Souveräne Cloud · Dr. Christian Knebel

Der Staat fährt schwarz. Oktober 2026 im E-Government-Rückblick.

Fri, 30 Oct 2026 20:00:00 +0100

Dieser Monatsrückblick hat diesmal einen Schwerpunkt. Normalerweise gehe ich hier mehrere Themen des Monats in ähnlicher Tiefe durch. Im Oktober hat ein Ereignis die Verwaltung so direkt getroffen, dass ich ihm den größten Teil des Textes gebe. Die übrigen Themen kommen am Ende kürzer.

Am 21. Oktober hat das PHP-Projekt Notfall-Updates für zwei Sicherheitslücken veröffentlicht, CVE-2026-109618 und CVE-2026-109619. Beide haben einen CVSS-Wert von 9,2, beide erlauben es Angreifern, ohne Anmeldung eigenen Code auf dem Server auszuführen. Beim Bundesamt für Sicherheit in der Informationstechnik (BSI) hielt Vizepräsident Thomas Caspers am selben Tag eine “kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates” für wahrscheinlich: “Es besteht also unverzüglicher Handlungsbedarf!” Berichtet wurde von der Warnstufe 3, Orange.

Was folgte, war eine Abschaltwelle durch alle Ebenen. Das ITZ Bund nahm mehrere Websites vorsorglich vom Netz, zeitweise waren laut KOMMUNAL auch RKI, Bundespolizei, Zoll und Bundesinnenministerium betroffen. In Hessen gingen hessen.de und die Seiten der Ministerien offline, dazu Kassel, mehrere Landkreise und zwei Unikliniken. Das Thüringer Landesrechenzentrum schaltete unter anderem Finanz- und Justizministerium ab. In Berlin traf es berlin.de und die Internetwachen der Polizei, beim Abgeordnetenhaus waren Teile der Website eingeschränkt, in Brandenburg Cottbus und mehrere Landkreise. Mainz, München, Dachau, Unna und Datteln stehen ebenfalls auf der Liste.

Deutschland war damit nicht allein. In Frankreich ließ das Innenministerium nach einer Empfehlung der ANSSI die Seiten der Präfekturen abschalten, in den Niederlanden gingen overheid.nl, MijnOverheid und DigiD vom Netz, in Finnland die öffentlichen Webdienste der Regierung über den Dienstleister Valtori. In Großbritannien waren 32 Regierungsdienste nicht erreichbar, in Australien sogar die Seite der nationalen Cyberbehörde, cyber.gov.au.

Offline heißt nicht gehackt, darauf hat die Forrester-Analystin Madelein van der Hout zu Recht hingewiesen: Die Abschaltung war eine “proportionate risk decision”. Spätestens seit dem 26. Oktober ist aber klar, dass die Vorsicht berechtigt war. Die US-Cyberbehörde CISA hat beide Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Abgeschaltet haben viele. Für die Pflege der Technologie dahinter bezahlt haben die wenigsten.

Vierzehn Jahre im Code, und einer hat für die Prüfung bezahlt

Der Fehler ist nicht neu. Betroffen sind alle Versionen zurück bis PHP 5.4, und die ist im März 2012 erschienen. Gefunden haben ihn im August Sicherheitsforscher mithilfe von Sprachmodellen: zuerst die Sicherheitsfirma Calif mit OpenAI, acht Tage später unabhängig davon Wiz, ebenfalls mit KI-Unterstützung (t3n). OpenAI-Präsident Greg Brockman kündigt an, man erwarte “many more such issues”.

Thomas Jarzombek, Parlamentarischer Staatssekretär im Digitalministerium, hat das auf LinkedIn sehr klar eingeordnet: “Software ist etwas grundlegend anderes als ein Schrank oder ein Elektroherd”. Produkte würden nie fertig, es gelte, einen durchgehenden Update- und Weiterentwicklungsprozess zu organisieren. Und: Was man bei PHP sehe, sei “keine Ausnahme oder ein einmaliges Problem, sondern im KI-Zeitalter das neue Normal”.

Für einen externen Blick in den Code bezahlt hat vorher genau eine Stelle. Das erste externe Sicherheitsaudit des PHP-Kerns seit über zehn Jahren hat 2024 die Sovereign Tech Agency bezahlt, eine Agentur des Bundes. Es brachte 17 sicherheitsrelevante Befunde und lieferte laut Sovereign Tech Agency einen Beitrag zur späteren Arbeit an der Ursache einer der beiden Lücken. Erste Hinweise auf den Fehler gab es dabei schon, gefixt wurde er damals nicht, weil sich das Entwicklerteam uneinig war und kein Angriffsweg bekannt war (t3n). netzpolitik.org nennt als Grund schlicht fehlende Ressourcen.

205.000 Euro hat die Sovereign Tech Agency 2023 und 2024 in die PHP Foundation gesteckt. Damit ist die Sovereign Tech Agency laut netzpolitik.org drittgrößte Geldgeberin der PHP Foundation, Jarzombek nennt den Bund ebenso den drittgrößten Unterstützer von PHP. Über alle Projekte hinweg hat die Sovereign Tech Agency in fünf Jahren über 60 Millionen Euro in mehr als 110 Vorhaben investiert. Die Sovereign Tech Agency handelt seit Jahren danach, dass Open Source Infrastruktur ist und Infrastruktur Wartung braucht. 💡

Der Rest des Staates fährt mit. Die PHP Foundation hat nach Auskunft ihrer Direktorin genau eine Vollzeitkraft, sie selbst, und 14 überwiegend in Teilzeit tätige Auftragnehmer. Auf der anderen Seite: Der Government Site Builder des Bundes, mit dem über 80 Bundesbehörden und -einrichtungen mehr als 250 Websites betreiben, zieht mit Version 11 auf TYPO3 und damit auf PHP um. Budget: 108 Millionen Euro über vier Jahre. Insgesamt hat der Bund von 2020 bis 2025 rund 3,1 Milliarden Euro für Software ausgegeben.

Ökonomen nennen das Trittbrettfahren. Alle nutzen das Gemeingut, kaum jemand zahlt für seinen Erhalt. Erik Möller von der Sovereign Tech Agency formuliert es so: Diese Lücke, “nicht irgendein einzelner Fehler, ist die eigentliche Schwachstelle”.

In der Verwaltung ist das Problem erkannt, Jarzombeks Beitrag zeigt das. Bei den Behörden, die PHP-Anwendungen betreiben, kommt diese Erkenntnis nach meinem Eindruck bisher kaum an. Und der Haushaltstitel, aus dem unter anderem die Sovereign Tech Agency finanziert wird, soll laut Regierungsentwurf 2027 leicht sinken, von 28,65 auf rund 28,3 Millionen Euro. Wer ein erfolgreiches Modell skalieren will, fängt so nicht an.

Wartung lässt sich kaufen

Es gibt mehrere Wege, das aktuelle Problem künftig zu vermeiden, keiner davon braucht ein neues Fachgesetz.

Der wirksamste liegt in der Vergabe. Sebastian Bergmann hat im September im Blog der PHP Foundation zwei Vorschläge von Tiffany Farriss (Drupal Association) aufgegriffen: 2 bis 5 Prozent des Auftragswerts für die Upstream-Wartung der genutzten Open-Source-Komponenten, und 20 Prozent der Wertungspunkte für nachweisbare Beiträge zu diesen Projekten. Auf das Budget des Government Site Builder umgelegt wären das zwischen 2,2 und 5,4 Millionen Euro über vier Jahre. Zum Vergleich: Die PHP Foundation hat 2025 insgesamt rund 730.000 Dollar eingenommen.

Der Vorschlag passt genauso auf Drupal, Nextcloud und viele andere populäre Open-Source-Lösungen, also auf alles, worauf die Verwaltung im großen Stil baut. Die EU-Kommission betreibt rund 770 Drupal-Seiten, die Nextcloud-basierte SIB-Box der Bundescloud hat etwa 300.000 Nutzende (PHP Foundation).

Der zweite Einstieg sind die Verträge. Die neuen EVB-IT machen Open Source seit März zum Standard in den Vertragsmustern für neue Entwicklungsprojekte. Das ist ein großer Schritt. Ein fester Wartungsanteil für die Upstream-Projekte gehört als nächstes hinein. Die Open Source Business Alliance hat dafür schon 2025 Auswahlkriterien vorgelegt: Nähe des Dienstleisters zur Community, Veröffentlichung von Änderungen upstream, Level-3-Support, Unterstützung der Lieferkette. Ihr Kernsatz: Das billigste Angebot ist meist nicht das wirtschaftlichste.

Der dritte Einstieg ist Enterprise Open Source, also Software mit Herstellersupport, bei dem die Wartung eingepreist ist. Was das wert ist, hat PHP2Shell gezeigt. Das PHP-Projekt hat reguläre Updates nur für die Versionen ab 8.2 veröffentlicht. Für 7.4 bis 8.1 gab es lediglich minimale Quellcode-Patches zum Selbstbauen, ansonsten hieß es “contact your vendor … or upgrade”. Wer einen Supportvertrag hatte, etwa über Ubuntu Pro, Red Hat oder Freexian ELTS für Debian, bekam auch für PHP 7.4 ein fertiges, getestetes Paket. Lückenlos war das nicht, auch dort war nicht jede Version abgedeckt. Der Unterschied ist die Zuständigkeit: Es gibt jemanden, der liefern muss.

Der vierte ist die Sovereign Tech Agency selbst. Jarzombek will ihr Modell skalieren und europaweit ausrollen, mit Mitteln der EU und des Digital Commons EDIC. Ein Pilot für einen europäischen Sovereign Tech Fund ist seit dem Frühjahr als eines der ersten Vorhaben des Digital Commons EDIC angekündigt, gemeinsam mit der Sovereign Tech Agency. Damit das nicht beim Pilot bleibt, braucht er einen Haushaltsansatz, der wächst.

Und wem die Kosten für solche Wartung zu hoch sind, dem sei als Beispiel das Projekt Civitas Connect ans Herz gelegt. Der Verein, in dem sich Kommunen und kommunale Unternehmen zusammengeschlossen haben, hatte für den 12. Oktober Dienstleister und Betreiber seiner Open-Source-Datenplattform eingeladen, mit einer einfachen Frage: “Wie wird aus einem erfolgreichen Open-Source-Projekt dauerhaft verlässliche digitale Infrastruktur?” Die Produkthoheit bleibt bei den öffentlichen Mitgliedern, die Unternehmen sollen sich an Pflege, Tests, Fehlerbehebung und Sicherheit beteiligen. 15 der 24 teilnehmenden Unternehmen haben eine Absichtserklärung unterschrieben, Grundsatz “Upstream first”.

Verbindliche Zusagen stehen da noch nicht drin. Ob aus der Absichtserklärung Geld und Personal werden, entscheidet sich beim nächsten Treffen am 9. November.

Wer nicht weiß, was läuft, kann nur den Stecker ziehen

PHP2Shell hat noch ein zweites Problem sichtbar gemacht. Mein Eindruck aus den Tagen danach: Viele Stellen haben vorsorglich abgeschaltet, ohne genau zu wissen, ob und wo sie betroffen sind. Der Bitkom hat am 21. Oktober geraten: “Wer Online-Anwendungen betreibt, sollte daher unbedingt prüfen, ob diese PHP verwenden …” Bei Log4Shell im Dezember 2021 klang der Rat ganz ähnlich: herausfinden, wo die Bibliothek überall steckt. Fast fünf Jahre, dieselbe Empfehlung.

Dass es anders geht, zeigen die Niederlande. Während overheid.nl, MijnOverheid und DigiD vorsorglich offline gingen, konnte die Regierung noch am selben Tag sagen, dass ein großer Teil ihrer Websites, darunter rijksoverheid.nl, kein PHP nutzt. Dafür muss man wissen, was man betreibt.

Thüringen zeigt die zweite Schwachstelle. Dort hieß es aus dem Digitalministerium: “Der Hersteller des Betriebssystems hat noch nicht für alle PHP-Versionen das entsprechende Update bereitgestellt.” Wer beim Patchen allein am Update-Kanal des Betriebssystem-Herstellers hängt, kann nur warten.

Das ist kein Einzelfall. Die ATHENE-Studie zur IT der Bundesministerien fand in mehreren Ministerien einen Apache-Webserver in einer Version, die über zwölf Jahre alt ist. Fast die Hälfte der über 2.182 aktiven kritischen Lücken stammte aus den Jahren 2015 bis 2017 (Datenstand Ende 2025). Bei PHP sieht es im Netz insgesamt nicht besser aus: Von den erreichbaren Servern mit sichtbarer Versionsangabe liefen am Tag vor den Patches 59 Prozent auf Versionen ohne Sicherheitsupdates. Und am 31. Dezember endet auch der Support für PHP 8.2.

Die Antwort darauf hat einen Namen: Software Bill of Materials, kurz SBOM, eine maschinenlesbare Stückliste aller Komponenten und Versionen. Der Cyber Resilience Act verpflichtet die Hersteller ab Dezember 2027 dazu, mindestens für die direkten Abhängigkeiten. Eine Pflicht, sie an öffentliche Auftraggeber herauszugeben, sieht er aber nicht vor. In den neuen EVB-IT ist die Übergabe einer SBOM eine Option, keine Pflicht.

Das reicht nicht. Die SBOM gehört verpflichtend in jeden Vertrag, nach dem Zuschlag, für die Lieferung und für jedes Update, und zwar vollständig. Ohne dieses Inventar lässt sich Patch-Management kaum automatisieren. Die neuen SBOM-Mindestanforderungen, die die CISA Ende Juli mit 17 Partnerbehörden veröffentlicht hat, darunter NSA, FBI und das BSI, sagen es deutlich: Für manuelle Prozesse ist das Volumen zu groß.

Open Source professionell zu betreiben heißt also: Inventar, Versionsstand, Update-Kanal, eine verantwortliche Stelle. Das haben in der öffentlichen Hand nur wenige auf dem Schirm. Ohne diese vier Dinge bleibt im Ernstfall genau eine Maßnahme, die immer funktioniert, und das ist der Stecker.

Ein Manifest für den eigenen Platz am Tisch

Themenwechsel. In diesem Monat ist ein Papier bekannt geworden, das genau diese Fragen hätte beantworten können. Govdigital, die Genossenschaft der öffentlichen IT-Dienstleister, hat ihr “Zielbild IT-Dienstleister und Govdigital 2030” schon am 24. Juni beschlossen. Präsentiert hat sie es den Mitgliedern Anfang Oktober, bei der Vorstellung des neuen “Haus der öffentlichen IT” in Berlin (Tagesspiegel Background, Paywall; ebenso). Acht Schwerpunkte stehen darin, darunter ein gemeinsames Leistungsversprechen, gebündelte Beschaffung souveräner Lösungen, die Konsolidierung und Professionalisierung des IT-Betriebs und eine neue Rollenverteilung: Flächenversorger für die kleinen Kommunen in der Region, Spezialversorger über Ländergrenzen hinweg, und für besonders kritische Leistungen mindestens zwei Anbieter, damit Ausfallsicherheit und Wettbewerb möglich bleiben. Open Source könne bei der gemeinsamen Beschaffung eine Rolle spielen, sei aber keine Voraussetzung, sagte Vorstandschef Martin Schallbruch (Tagesspiegel Background, Paywall). Öffentlich habe ich das Papier selbst nicht gefunden.

Der Druck, unter dem das Papier entstanden ist, lässt sich gut ablesen. Das ITZ Bund soll laut Referentenentwurf ab 2028 als Anstalt mit Zustimmung des BMDS auch Aufgaben für Länder und Kommunen übernehmen dürfen. Die KI-Cloud des Bundes über 250 Millionen Euro ging an zwei Konsortien, um T-Systems und SAP sowie um SVA, Schwarz Digits (STACKIT) und Codesphere. Die Betriebsplattformen der Deutschen Verwaltungscloud laufen auf IONOS und STACKIT, Dataport und IT.NRW managen sie. Und openDesk als Dienst über Govdigital betreibt zunächst exklusiv STACKIT. Das Haus der öffentlichen IT selbst versteht sich ausdrücklich als Ort “für eine stärkere Präsenz öffentlicher IT im politischen Berlin”.

Die Beteiligten sagen es selbst: Es seien “Fragen nach der Zukunft der Govdigital” aufgekommen, das Zielbild ist das Ergebnis des Strategieprozesses dazu (Tagesspiegel Background, Paywall). Ich lese das Manifest deshalb vor allem als Versuch, sich einen modernen Anstrich zu geben und im Spiel zu bleiben. Ganz ohne Substanz ist das nicht: Die Deutsche Verwaltungscloud ist seit April 2025 im Produktivbetrieb, die gemeinsame GenAI-Plattform läuft seit dem 13. Oktober. Und das Rollenmodell mit zwei Anbietern je kritischer Leistung ist richtig, weil es Wechselfähigkeit schafft.

Was fehlt, ist das Leistungsversprechen, das nur ein öffentlicher Dienstleister glaubwürdig abgeben kann. Tagesspiegel Background hält fest: “Wer künftig welche Leistungen verantwortet, bleibt bislang jedoch offen.” Die Professionalisierung des Betriebs steht als Schwerpunkt im Papier. Wie sie konkret aussehen könnte, hat PHP2Shell frei Haus geliefert: ein vollständiges Inventar für jede Kommune, automatisiertes Patch-Management und ein fester Wartungsbeitrag an die Projekte, auf denen der Verbund läuft. Ein transparentes Gesamtportfolio, das zeigt, welche Lösungen es schon gibt, ist ohnehin geplant. Das Inventar der Komponenten darunter wäre der nächste Schritt. Das wäre ein Grund, beim öffentlichen Dienstleister zu bleiben, statt direkt beim Cloud-Anbieter zu buchen. Ein guter erster Schritt wäre, das Zielbild zu veröffentlichen. Dann schaue ich es mir auch gern an und schreibe mehr dazu.

Kurz notiert

Zur Smart Country Convention vom 13. bis 15. Oktober habe ich einen eigenen Nachklapp geschrieben: Souverän ist, wer es draufdruckt. Dort geht es um das Wort, das auf fast jeder Messewand stand, und warum es ein Siegel braucht.

Der neue Digital Dependence Index der Universität Bonn und des Vodafone Instituts sieht Deutschland mit 0,73 (Datenstand 2023) auf einer Skala von 0 (unabhängig) bis 1 (vollständig abhängig) auf Rang 25 von 51 Ländern. Verschlechtert hat sich Deutschland seit 2010 vor allem bei Software und IT-Dienstleistungen, bei Plattformen liegt Europa insgesamt bei 0,98. Software und IT-Dienstleistungen sind allerdings der Teil, auf den die öffentliche Hand über ihre eigene Beschaffung am meisten Einfluss hat.

Beim Bürokratieabbau rechnen Regierung und Normenkontrollrat mit verschiedenen Zahlen. Die Bundesregierung meldet einen um mehr als zehn Milliarden Euro gesenkten Erfüllungsaufwand, im selben Bericht stehen bei den Bürokratiekosten “lediglich” rund 232 Millionen Euro Einsparung. Der Normenkontrollrat kommt auf einen Rückgang des Erfüllungsaufwands um rund 6,8 Milliarden Euro, überwiegend durch das Gebäudemodernisierungsgesetz, und auf jährliche Bürokratiekosten, die um rund 1,3 Milliarden Euro gestiegen sind. NKR-Chef Lutz Goebel weist darauf hin, dass ein Großteil der Entlastung Aufwand betrifft, “der in der Praxis noch gar nicht entstanden war”. Dazu kommen unterschiedliche Berichtszeiträume. Solange beide Seiten anders zählen, lässt sich keine Bilanz ziehen. Eine gemeinsam festgelegte Zählweise wäre der billigste Bürokratieabbau des Jahres.

Fazit und Ausblick

Am 2. und 3. November lädt die Bundesregierung zum Digital-Gipfel nach Berlin, Motto “Shaping AI: safe, sovereign, competitive”. Ein Jahr nach dem deutsch-französischen Gipfel zur digitalen Souveränität lohnt der Blick zurück. Im November 2025 gab es Investitionszusagen von über zwölf Milliarden Euro, eine deutsch-französische Taskforce und eine KI für die Verwaltung mit Mistral und SAP, deren Rahmenvertrag bis Mitte 2026 stehen sollte. Laut Digitalministerium ist er vorerst vom Tisch. Sichtbar geblieben ist vor allem das Digital Commons EDIC, und mit ihm der Pilot für einen europäischen Sovereign Tech Fund.

Ich war damals dabei und habe beim Begleitforum zur öffentlichen Beschaffung einen Workshop für das Digitalministerium gehalten. Bei der Grundfrage, was Souveränität in der Beschaffung heißt, sehe ich seitdem keinen Schritt Bewegung. Macron wollte eine klare europäische Präferenz, Merz hielt sie wohl nur in den Verwaltungen für durchsetzbar und setzte auf Sicherheitsvorgaben. Frankreich will die europäische Präferenz für Staat und Wirtschaft, Deutschland nur für die Verwaltung und über Sicherheitsvorgaben.

Am ersten Gipfeltag sitzen Jarzombek und Erik Möller von der Sovereign Tech Agency gemeinsam auf dem Panel “AI, Open Source and Digital Sovereignty”. Da wird sich zeigen, ob der Gipfel wieder schöne Fotos und Reden liefert oder eine Zahl: einen Haushaltsansatz für den europäischen Sovereign Tech Fund, oder einen festen Wartungsanteil in der Bundesbeschaffung. Abschalten kann jeder. Wartung muss man bezahlen.

Souverän ist, wer es draufdruckt. Die SCCON 2026 im Nachklapp.

Fri, 16 Oct 2026 11:34:41 +0200

“Wie schreibt man eigentlich Souveränität?” Diese Frage muss in den vergangenen Monaten in vielen Marketingabteilungen gestellt worden sein, irgendwo zwischen Standbau-Briefing und Flyer-Freigabe. Anders lässt sich nicht erklären, was ich diese Woche in Berlin gesehen habe. Auf der Smart Country Convention (SCCON), 13. bis 15. Oktober, über 650 Aussteller in drei Hallen, und das Wort stand auf fast jeder Rückwand, auf fast jedem Flyer, in fast jedem Vortragstitel. Dazu die Begleitvokabeln: “resilient”, “Open Source”, “KI”. Und dann wieder “souverän”, klar.

Die Messe hatte dafür sogar einen eigenen Tag. Der neue “Resilience Day” widmete sich laut Veranstalter “Resilienz, Souveränität und Cybersicherheit im öffentlichen Sektor”. 27.000 Quadratmeter, 30.000 Teilnehmende, 1.400 Sessions. Und ein Wort.

Damit wäre zu den bestimmenden Themen der SCCON eigentlich alles gesagt. Weil sich dazu aber kaum jemand äußern wird, nehme ich mir in diesem Nachklapp genau dieses eine Wort vor.

Souveränität ist 2026 vom Anspruch zum Druckerzeugnis geworden.

Das Wort verkauft sich, weil der Bedarf vorhanden ist

Eins vorweg, zur Ehrenrettung der Aussteller: Die drucken “souverän” auf die Wand, weil ihre Kund:innen danach fragen. Und die haben dafür gute Gründe. Ich sehe drei.

Der erste ist geopolitisch, und er hat in diesem Jahr ein Datum: den 12. Juni 2026. An diesem Tag erhielt Anthropic eine Anordnung der US-Regierung, den Zugang zu seinen beiden stärksten Modellen für ausländische Staatsangehörige zu sperren, und schaltete Fable 5 und Mythos 5 daraufhin für alle Nutzer ab. Am 1. Juli war der Zugang wieder da. Dazwischen lagen 18 Tage, in denen der Bitkom von einer Abhängigkeit “vom Wohlwollen der US-Regierung” sprach, mit unmittelbaren Auswirkungen auf “unsere Verwaltungen”. Dass es dabei um mehr als KI geht, hatte Microsoft schon ein Jahr vorher vorgeführt. Im Mai 2025 verlor der Chefankläger des Internationalen Strafgerichtshofs nach US-Sanktionen sein E-Mail-Konto. Microsoft bestreitet bis heute, Dienste gekappt zu haben. Der Gerichtshof wechselt trotzdem zu openDesk. Und vor dem französischen Senat antwortete der Rechtschef von Microsoft France im Juni 2025 unter Eid auf die Frage, ob er garantieren könne, dass Daten französischer Bürger nicht an US-Behörden gehen: “Non, je ne peux pas le garantir”.

Die Parallele zur Energiekrise zieht inzwischen die Politik selbst. Schleswig-Holsteins Digitalminister Dirk Schrödter: Nach dem russischen Angriff auf die Ukraine sei allen die Abhängigkeit bei der Energieversorgung bewusst geworden, jetzt sehe man dieselben Abhängigkeiten im Digitalen. Was damals das Gas war, ist heute das Office-Paket.

Der zweite Grund steht in der Haushaltsrechnung. Der Bund hat 2025 481,4 Millionen Euro für Microsoft-Lizenzen ausgegeben, 38 Prozent mehr als im Vorjahr. Zum 1. Juli 2026 hat Microsoft die Preise für Microsoft 365 erneut angehoben, bei einzelnen Plänen um bis zu 33 Prozent, ausdrücklich auch für Behördenkunden. Microsoft ist damit in guter Gesellschaft. Atlassian hat seine Server-Lizenzen im Februar 2024 auslaufen lassen und den Kunden die Wahl zwischen Cloud und Data Center gelassen; wer Data Center genommen hat, zahlt seit dem 17. Februar 2026 15 Prozent mehr Listenpreis. Und wer VMware einsetzt, kennt das Muster in seiner Extremform: Die europäischen Cloud-Verbände beziffern die Kostensteigerung seit der Übernahme durch Broadcom auf über 1.000 Prozent. So etwas macht ein Anbieter nur, wenn er sicher ist, dass die Kunden nicht weglaufen können. Das ist der dritte Grund.

Drittens hängt die Verwaltung technisch an wenigen Kerntechnologien, ohne die nichts mehr geht. Die vom Bundesinnenministerium beauftragte Studie von 2019 fand Microsoft Office und Windows in 96 Prozent der befragten Bundesbehörden, bei den Datenbanken stellen Oracle und Microsoft zusammen fast 80 Prozent. München hat im Herbst 2025 als erste Großstadt 194 geschäftskritische Anwendungen mit einem eigenen Score bewertet. 21 Prozent landeten in der schlechtesten Stufe, darunter gesetzlich vorgeschriebene Fachverfahren, bei denen es schlicht keinen zweiten Anbieter gibt.

So weit die Nachfrageseite. Alles nachvollziehbar, alles begründet, und seit 2019 auch aktenkundig. Neu ist, dass die Anbieter es jetzt entdeckt haben. Und was sie daraus machen.

Sieben Arten, souverän zu sein, ohne es zu werden

Das Wort auf den Messewänden ist überall dasselbe. Gemeint ist jedes Mal etwas anderes. Ich habe mitgezählt und bin auf sieben Varianten gekommen.

Souverän heißt: Das Rechenzentrum steht in Deutschland. Microsoft verspricht für seine Sovereign Public Cloud, dass “customer data stays in Europe, under European Law”. AWS eröffnete im Januar in Brandenburg eine Region, die “operated exclusively by EU residents” wird. Beides ändert nichts an der Rechtslage. Das vom Bundesinnenministerium beauftragte Gutachten der Universität zu Köln stellt fest, dass der CLOUD Act “unabhängig davon” greift, ob Daten “in den USA oder im Ausland gespeichert sind”, und dass ausländische Tochtergesellschaften “in der Regel der Herausgabepflicht” unterliegen. Wo der Server steht, hilft also nur begrenzt, solange der Betreiber amerikanischem Recht unterliegt.
Souverän heißt: Eine deutsche GmbH betreibt es. Die Delos Cloud ist das prominenteste Beispiel: Microsoft-Technologie, betrieben von Arvato Systems, Eigentümerin eine SAP-Tochter, laut gemeinsamer Pressemitteilung “die erste souveräne Hyperscale-Cloud”. Der Delos-Geschäftsführer selbst räumte 2024 ein, die Cloud ließe sich nur einige Monate unabhängig von Microsoft betreiben, Souveränität also “nur mit Ablaufdatum”. SAP-Vorstand Thomas Saueressig nennt das trotzdem “extrem souverän. Quasi der Goldstandard.” Die Open Source Business Alliance (OSBA) hat für dieses Modell ein Wort: Sovereignty Washing. Der europäische Anbieter ist dann nur noch die “Hülle” um die Software eines außereuropäischen Hyperscalers.
Souverän heißt: Uns gehört die Firma selbst, uns kann keiner reinreden. So argumentieren die deutschen und europäischen Cloud-Anbieter, und von den sieben Varianten ist das die ernsthafteste, weil Eigentum und Rechtsraum in jedem Kriterienkatalog stehen. Nur reicht es eben nicht. Mit einer europäischen Gesellschafterstruktur hat man die Eintrittskarte, mehr erst einmal nicht. Wer darauf proprietäre Software betreibt, deren Code niemand prüfen kann, hat das Problem mit den US-Behörden gelöst und den Lock-in behalten.
Souverän heißt: Wir machen was mit Open Source. Wer macht das nicht. Nur sagt eine Open-Source-Lizenz noch nichts darüber, wer das Ding betreibt und wer es kontrolliert. Ein Open-Weight-Modell aus Kalifornien, gehostet in Frankfurt, wird dadurch nicht europäisch, und die Open Source Initiative hält Metas Llama-Modelle ohnehin für “still not Open Source by any stretch of the imagination”. Noch eine Stufe weiter geht “OpenAI for Germany”: von SAP und OpenAI offiziell als “sovereign” beworben, läuft es laut derselben Pressemitteilung auf der Delos Cloud “running on Microsoft Azure technology”. Ein US-Modell auf einer US-Plattform, betrieben von einer deutschen GmbH. Dreimal souverän?
Souverän heißt: Wir verkaufen Ihnen die Hardware, mit der Sie selbst souverän werden. Die Telekom startete ihre Industrial AI Cloud mit bis zu 10.000 Nvidia-GPUs unter dem Titel “Für ein souveränes Deutschland”, und Nvidia definiert “Sovereign AI” praktischerweise als Fähigkeit einer Nation, KI mit eigener Infrastruktur zu produzieren. Die Chips kommen aus Kalifornien, die Software, mit der man sie programmiert, auch. Souverän ist hier leider nur der Stromanschluss und das Blech.
Souverän heißt: Die KI kommt aus Europa. Bund und Frankreich kündigten im November 2025 mit Mistral und SAP eine “sovereign AI for public administration” an, ein Rahmenvertrag sollte bis Mitte 2026 stehen. Im Oktober erklärte das Digitalministerium, den habe nie jemand unterschrieben. Souverän ist hier bisher vor allem die Pressemitteilung. Kommt da noch mehr?
Souverän heißt: Wir haben ein C5-Testat. Das Testat des Bundesamts für Sicherheit in der Informationstechnik (BSI) prüft Informationssicherheit, nicht die Immunität gegen Drittstaatenrecht. Trotzdem steht es in dieser Messewoche in Pressemitteilungen als Souveränitätsnachweis. In derselben Mitteilung sagt die Vertreterin des Zentrums für Digitale Souveränität (ZenDiS) den Satz, der auf jede Rückwand gehört hätte: “Digitale Souveränität entsteht nicht durch ein einzelnes Produkt.”

Souveränitäts-Washing ist also in vollem Gange, und zwar quer durch die Branche, vom Hyperscaler bis zum deutschen Mittelständler. Peter Ganten von der OSBA hat es im vergangenen Jahr auf den Punkt gebracht: “Wenn ein Wort im Trend liegt, klebt das jeder bei sich drauf.” 25 europäische Cloud-Chefs warnten im März die EU-Kommission in einem offenen Brief ausdrücklich vor “sovereignty washing”. Dabei hat jeder einzelne Anbieter recht, dass sein Kriterium ein Souveränitätskriterium ist.

Also: Jeder einzelne irrt, wenn er behauptet, es sei das einzige.

Für den nächsten Messebesuch habe ich mir deshalb drei Fragen notiert: In welcher Dimension? Auf welcher Stufe? Und wer außer Ihnen hat das geprüft? Wer die drei beantworten kann, darf das Wort drucken.

Souveränität ist kein Frühstücksbuffet

Dabei ist das Wort längst definiert, seit fünf Jahren, und zwar von den Bedarfsträgern selbst. Der IT-Planungsrat hat im März 2021 die Strategie zur Stärkung der digitalen Souveränität beschlossen. Danach ist digital souverän, wer seine Rollen in der digitalen Welt “selbstständig, selbstbestimmt und sicher” ausüben kann, gemessen an drei Zielen: Wechselmöglichkeit, Gestaltungsfähigkeit und Einfluss auf Anbieter. Vom Standort steht da nichts, von der Gesellschafterstruktur auch nicht. Beides kann helfen, die drei Ziele zu erreichen. Ein Ziel ist es für sich genommen nicht.

Im Januar habe ich an dieser Stelle noch geschrieben, das Wort sei undefiniert und werde den Anbietern als Etikett überlassen. Da muss ich mich korrigieren. Definiert ist es. Angewendet wird es nicht. Und seitdem ist die Lage sogar besser geworden. Das BSI hat im April mit C3A einen Kriterienkatalog veröffentlicht, der die Souveränitätseigenschaften von Cloud-Diensten in sechs Dimensionen prüfbar macht, von der strategischen über die rechtliche bis zur Lieferketten-Souveränität. Ein C5-Testat muss man dort schon mitbringen, um überhaupt geprüft zu werden. Das ZenDiS hat im März 20 Kriterien in vier Kategorien zur Konsultation gestellt und auf der SCCON den Katalog als Basis für ein Messmodell vorgestellt. Die EU-Kommission bewertet ihre eigenen Cloud-Vergaben seit Oktober 2025 nach einem Framework mit acht Zielen und fünf Stufen, von SEAL-0 “No Sovereignty” bis SEAL-4 “Full Digital Sovereignty”. Und der im Juni vorgelegte Cloud and AI Development Act (CADA) will vier gesetzliche Vertrauensstufen einführen, mit Stufe 1 als Mindestanforderung für jede öffentliche Vergabe. Was CADA kann und wo es nicht reicht, habe ich im Juni beschrieben.

Allen diesen Katalogen ist zweierlei gemeinsam. Sie messen in mehreren Dimensionen gleichzeitig. Und sie kennen “souverän” gar nicht als Zustand, bei ihnen gibt es davon nur mehr oder weniger. Das EU-Framework ist dabei am konsequentesten. Die Gesamtstufe eines Angebots ist die niedrigste Stufe in irgendeinem der acht Ziele. Wer in sieben Kategorien glänzt und in einer bei null steht, steht insgesamt bei null.

Souveränität ist kein Frühstücksbuffet, an dem man sich nimmt, was einem passt. Sie ist eine Kette, und die hält, was das schwächste Glied hält.

Daraus lässt sich eine Arbeitsdefinition ableiten, die auf jeden Flyer passen würde: Digitale Souveränität ist der Grad, in dem eine Verwaltung für ein konkretes System den Anbieter wechseln, die Technik gestalten und ihre Bedingungen durchsetzen kann. Dafür braucht es viele Kriterien, jedes für sich bewertet, und am Ende zählt das schwächste. Was herauskommt, ist eine Zahl zwischen 0 und 100 Prozent, mit der man rechnen und vergleichen kann. München macht genau das seit einem Jahr auf einer Skala von 1 bis 5, und das Ergebnis war unbequem genug, dass man es ernst nehmen muss.

Was jetzt noch fehlt, ist das Siegel

Auf der Rückfahrt habe ich mich dann gefragt: Wenn Definition, Kriterien und Stufen alle da sind, warum druckt trotzdem jeder, was er will? Die Antwort ist unbequem einfach. Weil es niemand verbietet. Es gibt keine Stelle, die das Wort vergibt, und keine, die es wieder einsammelt.

Das hatten wir schon einmal. Bis 1978 konnte jeder Hersteller “umweltfreundlich” auf seine Verpackung schreiben. Dann vergab am 5. Juni 1978 erstmals eine Jury den Blauen Engel, das erste Umweltzeichen der Welt. Sein Bauplan ist 48 Jahre später ziemlich genau das, was der Souveränitätsdebatte fehlt: Das Umweltministerium ist Zeicheninhaber, das Umweltbundesamt entwickelt die Kriterien, eine weisungsfreie Jury aus 15 Mitgliedern aus Verbänden, Wissenschaft, Kommunen und Industrie beschließt sie, die RAL gGmbH prüft die Anträge, und die Kriterien stehen öffentlich im Netz. Heute tragen über 70.000 Produkte das Zeichen. Seit 2020 gibt es ihn sogar für Software, und ein Prüfbereich dort heißt “Nutzungsautonomie”: offene Datenformate, Deinstallierbarkeit, Modularität. Das ist näher an Wechselmöglichkeit und Gestaltungsfähigkeit als jedes IT-Label, das heute Souveränität verspricht.

Denn solche Labels gibt es, nur prüfen sie etwas anderes. “IT Security made in Germany” verlangt einen Hauptsitz in Deutschland, “Software Made in Germany”, seit Februar unter Schirmherrschaft des Digitalministeriums, verlangt Sitz, Entwicklung und Support in Deutschland. Ob ich an den Code komme, ob ich Einfluss auf die Roadmap habe, ob ich wieder herauskomme: Danach fragt keines davon. Geprüft wird im Kern die Postadresse. Frankreich zeigt seit 2022, dass es anders geht. Die ANSSI-Qualifikation SecNumCloud verlangt, dass außereuropäische Eigentümer nicht mehr als 24 Prozent einzeln und 39 Prozent zusammen halten dürfen. Rund ein Dutzend Angebote haben das bisher geschafft. Das sind wenige. Aber bei denen weiß man, was man hat.

Und in Deutschland vergibt sich der Markt die Siegel selbst. Die Schwarz-Gruppe hat im April mit ES³ ein eigenes Souveränitäts-Siegel mit vier Reifegraden vorgestellt, geprüft von einer Wirtschaftsprüfungsgesellschaft, vergeben an die eigenen Dienste. Ich mache dem Unternehmen daraus keinen Vorwurf, das ist Marketing, und zwar gutes. Nur hat ein Siegel, das der Geprüfte selbst herausgibt, den Wert einer Produktbroschüre mit Prüfvermerk. Der Blaue Engel wäre nie etwas geworden, hätte ihn die Waschmittelindustrie vergeben.

Deshalb meine ich das ernst: Deutschland braucht ein Souveränitätssiegel mit der Governance des Blauen Engels. Zeicheninhaber ist das Digitalministerium. Die Kriterien kommen aus dem, was vorliegt: C3A vom BSI für die Cloud, der ZenDiS-Katalog für Anwendungen und Organisation. Eine unabhängige Jury, in der Länder-CIOs, Kommunen, Datenschutzaufsicht, Wissenschaft und beide Lager der Industrie sitzen, OSBA wie Bitkom. Eine Prüfstelle, die vergibt und entzieht. Mehrere Stufen, damit aus “souverän” eine Zahl wird, mit der sich Angebote vergleichen lassen. Und eine Mindeststufe in jeder öffentlichen Vergabe, so wie CADA sie für Europa ohnehin vorsieht.

Ob das ein eigenes Institut braucht oder beim ZenDiS angedockt wird, das sich in dieser Woche eine Säule “Souveränitätsmanagement” mit regelmäßigen Lagebildern zu Abhängigkeiten gegeben hat (Tagesspiegel Background, Paywall), weiß ich nicht. Dass das Digitalministerium diese Pläne bisher zurückhaltend kommentiert und eine eigene Bestandsaufnahme der Abhängigkeiten im April noch für nicht erforderlich erklärt hat, spricht eher für eine Stelle mit eigenem Mandat. Österreich ist da einen Schritt weiter: Sieben Leitbetriebe fordern seit Juli ein “Gütesiegel für Souveränität” für die öffentliche Beschaffung. Der Weg ist nicht neu. Er wird nur nicht genommen.

Fazit

Die SCCON 2026 hat gezeigt, dass Souveränität angekommen ist. Im Marketing. Ob sie auch in den Rechenzentren und in den Verträgen angekommen ist, konnte die Messe nicht zeigen. Das kann derzeit niemand, weil es niemand prüft. An Definitionen mangelt es nicht. An Kriterien auch nicht mehr. An der Stelle, die beides verbindlich macht, schon.

Es bleibt abzuwarten, welche Kuh im Oktober 2027 durchs SCCON-Dorf getrieben wird. Meine Wette: dieselbe.

72 Stunden. Wie schnell uns KI abhängig macht – und was digitale Souveränität jetzt wirklich kostet

Mon, 15 Jun 2026 16:36:23 +0200

Am Freitag, den 12. Juni, um 17:21 Uhr Ostküstenzeit, bekam Anthropic einen Brief vom US-Handelsministerium. Unterzeichnet von Minister Howard Lutnick. Inhalt: Die beiden neuen KI-Modelle Fable 5 und Mythos 5 dürfen für niemanden ohne US-Staatsbürgerschaft mehr laufen, innerhalb wie außerhalb der USA. Weil das Unternehmen seine Nutzer nicht zuverlässig nach Pass sortieren kann, hat es beide Modelle kurzerhand für alle abgeschaltet. Auch für die eigenen Mitarbeitenden. (heise online, the decoder)

Die Modelle waren zu diesem Zeitpunkt 72 Stunden alt.

Das ist kein Szenario aus einem Strategiepapier. Das war letzte Woche. Und für die Open Source Business Alliance ist es ein „Weckruf für Europa". Ich würde es nüchterner formulieren: Es ist der bisher deutlichste Beleg für etwas, das ich seit Jahren sage. Die Abhängigkeit von US-Technologie ist kein Risiko, das irgendwann eintreten könnte. Der Schalter existiert, und er wird benutzt. Erst bei der Cloud, als Trump den Schlüssel dazu in der Hand hatte, jetzt bei der KI.

Der eigentlich unangenehme Teil ist aber nicht der Vorfall. Es ist die Geschwindigkeit, mit der wir uns überhaupt erst in diese Lage gebracht haben.

Warum KI schneller abhängig macht als Microsoft

Bei Microsoft hat das zwei Jahrzehnte gedauert. Die Abhängigkeit ist über Beschaffungen entstanden, über Lizenzverträge und Rahmenvereinbarungen. Jede einzelne davon dokumentiert, ausgehandelt, von jemandem unterschrieben. Man kann finden, dass viele dieser Unterschriften ein Fehler waren. Aber es waren Entscheidungen. Allein zehn Bundesländer haben seit 2021 zusammen über 686 Millionen Euro an Microsoft gezahlt, mit im Schnitt fast 17 Prozent Steigerung pro Jahr. Und schon vorher war klar: Souveränität bei Microsoft gibt es bestenfalls gegen Aufpreis.

Bei KI läuft das anders. Hier entsteht die Abhängigkeit ohne eine einzige formale Entscheidung.

Sie kommt von unten. Nicht der CIO beschließt den Einsatz. Es ist die Kollegin, die das nächste Protokoll in ein Chatfenster kopiert, der Kollege, der seinen Vermerk dort gegenlesen lässt, das Sachgebiet, das sich die Bürgeranfrage zusammenfassen lässt. Kein Vergabeverfahren, kein Migrationsprojekt, kein Personalratsbeschluss. Das Werkzeug ist an der Tür kostenlos, die Ergebnisse sind verblüffend gut, und die Gewöhnung ist längst da, bevor jemand zum ersten Mal nach Datenabfluss, Vertragslage oder Ausstiegsoption fragt.

Wofür Microsoft 25 Jahre gebraucht hat, reichen bei KI 25 Tage. Am Ende dieser 25 Tage steht eine Organisation, deren Arbeitsfähigkeit an einem Dienst hängt, den sie nie beschafft, nie geprüft und nie vertraglich abgesichert hat. Souveränität war für mich nie ein Bekenntnis, sondern eine Architekturentscheidung. Bei KI wird diese Entscheidung gerade getroffen, nur trifft sie niemand bewusst.

Die Rechnung, die niemand eingepreist hat

Dass diese Werkzeuge kostenlos oder fast kostenlos sind, ist kein Geschenk. Es ist Kundengewinnung auf Pump.

Die Zahlen dahinter sind öffentlich und unbequem. Allein die Inferenz, also das reine Beantworten der Anfragen, hat sich bei OpenAI im Jahr 2025 vervierfacht und die bereinigte Bruttomarge von 40 auf 33 Prozent gedrückt. Für die Rechenleistung sind bis 2030 rund 600 Milliarden Dollar veranschlagt, bei einem für denselben Zeitraum erhofften Umsatz von 280 Milliarden. (the decoder) Und es zahlt ja nur ein Bruchteil der Nutzer überhaupt etwas. Der Rest wird quersubventioniert, um Marktanteile zu sichern.

Eine solche Lücke schließt sich nicht von selbst. Sie schließt sich über genau die Mechanismen, die wir gerade in Echtzeit beobachten. Rate Limits, die dann greifen, wenn man das Werkzeug am dringendsten braucht. Aufgeteilte Nutzungskontingente. Aufschläge für die automatisierte, „agentische" Nutzung. Und die Tarife, die nach oben gehen, sobald die Lockphase vorbei ist.

Die wichtigste Frage stellt beim Einstieg trotzdem niemand. Was muss dieser Dienst eigentlich kosten, damit er sich trägt? Und wer zahlt diesen Preis, wenn die Lockangebote auslaufen? Wer seine Prozesse heute auf eine subventionierte Gratisleistung stützt, baut auf einen Preis, den er nicht kennt, festgelegt von einem Anbieter, den er nicht wechseln kann.

Souveränität ist kein Etikett. Sie ist eine Skala.

Damit sind wir bei dem Begriff, der inzwischen alles und nichts heißt: digitale Souveränität. Das Problem ist nicht neu. Schon im Januar habe ich über Souveränität ohne Definition geschrieben. Bei KI wiederholt sich das im Zeitraffer. „Souveräne KI" steht heute auf Angeboten, bei denen außer dem Standort des Rechenzentrums nichts souverän ist.

Es lohnt sich deshalb, einmal zu sortieren, was eigentlich gemeint sein kann:

Das BSI definiert digitale Souveränität als die Fähigkeit, „Rollen in der digitalen Welt unabhängig, selbstbestimmt und sicher ausüben zu können", und übersetzt das mit seinem Kriterienkatalog C3A in prüfbare Anforderungen, gerade mit Blick auf die US-Politik.
Das Zentrum für Digitale Souveränität (ZenDiS) versteht darunter vor allem, kritische Abhängigkeiten von einzelnen proprietären Anbietern zu lösen, und betreibt mit openDesk die offene Alternative dazu.
Die EU-Kommission hat mit dem Cloud and AI Development Act gerade vier Souveränitätsstufen für die Cloud definiert, von der EU-Datenhaltung bis zur vollständig europäischen Lieferkette.

Überträgt man diese Logik auf KI, ergibt sich eine einfache Skala.

Am unteren Ende steht das Marketing-Label. Ein US-Modell, gehostet in einer „EU-Region", mit einem Datenschutz-Beiblatt. Das verschiebt den Speicherort, nicht die Kontrolle. Der CLOUD Act reicht weiterhin durch, der Schalter bleibt in Washington.

In der Mitte liegt konfigurierbare Kontrolle. Dedizierte Instanzen, vertragliche Zusicherungen, Auditierbarkeit. Besser, aber die Verfügbarkeit hängt am Wohlwollen und an der Rechtslage des Anbieters. Fable 5 hat gezeigt, wie schnell sich beides ändert.

Am oberen Ende steht echte Souveränität im Sinne von offenen Modellen, die man selbst betreibt, auf eigener oder europäischer Infrastruktur wie dem Sovereign Cloud Stack. Ein Modell mit offenen Gewichten auf der eigenen Maschine kann niemand per Brief abschalten. Es läuft einfach weiter.

Das Problem ist nicht, dass es das obere Ende nicht gäbe. Das Problem ist, dass das meiste, was sich „souverän" nennt, am unteren Ende sitzt, und dass kaum jemand weiß, wo seine eigene Lösung auf dieser Skala eigentlich steht. Genau das zu wissen, ist die eigentliche Kompetenz. Nicht das Bekenntnis zur Souveränität, sondern die ehrliche Verortung.

Wie weit Anspruch und Realität auseinanderliegen, zeigt die aktuelle Red-Hat-Studie unter deutschen IT-Entscheidern. Nur 57 Prozent haben überhaupt eine Exit-Strategie, falls ihr KI-Anbieter den Zugang einschränkt. 46 Prozent wissen nicht vollständig, wo ihre Daten verarbeitet werden. Und nur 30 Prozent haben eine ausgereifte Governance für ihre KI-Agenten. (OSBA zur Red-Hat-Studie) Abhängigkeit, kein Ausgang, kein Überblick über die Daten. Das ist die Lehrbuchbeschreibung von Erpressbarkeit.

Wie viel Souveränität können wir uns leisten?

Souveränität kostet Geld und Disziplin. Das ist der ehrliche Grund, warum wir sie immer wieder verschieben. Eigene Modelle zu betreiben, Workloads zu trennen, Ausstiegsszenarien durchzuspielen, das ist teurer und unbequemer, als sich ins nächste Gratis-Angebot einzuloggen.

Aber die Rechnung hat zwei Seiten. Auf die andere gehören der CLOUD Act, die Microsoft-Kosten, die in mehreren Ländern seit Jahren um knapp 17 Prozent jährlich steigen, und jetzt eine KI, die nach 72 Stunden abgeschaltet werden kann. Die Frage ist also nicht nur, wie viel Souveränität wir uns leisten können. Sondern auch, wie viel Abhängigkeit wir uns noch leisten wollen, wenn die Schlagzeilen offenbar im Wochentakt kommen, gern freitagnachmittags.

Die Antwort ist kein Alles oder Nichts. Niemand muss ab morgen jedes Modell selbst hosten. Souveränität ist eine Portfolio-Entscheidung, Workload für Workload, sortiert nach Sensibilität. Die Bürgeranfrage mit personenbezogenen Daten gehört nicht auf dieselbe Stufe wie die Formulierungshilfe für eine Pressemitteilung. Wer das trennt, darf den Komfort kommerzieller Modelle dort nutzen, wo er vertretbar ist, und behält die Kontrolle dort, wo sie zählt.

Der Weg dahin ist nicht neu, er wird nur selten gegangen. Er beginnt mit drei Schritten, die keine Gesetzesänderung brauchen:

Eine ehrliche Inventur, wo KI im Haus schon genutzt wird, meist breiter und unkontrollierter als gedacht.
Eine Einteilung der Anwendungsfälle nach Sensibilität.
Für die sensiblen Fälle eine dokumentierte Prüfung, ob eine offene, selbst betreibbare Alternative existiert, und zwar mit der Begründungslast beim Einkauf der Abhängigkeit, nicht beim Einsatz der offenen Lösung.

Dass das funktioniert, muss man nicht glauben, man kann es nachrechnen. Schleswig-Holstein hat seinen digitalen Standardarbeitsplatz auf offene Software umgestellt und die jährlichen Kosten dafür von 18 auf 3 Millionen Euro gedrückt. Das ist keine ideologische Entscheidung, das ist Verwaltungsökonomie.

💡 Open Source ist auch hier kein Kostenspar-Argument, sondern ein Souveränitäts-Argument. Wer offene Modelle einsetzt, hat keinen Lock-in, kann selbst betreiben und prüfen, und niemand schickt ihm freitagabends einen Brief.

Fable 5 hat ein Zeitfenster geöffnet, in dem solche Entscheidungen Aufmerksamkeit bekommen. Es schließt sich schnell wieder. Was es jetzt braucht, sind Verfahren. Keine Bekenntnisse.

Digitale Souveränität auf vier Stufen: Was CADA wirklich regelt - und zwei Stellen, an denen es noch nicht reicht

Mon, 08 Jun 2026 22:46:12 +0200

70 Prozent des europäischen Cloudmarkts liegen bei drei Unternehmen: Microsoft, Amazon Web Services und Google. Der Marktanteil europäischer Anbieter hat sich in weniger als zehn Jahren fast halbiert - von 29 Prozent im Jahr 2017 auf rund 15 Prozent heute. Gleichzeitig fließen jährlich schätzungsweise 264 Milliarden Euro aus dem EU-Wirtschaftsraum ab, während die Abhängigkeit von US-Infrastruktur wächst.

Das ist der Kontext, in dem die EU-Kommission am 3. Juni 2026 ihr sogenanntes Tech Sovereignty Package vorgelegt hat. Kern des Pakets: der Cloud and AI Development Act - kurz CADA. Dazu kommen ein Chips Act 2.0, eine Energieroadmap und eine EU-weite Open-Source-Strategie.

Was steckt da drin? Was bedeutet das für öffentliche Verwaltungen in Deutschland? Und wo bleibt der Vorschlag hinter seinen eigenen Ambitionen zurück?

Was CADA ist - und was es nicht ist

CADA ist kein US-Bann. Das ist das erste Missverständnis, das sich in der Debatte der letzten Tage hartnäckig hält.

Das Gesetz definiert vier Souveränitätsstufen für Cloud-Dienste, die aufeinander aufbauen. Welche Stufe für welchen Anwendungsfall gilt, entscheiden nicht Brüssel und nicht Berlin zentral - sondern die Behörden selbst im Rahmen einer vorgeschriebenen Risikoanalyse. Die Kommission gibt Methode und Kriterien vor; die Mitgliedstaaten wenden sie an.

Schauen wir uns die vier Stufen konkret an:

Level 1 ist die Basisstufe: Daten müssen innerhalb der EU verarbeitet werden, der Anbieter braucht eine europäische Niederlassung. US-Hyperscaler wie AWS, Microsoft Azure oder Google Cloud sind hier weiterhin zugelassen - solange sie eine EU-Tochter betreiben. Die Kommission schätzt, dass rund 70 Prozent der Anwendungsfälle im öffentlichen Sektor auf diesem Level landen.

Level 2 adressiert den „Kill Switch" - die Sorge, dass ein Drittstaat jederzeit Dienste einschränken oder Daten abgreifen könnte. Anbieter müssen nachweislich verhindern, dass Drittstaaten-Behörden auf Kundendaten zugreifen oder den Dienst stören können. Sicherheitsbehörden, Grenzschutz, kritische Infrastrukturen sollen mindestens auf diesem Level operieren.

Level 3 ist der Punkt, ab dem es für US-Hyperscaler real problematisch wird. Verschlusssachen dürfen hier in die Cloud - aber nur bei Anbietern, die von Drittstaaten-Gesetzen unabhängig sind, die Sicherheitsbehörden Datenzugriff ermöglichen. Das Problem: Der US Cloud Act tut genau das. Kommissionsvizepräsidentin Henna Virkkunen sagte es bei der Vorstellung des Pakets ohne Umschweife: „Es ist schwer, mit dem US Cloud Act dieses Level zu erreichen." Hinzu kommt eine Anforderung an die Staatsbürgerschaft der Mitarbeitenden - sie müssen aus der EU kommen und können auf Kundenwunsch sicherheitsüberprüft werden. Die Kommission schätzt den Anwendungsbereich auf rund neun Prozent der Fälle.

Level 4 ist die höchste Stufe: vollständige Kontrolle über den gesamten Software-Stack, europäische Lieferkette, keine außereuropäischen Anbieter. Verteidigung, Justiz, Strafverfolgung. Geschätzter Anwendungsbereich: ein Prozent.

Wichtig zu verstehen: Die Kommission sieht Unternehmen der Privatwirtschaft grundsätzlich nicht als verpflichtet an, nach CADA zu beschaffen. Es gibt eine Kann-Regel. Gleichzeitig behält sich die Kommission vor, in „hochkritischen Sektoren" durch weitere Rechtsakte auch private Unternehmen einzubeziehen - etwa die Rüstungsindustrie oder NIS-2-regulierte Sektoren.

Das ist der Rahmen. Jetzt kommen die zwei Debatten, die darin stecken.

Debatte 1: Souveränität oder Protektionismus?

Die EU-Kommission hat ihren eigenen Vorschlag mit einem ausdrücklichen Satz versehen: Das Paket bedeute „keine Isolation, keinen Protektionismus und keine technologische Abkopplung".

Auf der anderen Seite steht CCIA Europe - der Verband, der unter anderem große US-Tech-Unternehmen vertritt - und beschreibt CADA als „direktes Rezept für eine fragmentierte Diskriminierung in ganz Europa auf 27 verschiedene Arten". Der Vorwurf: Durch den Ausschluss bewährter internationaler Anbieter aufgrund ihrer Herkunft zwinge die Kommission Nutzer:innen in ein Korsett aus weniger wettbewerbsfähigen Alternativen.

Das ist die Lobby-Position. Aber das strukturelle Argument dahinter ist nicht falsch.

Das Problem liegt nicht im Ziel, sondern in der Architektur der Entscheidung. CADA delegiert die Stufenzuweisung an die Mitgliedstaaten. Das klingt nach Subsidiarität, ist aber in der Praxis eine Einladung zur nationalen Interpretation. Und hier trennen sich Frankreich und Deutschland.

Frankreich hat eine längere Tradition aktiver Industriepolitik im Digitalen - von der Förderung nationaler Cloud-Anbieter bis hin zur Frage, welche US-Dienste für sensible staatliche Prozesse überhaupt infrage kommen. Frankreich wird Level-3-Anforderungen breiter und früher anwenden. Deutschland hingegen steht unter doppeltem Druck: Ein großer Teil der Verwaltungs-IT läuft heute auf US-Cloud, und es fehlen sowohl Haushaltsmittel als auch einsatzbereite europäische Alternativen für viele Anwendungsfälle.

Das Ergebnis: 27 Mitgliedstaaten mit 27 unterschiedlichen Auslegungen, was „souverän" bedeutet. Das ist kein europäisches Souveränitäts-Framework - das ist ein europäisches Fragmentierungs-Risiko. Heise Online zitiert Dennis-Kenji Kipker vom Cyberintelligence.Institute mit der treffenden Formulierung: Selbst wer das Ziel teilt, muss die „Gefahr einer technologischen Entkopplung" ernst nehmen.

Ich teile die Diagnose, aber nicht die Resignation dahinter. Souveränität und Offenheit sind kein Widerspruch - wenn man die Reihenfolge richtig denkt. Das Centre for European Policy Network formuliert es produktiv: Souveränität als Voraussetzung für Offenheit, nicht als Alternative dazu. Wer handlungsfähig sein will, muss zunächst sicherstellen, dass niemand den Schalter umlegen kann. Danach kann man wählen, mit wem man zusammenarbeitet.

Die Lösung des Architektur-Problems heißt: zentralisierte Kriterien, dezentrale Anwendung. Die Kommission muss die Risikoklassifizierungsmethode so verbindlich vorgeben, dass Level-3-Entscheidungen nicht zur nationalen Handelspolitik werden. Noch ist der Entwurf im parlamentarischen Prozess - das ist der Moment, um genau das einzufordern.

Debatte 2: “Open Source First” ohne Durchsetzungsmechanismus

Hier wird es konkret. Und hier liegt meiner Ansicht nach die wichtigere Schwäche des Entwurfs.

CADA enthält in Artikel 41 ein Prinzip namens „Open Source First" - ausdrücklich im operativen Gesetzestext verankert, nicht nur in einer Präambel. SUSE-Direktor Andreas Prins schreibt dazu: „Das ist die ambitionierteste Open-Source-Verpflichtung, die die Kommission je in ein Gesetz geschrieben hat." In seinem Kommentar vom 3. Juni listet er auf, was das Paket tatsächlich enthält: das OSPO-Netzwerk für die öffentliche Verwaltung, eine 2-Milliarden-Euro-Investitionshülle für die Open-Source-Strategie, eine nationale Pflicht zur Cloud-Strategie mit expliziter Open-Stack-Komponente.

Das ist viel. Aber Prins stellt auch die entscheidende Frage: Ist das bindend und durchsetzbar?

Lesen wir Artikel 41 wörtlich: „The Union and Member States shall take the necessary measures to encourage Union entities and public sector bodies to use and facilitate the reuse of open standards and components released under an open source licence."

Encourage. Ermutigen. Nicht verpflichten. Nicht vorschreiben. Nicht mit Begründungspflicht versehen.

Der FSFE-Projektmanager Johannes Näder begrüßt das Paket als großen Schritt, fordert aber verbindliche Vorgaben. Er rechnet vor: Würde nur die Hälfte der 264 Milliarden Euro, die die EU jährlich für proprietäre IT ausgibt, in europäische Open-Source-Alternativen fließen, wäre das ein struktureller Wendepunkt.

Warum bleibt das relevant? Weil die Zahlen aus Deutschland zeigen, wohin ein „Ermutigen" führt. Tagesspiegel Background hat recherchiert, was die Bundesländer seit 2021 für Microsoft ausgegeben haben: zehn von 16 Ländern haben geantwortet - zusammen über 686 Millionen Euro. Tendenz: +84 Prozent in fünf Jahren, durchschnittlich fast 17 Prozent Kostensteigerung pro Jahr. Die anderen sechs Länder wollten oder konnten keine Zahlen liefern.

Das ist kein Angriff auf Microsoft. Das ist die Beschreibung einer strukturellen Abhängigkeit, die sich ohne Richtungsänderung nicht auflöst. Schleswig-Holstein hat vorgemacht, was möglich ist: Der Wechsel auf LibreOffice hat die Kosten für den digitalen Standardarbeitsplatz von 18 Millionen Euro auf drei Millionen Euro reduziert - jährlich. Das ist keine ideologische Entscheidung. Das ist Verwaltungsökonomie.

💡 Open Source ist in diesem Kontext kein Kostenspar-Argument. Es ist ein Souveränitäts-Argument. Wer Open Source einsetzt, hat keinen Vendor-Lock-in, kann Sicherheitslücken selbst schließen lassen, und muss keine jährlichen Lizenzkosten steigerungen einkalkulieren.

Was also fehlt in CADA? Ein strukturierter Pfad, nicht nur eine Haltung. Konkret drei Elemente:

Erstens: Bevor öffentliche Mittel für proprietäre Cloud- oder KI-Software ausgegeben werden, muss eine dokumentierte Prüfung stattfinden, ob eine qualifizierte Open-Source-Alternative existiert. Nicht als Formalie - als echte Vergabevoraussetzung.

Zweitens: Diese Prüfung muss auditierbar sein. Nicht intern verschwinden.

Drittens: Die Begründungslast muss beim proprietären Kauf liegen, nicht beim Open-Source-Einsatz. Heute ist es umgekehrt. Wer Open Source beschaffen will, muss erklären, warum. Wer Microsoft kauft, hat keine Erklärungspflicht.

SUSE hat dazu gemeinsam mit über hundert Unterzeichner:innen einen offenen Brief an die Kommission geschrieben. Die Richtung ist klar. Die Formulierung im Gesetz muss folgen.

Was jetzt kommt

CADA ist ein Kommissionsvorschlag. Parlament und Rat haben noch nicht Stellung bezogen. Der Telekommunikationsrat der Mitgliedstaaten berät in wenigen Tagen erstmals über die Vorlage - dort werden die nationalen Positionen sichtbar.

Zwei Weichen entscheiden über den Wert des Gesetzes:

Die erste: Ob die Kommission die Risikoklassifizierung so verbindlich zentralisiert, dass nationale Auslegungen nicht zum Instrument nationaler Industriepolitik werden. 27 Level-3-Definitionen sind keine Souveränität. Sie sind 27 Verhandlungspositionen.

Die zweite: Ob aus „Ermutigen" eine Verfahrenspflicht wird. Nicht als ideologisches Statement, sondern als beschaffungsrechtliche Logik: Wer öffentliche Gelder ausgibt, muss begründen können, warum er eine Abhängigkeit eingeht.

Das Tech Sovereignty Package ist der richtige Schritt. Virkkunen hat Recht, dass Europa zu lange weggeschaut hat. Aber gute Absichten allein ändern keine Beschaffungslogik. Was es braucht, sind Verfahren, nicht Bekenntnisse.

Der parlamentarische Prozess hat gerade begonnen. Wer in der Digitalpolitik, in Verwaltungsführung oder im GovTech-Umfeld arbeitet, hat jetzt mehr Einfluss mit seinem Feedback als nach der Abstimmung.

Schleswig-Holstein macht es für drei Millionen. Mai 2026 im E-Government-Rückblick.

Sun, 31 May 2026 12:08:06 +0200

Ein Jahr Bundesdigitalministerium. Die Bilanz, die sich aus den Zahlen ergibt, ist ernüchternd: Die Länder haben Microsoft im Jahr 2025 rund 191 Millionen Euro überwiesen - 84 Prozent mehr als 2021. Der BMI-Rahmenvertrag liegt bei weiteren 481 Millionen Euro. Oracle kommt allein aus neun Ländern auf über 261 Millionen. Das sind keine Schätzungen. Das sind Zahlen aus parlamentarischen Anfragen.

Gleichzeitig zeigt Schleswig-Holstein, was möglich ist, wenn man aufhört zu warten: Der Standardarbeitsplatz kostet dort heute drei Millionen Euro pro Jahr statt achtzehn. Nicht durch ein Sonderprogramm, nicht durch eine neue Behörde. Durch LibreOffice statt Microsoft Office.

Ein Jahr BMDS: Das Werkzeug liegt bereit, wird aber kaum angefasst

Der IT-Zustimmungsvorbehalt war die große strukturelle Neuerung des ersten Jahres. Das Digitalministerium kann seitdem IT-Projekte anderer Ressorts prüfen und stoppen, bevor neue Abhängigkeiten entstehen. In der Theorie ist das genau das Instrument, das jahrelang gefehlt hat. In der Praxis wurden bisher gerade einmal rund 200 Projekte geprüft - bei einem Bundeshaushalt, der Hunderte von IT-Vorhaben parallel trägt.

Das ist kein Versagen des Ministeriums. Es ist ein Kapazitätsproblem mit struktureller Ursache: Wer jeden Projektstart prüfen will, braucht Kriterien, die das automatisch filtern. Nicht ein Team, das manuell entscheidet. Der Weg führt nicht über mehr Personal, sondern über andere Defaults. Wer Open Source als Standardoption in Ausschreibungsvorlagen setzt, muss proprietäre Entscheidungen aktiv begründen. Dann prüft das System, nicht der Sachbearbeiter.

Golem hat das erste Jahr des Digitalministeriums analysiert und die Lücke zwischen Ankündigung und Umsetzung klar benannt. Was jetzt fehlt, ist die nächste Entscheidung: Vergabedefaults ändern. Nicht in einer Legislatur. In den nächsten sechs Monaten.

Dabei passiert auf der Konzeptebene gerade etwas Wichtiges: Das ZenDiS hat ein Diskussionspapier zu Souveränitätskriterien vorgelegt, das digitale Souveränität messbar machen will. Die OSBA-Stellungnahme begrüßt das, setzt aber einen klaren Punkt: Messbarkeit ohne Verbindlichkeit ist Souveränitätswashing. Wer ein europäisches Rechenzentrum bucht, aber weder Quellcode einsehen noch die Roadmap beeinflussen kann, hat keine Souveränität. Er hat einen anderen Lieferanten.

Das ist die richtige Debatte. Und der Begriff trifft.

Was Schleswig-Holstein beweist

Während Berlin diskutiert, liefert Kiel Zahlen. Die Migration der Landesverwaltung von Microsoft Office auf LibreOffice hat die jährlichen Lizenzkosten für den Standardarbeitsplatz von 18 Millionen auf 3 Millionen Euro gesenkt. Das ist kein Pilotprojekt. Das ist Regelbetrieb.

Die OSB Alliance hat im Mai nachgelegt: Unter dem Titel “Trauen Sie sich, Herr Minister!” benennt sie konkrete Hebel, die heute verfügbar sind - keine neuen Gesetze, keine Haushaltsmittel. EVB-IT Musterverträge, die Open-Source-Beschaffung strukturell bevorzugen; OSS-first Vergabekriterien, die den Beweislastwechsel einleiten; Pflichtmeldung bei Neuverträgen mit denselben Herstellern, die schon die Bestandssysteme dominieren. Das sind Verwaltungshandlungen, keine Gesetzgebung.

Der Einwand, den man an dieser Stelle hört, ist immer derselbe: Das Vergaberecht lasse das nicht zu. Schleswig-Holstein hat es trotzdem gemacht. Zürich testet gerade openDesk im Echtbetrieb. Frankreich hat die DINUM-Toolbox. Die Frage ist nicht, ob es geht. Die Frage ist, wer anfängt.

💡 Drei Millionen statt achtzehn ist kein Proof of Concept. Das ist ein Referenzwert, an dem sich jede neue Beschaffungsentscheidung messen lassen muss.

Europa gibt Rückenwind

Bisher mussten Entscheider:innen in Behörden die Open-Source-Entscheidung gegen den Strom treffen. Das ändert sich strukturell: Die EU hat für den 3. Juni die Verabschiedung des Cloud Alignment and Data Act (CADA) angekündigt - Teil des Tech Sovereignty Package. Die EU gibt derzeit schätzungsweise 264 Milliarden Euro pro Jahr für US-IT-Dienstleistungen aus. CADA verpflichtet öffentliche Auftraggeber, bei neuen Cloud-Verträgen aktiv Alternativen zu prüfen und die Entscheidung zu dokumentieren.

Das ist kein Verbot. Es ist ein Begründungszwang. Wer weiterhin AWS, Azure oder Oracle bucht, muss erklären, warum keine europäische Alternative in Frage kam. Das klingt nach Bürokratie, ist aber das Gegenteil: Es macht die implizite Entscheidung für den Incumbent sichtbar. Und angreifbar.

Für Ministerien und Landesbehörden, die intern ohnehin über Souveränität sprechen, ist CADA eine Entlastung. Die Frage “Darf ich das?” stellt sich dann nicht mehr. Die Frage wird: “Warum haben wir es nicht gemacht?”

Fazit

Mai 2026 in zwei Sätzen: Die Kosten steigen weiter, aber die Beweise, dass es anders geht, liegen auf dem Tisch - mit Namen, Zahlen und Kontaktpersonen. Wer jetzt noch auf eine gesetzliche Erlaubnis wartet, wartet auf etwas, das er nicht braucht.

Souveränität ohne Definition. Januar 2026 im E-Government-Rückblick.

Sat, 31 Jan 2026 22:17:28 +0200

Der Januar war ein Souveränitäts-Monat. Hyperscaler taufen ihre Verwaltungsgeschäfte zum „Jahr der souveränen Clouds" (Tagesspiegel Background, Paywall) um. Microsoft, AWS und Google haben sortiert, wie sie ihre „Sovereign Cloud"-Linien an deutsche Behörden vermarkten. Daneben passiert tatsächlich etwas: Sozialversicherungsträger pilotieren openDesk als Notfallarbeitsplatz, Frankreich verlässt Microsoft Teams und Zoom zugunsten der eigenen LaSuite, der Berliner Senat verabschiedet am 14. Januar eine Open-Source-Strategie. Und der Bund unterzeichnet den NOOTS-Staatsvertrag, die Rechtsgrundlage für Once-Only.

Der Begriff „Souveränität" ist im Januar an vielen Stellen gleichzeitig im Mund. Was er bedeutet, weiß keiner.

Open Washing trifft Pioniere

Jede:r ist heute souverän. Auf Foliensätzen jedenfalls. Microsoft hat seine „Sovereign Cloud", Google sortiert „Sovereign Controls", AWS bewirbt EU-spezifische Datenresidenz, dazu kommt Delos als deutsche Hybrid-Variante. Die Marktübersicht listet inzwischen ein Dutzend Anbieter, die das Wort beanspruchen.

Das Wort ist aber undefiniert. Es gibt keine deutsche oder europäische Norm, die festlegt, was eine „souveräne Cloud" leistet. Open Source nach OSI-Definition ist es bei keinem dieser Angebote. Datenhoheit, Code-Zugriff, Migrierbarkeit – all das wird je nach Anbieter selbst neu definiert. Das ist offenes Spielfeld für Marketing.

Man nennt das auch Open Washing: Der Anbieter klebt sich das Souveränitäts-Etikett selbst auf, der Kunde übernimmt es ungeprüft, der politische Diskurs nimmt das Wort als Beweis, dass etwas geliefert wird. Geliefert wird, was der Anbieter unter Souveränität versteht – nicht, was der Staat braucht.

Die spannende Gegenbewegung im Januar: Die großen Kunden machen tatsächlich Bewegung weg von diesen Angeboten. Nicht alle. Nicht synchron. Aber konkret.

Sozialversicherungsträger probieren openDesk im Pilot-Setup als Krisenfall-Backup („Backup statt Blackout"). Frankreich rollt LaSuite und seine eigene Visio-Plattform für 200.000 Beschäftigte aus und begründet das ausdrücklich mit Sicherheits- und Souveränitätsanforderungen. Berlin verankert in seiner Open-Source-Strategie sieben Maßnahmen über sieben Jahre, mit dem ITDZ als Programm-Office.

💡 Souveränität wird aktuell von zwei Seiten gemacht: Anbieter etikettieren, Kunden migrieren. Beides nennt sich gleich. Geliefert wird Unterschiedliches.

Wer Souveränität ernst nimmt, sollte das Wort nicht den Marketing-Abteilungen überlassen. Eine arbeitstaugliche Definition (Datenhoheit, Code-Zugriff, Vendor-Wechselbarkeit, EU-Recht-Vorrang) muss von den Bedarfsträgern kommen – nicht aus Whitepapers von Anbietern.

NOOTS-Staatsvertrag – der Eigenweg und seine Folgen

Am 14. Januar geht das NOOTS live: Erste Nachweisdatenabrufe laufen über das National-Once-Only-Technical-System. Der Staatsvertrag dazu ist unterzeichnet. Damit fällt eine alte Ausrede weg: „Wir können nicht, weil die Rechtsgrundlage fehlt." Diese Tür ist zu.

Davor stehen die anderen Türen weiterhin offen. Drei verdienen den Blick.

Erstens: Der deutsche Eigenweg architektonisch. Deutschland setzt für NOOTS auf das 4-Corner-Modell – eine eigene Variante, die in dieser Form an europäische Strukturen wie OOTS angeschlossen werden muss, statt nahtlos zu integrieren. Schleswig-Holstein hat im Februar 2025 mit dem Nordic Institute for Interoperability Solutions ein Partnerschaftsabkommen für X-Road unterzeichnet – also für die seit zwei Jahrzehnten in Estland erprobte Standard-Architektur, die auch Finnland, Island und mehrere weitere Länder einsetzen. S-H baut x-road-sh.de parallel zur deutschen Linie auf. Brücken zwischen NOOTS und EU-OOTS müssen jetzt als zusätzliche Teilprojekte gebaut werden. Das kostet Zeit und Geld, das anderswo fehlt.

Wir denken methodisch noch über Architektur nach, während andere Länder ihre Once-Only-Infrastruktur seit Jahren operativ betreiben.

Zweitens: Wieder das Muster paralleler Initiativen. Schleswig-Holstein evaluiert X-Road. Der Bund macht Pilotierungsprojekte mit Nordrhein-Westfalen (D-NRW) und Baden-Württemberg (Jobcenter-Pilot). Der GovTech Campus arbeitet an Register-as-a-Service. Einzelne Fachverfahrens-Anbieter platzieren sich mit eigenen Anschluss-Lösungen für ihre Bestandskunden. Die Kommunen – am Ende der Lieferkette – werden ohne kollektive Lösung ins Rennen geschickt.

Jeder macht aktuell Registermodernisierung. Niemand fängt es ein. Das ist das gleiche Muster, das im OZG, beim Souveränen Arbeitsplatz und bei den Postfach- und Kommunikationslösungen abläuft. Föderalismus, der seine Vielfalt mit Konzept-Vielfalt verwechselt.

Drittens: Zerstückelung als Beruhigungsmittel. Registermodernisierung war als Milliardenprojekt geplant. Geliefert wird sie als eine Vielzahl von Teilprojekten in Millionen-Größenordnung. Das erhöht die Komplexität. Jedes Teilprojekt braucht eigene Steuerung, eigene Vergaben, eigenes Konsortium, eigene Schnittstellen. Der Vorteil dieser Zerstückelung ist nicht technisch – er ist politisch. Mehr Akteure bekommen ein Stück, mehr Akteure stimmen positiv. Aber die Summe der Teile ergibt nicht das Ganze, das einmal versprochen war.

Der Staatsvertrag ist ein wichtiger Schritt. Er beseitigt eine Ausrede. Er beseitigt nicht das eigentliche Problem: Dass Deutschland in der Once-Only-Frage seit Jahren über Architektur nachdenkt, während andere bereits liefern. Und dass die Liefer-Architektur, auf die wir uns festlegen, das, was anderswo läuft, nicht ablöst, sondern parallel dazu existiert.

Randnotiz: Der BMDS-Startup-Hub

Eine Bewegung des Januar verdient eine eigene Erwähnung – auch wenn sie konzeptionell noch zu früh ist für eine harte Bewertung. Das BMDS hat in einem Workshop „Agentische KI-Lösungen für die Verwaltung" Startups und kommunale Anwender:innen zusammengebracht. Daraus soll ein laufendes Format werden, das KI-fähige Fachverfahren zwischen GovTech-Startups und Bedarfsträgern brokert.

Das Format ist anschlussfähig an die Lücke, die die deutsche Verwaltungs-IT im GovTech-Ökosystem hat: Startups können das öffentliche Vergaberecht selten allein bewältigen, etablierte Integratoren können die Produkt- und Geschwindigkeitslogik junger Anbieter selten übersetzen. Wenn dieser Hub schafft, was bisher noch keine Initiative geschafft hat – Brücken aus dem Pilot-Setup in echte Produkteinsätze zu legen – wäre das eine ernsthafte Bewegung. Wenn er bei Workshop-Pilotage hängen bleibt, eine weitere Initiative im Wimmelbild.

Fazit

An Bewegung mangelt es nicht. An Definition schon. „Souveränität" trägt im Januar zu viele Bedeutungen gleichzeitig – und wer sie ernst nimmt, muss das Wort wieder mit Substanz versehen, statt es den Anbietern als Etikett zu überlassen. Beim NOOTS gilt: Der Vertrag ist da. Die Architektur, die operativ trägt, ist es noch nicht.

Jeder weiß es. Keiner handelt. – E-Government im Oktober 2025.

Fri, 31 Oct 2025 20:17:15 +0200

Oktober 2025 war ein Monat mit zwei Gesichtern. Auf der einen Seite: Bekenntnisse, Dokumente, Websites und der wachsende Verdacht, dass das Wissen über Probleme und das Handeln dagegen zwei verschiedene Dinge sind. Auf der anderen: ein legislativer Meilenstein, auf den die Verwaltungsdigitalisierung lange gewartet hat.

Deutschland-Stack: Wimmelbild mit Frühwert

Mitte Oktober launcht das BMDS die neue Projekt-Website zum Deutschland-Stack und startet den Konsultationsprozess. Die Reaktion in der Community ist geteilt, und ehrlich.

Die Kritik ist berechtigt. „Keine Strategie, keine technische Tiefe und fehlender Mut zur echten Veränderung", schreibt Thomas Bönig, Leiter des Stuttgarter Amts für Digitalisierung, auf LinkedIn. Netzpolitik konstatiert, das Projekt bleibe „Open Source vor verschlossenen Türen". Der Tagesspiegel Background beschreibt das Informationsangebot als „Sammelsurium von Platzhaltern" (Paywall). Man kann das als Scheitern lesen.

💡 Man kann es aber auch anders einordnen: Im agilen Sinne ist frühes Veröffentlichen richtig. Eine unfertige Website schafft Druck auf den Konsultationsprozess, sie lädt zur Kritik ein, und Kritik braucht das Projekt. Wer eine fertige, glattpolierte Strategie abliefert, bekommt Zustimmung. Wer früh zeigt, was noch nicht steht, bekommt Feedback. Der D-Stack braucht das zweite.

Parallel tickt die Uhr: Die H2KI-Plattform soll bis 15. November in Hamburg stehen, nach mehreren Verspätungen, mit eingekürften Funktionalitäten. Ob der Termin hält, ist ungewiss.

Jeder weiß es. Keiner handelt.

Das Bemerkenswerteste im Oktober ist nicht neu, aber es ist jetzt schwarz auf weiß dokumentiert.

Baden-Württembergs Innenministerium räumt gegenüber Golem ein: Delos Cloud kann von der US-Regierung angewiesen werden, einen Datenabfluss in seine Software zu integrieren. Man nutzt Delos trotzdem.

Warum das relevant ist, zeigt ein Beispiel vom 31. Oktober: Der Internationale Strafgerichtshof in Den Haag gibt bekannt, von Microsoft Office auf OpenDesk zu wechseln, entwickelt von ZenDiS. Der Auslöser: Trump hatte im Februar Sanktionen gegen den ICC-Chefankläger verhängt; sein Microsoft-Konto war danach nicht mehr zugänglich. Keine Theorie, keine Risikobetrachtung. Ein konkreter Einschnitt in den laufenden Betrieb eines internationalen Gerichts.

Das Muster ist in Deutschland bekannt. Schleswig-Holsteins Digitalminister Dirk Schrödter nennt Abhängigkeiten von deutschen Hyperscalern wie Stackit im TSB-Interview (Paywall) „hochgefährlich" und handelt auch: Schleswig-Holstein ist das einzige Bundesland, das die Open-Source-Transformation konsequent umsetzt, auch ohne auf openDesk zu warten. Es gibt Reibung an der Basis, eine Legacy-Anwendung blockiert noch den Linux-Arbeitsplatz. Aber es passiert.

Dänemark, kurz: Kopenhagen und Aarhus kündigen den Abschied von Microsoft an, die Digitalministerin folgt. Der Kontext ist klar: Trump und Grönland. Konkreter geopolitischer Druck erzeugt konkrete Entscheidungen. Ein eigenes Stück dazu kommt.

NOOTS: Lieferung nach langer Wartezeit

Am 16. Oktober verabschiedet der Bundestag das Gesetz zum NOOTS-Staatsvertrag. Für die meisten ein unscheinbarer Verwaltungsakt. Für die Verwaltungsdigitalisierung: ein echter Meilenstein, auf den lange gewartet worden ist.

Das Nationale Once-Only-Technical-System schafft die rechtliche und technische Grundlage dafür, dass Behörden Daten untereinander austauschen können, einmal angegeben, nicht wieder abfragen müssen. Die praktische Bedeutung zeigen zwei konkrete Testfälle: In Baden-Württemberg läuft am selben Tag, an dem der Bundestag abstimmt, der erste erfolgreiche Datenabruf für einen Anwohnerparkausweis über das NOOTS, Fahrzeugdaten direkt vom Kraftfahrt-Bundesamt, kein Papiernachweis. In Nordrhein-Westfalen läuft der zweite Use Case: Gewerbeanmeldung via Handelsregister.

Ohne den Staatsvertrag wären diese Tests nicht weitergegangen. Jetzt sind sie Realität. Das ist der Unterschied zum Wimmelbild.

Fazit

Oktober 2025 zeigte: Wissen reicht nicht. BaWü kennt das Delos-Risiko und zieht keine Konsequenzen. Andere, ein Bundesland, ein internationaler Gerichtshof, ein skandinavisches Nachbarland, ziehen sie. Was davon ein Vorbild ist und was eine Ausnahme bleibt, entscheidet sich nicht in Websites, sondern in Beschaffungsentscheidungen.

An Worten mangelt es nicht. An Kriterien schon. – E-Government im August 2025.

Sun, 31 Aug 2025 20:17:15 +0200

Im August hat das BMDS einen Zeitplan für den Deutschland-Stack vorgelegt: fünf Missionen, erste Ergebnisse bis Ende 2025, abgeschlossen 2028. Die OSB Alliance und 59 Mitunterzeichner haben einen offenen Brief an BSI-Präsidentin Claudia Plattner verschickt. Botschaft: Digitale Souveränität ist möglich, man müsse sie nur wollen. Und das Kabinett hat das Vergabebeschleunigungsgesetz beschlossen.

Drei starke Wörter dominierten den Sommer: „Souveränität." „Stack." „Beschleunigung." Alle drei haben dasselbe Problem: Sie kommen nicht in den Beschaffungskriterien an.

Wenn Begriffe nicht ankommen

„Digitale Souveränität" ist ein politisch nützliches Wort. Es schließt Debatten ab, ohne sie zu lösen. Denn sobald man fragt, was es in einer konkreten Ausschreibung bedeutet, also welche Anforderungen daraus folgen und welcher Anbieter damit qualifiziert oder nicht, schweigt der Begriff.

Das zeigt sich gerade an einem konkreten Beispiel: Hyperscaler-„Sovereign Cloud"-Angebote bieten keine echte Souveränität. Die strukturellen Abhängigkeiten von CLOUD Act, Drittstaaten-Jurisdiktion und Lizenz-Architektur bleiben bestehen. Trotzdem werden diese Produkte beschafft, weil niemand sagen kann, was „souverän genug" in einer Leistungsbeschreibung bedeutet.

Windows 10 läuft im Oktober 2025 aus. In Ländern, die rechtzeitig migrieren wollen, sind Fachverfahren das größte Hindernis. Anwendungen, die seit Jahren auf bestimmten Betriebssystem-Versionen festsitzen, weil niemand Exit-Kriterien in die ursprüngliche Beschaffung geschrieben hat. Das ist kein technisches Problem, das ist das Ergebnis von Beschaffungsentscheidungen ohne Ausstiegsplan.

Open Source trifft dasselbe Hindernis von der anderen Seite. Als Argument ist es zu technisch, um politisch verkaufbar zu sein. Die OSB Alliance zieht nach 100 Tagen Bundesregierung eine ernüchternde Bilanz: kein „Open Source by Default" im Vergaberecht, keine klare Priorität im D-Stack. Das Vergabebeschleunigungsgesetz enthält mehr Klauseln, aber nicht klarere Kriterien. Kommunen hatten das vor dem Beschluss deutlich gesagt (Tagesspiegel Background, Paywall).

Was fehlt, sind drei bis fünf konkrete Anforderungen, die in jede Leistungsbeschreibung passen: Offenlegung des Sourcecodes, Kontrolle über Hosting-Standort und Betreiber, Lizenz ohne Drittstaaten-Abhängigkeit, Weiterentwicklungsrecht. Das sind keine Wunschlisten. Das sind Entscheidungskriterien. Wer sie standardisiert und in Vergabeverfahren einbaut, macht aus dem Begriff eine Funktion.

Was konkret aussieht

Schleswig-Holstein hat im August angekündigt, X-Road für den behördeninternen Datenaustausch einzuführen. X-Road ist das estnische Datenaustausch-System, das Behörden direkt miteinander verbindet, ohne zentrale Plattform dazwischen. Estland nutzt es seit fast 25 Jahren, Finnland ebenfalls. Finnland steht aktuell auf Platz 1 im EU-Digitalranking. Deutschland weiter hinten.

Die Ankündigung aus Kiel hat keine große Pressekonferenz bekommen. Sie ist trotzdem präziser als alle Souveränitätsbeschlüsse des Monats zusammen.

Der Reflex, internationale Beispiele mit „das lässt sich nicht übertragen" abzublocken, stimmt und stimmt nicht. Die Frage ist nie „wie kopieren wir das?", sondern „welche Anforderung, welchen ersten Schritt können wir übersetzen?" Estland ist juristisch und strukturell anders aufgestellt. Aber die Entscheidung, Datenaustausch ohne zentrale Plattform-Abhängigkeit zu lösen, ist übertragbar. Schleswig-Holstein hat genau das entschieden.

Deutschland debattiert konzeptionell Ähnliches im NOOTS-Kontext seit Jahren. Schleswig-Holstein wartet nicht auf den bundesweiten Beschluss.

„Eine Behörde reicht. Wenn sie’s vormacht, kommt der Rest mit." Das ist kein Optimismus. Das ist Realismus.

D-Stack: Zeitplan ja, Klarheit nein

Der D-Stack-Zeitplan ist ein Fortschritt. Benannte Missionen, benannte Daten. Konkret genug, um daran gemessen zu werden.

Die Lücken sind bekannt. ZenDiS, die Einheit, die den Stack operativ bauen soll, bekommt 2,6 statt der geforderten 30 Millionen Euro. Das BMDS arbeitet an einem IT-Zustimmungsvorbehalt, der je nach Ausgestaltung 3,5 bis 12 Milliarden Euro Bundesausgaben erfassen könnte, ohne dass die Governance-Struktur dahinter steht (Tagesspiegel Background, Paywall).

Und dann ist da das GovStack-Paradox: Deutschland hat über das BMZ in den vergangenen Jahren einen Tech-Stack für 25 andere Länder entwickelt und exportiert. Für sich selbst baut es einen anderen. Das ist keine Kritik, aber es ist eine offene Frage. Wer anderen erklärt, wie ein guter Stack aussieht, sollte beantworten können, warum er selbst einen anderen braucht.

Geld und Zuständigkeit entscheiden, ob der D-Stack in zwei Jahren ein nutzbares Portfolio hat oder ein gut dokumentiertes Versprechen bleibt. Weder das eine noch das andere ist im August geklärt worden.

Fazit

August 2025 in einem Satz: An starken Begriffen mangelt es nicht. An Beschaffungskriterien schon. Und an Ländern, die einfach anfangen, auch.

Zehn Jahre. Drei Gremien. Kein Durchgriff. Juli 2025 im E-Government-Rückblick.

Thu, 31 Jul 2025 20:17:15 +0200

Der Bundesrechnungshof hat dem Haushaltsausschuss des Bundestages Anfang Juli einen Bericht zur zentralen IT des Bundes (Tagesspiegel Background, Paywall) vorgelegt: zehn Jahre IT-Konsolidierung, drei parallele Gremien, Einstimmigkeitsprinzip in zwei davon, Parallelentwicklungen trotz Zentralstellenmandat. Gleichzeitig erscheint auf Golem eine nüchterne Analyse: Open Source hat im Bund keine Lobby. Und Microsoft sperrt das Konto eines LibreOffice-Entwicklers. Ohne Vorwarnung, ohne Erklärung.

Das neue Digitalministerium verwaltet unterdessen Haushaltsmittel für Registermodernisierung, EUDI-Wallet, Deutschland-ID. Und erbt eine Entscheidungsarchitektur, die Entscheidungen systematisch verlangsamt.

Klingt nach Handlungsdruck. Klingt aber auch nach einer Frage, die zu selten laut gestellt wird: Welches der geerbten Probleme kann Wildberger eigentlich lösen?

Eine Erbschaft, die niemand freiwillig angetreten hätte

Der Bundesrechnungshof-Bericht ist kein Skandal. Er ist die Dokumentation des Offensichtlichen. Das Einstimmigkeitsprinzip im IT-Rat und im Lenkungsausschuss IT-Konsolidierung lähmt Entscheidungen. Das CIO Board konnte sich nicht einigen, Haushaltsmittel für ein simples Planungstool bereitzustellen. Einzelbeschaffungen gehen weiter an der Zentralstelle IT-Beschaffung vorbei. Fast die Hälfte der Bundesbehörden erfüllt die Sicherheitsanforderungen für die Netze des Bundes nicht vollständig. Sanktionsmöglichkeiten: keine.

Das alles übergibt die Bundesregierung nun an das BMDS. Auftrag laut BMI und BMF: eine „Neujustierung der IT-Steuerung mit Durchgriffsrechten" vornehmen. Was klingt wie Ermächtigung, ist in Wirklichkeit die Umschreibung einer offenen Rechnung, die zehn Jahre kein Haus bezahlen wollte.

Für Wildberger ergibt sich daraus ein klares Bild: Hier gibt es keinen schnellen Erfolg zu holen. IT-Konsolidierung ist Verwaltungspolitik auf Sicht, kein Gewinnerthema für ein neues Ministerium in seiner ersten Legislatur. Wer das zum Leuchtturmprojekt erklärt, läuft in eine strukturelle Falle.

Der eigentliche Hebel liegt nicht in einem weiteren Reorganisationserlass. Er liegt in einer schlichten Änderung der Gremien-Geschäftsordnungen: weg vom Einstimmigkeitsprinzip, hin zu qualifizierten Mehrheitsentscheidungen. Das wäre kein Gesetzesproblem, das wäre ein Reihenfolge-Problem. Und es wäre der erste Schritt, den man in dieser Legislatur tatsächlich sehen könnte.

Open Source braucht keine Lobby. Sondern Beschaffungsentscheidungen.

Die Golem-Analyse zur fehlenden Lobby ist ehrlich. Aber sie trifft die falsche Stelle.

Open Source hat im Bund keine strukturelle Verankerung in der Beschaffung. Nicht in den Ausschreibungsvorlagen, nicht als Muss-Kriterium, nicht in den Bewertungsmatrizen. Solange Open Source als Option behandelt wird statt als Anforderung, wird die Lobby-Frage nie beantwortet sein.

Der Microsoft-Vorfall mit dem LibreOffice-Entwickler erzählt das in einem Bild: Jemand, der aktiv an der Open-Source-Alternative zu Microsoft Office arbeitet, verliert seinen Infrastrukturzugang bei Microsoft. Ohne Vorwarnung. Das ist kein Datenschutzproblem. Das ist eine Infrastrukturabhängigkeit, die niemand bewusst gewählt hat, weil niemand bis zu diesem Punkt gefragt hat: Auf wessen Infrastruktur laufen eigentlich unsere Alternativen?

Die Delos Cloud ist das aktuell anschaulichste Beispiel für diese Spannung. Hessen steht als erster Interessent bereit, die ersten Azure Foundational Services sollen im dritten Quartal 2025 verfügbar sein (Tagesspiegel Background, Paywall), Office 365 Ende des Jahres. Aber die Rechenzentren gehören noch Microsoft. Der Eigentumsübergang ist für 2026 geplant. Das ist kein Einwand gegen Delos, es ist eine Erinnerung daran, wie lang der Weg noch ist, wenn man Souveränität in Infrastruktur-Eigentum messen will.

💡 ZenDiS ist das richtige institutionelle Instrument für Open Source in der Verwaltung. Aber ohne Beschaffungsrichtlinien, die Open Source priorisieren statt optionalisieren, und ohne politischen Rückenwind, der sich in Haushaltsmitteln ausdrückt, bleibt es eine gut gemeinte Initiative ohne Skalierungslogik.

Geld für Register, Komplexität im System

Der Kabinettsentwurf für den Bundeshaushalt 2026 (Tagesspiegel Background, Paywall) sieht 194 Millionen Euro für die Registermodernisierung vor, dazu über 250 Millionen für die Deutschland-ID und 162 Millionen für die EUDI-Wallet. Das Geld ist da.

Eine Golem-Analyse zur Registermodernisierung zeigt die Lücke: Schneller Start beim Umzug in ein neues Bundesland? Theoretisch ja. Praktisch entstehen neue Komplexitäten, sobald die EU-Sicherheitsarchitektur zwischen den beteiligten Registern ins Spiel kommt. Das bekannte Muster: Warum muss ich dem Staat Daten geben, die er schon hat? Die Antwort liegt nicht in mehr Haushaltsmitteln, die sind vorhanden. Sie liegt in der Bereitschaft, Registerführungskompetenzen zu entflechten, statt technische Schichten über bestehende Strukturen zu bauen.

Daneben: Die „Initiative für einen handlungsfähigen Staat" unter Schirmherrschaft von Bundespräsident Steinmeier legt im Juli einen 160-seitigen Abschlussbericht mit 35 Forderungen vor. Experimentierklauseln, Zuständigkeitsentflechtung, zentrale Dienstleistungsplattformen. Zehn Jahre Horizont. Gut diagnostiziert. Aber ohne konkreten ersten Schritt bleibt auch der beste Bericht Papier.

Fazit

Juli 2025 in zwei Sätzen: Das BMDS erbt Baustellen, keine Blaupausen. Wer im Herbst über Wildberger urteilen will, sollte nicht fragen, was er plant, sondern welche seiner Erbschaften er als erstes ablegt.

Wildberger hat sechs Ministerien. Trump hat den Schlüssel zur Cloud. – Mai 2025 im E-Government-Rückblick.

Sat, 31 May 2025 20:00:00 +0200

Am 7. Mai 2025 vereidigt Bundeskanzler Friedrich Merz sein Kabinett. Das neue Bundesministerium für Digitales und Staatsmodernisierung (BMDS) unter Karsten Wildberger bündelt Kompetenzen aus sechs Ministerien: OZG, Staatsmodernisierung, IT-Beschaffung, das ITZBund, die strategische Vorausschau. Mehr stand noch nie unter einem digitalpolitischen Dach. In derselben Woche wird bekannt, dass Microsoft das E-Mail-Konto des Chefanklägers am Internationalen Strafgerichtshof (IStGH), Karim Khan, gesperrt hat, weil die Trump-Regierung Sanktionen gegen ihn verhängt hatte (Tagesspiegel Background, Paywall).

Klingt nach Zufall. Ist keiner. Der Mai zeigt an zwei Schauplätzen gleichzeitig, was Verwaltungsdigitalisierung 2025 bedeutet.

Das Ministerium, das ITZBund und die erste Machtfrage

Der Zuschnitt des BMDS ist ein echter Schritt. Markus Richter, bisheriger Bundes-CIO, bleibt als Staatssekretär, was operative Kontinuität sichert. Der Deutschland-Stack steht im Koalitionsvertrag. Und erstmals liegt die Zuständigkeit für souveräne Cloud, IT-Beschaffung und Verwaltungsdigitalisierung in einer Hand.

Dann, fast unmittelbar: Das Bundesfinanzministerium will das ITZBund nicht abgeben (Tagesspiegel Background, Paywall). Das ITZBund ist der IT-Dienstleister des Bundes mit Milliardenbudget. Ohne ihn ist das BMDS ein Ministerium mit Papier-Kompetenz, aber ohne operativen Hebel. Der Streit ist in der ersten Woche bereits da.

Das ist kein Betriebsunfall. Wer Haushalt und operative IT trennt, bekommt immer dieselbe Reibung. Der Schritt, der den Streit auflöst, ist nicht ein weiteres Abstimmungsgespräch, sondern eine klare politische Entscheidung: Wer am Ende entscheidet, BMDS oder BMF. Eine halbe Lösung kostet mehr als gar keine.

Parallel beginnt die Diskussion um den Deutschland-Stack, und sie beginnt so, wie solche Diskussionen in Deutschland beginnen: mit vielen Beteiligten, die alle etwas darin sehen wollen, und wenig Klarheit darüber, was der Stack eigentlich nicht enthält. Euro Stack, GovStack, Deutschland-Architektur: Die Begriffe kursieren parallel. Der IT-Planungsrat hat das Thema auf der Agenda, konkrete Beschlüsse gibt es noch nicht. Das ist der Moment, in dem Präzision mehr wert ist als Tempo. Ein Stack, der alles aufnimmt, ist keine Plattform. Er ist ein Verbund mit neuem Logo.

Was Karim Khans E-Mail-Konto mit dem Deutschland-Stack zu tun hat

Peter Ganten, Vorstandsvorsitzender der Open Source Business Alliance, nennt den IStGH-Fall einen „Weckruf für alle, die für die sichere Verfügbarkeit staatlicher und privater IT- und Kommunikationsinfrastrukturen verantwortlich sind" (Tagesspiegel Background, Paywall). Achim Weiß, CEO von Ionos, zieht die Konsequenz direkt: „Wenn Trump uns morgen die digitale Infrastruktur abdreht, sitzen wir auf dem Trockenen." Das ist kein hypothetisches Szenario mehr. Das ist der Mai 2025.

Die europäische Antwort auf genau diese Frage sollte Gaia-X sein. Fünf Jahre nach dem Start ist die Bilanz nüchtern (Tagesspiegel Background, Paywall): Standardisierungsfortschritte, einige frustrierte Unternehmen, kein handfestes Alternativangebot zu US-Hyperscalern. Die Idee war richtig. Die Umsetzung litt daran, dass zu viele Akteure zu viel auf einmal wollten, ohne dass irgendjemand die Entscheidung über Prioritäten hatte. Auch das ist ein Strukturproblem, kein Pech.

Was konkret hilft, zeigt sich ebenfalls im Mai: Die Schwarz Gruppe will mit ihrer Cloud-Tochter StackIT und SAP zum deutschen Hyperscaler werden. Wildberger war beim Start dabei. Das ist der andere Weg: Ein Unternehmen investiert in echte Infrastruktur, statt auf ein Konsortium zu warten. Kein Prozess, keine Taskforce. Einfach bauen.

Souveränität entscheidet sich nicht in Gipfelreden. Sie entscheidet sich in Beschaffungsentscheidungen. Jede Bundesbehörde, die heute einen europäischen Anbieter wählt, baut an der Antwort auf den IStGH-Fall. Das BMDS hat dafür jetzt die Zuständigkeit. Das ist keine Kleinigkeit.

Logineo und die Kosten der falschen Reihenfolge

Nordrhein-Westfalens Schulplattform Logineo steht vor dem Aus (Tagesspiegel Background, Paywall). T-Systems hat die Verträge gekündigt. Das Projekt existiert seit 2015, hat rund 200 Millionen Euro verschlungen und etwa 3.000 der 5.400 NRW-Schulen angebunden. Es scheitert nicht an fehlendem Budget, sondern an einer Architektur, die beim Start nicht nachnutzbar war und auf Technik setzte, die schon damals veraltet war.

Kritiker bringen es auf den Punkt: keine abgestimmte Strategie, keine Wiederverwendbarkeit, keine Einbindung der Schulträger. Das ist das Ergebnis, wenn die Reihenfolge falsch ist: erst entwickeln, dann fragen, was gebraucht wird.

Was hilft? Nicht das nächste Leuchtturmprojekt. Förderung, die Nachnutzung belohnt statt Innovation erzwingt. Die Agora Digitale Transformation empfiehlt im Mai genau das: Förderprogramme so umbauen, dass Kommunen für die Übernahme bewährter Lösungen gefördert werden, nicht für die Eigenentwicklung der nächsten Plattform. Der Weg ist nicht neu. Er wird nur nicht genommen.

Immerhin zwei konstruktive Signale aus dem Ökosystem: Google hat im Streit mit Nextcloud nachgegeben und gibt der App wieder volle Dateizugriffsrechte zurück. Und Wildberger bekannte sich auf der re:publica öffentlich zu Open-Source-Software, begleitet von erkennbarem Applaus. Beides sind noch keine Strategien. Aber es sind Signale, dass die Richtung stimmt.

Fazit

Der Mai 2025 ist der Monat des institutionellen Aufbruchs. Das BMDS ist real, die Kompetenz gebündelt, der Wille erkennbar. Und gleichzeitig: Die strukturellen Probleme treten ab Tag zwei in voller Schärfe auf. Der ITZBund-Streit ist ein Vorgeschmack. Der Deutschland-Stack ist noch eine Fläche ohne Kontur. Und der IStGH-Fall zeigt, dass die Welt auf keine Roadmap wartet.

An Kompetenzen mangelt es jetzt nicht mehr. An Entscheidungen schon.

Das Versprechen und die Entlassung. April 2025 im E-Government-Rückblick.

Wed, 30 Apr 2025 20:00:00 +0200

Am 9. April 2025 präsentierten CDU, CSU und SPD ihren Koalitionsvertrag. 144 Seiten, Titel: „Verantwortung für Deutschland." Digitale Souveränität steht weit vorne. Open Source soll mit „ambitionierten Zielen" vorangebracht werden. Das Zentrum für Digitale Souveränität (ZenDiS) wird namentlich als Träger genannt, ebenso wie die Sovereign Tech Agency und SPRIND. Am selben Tag beschloss das Bundesinnenministerium, ZenDiS-Geschäftsführerin Jutta Horstmann abzuberufen.

Das ist keine schlechte Koordination. Das ist die Diagnose.

Ambitionierte Ziele, vakante Strategie

Was der Koalitionsvertrag zu Open Source sagt, ist inhaltlich das Richtige: offene Schnittstellen, offene Standards, das IT-Budget strategisch ausrichten. Was fehlt, ist die Verbindlichkeit. Das von der SPD angestrebte 50-Prozent-Ziel für Open Source in der Beschaffung blieb draußen. Ein Digitalbudget fehlt ebenso. Alle Vorhaben stehen unter Finanzierungsvorbehalt. „Ambitionierte Ziele" ist eine Formel, die man ohne Konsequenzen stehen lassen kann.

Horstmann war dabei nicht irgendeine Managerin. Die Linux-Expertin und Politikwissenschaftlerin hatte das ZenDiS seit Oktober 2024 strategisch aufgestellt, Kooperationen mit Frankreich und den Niederlanden aufgebaut und openDesk als Plattform sichtbar gemacht. Das BMI begründete ihre Abberufung lapidar mit der „Bündelung von Prozessen und Kompetenzen." Die Formulierung erklärt nichts. Was bleibt, ist die von netzpolitik.org beschriebene Sorge, dass das ZenDiS zur Vertriebsorganisation wird: Produkte in die Breite bringen, Umsatz erzielen, die strategische Open-Source-Mission auf der Strecke lassen.

Das Muster ist nicht neu. Deutschland gründet Institutionen für digitale Souveränität, stattet sie mit Mandat und Sichtbarkeit aus und löst dann die Personalentscheidungen davon ab, wer das Mandat eigentlich trägt. Der IT-Planungsrat hat das ZenDiS 2021 erdacht, weil die Abhängigkeit der öffentlichen Verwaltung von US-Tech-Konzernen Informationssicherheit und Innovationsfähigkeit gefährdet. Ob das ZenDiS dieses Mandat unter neuer Führung noch verkörpert, ist offen.

Was würde helfen? Das geplante Digitalministerium könnte die strategische Rolle des ZenDiS verbindlich machen: konkrete Open-Source-Anteile im IT-Budget, Reporting-Pflichten, und die Einbindung der Bundesländer als Mitgesellschafter, die das BMI seit drei Jahren verschleppt. Ambitionierte Ziele brauchen Träger. Wer den Träger schwächt, schwächt das Ziel.

💡 Das 50-Prozent-Ziel wäre gar nicht nötig gewesen. Ein klares Anteilsziel von 20 Prozent für Open Source bei Bundesbeschaffungen, verbindlich und reportingpflichtig, hätte mehr Wirkung als jede Sonntagsformel.

Was trotzdem geliefert wird

Das ZenDiS selbst lieferte im April einen konkreten Beleg: openDesk kommt zur Bundeswehr. Die MS-Office-Alternative wird künftig in den deutschen Streitkräften eingesetzt. Kein Pilotprojekt, kein Memorandum. Ein geschlossener Vertrag. Open Source im Sicherheitsbereich, mit echten Anforderungen an Verfügbarkeit und Datenschutz. Das ist der Beweis, dass das Betriebsmodell funktioniert, auch wenn das Strategiekapitel gerade vakant ist.

Gleichzeitig erzeugt Donald Trumps Handelskrieg einen Marktdruck, den keine Kampagne hätte besser herbeireden können. Europäische Software-Anbieter melden deutlich gestiegene Anfragen. Die Abhängigkeit von US-Clouds ist nicht mehr akademisch: Das Bundesinnenministerium warnte im April explizit davor, dass ein Kollaps des EU-US Data Privacy Frameworks den Einsatz amerikanischer Cloud-Dienste für die Verwaltung faktisch unmöglich machen würde.

Das öffnet ein Fenster. Die Frage ist, ob die Verwaltung vorbereitet ist, es zu nutzen. Die Antwort aus der Praxis ist ernüchternd: Die Kosten für Clouddienste beim Bund werden laut einer Golem-Analyse massiv unterschätzt, weil Betriebskosten, Skalierungseffekte und Migrationsaufwände im Beschaffungsmodell kaum abgebildet sind. Wer jetzt in Alternativen investieren will, braucht zuerst einen realistischen Blick darauf, was der Status quo eigentlich kostet.

Bei der Registermodernisierung ist derweil eine pragmatische Idee in Bewegung: Cloud-Register. Die FITKO arbeitet an einem Konzept, das die dezentrale Registerlandschaft grundlegend verändern soll. Tausende Kommunen führen heute ihre Register lokal, viele auf eigenen Servern mit eingeschränkten Betriebszeiten. Der Koalitionsvertrag will Bundesregister auf „souveränen Cloud-Plattformen" zentralisieren. Welche Plattformen das sein sollen und was „souverän" in diesem Kontext konkret bedeutet: offen. Aber die Richtung stimmt. Und das NOOTS-System, das Register miteinander vernetzen soll, braucht genau diese Infrastruktur-Vereinheitlichung als Voraussetzung.

Das Ministerium und das Wimmelbild

Ende April wurde bekannt, was viele überrascht hat: Karsten Wildberger, bisheriger CEO von MediaMarktSaturn, soll erster Bundesdigitalminister werden. Kein Public-Administration-Hintergrund, kein explizites Open-Source-Profil, dafür Erfahrung in der Digitaltransformation eines komplexen Handelsunternehmens mit Filialnetz, Legacy-IT und Personaldruck.

Ob das reicht, ist die falsche Frage. Die richtige: Mit welchem Unterbau startet das Ministerium? Der Bitkom hat ein Papier vorgelegt, das eine koordinierende Einheit vorschlägt, die ZenDiS, Zentralstelle IT-Beschaffung, Digital Service und andere als „Spinne im Netz" zusammenführt. Das Prinzip klingt vernünftig. Die Gefahr ist dieselbe, die sich bei jedem neuen Koordinationsmechanismus in der föderalen IT zeigt: ein weiterer Layer, der das Wimmelbild unübersichtlicher macht, statt es zu vereinfachen. Der Bitkom formuliert das selbst: Die neue Einheit dürfe „das Wimmelbild nicht unübersichtlicher machen." Dass man das explizit hinschreiben muss, sagt alles über das Ausgangsproblem.

Der erste sichtbare Beweis für ein funktionierendes Digitalministerium wäre deshalb kein neues Konzeptpapier. Er wäre die Benennung dessen, was künftig nicht mehr parallel weiterläuft. Welche Förderlinien auslaufen. Welche Institutionen zusammengehen. Welche Verträge nicht verlängert werden. Reduktion ist die Funktion, nicht die Schwäche.

Fazit

April 2025 in zwei Sätzen: Der Koalitionsvertrag hat Open Source zur Staatsaufgabe erklärt. Das BMI hat am selben Tag die Person entlassen, die dafür am besten qualifiziert war.

An Absichtserklärungen mangelt es nicht. An messbaren Zielen, institutioneller Kontinuität und dem Mut zur Reduktion schon.

Souveränität für 15 Prozent Aufschlag. Februar 2025 im E-Government-Rückblick.

Fri, 28 Feb 2025 20:00:00 +0100

Am 23. Februar 2025 wählt Deutschland einen neuen Bundestag. CDU/CSU gewinnt, Friedrich Merz wird designierter Kanzler. Ein eigenständiges Digitalministerium gilt als sicher, die Besetzung ist noch offen. Ebenfalls im Februar: Deutschland hat 2024 mehr Geld an Microsoft gezahlt als je zuvor, über 200 Millionen Euro. Und SAP-Tochter Delos Cloud veröffentlicht ihre Preisliste für die „souveräne" Microsoft-Cloud für die Verwaltung: 15 Prozent Aufschlag auf den deutschen Standardpreis.

Das ist kein Fortschritt beim Thema Abhängigkeit. Das ist Abhängigkeit mit neuem Preisschild.

Der 15-Prozent-Irrtum

Die Idee hinter Delos klingt vernünftig: Microsoft-Produkte aus deutschen Rechenzentren, betrieben von SAP, geprüft vom BSI, rechtlich abgesichert gegen US-Zugriff. SAP-Vorstand Thomas Saueressig spricht von einer „digitalen Festung", Delos-CEO Nikolaus Hagl verspricht, dass die Cloud im Krisenfall „völlig autark weiterläuft". (Tagesspiegel Background, Paywall)

Was das Modell nicht beantwortet: Wer am Ende den Code schreibt, die Roadmap bestimmt und entscheidet, welche Features geliefert werden. Die Antwort ist dieselbe wie bisher: Microsoft. Delos kauft die Technologie ab und betreibt sie. Das ist ein operativer Fortschritt für den Fall einer akuten Krise, aber kein Ausstieg aus der strukturellen Abhängigkeit.

Neue Funktion. Gleicher Hersteller. Einige Monate autarker Betrieb im Krisenfall. Das ist der Wert des Modells. Und der 15-Prozent-Aufschlag ist der Preis dafür. Wer das für digitale Souveränität hält, verwechselt Notfallbetrieb mit Unabhängigkeit.

Dabei ist das Problem nicht neu. Eine PwC-Studie aus dem Jahr 2019 stellte schon damals fest, dass die Bundesverwaltung an vielen Stellen Standard-Produkte kommerzieller Anbieter einsetzt und dabei Abhängigkeiten entstehen, die Informationssicherheit und Flexibilität gefährden. Das Fazit war damals schon klar. Die Zahlen von 2024 zeigen: Es ist seitdem nicht besser, sondern teurer geworden.

Der Pfad aus dieser Situation führt nicht über einen günstigeren oder souveräner verpackten Microsoft-Vertrag. Er führt über andere Beschaffungsentscheidungen bei neuen Projekten. Wer heute ein neues Fachverfahren, eine neue Plattform oder eine neue Infrastrukturkomponente beschafft, hat die Wahl. Wenn die Antwort immer wieder proprietäre Software lautet, liegt das seltener am Vergaberecht und häufiger daran, dass die Ausschreibungskriterien diese Wahl nicht konsequent öffnen.

Was die Praxis liefert

Genau hier setzt ein Papier an, das im Februar wenig Aufmerksamkeit bekommen hat, aber operativ relevant ist: Die Open Source Business Alliance hat am 11. Februar Vergabekriterien für eine nachhaltige Beschaffung von Open Source Software veröffentlicht.

Das Dokument adressiert ein echtes Problem: Öffentliche Auftraggeber, die OSS beschaffen wollen, geraten regelmäßig in eine Dumpingfalle. Das günstigste Angebot gewinnt, aber es stammt oft von Anbietern, die die Software weder entwickeln noch langfristig pflegen. Das Geld fließt nicht an die Community zurück, die Entwicklung stagniert, die Sicherheit leidet. Und am Ende heißt es: „Open Source hat nicht funktioniert."

Das Papier zeigt, wie Vergabekriterien jenseits des Preises gesetzt werden können, um genau das zu verhindern: Qualifikationsanforderungen an Anbieter, Nachweise über Beiträge zur Community, Anforderungen an Wartung und Weiterentwicklung. Das ist kein Manifest. Das ist eine Checkliste für den Einkauf.

💡 Wer diese Kriterien in Ausschreibungen einbaut, trifft keine Grundsatzentscheidung für Open Source. Er stellt sicher, dass das, was er beschafft, auch hält, was es verspricht.

Parallel gewinnt die Diskussion um einen europäischen Technologie-Stack an Kontur. Die Idee: Statt US-Hyperscaler oder kostspieliger nationaler Wrappers eine koordinierte europäische Antwort auf Cloud, KI-Infrastruktur und Basisdienste. Ob das konkret wird, hängt von politischen Entscheidungen ab, die noch nicht getroffen sind. Aber die Richtung stimmt, und sie ist kein Gegensatz zu kurzfristigen Maßnahmen wie Delos, sondern deren sinnvolle Ergänzung.

Nach der Wahl, vor den Entscheidungen

Die OSB Alliance-Analyse der Wahlprogramme ist ein nüchternes Dokument. Ihr wichtigster Satz steht beim CDU/CSU-Kapitel: Open Source Software wird im Wahlprogramm der CDU/CSU an keiner Stelle erwähnt. Bei der SPD ebenfalls nicht.

Die Partei, die die neue Regierung führen wird, hat digitale Souveränität als Ziel formuliert, aber das wichtigste Werkzeug dafür nicht einmal benannt. Das ist keine Katastrophe, aber es ist ein Signal: Wer Open Source in der nächsten Legislatur politisch verankern will, muss das selbst einbringen. Es kommt nicht von allein.

Das Digitalministerium gilt als sicher. Die neue Regierung würde damit ein Ressort schaffen, das es bisher nicht gab. Ein Budget von rund 19 Milliarden Euro für Digitalisierung steht im Raum. Das ist Hebelmasse. Was damit gemacht wird, entscheidet sich in den Beschaffungsregeln, nicht in den Sonntagsreden.

Golem analysiert die strukturellen Probleme treffend: Föderale Zuständigkeitszersplitterung, fehlende zentrale Steuerung, jahrelange Investition in proprietäre Systeme. Das lässt sich nicht per Ministeriumsgründung auflösen. Aber ein Ministerium, das vom ersten Tag an andere Beschaffungsdefaults setzt, kann in vier Jahren etwas verschieben.

Das wäre kein Gesetzesproblem. Das wäre ein Reihenfolge-Problem. Erst Beschaffungskriterien ändern, dann liefern, dann berichten. Nicht umgekehrt.

Fazit

Februar 2025 in zwei Sätzen: Deutschland zahlt Microsoft immer mehr, und die große Lösung kostet 15 Prozent extra. Die Werkzeuge, es anders zu machen, liegen auf dem Tisch. Jetzt braucht es eine Regierung, die sie benutzt.

481 Millionen Euro für Microsoft. Dann kam DeepSeek. – Januar 2025 im E-Government-Rückblick.

Fri, 31 Jan 2025 20:00:00 +0100

Die Open Source Business Alliance veröffentlicht im Januar eine Zahl aus einer Bundestagsanfrage: 481,1 Millionen Euro hat die Bundesverwaltung 2024 für Microsoft-Lizenzen ausgegeben. 38 Prozent mehr als im Vorjahr. Am 20. Januar, dem Tag der Trump-Inauguration, erscheint DeepSeek R1: ein chinesisches Open-Source-Sprachmodell auf GPT-4-Niveau, trainiert für einen Bruchteil der üblichen Kosten, frei verfügbar und lokal betreibbar.

Zwei Nachrichten, ein Monat. Beide beschreiben dasselbe Problem von entgegengesetzten Seiten.

Was 481 Millionen wirklich bedeuten

Die Zahl ist kein Skandal. Sie ist ein Systemzustand.

Die Microsoft-Lizenzkosten der Bundesverwaltung sind in einem Jahr um 38 Prozent gestiegen – nicht weil die Nutzerzahl gewachsen wäre, sondern weil die Abhängigkeit so tief ist, dass kaum Verhandlungsmacht bleibt. Für 2026 sind weitere Preissteigerungen angekündigt. OSBA-Vorstandsvorsitzender Peter Ganten bringt es auf den Punkt: „Geld, das in die Lizenzen eines Konzerns fließt, fehlt für Lösungen, die gezielt auf die Bedürfnisse der Verwaltung zugeschnitten sind."

Die Delos Cloud war die Antwort auf genau dieses Unbehagen: eine „souveräne" Lösung, gebaut auf SAP- und Microsoft-Infrastruktur, mit deutschem Rechenzentrum. Im Januar räumt das Innenministerium Baden-Württembergs ein, was Fachleute seit Langem beobachten: Zugriffe durch Drittstaaten können nicht ausgeschlossen werden. Der Grund ist nicht die Hardware, sondern das Recht. Der CLOUD Act verpflichtet US-Unternehmen, auf behördliche Anordnung Daten herauszugeben – unabhängig davon, wo die Server stehen. Ein Microsoft-Frankreich-Direktor hat das im Juni 2024 unter Eid bestätigt: Er könne nicht garantieren, dass Daten französischer Behörden niemals ohne deren Zustimmung an die US-Regierung gehen.

Keine Architektur, kein Vertrag, kein nationales Rechenzentrum ändert daran etwas. Das ist kein technisches Problem. Das ist ein rechtliches. Und es macht eine ganze Klasse von „Souveränitätslösungen" strukturell wirkungslos.

Was hilft? Nicht das nächste Zertifikat für ein US-Produkt mit deutschem Label. Sondern die sachliche Frage, für welche Daten US-abhängige Infrastruktur überhaupt akzeptabel ist. Für unkritische Workloads kann das eine pragmatische Antwort sein. Für klassifizierte Verwaltungsvorgänge, Sicherheitsbehörden und kritische Infrastruktur ist es das nicht. Die Datenkategorie zieht die Grenze – nicht der Vertragstext.

Was DeepSeek mit Souveränität zu tun hat

Am 20. Januar erscheint DeepSeek R1: ein chinesisches Open-Source-Sprachmodell, das in Benchmarks mit GPT-4 und Claude mithalten kann und dabei nach eigenen Angaben für einen Bruchteil der bisherigen Trainingskosten entwickelt wurde. Trump bezeichnet es als „Weckruf" für die US-KI-Industrie. An der Wall Street bricht der Nvidia-Kurs ein.

In der deutschen Verwaltungsdigitalisierungsdiskussion löst das vor allem eine Frage aus: Kann man einem chinesischen Modell vertrauen? Die Frage ist nicht falsch. Sie übersieht aber den wichtigeren Punkt.

Dass ein leistungsfähiges Open-Source-Modell existiert, bedeutet: Es lässt sich lokal betreiben. Auf eigener Infrastruktur. Ohne Hyperscaler. Ohne US-Rechenzentrum. Ohne CLOUD-Act-Risiko. Die Bedeutung von DeepSeek für die digitale Souveränität liegt nicht darin, ob man es einsetzt, sondern darin, was es beweist: Dass die technische Architektur moderner KI keine Milliardenpipeline nach Redmond oder Seattle braucht.

Das ist dieselbe Logik wie bei VMware. Nachdem Broadcom die Preise nach der Übernahme drastisch erhöht hatte, haben europäische Cloud-Anbieter begonnen, auf Open-Source-Alternativen zu migrieren. Das österreichische Unternehmen Anexia hat 12.000 virtuelle Maschinen umgestellt. Der Schmerz war real. Die Migration auch. Am Ende lief die Infrastruktur – auf offenen Systemen.

💡 Souveränität entsteht nicht durch Bekenntnis, sondern durch laufende Systeme.

Open Source als Betriebsmodell hat dort funktioniert, wo proprietäre Preispolitik den Anstoß gab. Das sollte kein Zufall sein, sondern Strategie.

Was trotzdem vorangeht

Deutschland ist im Januar 2025 ein Land im Vorwahlmodus. Die Regierung agiert geschäftsführend, die Koalitionsverhandlungen für den Koalitionsvertrag liegen noch vor uns. Trotzdem passieren Dinge.

Berlin bereitet den Einsatz von openDesk in der Verwaltung vor, dem Open-Source-Arbeitsplatz von ZenDiS. Schleswig-Holstein veröffentlicht ein Impulspapier zum Deutschland-Stack mit konkreten Vorschlägen, wie ein föderaler Technologiestapel mit Open-Source-Kern aussehen könnte.

Und das Bundeskabinett beschließt die rechtliche Grundlage für NOOTS, das Nationale Once-Only Technical System: die föderale Dateninfrastruktur, mit der Bürger:innen staatlichen Stellen einmal gemeldete Daten nicht immer wieder neu übermitteln müssen. Das klingt nach Selbstverständlichkeit. In der deutschen Föderalstruktur ist es ein jahrzehntelanger Kampf – an dem in einem politisch schwergewichtigen Monat trotzdem ein weiterer Schritt gelingt.

Der Weg ist nicht neu. Er wird nur endlich genommen.

Fazit

Januar 2025 in zwei Sätzen: Die Kosten der Abhängigkeit sind sichtbar geworden. Und die Alternativen auch.

481 Millionen Euro Lizenzgebühren zeigen, wohin ein Jahrzehnt ohne Ausstiegsstrategie führt. DeepSeek zeigt, dass Open Source als ernsthaftes Betriebsmodell funktioniert. Und wer die Delos-Diskussion ehrlich führt, landet bei einer simplen Erkenntnis: Souveränität ist keine Produktkategorie. Sie ist eine Beschaffungsentscheidung.

openDesk ist live. Der Sovereign Tech Fund ist Agency. – Oktober 2024 im E-Government-Rückblick.

Thu, 31 Oct 2024 20:00:00 +0100

Vom 15. bis 17. Oktober findet die Smart Country Convention in Berlin statt. Das ZenDiS nutzt die Bühne für den offiziellen Launch von openDesk 1.0: die Open-Source-Office-Suite für die öffentliche Verwaltung, ab sofort als Enterprise Edition verfügbar, mit zwei Betriebsmodellen und ersten Bundesbehörden als Pilotkunden. Fast gleichzeitig wird der Sovereign Tech Fund zur Sovereign Tech Agency GmbH, einer eigenständigen Bundesgesellschaft unter SPRIND.

Zwei Institutionalisierungen in einem Monat. Beide erzählen dieselbe Geschichte: Open Source in der Verwaltung wächst aus der Pilotphase heraus.

openDesk 1.0: Was neu ist und was das bedeutet

openDesk ist seit Oktober nicht mehr im Beta-Status. Version 1.0 kommt als Enterprise Edition mit zwei Betriebsmodellen: Self-Hosting, unterstützt durch den ZenDiS-Partner B1 Systems, und Software-as-a-Service auf der StackIT-Infrastruktur der Schwarz Gruppe. Das bedeutet: Behörden, die keine eigene Serverkapazität haben oder wollen, können openDesk aus einer souveränen deutschen Cloud beziehen, ohne US-Hyperscaler zu benötigen.

Die integrierten Komponenten sind das, was man erwarten würde: Textverarbeitung, Tabellenkalkulation, E-Mail, Kalender, Videokonferenz, Cloudablage, Projektmanagement. Das Besondere ist nicht die Featureliste, sondern die Integration. Souveräne Office-Suiten scheitern in der Verwaltung regelmäßig nicht an einzelnen Funktionen, sondern an der fehlenden Kohärenz. Wer zwischen fünf verschiedenen Open-Source-Tools wechseln muss, wechselt irgendwann zurück zu Microsoft 365.

openDesk beantwortet das mit einer einheitlichen Oberfläche über alle Komponenten hinweg. Ob das in der Praxis hält, entscheidet sich nicht auf der SCCON, sondern in sechs Monaten, wenn die ersten Pilotbehörden ehrliche Rückmeldung geben.

Die Pilotkunden sind kein Zufall. BMI, Deutscher Wetterdienst, Technisches Hilfswerk und Robert-Koch-Institut sind keine Kleinstbehörden. Sie haben IT-Betrieb, Nutzeranforderungen und Compliance-Vorgaben in einem Maßstab, der einem echten Belastungstest nahekommt. Scheitert openDesk dort, hat man ein Problem. Hält es dort, hat man ein Argument.

Der nächste Schritt ist kein technischer, sondern ein beschaffungspolitischer: openDesk muss in Vergabeentscheidungen als Option erscheinen, nicht als Ausnahme. Das setzt voraus, dass Behörden wissen, dass es existiert. Die SCCON liefert Sichtbarkeit. Ausschreibungspraxis und Beschaffungsrichtlinien liefern Skalierung.

Was die Sovereign Tech Agency jetzt kann, was der Fund nicht konnte

Der Sovereign Tech Fund wird zur Sovereign Tech Agency GmbH. Der Unterschied klingt verwaltungsrechtlich. Er ist strategisch.

Als Pilotprojekt bei SPRIND war der STF agil, aber abhängig von jährlichen Haushaltsentscheidungen. Als eigenständige GmbH kann er Verträge mehrjährig planen, Personal mit Marktgehältern ausschreiben und Partnerschaften langfristig eingehen. Das sind Voraussetzungen, ohne die Open-Source-Infrastrukturförderung nicht skaliert.

Bis Ende 2024 hat der STF Verträge mit 60 kritischen Open-Source-Projekten geschlossen, Gesamtvolumen rund 23,5 Millionen Euro. Das klingt nach viel. Verglichen mit dem, was die öffentliche Verwaltung jährlich für proprietäre Lizenzen ausgibt, ist es wenig. Die Frage ist nicht, ob die Förderung gut angelegt ist. Die Frage ist, ob die Größenordnung stimmt.

Der Bundestag hat im Oktober 2024 zusätzlich rund vier Millionen Euro genehmigt, über den Regierungsvorschlag hinaus. Das ist ein Signal, dass der parlamentarische Rückhalt für Open-Source-Förderung vorhanden ist. Es ist kein Automatismus. Mit der Ampel, die auf ihr Ende zusteuert, ist offen, wie die nächste Regierung diese Linie hält.

💡 Was openDesk und Sovereign Tech Agency gemeinsam zeigen: Open Source in der Verwaltung braucht keine Manifeste. Es braucht laufende Systeme und institutionelle Dauerhaftigkeit.

Beide Launches im Oktober sind Schritte in diese Richtung. Die Belastungsprobe kommt 2025, wenn der Haushalt neu verhandelt wird und politische Prioritäten neu gesetzt werden.

Digitale Souveränität nach dem Schock. Was jetzt konkret passiert. – März 2022 im E-Government-Rückblick.

Thu, 31 Mar 2022 20:00:00 +0200

Ein Monat nach dem russischen Angriff auf die Ukraine ist die Souveränitätsdebatte in der deutschen Verwaltungs-IT angekommen. Ministerien, Behörden und IT-Dienstleister diskutieren Abhängigkeiten, die vorher als Selbstverständlichkeit galten. Das ist gut. Die Frage ist, ob aus dieser Diskussion Entscheidungen werden, oder ob der Druck nachlässt, bevor die ersten konkreten Schritte getan sind.

Denn Souveränitätsdebatten haben ein bekanntes Muster: Laut, solange der Anlass akut ist. Still, wenn der nächste Quartalsbericht kommt.

Was aus der Souveränitätsdebatte konkret wird

Die Bundesverwaltung nutzt Microsoft-Produkte in erheblichem Umfang. Lizenzen, Infrastruktur, Kollaborationswerkzeuge. Das ist kein Betriebsunfall, sondern das Ergebnis von Beschaffungsentscheidungen über Jahrzehnte, die auf Funktionalität, Preis und Marktdurchdringung optimiert haben. Nicht auf Exit-Optionen.

Der richtige nächste Schritt ist nicht die Kündigung aller Microsoft-Verträge. Das wäre operativ nicht umsetzbar. Der richtige Schritt ist eine Priorisierungsentscheidung: Welche Systeme verarbeiten besonders schützenswerte Daten? Welche davon haben tragfähige europäische oder Open-Source-Alternativen? Diese Systeme sind die Kandidaten für die erste Migrationswelle.

Was dabei hilft: Behörden, die diesen Weg bereits gegangen sind, haben Erkenntnisse, die andere nicht neu erarbeiten müssen. Schleswig-Holstein hat öffentlich dokumentiert, was eine Ablösung von Microsoft-Produkten erfordert. Das ist kein Blaupausen-Dokument, aber ein ehrlicher Erfahrungsbericht. Wer beginnen will, fängt mit solchen Berichten an, nicht mit generischen Souveränitätsstrategien.

Bundescloud: Was existiert und was noch fehlt

Deutschland hat keine leere Infrastrukturlandschaft. Die Bundescloud als Rechenzentrumsinfrastruktur des Bundes existiert. Dataport, ITDZ Berlin und weitere Landes-IT-Dienstleister betreiben eigene Cloud-ähnliche Infrastrukturen unter deutschem Recht.

Was fehlt, ist die Skalierung. Und die Standardisierung. Wer als Behörde von AWS zu einem deutschen Anbieter wechseln will, steht vor dem Problem, dass jeder Anbieter eigene Schnittstellen hat, eigene Servicekataloge, eigene Betriebsmodelle. Der Aufwand für eine Migration ist deshalb nicht nur technisch, sondern auch administrativ erheblich.

Was helfen würde: ein föderaler Rahmen, der definiert, welche Anforderungen eine souveräne Cloud für die öffentliche Verwaltung erfüllen muss, und der mehrere Anbieter zulässt, die denselben Standard erfüllen. Wettbewerb innerhalb eines gemeinsamen Standards ist besser als ein einziger nationaler Anbieter ohne Wettbewerb.

Was die OZG-Umsetzung mit Souveränität zu tun hat

Das OZG schreibt vor, was digitalisiert werden soll, nicht womit. Viele EfA-Dienste (Einer für Alle) laufen auf proprietären Plattformen oder nutzen proprietäre Komponenten. Das ist kurzfristig pragmatisch. Mittelfristig baut es genau die Abhängigkeiten auf, die die Souveränitätsdebatte gerade sichtbar macht.

Der konstruktive Umgang: OZG-Dienste, die neu entwickelt oder neu vergeben werden, sollten Interoperabilität und Austauschbarkeit als Anforderungen enthalten, nicht als Wunschliste. Offene Schnittstellen, standardisierte Datenformate, dokumentierter Quellcode. Das erhöht den Aufwand bei der Erstentwicklung minimal. Es verhindert Lock-in für Jahre.

Wer diese Anforderungen nicht in die Leistungsbeschreibung schreibt, schreibt sie implizit heraus.

Krieg in der Ukraine. Digitale Souveränität in neuem Licht. – Februar 2022 im E-Government-Rückblick.

Mon, 28 Feb 2022 20:00:00 +0100

Am 24. Februar beginnt der russische Angriff auf die Ukraine. Was das für die europäische Sicherheitsarchitektur bedeutet, wird in diesen Tagen intensiv diskutiert. Was es für die digitale Infrastruktur der deutschen öffentlichen Verwaltung bedeutet, wird zunächst weniger laut besprochen. Zu Unrecht.

Die Frage, wer welche Daten öffentlicher Verwaltungen auf welchen Servern unter welchem Rechtsrahmen speichert, war vorher eine Compliance-Frage. Ab jetzt ist sie eine geopolitische.

Was der Ukraine-Krieg für die öffentliche IT-Infrastruktur bedeutet

Die meisten deutschen Bundesbehörden, Länder und Kommunen nutzen Cloud-Dienste oder Software von US-amerikanischen Anbietern: Microsoft 365, AWS, Google Workspace in unterschiedlichen Varianten. Das ist kein Vorwurf. Es sind oft die leistungsfähigsten und am besten unterstützten Lösungen auf dem Markt.

Das Problem ist struktureller Natur. Der CLOUD Act von 2018 erlaubt US-Behörden unter bestimmten Umständen den Zugriff auf Daten von US-Unternehmen, auch wenn diese in Europa gespeichert sind. Das war vorher ein Datenschutzproblem. Im Kontext eines geopolitischen Konflikts wird es zu einer Infrastrukturrisikofrage.

Was öffentliche IT-Verantwortliche jetzt tun können: Das ist nicht der Moment für einen sofortigen Microsoft-Ausstieg. Das wäre operativ nicht umsetzbar und würde mehr Schaden als Nutzen bringen. Der richtige Schritt ist eine ehrliche Inventur: Welche Systeme haben welche Abhängigkeiten? Welche Daten liegen wo? Welche Verträge enthalten Exit-Klauseln? Diese Inventur schafft die Grundlage für einen mittelfristigen Migrationsplan, der machbar ist, statt einen Sofortausstieg, der es nicht ist.

Was GAIA-X dazu beitragen kann und was nicht

GAIA-X ist die europäische Antwort auf US-Cloud-Dominanz. Oder zumindest soll es das sein. Das Konsortium aus europäischen Unternehmen, Forschungseinrichtungen und Behörden arbeitet an einem Framework für einen europäischen Datenraum, der europäisches Recht respektiert.

Das Problem: GAIA-X ist ein Framework, keine Cloud. Es definiert Standards und Zertifizierungsprozesse, betreibt aber keine Infrastruktur. Wer eine sichere Alternative zu AWS braucht, findet in GAIA-X keinen Anbieter, sondern eine Spezifikation, die europäische Anbieter erfüllen können, wenn sie wollen.

Das ist nicht wertlos. Ein gemeinsamer Standard, der europäische Datenschutzregeln operationalisiert und Herstellerabhängigkeiten dokumentiert, ist eine Grundlage für informiertere Beschaffungsentscheidungen. Aber er ist kein Schnellschuss-Ersatz für AWS und Azure.

Was hilft: Der Fokus auf konkrete Bundescloud-Alternativen, also Rechenzentrumkapazitäten, die unter deutschem oder europäischem Recht operieren und für Verwaltungsdaten geeignet sind. Die BWI und die Infrastrukturen von Dataport oder ITDZ Berlin zeigen, dass solche Alternativen existieren. Was fehlt, ist der politische Wille, sie systematisch zu skalieren.

Was das für die nächste Beschaffungsentscheidung bedeutet

Wer gerade eine IT-Beschaffung vorbereitet, sollte zwei Fragen ergänzen, die bisher optional waren.

Erstens: Unter welchem Rechtsrahmen operieren Daten, die in diesem System verarbeitet werden? DSGVO-Konformität allein reicht nicht mehr als Antwort. Der CLOUD Act und ähnliche Drittstaaten-Zugriffsgesetze sind ein eigenes Risikofeld.

Zweitens: Wie sieht der Exit-Plan aus? Nicht als theoretische Option, sondern als konkrete Beschreibung, wie Daten und Prozesse in ein anderes System überführt werden könnten, wenn nötig. Wer das heute nicht beschreiben kann, hat sich in eine Abhängigkeit manövriert, die nicht zwangsläufig teuer war, aber im Ernstfall teuer wird.

Diese Fragen jetzt zu stellen, ist kein Panikmodus. Es ist Infrastruktur-Hygiene, die aus guten Gründen jetzt auf der Agenda steht.

Souveränität ist eine Architekturentscheidung

Tue, 15 Sep 2020 09:00:00 +0200

Die Corona-Krise hat 2020 vielen klar gemacht, was vorher Theorie war: Verwaltung muss auch dann liefern, wenn der Boden sich bewegt. Liefern heißt heute digital. Damit wird die Frage, wie souverän die Verwaltung dabei agieren kann, zur strategischen Hauptfrage. Sie gehört nicht mehr in die Schublade fürs Strategiepapier.

Souveränität ist keine Erklärung. Sie ist eine Architekturentscheidung.

Was Souveränität konkret bedeutet

Digitale Souveränität bezeichnet das selbstbestimmte Handeln im digitalen Raum: unabhängig von einzelnen Staaten und Anbietern entscheiden zu können, welche Software die Verwaltung einsetzt, wie sie weiterentwickelt wird und wer sie betreibt. Für die öffentliche Verwaltung ist das keine akademische Frage. Es ist die Voraussetzung dafür, dass eine Behörde im Krisenfall handlungsfähig bleibt – und nicht auf das Wohlwollen eines außereuropäischen Anbieters angewiesen ist.

Die Realität der deutschen Verwaltung sieht 2020 anders aus. Sie ist in weiten Teilen von wenigen großen Softwarekonzernen abhängig, allen voran Microsoft. Die vom Bundesinnenministerium beauftragte PwC-Studie aus dem September 2019 hat das nüchtern dokumentiert: ein Marktanteil von 84 Prozent allein bei Office-Paketen, eine Verzahnung von Outlook, Exchange und Windows Server, die Migration teuer und Wechsel praktisch unmöglich macht, dazu Lizenz- und Pflegekosten, die jedes Jahr neue Schmerzpunkte schaffen. Die Empörung war damals hoch und richtig. Wirklich verändert hat sich seit 2019 wenig.

Wer Souveränität ernst meint, fängt nicht mit der nächsten Strategie-Erklärung an. Sondern mit der nächsten Architekturentscheidung.

Open Source ist das Werkzeug, nicht das Bekenntnis

An dieser Stelle taucht regelmäßig die Open-Source-Frage auf, oft als Glaubensthema behandelt. Das ist aus zwei Richtungen falsch. Open Source ist weder das Wundermittel, das automatisch Souveränität liefert, noch eine Ideologie. Es ist ein Betriebsmodell – und was das für Verwaltungen konkret bedeutet, habe ich gesondert ausgeführt. Eines, das genau die Eigenschaften mitbringt, die Souveränität voraussetzt: Zugriff auf den Code, Möglichkeit zur Anpassung, Kontrolle über die eigene Roadmap, Auswahl bei Wartung und Support. Mehr als ein Anbieter darf das gleiche Produkt pflegen, und der Käufer entscheidet, wem er den Auftrag gibt. Nicht der einzige Hersteller, weil es niemanden sonst gibt.

Konkret bedeutet das nicht, einen US-Anbieter durch einen anderen zu ersetzen. Es bedeutet, eine Architektur zu bauen, in der jede Komponente austauschbar ist. Office-Anwendungen, E-Mail- und Kalendersysteme, Content-Management, Dokumentenmanagement, Videokonferenzen: für jeden dieser Bereiche existieren reife Open-Source-Stacks, die produktiv in Behörden laufen. Sie sind in der Regel nicht so eng integriert wie das Microsoft-Paket, und genau das ist der Punkt. Die Integration entsteht aus eigener Architekturarbeit, nicht aus Konzern-Vorgabe.

Mit GAIA-X, das im Sommer 2020 als deutsch-französisches Vorhaben Form annimmt, kommt erstmals ein europäischer Stack in Reichweite, der nicht von einem US-Hyperscaler abhängt. Auch die Bundescloud ist mehr als ein politisches Versprechen. Sie ist der Versuch, eigene Infrastruktur für die Bundesverwaltung zu bauen, in der Daten von Behörden und Ministerien geschützt liegen.

Diese Bausteine ersetzen nicht die Migration aus der Microsoft-Welt. Sie machen sie möglich. Dass das nicht von heute auf morgen geht, ist offensichtlich. Jede Neueinführung kostet Zeit, Geld und Nerven. Aber sie ist machbar, und die Alternativen liegen in Reichweite. Das Argument, „die Migration sei zu komplex", verschweigt, dass die Nicht-Migration ihre eigenen Kosten hat: weiter steigende Lizenzgebühren, weiter wachsende Lock-in-Effekte, weiter sinkender Verhandlungsspielraum.

Die europäische Frage steht dahinter

Der zweite Strang ist die europäische Perspektive. Eine Verwaltung, die ihre Daten in Rechenzentren auf US-amerikanischem Rechtsraum speichert, hat ein strukturelles Problem mit dem CLOUD Act und mit dem Schrems-II-Urteil des Europäischen Gerichtshofs vom 16. Juli 2020. Speicherort, Hoheit und Jurisdiktion lassen sich nicht entkoppeln. Die Kernaussagen des BfDI zu Schrems II sind in diesem Punkt unmissverständlich. Vertragliche Klauseln allein reichen nicht aus. Wer Datenschutz ernst nimmt, muss die Infrastruktur ernst nehmen, auf der die Daten liegen.

Die Konsequenz daraus ist nicht Autarkie. Die Konsequenz ist Wahlmöglichkeit. Die Verwaltung muss in der Lage sein, zwischen Optionen zu entscheiden. Nicht in einer Situation enden, in der nur noch eine übrig ist.

Souveränität ist Daseinsvorsorge

Digitale Souveränität ist 2020 kein IT-Thema im engeren Sinn. Sie ist Daseinsvorsorge. Genauso wie der Staat dafür sorgt, dass Strom, Wasser und Verkehr funktionieren, muss er dafür sorgen, dass die digitale Infrastruktur, auf der das Verwaltungshandeln läuft, ihm gehört. Und nicht jemand anderem.

Das passiert nicht in der Strategie-Sitzung. Das passiert in jeder Vergabe, in jedem Architektur-Review, in jedem Vertrag.

Souveränität ist eine Architekturentscheidung. Sie ist eine Beschaffungsentscheidung. Und sie ist, am Ende, eine Lieferaufgabe.

Nach Schrems II: Cloud-Souveränität wird operativ. – August 2020 im E-Government-Rückblick.

Mon, 31 Aug 2020 20:00:00 +0200

Ein Monat nach dem Schrems-II-Urteil. Was ist passiert? Wenig Konkretes. Viel Diskussion.

Datenschutzbehörden haben Stellungnahmen veröffentlicht, die im Kern bestätigen, was das Urteil sagt: Datenübermittlungen in die USA ohne angemessene Schutzmaßnahmen sind rechtswidrig. Konkrete Sanktionen: noch nicht. Konkrete Handlungsanleitungen: begrenzt.

Microsoft hat angekündigt, Datenspeicherung und Verarbeitung in Europa ausbauen zu wollen. Was das bedeutet: Die Daten könnten in Frankfurt oder Amsterdam liegen, aber der Anbieter bleibt ein US-Unternehmen, das dem CLOUD Act unterliegt. Europäische Server lösen das Schrems-II-Problem strukturell nicht.

Was Behörden jetzt wirklich tun können

Die Frage, die nach Schrems II alle beschäftigt, ist praktisch: Was tue ich jetzt, am Montag, mit meinen Microsoft-Verträgen?

Die pragmatische Antwort: Nichts Überstürztes. Schrems II hat keine Übergangsfrist definiert. Datenschutzbehörden haben angekündigt, Beschwerden nachzugehen, nicht proaktiv alle Behörden zu prüfen. Es gibt Zeit für eine geordnete Strategie.

Was eine geordnete Strategie erfordert: Erstens eine Datenklassifikation. Welche Daten verarbeite ich in welchen Systemen? Sensible Kategorien (Gesundheit, Sozialdaten, Personalakten) sind sofort priorisiert, andere können warten. Zweitens eine Alternativenbewertung für die priorisierten Systeme. Was gibt es in Europa? Was kann von GAIA-X-zertifizierten Anbietern bezogen werden? Drittens ein Migrationspfad, der in Jahren, nicht Wochen denkt.

Wer all das in einem Monat abschließen will, scheitert. Wer es in drei Jahren plant, schafft es.

Was an Microsoft-Kritik fair ist und was nicht

Die Kritik an Microsoft nach Schrems II ist manchmal schärfer als berechtigt. Microsoft ist kein böser Akteur. Es ist ein US-Unternehmen, das US-Recht unterliegt. Dass der CLOUD Act US-Behörden Datenzugriff erlaubt, ist eine Konsequenz der US-Rechtslage, nicht einer Kooperationsbereitschaft von Microsoft.

Was fair zu kritisieren ist: Der Lock-in, den Microsoft-Produkte in vielen Verwaltungen erzeugt haben. Wer 20 Jahre auf Microsoft-Produkten aufgebaut hat, kann nicht in zwei Jahren migrieren, auch wenn er das wollte. Dieser Lock-in ist das eigentliche Problem, nicht Microsoft als Anbieter.

Was das für Beschaffungsentscheidungen heute bedeutet: Jede neue Lösung, die eingeführt wird, sollte ein dokumentiertes Exit-Szenario enthalten. Nicht als Drohung gegen den Anbieter, sondern als Sicherheitsnetz gegen zukünftige Rechtsentwicklungen, die niemand vorhersagen kann.

Schrems II: Privacy Shield ungültig. Was das für öffentliche IT bedeutet. – Juli 2020 im E-Government-Rückblick.

Fri, 31 Jul 2020 20:00:00 +0200

Am 16. Juli 2020 erklärt der [Europäische Gerichtshof das Privacy Shield für ungültig](https://curia.europa.eu/juris/document/document.jsf?text=&docid=228677&pageIndex=0&doclang=DE&mode=lst&dir=&occ=first&part=1&cid=14530). Das Urteil in der Rechtssache C-311/18 (Schrems II) beendet sofort die Rechtsgrundlage für Datenübermittlungen in die USA auf Basis des Privacy Shield. Betroffen: alle Organisationen, die personenbezogene Daten von EU-Bürger:innen auf US-Servern oder über US-Dienste verarbeiten.

Betroffen, in unterschiedlichem Ausmaß, sind fast alle deutschen Bundesbehörden, Länder und Kommunen.

Was das Urteil konkret bedeutet

Der EuGH stellt fest: Die USA gewährleisten kein angemessenes Datenschutzniveau. Behörden wie NSA und FBI haben Zugriff auf Daten, der mit EU-Grundrechten nicht vereinbar ist. Das Privacy Shield, das diesen Mangel rechtsformell überspielen sollte, ist deshalb nichtig.

Was das für öffentliche Verwaltungen bedeutet: Wer US-Cloud-Dienste nutzt, etwa Microsoft 365, AWS oder Google Workspace, kann sich nicht mehr auf das Privacy Shield berufen. Als verbleibende Rechtsgrundlage kommen Standardvertragsklauseln (SCC) in Frage, aber der EuGH macht klar: Auch SCCs helfen nicht, wenn das Zielland strukturell keinen ausreichenden Schutz bietet.

Was das in der Praxis bedeutet: Datenschutzbehörden sind jetzt gefordert, Übermittlungen zu prüfen. Wer Microsoft 365 nutzt und personenbezogene Daten verarbeitet, steht vor einer Compliance-Frage ohne eindeutige Antwort.

Was öffentliche IT-Verantwortliche jetzt tun sollten

Die falsche Reaktion: Panic Procurement. Alle Microsoft-Verträge sofort kündigen, Open-Source-Alternativen in sechs Wochen einführen. Das ist nicht machbar und würde mehr Schaden als Nutzen bringen.

Die richtige Reaktion: Eine Inventur der Datentransfers in die USA, gegliedert nach Sensitivität der verarbeiteten Daten. Welche Systeme verarbeiten besonders schützenswerte Kategorien? Personalakten, Gesundheitsdaten, Sozialdaten? Diese haben höchste Priorität für eine Migration.

Für weniger sensitive Daten: Klärung mit dem jeweiligen Datenschutzbeauftragten, welche SCCs unter welchen Bedingungen als vorläufige Rechtsgrundlage akzeptiert werden. Das ist keine dauerhafte Lösung, aber es verschafft Zeit für eine strukturierte Migration.

Der mittelfristige Pfad: europäische oder deutsche Cloud-Anbieter für sensitive Verwaltungsdaten, US-Dienste wo unvermeidlich für unkritische Anwendungen, und ein klarer Zeitplan für die Verschiebung der Grenze.

Was Schrems II für GAIA-X und die OZG-Strategie bedeutet

Das Schrems-II-Urteil gibt der GAIA-X-Initiative politischen Rückenwind, den sie vorher nur bedingt hatte. Ein europäischer Datenraum mit GDPR-konformer Infrastruktur ist nach Schrems II keine strategische Vision, sondern eine rechtliche Notwendigkeit für alle, die Compliance dauerhaft sicherstellen wollen.

Für OZG: Neue Dienste, die im Rahmen des Konjunkturpakets entwickelt werden, sollten von Anfang an auf Infrastruktur laufen, die Schrems-II-konform ist. Was heute auf US-Infrastruktur aufgebaut wird, muss morgen migriert werden. Das ist keine Zukunftsprognose, sondern die Lehre aus dem Juli 2020.

Konjunkturpaket, Corona-Warn-App, GAIA-X. Ein Monat, drei Weichenstellungen. – Juni 2020 im E-Government-Rückblick.

Tue, 30 Jun 2020 20:00:00 +0200

Juni 2020 bringt drei Nachrichten, die alle auf dasselbe Thema einzahlen: Digitale Souveränität als praktische Politik.

Am 3. Juni beschließt die Bundesregierung ein Konjunkturpaket von 130 Milliarden Euro. Darin: drei Milliarden Euro für die Digitalisierung der öffentlichen Verwaltung, für OZG. Am 16. Juni startet die Corona-Warn-App als quelloffenes Projekt auf GitHub, entwickelt von SAP und Deutsche Telekom im Auftrag des Bundes. Am 4. Juni kündigen Frankreich und Deutschland gemeinsam GAIA-X als europäisches Cloud-Infrastrukturprojekt an.

Drei Milliarden Euro OZG-Budget. Eine Open-Source-App mit Millionen Downloads. Eine europäische Cloud-Vision.

Was das Konjunkturpaket für OZG ändert

Die drei Milliarden Euro für die Verwaltungsdigitalisierung sind das größte Digitalisierungs-Sonderbudget, das das OZG-Programm je hatte. Was das bedeutet: Finanzierungsengpässe, die bisher als Argument gegen schnellere Umsetzung dienten, sind für eine Weile kein Argument mehr.

Was es nicht ändert: die Kapazitätsfrage. Drei Milliarden Euro können nur dann zu Diensten werden, wenn Länder und Kommunen die Kapazität haben, sie einzusetzen. Was nützt ein Budget, wenn die IT-Dienstleister, die die Arbeit leisten müssten, bereits ausgelastet sind?

Die sinnvolle Verwendung des OZG-Sonderbudgets ist deshalb nicht nur Entwicklung neuer Dienste, sondern Kapazitätsaufbau: Stellen für kommunale IT, Schulungsprogramme für Nachnutzung, Betriebsfinanzierung für Komponenten wie BundID und Servicekonten. Wer drei Milliarden Euro vollständig in Neuentwicklung steckt, kauft Produkte ohne Betrieb.

Was die Corona-Warn-App zeigt

Die Corona-Warn-App ist am 16. Juni auf GitHub öffentlich. Das ist eine Premiere: Eine vom Bund finanzierte App mit offenem Quellcode, von Anfang an. Nicht als nachträgliche Transparenzgeste, sondern als Designentscheidung.

Was das Modell zeigt: Open-Source-Veröffentlichung öffentlich finanzierter Software ist technisch und rechtlich möglich. Es erfordert Willen, keine Gesetzesänderung. Die Sicherheitsreview durch die Community findet statt. Fehler werden schneller gefunden und gemeldet als bei geschlossenem Code.

Was das für den Rest des OZG-Programms bedeutet: Wer die Corona-Warn-App als Referenz nutzt, muss erklären, warum EfA-Dienste keinen offenen Quellcode haben. Das ist eine berechtigt unangenehme Frage.

Was GAIA-X leisten kann und was nicht

GAIA-X ist eine europäische Initiative, die Regeln für einen souveränen europäischen Datenraum definieren soll. Kein einzelnes Rechenzentrum, kein nationaler Cloud-Anbieter, sondern ein Rahmen, in dem interoperable, GDPR-konforme Cloud-Dienste entstehen können.

Was das für öffentliche Verwaltungen bedeutet: GAIA-X gibt langfristig Orientierung. Kurzfristig hilft es wenig. Wer heute eine Alternative zu AWS braucht, findet in GAIA-X kein Betriebsmodell, sondern eine Spezifikation.

Was es dennoch wert ist: GAIA-X schafft eine gemeinsame europäische Sprache für digitale Souveränität. Das ist die Voraussetzung für koordinierte Beschaffungsentscheidungen, die heute noch bilateral ausgehandelt werden.

Cloudstrategie und Datensouveränität. Was öffentliche IT jetzt entscheiden muss. – Oktober 2019 im E-Government-Rückblick.

Thu, 31 Oct 2019 20:00:00 +0100

Die Cloudstrategie der öffentlichen Verwaltung wird im Oktober 2019 intensiver diskutiert. Was auf dem Tisch liegt: Wie soll die öffentliche IT ihre Infrastruktur in den nächsten Jahren aufbauen? Welche Rolle spielen die großen Hyperscaler? Was bleibt in eigenen Rechenzentren? Und wer trägt welche Verantwortung in einem föderalen System?

Das sind keine abstrakten Fragen. Sie entscheiden über die technische Basis, auf der OZG-Dienste in den nächsten Jahrzehnten betrieben werden.

Was Datensouveränität konkret bedeutet

Der Begriff “Datensouveränität” taucht in der Diskussion über öffentliche Cloud-Infrastruktur häufig auf. Was er in der Praxis bedeutet, ist unschärfer als seine Verwendung suggeriert.

Datensouveränität bedeutet nicht zwingend, dass keine Daten auf ausländischen Servern liegen. Es bedeutet, dass rechtliche, technische und organisatorische Kontrolle über diese Daten gewährleistet ist. Ein US-amerikanischer Hyperscaler kann in einem europäischen Rechenzentrum operieren und trotzdem unter US-amerikanisches Recht fallen, wenn das Unternehmen in den USA gegründet ist.

Was das für öffentliche IT-Entscheider bedeutet: Die Frage “Wo liegt der Server?” ist die falsche Frage. Die richtige Frage ist: “Unter welchem Recht liegen meine Daten, und wer kann sie unter welchen Bedingungen herausgeben?” Diese Frage sollte vor jeder Cloud-Entscheidung beantwortet sein, nicht nach ihr.

Was Open Source für die Infrastrukturfrage leistet

Open-Source-Lösungen sind in der Cloudinfrastruktur-Debatte ein wiederkehrendes Thema. Was sie leisten können: Unabhängigkeit von Einzelanbietern, Nachvollziehbarkeit des Codes, und die Möglichkeit, die Software anzupassen, ohne auf Anbietergenehmigung angewiesen zu sein.

Was sie nicht lösen: den Betriebsaufwand. Open-Source-Software muss betrieben, aktualisiert und supportet werden. Das erfordert Kapazität, die in der öffentlichen Verwaltung nicht selbstverständlich vorhanden ist.

Was funktioniert: ein strategisches Commitment zu Open Source für kritische Infrastruktur, kombiniert mit realistischer Planung des Betriebsaufwands. Wer Open Source als Kostensparmaßnahme misversteht, unterschätzt den Aufwand. Wer es als Souveränitätsstrategie versteht und entsprechend investiert, bekommt ein Fundament, das langfristig trägt.

Was die GAIA-X-Diskussion ankündigt

Im Hintergrund wird an europäischen Cloud-Alternativen gearbeitet. Was im Oktober 2019 noch keine fertige Initiative ist, nimmt in diesen Monaten Konturen an: die Idee, europäische Cloud-Infrastruktur zu entwickeln, die nicht von US-amerikanischen oder chinesischen Hyperscalern abhängt.

Was das für öffentliche IT-Entscheider bedeutet: Die Landschaft wird sich in den nächsten Jahren verändern. Entscheidungen, die heute für 10 Jahre getroffen werden, sollten mit dieser Möglichkeit rechnen. Wer sich jetzt tief in proprietäre Hyperscaler-Architekturen einkauft, riskiert Abhängigkeiten, die später teuer zu lösen sind.

Was vernünftige Planung leistet: Architekturentscheidungen so treffen, dass ein Wechsel des Cloud-Anbieters in fünf Jahren möglich ist, ohne alles neu zu bauen. Das ist kein Widerspruch zur Nutzung von Hyperscalern. Es ist eine Anforderung an das Architekturdesign.

Trump-Wahl und digitale Souveränität. Was das für Europas IT bedeutet. – November 2016 im E-Government-Rückblick.

Wed, 30 Nov 2016 20:00:00 +0100

Am 8. November wird Donald Trump zum 45. Präsidenten der Vereinigten Staaten gewählt. Was das für die europäische Digitalpolitik bedeutet, ist im November 2016 noch unklar. Was absehbar ist: Die Verlässlichkeit transatlantischer Abkommen kann nicht als selbstverständlich angesehen werden.

Was die Trump-Wahl für den Privacy Shield bedeutet

Der Privacy Shield ist das Datenschutzabkommen zwischen EU und USA, das im August 2016 in Kraft getreten ist. Er regelt, unter welchen Bedingungen personenbezogene Daten aus der EU in die USA übertragen werden dürfen.

Was die Trump-Wahl daran ändert: Der Privacy Shield ist ein exekutives Abkommen, das von der US-Administration eingehalten werden muss. Was eine Administration, die Datenschutz und europäische Regulierungen nicht priorisiert, mit diesem Abkommen machen kann: es schwächen oder faktisch unterlaufen.

Was europäische Behörden, die US-Cloud-Dienste nutzen, jetzt prüfen sollten: Auf welcher Rechtsgrundlage werden Daten in die USA übertragen? Was passiert, wenn der Privacy Shield wegfällt oder ausgehöhlt wird? Welche Alternativen gibt es?

Das ist keine theoretische Frage. Sie ist für Behörden, die Microsoft 365 oder AWS nutzen, sehr praktisch.

Was die Cloud-Abhängigkeit öffentlicher IT bedeutet

Was europäische öffentliche Verwaltungen in den vergangenen Jahren getan haben: in erheblichem Maß US-amerikanische Cloud-Dienstleister für Infrastruktur, Kommunikation und Datenspeicherung genutzt. Was das im Normalbetrieb bedeutet: Effizienz und Funktionalität.

Was es im Krisenfall bedeutet: Abhängigkeit von Anbietern, die unter US-amerikanischem Recht operieren und damit dem Zugriff amerikanischer Behörden unterliegen. Der USA PATRIOT Act und seine Nachfolger erlauben unter bestimmten Bedingungen den Zugriff auf Daten, die auf US-Servern liegen.

Was das für die strategische Planung öffentlicher IT bedeutet: Eine vollständige Vermeidung US-amerikanischer Dienstleister ist kurzfristig nicht realistisch. Was realistisch ist: eine schrittweise Diversifizierung hin zu europäischen Alternativen für die sensibelsten Daten und Prozesse.

Was digitale Souveränität für die Verwaltungsdigitalisierung bedeutet

Was “digitale Souveränität” im November 2016 bedeutet: die Fähigkeit, digitale Infrastrukturen zu kontrollieren und unabhängig von außereuropäischen Anbietern zu betreiben, wenn es nötig ist.

Was das für das OZG und die Verwaltungsdigitalisierung bedeutet: Die digitalen Dienste, die in den nächsten Jahren entstehen, sollten auf einer Infrastruktur aufbauen, die dieser Anforderung genügt. Was das ausschließt: Cloud-Architekturen, die nur in einer proprietären US-Infrastruktur betrieben werden können und bei der kein Ausweichweg besteht.

Was das nicht ausschließt: die pragmatische Nutzung von US-Cloud-Diensten für unkritische Infrastruktur, kombiniert mit einer strategischen Investition in europäische Alternativen für kritische Daten.