokratieabbau und den teuren Umweg über staatliche Postfächer überspringt.

Mon, 11 May 2026 11:36:12 +0200

Während sich die Republik in Strategie-Debatten über den „Deutschland-Stack", NOOTS und die nächste Postfach-Architektur vertieft, hat das nordrhein-westfälische Kabinett am 5. Mai 2026 eine Entscheidung getroffen, die in jedem Behördenkontakt sofort spürbar werden würde – und die deshalb mehr Aufmerksamkeit verdient, als sie bisher bekommt: Die landesrechtliche Schriftform soll abgeschafft werden. Künftig reicht die einfache E-Mail.

Konkret: Im Rahmen eines Entlastungspakets mit über 30 Maßnahmen hat NRW beschlossen, die Schriftformerfordernisse im Landesrecht zum 1. Januar 2027 grundsätzlich aufzuheben. Wer eine Schriftform weiterhin braucht, muss das bis dahin per Rechtsverordnung ausdrücklich begründen – andernfalls entfällt sie. Diese Beweislastumkehr ist der eigentliche Hebel. Bisher musste der digitale Weg begründet werden. Künftig muss begründet werden, wenn weiter analog kommuniziert werden soll.

Der aktuelle Stand: Die Verbändeanhörung startet bald, der Gesetzentwurf soll vor der Sommerpause in den Landtag. Rund sieben Monate bleiben bis zum Inkrafttreten – Übergangsfristen mal ausgenommen. Das klingt nach viel. Es ist nicht viel, wenn man bedenkt, was an Infrastruktur und Prozessen mitziehen muss.

Warum das ein größerer Schritt ist, als er aussieht

Der Bürokratieabbau-Effekt ist real, aber er ist nicht das Eigentliche. Wer den Vorgang nur unter „weniger Papier" verbucht, übersieht den strukturellen Punkt: Die Frage in jeder Projektplanung, in jeder Fachverfahrensauswahl, in jeder Ausschreibung verschiebt sich. Sie lautete bisher: „Darf das digital?" Sie lautet künftig: „Warum darf das nur analog?"

Hinzu kommen drei Effekte, die zusammen den Unterschied machen:

Weniger Medienbrüche. Die Verwaltung und auch Bürger:innen und Unternehmen arbeiten ohnehin digital. Der Druck-und-Kuvertier-Schritt ist eine künstliche Naht im sonst durchgängigen Prozess. Wer sie entfernt, spart nicht nur Porto, sondern gewinnt an Geschwindigkeit und Fehlerfreiheit.

Tempo. Asynchrone digitale Kommunikation funktioniert in Minuten – die analoge Variante braucht Tage, manchmal Wochen. Für Bürger:innen und Unternehmen ein spürbarer Unterschied. Für die Verwaltung ein Effizienzgewinn, der ohne Software-Investition entsteht.

Ein Reihenfolge-Move. NRW löst das Problem nicht über eine neue Plattform oder Technologie, sondern über die Verschiebung des Defaults. Das ist kein Technikproblem, das hier gelöst wird. Die Reihenfolge (Priorisierung) der Kommunikationskanäle wird anders gesetzt; genau diese Art von Lösung ist es, die in der Verwaltungsdigitalisierung viel zu selten gewählt wird.

Der eigentliche Effekt: NRW umgeht die Postfach-Sackgasse

Damit komme ich zum Kern. Wer sich nur die NRW-Entscheidung anschaut, sieht einen Bürokratieabbau-Schritt. Wer das Gesamtbild betrachtet, sieht etwas anderes: NRW geht an einer Stelle voran, an der sich die deutsche Verwaltung seit 15 Jahren mit einer Lösung quält, die strukturell ungeeignet ist.

Wie viele Postfächer wir uns schon geleistet haben

Die Geschichte der deutschen Verwaltungs-Kommunikation ist eine Geschichte des „noch ein Postfach". Eine nüchterne Bestandsaufnahme, gruppiert nach Adressatenkreis:

Für Bürger:innen gab und gibt es: die DE-Mail, 2011 mit großen Erwartungen gestartet und 2022 vom größten Anbieter wegen fehlender Wirtschaftlichkeit aufgegeben – die endgültige Abschaltung läuft. Telekom-Chef Höttges sprach öffentlich von einem „toten Gaul" und einem dreistelligen Millionenverlust für sein Unternehmen. Es folgten die Servicekonten der Länder mit jeweils eigenen Postfach-Initiativen. BayernID, ServiceKonto.NRW, Servicekonto Hessen, Mein Service Sachsen, SH-Servicekonto und weitere. Parallel die BundID mit dem angebundenen Zentralen Bürgerpostfach (ZBP), seit 2024 das alleinige Postfach der BundID. Dazu das ELSTER-Postfach – der einzige Kanal, der wirklich läuft, weil er verpflichtend ist und einen klaren, jährlich wiederkehrenden Anlass hat. Und der privatwirtschaftliche E-Postbrief der Deutschen Post, ebenfalls gescheitert.

Für Unternehmen: „Mein Unternehmenskonto" auf Basis von ELSTER, betrieben von Bayern im Auftrag des IT-Planungsrats – plus kommunale und länderspezifische Lösungen, oft eingebettet in eigene Fachverfahren oder Onlinedienste.

Und für Professionen mit besonderer Verschwiegenheits- und Beweispflicht eine eigene, gut begründete Welt: beA für Anwält:innen (seit 2018 Pflicht), beN für Notar:innen, beBPo für Behörden, beSt für Steuerberater:innen, eBO für sonstige professionelle Einreicher. Diese Postfächer haben ihre eigene Logik und ihre eigene Rechtfertigung. Sie sind nicht das Thema dieses Artikels.

Im Hintergrund schließlich der technische Unterbau, der vieles davon trägt: OSCI/XTA für den Verwaltungsverkehr untereinander. Manchmal aber auch individuell entwickelte Softwarelösungen die einzig dem Zweck dienen, “Kommunikation” abzubilden.

Jede einzelne dieser Lösungen hat einmal ein konkretes Problem gelöst. Das große Problem entstand erst aus der Summe: Wer heute als Bürger:in einen Bauantrag stellen, sein Auto ummelden und seine Steuererklärung einreichen möchte, hat potenziell mit drei verschiedenen Kanälen zu tun – plus E-Mail für Schule, Stadtwerke und Verein. Die Verwaltung erwartet, dass Bürger:innen sich an ihre Logik anpassen. Das ist die strukturelle Schwäche.

Bemerkenswert: NRW selbst hat den Strukturfehler erkannt und schon Mai 2024 sein eigenes Servicekonto zugunsten der BundID aufgegeben. Das ist ein guter Schritt. Aber er löst das eigentliche Default-Kanal-Problem nicht. Er konsolidiert die Sonderlösung, statt sie zu hinterfragen.

ZaPuK – der föderale Versuch, das Splitterbild zusammenzubinden

Auf föderaler Ebene gibt es seit 2025 einen Anlauf, das Splitterbild zu harmonisieren: die Zielarchitektur für Postfach- und Kommunikationslösungen (ZaPuK). Mit Beschluss 2025/28 des IT-Planungsrats entwickelt unter Federführung von FITKO, Hamburg und Sachsen-Anhalt. Ziel ist ein einheitlicher föderaler Rahmen, in den ELSTER, BundID/DeutschlandID, das Unternehmenskonto und der elektronische Rechtsverkehr schrittweise integriert werden können – auf Basis eines Zero-Trust-Ansatzes und mit Ende-zu-Ende-Verschlüsselung. Phase 2 wurde beauftragt, das Umsetzungsprogramm läuft an, Konzept und Architektur liegen offen auf openCode.

Das ist gute Arbeit. Standardisierte Zustelllogik statt fragmentierter Sonderwelten ist saubere Architektur, die Menschen dahinter sind kompetent, der Open-Source-Ansatz vorbildlich. Und doch: ZaPuK ist die technisch beste Antwort auf eine politisch falsch gestellte Frage. Die gestellte Frage lautet: „Wie verbinden wir all die Postfächer, die wir schon gebaut haben?" Die bessere Frage wäre gewesen: „Brauchen wir all diese Postfächer überhaupt – oder reicht für 80 Prozent der Verwaltungskommunikation der bekannteste, weltweit etablierte Kanal, den 100 Prozent der Bürger:innen und Unternehmen ohnehin täglich öffnen: die E-Mail?"

Kaum genutzt, trotzdem teuer

Die Zahlen erzählen die Geschichte deutlich. Die BundID wächst – und doch bleibt sie weit hinter dem zurück, was eine echte Regelkommunikation bräuchte: rund 6,3 Millionen aktive Konten (Stand Februar 2026), etwa 2,5 Millionen Logins pro Monat – eine Verfünffachung gegenüber 2024 – und rund 310.000 Nachrichten pro Monat über das ZBP. Hunderttausende Konten wurden zwischenzeitlich als reine „Einmal-Konten" aus dem Bestand gelöscht, weil sie nach 24 Monaten Inaktivität nicht mehr genutzt wurden – viele waren ursprünglich nur für die Energiepreispauschale angelegt worden.

Setzt man diese Zahlen in Relation zu rund 70 Millionen erwachsenen Bürger:innen, bleibt eine einstellige Prozent-Nutzung als regelmäßiger Kanal. Und aufgrund des gestoppten PIN-Rücksetzbriefes für den neuen Personalausweis ist zu befürchten, dass die Abdeckung der BundID samt angeschlossenem ZBP nur noch schwerlich weiter steigen wird.

Gleichzeitig kostet jedes dieser Postfachsysteme im Betrieb: Hosting, Identitätsmanagement, Support, Barrierefreiheit, Security-Patches, Audits, Anbindung an Fachverfahren. Multipliziert mit den Servicekonten in den Ländern (in Konsolidierung), dem Bund, ELSTER, dem Unternehmenskonto, den professionellen Postfächern – und dem harmonisierenden ZaPuK-Layer obendrauf. Die DE-Mail ist nicht nur eine Anekdote über gescheiterte Innovation; sie ist die teure Mahnung, was passiert, wenn Sonderlösungen an der Lebenswirklichkeit vorbei entwickelt werden.

Doppelte Verlierer: Bürger:innen haben ein System, das sie nicht kennen und kaum nutzen. Steuerzahler:innen zahlen für ein System, das sie nicht kennen. Und die Verwaltung investiert Ressourcen in einen Kanal, den sie selbst nicht zuverlässig mit ihrer Hauptzielgruppe befüllen kann.

Das Problem an der Postfach-Strategie ist nicht, dass sie schlecht gemacht wäre. Das Problem ist, dass sie an einer Stelle eingreift, an der Bürger:innen nichts Neues wollen. NRW geht stattdessen dahin, wo sie schon sind – ins E-Mail-Postfach, das sie ohnehin täglich öffnen.

Die ehrlichen Bedenken

So weit, so klar. Aber E-Mail als Standard-Kanal hat technische Schwächen, die nicht weggeredet werden dürfen.

E-Mail ist eine Postkarte im Internet. Transport-Verschlüsselung erfolgt opportunistisch, Ende-zu-Ende-Verschlüsselung ist nicht der Standard. Für viele Verwaltungsvorgänge – Anfragen, Statusmeldungen, Eingangsbestätigungen, Terminvereinbarungen, Erläuterungen – ist das unkritisch. Für andere – sensible Bescheide, gesundheitsbezogene Daten, sozialrechtliche Verfahren – ist es das nicht.

Es gibt ein Empfangsproblem. Spam-Filter, restriktive Mailserver, schlecht gepflegte Reputation: Mails landen im Nirgendwo. Wenn Bürger:innen ihre Antwort nicht erhalten, ist der Kanal de facto unbrauchbar – auch wenn er technisch funktioniert.

Es gibt ein Fälschungsproblem. Absender vorzugaukeln ist trivial, wenn beide Seiten nicht professionell aufgestellt sind. Phishing-Angriffe, die scheinbar von „Ihrer Behörde" kommen, sind real und werden zunehmen.

Und es gibt die Frage der Verbindlichkeit. Wann gilt eine Mail als zugestellt? Wann als wirksam abgegeben? Was zählt im Streitfall?

Diese Punkte sind real. Sie sind aber lösbar – mit Standards und Technik, die es seit Jahren gibt und die im Privatsektor zur Selbstverständlichkeit geworden sind.

Was hilft? Die E-Mail professionalisieren – auf beiden Seiten

Hier wird es konkret. Wer heute eine seriöse Verwaltungs-Mail-Infrastruktur betreiben will, braucht keine neue Software und keinen neuen Standard. Er braucht die konsequente Anwendung dessen, was im Werkzeugkasten längst liegt.

Auf der Sender-Seite – also überall dort, wo Behörden Mails verschicken – heißt das: Absender-Authentifizierung als Pflicht statt als Kür. Mit Sachen wie SPF, DKIM und DMARC (mit p=reject, nicht nur p=none) lässt sich heute schon wirksam verhindern, dass Dritte unter dem Namen einer Behörde Mails versenden. Mit MTA-STS und DANE wird Transportverschlüsselung verbindlich statt opportunistisch. Die BSI TR-03108 beschreibt das alles seit Jahren als anwendbaren Standard für sicheren E-Mail-Transport, ergänzt durch die BSI TR-03182 zur E-Mail-Authentifizierung. Dazu kommen eindeutige Absenderdomänen pro Behörde, sauberes Bounce-Management und IP-Hygiene.

Auf der Empfänger-Seite (wenn die Verwaltung Mails von ihren Bürger:innen und Unternehmen erhält) geht es um Strukturierung statt Wildwuchs: Funktionspostfächer statt persönlicher Eingangsadressen, Anbindung an die Fachverfahren, Vorklassifikation und Erfassung von Anhängen (das ist heute Standardtechnologie, kein KI-Hype) und ein klarer, dokumentierter Prozess vom digitalen Eingang in die digitale Akte. Wenn die Mail ankommt, aber dahinter ein Drucker steht, ist nichts gewonnen.

Niemand muss auf den nächsten Standard warten. Mit dem, was im BSI-Werkzeugkasten liegt, lässt sich heute eine Mail-Infrastruktur betreiben, die seriös ist.

Die Kommunen entscheiden, ob es ein Gamechanger wird

Ein Punkt darf nicht unter den Tisch fallen, sonst verpufft die ganze Initiative: Das Land setzt mit dem Gesetz nur den Rahmen. Die Wirkung entsteht im kommunalen Schaltergeschäft. Bürgeramt, Bauaufsicht, Standesamt, Sozialamt, Ordnungsamt – das sind die Orte, an denen Bürger:innen Verwaltung erleben. Und das sind Strukturen, die NRW nicht direkt steuert.

Damit Kommunen wirklich mitziehen können, braucht es kein neues Programm. Es braucht ein paar handfeste Vorlagen und ein Vorbild:

Musterkonfigurationen für SPF, DKIM, DMARC und MTA-STS – als copy/paste-taugliche Vorlage des Landes und der kommunalen Rechenzentren, gern als Open Source für alle bereitgestellt und gemeinsam fortgeschrieben.

Förderfähige, gemeinsam betriebene Mail-Infrastruktur über die etablierten kommunalen Rechenzentren wie KDN, citeq, ITK Rheinland, krz oder regio iT – nicht jede Kommune einzeln.

Pilot-Kommunen, die es vormachen, vorweisen können und damit den anderen den Anstoß geben.

Und klar abgegrenzte Use Cases, in denen E-Mail explizit nicht reicht, kommuniziert mit der gleichen Klarheit wie die Default-Verschiebung.

Eine Behörde reicht. Wenn sie es vormacht, kommt der Rest. Das ist keine Hoffnung, das ist Erfahrung aus jeder gelungenen kommunalen Digitalisierungs-Welle der letzten zehn Jahre.

Einordnung – kein Kopieren, aber genaues Hinsehen

Ein kurzer Seitenblick auf die Nachbarn:

In Dänemark ist die digitale Behördenpost seit Jahren der Default mit Opt-out. Alle Bürger:innen ab 15 sind verpflichtet, Behördenpost digital zu empfangen, betrieben über staatlich autorisierte Plattformen wie E-Boks und mit.dk. Wer ohne Befreiung weiter Briefpost wünscht, bekommt keine. Das funktioniert – aber es funktioniert in einem zentralistischen System, das die deutsche föderale Realität nicht kennt.

In Estland hat sich die Schriftform-Frage längst auf anderem Weg erledigt: über durchgängige digitale Identität und X-Road als Backbone. Auch das ist nicht eins zu eins übersetzbar – die Voraussetzungen unterscheiden sich grundlegend.

NRW geht einen pragmatischen, freiwilligeren Weg über die Default-Verschiebung – passend zum föderalen Kontext. Estland und Dänemark sind nicht besser, sondern anders organisiert. Die Frage ist nie „Wie kopieren wir das?", sondern „Was lässt sich in unseren föderalen Kontext übersetzen?" NRW liefert eine Antwort, die andere Länder als Übersetzungs-Beispiel nutzen können.

Rechtlich bleibt der Rahmen anschlussfähig: § 3a VwVfG zur elektronischen Kommunikation, §§ 126/126a/126b BGB für die Abstufung zwischen Schriftform, elektronischer Form und Textform, eIDAS 2.0 für die qualifizierte elektronische Signatur dort, wo sie weiterhin nötig ist. Die Werkzeuge liegen seit Langem auf dem Tisch. NRW nutzt sie konsequent.

Sieben Monate, drei Hausaufgaben

Die nächsten rund sieben Monate bis zum 1. Januar 2027 entscheiden, ob das Gesetz ein Datum mit Wirkung wird oder ein Termin im Gesetzblatt. Drei Hausaufgaben, kompakt:

Erstens: Technik. Authentifizierte, sichere Mail-Infrastruktur in Land und kommunalen Rechenzentren – mit SPF, DKIM, DMARC, MTA-STS und einer Konfiguration, die der BSI TR-03108 standhält. Keine neuen Standards nötig. Keine neue Software nötig. Nur Disziplin und gute Vorlagen.

Zweitens: Prozesse. Funktionspostfächer, Anbindung an die Fachverfahren, Aktenführung digital ab Eingang. Wenn die Mail ankommt, aber dahinter ein Drucker steht, ist nichts gewonnen – und das Vertrauen in den neuen Kanal ist verloren, bevor er wirken kann.

Drittens: Kommunikation. Bürger:innen und Unternehmen wissen lassen, dass E-Mail jetzt reicht – und genauso klar: wofür sie weiterhin nicht reicht. Vertrauen entsteht über Klarheit, nicht über Verschweigen.

Das hier ist kein Game-Changer, weil es technisch revolutionär wäre. Es ist einer, weil endlich jemand auf den bekannten Kanal setzt, statt auf den nächsten neuen. NRW macht es vor. Jetzt ist die Frage, wer mitmacht.

Fünf Bedingungen, mit denen digitale Verwaltung gelingt

Fri, 23 Jul 2021 09:00:00 +0100

Ursprünglich 2021 bei publicplan erschienen. Inhaltlich handelt es sich hier um den gleichen Artikel, allerdings in meiner persönlichen Sichtweise umgeschrieben.

Erfolgreiche digitale Verwaltung scheitert in der Regel nicht an fehlenden Konzepten. Strategiepapiere, Reifegradmodelle und Reform-Programme gibt es genug. Sie scheitert an dem, was passiert, nachdem das Strategiepapier weggelegt ist. An dem, was Bürger:innen am Ende auf dem Bildschirm sehen. An der Frage, ob es funktioniert, ob es schnell ist, ob es zugänglich ist, ob die Mitarbeitenden im Amt damit umgehen können.

Fünf Bedingungen entscheiden in der Praxis darüber, ob ein E-Government-Angebot trägt oder ob es zum Schaufenster verkommt.

1. Verfügbare Information ist die Grundvoraussetzung

Vor jeder Online-Leistung steht die Frage: Wo finde ich die Information, die ich brauche? Kontaktdaten, Zuständigkeiten, Öffnungszeiten, Antragsformulare, FAQ. Klingt banal, ist es nicht. Eine relevante Zahl von Verwaltungs-Websites pflegt die eigenen Inhalte nur sporadisch. Veraltete Telefonnummern, gestrichene Sprechzeiten, Antragsformulare in einer Version aus 2017.

Was hier passiert, ist nicht trivial. Wenn Bürger:innen die Information nicht finden, fragen sie sich nicht „Schade, schlecht gepflegtes CMS". Sie fragen sich „Funktioniert die Behörde überhaupt?". Eine konsequente Pflege grundlegender Informationen ist kein Luxus. Sie ist die Voraussetzung dafür, dass alle anderen vier Punkte überhaupt eine Chance haben.

2. Mobile First ist kein Designtrend

Mehr als die Hälfte der Bevölkerung greift nach dem Aufwachen als erstes zum Mobiltelefon. Wer morgens sein Bürgerportal aufruft, tut das vom Handy aus, nicht vom Desktop-PC. Das gilt für die schnelle Nachfrage zwischen zwei Terminen, für die Antrags-Statusabfrage in der S-Bahn, für die meisten kurzen Verwaltungs-Interaktionen.

Daraus folgt: Mobile First ist kein Designtrend, sondern eine Architektur-Entscheidung. Wer Anwendungen primär für den Desktop entwirft und sie hinterher „auch auf Mobile irgendwie" anbietet, baut zwei schlechte Versionen statt einer guten. Die Reihenfolge muss umgekehrt sein.

Ergänzt wird das durch konsequente Barrierefreiheit. Strukturierte Texte, die Screenreader lesen können. Tastatur-Navigierbarkeit. Optionen für leichte Sprache und Gebärdensprache. Eine Verwaltungs-Website ist nicht dazu da, möglichst viele Menschen anzusprechen. Sie ist dazu da, alle Berechtigten zu erreichen.

3. Konzentration auf das, was die Lösung leisten muss

Jede Online-Leistung hat eine konkrete Aufgabe: Visumantrag, Bibliotheksausweis, Gewerbeanmeldung, Wohnsitzwechsel. Jede Aufgabe hat eine konkrete Zielgruppe mit konkreten Erwartungen. Die häufigste Falle in E-Government-Projekten ist der Versuch, in eine einzelne Lösung zu viel hineinzupacken. Mehr Funktionen, mehr Module, mehr „auch noch das".

Erfolgreiche Lösungen tun das Gegenteil. Sie konzentrieren sich auf die Kernfunktion, führen Nutzer:innen klar durch den Prozess, halten das Layout konsistent. Sie haben Feedback-Kanäle, die genutzt werden, weil Bürger:innen merken, dass ihre Hinweise tatsächlich etwas verändern. Reduktion ist hier nicht Sparsamkeit, sondern Funktion.

4. Performance entscheidet, ob die Lösung benutzt wird

Die beste Online-Leistung nützt niemandem, wenn sie nicht lädt. Untersuchungen von Think with Google zeigen: Zwischen einer Sekunde und drei Sekunden Ladezeit steigt die Absprungrate um 32 Prozent. Bei fünf Sekunden Ladezeit liegt sie bei 90 Prozent. Das sind keine Marketing-Zahlen. Das ist die Realität, in der digitale Verwaltung funktionieren muss.

Lange Ladezeiten haben technische Ursachen, die im Web-Engineering bekannt sind: zu große Bilder, ungezipptes JavaScript, blockierende Skripte, fehlendes Caching. All das ist heute nicht mehr Kunst, sondern Handwerk. Wer in der Verwaltungs-IT noch fünf Sekunden Ladezeit hat, hat nicht zu wenig Budget, sondern hat sich nicht um die Performance gekümmert.

Hinzu kommt der Reputations-Hebel. Bürger:innen, die mit einer Verwaltungs-Website ärgerliche Erfahrungen machen, teilen das in sozialen Medien. Eine schlechte digitale Verwaltung ist heute schneller öffentlich als eine schlechte analoge. Das ist keine Drohung, das ist eine Chance, ernst zu machen.

5. Mitarbeitende sind nicht nur Kostenfaktor

Der oft übersehene Erfolgsfaktor ist die fünfte Bedingung. Mitarbeiter:innen in Behörden müssen die neuen digitalen Prozesse mittragen. Wenn sie nicht eingebunden sind, entwickeln sie schnell eine implizite Ablehnung gegenüber Lösungen, die ihnen aufgezwungen wurden. Diese Ablehnung wirkt sich auf die Qualität aus: zögerlich beantwortete Anfragen, halb genutzte Funktionen, fehlende Akzeptanz beim Bürgerkontakt.

Der Hebel ist eine frühzeitige Einbindung. Mitarbeitende, die in Entscheidungs- und Entwicklungsprozesse mit eingebunden sind, kennen die Lösungen, kennen die Hintergründe, können sie im Bürgerkontakt erklären. Schulungen sind dabei ein Teil. Mindestens genauso wichtig: ihre fachliche Expertise als Anforderungs-Quelle ernst zu nehmen, statt als Hindernis zu behandeln.

Was die fünf gemeinsam ergeben

Die fünf Punkte sind keine Liste zum Abhaken. Sie sind ein Liefer-Set. Die Stärke der Verwaltungs-Lösung ergibt sich aus der schwächsten der fünf Bedingungen. Wer Information aktuell hält, aber Performance vernachlässigt, verliert die Nutzer:innen am ersten Bildschirm. Wer Performance gut hat, aber die Mitarbeitenden nicht mitnimmt, hat ein technisch gutes System mit ungeklärtem Betrieb.

Erfolgreiche digitale Verwaltung entsteht, wenn alle fünf gleichzeitig getragen werden. Über Jahre. In jedem einzelnen Online-Angebot. Das ist der Unterschied zwischen einer Verwaltung, die digital wirkt, und einer, die digital funktioniert.

Ohne einen Ort für Code bleibt EfA Theater

Wed, 14 Apr 2021 09:00:00 +0200

Ursprünglich 2021 bei publicplan erschienen. Inhaltlich gleicher Artikel, in meiner persönlichen Sichtweise geschrieben.

Stellen Sie sich vor, drei Behörden bauen im Sinne des EfA-Prinzips eine gemeinsame Lösung für die Online-Terminbuchung. Behörde D, sechs Monate später vor dem gleichen Problem, sucht nach einer bestehenden Lösung. Wo schaut sie nach? Wer pflegt das Verzeichnis? Wer prüft, ob die Lösung zu den eigenen Anforderungen passt?

Hier hakt es bisher. Das EfA-Prinzip funktioniert nur, wenn nachnutzungswillige Verwaltungen die nachnutzbaren Lösungen finden. Ohne einen zentralen Ort für Code bleibt EfA ein Versprechen ohne Liefer-Mechanik.

Was schon angelegt ist

Das Bewusstsein dafür ist gewachsen. Initiativen wie „Public Money? Public Code!" machen seit Jahren deutlich, was Open Source in der Verwaltung leisten kann. Der 9-Punkte-Plan des Bundes-CIO Markus Richter setzt Open Source als strategisches Element. Das EfA-Prinzip ist als föderaler Konsens akzeptiert. All das ist Voraussetzung. Es ist aber noch keine Lieferung.

Die Open Source Business Alliance und Vitako haben gemeinsam mit mehreren Partnern, das Konzept „Ein Ort für öffentlichen Code" vorgelegt. Im März 2021 haben das Land Nordrhein-Westfalen, Baden-Württemberg und der Bund angekündigt, daraus ein Pilotprojekt zu starten. Mitte 2021 soll die Plattform stehen. Sie schließt die Lücke, an der Nachnutzung bislang scheitert: einen gemeinsamen, durchsuchbaren Bestand von Verwaltungs-Software mit Quellcode, Dokumentation und nachvollziehbarem Steckbrief.

Warum nicht einfach GitHub

Der Reflex liegt nahe. GitHub ist das mit Abstand größte Code-Repository der Welt, von Microsoft betrieben, von Millionen Entwickler:innen täglich verwendet. Warum nicht einfach dort hinlegen, was die Verwaltung baut?

Die Antwort liegt nicht in der Technik, sondern in der Rechtssicherheit. GitHub liegt unter US-Recht, ist über den CLOUD Act für US-Behörden zugriffsfähig und kann seine Nutzungsbedingungen jederzeit ändern. Für eine privatwirtschaftliche Open-Source-Community ist das unproblematisch. Für eine Plattform, auf der die deutsche Verwaltung Software hinterlegt, die in kritischen Verfahren läuft, ist das eine strukturelle Abhängigkeit, die sich vermeiden lässt.

Hinzu kommt: Der Bedarf der Verwaltung ist nicht der einer reinen Entwickler:innen-Community. Wer in der Behörde mit Beschaffungs-Verantwortung arbeitet, muss in einer Code-Plattform andere Dinge schnell finden können als ein Open-Source-Maintainer. Welche Lösungen lösen welches fachliche Problem? Welche Lizenz steht dahinter? Welcher Reifegrad? Welche Behörde nutzt das produktiv? Solche Fragen beantwortet GitHub nicht. Und ist auch nicht dafür gemacht.

Was die Verwaltungs-Plattform leisten muss

Eine Plattform für öffentlichen Code muss zwei Dinge gleichzeitig tun. Sie muss technisch brauchbar sein für die, die wirklich Code verwalten. Repository-Funktionen, Versionierung, Issue-Tracking, Pull-Request-Workflows in einer Qualität, die der Entwicklung gerecht wird. Und sie muss zugänglich sein für die, die nicht selbst Code schreiben, aber Lösungen suchen oder anbieten. Ein Steckbrief-Layer, der Lösungen so beschreibt, dass auch Nicht-Techniker:innen Eignung und Anschluss-Aufwand abschätzen können.

Diese Verbindung von Entwickler:innen- und Verwaltungs-Sicht ist der eigentliche Wert. GitHub kann die erste Hälfte. Ein Steckbrief-Portal kann die zweite Hälfte. Eine deutsche Verwaltungs-Plattform muss beide sauber miteinander verbinden, mit Melde- und Vorschlagswegen, die direktes Feedback an die Maintainer ermöglichen.

Ein Beispiel, das die Differenz greifbar macht: Wenn eine Stadt eine Online-Terminbuchung sucht, will sie nicht zwanzig Repositories durchwühlen. Sie will einen Steckbrief, der ihr zeigt, welche Lösung in welcher anderen Kommune bereits produktiv läuft, mit welcher Lizenz, welchem Pflegestatus, welchem Beispiel-Setup. Der Sprung in den Quellcode kommt dann erst, wenn die Vorauswahl steht. Diese Vorauswahl ist auf GitHub heute nicht möglich.

Das Rad muss nicht neu erfunden werden

Die gute Nachricht: Die Bausteine existieren. GitLab, Gitea und ähnliche Open-Source-Lösungen können als Basis dienen. Für den Steckbrief-Layer gibt es Standards aus dem internationalen Public-Money-Public-Code-Umfeld, etwa die publiccode.yml-Spezifikation aus dem italienischen Verwaltungs-Kontext. Was fehlt, ist die Integration und der Betrieb im deutschen Verwaltungs-Kontext.

Genau das soll das Pilotprojekt aus NRW, BW und dem Bund leisten. Wenn es gelingt, wird der Ort für öffentlichen Code für das EfA-Prinzip das, was der Portalverbund für die OZG-Bürger:innen-Sicht ist: die Mechanik, ohne die das Versprechen nicht trägt.

Eine Plattform ist erst der Anfang

Eine Plattform allein nützt allerdings nichts, wenn sie nicht gefüllt und gepflegt wird. Die Frage, wer welchen Code dort hinlegt, wer ihn pflegt, wer für die Qualität bürgt, ist eine Governance-Frage. Sie wird nicht im Plattform-Design entschieden, sondern in den Vergaben, Verträgen und Kooperationsvereinbarungen, die rund um sie geschlossen werden. Wer Open-Source-Code beauftragt und nicht festschreibt, dass er auf der gemeinsamen Plattform landet, sorgt dafür, dass die Plattform leer bleibt.

Ein Ort für öffentlichen Code ist kein Selbstzweck. Er ist die Bedingung dafür, dass die anderen Versprechen wie EfA, Nachnutzung und digitale Souveränität überhaupt eingelöst werden können. Ohne diesen Ort bleibt jede Lösung in ihrem Tresor. Und EfA bleibt Theater.

Ohne EfA wird das OZG nicht fertig

Tue, 09 Mar 2021 09:00:00 +0100

Ursprünglich 2020 bei publicplan erschienen. Der Artikel hier ist inhaltlich gleiche, aber in meiner persönlichen Sichtweise geschrieben.

Das Onlinezugangsgesetz stellt die deutsche Verwaltung vor eine arithmetisch fast unmögliche Aufgabe: 575 Verwaltungsleistungen, hinter denen sich rund 5.000 Einzelprozesse verbergen, sollen flächendeckend digitalisiert werden. Auf Bundes-, Landes- und Kommunalebene. In wenigen Jahren. Mit knappem Budget und knapperem Personal.

Wenn jede Behörde das parallel selbst baut, wird das OZG nicht fertig. Mit oder ohne Pandemie.

Genau darum geht es beim „Einer für Alle"-Prinzip, kurz EfA. Nicht um Bonus-Effizienz. Um die Frage, ob das Gesetz in der gegebenen Zeit überhaupt umsetzbar ist.

Doppelbau ist die teuerste Strategie

Stellen Sie sich eine Baustelle vor. Sie sollen 575 Häuser bauen. Sie haben Bauarbeiter:innen verteilt auf 16 Bundesländer und über 10.000 Kommunen. Jede:r darf das eigene Haus nach den eigenen Plänen bauen, mit eigenen Maßen, ohne Abstimmung. Ergebnis: 575 mal der gleiche Aufwand, jedes Haus ein Unikat, der Bauleitungs-Stab dreht durch.

So sieht das OZG aus, wenn jede Verwaltung ihre eigenen digitalen Lösungen baut. Das dezentrale Wimmelbild der Verwaltungslandschaft ist dabei nicht das Problem. Das Problem ist, was passiert, wenn sie nicht koordiniert wird.

Hinzu kommt ein zweites Hindernis: die technische Diversität. Wenn jede Behörde ihre eigenen Systeme aufbaut, mit eigenen Schnittstellen, Datenformaten und Identifizierungsverfahren, ist Datenaustausch zwischen den fertiggestellten Lösungen kaum möglich. Es entstehen 575 isolierte Inseln statt eines verbundenen Verwaltungsraums. Die Bürger:innen, die das OZG eigentlich entlasten sollte, finden auf jeder Insel ein anderes Formular vor.

Und es ist teuer. Das Konjunkturpaket vom Sommer 2020 hat dem OZG zusätzliche drei Milliarden Euro zugewiesen, eingeplant für Bund, Länder und Kommunen. Das klingt nach viel. Wer das durch 575 Verwaltungsleistungen mal rund 16 Bundesländer mal über 10.000 Kommunen rechnet, sieht: Es reicht hinten und vorne nicht, wenn jede Stelle ihren eigenen Stack baut. EfA ist nicht die Effizienz-Sahne auf dem OZG-Kuchen. Es ist die Bedingung dafür, dass die Mittel überhaupt reichen.

Einer entwickelt, alle ziehen mit

Das EfA-Prinzip dreht die Logik um. Eine Verwaltung, ein Bundesland, eine Stadt entwickelt eine Online-Leistung sauber und nutzerfreundlich. Andere Verwaltungen schließen sich diesem Dienst an, mit minimalen Anpassungen wie eigenem Logo oder lokaler Konfiguration. Ab dem Anschluss-Punkt entwickeln sie die Lösung gemeinsam weiter und teilen sich die Kosten.

Ein Beispiel aus der Praxis: Vergabe.NRW und das Vergabeportal Brandenburg. Beide Plattformen bündeln Vergabe-Informationen für Wirtschaft, Kommunen und Land. Brandenburg hat die NRW-Lösung übernommen und mit kleinen Anpassungen produktiv gesetzt. Die Lösung wurde vollständig nachgenutzt, beide Länder profitieren von Weiterentwicklungen, das Rad wurde nicht zweimal erfunden.

Das ist EfA, wie es funktioniert. Nicht als bürokratische Idealvorstellung, sondern als zwei Vergabeportale, die heute laufen.

Open Source ist die Bedingung, nicht das Add-on

EfA ohne Open Source ist Code-Sharing-Theater – denn ohne Quellcode fehlt die Grundlage für echte Nachnutzung. Wenn die nachnutzende Verwaltung keinen Zugriff auf den Quellcode hat, hängt sie vom Wohlwollen der entwickelnden Verwaltung und ihres Auftragnehmers ab. Sie kann nicht eigenständig anpassen, nicht eigenständig pflegen, nicht eigenständig weiterbauen. Sie ist abhängig in genau der Form, die EfA eigentlich überwinden soll.

Open Source löst das: Mit dem Quellcode in der Hand kann die nachnutzende Verwaltung selbst entscheiden, wer pflegt, wer weiterentwickelt, wer hostet. Sie kann mehrere Auftragnehmer in den Wettbewerb stellen, statt sich an den ursprünglichen Hersteller zu binden. Das senkt die Kosten und es erhält die Souveränität.

Hinzu kommt ein praktischer Punkt: Viele zentrale Bausteine der Verwaltung gibt es bereits als reife Open-Source-Komponenten. Content-Management mit Drupal, das in vielen Behörden als Plattform-Basis dient. Identitäts- und Vertrauensdienste auf Basis offener Standards. Datenaustausch-Frameworks, die in mehreren EU-Ländern produktiv laufen. Wer EfA ernst meint, muss diese Bausteine nicht neu erfinden, sondern zusammenführen.

EfA ist eine Architektur-, keine Kulturentscheidung

Das EfA-Prinzip wird oft so diskutiert, als sei es eine Frage der Verwaltungs-Kultur. Sind Bund, Länder und Kommunen bereit, ihren Stolz herunterzufahren und voneinander zu lernen? Diese Diskussion hilft nicht weiter. Sie macht aus einer technischen Architekturfrage ein psychologisches Problem.

EfA ist eine Architektur-Entscheidung. Sie heißt: gemeinsame Standards für Datenformate, Schnittstellen und Sicherheitsanforderungen, dezentrale Datenhaltung in den zuständigen Behörden, austauschbare Komponenten, transparente Prozesse. Diese Architektur ist machbar. Sie scheitert nicht an föderalen Reflexen, sondern an der Frage, ob jemand bereit ist, sie zu setzen und durchzuziehen.

EfA ist kein Optimierungs-Hack des OZG. Es ist die Bedingung dafür, dass die OZG-Umsetzung überhaupt durchhaltbar ist. Wer das nicht akzeptiert, baut 575 Inseln. Mit der Zeit, die nicht da ist, und dem Geld, das nicht reicht.

Innovation ist keine Idee, sondern eine Struktur

Sat, 19 Dec 2020 09:00:00 +0200

Behörden müssen schnell auf neue Anforderungen reagieren. Bürger:innen erwarten heute Services in der gleichen Geschwindigkeit, in der sie sie von privaten Anbietern kennen. Globale Krisen wie die Corona-Pandemie machen aus dem „nice to have" eine Lieferpflicht.

Das Wort, das in solchen Diskussionen am häufigsten fällt, ist Innovation. Innovation ist auch das Wort, das in solchen Diskussionen am häufigsten leer bleibt.

Innovation ist keine Frage von Ideen

In den meisten Verwaltungen mangelt es nicht an Ideen. Es mangelt an einer Struktur, in der Ideen tatsächlich umgesetzt werden können. Eine Verwaltung, die seit Jahrzehnten in festen Hierarchien arbeitet, fest verteilten Zuständigkeiten lebt und nach Compliance-Vorgaben handelt, hat eine Organisationskultur, die nicht für schnelles Lernen gebaut ist. Sie ist für Stabilität gebaut. Beides ist legitim. Beides verträgt sich aber nicht im selben Raum.

Wer in einer solchen Struktur „Innovation fördern" sagt und keine Hierarchie-Schicht abbaut, betreibt rhetorisches Innovations-Theater. Die Mitarbeitenden, die eine gute Idee haben, müssen sie auch durchsetzen können, ohne durch fünf Abstimmungs-Ebenen zu gehen. Erst dann wird aus „Wir wollen innovativ sein" eine Struktur, die liefert.

Praktisch heißt das: weniger Genehmigungs-Schichten, mehr Entscheidungsbefugnis auf der operativen Ebene. Methoden wie Design Thinking oder agile Sprints sind dabei kein Selbstzweck. Sie sind Werkzeuge, die in einer angepassten Struktur wirken können. In einer alten Struktur wirken sie nicht, egal wie viele Workshops dazu stattfinden.

Experimentierräume außerhalb des Apparats

Eine pragmatische Lösung sind Innovations-Labs als eigenständige Einheiten. Sie arbeiten frei von der klassischen Aufbaustruktur ihrer Trägerorganisation und können neue Verfahren ausprobieren, ohne den Gesamtapparat anpassen zu müssen. Das Modell ist nicht neu. Es funktioniert dort, wo das Lab Mandat, Budget und Schutz von oben hat. Es funktioniert nicht dort, wo es als „Showroom" angelegt ist und am Ende doch jedes Vorhaben durch den regulären Hierarchie-Filter laufen muss.

Ein Beispiel, das funktioniert: Der Kreativraum der Stadt Ulm bringt verschiedene Verwaltungs-Abteilungen mit externen Expert:innen zusammen, um Digitalisierungs-Themen interdisziplinär zu bearbeiten. Ein Innovations-Lab ist nicht selbst die Lösung. Es ist eine Umgebung, in der Lösungen entstehen können, wenn die Rahmenbedingungen stimmen.

Servicebewusstsein als Strukturmerkmal

Eine zweite Bedingung sind Mitarbeitende, die ein Servicebewusstsein entwickeln, das nicht erst beim externen Kontakt anfängt. Das fängt intern an: Wie behandeln Abteilungen einander? Wie funktioniert die Zusammenarbeit zwischen Fachebene und IT? Wie wird mit Hinweisen aus den eigenen Reihen umgegangen?

Ein interessanter Praxis-Fall ist der selbstorganisierte Bauhof in Herrenberg. Aus einer Mitarbeiterumfrage entstanden eigenverantwortliche Strukturen, in denen die Bauhof-Mitarbeitenden ihre Prozesse selbst gestalten. Das hat Konsequenzen: Manche Mitarbeitende sind gegangen, weil sie mit der neuen Eigenverantwortung nicht zurechtkamen. Gleichzeitig gab es deutlich mehr Initiativbewerbungen als zuvor. Strukturwandel kostet Personal-Stabilität, er bringt aber auch eine andere Art von Mitarbeitenden ins Haus. Beides muss man wissen, beides muss man tragen.

Bürger:innen einbinden, nicht nur informieren

Der dritte Hebel ist die echte Einbindung von Bürger:innen, nicht ihre nachgelagerte Information. Die Endlagersuche des Bundesamtes für die Sicherheit der nuklearen Entsorgung ist ein Beispiel für ein Verfahren, in dem Bürgerbeteiligung formal ernst genommen wird, mit Anhörungen, Stellungnahmen und Beteiligungsformaten, die in den Entscheidungsprozess zurückwirken.

Echte Bürgerbeteiligung ist anstrengend. Sie macht Prozesse länger, sie konfrontiert die Verwaltung mit Anforderungen, die nicht ins eigene Schema passen. Aber sie produziert Lösungen, die später getragen werden, weil sie nicht von oben gesetzt sind. Das ist die Differenz zwischen einem Innovations-Vortrag und einer wirklich anschlussfähigen Lösung.

Die Voraussetzung dafür ist eine Fehlerkultur, die diesen Namen verdient. Eine Verwaltung, in der jeder Fehler zum politischen Risiko wird, lernt nicht. Sie deckt zu. Innovations-Strukturen ohne Fehlertoleranz sind Pseudo-Strukturen. Sie produzieren das Gegenteil dessen, was sie versprechen: Ängstliche Mitarbeitende, die im Zweifel das tun, was schon immer getan wurde.

Was bleibt, wenn man das Wort wegnimmt

Wer das Wort „Innovation" aus diesem Beitrag streicht, verliert nichts. Die Substanz ist: Hierarchien runter, Experimentierraum schaffen, Servicebewusstsein als Struktur leben, Bürger:innen einbeziehen. Das sind keine Ideen, das sind Liefer-Aufgaben. Sie funktionieren, wenn sie konsequent angegangen werden, und sie scheitern, wenn sie als Kommunikations-Projekt enden.

Innovation in der Verwaltung ist keine Frage von kreativen Köpfen. Sie ist die Frage, ob die Strukturen so gebaut sind, dass kreative Köpfe etwas bewegen können.

Souveränität ist eine Architekturentscheidung

Tue, 15 Sep 2020 09:00:00 +0200

Die Corona-Krise hat 2020 vielen klar gemacht, was vorher Theorie war: Verwaltung muss auch dann liefern, wenn der Boden sich bewegt. Liefern heißt heute digital. Damit wird die Frage, wie souverän die Verwaltung dabei agieren kann, zur strategischen Hauptfrage. Sie gehört nicht mehr in die Schublade fürs Strategiepapier.

Souveränität ist keine Erklärung. Sie ist eine Architekturentscheidung.

Was Souveränität konkret bedeutet

Digitale Souveränität bezeichnet das selbstbestimmte Handeln im digitalen Raum: unabhängig von einzelnen Staaten und Anbietern entscheiden zu können, welche Software die Verwaltung einsetzt, wie sie weiterentwickelt wird und wer sie betreibt. Für die öffentliche Verwaltung ist das keine akademische Frage. Es ist die Voraussetzung dafür, dass eine Behörde im Krisenfall handlungsfähig bleibt – und nicht auf das Wohlwollen eines außereuropäischen Anbieters angewiesen ist.

Die Realität der deutschen Verwaltung sieht 2020 anders aus. Sie ist in weiten Teilen von wenigen großen Softwarekonzernen abhängig, allen voran Microsoft. Die vom Bundesinnenministerium beauftragte PwC-Studie aus dem September 2019 hat das nüchtern dokumentiert: ein Marktanteil von 84 Prozent allein bei Office-Paketen, eine Verzahnung von Outlook, Exchange und Windows Server, die Migration teuer und Wechsel praktisch unmöglich macht, dazu Lizenz- und Pflegekosten, die jedes Jahr neue Schmerzpunkte schaffen. Die Empörung war damals hoch und richtig. Wirklich verändert hat sich seit 2019 wenig.

Wer Souveränität ernst meint, fängt nicht mit der nächsten Strategie-Erklärung an. Sondern mit der nächsten Architekturentscheidung.

Open Source ist das Werkzeug, nicht das Bekenntnis

An dieser Stelle taucht regelmäßig die Open-Source-Frage auf, oft als Glaubensthema behandelt. Das ist aus zwei Richtungen falsch. Open Source ist weder das Wundermittel, das automatisch Souveränität liefert, noch eine Ideologie. Es ist ein Betriebsmodell – und was das für Verwaltungen konkret bedeutet, habe ich gesondert ausgeführt. Eines, das genau die Eigenschaften mitbringt, die Souveränität voraussetzt: Zugriff auf den Code, Möglichkeit zur Anpassung, Kontrolle über die eigene Roadmap, Auswahl bei Wartung und Support. Mehr als ein Anbieter darf das gleiche Produkt pflegen, und der Käufer entscheidet, wem er den Auftrag gibt. Nicht der einzige Hersteller, weil es niemanden sonst gibt.

Konkret bedeutet das nicht, einen US-Anbieter durch einen anderen zu ersetzen. Es bedeutet, eine Architektur zu bauen, in der jede Komponente austauschbar ist. Office-Anwendungen, E-Mail- und Kalendersysteme, Content-Management, Dokumentenmanagement, Videokonferenzen: für jeden dieser Bereiche existieren reife Open-Source-Stacks, die produktiv in Behörden laufen. Sie sind in der Regel nicht so eng integriert wie das Microsoft-Paket, und genau das ist der Punkt. Die Integration entsteht aus eigener Architekturarbeit, nicht aus Konzern-Vorgabe.

Mit GAIA-X, das im Sommer 2020 als deutsch-französisches Vorhaben Form annimmt, kommt erstmals ein europäischer Stack in Reichweite, der nicht von einem US-Hyperscaler abhängt. Auch die Bundescloud ist mehr als ein politisches Versprechen. Sie ist der Versuch, eigene Infrastruktur für die Bundesverwaltung zu bauen, in der Daten von Behörden und Ministerien geschützt liegen.

Diese Bausteine ersetzen nicht die Migration aus der Microsoft-Welt. Sie machen sie möglich. Dass das nicht von heute auf morgen geht, ist offensichtlich. Jede Neueinführung kostet Zeit, Geld und Nerven. Aber sie ist machbar, und die Alternativen liegen in Reichweite. Das Argument, „die Migration sei zu komplex", verschweigt, dass die Nicht-Migration ihre eigenen Kosten hat: weiter steigende Lizenzgebühren, weiter wachsende Lock-in-Effekte, weiter sinkender Verhandlungsspielraum.

Die europäische Frage steht dahinter

Der zweite Strang ist die europäische Perspektive. Eine Verwaltung, die ihre Daten in Rechenzentren auf US-amerikanischem Rechtsraum speichert, hat ein strukturelles Problem mit dem CLOUD Act und mit dem Schrems-II-Urteil des Europäischen Gerichtshofs vom 16. Juli 2020. Speicherort, Hoheit und Jurisdiktion lassen sich nicht entkoppeln. Die Kernaussagen des BfDI zu Schrems II sind in diesem Punkt unmissverständlich. Vertragliche Klauseln allein reichen nicht aus. Wer Datenschutz ernst nimmt, muss die Infrastruktur ernst nehmen, auf der die Daten liegen.

Die Konsequenz daraus ist nicht Autarkie. Die Konsequenz ist Wahlmöglichkeit. Die Verwaltung muss in der Lage sein, zwischen Optionen zu entscheiden. Nicht in einer Situation enden, in der nur noch eine übrig ist.

Souveränität ist Daseinsvorsorge

Digitale Souveränität ist 2020 kein IT-Thema im engeren Sinn. Sie ist Daseinsvorsorge. Genauso wie der Staat dafür sorgt, dass Strom, Wasser und Verkehr funktionieren, muss er dafür sorgen, dass die digitale Infrastruktur, auf der das Verwaltungshandeln läuft, ihm gehört. Und nicht jemand anderem.

Das passiert nicht in der Strategie-Sitzung. Das passiert in jeder Vergabe, in jedem Architektur-Review, in jedem Vertrag.

Souveränität ist eine Architekturentscheidung. Sie ist eine Beschaffungsentscheidung. Und sie ist, am Ende, eine Lieferaufgabe.

Once-Only ist beschlossen, nicht geliefert

Fri, 12 Jun 2020 09:00:00 +0200

Ursprünglich 2020 bei publicplan erschienen. Inhaltlich ist das der gleicher Artikel, aber meiner persönlichen Sichtweise neu geschrieben.

Eine einfache Frage: Warum muss man dem Staat Daten geben, die er schon hat? Das ist die Idee hinter dem Once-Only-Prinzip. Bürger:innen und Unternehmen geben Standardinformationen nur einmal an, die Verwaltung tauscht sie intern aus. Kein dreimaliges Eintippen der gleichen Adresse, kein Nachreichen der Geburtsurkunde, die das Standesamt schon ausgestellt hat.

Das Prinzip ist nicht neu. In § 5 E-Government-Gesetz ist es seit 2013 verankert. Estland praktiziert es seit den frühen 2000ern. In den Niederlanden tauschen Behörden über ein System aus 13 Basisregistern Daten aus. In Großbritannien gilt „Tell Us Once". Deutschland gehört zur Minderheit europäischer Länder, die Once-Only bisher nicht etabliert haben.

Es liegt nicht an fehlendem Beschluss. Es liegt an fehlender Lieferung.

Was Once-Only für Bürger:innen bedeutet

Wer schon einmal in eine andere Stadt gezogen ist, kennt das Muster. Ummeldung beim Einwohnermeldeamt, Adresse nachreichen bei der Steuer, beim Kfz-Amt, bei der Krankenkasse, bei der Familienkasse. Drei bis fünf Behördenkontakte für eine Information, die der Staat seit dem ersten Termin hat.

Das ist nicht nur unpraktisch. Es ist ein strukturelles Misstrauen der Verwaltung in sich selbst. In Estland passiert dieselbe Anpassung mit einer einzigen Aktion in Echtzeit. Die Studie der Initiative D21 zum eGovernment Monitor 2019 zeigt, dass die Mehrheit der Deutschen einem solchen Datenaustausch zwischen Behörden positiv oder neutral gegenübersteht. Das oft beschworene „Datenschutz-Bedenken-Land" ist in dieser Frage weniger geschlossen, als es politisch wirkt.

Hinzu kommt der Akzeptanz-Hebel: Once-Only verbunden mit einem Nutzerkonto, in dem nachvollziehbar wird, welche Behörde wann welche Daten abgerufen hat, schafft mehr Transparenz als das heutige System mit seiner intransparenten Aktenführung.

Was Once-Only für die Verwaltung bedeutet

Auch auf der Verwaltungsseite ist die Logik nicht kompliziert. Behörden, die ohnehin auf gleiche Stammdaten zugreifen, können das in einem geprüften, geloggten und datenschutzkonformen System tun. Statt auf parallel gepflegten Lokal-Beständen, die regelmäßig auseinanderlaufen. Das ist günstiger, schneller, weniger fehleranfällig.

Es entlastet auch dort, wo der politische Druck am größten ist. Bei der OZG-Umsetzung scheitern viele Online-Dienste nicht am Frontend, sondern an Eingabepflichten, die der Bürger:in abnehmbar wären. Wer 575 Verwaltungsleistungen digitalisieren will, muss zwangsläufig die Frage beantworten, welche Daten der Staat schon hat und unter welchen Bedingungen sie weitergegeben werden dürfen. Ohne diese Antwort bleibt jede OZG-Leistung im Kern ein digitalisiertes Formular, kein digitalisierter Prozess.

Was Once-Only nicht ist: ein Hebel, der die föderale Struktur abschafft. Es ändert nicht, wer zuständig ist. Es ändert nur, wie Zuständigkeiten datentechnisch zusammenarbeiten.

Wo es in Deutschland tatsächlich hakt

Drei Hürden tragen die deutsche Verzögerung. Die erste ist die Infrastruktur. Daten liegen in Bund, Ländern und Kommunen verteilt, in unterschiedlichen Formaten, ohne durchgängigen Personenbezug. Eine bundesweit eindeutige Personenkennziffer ist datenschutzrechtlich nicht zulässig. Wer Once-Only ernst meint, kommt um Registermodernisierung nicht herum.

Die zweite Hürde ist die Föderalismus-Frage. Wer setzt die Standards für Datenformate, Schnittstellen, Sicherheitsanforderungen? Der IT-Planungsrat ist das Gremium, in dem das verhandelt wird. Es funktioniert dort, wo Bund und Länder bereit sind, sich auf eine gemeinsame Linie festzulegen. Es funktioniert nicht, wenn jedes Land seine eigene Architektur durchsetzen will.

Die dritte Hürde ist die Vertrauensfrage. Datenschutz ist in Deutschland nicht nur ein Rechtsthema, sondern ein gesellschaftliches. Skandale haben in der Vergangenheit Akzeptanz für Verwaltungs-IT mehrfach zerstört. Wer Once-Only umsetzen will, muss den Vertrauensvorschuss aktiv verdienen, mit einem Nutzerkonto, das nachvollziehbar zeigt, was wann von wem gemacht wurde, und mit einer ehrlichen Kommunikation, was in der Pipeline steht und was nicht.

Was Deutschland von Estland tatsächlich übernehmen kann

Estland ist in der Once-Only-Diskussion eine ständige Referenz. Das ist hilfreich und hinderlich zugleich. Hilfreich, weil es zeigt, dass das Prinzip technisch und gesellschaftlich funktioniert. Hinderlich, weil das estnische System auf einer Grundarchitektur beruht (X-Road, eindeutige Personenkennzahl, durchgehend digitalisierte Register), die in Deutschland nicht eins zu eins reproduzierbar ist.

Die Frage ist deshalb nicht „wie kopieren wir Estland", sondern „was an Estland lässt sich in unsere föderale Struktur übersetzen". Die Antwort liegt nicht im Datenmodell, sondern im Architektur-Prinzip: einheitliche Schnittstellen, dezentrale Datenhaltung, transparenter Zugriff, prüfbar geloggt. Das geht föderalismusverträglich. Es geht auch datenschutzkonform. Es geht nur nicht ohne Entscheidung.

Once-Only ist der Test

Once-Only ist in der deutschen Digitalisierungsdebatte mehr als ein Bürger-Komfort-Feature. Es ist der Test, ob die Verwaltung bereit ist, auf der Architektur-Ebene zusammenzuarbeiten. Wer den Test besteht, hat den größten Teil der Registermodernisierung, der OZG-Nachnutzung und der Once-Only-Erwartung der EU im Schritt mitgemacht.

Wer ihn nicht besteht, hat das Gesetz im Buch und nichts auf der Strecke.

Nachnutzung beginnt im Code, nicht im Briefing

Fri, 22 May 2020 09:00:00 +0200

Ursprünglich 2020 bei publicplan erschienen handelt ees sich hier inhaltlich gleicher Artikel, in meiner persönlichen Sichtweise neu geschrieben.

Das OZG begleitet die deutsche Verwaltung seit fast drei Jahren. Knapp zwei Jahre bleiben, um rund 600 Verwaltungsleistungen zu digitalisieren. Auf der höchsten Stufe des Reifegradmodells: vollständige digitale Abwicklung einschließlich aller Nachweise, mit angebundener E-Akte, E-Payment, E-Rechnung und digitaler Personalausweis-Funktion.

Diese Aufgabe ist groß. Sie ist nicht zu schaffen, indem jede Verwaltung jede Komponente selbst baut. Nachnutzung ist die einzige skalierbare Strategie. Aber Nachnutzung passiert nicht von allein. Sie braucht zwei strukturelle Bedingungen.

Erstens: Basisdienste statt Eigenbau

Bei der OZG-Umsetzung gibt es eine ganze Reihe von Komponenten, die in jeder Online-Leistung gebraucht werden. Authentifizierung, Bezahlfunktion, Suche, Antragsformular-Logik, Statusabfrage. Diese Komponenten gibt es bereits als Basisdienste, die produktiv laufen.

Beispiele aus Nordrhein-Westfalen, die heute funktionieren: das Servicekonto NRW für Authentifizierung, ePayBL für die Bezahlung, das Snippet der Verwaltungssuchmaschine NRW, das auf jeder kommunalen Website mit wenigen Codezeilen die zuständige Stelle für eine Leistung findet. Wer eine Online-Leistung neu baut, sollte diese Bausteine integrieren, nicht parallel entwickeln. Der Fokus der eigenen Arbeit verlagert sich damit dorthin, wo die fachliche Substanz liegt: auf den eigentlichen Verwaltungsprozess. Alles drumherum kommt aus geprüften, standardisierten Quellen.

Das spart nicht nur Zeit. Es macht die entstehende Lösung kompatibel mit anderen Lösungen, die dieselben Basisdienste verwenden. Aus diesem Grundprinzip wächst der Verwaltungsraum, den das OZG eigentlich erzeugen soll.

Zweitens: Quellcode offenlegen

Der zweite, oft unterschätzte Hebel ist die Offenlegung des Quellcodes. Eine Lösung, die in einer Verwaltung produktiv läuft, kann von anderen Verwaltungen nur dann nachgenutzt werden, wenn sie den Code haben. Klingt selbstverständlich, ist es nicht. Viele OZG-Lösungen werden heute proprietär entwickelt. Der Code liegt beim Auftragnehmer, andere Verwaltungen können bestenfalls die fertige Software anwenden, aber sie können sie nicht anpassen, nicht erweitern, nicht eigenständig pflegen.

Ein Beispiel, das den Unterschied zeigt: Das Gewerbe-Service-Portal NRW basiert auf dem Landes-CMS nrwGOV, einer auf Drupal aufgesetzten Open-Source-Plattform. Erweiterungen, die für das Gewerbe-Portal entwickelt wurden, fließen zurück in nrwGOV und stehen damit jedem zur Verfügung, der die Plattform einsetzt. Aus einer einzelnen Lösung wird ein Bauteil-Lager, aus dem andere Verwaltungen schöpfen können.

Open-Source-Entwicklung ist deshalb keine ideologische Wahl. Sie ist die technische Voraussetzung dafür, dass Nachnutzung überhaupt möglich ist. Ohne Code kein Forken, ohne Forken keine Nachnutzung, ohne Nachnutzung kein OZG.

Konsequenz für die Vergabe: Wer Online-Dienste in Auftrag gibt und Nachnutzung als Ziel hat, muss das im Vertrag stehen haben. Quellcode-Übergabe an die Verwaltung, freie Lizenz für die Weitergabe an andere Behörden, Dokumentation als Lieferbestandteil. Wenn diese Punkte nicht im Leistungsverzeichnis stehen, bleibt die Lösung ein Einzelstück. Das ist keine Frage der Software-Architektur, das ist eine Frage des Beschaffungs-Briefings.

Sichtbarkeit gehört dazu

Eine Lösung, die niemand kennt, wird auch von niemandem nachgenutzt. Das klingt trivial, ist aber im OZG-Alltag ein systematisches Problem. Verwaltungen entwickeln digitale Dienste, die fachlich exzellent sind, technisch sauber, datenschutzkonform, und keiner anderen Verwaltung bekannt. Das Rad wird zum dritten Mal erfunden, weil das zweite Rad nicht öffentlich war.

Wer eine Online-Leistung baut und auf Nachnutzung hofft, muss auch dokumentieren, welche Komponenten sie nutzt, wo der Code liegt, wie der Anschluss funktioniert. Ein Stück Marketing für die eigene Lösung gehört zur OZG-Lieferung dazu. Dem IT-Planungsrat fehlt diese Sichtbarkeits-Schicht. Sie aufzubauen ist eine Aufgabe, die in den nächsten Monaten anliegt.

Sichtbarkeit ist nicht nur eine Veröffentlichungs-Frage. Sie ist auch eine Governance-Frage. Wer pflegt die Lösung weiter, wenn Land 1 sie an Land 2 weitergibt? Wer entscheidet über neue Funktionen, wer trägt die Kosten für Wartung und Sicherheits-Updates? Diese Fragen beantworten sich nicht im Pressetext, sondern in einem Betriebsmodell, das die nachnutzenden Verwaltungen mittragen können. Solange das fehlt, bleibt jede Nachnutzung ein Einzelfall, kein Modell.

Was bleibt, ist die Frage der Akzeptanz

Über aller Mechanik steht die Frage, ob die digitalen Verwaltungsleistungen von Bürger:innen und Unternehmen tatsächlich genutzt werden. Eine technisch perfekte Online-Leistung, die niemand findet, niemand bedienen kann oder niemand verstehen will, hilft niemandem. Nutzerfreundlichkeit, Barrierefreiheit und sauberes UX-Design sind keine Kür für die letzte Sprintphase. Sie sind die Grundlage, auf der Akzeptanz entsteht. Und Akzeptanz ist die Variable, an der das OZG am Ende gemessen wird.

Nachnutzung beginnt im Code, nicht im Briefing. Sie wird möglich, wenn die Verwaltung bereit ist, in Bauteilen zu denken statt in fertigen Häusern, und sie öffentlich zu stellen statt im eigenen Tresor zu lagern. Wer das versteht, baut OZG-Leistungen, von denen andere profitieren können. Wer es nicht versteht, hat in zwei Jahren ein Inselchen.

Wer das OZG ohne Europa denkt, baut zweimal

Thu, 02 Apr 2020 09:00:00 +0200

Ursprünglich am 2. April 2020 bei publicplan erschienen. Inhaltlich gleicher Artikel, in meiner persönlichen Sichtweise neu geschrieben.

Am 2. Oktober 2018 ist die EU-Verordnung 2018/1724 in Kraft getreten. Sie schafft die Grundlage für eines der ambitioniertesten Vorhaben der EU-Kommission: das Single Digital Gateway (SDG), ein einheitliches digitales Zugangstor zu Verwaltungs- und Informationsangeboten in allen Mitgliedstaaten. Eingebunden in das Portal Your Europe, das im Zuge der Umsetzung vollständig umgebaut wird.

Wer in Deutschland gerade das OZG umsetzt und Europa nicht von Anfang an mitdenkt, baut zweimal.

Drei Säulen, eine Architekturanforderung

Das SDG steht auf drei Säulen. Die erste ist Informationsbereitstellung in 17 Themenfeldern, von der Geburtsurkunde bis zur Unternehmensgründung. Jeder Mitgliedstaat pflegt seine eigenen Inhalte, in Deutschland Bund und Länder in Abstimmung mit dem IT-Planungsrat. Die zweite Säule sind 21 digitale Verfahren, die europaweit online abwickelbar sein müssen: Wohnsitzwechsel, Anerkennung akademischer Titel, Sozialversicherungs- und Steuermeldungen, Unternehmensgründung und -auflösung. Die dritte Säule sind Hilfs- und Problemlösungsdienste, die Bürger:innen und Unternehmen bei der Nutzung des Portals begleiten.

Das ist auf den ersten Blick eine Liste von Anforderungen an ein Portal. Auf den zweiten Blick ist es eine Architekturanforderung an jedes nationale Fachverfahren, das mit dem SDG verknüpft werden muss. Drei Prinzipien der Verordnung greifen direkt in die Bauweise ein.

Diskriminierungsfreiheit ist keine Designfrage

Diskriminierungsfrei ist ein digitales Angebot, wenn aus Herkunft, Standort oder Sprache der Nutzenden kein Nachteil entsteht. Klingt einfach, ist es nicht. Konkret heißt das: Bezahlmethoden müssen grenzüberschreitend funktionieren, Eingabefelder ausländische Adress- und Telefonformate verarbeiten, Sonderzeichen und Umlaute fremder Sprachen unterstützen, und Plausibilisierungen dürfen sich nicht auf nationale Konstrukte wie die deutsche Sozialversicherungsnummer stützen. Wer für sein Vertrauensniveau „hoch" ausschließlich den deutschen Personalausweis akzeptiert, schließt damit den Großteil der EU aus.

Viele deutsche Fachverfahren sind heute genau so gebaut: auf eine rein nationale Nutzung zugeschnitten. Diskriminierungsfreiheit lässt sich da nicht später einbauen, ohne den Grundriss zu ändern. Die Identifikation von EU-Bürger:innen über die eIDAS-Verordnung und alle nationalen Identifikationsmittel ist dabei der einfachere Teil. Der schwierigere ist die fachliche Anpassung der Verfahren selbst.

Once-Only ist eine Register-Frage, kein Workflow-Trick

Das Once-Only-Prinzip steht im Zentrum der Verordnung. Daten, die einer Behörde bereits vorliegen, sollen nicht erneut abgefragt werden müssen, auch nicht im grenzüberschreitenden Verkehr. Die EU stellt dafür ein eigenes technisches System für den sicheren Austausch von Nachweisen zwischen Behörden bereit, das in den deutschen Portalverbund integriert wird.

So weit, so logisch. Die deutsche Schwierigkeit liegt aber nicht im Datenaustausch zwischen den EU-Mitgliedstaaten. Sie liegt im Datenaustausch zwischen deutschen Behörden. Viele Fachdaten sind über Bund, Länder und Kommunen verteilt, in unterschiedlichen Formaten gespeichert, ohne durchgängigen Personenbezug. Eine bundesweit eindeutige Personenkennziffer ist datenschutzrechtlich nicht zulässig. Wer Once-Only ernst meint, kommt um die Frage der Registermodernisierung nicht herum. Das SDG macht diese Diskussion unausweichlich. Es schiebt sie nicht an, es zwingt sie.

Qualität wird überwacht, nicht behauptet

Das dritte Prinzip ist das anspruchsvollste: Die EU-Kommission und nationale Koordinator:innen überwachen die Qualität aller Angebote im Portal. Bürger:innen können Feedback geben, das transparent zugänglich ist und in die Bewertung einfließt. Bei dauerhafter Qualitätsverschlechterung greift die Kommission ein, im Zweifel bis zur Abschaltung von Diensten.

Das ist neu. Bisher konnten nationale eGovernment-Angebote schlecht sein, ohne dass es Konsequenzen hatte. Mit dem SDG kommt ein Qualitäts-Regime, das Verwaltungsdigitalisierung an europäischen Maßstäben misst, nicht an internen Soll-Zahlen. Wer mit der OZG-Logik weiterbaut, in der „verfügbar gemacht" als Erfolg zählt, wird mit dem SDG-Regime nicht durchkommen.

Zeitplan und Konsequenz

Die Verordnung kennt keine Nachfrist. Informationsangebote sind bis zum 12. Dezember 2020 umzusetzen, erweiterte Informationsdienste in den Kommunen bis 12. Dezember 2022, die 21 digitalen Verfahren spätestens bis 12. Dezember 2023. Wer in dieses Schema OZG-Roadmaps einsortiert, die heute geschrieben werden, sieht schnell, wo die Reibung entsteht: Die OZG-Frist endet 2022, die SDG-Frist für die Verfahren ein Jahr später. Wer das OZG-Verfahren nicht SDG-tauglich baut, hat es ein Jahr später nochmal vor sich.

Daraus folgt für jede aktuelle Digitalstrategie eine klare Konsequenz. Open-Source-Komponenten mit internationaler Beteiligung sind den proprietären Lösungen vorzuziehen, weil sie internationale Datenformate von Haus aus mitbringen. Die OZG-Umsetzung muss SDG-Prinzipien strukturell mitdenken, nicht nachträglich anpassen. Und die Lösungsanbieter müssen verbindlich Auskunft geben, wie ihre Produkte mit Diskriminierungsfreiheit, Once-Only und überwachter Qualität umgehen.

Das Single Digital Gateway ist mehr als ein neues Portal. Es ist die Architektur, in die jedes deutsche Digitalisierungsvorhaben hineinwachsen muss. Wer das ignoriert, baut zweimal.

Wer Open Source nutzt, muss auch beitragen

Wed, 19 Feb 2020 12:00:00 +0200

Ursprünglich 2020 bei publicplan erschienen handelt es sich hier um einen inhaltlich gleichen Artikel, in meiner persönlichen Sichtweise geschrieben.

Open Source wird in der Verwaltung gerne als kostenfreie Software-Bezugsquelle missverstanden. Man lädt sich herunter, was öffentlich verfügbar ist, baut darauf eine Lösung, betreibt sie und ist fertig. Das funktioniert. Es funktioniert aber nur kurz, und es funktioniert nicht für die Probleme, für die man Open Source eigentlich gewählt hat.

Wer Open Source nutzt und nicht beiträgt, ist Konsument einer Community, die jemand anderes trägt. Beim ersten Maintainer-Wechsel, beim ersten Sicherheitsproblem, bei der ersten Anpassung an deutsches Datenschutzrecht ist man auf den Goodwill von Menschen angewiesen, die mit der eigenen Verwaltung nichts zu tun haben. Das ist eine Form von Vendor-Lock-in. Nur ohne Vendor.

Was Open Source eigentlich liefert

Open Source bezeichnet Software, deren Quellcode öffentlich ist und von Dritten kopiert, geändert und genutzt werden kann. So weit, so technisch. Der eigentliche Wert liegt aber nicht im Quellcode-Zugriff, sondern in dem, was um den Code herum existiert. Eine Community, die ihn pflegt. Eine Dokumentation, die ihn erklärt. Ein Issue-Tracker, in dem Probleme verhandelt werden. Reviewer:innen, die neue Funktionen prüfen. Releases, die regelmäßig erscheinen.

Das gilt für Drupal in der CMS-Welt, für Linux im Server-Umfeld, für Kubernetes in der Container-Orchestrierung. Reife Open-Source-Projekte sind keine zufällig öffentlich gewordenen Code-Sammlungen, sondern stabile Liefer-Organisationen mit klar verteilten Rollen. Wer sie nutzt, profitiert von einer Infrastruktur, die er nicht selbst bauen muss. Genau diese Infrastruktur muss er aber tragen helfen, wenn er sie dauerhaft nutzen will.

Beitragen heißt nicht nur Code

In der Vorstellung mancher Verwaltungs-IT-Leitungen ist „beitragen" gleichbedeutend mit „eigene Entwickler:innen schreiben Code für ein Open-Source-Projekt". Das ist eine Form. Es gibt aber viele andere, und die meisten davon erfordern keine Programmierkenntnisse.

Dokumentation, an der die Community immer leidet. Übersetzungen, weil viele internationale Projekte Mehrsprachigkeit nur teilweise abbilden. Testing, also das systematische Probieren neuer Versionen vor einem produktiven Roll-Out. Bug-Reports, die so präzise sind, dass die Maintainer schnell handeln können. Finanzierung über Mitgliedschaften in Trägervereinen oder direkte Spenden. Und sehr wirksam: das öffentliche Bekenntnis, eine bestimmte Open-Source-Komponente produktiv einzusetzen, weil das andere Verwaltungen ermutigt, sie ebenfalls zu nutzen, und damit die Community wachsen lässt.

Wer als Behörde eine dieser Beiträge leistet, ist Teil der Community. Wer keinen davon leistet, ist Trittbrettfahrer.

Was die Lizenz dazu sagt

Lizenz-Modelle wie die GNU General Public License oder die Mozilla Public License regeln, wie weit Beitrags-Pflichten gehen. Die GNU GPL geht weit: Wer GPL-lizenzierte Software modifiziert und weiter verteilt, muss seine Modifikation ebenfalls unter der GPL veröffentlichen. Andere Lizenzen sind großzügiger. Aber selbst die strengsten Open-Source-Lizenzen verpflichten niemanden, der Software intern für die eigene Verwaltung anpasst und einsetzt, dazu, diese Anpassungen zu veröffentlichen.

Das ist die rechtliche Wahrheit. Die strategische Wahrheit ist eine andere. Eine Verwaltung, die Anpassungen für sich behält, hat kurz Vorteile, weil sie nicht zur Veröffentlichung verpflichtet ist. Mittelfristig hat sie Nachteile, weil ihre Eigenentwicklungen mit jeder neuen Upstream-Version in Konflikt geraten. Wer Anpassungen nicht zurückspielt, pflegt einen privaten Fork. Privates Fork-Pflegen ist teuer.

Warum es sich für die Verwaltung lohnt

Es gibt fünf Argumente, die für Verwaltungen besonders zählen. Sicherheit, weil eine Open-Source-Komponente, die viele Augen sehen, schneller geprüft wird als eine, an der eine Behörde alleine bastelt. Geschwindigkeit, weil man als Community-Mitglied früh sieht, was kommt, statt von einem proprietären Hersteller mit Roadmap-Geheimnissen abhängig zu sein. Standardisierung, weil beitragender Code gegen Community-Standards geprüft wird, nicht gegen den eigenen Hausstil, und damit übertragbar bleibt. Wissensaufbau, weil jede:r Mitarbeiter:in, der bei einem Open-Source-Projekt mitarbeitet, etwas lernt, das im eigenen Haus nutzbar bleibt, auch wenn die Person das Haus später verlässt. Und Reputation, weil eine Verwaltung, die in der Open-Source-Community sichtbar beiträgt, es bei Ausschreibungen leichter hat, qualifizierte Anbieter zu finden.

Was Verwaltungen konkret tun können

Drei Schritte sind realistisch und kein Hexenwerk. Eine Bestandsaufnahme: Welche Open-Source-Komponenten setze ich produktiv ein, von welcher Community werden sie gepflegt, was hat sich an dieser Community in den letzten Jahren verändert? Eine Beitrags-Strategie: An welchen Stellen kann meine Verwaltung etwas zurückgeben, ohne sich zu überfordern? Und ein Beschaffungs-Hebel: In Verträgen mit Open-Source-Dienstleistern festschreiben, dass Anpassungen, die im Auftrag gebaut werden, an die Upstream-Community zurückgehen.

Open Source funktioniert, weil viele Beitragende ein Stück Verantwortung übernehmen. Wer als Verwaltung Open-Source-Software nutzt und nicht beiträgt, schwächt die Substanz, von der sie selbst lebt. Das ist nicht moralisch verwerflich, das ist strategisch unklug. Wer beiträgt, bekommt mehr zurück, als er gibt. Das ist kein Slogan, das ist die Lieferlogik.