Cyber Resilience Act (CRA) · Dr. Christian Knebel

Der Staat fährt schwarz. Oktober 2026 im E-Government-Rückblick.

Fri, 30 Oct 2026 20:00:00 +0100

Dieser Monatsrückblick hat diesmal einen Schwerpunkt. Normalerweise gehe ich hier mehrere Themen des Monats in ähnlicher Tiefe durch. Im Oktober hat ein Ereignis die Verwaltung so direkt getroffen, dass ich ihm den größten Teil des Textes gebe. Die übrigen Themen kommen am Ende kürzer.

Am 21. Oktober hat das PHP-Projekt Notfall-Updates für zwei Sicherheitslücken veröffentlicht, CVE-2026-109618 und CVE-2026-109619. Beide haben einen CVSS-Wert von 9,2, beide erlauben es Angreifern, ohne Anmeldung eigenen Code auf dem Server auszuführen. Beim Bundesamt für Sicherheit in der Informationstechnik (BSI) hielt Vizepräsident Thomas Caspers am selben Tag eine “kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates” für wahrscheinlich: “Es besteht also unverzüglicher Handlungsbedarf!” Berichtet wurde von der Warnstufe 3, Orange.

Was folgte, war eine Abschaltwelle durch alle Ebenen. Das ITZ Bund nahm mehrere Websites vorsorglich vom Netz, zeitweise waren laut KOMMUNAL auch RKI, Bundespolizei, Zoll und Bundesinnenministerium betroffen. In Hessen gingen hessen.de und die Seiten der Ministerien offline, dazu Kassel, mehrere Landkreise und zwei Unikliniken. Das Thüringer Landesrechenzentrum schaltete unter anderem Finanz- und Justizministerium ab. In Berlin traf es berlin.de und die Internetwachen der Polizei, beim Abgeordnetenhaus waren Teile der Website eingeschränkt, in Brandenburg Cottbus und mehrere Landkreise. Mainz, München, Dachau, Unna und Datteln stehen ebenfalls auf der Liste.

Deutschland war damit nicht allein. In Frankreich ließ das Innenministerium nach einer Empfehlung der ANSSI die Seiten der Präfekturen abschalten, in den Niederlanden gingen overheid.nl, MijnOverheid und DigiD vom Netz, in Finnland die öffentlichen Webdienste der Regierung über den Dienstleister Valtori. In Großbritannien waren 32 Regierungsdienste nicht erreichbar, in Australien sogar die Seite der nationalen Cyberbehörde, cyber.gov.au.

Offline heißt nicht gehackt, darauf hat die Forrester-Analystin Madelein van der Hout zu Recht hingewiesen: Die Abschaltung war eine “proportionate risk decision”. Spätestens seit dem 26. Oktober ist aber klar, dass die Vorsicht berechtigt war. Die US-Cyberbehörde CISA hat beide Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Abgeschaltet haben viele. Für die Pflege der Technologie dahinter bezahlt haben die wenigsten.

Vierzehn Jahre im Code, und einer hat für die Prüfung bezahlt

Der Fehler ist nicht neu. Betroffen sind alle Versionen zurück bis PHP 5.4, und die ist im März 2012 erschienen. Gefunden haben ihn im August Sicherheitsforscher mithilfe von Sprachmodellen: zuerst die Sicherheitsfirma Calif mit OpenAI, acht Tage später unabhängig davon Wiz, ebenfalls mit KI-Unterstützung (t3n). OpenAI-Präsident Greg Brockman kündigt an, man erwarte “many more such issues”.

Thomas Jarzombek, Parlamentarischer Staatssekretär im Digitalministerium, hat das auf LinkedIn sehr klar eingeordnet: “Software ist etwas grundlegend anderes als ein Schrank oder ein Elektroherd”. Produkte würden nie fertig, es gelte, einen durchgehenden Update- und Weiterentwicklungsprozess zu organisieren. Und: Was man bei PHP sehe, sei “keine Ausnahme oder ein einmaliges Problem, sondern im KI-Zeitalter das neue Normal”.

Für einen externen Blick in den Code bezahlt hat vorher genau eine Stelle. Das erste externe Sicherheitsaudit des PHP-Kerns seit über zehn Jahren hat 2024 die Sovereign Tech Agency bezahlt, eine Agentur des Bundes. Es brachte 17 sicherheitsrelevante Befunde und lieferte laut Sovereign Tech Agency einen Beitrag zur späteren Arbeit an der Ursache einer der beiden Lücken. Erste Hinweise auf den Fehler gab es dabei schon, gefixt wurde er damals nicht, weil sich das Entwicklerteam uneinig war und kein Angriffsweg bekannt war (t3n). netzpolitik.org nennt als Grund schlicht fehlende Ressourcen.

205.000 Euro hat die Sovereign Tech Agency 2023 und 2024 in die PHP Foundation gesteckt. Damit ist die Sovereign Tech Agency laut netzpolitik.org drittgrößte Geldgeberin der PHP Foundation, Jarzombek nennt den Bund ebenso den drittgrößten Unterstützer von PHP. Über alle Projekte hinweg hat die Sovereign Tech Agency in fünf Jahren über 60 Millionen Euro in mehr als 110 Vorhaben investiert. Die Sovereign Tech Agency handelt seit Jahren danach, dass Open Source Infrastruktur ist und Infrastruktur Wartung braucht. 💡

Der Rest des Staates fährt mit. Die PHP Foundation hat nach Auskunft ihrer Direktorin genau eine Vollzeitkraft, sie selbst, und 14 überwiegend in Teilzeit tätige Auftragnehmer. Auf der anderen Seite: Der Government Site Builder des Bundes, mit dem über 80 Bundesbehörden und -einrichtungen mehr als 250 Websites betreiben, zieht mit Version 11 auf TYPO3 und damit auf PHP um. Budget: 108 Millionen Euro über vier Jahre. Insgesamt hat der Bund von 2020 bis 2025 rund 3,1 Milliarden Euro für Software ausgegeben.

Ökonomen nennen das Trittbrettfahren. Alle nutzen das Gemeingut, kaum jemand zahlt für seinen Erhalt. Erik Möller von der Sovereign Tech Agency formuliert es so: Diese Lücke, “nicht irgendein einzelner Fehler, ist die eigentliche Schwachstelle”.

In der Verwaltung ist das Problem erkannt, Jarzombeks Beitrag zeigt das. Bei den Behörden, die PHP-Anwendungen betreiben, kommt diese Erkenntnis nach meinem Eindruck bisher kaum an. Und der Haushaltstitel, aus dem unter anderem die Sovereign Tech Agency finanziert wird, soll laut Regierungsentwurf 2027 leicht sinken, von 28,65 auf rund 28,3 Millionen Euro. Wer ein erfolgreiches Modell skalieren will, fängt so nicht an.

Wartung lässt sich kaufen

Es gibt mehrere Wege, das aktuelle Problem künftig zu vermeiden, keiner davon braucht ein neues Fachgesetz.

Der wirksamste liegt in der Vergabe. Sebastian Bergmann hat im September im Blog der PHP Foundation zwei Vorschläge von Tiffany Farriss (Drupal Association) aufgegriffen: 2 bis 5 Prozent des Auftragswerts für die Upstream-Wartung der genutzten Open-Source-Komponenten, und 20 Prozent der Wertungspunkte für nachweisbare Beiträge zu diesen Projekten. Auf das Budget des Government Site Builder umgelegt wären das zwischen 2,2 und 5,4 Millionen Euro über vier Jahre. Zum Vergleich: Die PHP Foundation hat 2025 insgesamt rund 730.000 Dollar eingenommen.

Der Vorschlag passt genauso auf Drupal, Nextcloud und viele andere populäre Open-Source-Lösungen, also auf alles, worauf die Verwaltung im großen Stil baut. Die EU-Kommission betreibt rund 770 Drupal-Seiten, die Nextcloud-basierte SIB-Box der Bundescloud hat etwa 300.000 Nutzende (PHP Foundation).

Der zweite Einstieg sind die Verträge. Die neuen EVB-IT machen Open Source seit März zum Standard in den Vertragsmustern für neue Entwicklungsprojekte. Das ist ein großer Schritt. Ein fester Wartungsanteil für die Upstream-Projekte gehört als nächstes hinein. Die Open Source Business Alliance hat dafür schon 2025 Auswahlkriterien vorgelegt: Nähe des Dienstleisters zur Community, Veröffentlichung von Änderungen upstream, Level-3-Support, Unterstützung der Lieferkette. Ihr Kernsatz: Das billigste Angebot ist meist nicht das wirtschaftlichste.

Der dritte Einstieg ist Enterprise Open Source, also Software mit Herstellersupport, bei dem die Wartung eingepreist ist. Was das wert ist, hat PHP2Shell gezeigt. Das PHP-Projekt hat reguläre Updates nur für die Versionen ab 8.2 veröffentlicht. Für 7.4 bis 8.1 gab es lediglich minimale Quellcode-Patches zum Selbstbauen, ansonsten hieß es “contact your vendor … or upgrade”. Wer einen Supportvertrag hatte, etwa über Ubuntu Pro, Red Hat oder Freexian ELTS für Debian, bekam auch für PHP 7.4 ein fertiges, getestetes Paket. Lückenlos war das nicht, auch dort war nicht jede Version abgedeckt. Der Unterschied ist die Zuständigkeit: Es gibt jemanden, der liefern muss.

Der vierte ist die Sovereign Tech Agency selbst. Jarzombek will ihr Modell skalieren und europaweit ausrollen, mit Mitteln der EU und des Digital Commons EDIC. Ein Pilot für einen europäischen Sovereign Tech Fund ist seit dem Frühjahr als eines der ersten Vorhaben des Digital Commons EDIC angekündigt, gemeinsam mit der Sovereign Tech Agency. Damit das nicht beim Pilot bleibt, braucht er einen Haushaltsansatz, der wächst.

Und wem die Kosten für solche Wartung zu hoch sind, dem sei als Beispiel das Projekt Civitas Connect ans Herz gelegt. Der Verein, in dem sich Kommunen und kommunale Unternehmen zusammengeschlossen haben, hatte für den 12. Oktober Dienstleister und Betreiber seiner Open-Source-Datenplattform eingeladen, mit einer einfachen Frage: “Wie wird aus einem erfolgreichen Open-Source-Projekt dauerhaft verlässliche digitale Infrastruktur?” Die Produkthoheit bleibt bei den öffentlichen Mitgliedern, die Unternehmen sollen sich an Pflege, Tests, Fehlerbehebung und Sicherheit beteiligen. 15 der 24 teilnehmenden Unternehmen haben eine Absichtserklärung unterschrieben, Grundsatz “Upstream first”.

Verbindliche Zusagen stehen da noch nicht drin. Ob aus der Absichtserklärung Geld und Personal werden, entscheidet sich beim nächsten Treffen am 9. November.

Wer nicht weiß, was läuft, kann nur den Stecker ziehen

PHP2Shell hat noch ein zweites Problem sichtbar gemacht. Mein Eindruck aus den Tagen danach: Viele Stellen haben vorsorglich abgeschaltet, ohne genau zu wissen, ob und wo sie betroffen sind. Der Bitkom hat am 21. Oktober geraten: “Wer Online-Anwendungen betreibt, sollte daher unbedingt prüfen, ob diese PHP verwenden …” Bei Log4Shell im Dezember 2021 klang der Rat ganz ähnlich: herausfinden, wo die Bibliothek überall steckt. Fast fünf Jahre, dieselbe Empfehlung.

Dass es anders geht, zeigen die Niederlande. Während overheid.nl, MijnOverheid und DigiD vorsorglich offline gingen, konnte die Regierung noch am selben Tag sagen, dass ein großer Teil ihrer Websites, darunter rijksoverheid.nl, kein PHP nutzt. Dafür muss man wissen, was man betreibt.

Thüringen zeigt die zweite Schwachstelle. Dort hieß es aus dem Digitalministerium: “Der Hersteller des Betriebssystems hat noch nicht für alle PHP-Versionen das entsprechende Update bereitgestellt.” Wer beim Patchen allein am Update-Kanal des Betriebssystem-Herstellers hängt, kann nur warten.

Das ist kein Einzelfall. Die ATHENE-Studie zur IT der Bundesministerien fand in mehreren Ministerien einen Apache-Webserver in einer Version, die über zwölf Jahre alt ist. Fast die Hälfte der über 2.182 aktiven kritischen Lücken stammte aus den Jahren 2015 bis 2017 (Datenstand Ende 2025). Bei PHP sieht es im Netz insgesamt nicht besser aus: Von den erreichbaren Servern mit sichtbarer Versionsangabe liefen am Tag vor den Patches 59 Prozent auf Versionen ohne Sicherheitsupdates. Und am 31. Dezember endet auch der Support für PHP 8.2.

Die Antwort darauf hat einen Namen: Software Bill of Materials, kurz SBOM, eine maschinenlesbare Stückliste aller Komponenten und Versionen. Der Cyber Resilience Act verpflichtet die Hersteller ab Dezember 2027 dazu, mindestens für die direkten Abhängigkeiten. Eine Pflicht, sie an öffentliche Auftraggeber herauszugeben, sieht er aber nicht vor. In den neuen EVB-IT ist die Übergabe einer SBOM eine Option, keine Pflicht.

Das reicht nicht. Die SBOM gehört verpflichtend in jeden Vertrag, nach dem Zuschlag, für die Lieferung und für jedes Update, und zwar vollständig. Ohne dieses Inventar lässt sich Patch-Management kaum automatisieren. Die neuen SBOM-Mindestanforderungen, die die CISA Ende Juli mit 17 Partnerbehörden veröffentlicht hat, darunter NSA, FBI und das BSI, sagen es deutlich: Für manuelle Prozesse ist das Volumen zu groß.

Open Source professionell zu betreiben heißt also: Inventar, Versionsstand, Update-Kanal, eine verantwortliche Stelle. Das haben in der öffentlichen Hand nur wenige auf dem Schirm. Ohne diese vier Dinge bleibt im Ernstfall genau eine Maßnahme, die immer funktioniert, und das ist der Stecker.

Ein Manifest für den eigenen Platz am Tisch

Themenwechsel. In diesem Monat ist ein Papier bekannt geworden, das genau diese Fragen hätte beantworten können. Govdigital, die Genossenschaft der öffentlichen IT-Dienstleister, hat ihr “Zielbild IT-Dienstleister und Govdigital 2030” schon am 24. Juni beschlossen. Präsentiert hat sie es den Mitgliedern Anfang Oktober, bei der Vorstellung des neuen “Haus der öffentlichen IT” in Berlin (Tagesspiegel Background, Paywall; ebenso). Acht Schwerpunkte stehen darin, darunter ein gemeinsames Leistungsversprechen, gebündelte Beschaffung souveräner Lösungen, die Konsolidierung und Professionalisierung des IT-Betriebs und eine neue Rollenverteilung: Flächenversorger für die kleinen Kommunen in der Region, Spezialversorger über Ländergrenzen hinweg, und für besonders kritische Leistungen mindestens zwei Anbieter, damit Ausfallsicherheit und Wettbewerb möglich bleiben. Open Source könne bei der gemeinsamen Beschaffung eine Rolle spielen, sei aber keine Voraussetzung, sagte Vorstandschef Martin Schallbruch (Tagesspiegel Background, Paywall). Öffentlich habe ich das Papier selbst nicht gefunden.

Der Druck, unter dem das Papier entstanden ist, lässt sich gut ablesen. Das ITZ Bund soll laut Referentenentwurf ab 2028 als Anstalt mit Zustimmung des BMDS auch Aufgaben für Länder und Kommunen übernehmen dürfen. Die KI-Cloud des Bundes über 250 Millionen Euro ging an zwei Konsortien, um T-Systems und SAP sowie um SVA, Schwarz Digits (STACKIT) und Codesphere. Die Betriebsplattformen der Deutschen Verwaltungscloud laufen auf IONOS und STACKIT, Dataport und IT.NRW managen sie. Und openDesk als Dienst über Govdigital betreibt zunächst exklusiv STACKIT. Das Haus der öffentlichen IT selbst versteht sich ausdrücklich als Ort “für eine stärkere Präsenz öffentlicher IT im politischen Berlin”.

Die Beteiligten sagen es selbst: Es seien “Fragen nach der Zukunft der Govdigital” aufgekommen, das Zielbild ist das Ergebnis des Strategieprozesses dazu (Tagesspiegel Background, Paywall). Ich lese das Manifest deshalb vor allem als Versuch, sich einen modernen Anstrich zu geben und im Spiel zu bleiben. Ganz ohne Substanz ist das nicht: Die Deutsche Verwaltungscloud ist seit April 2025 im Produktivbetrieb, die gemeinsame GenAI-Plattform läuft seit dem 13. Oktober. Und das Rollenmodell mit zwei Anbietern je kritischer Leistung ist richtig, weil es Wechselfähigkeit schafft.

Was fehlt, ist das Leistungsversprechen, das nur ein öffentlicher Dienstleister glaubwürdig abgeben kann. Tagesspiegel Background hält fest: “Wer künftig welche Leistungen verantwortet, bleibt bislang jedoch offen.” Die Professionalisierung des Betriebs steht als Schwerpunkt im Papier. Wie sie konkret aussehen könnte, hat PHP2Shell frei Haus geliefert: ein vollständiges Inventar für jede Kommune, automatisiertes Patch-Management und ein fester Wartungsbeitrag an die Projekte, auf denen der Verbund läuft. Ein transparentes Gesamtportfolio, das zeigt, welche Lösungen es schon gibt, ist ohnehin geplant. Das Inventar der Komponenten darunter wäre der nächste Schritt. Das wäre ein Grund, beim öffentlichen Dienstleister zu bleiben, statt direkt beim Cloud-Anbieter zu buchen. Ein guter erster Schritt wäre, das Zielbild zu veröffentlichen. Dann schaue ich es mir auch gern an und schreibe mehr dazu.

Kurz notiert

Zur Smart Country Convention vom 13. bis 15. Oktober habe ich einen eigenen Nachklapp geschrieben: Souverän ist, wer es draufdruckt. Dort geht es um das Wort, das auf fast jeder Messewand stand, und warum es ein Siegel braucht.

Der neue Digital Dependence Index der Universität Bonn und des Vodafone Instituts sieht Deutschland mit 0,73 (Datenstand 2023) auf einer Skala von 0 (unabhängig) bis 1 (vollständig abhängig) auf Rang 25 von 51 Ländern. Verschlechtert hat sich Deutschland seit 2010 vor allem bei Software und IT-Dienstleistungen, bei Plattformen liegt Europa insgesamt bei 0,98. Software und IT-Dienstleistungen sind allerdings der Teil, auf den die öffentliche Hand über ihre eigene Beschaffung am meisten Einfluss hat.

Beim Bürokratieabbau rechnen Regierung und Normenkontrollrat mit verschiedenen Zahlen. Die Bundesregierung meldet einen um mehr als zehn Milliarden Euro gesenkten Erfüllungsaufwand, im selben Bericht stehen bei den Bürokratiekosten “lediglich” rund 232 Millionen Euro Einsparung. Der Normenkontrollrat kommt auf einen Rückgang des Erfüllungsaufwands um rund 6,8 Milliarden Euro, überwiegend durch das Gebäudemodernisierungsgesetz, und auf jährliche Bürokratiekosten, die um rund 1,3 Milliarden Euro gestiegen sind. NKR-Chef Lutz Goebel weist darauf hin, dass ein Großteil der Entlastung Aufwand betrifft, “der in der Praxis noch gar nicht entstanden war”. Dazu kommen unterschiedliche Berichtszeiträume. Solange beide Seiten anders zählen, lässt sich keine Bilanz ziehen. Eine gemeinsam festgelegte Zählweise wäre der billigste Bürokratieabbau des Jahres.

Fazit und Ausblick

Am 2. und 3. November lädt die Bundesregierung zum Digital-Gipfel nach Berlin, Motto “Shaping AI: safe, sovereign, competitive”. Ein Jahr nach dem deutsch-französischen Gipfel zur digitalen Souveränität lohnt der Blick zurück. Im November 2025 gab es Investitionszusagen von über zwölf Milliarden Euro, eine deutsch-französische Taskforce und eine KI für die Verwaltung mit Mistral und SAP, deren Rahmenvertrag bis Mitte 2026 stehen sollte. Laut Digitalministerium ist er vorerst vom Tisch. Sichtbar geblieben ist vor allem das Digital Commons EDIC, und mit ihm der Pilot für einen europäischen Sovereign Tech Fund.

Ich war damals dabei und habe beim Begleitforum zur öffentlichen Beschaffung einen Workshop für das Digitalministerium gehalten. Bei der Grundfrage, was Souveränität in der Beschaffung heißt, sehe ich seitdem keinen Schritt Bewegung. Macron wollte eine klare europäische Präferenz, Merz hielt sie wohl nur in den Verwaltungen für durchsetzbar und setzte auf Sicherheitsvorgaben. Frankreich will die europäische Präferenz für Staat und Wirtschaft, Deutschland nur für die Verwaltung und über Sicherheitsvorgaben.

Am ersten Gipfeltag sitzen Jarzombek und Erik Möller von der Sovereign Tech Agency gemeinsam auf dem Panel “AI, Open Source and Digital Sovereignty”. Da wird sich zeigen, ob der Gipfel wieder schöne Fotos und Reden liefert oder eine Zahl: einen Haushaltsansatz für den europäischen Sovereign Tech Fund, oder einen festen Wartungsanteil in der Bundesbeschaffung. Abschalten kann jeder. Wartung muss man bezahlen.

Der Name war das Einfachste. September 2026 im E-Government-Rückblick.

Wed, 30 Sep 2026 22:23:16 +0200

Am 29. September hat die Initiative D21 den eGovernment MONITOR 2026 vorgelegt, und darin steht das Problem so klar, wie man es selten liest. 64 Prozent erwarten Verwaltungsleistungen genauso einfach online wie von Privatunternehmen, 15 Prozent sehen diese Erwartung erfüllt. 12 Prozent sagen, der Staat macht ihr Leben leichter. Jede zweite Person hat ihr letztes Verwaltungsanliegen vollständig offline erledigt, und 62 Prozent nutzen digitale Wege seltener, weil sie befürchten, am Ende doch analog weitermachen zu müssen. Das Vertrauen in den Staat liegt bei 32 Prozent.

Am selben Tag ist in Washington america.gov online gegangen: ein Eingabefeld, das Fragen in Alltagssprache beantwortet, gelegt über die Inhalte von rund 29.000 Websites der US-Bundesverwaltung. Dazu eine Executive Order, die jede Bundesleistung mit mehr als 100.000 Nutzenden im Jahr zur Anbindung verpflichtet, mit 90 Tagen Frist für die Leitlinien.

Das ist eine Antwort auf genau das Problem, das der Monitor beschreibt. Nicht die vollständige, aber die sichtbare. Wer nicht weiß, wo er anfangen soll, bekommt eine Stelle, an der er anfängt.

Bevor der Reflex kommt: america.gov löst die bequeme Hälfte. Mikey Dickerson, Gründungs-Administrator des US Digital Service, nennt es „the easiest 5% of the problem", und der Chatbot gab in den ersten 24 Stunden widersprüchliche Antworten auf politische Fragen. Zuständigkeiten, Programmdefinitionen, Datenhaltung bleiben auch dort unberührt.

Bei uns ist die Reihenfolge umgekehrt, und das lässt sich im September an einer einzigen Website ablesen. Wer wissen will, wie weit die Registermodernisierung ist, findet das auf noots.gov.de, der Wissensplattform der FITKO. Die Seite richtet sich an fachlich Verantwortliche, nicht an Bürger:innen, und sie ist sehr gut: eine Statusampel über 77 Registereinträge, drei Systeme, ein Flächenrollout in drei Stufen, Erfahrungsberichte aus abgeschlossenen Anschlussvorhaben. Nur sagen die Ampeln auch, wie weit es tatsächlich ist: zwei Einträge gelten als für das NOOTS ertüchtigt, 64 stehen ohne Aktivität. Und ein Datum gibt es nicht, weil der IT-Planungsrat erst „nach Vorliegen der technischen Voraussetzungen" mit den Fachministerkonferenzen beschließt, bis wann angeschlossen sein muss.

Das ist die unbequeme Hälfte, und sie ist richtig. Ohne Register bleibt jede Oberfläche ein Formular mit besserer Schriftart. Es ist nur die Arbeit, von der niemand etwas merkt, der sie am Ende benutzen soll. Wir arbeiten im Hintergrund und im Detail, sehr sorgfältig, und das Einzige, was in diesem September nach vorne sichtbar wurde, war ein Name.

Der Name war schneller fertig als die Spezifikation

Am 9. September hat das Digitalministerium der deutschen Eudi-Wallet einen Namen gegeben: d-you, mit rund 40 Partnern aus Wirtschaft, Wissenschaft und Verwaltung, Start am 2. Januar 2027. Das Ministerium erklärt den Namen selbst: „d" für digital und für Deutschland, „you" für Nutzerzentrierung.

Mich beschäftigt an dieser Stelle weniger das Logo als die Umbenennung an sich. „Wallet" ist der eine Begriff in diesem Feld, den die Leute schon kennen, und sie kennen ihn nicht von uns, sondern von Apple und Google. Wer eine digitale Brieftasche einführt, startet damit mit einem Vorsprung, den man nicht kaufen kann: ein Wort, das keine Erklärung braucht. d-you muss sich diesen Vorsprung erst erarbeiten.

Wie groß die Aufgabe ist, steht im eGovernment MONITOR, erhoben vor dem Namenstag: 19 Prozent haben von der Wallet gehört, 8 Prozent können sie richtig beschreiben. Zum Vergleich: die Online-Ausweisfunktion kennen 88 Prozent, genutzt haben sie 29 Prozent. Bekanntheit war also nie das Problem. Nutzen war es.

Helmut Krcmar von der TU München, Mitherausgeber der Studie, rät deshalb davon ab, die Wallet als solche zu bewerben, und stattdessen einzelne gut funktionierende Leistungen, mit der Wallet als Werkzeug (Tagesspiegel Background, Paywall). Da bin ich bei ihm, und das Material liegt schon vor. Die Pressemitteilung nennt für den 2. Januar drei Dinge, die tatsächlich gehen werden: das Alter nachweisen, rechtssicher einen Vertrag abschließen, ein Bankkonto eröffnen. Unter den Launch-Partnern stehen Rossmann, der Landkreis Harz, Dresden, Aachen und Heidelberg; in Sachsen laufen Dresden-Pass und Ehrenamtskarte schon als Anwendungsfall. Drei davon auswählen und nur über die reden. Der Rest kommt über die Nutzung.

Dass der Termin fällt, halte ich übrigens für ausgeschlossen. Er ist zu oft wiederholt worden, er steht in der Eidas-Verordnung, und das Digitale-Identitätengesetz war am 23. September in erster Lesung im Bundestag. Wer bis hierhin mitgegangen ist, geht nicht drei Monate vorher zurück.

Genau deshalb ist die Kommunikation der letzte verbliebene Hebel. Denn die technische Seite ist eng. Landes-CIOs beklagten im September, die technische Spezifikation nicht erhalten zu haben, Brandenburgs Ernst Bürger mit der Frage „Wie sollen wir das noch schaffen?", Sachsen-Anhalts Bernd Schlömer mit „Wir haben bislang noch gar kein Signal bekommen" (Tagesspiegel Background, Paywall). Das Ministerium hält dem entgegen, dass es keine eigene Installation brauche, weil die Bereitstellung über die bestehende Bund-ID-Infrastruktur läuft, und hat dafür einen Handlungsleitfaden im Self-Service-Portal hinterlegt. Beides stimmt gleichzeitig. Wer die Bund ID nutzt und einen angebundenen Dienst hat, muss wenig tun. Fünf Länder nutzen sie nicht.

Die Bund ID zählte im August 7.449.232 Konten. Das ist die Schiene, auf der d-you fahren soll, und sie trägt. Der Leitfaden liegt allerdings hinter einer Organisationsregistrierung mit Elster-Zertifikat. Wenn ich eine Sache an diesem Quartal ändern könnte, wäre es diese: das Dokument dahin legen, wo Kommunen tatsächlich nachsehen, und drei Leistungen benennen. Das kostet nichts und ist in zwei Wochen gemacht.

Zwanzig Teams, und ein Engpass, den der Staat selbst benannt hat

Am 14. September war ich bei der Mentor Madness in München, dem Kick-off der Prototyping-Phase der Mission „Deutschland, was geht?". Den Wettbewerb macht die Sprind, den Rahmen stellt in Kooperation die TU München. Ein Tag Gespräche mit Teams, die sich an Verwaltungsprozesse heranarbeiten, und mit Verwaltungsleuten, die dabei mit am Tisch sitzen.

Zwei Dinge sind mir geblieben. Erstens: die Ideen sind gut, und sie sind konkret. Zweitens, und das hat mich mehr überrascht: die kommunale Seite will. Da sitzen Leute, die nach vorn gehen wollen und das auch sagen.

Was die Teams vorhaben, listet die Sprind öffentlich, zwanzig Vorhaben, je bis zu 25.000 Euro, Prototyp bis Dezember, danach pitchen die besten vor dem Bundesdigitalminister, bis zu fünf Teams bekommen bis zu 100.000 Euro, und veröffentlicht wird auf openCode.de. Lesen Sie die Titel einmal hintereinander: „OneProof, Einreichen statt Nachreichen". „Nachweislich, Entscheiden statt Tippen". „Antragsfrei durch Push Government". „Treasure, das ausführbare Verwaltungsverfahren". „VergabeFit, ProcurDat trifft den Markt". Dazu Lexaru, eine KI-Fachanwendung für Ausländerbehörden und Jugendämter, und Parla vom CityLAB Berlin, das Verwaltungs- und Parlamentsdokumente durchsuchbar macht.

Keines dieser Vorhaben braucht ein neues Fachverfahren. Jedes braucht Zugang zu einem bestehenden. Und genau da hakt es, nach meiner Beobachtung immer an derselben Stelle: keine Schnittstelle, keine Testdaten, keine Gespräche. Nicht das Vergaberecht, nicht der Datenschutz, nicht das Geld.

Das ist keine Einzelbeobachtung von einem Mentorentag, und es ist auch keine These, die man dem Markt unterschieben muss. Der Staat hat sie selbst aufgeschrieben. Im Folgebericht zu offenen API-Ökosystemen, den Bremen für den IT-Planungsrat erstellt hat, steht der Satz: Schnittstellen böten „den etablierten Akteuren immer wieder Ansatzpunkte, ihre Marktmacht auszunutzen und neue Akteure am Zugang zu hindern oder für die Realisierung von Schnittstellen hohe Entgelte zu verlangen". Und ein paar Seiten weiter: Wenn die Produktpolitik von Herstellern darauf gerichtet sei, offene Schnittstellenstandards zugunsten eigener Online-Dienste zu unterlaufen, müsse ein digital souveräner Staat dagegen Lösungen finden. Der Bitkom formuliert es aus Anbietersicht nüchterner: „fehlende oder inkonsistente Schnittstellen stellen heute eine große Hürde bei der Digitalisierung dar", mit der Folge, dass Anbieter je Behörde individuelle Lösungen bauen.

Wer ein Fachverfahren betreibt, hat an einer offenen, dokumentierten Schnittstelle kein eigenes Interesse, weil sie den Zusatzauftrag ersetzt, der sonst bei ihm liegt. Das ist kein Vorwurf, das ist Betriebswirtschaft. Es ist nur nicht die Betriebswirtschaft der Kommune, die zahlt.

Der Hebel ist deshalb unspektakulär und liegt bei den Kommunen und Ländern selbst, nicht in Berlin. Was Startups brauchen, hat Berlin in seinem GovTech-Report ziemlich genau benannt: „gut dokumentierte APIs, einheitliche Datenformate und klare Nutzungsbedingungen". Das sind drei Zeilen, und sie gehören bei der nächsten Verlängerung eines Fachverfahrensvertrags nicht in die Wunschliste, sondern in die Leistungsbeschreibung, mit erreichbarer Testinstanz und als gewichtetes Zuschlagskriterium. Der IT-Planungsrat hat „API First" bereits beschlossen. Es fehlt die Stelle, die es in einen Vertrag schreibt. Eine Kommune kann das allein, und wenn eine es vormacht, kopieren es die anderen aus dem Vergabevermerk.

Warum der Staat das Fundament gebaut hat und nicht den Anwendungsfall

Die Spark-Module des Digitalministeriums sollen Planungs- und Genehmigungsverfahren beschleunigen, seit April laufend bereitgestellt, der komplette Workflow seit Juni, veröffentlicht auf Open Code. Gebaut haben es externe Dienstleister: Spark Workflow kommt von PwC, die Spark-API von Capgemini. Was das gekostet hat, wurde erst bekannt, nachdem jemand privat eine IFG-Anfrage gestellt und nach Fristüberschreitung nachgefasst hatte: 32,6 Millionen Euro für die Entwicklung, dazu Verpflichtungsermächtigungen von 54 Millionen bis 2029 (Tagesspiegel Background, Paywall).

Mein Eindruck ist: hier ist ein Tanker entstanden. Stuttgart hat Spark verprobt, und Thomas Bönig, CDO und CIO der Stadt, sagt, die Architektur sei für den kommunalen Eigenbetrieb schlicht ungeeignet und das System mit teils mehr als 50 KI-Agenten sehr fehleranfällig (ebd.). Stuttgart arbeitet stattdessen mit ChatSTR, und ChatSTR ist kein Eigenbau, sondern das Münchner MUCGPT unter anderem Namen. Nachnutzung, wie sie im Lehrbuch steht, zum Bruchteil der Summe.

Die Preisfrage ist dabei nicht die interessante. Interessant sind die Total Cost of Ownership, und die liegen bei einem System dieser Bauart so hoch, dass der Nutzennachweis strukturell schwierig wird. Wer Betrieb, Wartung, Anpassung und Schulung dagegenrechnen muss, bekommt am Ende eine Zahl, die niemand gern veröffentlicht.

Die eigentliche Frage ist eine andere, und sie ist unbequem: Warum hat der Staat hier so viel Fundament gebaut statt sich auf Anwendungsfälle und deren Nutzen zu konzentrieren? Ich glaube, die Antwort liegt in der Anreizrichtung, und sie hat nichts mit der Qualität der beteiligten Häuser zu tun. Ein Fundament lässt sich in Modulen, Releases und Betriebsjahren weiterschreiben, ein Anwendungsfall ist irgendwann fertig. Rund um eine Plattform entsteht Beratungsvolumen, rund um einen fertigen Anwendungsfall nicht. Wer das Fundament baut, hat nach der Abnahme einen Betriebsvertrag, wer den Anwendungsfall liefert, hat einen zufriedenen Sachbearbeiter. Ich habe das Anfang September ausführlicher aufgeschrieben: Wenn der Umsetzer gleichzeitig die Architektur empfiehlt, empfiehlt er die Architektur, die ihn braucht.

Wie es anders aussieht, lässt sich an zwei US-Bundesstaaten ablesen, nicht weil die weiter wären, sondern weil sie etwas anderes veröffentlichen. Nebraska hat den Assistenten des Verkehrsamts nach drei Monaten Pilot landesweit ausgerollt und nennt dazu 88.000 beantwortete Fragen, über 3.400 Weiterleitungen in Online-Dienste und bis zu 20 Prozent weniger Anrufvolumen. Kalifornien hat AskCA nach Lebenslagen gebaut und lässt Antworten von Fachleuten gegen verifizierte Quellen prüfen. Beide Zahlen gehören zu einem Anwendungsfall, nicht zu einer Plattform.

Der Pfad ist entsprechend klein. Vor dem nächsten Modul ein Verfahren benennen, eine Durchlaufzeit messen, einen Zielwert festlegen, und beides veröffentlichen. Und beim Thema Nachnutzung die Prüffrage ändern: nicht, ob der Code auf Open Code liegt, sondern ob eine Kommune ihn ohne Projekt betreiben kann. Open Code ist eine Bedingung, keine Nachnutzung.

Kurz notiert

Das Zendis öffnet sein Open-Desk-Partnerprogramm erstmals für privatwirtschaftliche Dienstleister, in drei Kategorien, wegen hoher Nachfrage. Und die Bundesdruckerei-Gruppe hat am 29. September eine Zusammenarbeit mit dem Zendis angekündigt, in der openDesk mit der genusecure Suite von genua zu einem Arbeitsplatz für Dokumente mit dem Grad „Verschlusssache, nur für den Dienstgebrauch" kombiniert werden soll. Beides ist Betriebsmodell, nicht Ideologie: ein Produkt, Partner mit Zulassungsverfahren, ein Sicherheitsniveau, nach dem Behörden konkret fragen. Den ersten gemeinsamen Showcase zeigen beide auf der Smart Country Convention vom 13. bis 15. Oktober in Berlin.

Schleswig-Holstein und Thüringen haben am 22. September in Erfurt eine Absichtserklärung zu Open Source und Law as Code unterzeichnet, zunächst ohne finanzielle Verpflichtungen. In Kiel arbeiten inzwischen mehr als 200 Beschäftigte der Staatskanzlei auf Linux, rund 20 Arbeitsplätze bleiben wegen Fachanwendungen auf Windows. Die Schweizer Bundeskanzlei stellt rund 3000 Mitarbeitende bis Ende 2027 auf einen Arbeitsplatz auf Open-Source-Basis um, erste Phase geschätzt 9 Millionen Franken.

Eine Auswertung der Open Knowledge Foundation zur Antwort der Bundesregierung auf eine Kleine Anfrage kommt auf mindestens 630 Millionen Euro, die 2025 aus dem Bundeshaushalt in Lizenzen für proprietäre Software geflossen sind. Das ist die Vergleichsgröße, an der sich jede Diskussion über die Kosten von Open Source messen lassen muss.

Seit dem 11. September gelten die Meldepflichten des Cyber Resilience Act, alle Anforderungen ab dem 11. Dezember 2027. Laut einer PwC-Umfrage unter 100 Industrieunternehmen halten sich drei Prozent für vollständig konform, die Hälfte hat keine externe Meldestelle. Dazu passt, dass Sovereign Tech Resilience am 28. September mit vier neuen Diensten neu gestartet ist, unter anderem CRA-Konformität für Open-Source-Projekte. Der Satz aus der Ankündigung, der hängen bleibt: „Finding bugs is getting easier; fixing them is not."

Und die Teilung des ITZ Bund zum 1. Januar 2027 ist nicht mehr zu halten, der Entwurf für die Gesetzesnovelle steckt in der Ressortabstimmung (Tagesspiegel Background, Paywall).

Fazit

Der September hat eine Diagnose geliefert und eine mögliche Antwort darauf, nur aus zwei verschiedenen Ländern. Der Monitor sagt, woran es liegt: die Leute finden nicht, was es gibt, und rechnen damit, am Ende doch zum Amt zu müssen. Washington hat daraufhin eine Oberfläche gebaut und damit die bequeme Hälfte erledigt. Wir haben die unbequeme Hälfte in Arbeit, ordentlich dokumentiert, mit zwei von 77 ertüchtigten Registereinträgen und ohne Termin.

Was fehlt, ist kein Budget und kein Gesetz. Es ist die Stelle, an der die Arbeit im Hintergrund für jemanden sichtbar wird. Konkret: welche drei Leistungen am 2. Januar wirklich funktionieren, und die Disziplin, nur über die zu reden. 19 Prozent haben von d-you gehört. Mit einer Marke holt man die anderen 81 nicht.

Mitte Oktober bin ich auf der Smart Country Convention. Ich werde an drei Dingen merken, ob sich etwas bewegt hat: ob bei d-you über Leistungen geredet wird statt über die Brieftasche, ob auf den KI-Folien Durchlaufzeiten stehen statt Modulnamen, und ob irgendwer für die Registeranbindung ein Datum nennt. Beim dritten Punkt bin ich mir selbst nicht sicher, ob ich es hören will.