Souveräne Beschaffung · Dr. Christian Knebel

Der Staat fährt schwarz. Oktober 2026 im E-Government-Rückblick.

Fri, 30 Oct 2026 20:00:00 +0100

Dieser Monatsrückblick hat diesmal einen Schwerpunkt. Normalerweise gehe ich hier mehrere Themen des Monats in ähnlicher Tiefe durch. Im Oktober hat ein Ereignis die Verwaltung so direkt getroffen, dass ich ihm den größten Teil des Textes gebe. Die übrigen Themen kommen am Ende kürzer.

Am 21. Oktober hat das PHP-Projekt Notfall-Updates für zwei Sicherheitslücken veröffentlicht, CVE-2026-109618 und CVE-2026-109619. Beide haben einen CVSS-Wert von 9,2, beide erlauben es Angreifern, ohne Anmeldung eigenen Code auf dem Server auszuführen. Beim Bundesamt für Sicherheit in der Informationstechnik (BSI) hielt Vizepräsident Thomas Caspers am selben Tag eine “kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates” für wahrscheinlich: “Es besteht also unverzüglicher Handlungsbedarf!” Berichtet wurde von der Warnstufe 3, Orange.

Was folgte, war eine Abschaltwelle durch alle Ebenen. Das ITZ Bund nahm mehrere Websites vorsorglich vom Netz, zeitweise waren laut KOMMUNAL auch RKI, Bundespolizei, Zoll und Bundesinnenministerium betroffen. In Hessen gingen hessen.de und die Seiten der Ministerien offline, dazu Kassel, mehrere Landkreise und zwei Unikliniken. Das Thüringer Landesrechenzentrum schaltete unter anderem Finanz- und Justizministerium ab. In Berlin traf es berlin.de und die Internetwachen der Polizei, beim Abgeordnetenhaus waren Teile der Website eingeschränkt, in Brandenburg Cottbus und mehrere Landkreise. Mainz, München, Dachau, Unna und Datteln stehen ebenfalls auf der Liste.

Deutschland war damit nicht allein. In Frankreich ließ das Innenministerium nach einer Empfehlung der ANSSI die Seiten der Präfekturen abschalten, in den Niederlanden gingen overheid.nl, MijnOverheid und DigiD vom Netz, in Finnland die öffentlichen Webdienste der Regierung über den Dienstleister Valtori. In Großbritannien waren 32 Regierungsdienste nicht erreichbar, in Australien sogar die Seite der nationalen Cyberbehörde, cyber.gov.au.

Offline heißt nicht gehackt, darauf hat die Forrester-Analystin Madelein van der Hout zu Recht hingewiesen: Die Abschaltung war eine “proportionate risk decision”. Spätestens seit dem 26. Oktober ist aber klar, dass die Vorsicht berechtigt war. Die US-Cyberbehörde CISA hat beide Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Abgeschaltet haben viele. Für die Pflege der Technologie dahinter bezahlt haben die wenigsten.

Vierzehn Jahre im Code, und einer hat für die Prüfung bezahlt

Der Fehler ist nicht neu. Betroffen sind alle Versionen zurück bis PHP 5.4, und die ist im März 2012 erschienen. Gefunden haben ihn im August Sicherheitsforscher mithilfe von Sprachmodellen: zuerst die Sicherheitsfirma Calif mit OpenAI, acht Tage später unabhängig davon Wiz, ebenfalls mit KI-Unterstützung (t3n). OpenAI-Präsident Greg Brockman kündigt an, man erwarte “many more such issues”.

Thomas Jarzombek, Parlamentarischer Staatssekretär im Digitalministerium, hat das auf LinkedIn sehr klar eingeordnet: “Software ist etwas grundlegend anderes als ein Schrank oder ein Elektroherd”. Produkte würden nie fertig, es gelte, einen durchgehenden Update- und Weiterentwicklungsprozess zu organisieren. Und: Was man bei PHP sehe, sei “keine Ausnahme oder ein einmaliges Problem, sondern im KI-Zeitalter das neue Normal”.

Für einen externen Blick in den Code bezahlt hat vorher genau eine Stelle. Das erste externe Sicherheitsaudit des PHP-Kerns seit über zehn Jahren hat 2024 die Sovereign Tech Agency bezahlt, eine Agentur des Bundes. Es brachte 17 sicherheitsrelevante Befunde und lieferte laut Sovereign Tech Agency einen Beitrag zur späteren Arbeit an der Ursache einer der beiden Lücken. Erste Hinweise auf den Fehler gab es dabei schon, gefixt wurde er damals nicht, weil sich das Entwicklerteam uneinig war und kein Angriffsweg bekannt war (t3n). netzpolitik.org nennt als Grund schlicht fehlende Ressourcen.

205.000 Euro hat die Sovereign Tech Agency 2023 und 2024 in die PHP Foundation gesteckt. Damit ist die Sovereign Tech Agency laut netzpolitik.org drittgrößte Geldgeberin der PHP Foundation, Jarzombek nennt den Bund ebenso den drittgrößten Unterstützer von PHP. Über alle Projekte hinweg hat die Sovereign Tech Agency in fünf Jahren über 60 Millionen Euro in mehr als 110 Vorhaben investiert. Die Sovereign Tech Agency handelt seit Jahren danach, dass Open Source Infrastruktur ist und Infrastruktur Wartung braucht. 💡

Der Rest des Staates fährt mit. Die PHP Foundation hat nach Auskunft ihrer Direktorin genau eine Vollzeitkraft, sie selbst, und 14 überwiegend in Teilzeit tätige Auftragnehmer. Auf der anderen Seite: Der Government Site Builder des Bundes, mit dem über 80 Bundesbehörden und -einrichtungen mehr als 250 Websites betreiben, zieht mit Version 11 auf TYPO3 und damit auf PHP um. Budget: 108 Millionen Euro über vier Jahre. Insgesamt hat der Bund von 2020 bis 2025 rund 3,1 Milliarden Euro für Software ausgegeben.

Ökonomen nennen das Trittbrettfahren. Alle nutzen das Gemeingut, kaum jemand zahlt für seinen Erhalt. Erik Möller von der Sovereign Tech Agency formuliert es so: Diese Lücke, “nicht irgendein einzelner Fehler, ist die eigentliche Schwachstelle”.

In der Verwaltung ist das Problem erkannt, Jarzombeks Beitrag zeigt das. Bei den Behörden, die PHP-Anwendungen betreiben, kommt diese Erkenntnis nach meinem Eindruck bisher kaum an. Und der Haushaltstitel, aus dem unter anderem die Sovereign Tech Agency finanziert wird, soll laut Regierungsentwurf 2027 leicht sinken, von 28,65 auf rund 28,3 Millionen Euro. Wer ein erfolgreiches Modell skalieren will, fängt so nicht an.

Wartung lässt sich kaufen

Es gibt mehrere Wege, das aktuelle Problem künftig zu vermeiden, keiner davon braucht ein neues Fachgesetz.

Der wirksamste liegt in der Vergabe. Sebastian Bergmann hat im September im Blog der PHP Foundation zwei Vorschläge von Tiffany Farriss (Drupal Association) aufgegriffen: 2 bis 5 Prozent des Auftragswerts für die Upstream-Wartung der genutzten Open-Source-Komponenten, und 20 Prozent der Wertungspunkte für nachweisbare Beiträge zu diesen Projekten. Auf das Budget des Government Site Builder umgelegt wären das zwischen 2,2 und 5,4 Millionen Euro über vier Jahre. Zum Vergleich: Die PHP Foundation hat 2025 insgesamt rund 730.000 Dollar eingenommen.

Der Vorschlag passt genauso auf Drupal, Nextcloud und viele andere populäre Open-Source-Lösungen, also auf alles, worauf die Verwaltung im großen Stil baut. Die EU-Kommission betreibt rund 770 Drupal-Seiten, die Nextcloud-basierte SIB-Box der Bundescloud hat etwa 300.000 Nutzende (PHP Foundation).

Der zweite Einstieg sind die Verträge. Die neuen EVB-IT machen Open Source seit März zum Standard in den Vertragsmustern für neue Entwicklungsprojekte. Das ist ein großer Schritt. Ein fester Wartungsanteil für die Upstream-Projekte gehört als nächstes hinein. Die Open Source Business Alliance hat dafür schon 2025 Auswahlkriterien vorgelegt: Nähe des Dienstleisters zur Community, Veröffentlichung von Änderungen upstream, Level-3-Support, Unterstützung der Lieferkette. Ihr Kernsatz: Das billigste Angebot ist meist nicht das wirtschaftlichste.

Der dritte Einstieg ist Enterprise Open Source, also Software mit Herstellersupport, bei dem die Wartung eingepreist ist. Was das wert ist, hat PHP2Shell gezeigt. Das PHP-Projekt hat reguläre Updates nur für die Versionen ab 8.2 veröffentlicht. Für 7.4 bis 8.1 gab es lediglich minimale Quellcode-Patches zum Selbstbauen, ansonsten hieß es “contact your vendor … or upgrade”. Wer einen Supportvertrag hatte, etwa über Ubuntu Pro, Red Hat oder Freexian ELTS für Debian, bekam auch für PHP 7.4 ein fertiges, getestetes Paket. Lückenlos war das nicht, auch dort war nicht jede Version abgedeckt. Der Unterschied ist die Zuständigkeit: Es gibt jemanden, der liefern muss.

Der vierte ist die Sovereign Tech Agency selbst. Jarzombek will ihr Modell skalieren und europaweit ausrollen, mit Mitteln der EU und des Digital Commons EDIC. Ein Pilot für einen europäischen Sovereign Tech Fund ist seit dem Frühjahr als eines der ersten Vorhaben des Digital Commons EDIC angekündigt, gemeinsam mit der Sovereign Tech Agency. Damit das nicht beim Pilot bleibt, braucht er einen Haushaltsansatz, der wächst.

Und wem die Kosten für solche Wartung zu hoch sind, dem sei als Beispiel das Projekt Civitas Connect ans Herz gelegt. Der Verein, in dem sich Kommunen und kommunale Unternehmen zusammengeschlossen haben, hatte für den 12. Oktober Dienstleister und Betreiber seiner Open-Source-Datenplattform eingeladen, mit einer einfachen Frage: “Wie wird aus einem erfolgreichen Open-Source-Projekt dauerhaft verlässliche digitale Infrastruktur?” Die Produkthoheit bleibt bei den öffentlichen Mitgliedern, die Unternehmen sollen sich an Pflege, Tests, Fehlerbehebung und Sicherheit beteiligen. 15 der 24 teilnehmenden Unternehmen haben eine Absichtserklärung unterschrieben, Grundsatz “Upstream first”.

Verbindliche Zusagen stehen da noch nicht drin. Ob aus der Absichtserklärung Geld und Personal werden, entscheidet sich beim nächsten Treffen am 9. November.

Wer nicht weiß, was läuft, kann nur den Stecker ziehen

PHP2Shell hat noch ein zweites Problem sichtbar gemacht. Mein Eindruck aus den Tagen danach: Viele Stellen haben vorsorglich abgeschaltet, ohne genau zu wissen, ob und wo sie betroffen sind. Der Bitkom hat am 21. Oktober geraten: “Wer Online-Anwendungen betreibt, sollte daher unbedingt prüfen, ob diese PHP verwenden …” Bei Log4Shell im Dezember 2021 klang der Rat ganz ähnlich: herausfinden, wo die Bibliothek überall steckt. Fast fünf Jahre, dieselbe Empfehlung.

Dass es anders geht, zeigen die Niederlande. Während overheid.nl, MijnOverheid und DigiD vorsorglich offline gingen, konnte die Regierung noch am selben Tag sagen, dass ein großer Teil ihrer Websites, darunter rijksoverheid.nl, kein PHP nutzt. Dafür muss man wissen, was man betreibt.

Thüringen zeigt die zweite Schwachstelle. Dort hieß es aus dem Digitalministerium: “Der Hersteller des Betriebssystems hat noch nicht für alle PHP-Versionen das entsprechende Update bereitgestellt.” Wer beim Patchen allein am Update-Kanal des Betriebssystem-Herstellers hängt, kann nur warten.

Das ist kein Einzelfall. Die ATHENE-Studie zur IT der Bundesministerien fand in mehreren Ministerien einen Apache-Webserver in einer Version, die über zwölf Jahre alt ist. Fast die Hälfte der über 2.182 aktiven kritischen Lücken stammte aus den Jahren 2015 bis 2017 (Datenstand Ende 2025). Bei PHP sieht es im Netz insgesamt nicht besser aus: Von den erreichbaren Servern mit sichtbarer Versionsangabe liefen am Tag vor den Patches 59 Prozent auf Versionen ohne Sicherheitsupdates. Und am 31. Dezember endet auch der Support für PHP 8.2.

Die Antwort darauf hat einen Namen: Software Bill of Materials, kurz SBOM, eine maschinenlesbare Stückliste aller Komponenten und Versionen. Der Cyber Resilience Act verpflichtet die Hersteller ab Dezember 2027 dazu, mindestens für die direkten Abhängigkeiten. Eine Pflicht, sie an öffentliche Auftraggeber herauszugeben, sieht er aber nicht vor. In den neuen EVB-IT ist die Übergabe einer SBOM eine Option, keine Pflicht.

Das reicht nicht. Die SBOM gehört verpflichtend in jeden Vertrag, nach dem Zuschlag, für die Lieferung und für jedes Update, und zwar vollständig. Ohne dieses Inventar lässt sich Patch-Management kaum automatisieren. Die neuen SBOM-Mindestanforderungen, die die CISA Ende Juli mit 17 Partnerbehörden veröffentlicht hat, darunter NSA, FBI und das BSI, sagen es deutlich: Für manuelle Prozesse ist das Volumen zu groß.

Open Source professionell zu betreiben heißt also: Inventar, Versionsstand, Update-Kanal, eine verantwortliche Stelle. Das haben in der öffentlichen Hand nur wenige auf dem Schirm. Ohne diese vier Dinge bleibt im Ernstfall genau eine Maßnahme, die immer funktioniert, und das ist der Stecker.

Ein Manifest für den eigenen Platz am Tisch

Themenwechsel. In diesem Monat ist ein Papier bekannt geworden, das genau diese Fragen hätte beantworten können. Govdigital, die Genossenschaft der öffentlichen IT-Dienstleister, hat ihr “Zielbild IT-Dienstleister und Govdigital 2030” schon am 24. Juni beschlossen. Präsentiert hat sie es den Mitgliedern Anfang Oktober, bei der Vorstellung des neuen “Haus der öffentlichen IT” in Berlin (Tagesspiegel Background, Paywall; ebenso). Acht Schwerpunkte stehen darin, darunter ein gemeinsames Leistungsversprechen, gebündelte Beschaffung souveräner Lösungen, die Konsolidierung und Professionalisierung des IT-Betriebs und eine neue Rollenverteilung: Flächenversorger für die kleinen Kommunen in der Region, Spezialversorger über Ländergrenzen hinweg, und für besonders kritische Leistungen mindestens zwei Anbieter, damit Ausfallsicherheit und Wettbewerb möglich bleiben. Open Source könne bei der gemeinsamen Beschaffung eine Rolle spielen, sei aber keine Voraussetzung, sagte Vorstandschef Martin Schallbruch (Tagesspiegel Background, Paywall). Öffentlich habe ich das Papier selbst nicht gefunden.

Der Druck, unter dem das Papier entstanden ist, lässt sich gut ablesen. Das ITZ Bund soll laut Referentenentwurf ab 2028 als Anstalt mit Zustimmung des BMDS auch Aufgaben für Länder und Kommunen übernehmen dürfen. Die KI-Cloud des Bundes über 250 Millionen Euro ging an zwei Konsortien, um T-Systems und SAP sowie um SVA, Schwarz Digits (STACKIT) und Codesphere. Die Betriebsplattformen der Deutschen Verwaltungscloud laufen auf IONOS und STACKIT, Dataport und IT.NRW managen sie. Und openDesk als Dienst über Govdigital betreibt zunächst exklusiv STACKIT. Das Haus der öffentlichen IT selbst versteht sich ausdrücklich als Ort “für eine stärkere Präsenz öffentlicher IT im politischen Berlin”.

Die Beteiligten sagen es selbst: Es seien “Fragen nach der Zukunft der Govdigital” aufgekommen, das Zielbild ist das Ergebnis des Strategieprozesses dazu (Tagesspiegel Background, Paywall). Ich lese das Manifest deshalb vor allem als Versuch, sich einen modernen Anstrich zu geben und im Spiel zu bleiben. Ganz ohne Substanz ist das nicht: Die Deutsche Verwaltungscloud ist seit April 2025 im Produktivbetrieb, die gemeinsame GenAI-Plattform läuft seit dem 13. Oktober. Und das Rollenmodell mit zwei Anbietern je kritischer Leistung ist richtig, weil es Wechselfähigkeit schafft.

Was fehlt, ist das Leistungsversprechen, das nur ein öffentlicher Dienstleister glaubwürdig abgeben kann. Tagesspiegel Background hält fest: “Wer künftig welche Leistungen verantwortet, bleibt bislang jedoch offen.” Die Professionalisierung des Betriebs steht als Schwerpunkt im Papier. Wie sie konkret aussehen könnte, hat PHP2Shell frei Haus geliefert: ein vollständiges Inventar für jede Kommune, automatisiertes Patch-Management und ein fester Wartungsbeitrag an die Projekte, auf denen der Verbund läuft. Ein transparentes Gesamtportfolio, das zeigt, welche Lösungen es schon gibt, ist ohnehin geplant. Das Inventar der Komponenten darunter wäre der nächste Schritt. Das wäre ein Grund, beim öffentlichen Dienstleister zu bleiben, statt direkt beim Cloud-Anbieter zu buchen. Ein guter erster Schritt wäre, das Zielbild zu veröffentlichen. Dann schaue ich es mir auch gern an und schreibe mehr dazu.

Kurz notiert

Zur Smart Country Convention vom 13. bis 15. Oktober habe ich einen eigenen Nachklapp geschrieben: Souverän ist, wer es draufdruckt. Dort geht es um das Wort, das auf fast jeder Messewand stand, und warum es ein Siegel braucht.

Der neue Digital Dependence Index der Universität Bonn und des Vodafone Instituts sieht Deutschland mit 0,73 (Datenstand 2023) auf einer Skala von 0 (unabhängig) bis 1 (vollständig abhängig) auf Rang 25 von 51 Ländern. Verschlechtert hat sich Deutschland seit 2010 vor allem bei Software und IT-Dienstleistungen, bei Plattformen liegt Europa insgesamt bei 0,98. Software und IT-Dienstleistungen sind allerdings der Teil, auf den die öffentliche Hand über ihre eigene Beschaffung am meisten Einfluss hat.

Beim Bürokratieabbau rechnen Regierung und Normenkontrollrat mit verschiedenen Zahlen. Die Bundesregierung meldet einen um mehr als zehn Milliarden Euro gesenkten Erfüllungsaufwand, im selben Bericht stehen bei den Bürokratiekosten “lediglich” rund 232 Millionen Euro Einsparung. Der Normenkontrollrat kommt auf einen Rückgang des Erfüllungsaufwands um rund 6,8 Milliarden Euro, überwiegend durch das Gebäudemodernisierungsgesetz, und auf jährliche Bürokratiekosten, die um rund 1,3 Milliarden Euro gestiegen sind. NKR-Chef Lutz Goebel weist darauf hin, dass ein Großteil der Entlastung Aufwand betrifft, “der in der Praxis noch gar nicht entstanden war”. Dazu kommen unterschiedliche Berichtszeiträume. Solange beide Seiten anders zählen, lässt sich keine Bilanz ziehen. Eine gemeinsam festgelegte Zählweise wäre der billigste Bürokratieabbau des Jahres.

Fazit und Ausblick

Am 2. und 3. November lädt die Bundesregierung zum Digital-Gipfel nach Berlin, Motto “Shaping AI: safe, sovereign, competitive”. Ein Jahr nach dem deutsch-französischen Gipfel zur digitalen Souveränität lohnt der Blick zurück. Im November 2025 gab es Investitionszusagen von über zwölf Milliarden Euro, eine deutsch-französische Taskforce und eine KI für die Verwaltung mit Mistral und SAP, deren Rahmenvertrag bis Mitte 2026 stehen sollte. Laut Digitalministerium ist er vorerst vom Tisch. Sichtbar geblieben ist vor allem das Digital Commons EDIC, und mit ihm der Pilot für einen europäischen Sovereign Tech Fund.

Ich war damals dabei und habe beim Begleitforum zur öffentlichen Beschaffung einen Workshop für das Digitalministerium gehalten. Bei der Grundfrage, was Souveränität in der Beschaffung heißt, sehe ich seitdem keinen Schritt Bewegung. Macron wollte eine klare europäische Präferenz, Merz hielt sie wohl nur in den Verwaltungen für durchsetzbar und setzte auf Sicherheitsvorgaben. Frankreich will die europäische Präferenz für Staat und Wirtschaft, Deutschland nur für die Verwaltung und über Sicherheitsvorgaben.

Am ersten Gipfeltag sitzen Jarzombek und Erik Möller von der Sovereign Tech Agency gemeinsam auf dem Panel “AI, Open Source and Digital Sovereignty”. Da wird sich zeigen, ob der Gipfel wieder schöne Fotos und Reden liefert oder eine Zahl: einen Haushaltsansatz für den europäischen Sovereign Tech Fund, oder einen festen Wartungsanteil in der Bundesbeschaffung. Abschalten kann jeder. Wartung muss man bezahlen.

Der Name war das Einfachste. September 2026 im E-Government-Rückblick.

Wed, 30 Sep 2026 22:23:16 +0200

Am 29. September hat die Initiative D21 den eGovernment MONITOR 2026 vorgelegt, und darin steht das Problem so klar, wie man es selten liest. 64 Prozent erwarten Verwaltungsleistungen genauso einfach online wie von Privatunternehmen, 15 Prozent sehen diese Erwartung erfüllt. 12 Prozent sagen, der Staat macht ihr Leben leichter. Jede zweite Person hat ihr letztes Verwaltungsanliegen vollständig offline erledigt, und 62 Prozent nutzen digitale Wege seltener, weil sie befürchten, am Ende doch analog weitermachen zu müssen. Das Vertrauen in den Staat liegt bei 32 Prozent.

Am selben Tag ist in Washington america.gov online gegangen: ein Eingabefeld, das Fragen in Alltagssprache beantwortet, gelegt über die Inhalte von rund 29.000 Websites der US-Bundesverwaltung. Dazu eine Executive Order, die jede Bundesleistung mit mehr als 100.000 Nutzenden im Jahr zur Anbindung verpflichtet, mit 90 Tagen Frist für die Leitlinien.

Das ist eine Antwort auf genau das Problem, das der Monitor beschreibt. Nicht die vollständige, aber die sichtbare. Wer nicht weiß, wo er anfangen soll, bekommt eine Stelle, an der er anfängt.

Bevor der Reflex kommt: america.gov löst die bequeme Hälfte. Mikey Dickerson, Gründungs-Administrator des US Digital Service, nennt es „the easiest 5% of the problem", und der Chatbot gab in den ersten 24 Stunden widersprüchliche Antworten auf politische Fragen. Zuständigkeiten, Programmdefinitionen, Datenhaltung bleiben auch dort unberührt.

Bei uns ist die Reihenfolge umgekehrt, und das lässt sich im September an einer einzigen Website ablesen. Wer wissen will, wie weit die Registermodernisierung ist, findet das auf noots.gov.de, der Wissensplattform der FITKO. Die Seite richtet sich an fachlich Verantwortliche, nicht an Bürger:innen, und sie ist sehr gut: eine Statusampel über 77 Registereinträge, drei Systeme, ein Flächenrollout in drei Stufen, Erfahrungsberichte aus abgeschlossenen Anschlussvorhaben. Nur sagen die Ampeln auch, wie weit es tatsächlich ist: zwei Einträge gelten als für das NOOTS ertüchtigt, 64 stehen ohne Aktivität. Und ein Datum gibt es nicht, weil der IT-Planungsrat erst „nach Vorliegen der technischen Voraussetzungen" mit den Fachministerkonferenzen beschließt, bis wann angeschlossen sein muss.

Das ist die unbequeme Hälfte, und sie ist richtig. Ohne Register bleibt jede Oberfläche ein Formular mit besserer Schriftart. Es ist nur die Arbeit, von der niemand etwas merkt, der sie am Ende benutzen soll. Wir arbeiten im Hintergrund und im Detail, sehr sorgfältig, und das Einzige, was in diesem September nach vorne sichtbar wurde, war ein Name.

Der Name war schneller fertig als die Spezifikation

Am 9. September hat das Digitalministerium der deutschen Eudi-Wallet einen Namen gegeben: d-you, mit rund 40 Partnern aus Wirtschaft, Wissenschaft und Verwaltung, Start am 2. Januar 2027. Das Ministerium erklärt den Namen selbst: „d" für digital und für Deutschland, „you" für Nutzerzentrierung.

Mich beschäftigt an dieser Stelle weniger das Logo als die Umbenennung an sich. „Wallet" ist der eine Begriff in diesem Feld, den die Leute schon kennen, und sie kennen ihn nicht von uns, sondern von Apple und Google. Wer eine digitale Brieftasche einführt, startet damit mit einem Vorsprung, den man nicht kaufen kann: ein Wort, das keine Erklärung braucht. d-you muss sich diesen Vorsprung erst erarbeiten.

Wie groß die Aufgabe ist, steht im eGovernment MONITOR, erhoben vor dem Namenstag: 19 Prozent haben von der Wallet gehört, 8 Prozent können sie richtig beschreiben. Zum Vergleich: die Online-Ausweisfunktion kennen 88 Prozent, genutzt haben sie 29 Prozent. Bekanntheit war also nie das Problem. Nutzen war es.

Helmut Krcmar von der TU München, Mitherausgeber der Studie, rät deshalb davon ab, die Wallet als solche zu bewerben, und stattdessen einzelne gut funktionierende Leistungen, mit der Wallet als Werkzeug (Tagesspiegel Background, Paywall). Da bin ich bei ihm, und das Material liegt schon vor. Die Pressemitteilung nennt für den 2. Januar drei Dinge, die tatsächlich gehen werden: das Alter nachweisen, rechtssicher einen Vertrag abschließen, ein Bankkonto eröffnen. Unter den Launch-Partnern stehen Rossmann, der Landkreis Harz, Dresden, Aachen und Heidelberg; in Sachsen laufen Dresden-Pass und Ehrenamtskarte schon als Anwendungsfall. Drei davon auswählen und nur über die reden. Der Rest kommt über die Nutzung.

Dass der Termin fällt, halte ich übrigens für ausgeschlossen. Er ist zu oft wiederholt worden, er steht in der Eidas-Verordnung, und das Digitale-Identitätengesetz war am 23. September in erster Lesung im Bundestag. Wer bis hierhin mitgegangen ist, geht nicht drei Monate vorher zurück.

Genau deshalb ist die Kommunikation der letzte verbliebene Hebel. Denn die technische Seite ist eng. Landes-CIOs beklagten im September, die technische Spezifikation nicht erhalten zu haben, Brandenburgs Ernst Bürger mit der Frage „Wie sollen wir das noch schaffen?", Sachsen-Anhalts Bernd Schlömer mit „Wir haben bislang noch gar kein Signal bekommen" (Tagesspiegel Background, Paywall). Das Ministerium hält dem entgegen, dass es keine eigene Installation brauche, weil die Bereitstellung über die bestehende Bund-ID-Infrastruktur läuft, und hat dafür einen Handlungsleitfaden im Self-Service-Portal hinterlegt. Beides stimmt gleichzeitig. Wer die Bund ID nutzt und einen angebundenen Dienst hat, muss wenig tun. Fünf Länder nutzen sie nicht.

Die Bund ID zählte im August 7.449.232 Konten. Das ist die Schiene, auf der d-you fahren soll, und sie trägt. Der Leitfaden liegt allerdings hinter einer Organisationsregistrierung mit Elster-Zertifikat. Wenn ich eine Sache an diesem Quartal ändern könnte, wäre es diese: das Dokument dahin legen, wo Kommunen tatsächlich nachsehen, und drei Leistungen benennen. Das kostet nichts und ist in zwei Wochen gemacht.

Zwanzig Teams, und ein Engpass, den der Staat selbst benannt hat

Am 14. September war ich bei der Mentor Madness in München, dem Kick-off der Prototyping-Phase der Mission „Deutschland, was geht?". Den Wettbewerb macht die Sprind, den Rahmen stellt in Kooperation die TU München. Ein Tag Gespräche mit Teams, die sich an Verwaltungsprozesse heranarbeiten, und mit Verwaltungsleuten, die dabei mit am Tisch sitzen.

Zwei Dinge sind mir geblieben. Erstens: die Ideen sind gut, und sie sind konkret. Zweitens, und das hat mich mehr überrascht: die kommunale Seite will. Da sitzen Leute, die nach vorn gehen wollen und das auch sagen.

Was die Teams vorhaben, listet die Sprind öffentlich, zwanzig Vorhaben, je bis zu 25.000 Euro, Prototyp bis Dezember, danach pitchen die besten vor dem Bundesdigitalminister, bis zu fünf Teams bekommen bis zu 100.000 Euro, und veröffentlicht wird auf openCode.de. Lesen Sie die Titel einmal hintereinander: „OneProof, Einreichen statt Nachreichen". „Nachweislich, Entscheiden statt Tippen". „Antragsfrei durch Push Government". „Treasure, das ausführbare Verwaltungsverfahren". „VergabeFit, ProcurDat trifft den Markt". Dazu Lexaru, eine KI-Fachanwendung für Ausländerbehörden und Jugendämter, und Parla vom CityLAB Berlin, das Verwaltungs- und Parlamentsdokumente durchsuchbar macht.

Keines dieser Vorhaben braucht ein neues Fachverfahren. Jedes braucht Zugang zu einem bestehenden. Und genau da hakt es, nach meiner Beobachtung immer an derselben Stelle: keine Schnittstelle, keine Testdaten, keine Gespräche. Nicht das Vergaberecht, nicht der Datenschutz, nicht das Geld.

Das ist keine Einzelbeobachtung von einem Mentorentag, und es ist auch keine These, die man dem Markt unterschieben muss. Der Staat hat sie selbst aufgeschrieben. Im Folgebericht zu offenen API-Ökosystemen, den Bremen für den IT-Planungsrat erstellt hat, steht der Satz: Schnittstellen böten „den etablierten Akteuren immer wieder Ansatzpunkte, ihre Marktmacht auszunutzen und neue Akteure am Zugang zu hindern oder für die Realisierung von Schnittstellen hohe Entgelte zu verlangen". Und ein paar Seiten weiter: Wenn die Produktpolitik von Herstellern darauf gerichtet sei, offene Schnittstellenstandards zugunsten eigener Online-Dienste zu unterlaufen, müsse ein digital souveräner Staat dagegen Lösungen finden. Der Bitkom formuliert es aus Anbietersicht nüchterner: „fehlende oder inkonsistente Schnittstellen stellen heute eine große Hürde bei der Digitalisierung dar", mit der Folge, dass Anbieter je Behörde individuelle Lösungen bauen.

Wer ein Fachverfahren betreibt, hat an einer offenen, dokumentierten Schnittstelle kein eigenes Interesse, weil sie den Zusatzauftrag ersetzt, der sonst bei ihm liegt. Das ist kein Vorwurf, das ist Betriebswirtschaft. Es ist nur nicht die Betriebswirtschaft der Kommune, die zahlt.

Der Hebel ist deshalb unspektakulär und liegt bei den Kommunen und Ländern selbst, nicht in Berlin. Was Startups brauchen, hat Berlin in seinem GovTech-Report ziemlich genau benannt: „gut dokumentierte APIs, einheitliche Datenformate und klare Nutzungsbedingungen". Das sind drei Zeilen, und sie gehören bei der nächsten Verlängerung eines Fachverfahrensvertrags nicht in die Wunschliste, sondern in die Leistungsbeschreibung, mit erreichbarer Testinstanz und als gewichtetes Zuschlagskriterium. Der IT-Planungsrat hat „API First" bereits beschlossen. Es fehlt die Stelle, die es in einen Vertrag schreibt. Eine Kommune kann das allein, und wenn eine es vormacht, kopieren es die anderen aus dem Vergabevermerk.

Warum der Staat das Fundament gebaut hat und nicht den Anwendungsfall

Die Spark-Module des Digitalministeriums sollen Planungs- und Genehmigungsverfahren beschleunigen, seit April laufend bereitgestellt, der komplette Workflow seit Juni, veröffentlicht auf Open Code. Gebaut haben es externe Dienstleister: Spark Workflow kommt von PwC, die Spark-API von Capgemini. Was das gekostet hat, wurde erst bekannt, nachdem jemand privat eine IFG-Anfrage gestellt und nach Fristüberschreitung nachgefasst hatte: 32,6 Millionen Euro für die Entwicklung, dazu Verpflichtungsermächtigungen von 54 Millionen bis 2029 (Tagesspiegel Background, Paywall).

Mein Eindruck ist: hier ist ein Tanker entstanden. Stuttgart hat Spark verprobt, und Thomas Bönig, CDO und CIO der Stadt, sagt, die Architektur sei für den kommunalen Eigenbetrieb schlicht ungeeignet und das System mit teils mehr als 50 KI-Agenten sehr fehleranfällig (ebd.). Stuttgart arbeitet stattdessen mit ChatSTR, und ChatSTR ist kein Eigenbau, sondern das Münchner MUCGPT unter anderem Namen. Nachnutzung, wie sie im Lehrbuch steht, zum Bruchteil der Summe.

Die Preisfrage ist dabei nicht die interessante. Interessant sind die Total Cost of Ownership, und die liegen bei einem System dieser Bauart so hoch, dass der Nutzennachweis strukturell schwierig wird. Wer Betrieb, Wartung, Anpassung und Schulung dagegenrechnen muss, bekommt am Ende eine Zahl, die niemand gern veröffentlicht.

Die eigentliche Frage ist eine andere, und sie ist unbequem: Warum hat der Staat hier so viel Fundament gebaut statt sich auf Anwendungsfälle und deren Nutzen zu konzentrieren? Ich glaube, die Antwort liegt in der Anreizrichtung, und sie hat nichts mit der Qualität der beteiligten Häuser zu tun. Ein Fundament lässt sich in Modulen, Releases und Betriebsjahren weiterschreiben, ein Anwendungsfall ist irgendwann fertig. Rund um eine Plattform entsteht Beratungsvolumen, rund um einen fertigen Anwendungsfall nicht. Wer das Fundament baut, hat nach der Abnahme einen Betriebsvertrag, wer den Anwendungsfall liefert, hat einen zufriedenen Sachbearbeiter. Ich habe das Anfang September ausführlicher aufgeschrieben: Wenn der Umsetzer gleichzeitig die Architektur empfiehlt, empfiehlt er die Architektur, die ihn braucht.

Wie es anders aussieht, lässt sich an zwei US-Bundesstaaten ablesen, nicht weil die weiter wären, sondern weil sie etwas anderes veröffentlichen. Nebraska hat den Assistenten des Verkehrsamts nach drei Monaten Pilot landesweit ausgerollt und nennt dazu 88.000 beantwortete Fragen, über 3.400 Weiterleitungen in Online-Dienste und bis zu 20 Prozent weniger Anrufvolumen. Kalifornien hat AskCA nach Lebenslagen gebaut und lässt Antworten von Fachleuten gegen verifizierte Quellen prüfen. Beide Zahlen gehören zu einem Anwendungsfall, nicht zu einer Plattform.

Der Pfad ist entsprechend klein. Vor dem nächsten Modul ein Verfahren benennen, eine Durchlaufzeit messen, einen Zielwert festlegen, und beides veröffentlichen. Und beim Thema Nachnutzung die Prüffrage ändern: nicht, ob der Code auf Open Code liegt, sondern ob eine Kommune ihn ohne Projekt betreiben kann. Open Code ist eine Bedingung, keine Nachnutzung.

Kurz notiert

Das Zendis öffnet sein Open-Desk-Partnerprogramm erstmals für privatwirtschaftliche Dienstleister, in drei Kategorien, wegen hoher Nachfrage. Und die Bundesdruckerei-Gruppe hat am 29. September eine Zusammenarbeit mit dem Zendis angekündigt, in der openDesk mit der genusecure Suite von genua zu einem Arbeitsplatz für Dokumente mit dem Grad „Verschlusssache, nur für den Dienstgebrauch" kombiniert werden soll. Beides ist Betriebsmodell, nicht Ideologie: ein Produkt, Partner mit Zulassungsverfahren, ein Sicherheitsniveau, nach dem Behörden konkret fragen. Den ersten gemeinsamen Showcase zeigen beide auf der Smart Country Convention vom 13. bis 15. Oktober in Berlin.

Schleswig-Holstein und Thüringen haben am 22. September in Erfurt eine Absichtserklärung zu Open Source und Law as Code unterzeichnet, zunächst ohne finanzielle Verpflichtungen. In Kiel arbeiten inzwischen mehr als 200 Beschäftigte der Staatskanzlei auf Linux, rund 20 Arbeitsplätze bleiben wegen Fachanwendungen auf Windows. Die Schweizer Bundeskanzlei stellt rund 3000 Mitarbeitende bis Ende 2027 auf einen Arbeitsplatz auf Open-Source-Basis um, erste Phase geschätzt 9 Millionen Franken.

Eine Auswertung der Open Knowledge Foundation zur Antwort der Bundesregierung auf eine Kleine Anfrage kommt auf mindestens 630 Millionen Euro, die 2025 aus dem Bundeshaushalt in Lizenzen für proprietäre Software geflossen sind. Das ist die Vergleichsgröße, an der sich jede Diskussion über die Kosten von Open Source messen lassen muss.

Seit dem 11. September gelten die Meldepflichten des Cyber Resilience Act, alle Anforderungen ab dem 11. Dezember 2027. Laut einer PwC-Umfrage unter 100 Industrieunternehmen halten sich drei Prozent für vollständig konform, die Hälfte hat keine externe Meldestelle. Dazu passt, dass Sovereign Tech Resilience am 28. September mit vier neuen Diensten neu gestartet ist, unter anderem CRA-Konformität für Open-Source-Projekte. Der Satz aus der Ankündigung, der hängen bleibt: „Finding bugs is getting easier; fixing them is not."

Und die Teilung des ITZ Bund zum 1. Januar 2027 ist nicht mehr zu halten, der Entwurf für die Gesetzesnovelle steckt in der Ressortabstimmung (Tagesspiegel Background, Paywall).

Fazit

Der September hat eine Diagnose geliefert und eine mögliche Antwort darauf, nur aus zwei verschiedenen Ländern. Der Monitor sagt, woran es liegt: die Leute finden nicht, was es gibt, und rechnen damit, am Ende doch zum Amt zu müssen. Washington hat daraufhin eine Oberfläche gebaut und damit die bequeme Hälfte erledigt. Wir haben die unbequeme Hälfte in Arbeit, ordentlich dokumentiert, mit zwei von 77 ertüchtigten Registereinträgen und ohne Termin.

Was fehlt, ist kein Budget und kein Gesetz. Es ist die Stelle, an der die Arbeit im Hintergrund für jemanden sichtbar wird. Konkret: welche drei Leistungen am 2. Januar wirklich funktionieren, und die Disziplin, nur über die zu reden. 19 Prozent haben von d-you gehört. Mit einer Marke holt man die anderen 81 nicht.

Mitte Oktober bin ich auf der Smart Country Convention. Ich werde an drei Dingen merken, ob sich etwas bewegt hat: ob bei d-you über Leistungen geredet wird statt über die Brieftasche, ob auf den KI-Folien Durchlaufzeiten stehen statt Modulnamen, und ob irgendwer für die Registeranbindung ein Datum nennt. Beim dritten Punkt bin ich mir selbst nicht sicher, ob ich es hören will.

Zweimal weg in fünf Tagen. Juli 2026 im E-Government-Rückblick.

Fri, 31 Jul 2026 20:00:00 +0200

Ich habe beide Ausfälle verpasst. Am 25. Juli war ChatGPT für Stunden weltweit nicht erreichbar, samt der Coding-Plattform Codex (BleepingComputer). Vier Tage später antwortete Claude über mehrere Modelle hinweg nur noch mit „529 Overloaded“, auch über die Schnittstelle (BleepingComputer). Ich war im Urlaub und habe von beidem erst hinterher erfahren.

Das ist, ehrlich gesagt, der interessantere Teil. Es war Juli, halbe Republik im Urlaub, und zwei Totalausfälle der beiden größten Anbieter innerhalb von fünf Tagen sind fast unbemerkt durchgelaufen. Nicht weil sie harmlos waren. Sondern weil bei den meisten von uns noch nichts drangehangen hat, das nicht warten konnte.

In zwei Jahren wird das anders sein. Und dann fällt so ein Ausfall nicht in die Sommerpause.

Die Frage ist nicht, wem das Modell gehört. Die Frage ist, was mit Ihrem Prozess passiert, wenn es weg ist.

Wenn das Modell weg ist, was macht dann der Vorgang?

Im Juni hatte ein Brief des US-Handelsministeriums Anthropic dazu gebracht, Fable 5 und Mythos 5 weltweit abzuschalten, 72 Stunden nach Veröffentlichung. Ich habe das damals ausführlich eingeordnet. Im Juli waren es keine Anordnungen, sondern zwei ganz normale Betriebsstörungen.

Drei Ereignisse, drei völlig verschiedene Ursachen: Exportkontrolle, Überlast, unbekannt. Für den Vorgang in der Behörde macht das keinen Unterschied. Das Modell antwortet nicht.

Ich sage das ausdrücklich nicht gegen amerikanische oder chinesische Modelle. Wer sie einsetzt, hat oft gute Gründe, und ein europäisches Rechenzentrum ist gegen Überlast genauso wenig immun. Die Souveränitätsdebatte in Deutschland dreht sich seit Jahren um Rechtsraum und Datenabfluss. Beides zu Recht. Nur trifft Sie im Zweifel zuerst etwas anderes, nämlich schlichte Nichtverfügbarkeit.

Volker Oshege hat bei t3n aus der Juni-Sperre die Konsequenz gezogen, die ich für die richtige halte: Es geht um Architektur, nicht um Anbieterwechsel. Für die Verwaltung gilt das genauso.

Was hilft, ist eine Frage, die vor der Modellauswahl beantwortet wird, nicht danach: Läuft der Vorgang ohne Modell weiter, langsamer, aber vollständig? Läuft er mit einem schwächeren Modell weiter, mit schlechterem Ergebnis, aber ohne Bruch? Oder steht er? Diese drei Stufen kann jede Fachabteilung für ihre Verfahren durchgehen, ohne einen einzigen Berater. Wer sie nicht beantwortet hat, hat keine KI-Strategie. Er hat einen Vertrag.

Nebenbei zeigt der Juli, dass Verfügbarkeit nicht nur an der Leitung hängt. Bei OpenAI haben sich zwei Modelle in einem internen Test selbstständig aus der Sandbox befreit und fremde Server angegriffen, betroffen waren Hugging Face und mindestens ein weiteres Unternehmen (t3n). Und eine Schwachstelle in sechs Coding-Assistenten hat Angreifern erlaubt, ausgerechnet dem Menschen in der Freigabeschleife falsche Informationen vorzulegen (CSO Online). Das ist kein Sicherheitskapitel für diesen Rückblick. Es ist ein weiterer Grund, die Rückfallebene nicht als Kür zu behandeln.

Der Preis fällt. Das ist der Haken, nicht das Angebot.

Der Juli war der Monat, in dem KI billiger wurde, und zwar sichtbar.

Moonshot hat Kimi K3 veröffentlicht, 2,8 Billionen Parameter, offene Gewichte auf Hugging Face. The New Stack hat es gegen Fable 5 antreten lassen: vergleichbare Ergebnisse, ein Drittel der Kosten, viermal langsamer. Anthropic hat Opus 5 nachgelegt, nach eigener Aussage nah an Fable 5 zum halben Preis. Und offene Modelle liegen insgesamt bei etwa einem Zehntel pro Token, bei einem Rückstand, den Beobachter auf wenige Monate schätzen.

Das klingt nach Entwarnung. Es ist der Teil des Zyklus, in dem die Abhängigkeit entsteht.

Neue Spitzenmodelle kommen teuer auf den Markt. Dann fällt der Preis, und genau in dieser Phase werden Prozesse angebunden, Schnittstellen gebaut, Fachverfahren umgestellt. Der niedrige Preis ist das Argument, mit dem die Anbindung durch die Gremien geht. Die Wechselkosten entstehen still und tauchen in keiner Wirtschaftlichkeitsbetrachtung auf. Zwei Preisrunden später ist der Tarif wieder oben, und die Frage nach dem Wechsel beantwortet sich von selbst.

Wie weit das schon getragen hat, zeigt eine Analyse von 514 deutschen KI-Unternehmen: Wer seinen Anbieter offenlegt, sitzt zu 53 bis 60 Prozent bei US-Anbietern, ein europäisches Modell nutzt etwa jedes zehnte.

Der Weg da raus ist nicht neu, er wird nur selten genommen: Rechnen Sie nicht den Tokenpreis, rechnen Sie die Wechselkosten. Wenn Sie heute anbinden, was kostet der Umzug auf ein anderes Modell in achtzehn Monaten? Wenn Sie die Zahl nicht haben, ist der günstige Preis keine Ersparnis, sondern eine Anzahlung.

Technisch ist die Antwort längst da. Vercel und Coinbase routen produktiv über mehrere Modelle statt über einen Anbieter, weil die Modelle für den Alltag ähnlich genug geworden sind (The New Stack). Was sie dafür brauchen, ist keine Eigenentwicklung, sondern eine Zwischenschicht, die inzwischen einen Namen hat: das LLM-Gateway. Eine Adresse für die Anwendung, dahinter beliebig viele Anbieter, dazu Umschaltung bei Ausfall, Kostenkontrolle und Protokollierung.

Für die Verwaltung ist hier die Auswahl wichtiger als die Technik. Gehostete Router wie OpenRouter nehmen einem die Arbeit ab, führen aber eine neue Abhängigkeit ein, und zwar ausgerechnet an der Stelle, die gegen Abhängigkeit helfen soll. Wer die Rückfallebene an einen Dienst hängt, der selbst ausfallen kann, hat das Problem verschoben, nicht gelöst.

Die passendere Antwort ist quelloffen und läuft im eigenen Haus. LiteLLM ist ein Open-Source-Gateway für über hundert Modellanbieter, selbst betreibbar, mit OpenAI-kompatibler Schnittstelle, Fallback-Regeln, Rechteverwaltung und Protokollierung. Daneben stehen mit Envoy AI Gateway und Kong Angebote aus dem Cloud-Native-Umfeld, und Kubernetes-Betreiber können mit vLLM offene Modelle gleich selbst hinter dieselbe Schnittstelle hängen (CNCF).

Das ist der eigentliche Souveränitätsgewinn, und er ist unspektakulär: nicht ein anderes Modell, sondern eine austauschbare Schnittstelle. Wer sie hat, kann den Anbieter wechseln, wenn der Preis steigt, und weiterarbeiten, wenn einer ausfällt. Wer sie nicht hat, verhandelt beides nicht.

Eine Ausnahme, die niemand definiert hat

Zwei Dinge sind im Juli in der Aufsicht passiert, und sie zeigen in verschiedene Richtungen.

Das Erste ist eine gute Nachricht, die niemand als solche erzählt hat. Das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz ist am 29. Juli in Kraft getreten. Die Bundesnetzagentur wird damit Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung, dazu zentrales Koordinierungs- und Kompetenzzentrum. Die Behörde nennt das einen hybriden Ansatz: Wo es etablierte Fachaufsicht gibt, bleibt sie zuständig, die BaFin im Finanzsektor, die Landesmedienanstalten im Medienbereich. Und die Länder können die Bundesnetzagentur im Wege der Organleihe in Anspruch nehmen, statt sechzehn eigene Aufsichten aufzubauen.

Das ist bemerkenswerter, als es klingt. In einem System, das sonst zuverlässig sechzehn Zuständigkeiten produziert, wo eine reicht, wird die Doppelstruktur diesmal ausdrücklich vermieden. Nur ist die Organleihe eine Kann-Regelung. Ob die Länder sie nutzen, entscheidet sich in den nächsten Monaten, und das ist die eigentliche Nagelprobe.

Das Zweite ist offen. Ab dem 2. August setzen das KI-Büro der Kommission und die nationalen Behörden die Regeln durch, und am selben Tag greifen die Transparenzpflichten (Europäische Kommission). Das ist der Teil, den die meisten kennen: Ein Chatbot muss den Menschen wissen lassen, dass er mit einer Maschine spricht, und KI-erzeugte oder KI-veränderte Inhalte müssen als solche gekennzeichnet werden. Für jede Behörde, die einen Assistenten auf ihrer Website betreibt oder Texte maschinell erstellen lässt, ist das ab übermorgen eine Pflicht und keine Empfehlung.

Weniger bekannt und für die Open-Source-Welt wichtiger: Die Ausnahme für offene Modelle ist genau das nicht: eindeutig. Sie ist ohnehin nur eine Teilbefreiung, sie entfällt bei Monetarisierung, und bei systemischem Risiko gelten die vollen Pflichten unabhängig von der Lizenz. Dass diese Abgrenzung nicht sauber trägt, wird seit Jahren kritisiert.

Für die Open-Source-Industrie ist genau das der Kern. Rechtsunsicherheit ist keine gleich verteilte Last. Ein Konzern preist sie ein, beauftragt eine Kanzlei und wartet die erste Entscheidung ab. Ein Projekt mit fünf Maintainern und einer Stiftung im Rücken kann das nicht. Es veröffentlicht im Zweifel nicht, oder es veröffentlicht ohne Gewichte, oder es verzichtet auf das Geschäftsmodell, das die Wartung finanziert. Wenn sich die Abgrenzung über Einzelfälle einschleift, entscheidet am Ende Verwaltungspraxis darüber, wie offen europäische Modelle sein können.

Es gibt eine naheliegende Stelle, an der man das früh klären kann. Die Bundesnetzagentur baut mit dem KI-Service-Desk und den Reallaboren genau die Struktur auf, in der eine belastbare Auslegungshilfe für offene Modelle entstehen könnte. Wer offene Modelle in der Verwaltung einsetzen oder anbieten will, sollte die Frage jetzt stellen und nicht nach dem ersten Bußgeldbescheid. Das wäre kein Gesetzesproblem. Das wäre eine Auslegungsfrage, die man vorne klärt statt hinten.

Der Antrag, den es nicht geben müsste

Und dann war da noch ein Projekt, das ausgezogen ist, Formulare abzuschaffen, und mit dem Gegenteil zurückkam.

Das CityLAB Berlin untersucht mit Beyond Forms seit 2025, ob es Anträge in Zukunft überhaupt noch braucht, wenn jede und jeder einen KI-Agenten hat. Erster Anwendungsfall ist der Zugang zu Sozialleistungen, zusammen mit der Sozialverwaltung, der Caritas-Sozialberatung und den Ämtern für Soziales. Finanziert wird das von Google.org mit einer Million US-Dollar und einem halben Jahr Entwicklerunterstützung, die Ergebnisse sollen als Open Source herauskommen. Mitte 2026 stand der erste Prototyp.

Bemerkenswert ist, was das Projekt über seinen eigenen Ausgangspunkt schreibt: Digitale Formulare verbessern die Lage kaum, wenn sie Papier nur eins zu eins auf den Bildschirm übertragen, weil der Ablauf genauso kompliziert bleibt. Aus dem Projekt ist zu hören, dass sich das Formular selbst als der unproblematischste Teil erwiesen hat. Wo „Name“ steht, trägt man seinen Namen ein, und ein Dialogsystem macht daraus einen längeren Weg. Der Engpass sitzt woanders, bei unvollständigen Unterlagen und in der Bearbeitung, und am Ende fehlt in vielen Häusern schlicht der durchgehend digitale Prozess.

Das ist der Befund, an dem sich sechs Jahre Formulardigitalisierung erklären. Wir haben die Oberfläche zuerst gebaut. Der Engpass sitzt dahinter.

Wie es andersherum aussieht, kann man dieser Tage in Colorado und New Jersey sehen. Code for America testet dort Simple File, ein Werkzeug für Haushalte, die keine Steuererklärungspflicht haben, aber Anspruch auf Gutschriften. Kein vollständiger Antrag mehr, nur noch die Prüfung des Anspruchs. Der Antrag wird nicht schöner, er wird kleiner.

Interessanter ist, was die Briten im selben Monat gemacht haben. Die GOV.UK-App ist ein Jahr alt, über 600.000 Downloads, mehr als die Hälfte der Nutzenden richtet sich die Startseite selbst ein, ein Fünftel ruft kommunale Leistungen ab. Ein Erfolg also. Und einen Tag später kündigt der Government Digital Service nicht die nächste App-Funktion an, sondern den Umbau des Service Standard, also des Maßstabs, an dem sich seit 2014 jeder digitale Dienst der britischen Regierung messen lassen muss.

Die Begründung ist der Teil, der uns etwas angeht. Der Standard sei zu eng an die Abnahme zentraler Vorhaben zu bestimmten Meilensteinen gerückt, statt im laufenden Betrieb verankert zu sein. Und er lasse sich schlecht auf Leistungen anwenden, die über mehrere Organisationen und Kanäle hinweg von Anfang bis Ende laufen. Der neue Standard soll deshalb ausdrücklich auch die operativen und die nicht-digitalen Teile eines Vorgangs erfassen.

Übersetzt: Die App war nicht das Problem, der Maßstab war es. Man kann eine Oberfläche beliebig erweitern und trotzdem nie den Vorgang verbessern, wenn das Gütekriterium nur die Oberfläche prüft und nur zum Abnahmetermin. Wer in Deutschland über EfA-Nachnutzung und Reifegrade diskutiert, misst gerade sehr ähnliche Dinge.

Übersetzen lässt sich das, aber nicht als Produkt. Die übertragbare Bewegung ist die Reihenfolge: erst der durchgehende Prozess und die Schnittstellen, dann die Oberfläche. Wer es andersherum macht, bekommt ein schöneres PDF.

Und eine Frage gehört vor jedes Formularprojekt: Welche dieser Daten hat der Staat schon, und warum fragt er trotzdem? Damit ist man bei der Registermodernisierung, und zwar unweigerlich. Ein Antrag schrumpft genau um die Felder, die aus einem Register beantwortet werden können. Ohne Registeranbindung bleibt jede Vereinfachung Oberfläche.

Das ist die unbequeme Seite dieses Blocks. Die PD hat im April zusammen mit dem DigitalService die Kosten geschätzt, die Ertüchtigung und Anschluss der deutschen Register verursachen würden, und kommt zu einem klaren Befund: Es wäre weder sinnvoll noch finanzierbar, die abertausend Register in ihren bestehenden Strukturen an das Nationale Once-Only-Technical-System anzuschließen. Ihre Empfehlung ist eine mutige Konsolidierung der Register und neue föderale Formen der Datenhaltung.

Das wird gern als Argument gegen den Anfang benutzt. Es ist aber vor allem eines gegen die falsche Reihenfolge. Kein Antragsprojekt braucht alle Register. Es braucht die drei oder vier, die diese eine Leistung berührt. Wer die zuerst anbindet und danach die Oberfläche baut, hat am Ende ein kürzeres Formular und einen Vorgang, der durchläuft. Wer es andersherum macht, hat beides nicht und die Rechnung trotzdem.

Fazit

Der Juli hat keine große Entscheidung gebracht. Er hat drei Dinge sichtbar gemacht, die zusammengehören.

Modelle fallen aus, aus Gründen, die niemand kontrolliert. Sie werden billiger, und genau dann wird angebunden. Und die Regeln für die offene Alternative sind noch unscharf, während die Durchsetzung übermorgen anläuft.

An Modellen mangelt es nicht. An Rückfallebenen schon.

Pflicht von oben, Rechnung von unten. Juni 2026 im E-Government-Rückblick.

Mon, 29 Jun 2026 18:23:00 +0200

Der IT-Planungsrat hat im Juni geliefert, woran er sich jahrelang die Zähne ausgebissen hat. Bund und Länder haben am 17. Juni in Frankfurt beschlossen, dass fünf Komponenten des Deutschland-Stacks verpflichtend werden und der Bund Entwicklung und Betrieb finanziert (IT-Planungsrat). Staatssekretär Markus Richter, dieses Jahr Vorsitzender des Gremiums, sagt, der Stack nehme konkrete Formen an, Finanzierungs- und Umsetzungsfragen seien geklärt.

Im selben Monat legt der Bundesrechnungshof einen Bericht vor, der zeigt, woran solche Beschlüsse sonst zerschellen. Und auf dem Zukunftskongress in Berlin wurde über all das geredet, als wäre Geld das kleinste Problem.

Der Durchbruch ist echt. Aber er endet dort, wo er ankommen müsste: an der Kasse der Kommunen.

Drei Komponenten Pflicht, eine Rechnung offen

Die Länder haben sich einstimmig verpflichtet, drei der fünf Basisdienste flächendeckend auszurollen und zu nutzen: die EUDI-Wallet, das Registernetz NOOTS und den Übertragungsstandard FIT-Connect (Beschluss B-2026/18). Das ist mehr als alles, was in den Jahren davor zustande kam. Noch im Frühjahr war die Nutzung nur „angestrebt". Diesmal steht eine Verpflichtung, und der Bund zahlt bei diesen Komponenten für Entwicklung, Betrieb und Wartung. Die Bezahlkomponente und das Postfach bleiben vorerst offen, ihr Finanzierungsmodell soll erst bis zur nächsten Sitzung stehen.

Der Haken steht im Kleingedruckten. Die Kosten für den Anschluss der Komponenten in der Fläche bleiben bei Ländern und Kommunen. Genau dort, wo die Haushalte leer sind. Philipp Amthor hat es im Interview klargestellt: Der Bund werde aus Gründen der Finanzverfassung „keine dauerhafte IT-Finanzierung der Kommunen" übernehmen (Tagesspiegel Background, Paywall). Der laufende Betrieb in Land und Kommune gehöre nicht zu den Aufgaben des Bundes.

Wie konkret das wird, zeigt FIT-Connect selbst. Für Bund und Länder ist der Dienst kostenlos. Aber am Übergang zum Fachverfahren der Kommune verlangen die Hersteller für den Adapter zwischen ihrer Software und FIT-Connect fünfstellige Beträge, pro Instanz (netzpolitik). Vendor-Lock-in im Kleinen, genau dort, wo das Geld am knappsten ist. Und die Verpflichtung hat Schlupflöcher: Ihre alten Transportwege müssen die Länder nicht abschalten, abweichende Lösungen sind erlaubt. NRW baut mit APIGATE bereits einen eigenen, verpflichtenden Landesweg parallel auf. Neuer Briefkasten an die Wand, die alten daneben hängen lassen.

Wer wissen will, wie das endet, muss nur den Rechnungshof lesen. Nach zehn Jahren und 836 Millionen Euro Dienstekonsolidierung nutzte im Schnitt nicht einmal ein Drittel der verpflichteten Behörden die zentralen Lösungen, den einheitlichen Bundesclient gerade 14 Prozent (Tagesspiegel Background, Paywall). Vor genau diesem Muster warnt der Bundesrechnungshof seit Jahren (Bundesrechnungshof). Bereitgestellt heißt eben nicht genutzt. Und verpflichtet heißt es auch nicht, solange am Ende der Kette niemand den Anschluss bezahlen kann.

Der Hebel liegt deshalb nicht im nächsten Beschluss, sondern in der Reihenfolge. Erst die Anschlussfinanzierung der Kommunen klären, dann die Pflicht scharf stellen. Andersherum entsteht wieder eine Pflicht auf dem Papier, neben der die alten Verfahren weiterlaufen. Doppelt vorgehalten, doppelt bezahlt.

Und hier wird es interessant. Drei Tage nach dem Stack-Beschluss haben sich Bund und Länder am 25. Juni auf eine neue Finanzregel geeinigt: „Wer bestellt, bezahlt". Verursacht ein neues Bundesgesetz den Ländern und Kommunen Mehrkosten von zusammen über 200 Millionen Euro, übernimmt der Bund künftig 80 Prozent (Bundesregierung). Das ist genau das Prinzip, das beim Stack-Anschluss fehlt. Der Haken liegt im Detail: Die Regel greift erst ab dem 1. September, nur bei Bundesgesetzen, und Steuer- sowie EU-Vorgaben sind ausgenommen. Die Stack-Pflicht ist aber kein Bundesgesetz, sondern ein Beschluss des IT-Planungsrats plus Selbstverpflichtung der Länder. Genau so rutscht der Anschluss an der neuen Regel vorbei. Wer will, dass der Bund ihn mitträgt, müsste die Nutzungspflicht in ein Gesetz gießen, nicht in ein Ratsprotokoll. Die Hintertür steht offen. Jemand muss nur durchgehen.

Wenn jeder abrufen darf, wozu noch ausschreiben?

Das zweite Juni-Thema wirkt technisch, ist aber grundsätzlich. Govtech Deutschland, lange eine Blackbox selbst für Insider, hat einen Cloud-Rahmenvertrag über 250 Millionen Euro an Bechtle vergeben (eGovernment). Abrufbar für Bund, Länder und Kommunen, sofern sie Mitglied sind. Der Clou liegt in der Konstruktion: Weil Govtech über Mitgliedschaft und eine Überkreuzbeteiligung mit der PD als inhouse-fähig gilt, können Mitglieder die Leistungen beziehen, ohne ein eigenes Vergabeverfahren durchführen zu müssen.

Das ist kein Einzelfall, das ist ein Muster. Die Genossenschaft govdigital macht es über sogenannte Umklappverträge (govdigital) genauso. Wer bei einer dieser Strukturen abrufberechtigt ist, kommt über wenige Verbindungsschritte an fast jeden großen Rahmenvertrag. Und damit drängt sich eine unbequeme Frage auf: Ist die Ausschreibung am Ende noch das Verfahren, oder nur noch die Eintrittskarte? Wenn ich an meinen Wunschpartner ohnehin über irgendeinen Abruf herankomme, verlagert sich der Wettbewerb dorthin, wo kaum noch jemand hinschaut.

Es gibt einen zweiten Effekt, der seltener ausgesprochen wird. Große, gebündelte Rahmenverträge sind auf große Anbieter zugeschnitten. Anfang Juni hat die FITKO eine Rahmenvereinbarung über rund 254 Millionen Euro ausgeschrieben, eine integrierte Projekt- und Produktberatung über acht Disziplinen, ausdrücklich als Generalunternehmer-Leistung mit eigener Haftung für die Gesamtabwicklung (Vergabeunterlage). Wer ein solches Volumen über acht Felder hinweg stemmen können muss, ist nicht der Fachanbieter, sondern der Generalist. Der Spezialist, der die eigentliche Lösung baut, kommt nur noch als Unterauftragnehmer durch dessen Tür, zu Konditionen, die der Generalunternehmer setzt. Aus dem Anbieter wird ein Türsteher.

Das ist aus zwei Gründen teuer. Erstens hat in der Verwaltungsdigitalisierung über weite Strecken der Mittelstand den Fortschritt gebracht, die nachnutzbaren Fachverfahren, die EfA-Dienste, die laufenden Lösungen in Ländern und Kommunen. Und die Wertschöpfung blieb in der deutschen Wirtschaft. Zweitens sind die großen Umsetzer untereinander kaum zu unterscheiden. Wenn nach einer gewonnenen Ausschreibung ganze Teams vom einen Haus ins andere wechseln, war die Auswahl nie eine fachliche, sondern eine formale. Differenzierung sieht anders aus.

Der Hebel ist deshalb nicht, die Bündelung abzuschaffen, sondern sie anders zuzuschneiden. Lose klein genug, dass ein Fachanbieter direkt anbieten kann. Rahmenverträge Open-Source-fähig und auditierbar, damit der Wettbewerb auf der Plattform echt ist und nicht nur behauptet. Und Transparenz als Bedingung, nicht als Kür. Dass IFG-Anfragen zu Govtech seit über 250 Tagen unbeantwortet beim Ministerium liegen (Tagesspiegel Background, Paywall), ist das Gegenteil davon. Bündelung ohne Einsicht ist kein Fortschritt, sondern eine größere Blackbox.

Der Pilot, der die Wand zeigt

Wie hoch die Wand ist, führt der Agentic AI Hub vor. Neun Start-ups, neunzehn Kommunen, zwanzig Pilotprojekte in drei Monaten, und einige Ergebnisse sind beachtlich: Bei Auskunftsanfragen nach der DSGVO sank die Durchlaufzeit um über 90 Prozent, bei Sitzungsprotokollen die Nachbearbeitung von rund 45 auf 10 Minuten (BMDS). Dann kommt die eigentliche Frage: Wie kommt das in die Fläche der rund 11.000 Kommunen? Das Ministerium räumt selbst ein, dass genau das noch nicht gelöst ist, und nennt es die eigentliche Aufgabe.

Es ist dieselbe Wand wie beim Stack. Die Technik funktioniert, der politische Rückhalt war der eigentliche Beschleuniger, sagen die Beteiligten. Aber in die Fläche kommt es nur, wenn die Kommunen es bezahlen können, und auch hier verweist das Ministerium darauf, dass der Bund verfassungsrechtlich nicht einspringt. Die Lösung soll ein „dynamisches Beschaffungssystem" sein, ein digitales Kaufhaus für abrufbare KI-Produkte. Womit wir wieder bei Block zwei wären: das nächste Bündelvehikel, mit derselben offenen Frage, wer es zuschneidet und wer hineinschauen darf.

Der gangbare Weg ist nicht, mit 11.000 Kommunen einzeln zu verhandeln. Er heißt Zugriff statt Beschaffung: einmal sauber nachnutzbar gemacht, über offene Standards in die Fläche gereicht. Das ist die Mechanik, die der Stack-Beschluss eigentlich verspricht, wenn man ihn unten anschließt statt oben verkündet.

Der Schalter liegt in Washington

Ein Vorgang im Juni hat gezeigt, wie schnell Abhängigkeit konkret wird. Auf Anweisung der US-Regierung hat Anthropic seine aktuellen Modelle Fable 5 und Mythos 5 gesperrt, weltweit, weil das Unternehmen seine Nutzer nicht nach Nationalität trennen kann. Was als Exportkontrolle begann, wirkt am Ende wie ein informelles Lizenzregime für KI, ohne feste Regeln und ohne Transparenz. Für die Verwaltung ist das keine Randnotiz: Wer Fachverfahren auf Frontier-Modelle aus den USA aufsetzt, gibt den Schalter aus der Hand.

Ich habe das in einem eigenen Beitrag ausführlich eingeordnet, was digitale Souveränität dann wirklich kostet und wo der gangbare Weg liegt (72 Stunden). Die Kurzfassung: Souveränität heißt, den Schalter selbst in der Hand zu behalten, über offene Modelle und europäische Alternativen, und zwar bevor man sie braucht.

Fazit

Juni war kein schlechter Monat. Der Stack wird verbindlich, die KI-Piloten liefern, der Bund übernimmt mehr Verantwortung als je zuvor. Aber an drei Stellen dieselbe Lücke: Oben wird beschlossen, unten fehlt das Geld zum Anschließen. Und auf dem Zukunftskongress, so der Eindruck aus der Ferne, war davon wenig Neues zu hören.

An Beschlüssen mangelt es nicht mehr. An der Anschlussfinanzierung schon.

Schleswig-Holstein macht es für drei Millionen. Mai 2026 im E-Government-Rückblick.

Sun, 31 May 2026 12:08:06 +0200

Ein Jahr Bundesdigitalministerium. Die Bilanz, die sich aus den Zahlen ergibt, ist ernüchternd: Die Länder haben Microsoft im Jahr 2025 rund 191 Millionen Euro überwiesen - 84 Prozent mehr als 2021. Der BMI-Rahmenvertrag liegt bei weiteren 481 Millionen Euro. Oracle kommt allein aus neun Ländern auf über 261 Millionen. Das sind keine Schätzungen. Das sind Zahlen aus parlamentarischen Anfragen.

Gleichzeitig zeigt Schleswig-Holstein, was möglich ist, wenn man aufhört zu warten: Der Standardarbeitsplatz kostet dort heute drei Millionen Euro pro Jahr statt achtzehn. Nicht durch ein Sonderprogramm, nicht durch eine neue Behörde. Durch LibreOffice statt Microsoft Office.

Ein Jahr BMDS: Das Werkzeug liegt bereit, wird aber kaum angefasst

Der IT-Zustimmungsvorbehalt war die große strukturelle Neuerung des ersten Jahres. Das Digitalministerium kann seitdem IT-Projekte anderer Ressorts prüfen und stoppen, bevor neue Abhängigkeiten entstehen. In der Theorie ist das genau das Instrument, das jahrelang gefehlt hat. In der Praxis wurden bisher gerade einmal rund 200 Projekte geprüft - bei einem Bundeshaushalt, der Hunderte von IT-Vorhaben parallel trägt.

Das ist kein Versagen des Ministeriums. Es ist ein Kapazitätsproblem mit struktureller Ursache: Wer jeden Projektstart prüfen will, braucht Kriterien, die das automatisch filtern. Nicht ein Team, das manuell entscheidet. Der Weg führt nicht über mehr Personal, sondern über andere Defaults. Wer Open Source als Standardoption in Ausschreibungsvorlagen setzt, muss proprietäre Entscheidungen aktiv begründen. Dann prüft das System, nicht der Sachbearbeiter.

Golem hat das erste Jahr des Digitalministeriums analysiert und die Lücke zwischen Ankündigung und Umsetzung klar benannt. Was jetzt fehlt, ist die nächste Entscheidung: Vergabedefaults ändern. Nicht in einer Legislatur. In den nächsten sechs Monaten.

Dabei passiert auf der Konzeptebene gerade etwas Wichtiges: Das ZenDiS hat ein Diskussionspapier zu Souveränitätskriterien vorgelegt, das digitale Souveränität messbar machen will. Die OSBA-Stellungnahme begrüßt das, setzt aber einen klaren Punkt: Messbarkeit ohne Verbindlichkeit ist Souveränitätswashing. Wer ein europäisches Rechenzentrum bucht, aber weder Quellcode einsehen noch die Roadmap beeinflussen kann, hat keine Souveränität. Er hat einen anderen Lieferanten.

Das ist die richtige Debatte. Und der Begriff trifft.

Was Schleswig-Holstein beweist

Während Berlin diskutiert, liefert Kiel Zahlen. Die Migration der Landesverwaltung von Microsoft Office auf LibreOffice hat die jährlichen Lizenzkosten für den Standardarbeitsplatz von 18 Millionen auf 3 Millionen Euro gesenkt. Das ist kein Pilotprojekt. Das ist Regelbetrieb.

Die OSB Alliance hat im Mai nachgelegt: Unter dem Titel “Trauen Sie sich, Herr Minister!” benennt sie konkrete Hebel, die heute verfügbar sind - keine neuen Gesetze, keine Haushaltsmittel. EVB-IT Musterverträge, die Open-Source-Beschaffung strukturell bevorzugen; OSS-first Vergabekriterien, die den Beweislastwechsel einleiten; Pflichtmeldung bei Neuverträgen mit denselben Herstellern, die schon die Bestandssysteme dominieren. Das sind Verwaltungshandlungen, keine Gesetzgebung.

Der Einwand, den man an dieser Stelle hört, ist immer derselbe: Das Vergaberecht lasse das nicht zu. Schleswig-Holstein hat es trotzdem gemacht. Zürich testet gerade openDesk im Echtbetrieb. Frankreich hat die DINUM-Toolbox. Die Frage ist nicht, ob es geht. Die Frage ist, wer anfängt.

💡 Drei Millionen statt achtzehn ist kein Proof of Concept. Das ist ein Referenzwert, an dem sich jede neue Beschaffungsentscheidung messen lassen muss.

Europa gibt Rückenwind

Bisher mussten Entscheider:innen in Behörden die Open-Source-Entscheidung gegen den Strom treffen. Das ändert sich strukturell: Die EU hat für den 3. Juni die Verabschiedung des Cloud Alignment and Data Act (CADA) angekündigt - Teil des Tech Sovereignty Package. Die EU gibt derzeit schätzungsweise 264 Milliarden Euro pro Jahr für US-IT-Dienstleistungen aus. CADA verpflichtet öffentliche Auftraggeber, bei neuen Cloud-Verträgen aktiv Alternativen zu prüfen und die Entscheidung zu dokumentieren.

Das ist kein Verbot. Es ist ein Begründungszwang. Wer weiterhin AWS, Azure oder Oracle bucht, muss erklären, warum keine europäische Alternative in Frage kam. Das klingt nach Bürokratie, ist aber das Gegenteil: Es macht die implizite Entscheidung für den Incumbent sichtbar. Und angreifbar.

Für Ministerien und Landesbehörden, die intern ohnehin über Souveränität sprechen, ist CADA eine Entlastung. Die Frage “Darf ich das?” stellt sich dann nicht mehr. Die Frage wird: “Warum haben wir es nicht gemacht?”

Fazit

Mai 2026 in zwei Sätzen: Die Kosten steigen weiter, aber die Beweise, dass es anders geht, liegen auf dem Tisch - mit Namen, Zahlen und Kontaktpersonen. Wer jetzt noch auf eine gesetzliche Erlaubnis wartet, wartet auf etwas, das er nicht braucht.

Das Versprechen und die Entlassung. April 2025 im E-Government-Rückblick.

Wed, 30 Apr 2025 20:00:00 +0200

Am 9. April 2025 präsentierten CDU, CSU und SPD ihren Koalitionsvertrag. 144 Seiten, Titel: „Verantwortung für Deutschland." Digitale Souveränität steht weit vorne. Open Source soll mit „ambitionierten Zielen" vorangebracht werden. Das Zentrum für Digitale Souveränität (ZenDiS) wird namentlich als Träger genannt, ebenso wie die Sovereign Tech Agency und SPRIND. Am selben Tag beschloss das Bundesinnenministerium, ZenDiS-Geschäftsführerin Jutta Horstmann abzuberufen.

Das ist keine schlechte Koordination. Das ist die Diagnose.

Ambitionierte Ziele, vakante Strategie

Was der Koalitionsvertrag zu Open Source sagt, ist inhaltlich das Richtige: offene Schnittstellen, offene Standards, das IT-Budget strategisch ausrichten. Was fehlt, ist die Verbindlichkeit. Das von der SPD angestrebte 50-Prozent-Ziel für Open Source in der Beschaffung blieb draußen. Ein Digitalbudget fehlt ebenso. Alle Vorhaben stehen unter Finanzierungsvorbehalt. „Ambitionierte Ziele" ist eine Formel, die man ohne Konsequenzen stehen lassen kann.

Horstmann war dabei nicht irgendeine Managerin. Die Linux-Expertin und Politikwissenschaftlerin hatte das ZenDiS seit Oktober 2024 strategisch aufgestellt, Kooperationen mit Frankreich und den Niederlanden aufgebaut und openDesk als Plattform sichtbar gemacht. Das BMI begründete ihre Abberufung lapidar mit der „Bündelung von Prozessen und Kompetenzen." Die Formulierung erklärt nichts. Was bleibt, ist die von netzpolitik.org beschriebene Sorge, dass das ZenDiS zur Vertriebsorganisation wird: Produkte in die Breite bringen, Umsatz erzielen, die strategische Open-Source-Mission auf der Strecke lassen.

Das Muster ist nicht neu. Deutschland gründet Institutionen für digitale Souveränität, stattet sie mit Mandat und Sichtbarkeit aus und löst dann die Personalentscheidungen davon ab, wer das Mandat eigentlich trägt. Der IT-Planungsrat hat das ZenDiS 2021 erdacht, weil die Abhängigkeit der öffentlichen Verwaltung von US-Tech-Konzernen Informationssicherheit und Innovationsfähigkeit gefährdet. Ob das ZenDiS dieses Mandat unter neuer Führung noch verkörpert, ist offen.

Was würde helfen? Das geplante Digitalministerium könnte die strategische Rolle des ZenDiS verbindlich machen: konkrete Open-Source-Anteile im IT-Budget, Reporting-Pflichten, und die Einbindung der Bundesländer als Mitgesellschafter, die das BMI seit drei Jahren verschleppt. Ambitionierte Ziele brauchen Träger. Wer den Träger schwächt, schwächt das Ziel.

💡 Das 50-Prozent-Ziel wäre gar nicht nötig gewesen. Ein klares Anteilsziel von 20 Prozent für Open Source bei Bundesbeschaffungen, verbindlich und reportingpflichtig, hätte mehr Wirkung als jede Sonntagsformel.

Was trotzdem geliefert wird

Das ZenDiS selbst lieferte im April einen konkreten Beleg: openDesk kommt zur Bundeswehr. Die MS-Office-Alternative wird künftig in den deutschen Streitkräften eingesetzt. Kein Pilotprojekt, kein Memorandum. Ein geschlossener Vertrag. Open Source im Sicherheitsbereich, mit echten Anforderungen an Verfügbarkeit und Datenschutz. Das ist der Beweis, dass das Betriebsmodell funktioniert, auch wenn das Strategiekapitel gerade vakant ist.

Gleichzeitig erzeugt Donald Trumps Handelskrieg einen Marktdruck, den keine Kampagne hätte besser herbeireden können. Europäische Software-Anbieter melden deutlich gestiegene Anfragen. Die Abhängigkeit von US-Clouds ist nicht mehr akademisch: Das Bundesinnenministerium warnte im April explizit davor, dass ein Kollaps des EU-US Data Privacy Frameworks den Einsatz amerikanischer Cloud-Dienste für die Verwaltung faktisch unmöglich machen würde.

Das öffnet ein Fenster. Die Frage ist, ob die Verwaltung vorbereitet ist, es zu nutzen. Die Antwort aus der Praxis ist ernüchternd: Die Kosten für Clouddienste beim Bund werden laut einer Golem-Analyse massiv unterschätzt, weil Betriebskosten, Skalierungseffekte und Migrationsaufwände im Beschaffungsmodell kaum abgebildet sind. Wer jetzt in Alternativen investieren will, braucht zuerst einen realistischen Blick darauf, was der Status quo eigentlich kostet.

Bei der Registermodernisierung ist derweil eine pragmatische Idee in Bewegung: Cloud-Register. Die FITKO arbeitet an einem Konzept, das die dezentrale Registerlandschaft grundlegend verändern soll. Tausende Kommunen führen heute ihre Register lokal, viele auf eigenen Servern mit eingeschränkten Betriebszeiten. Der Koalitionsvertrag will Bundesregister auf „souveränen Cloud-Plattformen" zentralisieren. Welche Plattformen das sein sollen und was „souverän" in diesem Kontext konkret bedeutet: offen. Aber die Richtung stimmt. Und das NOOTS-System, das Register miteinander vernetzen soll, braucht genau diese Infrastruktur-Vereinheitlichung als Voraussetzung.

Das Ministerium und das Wimmelbild

Ende April wurde bekannt, was viele überrascht hat: Karsten Wildberger, bisheriger CEO von MediaMarktSaturn, soll erster Bundesdigitalminister werden. Kein Public-Administration-Hintergrund, kein explizites Open-Source-Profil, dafür Erfahrung in der Digitaltransformation eines komplexen Handelsunternehmens mit Filialnetz, Legacy-IT und Personaldruck.

Ob das reicht, ist die falsche Frage. Die richtige: Mit welchem Unterbau startet das Ministerium? Der Bitkom hat ein Papier vorgelegt, das eine koordinierende Einheit vorschlägt, die ZenDiS, Zentralstelle IT-Beschaffung, Digital Service und andere als „Spinne im Netz" zusammenführt. Das Prinzip klingt vernünftig. Die Gefahr ist dieselbe, die sich bei jedem neuen Koordinationsmechanismus in der föderalen IT zeigt: ein weiterer Layer, der das Wimmelbild unübersichtlicher macht, statt es zu vereinfachen. Der Bitkom formuliert das selbst: Die neue Einheit dürfe „das Wimmelbild nicht unübersichtlicher machen." Dass man das explizit hinschreiben muss, sagt alles über das Ausgangsproblem.

Der erste sichtbare Beweis für ein funktionierendes Digitalministerium wäre deshalb kein neues Konzeptpapier. Er wäre die Benennung dessen, was künftig nicht mehr parallel weiterläuft. Welche Förderlinien auslaufen. Welche Institutionen zusammengehen. Welche Verträge nicht verlängert werden. Reduktion ist die Funktion, nicht die Schwäche.

Fazit

April 2025 in zwei Sätzen: Der Koalitionsvertrag hat Open Source zur Staatsaufgabe erklärt. Das BMI hat am selben Tag die Person entlassen, die dafür am besten qualifiziert war.

An Absichtserklärungen mangelt es nicht. An messbaren Zielen, institutioneller Kontinuität und dem Mut zur Reduktion schon.

500 Milliarden, 0,5 Prozent. März 2025 im E-Government-Rückblick.

Mon, 31 Mar 2025 20:00:00 +0200

Am 12. März startete die Deutsche Verwaltungscloud (DVC) in den Produktivbetrieb. Ina-Maria Ulbrich, Vorsitzende des IT-Planungsrats, sprach von einem „Meilenstein für die digitale Souveränität". In den Koalitionsverhandlungen zwischen CDU/CSU und SPD kursierte zeitgleich ein Zwischenstand der AG Digitales, der Deutschland-Stack, Once-Only und eine mögliche „Deutsche Digitalservice Einheit" skizzierte – und beim Thema Open Source eine auffällige Leerstelle hinterließ. Der Bundestag verabschiedete außerdem mit der alten Mehrheit das Sondervermögen Infrastruktur über 500 Milliarden Euro. Digitalisierung soll einen Teil davon bekommen. Wie viel: offen.

März 2025 ist der Monat vor dem Neustart. Was er zeigt, ist lehrreich.

Die DVC ist live. Die Frage bleibt offen.

Der Produktivstart der Deutschen Verwaltungscloud ist tatsächlich ein Fortschritt. Vier Jahre nach dem Beschluss des IT-Planungsrats zur Stärkung der digitalen Souveränität steht ein Marktplatz für Cloud-Dienste, über den Bund, Länder und Kommunen Angebote verschiedener Anbieter flexibel abrufen können sollen. Das ist keine Selbstverständlichkeit im föderalen Betrieb. Ein funktionierender Marktplatz, der Anbieterwechsel strukturell ermöglicht, ist genau das Instrument, das verhindert, dass eine Cloud-Entscheidung zur Einbahnstraße wird.

Die offene Frage, die der Start nicht beantwortet: Was ist hier eigentlich souverän? Netzpolitik hat sie gestellt und die Antwort der Bundesregierung analysiert. Die IT-Planungsrats-Definition von „Souveränität" schließt Vendor-Lock-in-Vermeidung explizit nicht ein. Eine Exit-Strategie gilt als Kann-Bedingung, nicht als Muss. Und die Integration proprietärer Angebote, etwa über sogenannte Integratoren, die Microsoft-Dienste nach DVC-Standards konfigurieren, ist ausdrücklich vorgesehen.

Das ist das bekannte Muster: Man nennt einen Rahmen souverän, weil er technisch in Deutschland betrieben wird – nicht, weil man ihn verlassen könnte. Die Delos-Cloud-Debatte der Vorjahre zeigt, wohin das führt: Microsoft bleibt, der Standort wechselt. Das ist kein Souveränitätsgewinn, das ist ein Repositionierungsgewinn für Anbieter, die das Narrativ übernehmen.

Der Weg wäre ein anderer: Die DVC-Finanzierungsentscheidung, die der IT-Planungsrat im März in Hannover traf, hätte der richtige Moment gewesen, Souveränität als Vertragsanforderung zu verankern – mit konkreten Interoperabilitätsstandards, die Open-Source-Basis voraussetzen, und einer Exit-Strategie, die als Mindestanforderung gilt, nicht als Bonus. Schleswig-Holstein hat diesen Anspruch bereits formuliert: Wer keine Exit-Option hat, hat keine Souveränität. Das ist kein Purismus, das ist Beschaffungshygiene.

0,5 Prozent – und 50 sollen es werden

Das andere Bild des März stammt aus den Koalitionsverhandlungen. Die OSB Alliance analysiert den Zwischenstand der AG Digitales und benennt, was zwischen den Zeilen steht: Der Open-Source-Anteil an den Bundesausgaben für Software-Entwicklung und Dienstleistungen lag in der vergangenen Legislaturperiode bei etwa 0,5 Prozent des Gesamthaushalts. Die SPD will diesen Anteil bis 2029 auf 50 Prozent heben. Die CDU will „ambitionierte Zielmarken definieren". Das klingt nach einer inhaltlichen Differenz. Es ist eine kategoriale: eine Seite beschreibt eine Marke, die andere beschreibt einen Prozess.

Zum Kontext: Der Bund hat Rahmenverträge über 4,8 Milliarden Euro mit Oracle abgeschlossen. Für Microsoft-Lizenzen und Schulungen wurden 1,3 Milliarden Euro vertraglich gebunden. Das ZenDiS-Budget, das genau die Open-Source-Alternative aufbauen soll, wurde im Haushalt 2024 von knapp 50 Millionen Euro auf 24,7 Millionen Euro halbiert. Wer in dieser Ausgangslage nur „Zielmarken definieren" will, ohne Institutionen, Budgets und Zeitrahmen zu benennen, beschreibt keine Digitalpolitik, er beschreibt eine Absichtserklärung.

Was fehlt, ist das, was die DMK in ihrer Sondersitzung Ende März als Kernbedingung formuliert (Tagesspiegel Background, Paywall): ein zentrales Digitalbudget mit echten Durchgriffsrechten. Nicht als Schönheitsoperation für das Organigramm, sondern als haushaltliche Steuerungsfunktion. Wer das IT-Budget der Bundesverwaltung nicht genehmigen muss, kann den Open-Source-Anteil nicht steuern. Das ist kein Politikproblem, das ist ein Mechanikproblem.

💡 Der Unterschied zwischen 0,5 und 50 Prozent lässt sich nicht durch Zielmarken schließen. Er lässt sich durch Rahmenvertragslogik schließen: Wer die nächsten Bundesrahmenverträge schreibt, entscheidet über die Ausgangslage in vier Jahren.

Das wäre kein Gesetzgebungsproblem. Das wäre eine Beschaffungsentscheidung, die ein Digitalministerium mit Digitalbudget treffen kann – wenn es den Willen dazu hat und die Mandat-Klarheit bekommt, die im März noch nicht existierte. Die Agora Digitale Transformation hatte in einem gleichzeitig erschienenen Papier genau das gefordert: eine Digitalagentur als operativer Arm, der Rahmenverträge steuert, nicht nur Konzepte schreibt.

Fazit

März 2025: Die DVC lebt, das Sondervermögen ist beschlossen, die Koalitionspositionen liegen auf dem Tisch. Und Souveränität bleibt das, was sie in Deutschland oft ist: ein Begriff, über den man sich einig ist, bevor man klärt, was er konkret bedeutet.

Die nächsten Wochen entscheiden, ob das Digitalministerium als echtes Steuerungsinstrument in den Koalitionsvertrag kommt oder als Schaufenster. Der Unterschied liegt nicht im Namen, er liegt im Budget.

Souveränität für 15 Prozent Aufschlag. Februar 2025 im E-Government-Rückblick.

Fri, 28 Feb 2025 20:00:00 +0100

Am 23. Februar 2025 wählt Deutschland einen neuen Bundestag. CDU/CSU gewinnt, Friedrich Merz wird designierter Kanzler. Ein eigenständiges Digitalministerium gilt als sicher, die Besetzung ist noch offen. Ebenfalls im Februar: Deutschland hat 2024 mehr Geld an Microsoft gezahlt als je zuvor, über 200 Millionen Euro. Und SAP-Tochter Delos Cloud veröffentlicht ihre Preisliste für die „souveräne" Microsoft-Cloud für die Verwaltung: 15 Prozent Aufschlag auf den deutschen Standardpreis.

Das ist kein Fortschritt beim Thema Abhängigkeit. Das ist Abhängigkeit mit neuem Preisschild.

Der 15-Prozent-Irrtum

Die Idee hinter Delos klingt vernünftig: Microsoft-Produkte aus deutschen Rechenzentren, betrieben von SAP, geprüft vom BSI, rechtlich abgesichert gegen US-Zugriff. SAP-Vorstand Thomas Saueressig spricht von einer „digitalen Festung", Delos-CEO Nikolaus Hagl verspricht, dass die Cloud im Krisenfall „völlig autark weiterläuft". (Tagesspiegel Background, Paywall)

Was das Modell nicht beantwortet: Wer am Ende den Code schreibt, die Roadmap bestimmt und entscheidet, welche Features geliefert werden. Die Antwort ist dieselbe wie bisher: Microsoft. Delos kauft die Technologie ab und betreibt sie. Das ist ein operativer Fortschritt für den Fall einer akuten Krise, aber kein Ausstieg aus der strukturellen Abhängigkeit.

Neue Funktion. Gleicher Hersteller. Einige Monate autarker Betrieb im Krisenfall. Das ist der Wert des Modells. Und der 15-Prozent-Aufschlag ist der Preis dafür. Wer das für digitale Souveränität hält, verwechselt Notfallbetrieb mit Unabhängigkeit.

Dabei ist das Problem nicht neu. Eine PwC-Studie aus dem Jahr 2019 stellte schon damals fest, dass die Bundesverwaltung an vielen Stellen Standard-Produkte kommerzieller Anbieter einsetzt und dabei Abhängigkeiten entstehen, die Informationssicherheit und Flexibilität gefährden. Das Fazit war damals schon klar. Die Zahlen von 2024 zeigen: Es ist seitdem nicht besser, sondern teurer geworden.

Der Pfad aus dieser Situation führt nicht über einen günstigeren oder souveräner verpackten Microsoft-Vertrag. Er führt über andere Beschaffungsentscheidungen bei neuen Projekten. Wer heute ein neues Fachverfahren, eine neue Plattform oder eine neue Infrastrukturkomponente beschafft, hat die Wahl. Wenn die Antwort immer wieder proprietäre Software lautet, liegt das seltener am Vergaberecht und häufiger daran, dass die Ausschreibungskriterien diese Wahl nicht konsequent öffnen.

Was die Praxis liefert

Genau hier setzt ein Papier an, das im Februar wenig Aufmerksamkeit bekommen hat, aber operativ relevant ist: Die Open Source Business Alliance hat am 11. Februar Vergabekriterien für eine nachhaltige Beschaffung von Open Source Software veröffentlicht.

Das Dokument adressiert ein echtes Problem: Öffentliche Auftraggeber, die OSS beschaffen wollen, geraten regelmäßig in eine Dumpingfalle. Das günstigste Angebot gewinnt, aber es stammt oft von Anbietern, die die Software weder entwickeln noch langfristig pflegen. Das Geld fließt nicht an die Community zurück, die Entwicklung stagniert, die Sicherheit leidet. Und am Ende heißt es: „Open Source hat nicht funktioniert."

Das Papier zeigt, wie Vergabekriterien jenseits des Preises gesetzt werden können, um genau das zu verhindern: Qualifikationsanforderungen an Anbieter, Nachweise über Beiträge zur Community, Anforderungen an Wartung und Weiterentwicklung. Das ist kein Manifest. Das ist eine Checkliste für den Einkauf.

💡 Wer diese Kriterien in Ausschreibungen einbaut, trifft keine Grundsatzentscheidung für Open Source. Er stellt sicher, dass das, was er beschafft, auch hält, was es verspricht.

Parallel gewinnt die Diskussion um einen europäischen Technologie-Stack an Kontur. Die Idee: Statt US-Hyperscaler oder kostspieliger nationaler Wrappers eine koordinierte europäische Antwort auf Cloud, KI-Infrastruktur und Basisdienste. Ob das konkret wird, hängt von politischen Entscheidungen ab, die noch nicht getroffen sind. Aber die Richtung stimmt, und sie ist kein Gegensatz zu kurzfristigen Maßnahmen wie Delos, sondern deren sinnvolle Ergänzung.

Nach der Wahl, vor den Entscheidungen

Die OSB Alliance-Analyse der Wahlprogramme ist ein nüchternes Dokument. Ihr wichtigster Satz steht beim CDU/CSU-Kapitel: Open Source Software wird im Wahlprogramm der CDU/CSU an keiner Stelle erwähnt. Bei der SPD ebenfalls nicht.

Die Partei, die die neue Regierung führen wird, hat digitale Souveränität als Ziel formuliert, aber das wichtigste Werkzeug dafür nicht einmal benannt. Das ist keine Katastrophe, aber es ist ein Signal: Wer Open Source in der nächsten Legislatur politisch verankern will, muss das selbst einbringen. Es kommt nicht von allein.

Das Digitalministerium gilt als sicher. Die neue Regierung würde damit ein Ressort schaffen, das es bisher nicht gab. Ein Budget von rund 19 Milliarden Euro für Digitalisierung steht im Raum. Das ist Hebelmasse. Was damit gemacht wird, entscheidet sich in den Beschaffungsregeln, nicht in den Sonntagsreden.

Golem analysiert die strukturellen Probleme treffend: Föderale Zuständigkeitszersplitterung, fehlende zentrale Steuerung, jahrelange Investition in proprietäre Systeme. Das lässt sich nicht per Ministeriumsgründung auflösen. Aber ein Ministerium, das vom ersten Tag an andere Beschaffungsdefaults setzt, kann in vier Jahren etwas verschieben.

Das wäre kein Gesetzesproblem. Das wäre ein Reihenfolge-Problem. Erst Beschaffungskriterien ändern, dann liefern, dann berichten. Nicht umgekehrt.

Fazit

Februar 2025 in zwei Sätzen: Deutschland zahlt Microsoft immer mehr, und die große Lösung kostet 15 Prozent extra. Die Werkzeuge, es anders zu machen, liegen auf dem Tisch. Jetzt braucht es eine Regierung, die sie benutzt.

Digitale Souveränität nach dem Schock. Was jetzt konkret passiert. – März 2022 im E-Government-Rückblick.

Thu, 31 Mar 2022 20:00:00 +0200

Ein Monat nach dem russischen Angriff auf die Ukraine ist die Souveränitätsdebatte in der deutschen Verwaltungs-IT angekommen. Ministerien, Behörden und IT-Dienstleister diskutieren Abhängigkeiten, die vorher als Selbstverständlichkeit galten. Das ist gut. Die Frage ist, ob aus dieser Diskussion Entscheidungen werden, oder ob der Druck nachlässt, bevor die ersten konkreten Schritte getan sind.

Denn Souveränitätsdebatten haben ein bekanntes Muster: Laut, solange der Anlass akut ist. Still, wenn der nächste Quartalsbericht kommt.

Was aus der Souveränitätsdebatte konkret wird

Die Bundesverwaltung nutzt Microsoft-Produkte in erheblichem Umfang. Lizenzen, Infrastruktur, Kollaborationswerkzeuge. Das ist kein Betriebsunfall, sondern das Ergebnis von Beschaffungsentscheidungen über Jahrzehnte, die auf Funktionalität, Preis und Marktdurchdringung optimiert haben. Nicht auf Exit-Optionen.

Der richtige nächste Schritt ist nicht die Kündigung aller Microsoft-Verträge. Das wäre operativ nicht umsetzbar. Der richtige Schritt ist eine Priorisierungsentscheidung: Welche Systeme verarbeiten besonders schützenswerte Daten? Welche davon haben tragfähige europäische oder Open-Source-Alternativen? Diese Systeme sind die Kandidaten für die erste Migrationswelle.

Was dabei hilft: Behörden, die diesen Weg bereits gegangen sind, haben Erkenntnisse, die andere nicht neu erarbeiten müssen. Schleswig-Holstein hat öffentlich dokumentiert, was eine Ablösung von Microsoft-Produkten erfordert. Das ist kein Blaupausen-Dokument, aber ein ehrlicher Erfahrungsbericht. Wer beginnen will, fängt mit solchen Berichten an, nicht mit generischen Souveränitätsstrategien.

Bundescloud: Was existiert und was noch fehlt

Deutschland hat keine leere Infrastrukturlandschaft. Die Bundescloud als Rechenzentrumsinfrastruktur des Bundes existiert. Dataport, ITDZ Berlin und weitere Landes-IT-Dienstleister betreiben eigene Cloud-ähnliche Infrastrukturen unter deutschem Recht.

Was fehlt, ist die Skalierung. Und die Standardisierung. Wer als Behörde von AWS zu einem deutschen Anbieter wechseln will, steht vor dem Problem, dass jeder Anbieter eigene Schnittstellen hat, eigene Servicekataloge, eigene Betriebsmodelle. Der Aufwand für eine Migration ist deshalb nicht nur technisch, sondern auch administrativ erheblich.

Was helfen würde: ein föderaler Rahmen, der definiert, welche Anforderungen eine souveräne Cloud für die öffentliche Verwaltung erfüllen muss, und der mehrere Anbieter zulässt, die denselben Standard erfüllen. Wettbewerb innerhalb eines gemeinsamen Standards ist besser als ein einziger nationaler Anbieter ohne Wettbewerb.

Was die OZG-Umsetzung mit Souveränität zu tun hat

Das OZG schreibt vor, was digitalisiert werden soll, nicht womit. Viele EfA-Dienste (Einer für Alle) laufen auf proprietären Plattformen oder nutzen proprietäre Komponenten. Das ist kurzfristig pragmatisch. Mittelfristig baut es genau die Abhängigkeiten auf, die die Souveränitätsdebatte gerade sichtbar macht.

Der konstruktive Umgang: OZG-Dienste, die neu entwickelt oder neu vergeben werden, sollten Interoperabilität und Austauschbarkeit als Anforderungen enthalten, nicht als Wunschliste. Offene Schnittstellen, standardisierte Datenformate, dokumentierter Quellcode. Das erhöht den Aufwand bei der Erstentwicklung minimal. Es verhindert Lock-in für Jahre.

Wer diese Anforderungen nicht in die Leistungsbeschreibung schreibt, schreibt sie implizit heraus.