Staatliche Akteure · Dr. Christian Knebel

Der Staat fährt schwarz. Oktober 2026 im E-Government-Rückblick.

Fri, 30 Oct 2026 20:00:00 +0100

Dieser Monatsrückblick hat diesmal einen Schwerpunkt. Normalerweise gehe ich hier mehrere Themen des Monats in ähnlicher Tiefe durch. Im Oktober hat ein Ereignis die Verwaltung so direkt getroffen, dass ich ihm den größten Teil des Textes gebe. Die übrigen Themen kommen am Ende kürzer.

Am 21. Oktober hat das PHP-Projekt Notfall-Updates für zwei Sicherheitslücken veröffentlicht, CVE-2026-109618 und CVE-2026-109619. Beide haben einen CVSS-Wert von 9,2, beide erlauben es Angreifern, ohne Anmeldung eigenen Code auf dem Server auszuführen. Beim Bundesamt für Sicherheit in der Informationstechnik (BSI) hielt Vizepräsident Thomas Caspers am selben Tag eine “kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates” für wahrscheinlich: “Es besteht also unverzüglicher Handlungsbedarf!” Berichtet wurde von der Warnstufe 3, Orange.

Was folgte, war eine Abschaltwelle durch alle Ebenen. Das ITZ Bund nahm mehrere Websites vorsorglich vom Netz, zeitweise waren laut KOMMUNAL auch RKI, Bundespolizei, Zoll und Bundesinnenministerium betroffen. In Hessen gingen hessen.de und die Seiten der Ministerien offline, dazu Kassel, mehrere Landkreise und zwei Unikliniken. Das Thüringer Landesrechenzentrum schaltete unter anderem Finanz- und Justizministerium ab. In Berlin traf es berlin.de und die Internetwachen der Polizei, beim Abgeordnetenhaus waren Teile der Website eingeschränkt, in Brandenburg Cottbus und mehrere Landkreise. Mainz, München, Dachau, Unna und Datteln stehen ebenfalls auf der Liste.

Deutschland war damit nicht allein. In Frankreich ließ das Innenministerium nach einer Empfehlung der ANSSI die Seiten der Präfekturen abschalten, in den Niederlanden gingen overheid.nl, MijnOverheid und DigiD vom Netz, in Finnland die öffentlichen Webdienste der Regierung über den Dienstleister Valtori. In Großbritannien waren 32 Regierungsdienste nicht erreichbar, in Australien sogar die Seite der nationalen Cyberbehörde, cyber.gov.au.

Offline heißt nicht gehackt, darauf hat die Forrester-Analystin Madelein van der Hout zu Recht hingewiesen: Die Abschaltung war eine “proportionate risk decision”. Spätestens seit dem 26. Oktober ist aber klar, dass die Vorsicht berechtigt war. Die US-Cyberbehörde CISA hat beide Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Abgeschaltet haben viele. Für die Pflege der Technologie dahinter bezahlt haben die wenigsten.

Vierzehn Jahre im Code, und einer hat für die Prüfung bezahlt

Der Fehler ist nicht neu. Betroffen sind alle Versionen zurück bis PHP 5.4, und die ist im März 2012 erschienen. Gefunden haben ihn im August Sicherheitsforscher mithilfe von Sprachmodellen: zuerst die Sicherheitsfirma Calif mit OpenAI, acht Tage später unabhängig davon Wiz, ebenfalls mit KI-Unterstützung (t3n). OpenAI-Präsident Greg Brockman kündigt an, man erwarte “many more such issues”.

Thomas Jarzombek, Parlamentarischer Staatssekretär im Digitalministerium, hat das auf LinkedIn sehr klar eingeordnet: “Software ist etwas grundlegend anderes als ein Schrank oder ein Elektroherd”. Produkte würden nie fertig, es gelte, einen durchgehenden Update- und Weiterentwicklungsprozess zu organisieren. Und: Was man bei PHP sehe, sei “keine Ausnahme oder ein einmaliges Problem, sondern im KI-Zeitalter das neue Normal”.

Für einen externen Blick in den Code bezahlt hat vorher genau eine Stelle. Das erste externe Sicherheitsaudit des PHP-Kerns seit über zehn Jahren hat 2024 die Sovereign Tech Agency bezahlt, eine Agentur des Bundes. Es brachte 17 sicherheitsrelevante Befunde und lieferte laut Sovereign Tech Agency einen Beitrag zur späteren Arbeit an der Ursache einer der beiden Lücken. Erste Hinweise auf den Fehler gab es dabei schon, gefixt wurde er damals nicht, weil sich das Entwicklerteam uneinig war und kein Angriffsweg bekannt war (t3n). netzpolitik.org nennt als Grund schlicht fehlende Ressourcen.

205.000 Euro hat die Sovereign Tech Agency 2023 und 2024 in die PHP Foundation gesteckt. Damit ist die Sovereign Tech Agency laut netzpolitik.org drittgrößte Geldgeberin der PHP Foundation, Jarzombek nennt den Bund ebenso den drittgrößten Unterstützer von PHP. Über alle Projekte hinweg hat die Sovereign Tech Agency in fünf Jahren über 60 Millionen Euro in mehr als 110 Vorhaben investiert. Die Sovereign Tech Agency handelt seit Jahren danach, dass Open Source Infrastruktur ist und Infrastruktur Wartung braucht. 💡

Der Rest des Staates fährt mit. Die PHP Foundation hat nach Auskunft ihrer Direktorin genau eine Vollzeitkraft, sie selbst, und 14 überwiegend in Teilzeit tätige Auftragnehmer. Auf der anderen Seite: Der Government Site Builder des Bundes, mit dem über 80 Bundesbehörden und -einrichtungen mehr als 250 Websites betreiben, zieht mit Version 11 auf TYPO3 und damit auf PHP um. Budget: 108 Millionen Euro über vier Jahre. Insgesamt hat der Bund von 2020 bis 2025 rund 3,1 Milliarden Euro für Software ausgegeben.

Ökonomen nennen das Trittbrettfahren. Alle nutzen das Gemeingut, kaum jemand zahlt für seinen Erhalt. Erik Möller von der Sovereign Tech Agency formuliert es so: Diese Lücke, “nicht irgendein einzelner Fehler, ist die eigentliche Schwachstelle”.

In der Verwaltung ist das Problem erkannt, Jarzombeks Beitrag zeigt das. Bei den Behörden, die PHP-Anwendungen betreiben, kommt diese Erkenntnis nach meinem Eindruck bisher kaum an. Und der Haushaltstitel, aus dem unter anderem die Sovereign Tech Agency finanziert wird, soll laut Regierungsentwurf 2027 leicht sinken, von 28,65 auf rund 28,3 Millionen Euro. Wer ein erfolgreiches Modell skalieren will, fängt so nicht an.

Wartung lässt sich kaufen

Es gibt mehrere Wege, das aktuelle Problem künftig zu vermeiden, keiner davon braucht ein neues Fachgesetz.

Der wirksamste liegt in der Vergabe. Sebastian Bergmann hat im September im Blog der PHP Foundation zwei Vorschläge von Tiffany Farriss (Drupal Association) aufgegriffen: 2 bis 5 Prozent des Auftragswerts für die Upstream-Wartung der genutzten Open-Source-Komponenten, und 20 Prozent der Wertungspunkte für nachweisbare Beiträge zu diesen Projekten. Auf das Budget des Government Site Builder umgelegt wären das zwischen 2,2 und 5,4 Millionen Euro über vier Jahre. Zum Vergleich: Die PHP Foundation hat 2025 insgesamt rund 730.000 Dollar eingenommen.

Der Vorschlag passt genauso auf Drupal, Nextcloud und viele andere populäre Open-Source-Lösungen, also auf alles, worauf die Verwaltung im großen Stil baut. Die EU-Kommission betreibt rund 770 Drupal-Seiten, die Nextcloud-basierte SIB-Box der Bundescloud hat etwa 300.000 Nutzende (PHP Foundation).

Der zweite Einstieg sind die Verträge. Die neuen EVB-IT machen Open Source seit März zum Standard in den Vertragsmustern für neue Entwicklungsprojekte. Das ist ein großer Schritt. Ein fester Wartungsanteil für die Upstream-Projekte gehört als nächstes hinein. Die Open Source Business Alliance hat dafür schon 2025 Auswahlkriterien vorgelegt: Nähe des Dienstleisters zur Community, Veröffentlichung von Änderungen upstream, Level-3-Support, Unterstützung der Lieferkette. Ihr Kernsatz: Das billigste Angebot ist meist nicht das wirtschaftlichste.

Der dritte Einstieg ist Enterprise Open Source, also Software mit Herstellersupport, bei dem die Wartung eingepreist ist. Was das wert ist, hat PHP2Shell gezeigt. Das PHP-Projekt hat reguläre Updates nur für die Versionen ab 8.2 veröffentlicht. Für 7.4 bis 8.1 gab es lediglich minimale Quellcode-Patches zum Selbstbauen, ansonsten hieß es “contact your vendor … or upgrade”. Wer einen Supportvertrag hatte, etwa über Ubuntu Pro, Red Hat oder Freexian ELTS für Debian, bekam auch für PHP 7.4 ein fertiges, getestetes Paket. Lückenlos war das nicht, auch dort war nicht jede Version abgedeckt. Der Unterschied ist die Zuständigkeit: Es gibt jemanden, der liefern muss.

Der vierte ist die Sovereign Tech Agency selbst. Jarzombek will ihr Modell skalieren und europaweit ausrollen, mit Mitteln der EU und des Digital Commons EDIC. Ein Pilot für einen europäischen Sovereign Tech Fund ist seit dem Frühjahr als eines der ersten Vorhaben des Digital Commons EDIC angekündigt, gemeinsam mit der Sovereign Tech Agency. Damit das nicht beim Pilot bleibt, braucht er einen Haushaltsansatz, der wächst.

Und wem die Kosten für solche Wartung zu hoch sind, dem sei als Beispiel das Projekt Civitas Connect ans Herz gelegt. Der Verein, in dem sich Kommunen und kommunale Unternehmen zusammengeschlossen haben, hatte für den 12. Oktober Dienstleister und Betreiber seiner Open-Source-Datenplattform eingeladen, mit einer einfachen Frage: “Wie wird aus einem erfolgreichen Open-Source-Projekt dauerhaft verlässliche digitale Infrastruktur?” Die Produkthoheit bleibt bei den öffentlichen Mitgliedern, die Unternehmen sollen sich an Pflege, Tests, Fehlerbehebung und Sicherheit beteiligen. 15 der 24 teilnehmenden Unternehmen haben eine Absichtserklärung unterschrieben, Grundsatz “Upstream first”.

Verbindliche Zusagen stehen da noch nicht drin. Ob aus der Absichtserklärung Geld und Personal werden, entscheidet sich beim nächsten Treffen am 9. November.

Wer nicht weiß, was läuft, kann nur den Stecker ziehen

PHP2Shell hat noch ein zweites Problem sichtbar gemacht. Mein Eindruck aus den Tagen danach: Viele Stellen haben vorsorglich abgeschaltet, ohne genau zu wissen, ob und wo sie betroffen sind. Der Bitkom hat am 21. Oktober geraten: “Wer Online-Anwendungen betreibt, sollte daher unbedingt prüfen, ob diese PHP verwenden …” Bei Log4Shell im Dezember 2021 klang der Rat ganz ähnlich: herausfinden, wo die Bibliothek überall steckt. Fast fünf Jahre, dieselbe Empfehlung.

Dass es anders geht, zeigen die Niederlande. Während overheid.nl, MijnOverheid und DigiD vorsorglich offline gingen, konnte die Regierung noch am selben Tag sagen, dass ein großer Teil ihrer Websites, darunter rijksoverheid.nl, kein PHP nutzt. Dafür muss man wissen, was man betreibt.

Thüringen zeigt die zweite Schwachstelle. Dort hieß es aus dem Digitalministerium: “Der Hersteller des Betriebssystems hat noch nicht für alle PHP-Versionen das entsprechende Update bereitgestellt.” Wer beim Patchen allein am Update-Kanal des Betriebssystem-Herstellers hängt, kann nur warten.

Das ist kein Einzelfall. Die ATHENE-Studie zur IT der Bundesministerien fand in mehreren Ministerien einen Apache-Webserver in einer Version, die über zwölf Jahre alt ist. Fast die Hälfte der über 2.182 aktiven kritischen Lücken stammte aus den Jahren 2015 bis 2017 (Datenstand Ende 2025). Bei PHP sieht es im Netz insgesamt nicht besser aus: Von den erreichbaren Servern mit sichtbarer Versionsangabe liefen am Tag vor den Patches 59 Prozent auf Versionen ohne Sicherheitsupdates. Und am 31. Dezember endet auch der Support für PHP 8.2.

Die Antwort darauf hat einen Namen: Software Bill of Materials, kurz SBOM, eine maschinenlesbare Stückliste aller Komponenten und Versionen. Der Cyber Resilience Act verpflichtet die Hersteller ab Dezember 2027 dazu, mindestens für die direkten Abhängigkeiten. Eine Pflicht, sie an öffentliche Auftraggeber herauszugeben, sieht er aber nicht vor. In den neuen EVB-IT ist die Übergabe einer SBOM eine Option, keine Pflicht.

Das reicht nicht. Die SBOM gehört verpflichtend in jeden Vertrag, nach dem Zuschlag, für die Lieferung und für jedes Update, und zwar vollständig. Ohne dieses Inventar lässt sich Patch-Management kaum automatisieren. Die neuen SBOM-Mindestanforderungen, die die CISA Ende Juli mit 17 Partnerbehörden veröffentlicht hat, darunter NSA, FBI und das BSI, sagen es deutlich: Für manuelle Prozesse ist das Volumen zu groß.

Open Source professionell zu betreiben heißt also: Inventar, Versionsstand, Update-Kanal, eine verantwortliche Stelle. Das haben in der öffentlichen Hand nur wenige auf dem Schirm. Ohne diese vier Dinge bleibt im Ernstfall genau eine Maßnahme, die immer funktioniert, und das ist der Stecker.

Ein Manifest für den eigenen Platz am Tisch

Themenwechsel. In diesem Monat ist ein Papier bekannt geworden, das genau diese Fragen hätte beantworten können. Govdigital, die Genossenschaft der öffentlichen IT-Dienstleister, hat ihr “Zielbild IT-Dienstleister und Govdigital 2030” schon am 24. Juni beschlossen. Präsentiert hat sie es den Mitgliedern Anfang Oktober, bei der Vorstellung des neuen “Haus der öffentlichen IT” in Berlin (Tagesspiegel Background, Paywall; ebenso). Acht Schwerpunkte stehen darin, darunter ein gemeinsames Leistungsversprechen, gebündelte Beschaffung souveräner Lösungen, die Konsolidierung und Professionalisierung des IT-Betriebs und eine neue Rollenverteilung: Flächenversorger für die kleinen Kommunen in der Region, Spezialversorger über Ländergrenzen hinweg, und für besonders kritische Leistungen mindestens zwei Anbieter, damit Ausfallsicherheit und Wettbewerb möglich bleiben. Open Source könne bei der gemeinsamen Beschaffung eine Rolle spielen, sei aber keine Voraussetzung, sagte Vorstandschef Martin Schallbruch (Tagesspiegel Background, Paywall). Öffentlich habe ich das Papier selbst nicht gefunden.

Der Druck, unter dem das Papier entstanden ist, lässt sich gut ablesen. Das ITZ Bund soll laut Referentenentwurf ab 2028 als Anstalt mit Zustimmung des BMDS auch Aufgaben für Länder und Kommunen übernehmen dürfen. Die KI-Cloud des Bundes über 250 Millionen Euro ging an zwei Konsortien, um T-Systems und SAP sowie um SVA, Schwarz Digits (STACKIT) und Codesphere. Die Betriebsplattformen der Deutschen Verwaltungscloud laufen auf IONOS und STACKIT, Dataport und IT.NRW managen sie. Und openDesk als Dienst über Govdigital betreibt zunächst exklusiv STACKIT. Das Haus der öffentlichen IT selbst versteht sich ausdrücklich als Ort “für eine stärkere Präsenz öffentlicher IT im politischen Berlin”.

Die Beteiligten sagen es selbst: Es seien “Fragen nach der Zukunft der Govdigital” aufgekommen, das Zielbild ist das Ergebnis des Strategieprozesses dazu (Tagesspiegel Background, Paywall). Ich lese das Manifest deshalb vor allem als Versuch, sich einen modernen Anstrich zu geben und im Spiel zu bleiben. Ganz ohne Substanz ist das nicht: Die Deutsche Verwaltungscloud ist seit April 2025 im Produktivbetrieb, die gemeinsame GenAI-Plattform läuft seit dem 13. Oktober. Und das Rollenmodell mit zwei Anbietern je kritischer Leistung ist richtig, weil es Wechselfähigkeit schafft.

Was fehlt, ist das Leistungsversprechen, das nur ein öffentlicher Dienstleister glaubwürdig abgeben kann. Tagesspiegel Background hält fest: “Wer künftig welche Leistungen verantwortet, bleibt bislang jedoch offen.” Die Professionalisierung des Betriebs steht als Schwerpunkt im Papier. Wie sie konkret aussehen könnte, hat PHP2Shell frei Haus geliefert: ein vollständiges Inventar für jede Kommune, automatisiertes Patch-Management und ein fester Wartungsbeitrag an die Projekte, auf denen der Verbund läuft. Ein transparentes Gesamtportfolio, das zeigt, welche Lösungen es schon gibt, ist ohnehin geplant. Das Inventar der Komponenten darunter wäre der nächste Schritt. Das wäre ein Grund, beim öffentlichen Dienstleister zu bleiben, statt direkt beim Cloud-Anbieter zu buchen. Ein guter erster Schritt wäre, das Zielbild zu veröffentlichen. Dann schaue ich es mir auch gern an und schreibe mehr dazu.

Kurz notiert

Zur Smart Country Convention vom 13. bis 15. Oktober habe ich einen eigenen Nachklapp geschrieben: Souverän ist, wer es draufdruckt. Dort geht es um das Wort, das auf fast jeder Messewand stand, und warum es ein Siegel braucht.

Der neue Digital Dependence Index der Universität Bonn und des Vodafone Instituts sieht Deutschland mit 0,73 (Datenstand 2023) auf einer Skala von 0 (unabhängig) bis 1 (vollständig abhängig) auf Rang 25 von 51 Ländern. Verschlechtert hat sich Deutschland seit 2010 vor allem bei Software und IT-Dienstleistungen, bei Plattformen liegt Europa insgesamt bei 0,98. Software und IT-Dienstleistungen sind allerdings der Teil, auf den die öffentliche Hand über ihre eigene Beschaffung am meisten Einfluss hat.

Beim Bürokratieabbau rechnen Regierung und Normenkontrollrat mit verschiedenen Zahlen. Die Bundesregierung meldet einen um mehr als zehn Milliarden Euro gesenkten Erfüllungsaufwand, im selben Bericht stehen bei den Bürokratiekosten “lediglich” rund 232 Millionen Euro Einsparung. Der Normenkontrollrat kommt auf einen Rückgang des Erfüllungsaufwands um rund 6,8 Milliarden Euro, überwiegend durch das Gebäudemodernisierungsgesetz, und auf jährliche Bürokratiekosten, die um rund 1,3 Milliarden Euro gestiegen sind. NKR-Chef Lutz Goebel weist darauf hin, dass ein Großteil der Entlastung Aufwand betrifft, “der in der Praxis noch gar nicht entstanden war”. Dazu kommen unterschiedliche Berichtszeiträume. Solange beide Seiten anders zählen, lässt sich keine Bilanz ziehen. Eine gemeinsam festgelegte Zählweise wäre der billigste Bürokratieabbau des Jahres.

Fazit und Ausblick

Am 2. und 3. November lädt die Bundesregierung zum Digital-Gipfel nach Berlin, Motto “Shaping AI: safe, sovereign, competitive”. Ein Jahr nach dem deutsch-französischen Gipfel zur digitalen Souveränität lohnt der Blick zurück. Im November 2025 gab es Investitionszusagen von über zwölf Milliarden Euro, eine deutsch-französische Taskforce und eine KI für die Verwaltung mit Mistral und SAP, deren Rahmenvertrag bis Mitte 2026 stehen sollte. Laut Digitalministerium ist er vorerst vom Tisch. Sichtbar geblieben ist vor allem das Digital Commons EDIC, und mit ihm der Pilot für einen europäischen Sovereign Tech Fund.

Ich war damals dabei und habe beim Begleitforum zur öffentlichen Beschaffung einen Workshop für das Digitalministerium gehalten. Bei der Grundfrage, was Souveränität in der Beschaffung heißt, sehe ich seitdem keinen Schritt Bewegung. Macron wollte eine klare europäische Präferenz, Merz hielt sie wohl nur in den Verwaltungen für durchsetzbar und setzte auf Sicherheitsvorgaben. Frankreich will die europäische Präferenz für Staat und Wirtschaft, Deutschland nur für die Verwaltung und über Sicherheitsvorgaben.

Am ersten Gipfeltag sitzen Jarzombek und Erik Möller von der Sovereign Tech Agency gemeinsam auf dem Panel “AI, Open Source and Digital Sovereignty”. Da wird sich zeigen, ob der Gipfel wieder schöne Fotos und Reden liefert oder eine Zahl: einen Haushaltsansatz für den europäischen Sovereign Tech Fund, oder einen festen Wartungsanteil in der Bundesbeschaffung. Abschalten kann jeder. Wartung muss man bezahlen.

Der Name war das Einfachste. September 2026 im E-Government-Rückblick.

Wed, 30 Sep 2026 22:23:16 +0200

Am 29. September hat die Initiative D21 den eGovernment MONITOR 2026 vorgelegt, und darin steht das Problem so klar, wie man es selten liest. 64 Prozent erwarten Verwaltungsleistungen genauso einfach online wie von Privatunternehmen, 15 Prozent sehen diese Erwartung erfüllt. 12 Prozent sagen, der Staat macht ihr Leben leichter. Jede zweite Person hat ihr letztes Verwaltungsanliegen vollständig offline erledigt, und 62 Prozent nutzen digitale Wege seltener, weil sie befürchten, am Ende doch analog weitermachen zu müssen. Das Vertrauen in den Staat liegt bei 32 Prozent.

Am selben Tag ist in Washington america.gov online gegangen: ein Eingabefeld, das Fragen in Alltagssprache beantwortet, gelegt über die Inhalte von rund 29.000 Websites der US-Bundesverwaltung. Dazu eine Executive Order, die jede Bundesleistung mit mehr als 100.000 Nutzenden im Jahr zur Anbindung verpflichtet, mit 90 Tagen Frist für die Leitlinien.

Das ist eine Antwort auf genau das Problem, das der Monitor beschreibt. Nicht die vollständige, aber die sichtbare. Wer nicht weiß, wo er anfangen soll, bekommt eine Stelle, an der er anfängt.

Bevor der Reflex kommt: america.gov löst die bequeme Hälfte. Mikey Dickerson, Gründungs-Administrator des US Digital Service, nennt es „the easiest 5% of the problem", und der Chatbot gab in den ersten 24 Stunden widersprüchliche Antworten auf politische Fragen. Zuständigkeiten, Programmdefinitionen, Datenhaltung bleiben auch dort unberührt.

Bei uns ist die Reihenfolge umgekehrt, und das lässt sich im September an einer einzigen Website ablesen. Wer wissen will, wie weit die Registermodernisierung ist, findet das auf noots.gov.de, der Wissensplattform der FITKO. Die Seite richtet sich an fachlich Verantwortliche, nicht an Bürger:innen, und sie ist sehr gut: eine Statusampel über 77 Registereinträge, drei Systeme, ein Flächenrollout in drei Stufen, Erfahrungsberichte aus abgeschlossenen Anschlussvorhaben. Nur sagen die Ampeln auch, wie weit es tatsächlich ist: zwei Einträge gelten als für das NOOTS ertüchtigt, 64 stehen ohne Aktivität. Und ein Datum gibt es nicht, weil der IT-Planungsrat erst „nach Vorliegen der technischen Voraussetzungen" mit den Fachministerkonferenzen beschließt, bis wann angeschlossen sein muss.

Das ist die unbequeme Hälfte, und sie ist richtig. Ohne Register bleibt jede Oberfläche ein Formular mit besserer Schriftart. Es ist nur die Arbeit, von der niemand etwas merkt, der sie am Ende benutzen soll. Wir arbeiten im Hintergrund und im Detail, sehr sorgfältig, und das Einzige, was in diesem September nach vorne sichtbar wurde, war ein Name.

Der Name war schneller fertig als die Spezifikation

Am 9. September hat das Digitalministerium der deutschen Eudi-Wallet einen Namen gegeben: d-you, mit rund 40 Partnern aus Wirtschaft, Wissenschaft und Verwaltung, Start am 2. Januar 2027. Das Ministerium erklärt den Namen selbst: „d" für digital und für Deutschland, „you" für Nutzerzentrierung.

Mich beschäftigt an dieser Stelle weniger das Logo als die Umbenennung an sich. „Wallet" ist der eine Begriff in diesem Feld, den die Leute schon kennen, und sie kennen ihn nicht von uns, sondern von Apple und Google. Wer eine digitale Brieftasche einführt, startet damit mit einem Vorsprung, den man nicht kaufen kann: ein Wort, das keine Erklärung braucht. d-you muss sich diesen Vorsprung erst erarbeiten.

Wie groß die Aufgabe ist, steht im eGovernment MONITOR, erhoben vor dem Namenstag: 19 Prozent haben von der Wallet gehört, 8 Prozent können sie richtig beschreiben. Zum Vergleich: die Online-Ausweisfunktion kennen 88 Prozent, genutzt haben sie 29 Prozent. Bekanntheit war also nie das Problem. Nutzen war es.

Helmut Krcmar von der TU München, Mitherausgeber der Studie, rät deshalb davon ab, die Wallet als solche zu bewerben, und stattdessen einzelne gut funktionierende Leistungen, mit der Wallet als Werkzeug (Tagesspiegel Background, Paywall). Da bin ich bei ihm, und das Material liegt schon vor. Die Pressemitteilung nennt für den 2. Januar drei Dinge, die tatsächlich gehen werden: das Alter nachweisen, rechtssicher einen Vertrag abschließen, ein Bankkonto eröffnen. Unter den Launch-Partnern stehen Rossmann, der Landkreis Harz, Dresden, Aachen und Heidelberg; in Sachsen laufen Dresden-Pass und Ehrenamtskarte schon als Anwendungsfall. Drei davon auswählen und nur über die reden. Der Rest kommt über die Nutzung.

Dass der Termin fällt, halte ich übrigens für ausgeschlossen. Er ist zu oft wiederholt worden, er steht in der Eidas-Verordnung, und das Digitale-Identitätengesetz war am 23. September in erster Lesung im Bundestag. Wer bis hierhin mitgegangen ist, geht nicht drei Monate vorher zurück.

Genau deshalb ist die Kommunikation der letzte verbliebene Hebel. Denn die technische Seite ist eng. Landes-CIOs beklagten im September, die technische Spezifikation nicht erhalten zu haben, Brandenburgs Ernst Bürger mit der Frage „Wie sollen wir das noch schaffen?", Sachsen-Anhalts Bernd Schlömer mit „Wir haben bislang noch gar kein Signal bekommen" (Tagesspiegel Background, Paywall). Das Ministerium hält dem entgegen, dass es keine eigene Installation brauche, weil die Bereitstellung über die bestehende Bund-ID-Infrastruktur läuft, und hat dafür einen Handlungsleitfaden im Self-Service-Portal hinterlegt. Beides stimmt gleichzeitig. Wer die Bund ID nutzt und einen angebundenen Dienst hat, muss wenig tun. Fünf Länder nutzen sie nicht.

Die Bund ID zählte im August 7.449.232 Konten. Das ist die Schiene, auf der d-you fahren soll, und sie trägt. Der Leitfaden liegt allerdings hinter einer Organisationsregistrierung mit Elster-Zertifikat. Wenn ich eine Sache an diesem Quartal ändern könnte, wäre es diese: das Dokument dahin legen, wo Kommunen tatsächlich nachsehen, und drei Leistungen benennen. Das kostet nichts und ist in zwei Wochen gemacht.

Zwanzig Teams, und ein Engpass, den der Staat selbst benannt hat

Am 14. September war ich bei der Mentor Madness in München, dem Kick-off der Prototyping-Phase der Mission „Deutschland, was geht?". Den Wettbewerb macht die Sprind, den Rahmen stellt in Kooperation die TU München. Ein Tag Gespräche mit Teams, die sich an Verwaltungsprozesse heranarbeiten, und mit Verwaltungsleuten, die dabei mit am Tisch sitzen.

Zwei Dinge sind mir geblieben. Erstens: die Ideen sind gut, und sie sind konkret. Zweitens, und das hat mich mehr überrascht: die kommunale Seite will. Da sitzen Leute, die nach vorn gehen wollen und das auch sagen.

Was die Teams vorhaben, listet die Sprind öffentlich, zwanzig Vorhaben, je bis zu 25.000 Euro, Prototyp bis Dezember, danach pitchen die besten vor dem Bundesdigitalminister, bis zu fünf Teams bekommen bis zu 100.000 Euro, und veröffentlicht wird auf openCode.de. Lesen Sie die Titel einmal hintereinander: „OneProof, Einreichen statt Nachreichen". „Nachweislich, Entscheiden statt Tippen". „Antragsfrei durch Push Government". „Treasure, das ausführbare Verwaltungsverfahren". „VergabeFit, ProcurDat trifft den Markt". Dazu Lexaru, eine KI-Fachanwendung für Ausländerbehörden und Jugendämter, und Parla vom CityLAB Berlin, das Verwaltungs- und Parlamentsdokumente durchsuchbar macht.

Keines dieser Vorhaben braucht ein neues Fachverfahren. Jedes braucht Zugang zu einem bestehenden. Und genau da hakt es, nach meiner Beobachtung immer an derselben Stelle: keine Schnittstelle, keine Testdaten, keine Gespräche. Nicht das Vergaberecht, nicht der Datenschutz, nicht das Geld.

Das ist keine Einzelbeobachtung von einem Mentorentag, und es ist auch keine These, die man dem Markt unterschieben muss. Der Staat hat sie selbst aufgeschrieben. Im Folgebericht zu offenen API-Ökosystemen, den Bremen für den IT-Planungsrat erstellt hat, steht der Satz: Schnittstellen böten „den etablierten Akteuren immer wieder Ansatzpunkte, ihre Marktmacht auszunutzen und neue Akteure am Zugang zu hindern oder für die Realisierung von Schnittstellen hohe Entgelte zu verlangen". Und ein paar Seiten weiter: Wenn die Produktpolitik von Herstellern darauf gerichtet sei, offene Schnittstellenstandards zugunsten eigener Online-Dienste zu unterlaufen, müsse ein digital souveräner Staat dagegen Lösungen finden. Der Bitkom formuliert es aus Anbietersicht nüchterner: „fehlende oder inkonsistente Schnittstellen stellen heute eine große Hürde bei der Digitalisierung dar", mit der Folge, dass Anbieter je Behörde individuelle Lösungen bauen.

Wer ein Fachverfahren betreibt, hat an einer offenen, dokumentierten Schnittstelle kein eigenes Interesse, weil sie den Zusatzauftrag ersetzt, der sonst bei ihm liegt. Das ist kein Vorwurf, das ist Betriebswirtschaft. Es ist nur nicht die Betriebswirtschaft der Kommune, die zahlt.

Der Hebel ist deshalb unspektakulär und liegt bei den Kommunen und Ländern selbst, nicht in Berlin. Was Startups brauchen, hat Berlin in seinem GovTech-Report ziemlich genau benannt: „gut dokumentierte APIs, einheitliche Datenformate und klare Nutzungsbedingungen". Das sind drei Zeilen, und sie gehören bei der nächsten Verlängerung eines Fachverfahrensvertrags nicht in die Wunschliste, sondern in die Leistungsbeschreibung, mit erreichbarer Testinstanz und als gewichtetes Zuschlagskriterium. Der IT-Planungsrat hat „API First" bereits beschlossen. Es fehlt die Stelle, die es in einen Vertrag schreibt. Eine Kommune kann das allein, und wenn eine es vormacht, kopieren es die anderen aus dem Vergabevermerk.

Warum der Staat das Fundament gebaut hat und nicht den Anwendungsfall

Die Spark-Module des Digitalministeriums sollen Planungs- und Genehmigungsverfahren beschleunigen, seit April laufend bereitgestellt, der komplette Workflow seit Juni, veröffentlicht auf Open Code. Gebaut haben es externe Dienstleister: Spark Workflow kommt von PwC, die Spark-API von Capgemini. Was das gekostet hat, wurde erst bekannt, nachdem jemand privat eine IFG-Anfrage gestellt und nach Fristüberschreitung nachgefasst hatte: 32,6 Millionen Euro für die Entwicklung, dazu Verpflichtungsermächtigungen von 54 Millionen bis 2029 (Tagesspiegel Background, Paywall).

Mein Eindruck ist: hier ist ein Tanker entstanden. Stuttgart hat Spark verprobt, und Thomas Bönig, CDO und CIO der Stadt, sagt, die Architektur sei für den kommunalen Eigenbetrieb schlicht ungeeignet und das System mit teils mehr als 50 KI-Agenten sehr fehleranfällig (ebd.). Stuttgart arbeitet stattdessen mit ChatSTR, und ChatSTR ist kein Eigenbau, sondern das Münchner MUCGPT unter anderem Namen. Nachnutzung, wie sie im Lehrbuch steht, zum Bruchteil der Summe.

Die Preisfrage ist dabei nicht die interessante. Interessant sind die Total Cost of Ownership, und die liegen bei einem System dieser Bauart so hoch, dass der Nutzennachweis strukturell schwierig wird. Wer Betrieb, Wartung, Anpassung und Schulung dagegenrechnen muss, bekommt am Ende eine Zahl, die niemand gern veröffentlicht.

Die eigentliche Frage ist eine andere, und sie ist unbequem: Warum hat der Staat hier so viel Fundament gebaut statt sich auf Anwendungsfälle und deren Nutzen zu konzentrieren? Ich glaube, die Antwort liegt in der Anreizrichtung, und sie hat nichts mit der Qualität der beteiligten Häuser zu tun. Ein Fundament lässt sich in Modulen, Releases und Betriebsjahren weiterschreiben, ein Anwendungsfall ist irgendwann fertig. Rund um eine Plattform entsteht Beratungsvolumen, rund um einen fertigen Anwendungsfall nicht. Wer das Fundament baut, hat nach der Abnahme einen Betriebsvertrag, wer den Anwendungsfall liefert, hat einen zufriedenen Sachbearbeiter. Ich habe das Anfang September ausführlicher aufgeschrieben: Wenn der Umsetzer gleichzeitig die Architektur empfiehlt, empfiehlt er die Architektur, die ihn braucht.

Wie es anders aussieht, lässt sich an zwei US-Bundesstaaten ablesen, nicht weil die weiter wären, sondern weil sie etwas anderes veröffentlichen. Nebraska hat den Assistenten des Verkehrsamts nach drei Monaten Pilot landesweit ausgerollt und nennt dazu 88.000 beantwortete Fragen, über 3.400 Weiterleitungen in Online-Dienste und bis zu 20 Prozent weniger Anrufvolumen. Kalifornien hat AskCA nach Lebenslagen gebaut und lässt Antworten von Fachleuten gegen verifizierte Quellen prüfen. Beide Zahlen gehören zu einem Anwendungsfall, nicht zu einer Plattform.

Der Pfad ist entsprechend klein. Vor dem nächsten Modul ein Verfahren benennen, eine Durchlaufzeit messen, einen Zielwert festlegen, und beides veröffentlichen. Und beim Thema Nachnutzung die Prüffrage ändern: nicht, ob der Code auf Open Code liegt, sondern ob eine Kommune ihn ohne Projekt betreiben kann. Open Code ist eine Bedingung, keine Nachnutzung.

Kurz notiert

Das Zendis öffnet sein Open-Desk-Partnerprogramm erstmals für privatwirtschaftliche Dienstleister, in drei Kategorien, wegen hoher Nachfrage. Und die Bundesdruckerei-Gruppe hat am 29. September eine Zusammenarbeit mit dem Zendis angekündigt, in der openDesk mit der genusecure Suite von genua zu einem Arbeitsplatz für Dokumente mit dem Grad „Verschlusssache, nur für den Dienstgebrauch" kombiniert werden soll. Beides ist Betriebsmodell, nicht Ideologie: ein Produkt, Partner mit Zulassungsverfahren, ein Sicherheitsniveau, nach dem Behörden konkret fragen. Den ersten gemeinsamen Showcase zeigen beide auf der Smart Country Convention vom 13. bis 15. Oktober in Berlin.

Schleswig-Holstein und Thüringen haben am 22. September in Erfurt eine Absichtserklärung zu Open Source und Law as Code unterzeichnet, zunächst ohne finanzielle Verpflichtungen. In Kiel arbeiten inzwischen mehr als 200 Beschäftigte der Staatskanzlei auf Linux, rund 20 Arbeitsplätze bleiben wegen Fachanwendungen auf Windows. Die Schweizer Bundeskanzlei stellt rund 3000 Mitarbeitende bis Ende 2027 auf einen Arbeitsplatz auf Open-Source-Basis um, erste Phase geschätzt 9 Millionen Franken.

Eine Auswertung der Open Knowledge Foundation zur Antwort der Bundesregierung auf eine Kleine Anfrage kommt auf mindestens 630 Millionen Euro, die 2025 aus dem Bundeshaushalt in Lizenzen für proprietäre Software geflossen sind. Das ist die Vergleichsgröße, an der sich jede Diskussion über die Kosten von Open Source messen lassen muss.

Seit dem 11. September gelten die Meldepflichten des Cyber Resilience Act, alle Anforderungen ab dem 11. Dezember 2027. Laut einer PwC-Umfrage unter 100 Industrieunternehmen halten sich drei Prozent für vollständig konform, die Hälfte hat keine externe Meldestelle. Dazu passt, dass Sovereign Tech Resilience am 28. September mit vier neuen Diensten neu gestartet ist, unter anderem CRA-Konformität für Open-Source-Projekte. Der Satz aus der Ankündigung, der hängen bleibt: „Finding bugs is getting easier; fixing them is not."

Und die Teilung des ITZ Bund zum 1. Januar 2027 ist nicht mehr zu halten, der Entwurf für die Gesetzesnovelle steckt in der Ressortabstimmung (Tagesspiegel Background, Paywall).

Fazit

Der September hat eine Diagnose geliefert und eine mögliche Antwort darauf, nur aus zwei verschiedenen Ländern. Der Monitor sagt, woran es liegt: die Leute finden nicht, was es gibt, und rechnen damit, am Ende doch zum Amt zu müssen. Washington hat daraufhin eine Oberfläche gebaut und damit die bequeme Hälfte erledigt. Wir haben die unbequeme Hälfte in Arbeit, ordentlich dokumentiert, mit zwei von 77 ertüchtigten Registereinträgen und ohne Termin.

Was fehlt, ist kein Budget und kein Gesetz. Es ist die Stelle, an der die Arbeit im Hintergrund für jemanden sichtbar wird. Konkret: welche drei Leistungen am 2. Januar wirklich funktionieren, und die Disziplin, nur über die zu reden. 19 Prozent haben von d-you gehört. Mit einer Marke holt man die anderen 81 nicht.

Mitte Oktober bin ich auf der Smart Country Convention. Ich werde an drei Dingen merken, ob sich etwas bewegt hat: ob bei d-you über Leistungen geredet wird statt über die Brieftasche, ob auf den KI-Folien Durchlaufzeiten stehen statt Modulnamen, und ob irgendwer für die Registeranbindung ein Datum nennt. Beim dritten Punkt bin ich mir selbst nicht sicher, ob ich es hören will.

Tiefenblick: Wenn der Berater zum Vertriebskanal wird; und "Abhängigkeit" verkauft.

Wed, 09 Sep 2026 10:12:48 +0200

Wie die KI-Partnerwelle von Anthropic und OpenAI die IT-Beratung neu verdrahtet, und was das für Verwaltungen bedeutet, die auf Souveränität setzen wollen.

Erste Ausgabe von Tiefenblick, der monatlichen Schwerpunktanalyse zu Marktbewegungen mit Bezug zur Verwaltungsdigitalisierung.

„adesso wird Partner von Anthropic und skaliert agentenbasiertes Software-Engineering für seine Kunden." So der Titel der Meldung im August 2026 (adesso). Der Titel sagt es bereits selbst: für seine Kunden, nicht nur für die eigene Belegschaft. Klingt trotzdem nach einer von hunderten Partner-Pressemitteilungen, die jede Woche irgendwo erscheinen.

Ist sie aber nicht. Sie ist ein Baustein in einem Muster, das sich seit rund einem Jahr durch die gesamte Beratungs- und Umsetzerlandschaft zieht. adesso ist dabei kein Zufallsbeispiel: Das Unternehmen zählt zu den größten IT-Dienstleistern für die deutsche öffentliche Verwaltung (adesso, Öffentliche Verwaltung).

Eine Partnerliste, die sich selbst erklärt

Fast jede große Beratung hat sich in den letzten Monaten öffentlichkeitswirksam an Anthropic, OpenAI oder beide gebunden. Entscheidend ist dabei, ob die Partnerschaft nur die eigene Belegschaft betrifft oder auch die Projekte, die für Kund:innen geliefert werden, denn genau dort entsteht der Lock-in-Hebel bei den Kund:innen selbst:

Accenture und Anthropic: Mehrjahrespartnerschaft mit eigener „Business Group", 2025 gestartet, 2026 um KI-gestützte Cybersecurity erweitert (Accenture Newsroom). Ausdrücklich nicht nur intern: „reinvention deployed engineers" bringen Claude „within client environments" zum Einsatz, öffentlicher Sektor wird als eigene Zielbranche genannt, wörtlich „AI agents that help citizens navigate complex government services" (Accenture Newsroom). Accenture ist parallel Gründungspartner von OpenAIs „Frontier Alliance" (Fortune).
Deloitte und Anthropic: bereits im Juli 2024 verkündet, mit dem erklärten Ziel, Claude-gestützte Anwendungen für „commercial and government clients" bereitzustellen, zunächst 15.000 geschulte Fachkräfte (Deloitte Newsroom). Im Oktober 2025 folgt die Ausweitung auf rund 470.000 Mitarbeitende, laut CNBC „Anthropics größter Enterprise-Rollout überhaupt" (CNBC).
KPMG und Anthropic: globale Allianz, Claude fest in die interne Plattform „Digital Gateway" integriert, 276.000 Mitarbeitende betroffen, verkündet Mai 2026 (KPMG). Ausdrücklich auch für Mandant:innen gedacht: „clients can build agentic workflows in real time" (KPMG). Zwei Monate später wird KPMG zusätzlich „Elite Partner" von OpenAI für „headless software" (Fortune).
PwC und OpenAI: bereits im Mai 2024 offizieller Resellerpartner für ChatGPT Enterprise, OpenAIs Global Head of Alliances wird zitiert mit „PwC becomes our largest customer, but they’re also our first partner who’s going to be reselling ChatGPT enterprise", über 100.000 Lizenzen, davon 75.000 in den USA und 26.000 im Vereinigten Königreich (Business Standard). Im Mai 2026 kommt eine erweiterte Anthropic-Allianz hinzu: 30.000 US-Fachkräfte werden auf Claude zertifiziert, mit geplanter Ausweitung auf „hunderttausende" Mitarbeitende weltweit. Claude läuft dabei laut Anthropic bereits produktiv in Kundenprojekten, u.a. „professional sports operations, insurance underwriting, mainframe modernization, HR transformation, and cybersecurity" (Anthropic).
BCG und McKinsey: beide Gründungspartner der OpenAI Frontier Alliance, deren erklärter Zweck es ist, „AI-driven transformations" bei den eigenen Klient:innen zu skalieren, also kein internes Werkzeug, sondern ein Kundenangebot (BCG), beide zusätzlich mit eigenen Anthropic-Allianzen unterwegs (VentureBeat). McKinsey selbst nutzt daneben seit Sommer 2023 mit „Lilli" ein rein internes KI-Tool für die eigene Beratungsarbeit, nach eigener Aussage „LLM-agnostisch" und unter anderem auf OpenAI-Modellen über Microsoft Azure sowie auf Modellen von Cohere basierend, kein Produkt, das an Mandant:innen verkauft wird (VentureBeat). Die Frontier Alliance von 2026 ist bei McKinsey damit keine neue Öffnung zu OpenAI, sondern die öffentliche, kundenseitige Bestätigung einer Bindung, die intern schon länger bestand.
Capgemini: nicht nur Partner, sondern direkter Investor in die „OpenAI Deployment Company", ebenfalls im Rahmen der Frontier Alliance und damit auf Kundentransformationen ausgerichtet (Capgemini).
IBM und Anthropic: Claude wird in „select IBM software products" integriert, aktuell in „private preview" bei ausgewählten Kund:innen, verkündet Oktober 2025 (IBM Newsroom). IBM nennt „expedited FedRAMP hardening" als Anwendungsfall, das US-Zulassungsverfahren für Cloud-Dienste in der Bundesverwaltung, ein konkreter Public-Sector-Bezug (IBM Newsroom).
Cognizant und Anthropic: „Global Premier Partner", über 30.000 Mitarbeitende Claude-geschult, verkündet Juli 2026. Unter der Überschrift „Cognizant puts Claude to work for clients" nennt Anthropic konkrete Kundenprojekte, darunter ein Kundenerfahrungsportal für einen globalen Hersteller und ein Vertragsanalyse-System für ein Biopharma-Unternehmen (Anthropic).
TCS und Infosys: klar auf das Kundengeschäft ausgerichtet. TCS baut eine eigene Business Unit „focused on deploying Anthropic’s AI models to its customers" auf, parallel erhalten auch die gut 50.000 eigenen Mitarbeitenden Zugang zu Claude, verkündet Juni 2026 (TechCrunch). Infosys entwickelt „enterprise-grade AI agents" auf Claude-Basis für seine Kund:innen, verkündet Februar 2026 (Futurum); alle drei indischen IT-Dienstleister (TCS, Infosys, Cognizant) sind zusätzlich in OpenAIs Codex-Partnerprogramm.
Salesforce und Anthropic: „Claudeforce", Claude wird direkt ins CRM-Produkt eingebettet, das an Kund:innen verkauft wird, Salesforce-Daten wandern umgekehrt in Claude, verkündet August 2026 (Salesforce).
EY, in einer globalen Initiative mit Microsoft, dem größten Anteilseigner von OpenAI, mit dem erklärten Ziel, Klient:innen beim Skalieren von KI zu unterstützen (Microsoft News).

Das ist keine vollständige Liste, es gäbe noch mehr Beispiele. Aber es reicht, um den Punkt zu machen: Es gibt praktisch keinen großen Berater mehr, der nicht an einen oder beide der dominierenden KI-Anbieter angedockt hat, und in den meisten Fällen ausdrücklich nicht nur für die eigene Belegschaft. Mehrere Namen, KPMG, PwC, Accenture, BCG, McKinsey, tauchen sogar doppelt auf.

Und die großen IT-Umsetzer und Integratoren

Neben den klassischen Strategie- und Prüfungsberatungen ziehen auch die IT-Umsetzer und Systemintegratoren mit, die im öffentlichen Sektor unmittelbar Projekte liefern:

DXC Technology und Anthropic: globale Mehrjahresallianz, verkündet Juni 2026, ausdrücklich für die „mission-critical technology infrastructure systems", die DXC für Großkunden betreibt. DXC nennt „government agencies" explizit als Kundengruppe, neben Banken, Airlines und Versicherern, und will „tens of thousands of forward-deployed, Claude-certified engineers" direkt in Kundenumgebungen einsetzen. Getestet wurde zunächst am eigenen Betrieb, DXC nennt das die „Customer Zero philosophy" (DXC Newsroom).
NTT DATA und OpenAI: Codex-Einsatz bislang vor allem intern, nach eigenem „Client Zero"-Prinzip: 9.000 aktive Nutzer:innen, Incident-Analysen von drei Tagen auf 30 Minuten verkürzt. Die Externalisierung zu Kundenprojekten ist laut OpenAI-Case ausdrücklich die nächste Stufe, aber zum Zeitpunkt der Veröffentlichung noch nicht abgeschlossen (OpenAI). NTT DATA ist auch im deutschen öffentlichen Sektor ein etablierter IT-Dienstleister, ein öffentlich dokumentierter Zusammenhang zur Codex-Partnerschaft besteht dafür bislang nicht.
Deutsche Telekom / T-Systems und OpenAI: Mehrjahreskooperation, verkündet im Dezember 2025, mit zwei Strängen: eigene KI-Produkte für Millionen Endkund:innen in Europa sowie interne ChatGPT-Enterprise-Nutzung zur Kundenbetreuung (OpenAI). T-Systems ist parallel einer der zentralen IT-Partner der deutschen Verwaltung, unter anderem mit der Betriebs- und Vertriebskonzession für den BundesMessenger und einem eigenen Geschäftsbereich „Öffentlicher Sektor" (T-Systems). Ein direkter Zusammenhang zwischen der OpenAI-Kooperation und diesen Verwaltungsprojekten ist öffentlich nicht dokumentiert, beide Fakten stehen für sich.
ServiceNow und Anthropic: verkündet Ende Januar 2026, Claude wird Standardmodell für den „ServiceNow Build Agent" und in die ServiceNow AI Platform integriert, parallel intern bei ServiceNow selbst für Vertrieb und Entwicklung genutzt (Anthropic). ServiceNow wird auch in deutschen Behörden als IT-Service-Management-Plattform eingesetzt, ein öffentlicher Nachweis, dass die Anthropic-Integration dort bereits ankommt, liegt nicht vor.

Diese vier ergänzen die Beraterliste um eine zweite Ebene. Es sind nicht nur die Berater, die sich binden, sondern auch die Plattformen und Umsetzer, über die Behörden am Ende tatsächlich Software beziehen.

Zwei Netzwerke, ein Geschäftsmodell dahinter

Wer nur auf die Pressemitteilungen schaut, sieht Technologiepartnerschaften. Wer auf die Finanzierungsstruktur schaut, sieht etwas anderes.

Im Mai 2026 haben Anthropic und OpenAI parallel eigene Joint Ventures für Enterprise-Vertrieb gegründet. Anthropics Venture, mit 1,5 Milliarden Dollar bewertet, wird von Blackstone, Hellman & Friedman und Goldman Sachs mitgegründet, mit Apollo, General Atlantic, GIC, Leonard Green und Sequoia als weiteren Investoren. OpenAIs „Deployment Company" kommt auf 10 Milliarden Dollar Bewertung, getragen von TPG, Brookfield, Advent und Bain Capital. Als Vorbild für das Modell nennt die Berichterstattung Palantirs „Forward Deployed Engineer"-Ansatz: Fachleute sitzen direkt beim Kunden, statt Software von außen zu verkaufen (TechCrunch).

Der entscheidende Satz aus der Berichterstattung: Diese Ventures erhalten „preferred sales access" zu den Portfoliounternehmen ihrer Investoren. Übersetzt heißt das: Die Finanzinvestoren, die an Beratungen, Softwarehäusern und Industriekonzernen beteiligt sind, öffnen ihren Portfoliofirmen bevorzugten Zugang zum jeweiligen KI-Anbieter, und umgekehrt.

Das ist kein Software-Partnering mehr. Das ist ein Vertriebsnetzwerk, das über Kapitalbeteiligungen verdrahtet wird. Die Beratung ist darin nicht Kunde, sie ist Vertriebskanal. Das Beratungshaus zertifiziert Mitarbeitende, trainiert sie auf ein bestimmtes Modell, und bekommt dafür bevorzugten Zugang und, je nach Konstruktion, eine Beteiligung am Geschäft. Wessen Interesse dabei zuerst bedient wird, das des Kunden oder das der Partnerschaft, lässt sich von außen nicht mehr trennscharf beurteilen.

Man kann diese Entwicklung nicht nur als Abhängigkeitsfalle lesen. Die Beratungen selbst begründen ihre Partnerschaften mit echten Effizienzgewinnen: schnellere Projektlaufzeiten, geringere Fehlerquote bei Routineaufgaben, spürbare Entlastung der eigenen Teams. Das ist nicht per se falsch. Nur beantwortet es nicht die Frage, wer am Ende entscheidet, welches Modell für welche Behörde die richtige Wahl ist, wenn Berater und Anbieter wirtschaftlich zusammengehören.

Was „Lock-in" hier konkret heißt

Bei KPMG und OpenAI zeigt sich, wohin das führt. Das Konzept heißt „headless software": Mitarbeitende navigieren nicht mehr durch Bildschirme und Softwaremodule, sie beschreiben Absichten, ein KI-Agent koordiniert die Aktionen im Hintergrund über mehrere Systeme hinweg (Fortune).

Klingt nach Effizienzgewinn. Ist es vermutlich auch. Aber der Princeton-Forscher Arvind Narayanan bringt im selben Artikel den Kern des Problems auf den Punkt: Der KI-Agent wird zur „Wissensdatenbank, die man nicht feuern kann, ohne dass jedes Team Workflows verliert". Ein Kollege, der nicht mehr gekündigt werden kann, ohne dass die Organisation stillsteht.

Eine unabhängige Analyse der OpenAI Frontier Alliance beschreibt drei konkrete Mechanismen (DeepHumanX):

Die Plattform wird tief in CRM-, HR- und Workflow-Systeme verwoben, ein Wechsel wird zur Geschäftsunterbrechung.
Die Organisation hängt an der Preis- und Produktentscheidung eines einzelnen Anbieters.
Und jede künftige KI-Investition muss sich an der Kompatibilität zur bestehenden Plattform messen lassen, bevor sie überhaupt geprüft wird.

Das ist die Definition von Lock-in. Nur diesmal nicht auf Ebene der Software allein, sondern auf Ebene von Software und Beratung gleichzeitig, weil beide beim selben Anbieter andocken.

Der Blick auf Deutschland: drei Fälle, die zeigen, worum es geht

Bislang ist das ein internationales, überwiegend privatwirtschaftliches Muster. Für die deutsche Verwaltung lässt es sich an drei aktuellen Fällen konkret machen.

Erstens, der Agentic AI Hub des BMDS. Im Juni 2026 meldet das Bundesministerium für Digitales und Staatsmodernisierung den Abschluss einer dreimonatigen Pilotphase: neun Startups, 19 Kommunen, 20 Pilotprojekte, fast 600 Bewerbungen (BMDS). Die Pressemitteilung betont Souveränität ausdrücklich, „autonom agierende Systeme" sollen „die Handlungsfähigkeit des Staates" sichern und Deutschland „als souveränen Technologiestandort" stärken, gestützt auf eine „souveräne KI-Cloud" und den Deutschland-Stack. Welche Modelle in den 20 Pilotprojekten tatsächlich laufen, nennt die Mitteilung nicht.

netzpolitik.org ordnet das kritisch ein: Kommunale Chatbots wie BärGPT in Berlin, Gerda Bürki in Gersheim oder JOST in Hagen laufen faktisch auf Systemen wie Gemini, Copilot oder ChatGPT. Für genau diese Systeme fand eine Studie der European Broadcasting Union im Oktober 2025 branchenweit eine Fehlerquote von rund 45 Prozent bei generierten Antworten. Ob sich das eins zu eins auf die Verwaltungs-Chatbots übertragen lässt, untersucht die Studie nicht, netzpolitik.org stellt die Verbindung explizit als naheliegende, aber unbewiesene Vermutung dar, nicht als Beleg (netzpolitik.org). Stefan Kaufmann von Wikimedia Deutschland bringt den eigentlichen Engpass auf den Punkt: Verwaltungen speichern ihr Wissen in Dokumenten statt in strukturierten, maschinenlesbaren Daten. Genau das, nicht ein weiteres Sprachmodell, wäre die Voraussetzung für verlässliche KI-Agenten (netzpolitik.org).

Zweitens, Copilot Chat in Niedersachsen. IT.Niedersachsen testet mit mehreren Landesressorts „Copilot Chat von Microsoft" und will ihn zeitnah für alle Nutzer:innen des NiedersachsenClient ausrollen. Zur Absicherung verweist die Landes-IT auf einen „geschützten Unternehmensmodus" mit technischen und vertraglichen Schutzmaßnahmen (IT.Niedersachsen). Welches Modell konkret hinter Copilot Chat arbeitet, wird auf der Seite nicht spezifiziert, Microsofts eigene Copilot-Produkte laufen auf OpenAI-Modellen. Ein Bundesland bindet sich damit an dieselbe Anbieterkette, die auch die globale Berater-Partnerwelle antreibt, nur über den Umweg Microsoft statt über eine direkte Anthropic- oder OpenAI-Partnerschaft.

Drittens, Accentures Auftritt auf der Smart Country Convention 2025. Accenture zeigt dort seine Plattform „NAV AI" für „modular, sicher, souverän" digitalisierte Verwaltungsprozesse und „KI-Superagenten" (Smart Country Convention). Weder Anthropic noch OpenAI werden dabei genannt, ebenso wenig ein anderer Modellanbieter. Dabei nennt Accenture in der eigenen globalen Anthropic-Partnerschaft den öffentlichen Sektor ausdrücklich als Zielbranche, dort ist wörtlich von „AI agents that help citizens navigate complex government services" die Rede (Accenture Newsroom). Auf der eigenen Verwaltungsmesse bleibt genau diese Verbindung unausgesprochen. Das ist selbst ein Befund: Wenn eine Beratung, die gleichzeitig Gründungspartner der OpenAI Frontier Alliance ist und öffentlich für Behörden-KI auf Anthropic-Basis wirbt, ihre konkrete Verwaltungsplattform mit dem Wort „souverän" bewirbt, ohne offenzulegen, welches Modell darunterliegt, ist Intransparenz kein Nebeneffekt des Lock-in-Problems. Sie ist ein eigenständiger Teil davon.

Warum das für die Verwaltung eine andere Kategorie ist

Für ein privates Unternehmen ist das ein Geschäftsrisiko, das es selbst abwägen kann. Für eine Behörde ist es etwas anderes.

Vendor Lock-in steht ohnehin auf der Sorgenliste jeder IT-Leitung, die gerade von proprietärer auf offene Software umstellen will. CLOUD Act, das Schrems-II-Urteil des EuGH und die NIS2-Richtlinie machen Datenhoheit und Anbieterprüfung zur Compliance-Pflicht, nicht zur Kür, das BSI hat dafür inzwischen einen eigenen Kriterienkatalog für KI-Modelle in der Bundesverwaltung veröffentlicht (BSI). Wenn jetzt zusätzlich der Berater, der bei der KI-Einführung beraten soll, selbst zertifizierter Partner mit Umsatzinteresse am gleichen Anbieter ist, verschiebt sich etwas Grundsätzliches: Die Instanz, die eigentlich unabhängig prüfen sollte, welcher Ansatz zur Behörde passt, hat ein eigenes Interesse an einer bestimmten Antwort.

Das ist kein Vorwurf an einzelne Berater:innen. Die Fachleute bei adesso, KPMG oder Accenture arbeiten mit dem, was ihr Haus anbietet, das ist normal. Der Punkt ist strukturell: Eine Partnerschaft mit Zertifizierungsquoten, Trainingszielen und Umsatzbeteiligung erzeugt einen Anreiz, der nicht verschwindet, nur weil er im Beratungsgespräch nicht ausgesprochen wird.

Wer als Behörde eine KI-Architektur ausschreibt und dabei einen Umsetzer bucht, der zufällig Select Partner, Elite Partner oder Global Premier Partner eines der beiden großen Anbieter ist, bekommt keine neutrale Empfehlung. Er bekommt die Empfehlung, die zur Partnerschaft passt.

Für eine Behörde kommt eine zweite Ebene hinzu, die ein Unternehmen so nicht hat: der OZG-Umsetzungsdruck. Im Bitkom-DESI-Index 2026 liegt Deutschland beim Gesamtranking auf Platz 17 von 27 EU-Staaten, in der Teilkategorie Digitalisierung der öffentlichen Verwaltung sogar nur auf Platz 22 (Bitkom, Haufe). Wer unter diesem Druck liefern muss und gleichzeitig zu wenige eigene Fachkräfte hat, greift eher zum Anbieter, der die schnellste Lösung verspricht, nicht zu dem, der die unabhängigste Architektur liefert. Genau in diesem Moment, unter Druck, mit knappem Personal, entscheidet sich häufig, ob eine Behörde in fünf Jahren noch verhandeln kann oder nur noch verlängern.

Was die Bundesverwaltung selbst schon anders macht

Interessant ist, dass die Bundesverwaltung sich in ihren eigenen Grundlagenpapieren längst gegen genau das Muster positioniert, das die Beratungswelt gerade vorlebt.

Ein erstes konkretes Beispiel liefert der Bund bereits im November 2025: Gemeinsam mit Frankreich startet er eine Initiative mit Mistral AI und SAP für souveräne KI in der Verwaltung, mit vier Schwerpunkten von intelligenten ERP-Systemen bis zu digitalen Assistenzsystemen für Bürger:innen. Die Begründung ist deutlich: „Über 80 Prozent der digitalen Werkzeuge, auf die wir uns verlassen, werden außerhalb Europas entwickelt, betrieben oder kontrolliert", heißt es in der gemeinsamen Erklärung, die das Format ausdrücklich als „offen für weitere europäische Anbieter" beschreibt (BMDS). Kein Zertifizierungsprogramm, keine Elite-Partner-Stufe, sondern eine direkte Regierungsinitiative mit einem europäischen Modellanbieter, ohne Beratungshaus dazwischen.

Im Dezember 2025 veröffentlicht das ÖFIT-Kompetenzzentrum am Fraunhofer FOKUS im Auftrag des BMDS eine Studie zu großen Sprachmodellen in der Bundesverwaltung. Der Befund: Bundesbehörden setzen bislang überwiegend auf Eigenentwicklungen, quelloffene Systeme, interne Hosting-Infrastruktur und austauschbare Modelle, ausdrücklich nicht auf marktdominante LLM-Anbieter. Die Studie empfiehlt zusätzlich geteilte KI-Hardware-Ressourcen von Bund und Ländern, ein europäisches quelloffenes Verwaltungs-LLM und verpflichtende Souveränitätsprüfungen für kritische Projekte (BMDS, ÖFIT). Digitalminister Karsten Wildberger wird mit dem Satz zitiert, man sei „bereits auf dem richtigen Weg, eine solide Grundlage für unabhängige KI-Lösungen in der Bundesverwaltung zu schaffen".

Das ist fast wörtlich die Gegenthese zur Partnerwelle der Beratungen: hier Austauschbarkeit und Eigenkontrolle als Ziel, dort Zertifizierungsquoten und Umsatzbeteiligung an genau zwei Anbietern.

Gleichzeitig zeigt der Bundesrechnungshof, wie weit Anspruch und Umsetzung noch auseinanderliegen. In einem Bericht von Anfang August 2026 moniert er beim Deutschland-Stack fehlende Risikoanalysen, unzureichende technische Standards und mangelnde Transparenz bei der Fortschrittskontrolle, bei einem geplanten Start Anfang 2028 (it-boltwise). Die Studie liefert die richtige Zielrichtung. Die Beschaffungspraxis liefert sie noch nicht.

Der Ausweg: Architektur vor Beschaffung

Das ist kein Grund, KI-Einsatz in der Verwaltung zu verschieben. Das wäre die falsche Schlussfolgerung. Der Druck, Verwaltungsprozesse mit KI zu unterstützen, ist real und wird nicht kleiner.

Fünf Punkte, die sich aus der Analyse ableiten lassen:

Architektur zuerst, Anbieter danach. Wer offene Schnittstellen, dokumentierte Datenflüsse und Modell-Agnostik als Ausschreibungskriterium festlegt, bevor er sich für einen Anbieter entscheidet, verhindert genau die Verwebung, die einen späteren Wechsel zur Geschäftsunterbrechung macht. Der Grundsatz ist derselbe wie bei Open-Source-Software: nicht das Modell entscheidet über die Souveränität, sondern die Architektur drumherum. Die eigene ÖFIT-Studie der Bundesverwaltung liefert dafür bereits die Blaupause, und die Mistral-SAP-Initiative von Bund und Frankreich zeigt, dass sich das auch auf Regierungsebene direkt umsetzen lässt, nicht nur als Studienempfehlung.

Beratung und Vertrieb trennen. Wer strategisch berät, welcher KI-Ansatz zur Behörde passt, sollte kein zertifizierter Partner des Anbieters sein, den er am Ende empfiehlt, erst recht nicht, wenn die Partnerschaft ausdrücklich für Kundenprojekte gilt und nicht nur für das eigene Haus. Das ist derselbe Maßstab, den man an jede andere Beschaffungsberatung auch anlegt. Er wird bei KI aktuell selten angewendet, weil das Thema neu wirkt. Ist es aber nicht.

Modell-Transparenz zur Ausschreibungsbedingung machen. Das NAV-AI-Beispiel von Accenture zeigt, wie leicht sich „souverän" sagen lässt, ohne zu sagen, welches Modell dahintersteckt. Jede Ausschreibung sollte verlangen, dass der Anbieter offenlegt, welches Modell, welcher Betreiber, welcher Rechtsraum, und wem dieser Anbieter aktuell gehört. Der BSI-Kriterienkatalog für KI-Modelle in der Bundesverwaltung liefert dafür bereits einen Prüfrahmen.

Eine Behörde reicht als Vorbild. Die Architekturfrage muss niemand für den gesamten Bund im ersten Anlauf lösen. Der Agentic AI Hub zeigt mit 19 beteiligten Kommunen bereits, dass sich Pilotformate organisieren lassen. Eine Kommune, die dokumentiert, wie sie Modell-Agnostik in ihre Ausschreibung übersetzt hat, liefert die Vorlage, die andere übernehmen können.

EfA-Logik auf KI übertragen. Was bei Fachverfahren längst Prinzip ist, eine Lösung bauen, die andere nachnutzen können, fehlt bei KI-Architekturen bislang komplett. Jede Behörde verhandelt einzeln mit denselben zwei oder drei Anbietern, während die Anbieterseite längst konsolidiert über Beratungsnetzwerke koordiniert. Eine gemeinsame Referenzarchitektur, offen dokumentiert und zwischen Ländern geteilt, wie sie die ÖFIT-Studie mit einem europäischen quelloffenen Verwaltungs-LLM andeutet, würde die Verhandlungsposition der Verwaltung stärken, ohne dass eine einzelne Behörde das Risiko allein tragen muss.

Keiner dieser fünf Punkte verlangt, auf Claude, ChatGPT oder ein anderes Modell zu verzichten. Sie verlangen nur, dass die Behörde die Architekturentscheidung trifft, bevor der Berater sie für sie trifft.

Was das für die nächste Entscheidung heißt

Die Partnerliste am Anfang dieses Artikels wird bis Jahresende länger, nicht kürzer. Das ist keine Prognose, das ist die Fortschreibung eines Trends, der sich seit einem Jahr in derselben Richtung bewegt.

Für Verwaltungen heißt das nicht: abwarten. Es heißt: die Architekturentscheidung von der Anbieterentscheidung trennen, bevor beide gemeinsam vom selben Berater kommen, der möglicherweise auch noch am Anbieter beteiligt ist. Wer das in der nächsten Ausschreibung schon mitdenkt, muss später nicht zurück, und muss auch nicht auf den für 2028 geplanten Deutschland-Stack warten, um damit anzufangen.

Einmal sterben, dauerhaft sparen. August 2026 im E-Government-Rückblick.

Mon, 31 Aug 2026 09:22:21 +0200

Der Bundestag ist seit der Sitzungswoche vom 6. bis 10. Juli in der Sommerpause, zurück ist er erst im September. Auch das Kabinett tagte erst am 25. und 26. August wieder, zur ersten Klausur “nach der Sommerpause” (taz.de; Bundesregierung). Aufgefallen ist mir dieses Jahr trotzdem das Gegenteil von Stille: Am 31. Juli ein Bundesrechnungshofbericht zum Deutschland-Stack, am 21. August eine vom IT-Planungsrat beauftragte Standardstudie, am 25./26. August die Klausur selbst, am 31. August ein offener Brief des Databund, alle vier zum selben Grundproblem.

Der Bundesrechnungshof hat Ende Juli festgestellt, was in der Verwaltung längst niemand mehr bestreitet: Der Deutschland-Stack hat noch immer keine verbindlichen Standards, kein übergreifendes Berichtswesen und kein Werkzeug, mit dem sich sein eigener Fortschritt messen ließe (Bericht nach § 88 Abs. 2 BHO; netzpolitik.org). Drei Wochen später lässt der IT-Planungsrat zusammen mit Sachsen-Anhalt eine weitere Studie vorstellen, die klären soll, welcher von zwei konkurrierenden Standards die Verwaltung eigentlich braucht (Tagesspiegel Background, Paywall). Und am letzten Tag des Monats warnt der Databund den IT-Planungsrat schon vor jeder Entscheidung vor deren Folgen.

An Standards mangelt es nicht. An einem Enddatum schon.

Der Rechnungshof zählt, was fehlt

Der Bericht vom 31. Juli liest sich wie eine Liste dessen, was ein Jahr nach dem Stack-Beschluss noch nicht existiert. Verbindliche Standards für den Stack sollen laut Zeitplan des Ministeriums erst Anfang 2028 stehen, offen bleibt dabei, ob die längst laufenden Komponenten wie Fit-Connect, das Nationale Once-Only-Technical-System oder die Eudi-Wallet damit überhaupt kompatibel sind. Ein übergreifendes Berichtswesen fehlt weiterhin. Das zentrale Steuerungswerkzeug PMflex, eigentlich binnen vier Monaten einsatzbereit, wird laut Rechnungshof erst 2027 nutzbar sein. Die Ziele der Modernisierungsagenda selbst bleiben, so der Befund, vage und ohne belastbare Kennzahlen formuliert.

Diese Kritik ist keine Momentaufnahme. Die Antwort des BMDS auf eine Kleine Anfrage der Grünen im Bundestag zeigt für denselben Sommer: Von 26 bis Ende Juni zu erreichenden Zielen sind 14 nicht fristgerecht umgesetzt (Tagesspiegel Background, Paywall). Der Zustimmungsvorbehalt für Digitalausgaben verschiebt sich um ein weiteres Quartal auf den 31. Dezember, die zentrale Behördeninventur wird erst Ende des Jahres fertig, und für die Zendis-DevOps-Plattform, eigentlich Ende März fällig, gibt es keinen neuen Termin mehr. Der Bitkom-Digitalmonitor vom Juli zeigt für die Digitalvorhaben der Bundesregierung insgesamt ein ähnliches Bild: Von 221 Vorhaben sind erst zwölf Prozent vollständig abgeschlossen, 57 Prozent stecken noch in der Umsetzung (Bitkom).

Der Rechnungshof fordert damit im Kern nicht mehr Tempo. Er fordert eine Zahl pro Ziel. Das wäre, verglichen mit allem anderen in diesem Bericht, die billigste Reparatur des Sommers: kein neues Programm, sondern ein Kennzahlen-Regime, dessen Fehlen auch etwas kostet.

Zwei Standards, eine Studie, keine Entscheidung

Es geht um die Frage, mit welchem Transportstandard Behörden künftig Daten austauschen, und die Kostenfrage aus dem Rechnungshofbericht zieht sich hier direkt weiter.

Die erste Front verläuft zwischen OSCI und Fit-Connect. Staatssekretärin Anke Pörksen hatte den IT-Planungsrat aufgefordert, endlich eine Vorentscheidung zu treffen. Der Databund antwortete am 31. August mit einem offenen Brief: OSCI laufe seit zwanzig Jahren zuverlässig in der Innenverwaltung, stoße aber an Grenzen, sobald Bürgerportale beteiligt sind. Genau dafür sei Fit-Connect entwickelt worden. Beide Standards beantworten laut Databund unterschiedliche Sicherheitsfragen, ein Vergleich der einmaligen Umstellungskosten falle zwar zugunsten von Fit-Connect aus, blende aber die laufenden Kosten und unrealistische Annahmen aus. Die Forderung des Verbands: beide Standards im Deutschland-Stack behalten, bestehende Investitionen schützen, Priorität auf noch nicht digitalisierte Prozesse legen (Tagesspiegel Background, Paywall).

Die zweite Front verläuft zwischen den deutschen Standards insgesamt und internationalen Alternativen. Die Fraunhofer-IESE-Studie, in Auftrag gegeben vom IT-Planungsrat und von Sachsen-Anhalts CIO Bernd Schlömer, hat OSCI und XTA mit Fit-Connect, dem Once-Only-System Noots und mit dem estnischen X-Road sowie dem EU-Standard eDelivery AS4 verglichen. Ergebnis, vorgestellt am 21. August: Die deutschen Lösungen sind ausgereift, aber technisch teils veraltet und ohne europäischen Anschluss. International etablierte Standards gelten als robust, werden in Deutschland aber kaum genutzt. Eine Empfehlung liefert die Studie ausdrücklich nicht, das sollen jetzt Architekturboard und Standardisierungsboard übernehmen. Bemerkenswert dabei: Kosten und rechtliche Fragen waren von vornherein aus dem Untersuchungsauftrag ausgeklammert, also genau die beiden Variablen, an denen die Entscheidung am Ende hängt (Tagesspiegel Background, Paywall).

Das ist nicht die erste Verzögerung mit Ansage. Schon im März 2025 hatte der IT-Planungsrat in einer eigens so benannten “Eskalationsentscheidung” beschlossen, eine unabhängige Studie in Auftrag zu geben und parallel drei Jahre lang Bremens Personalkosten für die OSCI- und XTA-Beratung zu finanzieren, ausdrücklich nur “bis zum Vorliegen der Ergebnisse der Studie” (IT-Planungsrat, Beschluss 2025/18). Die Ergebnisse liegen jetzt vor. Entschieden ist trotzdem nichts, weil die Studie die Kostenfrage von Anfang an nicht stellen sollte.

Während in Berlin die dritte Runde Gutachten gelesen wird, verbindet Schleswig-Holstein längst estnische Technik mit dem eigenen Registernetz. Seit Juni 2025 läuft dort der Aufbau einer eigenen X-Road-Infrastruktur, mit Pilotverfahren in der Einbürgerungsverwaltung, bei Wohngeld, Jugendämtern, Kita-Trägern und Rettungsdiensten, landesweiter Rollout für dieses Jahr angekündigt (X-Road Schleswig-Holstein). Wer sich an die X-Road anschließt, wird laut Betreibern automatisch NOOTS-kompatibel, der Konflikt zwischen deutschem Registernetz und estnischem Vorbild löst sich damit in der Praxis auf, bevor er in Berlin überhaupt entschieden ist (eGovernment.de). Mecklenburg-Vorpommern kooperiert seit Oktober 2025 mit Schleswig-Holstein in genau diesem Themenfeld, neben gemeinsamen Datenpools, IT-Resilienz und Open Source (Landesregierung Mecklenburg-Vorpommern). Thüringen geht noch einen Schritt weiter: Die neue Digitalstrategie “Smart State” enthält einen eigenen Abschnitt namens “Thüringen Road”, ausdrücklich am estnischen Vorbild orientiert und neben Noots als zweite tragende Säule gedacht, nicht als ideologisches Bekenntnis zu Open Source, sondern, so die Strategie selbst, als gezielter, pragmatischer Einsatz (Thüringer Landtag, Drucksache 8/2958).

Was nützt dem Rechnungshof-Befund von oben ein drittes Gutachten, wenn drei Länder das Prinzip längst im Wirkbetrieb testen? Ein Standard wie X-Road, seit 2001 in Estland produktiv im Einsatz (X-Road History), muss nicht neu erfunden werden, genau das macht ihn günstig. Die Fraunhofer-Studie bestätigt das technisch, ohne es aussprechen zu dürfen, weil sie nach Auftrag gar nicht durfte.

Der Databund hat mit seiner Sorge um bestehende Investitionen nicht unrecht, das Argument ist ehrlich gemeint. Trotzdem ist der Reflex dahinter das eigentliche Problem: die Vorstellung, ein einmal eingeführter Standard müsse grundsätzlich bewahrt werden, nur weil irgendwer ihn irgendwann bezahlt hat. Genau das kann sich ein föderaler Stack nicht leisten. Abschalten gehört zur Technik dazu, gerade bei Standards, sonst wächst die Verwaltung jedes Jahr um eine weitere Schnittstelle, die niemand mehr abbestellt.

Zwischen Pörksens Wunsch nach einer schnellen Vorentscheidung und Databunds Wunsch, beides für immer zu behalten, liegt eine dritte Option: eine einmalige, bezahlte Migrationsfrist für die Kommunen, mit Ankündigung und festem Enddatum für den unterlegenen Standard. Das kostet kurzfristig echtes Geld, mehr als der offizielle Kostenvergleich heute ausweist. Aber es bleibt billiger als der ewige Parallelbetrieb plus die nächste kostenblinde Studie plus die nächste Beratungsfinanzierung für Bremen. Ein Stack funktioniert über Vorgaben mit wenigen Ausnahmen, nicht über eine Dauerschleife aus Vergleichsgutachten. Etwas muss sterben dürfen, einmal richtig bezahlt und dann beendet, statt für immer in Watte gepackt und alle drei Jahre neu begutachtet.

Kurz notiert

Nicht alles im August war Verzögerung. Der Noots-Staatsvertrag ist seit dem 17. August vollständig ratifiziert, Bund und alle 16 Länder haben ihre Urkunden hinterlegt, der Flächenrollout ist für das vierte Quartal angekündigt (eGovernment.de). Der neue “Kombiantrag” für Unternehmensgründungen verbindet erstmals Gewerbeanmeldung und steuerliche Erfassung in einem Prozess, zunächst an acht Pilotstandorten von Aachen bis Nordfriesland (BMDS). Baden-Württemberg und Niedersachsen sind ans neue Justiznetz angeschlossen, als erste Anwendung läuft das gemeinsame Fachverfahren GeFa (move-online.de). Und im Abschlussbericht zum Agentic-AI-Hub des BMDS sanken die Durchlaufzeiten komplexer Antragsverfahren in den 20 Pilotprojekten aus 19 Kommunen um mehr als 90 Prozent, Runde zwei ist bereits ausgeschrieben (move-online.de; Kommune21).

Ein Sammelsurium bleibt übrig, das jeweils einen eigenen Beitrag verdient hätte, aber keinen ganzen Monatsrückblick: Beim offenen Schweizer Sprachmodell Apertus liegt die Trefferquote bei einfachen Anfragen inzwischen bei 82 Prozent und damit knapp vor GPT-4o-mini, bei anspruchsvolleren Antworten bleibt der Rückstand mit einer Faithfulness von 0,50 zu 0,79 aber deutlich (liip.ch). Das Düsseldorfer Start-up Kauz AI kombiniert auf einer No-Code-Plattform mehrere Sprachmodelle zu Firmen-Chatbots und wirbt mit europäischer Datenverarbeitung (germantech.org), während Stripe mit der Übernahme von OpenRouter für über sieben Milliarden Dollar selbst zum Modell-Router-Anbieter wird (TechCrunch). Und die Bundesdruckerei hat mit dem MÖVE-Benchmark einen ersten öffentlichen Vergleich von über 50 Sprachmodellen für die Verwaltung veröffentlicht, bewertet nach Leistung, Sicherheit, Governance und Ressourcenschonung (ots.at).

Fazit

Vier Dokumente in einem Monat, der eigentlich Sommerpause war: der Rechnungshofbericht vom 31. Juli, die Fraunhofer-Studie vom 21. August, die Kabinettsklausur vom 25./26. August, der Databund-Brief vom 31. August. Und am Ende keine einzige Entscheidung darüber, welcher Standard bleibt. Während in Berlin das nächste Papier gelesen wird, tauschen Kita-Träger, Jugendämter und Rettungsdienste in Schleswig-Holstein schon heute produktiv Daten über X-Road aus, kein Testballon mehr, sondern Alltag. Estland hat sich diesen Standard nicht geleistet, weil das Land reich ist. Estland konnte ihn sich leisten, weil es sich 2001 entschieden hat und seitdem keine neue Vergleichsstudie mehr bestellen musste.

KI-Kennzeichnung in Behörden und Politik: Was ab dem 2. August gilt und was nur behauptet wird

Mon, 03 Aug 2026 12:36:12 +0200

Im Juni hat „Die Zeit" die Texte von Bundesdigitalminister Karsten Wildberger durch eine Analysesoftware geschickt. Ein Gastbeitrag im „Handelsblatt" vom April stammte demnach fast vollständig von einer KI, ein Text in der „Frankfurter Allgemeinen Sonntagszeitung" vom März überwiegend, eine Rede vor dem Atlantic Council im Juli 2025 komplett. Auch in mehreren Bundestagsreden fand die Software deutliche Spuren. Die Redaktionen wussten davon nichts, wie das Digitalministerium später bestätigte. Man lege über KI eben nicht anders Rechenschaft ab als über eine Textverarbeitung.

Zwei Tage vorher war der thüringische Ministerpräsident Mario Voigt in dieselbe Lage geraten. Die FAZ zog seinen Gastbeitrag zurück und sperrte ihn im Archiv.

Seitdem höre ich in Verwaltungen immer wieder denselben Satz: Ab August sei so etwas verboten. Das stimmt nicht. Nach meiner Lektüre der Vorschrift wäre der Fall Wildberger auch unter neuem Recht durchgegangen. Und ausgerechnet die Begründung des Ministeriums liefert den Grund dafür.

Vier Pflichten, die ständig durcheinandergeraten

Seit dem 2. August 2026 gilt Artikel 50 der KI-Verordnung. Er enthält vier eigenständige Transparenzpflichten, die unterschiedliche Rollen treffen. Aus dieser Unterscheidung entsteht praktisch die gesamte Verwirrung.

Absatz	Adressat	Inhalt
Abs. 1	Anbieter	Ein KI-System, das direkt mit Menschen interagiert, muss sich als KI zu erkennen geben
Abs. 2	Anbieter	Ausgaben maschinenlesbar markieren und erkennbar machen (Wasserzeichen, Metadaten, C2PA)
Abs. 3	Betreiber	Betroffene informieren, wenn Emotionserkennung oder biometrische Kategorisierung eingesetzt wird
Abs. 4	Betreiber	Deepfakes offenlegen sowie KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren

Anbieter ist nach Art. 3 Nr. 3 KI-VO, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein fremdes System in eigener Verantwortung verwendet.

Für die allermeisten Verwaltungen heißt das: Sie sind Betreiber. Wer Copilot, ChatGPT oder Gemini nutzt, muss keine Wasserzeichen einbauen. Diese Pflicht liegt bei OpenAI, Microsoft und Google. Die österreichische KI-Servicestelle der RTR hat das in einer sehr brauchbaren Übersicht aufbereitet, die ich Verwaltungen gerne weitergebe, weil sie die Systematik klarer darstellt als die meisten deutschen Ratgeber.

Anders sieht es aus, sobald eine Behörde einen eigenen Bürger-Chatbot beauftragt und ihn unter ihrem Namen betreibt. Dann rutscht sie in die Anbieterrolle und damit in die Pflichten aus Absatz 1 und 2.

Der Satz, der Wildberger gerettet hätte

Absatz 4 ist die Vorschrift, an der sich Verwaltungen und Politik reiben werden. Er verlangt eine Offenlegung für veröffentlichte KI-Texte über Angelegenheiten von öffentlichem Interesse. Die Leitlinien der EU-Kommission zählen dazu ausdrücklich Politik und demokratische Prozesse, öffentliche Verwaltung und öffentliche Dienstleistungen. Die Pressemitteilung eines Ministeriums fällt darunter. Der LinkedIn-Post eines Landesamts zur neuen Onlineleistung ebenso.

Dann kommt der zweite Unterabsatz, und der hebt die Pflicht wieder auf. Sie entfällt, wenn zwei Bedingungen zusammen erfüllt sind: Der Text hat eine inhaltliche menschliche Prüfung oder redaktionelle Kontrolle durchlaufen, und eine natürliche oder juristische Person trägt die redaktionelle Verantwortung für die Veröffentlichung. Eine Rechtschreibprüfung genügt dafür ausdrücklich nicht, verlangt wird eine echte Prüfung von Tatsachen und Quellen.

Mit dieser Ausnahme hat das Digitalministerium seinen Fall verteidigt. Vor jeder Rede stehe eine Vorbesprechung, das Redenreferat erarbeite Inhalt und Argumentation, KI diene als Sparringspartner. Bevor etwas in die Rede gehe, „muss ein Mensch prüfen, ändern und entscheiden".

Das ist wortgenau der gesetzliche Ausnahmetatbestand. Ein Gastbeitrag erscheint unter dem Namen des Ministers, die redaktionelle Verantwortung ist damit zugeordnet. Die Kennzeichnungspflicht wäre entfallen.

Damit liegt der eigentliche Befund offen. Was in der Debatte um Wildberger und Voigt verhandelt wurde, war nie eine Rechtsfrage. Es war eine Frage darüber, worauf Redaktionen und Öffentlichkeit sich bei einem Text verlassen können, der einen Namen trägt.

💡 Artikel 50 verlangt Transparenz über die Maschine. Wer für einen veröffentlichten Text geradesteht, muss die Organisation selbst regeln.

Fünf Sätze, die kursieren und nicht stimmen

„Ab dem 2. August muss jeder KI-Text gekennzeichnet werden." Nur veröffentlichte Texte über Angelegenheiten von öffentlichem Interesse, und auch die nur ohne menschliche Prüfung und benannte Verantwortung. Interne Vermerke, Protokollzusammenfassungen und Mails fallen nicht darunter.

„Der Digital Omnibus hat alles verschoben." Die Digital-Omnibus-Verordnung (EU) 2026/1744 ist Ende Juli 2026 in Kraft getreten und hat die Pflichten für Hochrisiko-KI auf Ende 2027 verschoben. Artikel 50 blieb unangetastet, die Kommission nennt den 2. August 2026 unverändert als Anwendungsbeginn. Wer den Omnibus als generelle Verschnaufpause liest, liegt falsch.

„Wir brauchen jetzt Wasserzeichen in unseren Dokumenten." Das ist Anbieterpflicht nach Absatz 2. Als Betreiber schulden Sie eine sichtbare, für Menschen wahrnehmbare Offenlegung, keine Technik.

„Auf jede Behörde kommen Bußgelder bis 15 Millionen Euro zu." Der Rahmen aus Art. 99 Abs. 4 KI-VO stimmt für Unternehmen. Für deutsche Behörden gilt er nicht, dazu gleich mehr.

„Am sichersten ist ein KI-Verbot im Haus." Verbote produzieren Schatten-KI auf privaten Geräten, und dort greift keine Ihrer Regeln. Die Alternative ist eine Dienstanweisung, die Nutzung erlaubt und Verantwortung zuordnet.

Was Behörden in Deutschland konkret erwartet

Das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz ist am 29. Juli 2026 in Kraft getreten, nachdem der Bundestag es am 11. Juni beschlossen und der Bundesrat am 10. Juli hat passieren lassen. Deutschland hatte die unionsrechtliche Frist zur Behördenbenennung zuvor um fast ein Jahr überzogen, wie Karsten Löw bei LTO nachzeichnet.

Drei Punkte daraus sollten Sie kennen.

Erstens die Zuständigkeit. Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde und Anlaufstelle, bei ihr entsteht mit KoKIVO ein Koordinierungs- und Kompetenzzentrum. Für KI-Systeme öffentlicher Stellen der Länder liegt die Aufsicht allerdings bei den nach Landesrecht zuständigen Behörden. Das ist wegen der Eigenstaatlichkeit der Länder verfassungsrechtlich zwingend, in der Praxis aber ein offener Punkt: In den meisten Ländern ist diese Stelle noch nicht benannt. Wenn Sie in einer Landes- oder Kommunalverwaltung arbeiten, ist das Ihre erste Frage an die Rechtsaufsicht.

Zweitens die Sanktion. § 17 Abs. 2 KI-MIG nutzt die Öffnungsklausel des Art. 99 Abs. 8 KI-VO und bestimmt, dass gegen Behörden und sonstige öffentliche Stellen im Sinne von § 2 Abs. 1 und 2 BDSG keine Geldbußen verhängt werden. Der Rechtsanwalt Jens Ferner nennt das in seiner Analyse des Gesetzes eine bewusste Privilegierung des Staates und hält sie rechtspolitisch für angreifbar. Ich teile diese Einschätzung.

Für die Praxis bedeutet das etwas Unbequemes. Die Pflicht aus Artikel 50 gilt für Ihre Behörde vollumfänglich, und die Marktüberwachung kann Maßnahmen anordnen, Auskünfte verlangen und Systeme untersagen. Weg fällt allein die schärfste Sanktion. Wer seine KI-Governance am Bußgeldrisiko ausrichtet, kommt in einer Behörde rechnerisch bei null heraus und baut deshalb gar nichts auf, obwohl die Pflicht unverändert besteht.

Drittens die KI-Kompetenz. Art. 4 KI-VO galt seit Februar 2025 als Pflicht, die Kompetenz des Personals nach besten Kräften sicherzustellen. Der Digital Omnibus hat das auf eine Förderpflicht abgeschwächt. Die Vorschrift ist damit weicher geworden, weggefallen ist sie nicht.

Elf Fälle aus dem Verwaltungsalltag

Ich habe die Fälle gesammelt, die mir in Gesprächen am häufigsten begegnen.

Fall	Kennzeichnung nach Art. 50?	Warum
Vermerk oder Sachstand für die Hausleitung	Nein	Nicht veröffentlicht
Zusammenfassung eines Sitzungsprotokolls	Nein	Begrenzter Personenkreis
Bescheidentwurf an eine Bürgerin	Nein	Keine Information der Öffentlichkeit, dafür greift Verwaltungsverfahrensrecht
Pressemitteilung, KI-erstellt, ungeprüft raus	Ja	Öffentliches Interesse, keine Prüfung
Pressemitteilung, fachlich geprüft, Pressestelle zeichnet	Nein	Ausnahme nach Abs. 4 UAbs. 2 greift
LinkedIn-Post der Behörde zur neuen Leistung	Kommt auf die Prüfung an	Öffentliche Dienstleistungen zählen zum öffentlichen Interesse
Website-Text, aus dem Fachtext KI-generiert	Kommt auf die Prüfung an	Gleiche Logik, benannte Verantwortung entscheidet
Erklärvideo mit KI-Avatar der Amtsleitung	Ja	Deepfake nach Art. 3 Nr. 60, Ausnahme greift hier nicht
Generiertes Titelbild mit fotorealistischen Menschen	Ja	Auch erfundene Personen sind Deepfakes, sobald sie real wirken
Rein illustratives Symbolbild, klar künstlich	Nein	Keine Verwechslungsgefahr mit der Realität
Bürger-Chatbot auf dem Serviceportal	Ja, plus Anbieterpflichten	Abs. 1 verlangt die Offenlegung bei der ersten Interaktion

Die Zeile, die in Diskussionen am meisten überrascht, ist die mit dem Avatar. Für Deepfakes gibt es keine Prüfungsausnahme. Sobald eine Behörde ein Gesicht oder eine Stimme synthetisch erzeugt, muss sie das offenlegen, gleichgültig wie sorgfältig geprüft wurde. Nur bei erkennbar künstlerischen oder satirischen Werken darf die Offenlegung zurückhaltender ausfallen.

Der blinde Fleck, über den kaum jemand schreibt

Artikel 50 regelt Transparenz gegenüber der Öffentlichkeit. Der Bescheid an die einzelne Bürgerin fällt nicht darunter, und deshalb landet er in den meisten Ratgebern gar nicht erst.

Dabei sitzt dort das größere Risiko. Für den vollständig automatisierten Erlass eines Verwaltungsakts verlangt § 35a VwVfG eine Rechtsvorschrift, die das zulässt, und er scheidet aus, wo Ermessen oder ein Beurteilungsspielraum besteht. Die Begründungspflicht aus § 39 VwVfG bleibt bestehen, ebenso die Amtsermittlung nach § 24. Ein KI-erzeugter Begründungstext, den niemand fachlich durchdrungen hat, ist im Widerspruchsverfahren angreifbar, ganz ohne KI-Verordnung.

Wer seine KI-Regeln nur an Artikel 50 ausrichtet, sichert also die Außenkommunikation und lässt die Bescheidproduktion offen. Sinnvoller ist eine Dienstanweisung, die beides zusammen denkt.

Fünf Dinge, die ich Verwaltungen jetzt empfehle

Klären Sie Ihre Rolle je System. Betreiber oder Anbieter, dokumentiert, pro eingesetztem Werkzeug. Diese Einordnung entscheidet über alles Weitere und lässt sich in einer Tabelle abbilden.
Fragen Sie Ihre Aufsichtsbehörde nach der Zuständigkeit. Auf Bundesebene ist die BNetzA gesetzt. Auf Landesebene ist die Frage in vielen Ländern noch unbeantwortet, und eine frühe Anfrage beschleunigt die Klärung.
Machen Sie redaktionelle Verantwortung zu einem Prozess. Die Ausnahme in Absatz 4 hängt an einer benannten Person und einer echten inhaltlichen Prüfung. Ein Häkchen im Redaktionssystem reicht dafür nicht. Halten Sie fest, wer geprüft hat und woran.
Setzen Sie ein einheitliches Kennzeichen. Die Kommission stellt ein lizenzfreies Icon-Set in drei Varianten bereit, für vollständig generierte und für teilweise bearbeitete Inhalte. Es ist getestet, es ist kostenlos, und es erspart Ihnen eine Hausdiskussion über Formulierungen. Denken Sie den Alternativtext für Screenreader gleich mit, die Barrierefreiheit verlangt Artikel 50 Absatz 5 ausdrücklich.
Prüfen Sie den freiwilligen Verhaltenskodex. Kommission und KI-Gremium haben ihn im Juni als geeignetes Instrument zum Konformitätsnachweis bestätigt, rund 190 Organisationen haben ihn bis Ende Juli unterzeichnet. Wer ihn nicht nutzt, muss die Gleichwertigkeit eigener Maßnahmen selbst darlegen.

Zurück zum Anfang

Der Vorwurf gegen Wildberger und Voigt war kein Rechtsverstoß. Er war eine Enttäuschung über eine Erwartung, die niemand vorher aufgeschrieben hatte.

Verwaltung arbeitet mit einem Vertrauensvorschuss, den sie sich über Jahrzehnte erarbeitet hat und den kein Bußgeld je abbilden könnte. Der deutsche Gesetzgeber hat Behörden mit § 17 Abs. 2 KI-MIG von Geldbußen freigestellt und ihnen damit den bequemsten Compliance-Treiber genommen. Das erhöht die Anforderung an die eigene Regel, statt sie zu senken.

Meine Empfehlung an Häuser, die gerade eine KI-Dienstanweisung schreiben: Setzen Sie die Kennzeichnung eine Stufe über das gesetzliche Minimum. Legen Sie offen, wo KI im Entstehungsprozess eines veröffentlichten Textes mitgewirkt hat, auch dort, wo geprüft wurde und die Ausnahme greifen würde. Dafür genügt ein Satz unter der Pressemitteilung, und er kostet Sie erheblich weniger als die Aufarbeitung eines Falls, wie ihn Wildberger und Voigt im Juni erlebt haben.

In eigener Sache

Dieser Text ist mit KI-Unterstützung recherchiert und geschrieben. Die Quellen habe ich selbst geprüft, die Thesen sind meine, und die redaktionelle Verantwortung liegt bei mir. Damit greift die Ausnahme aus Artikel 50 Absatz 4 und dieser Hinweis wäre rechtlich entbehrlich. Ich halte mich an meine eigene Empfehlung von zwei Absätzen weiter oben und schreibe ihn trotzdem hin.

Und weil auch das dazugehört: Ich bin kein Jurist. Was Sie hier lesen, ist die Einordnung eines Praktikers und keine Rechtsberatung. Für die verbindliche Bewertung Ihres Einzelfalls fragen Sie bitte Ihr Justiziariat oder eine Kanzlei.

Quellen und weiterführende Links:

Pflicht von oben, Rechnung von unten. Juni 2026 im E-Government-Rückblick.

Mon, 29 Jun 2026 18:23:00 +0200

Der IT-Planungsrat hat im Juni geliefert, woran er sich jahrelang die Zähne ausgebissen hat. Bund und Länder haben am 17. Juni in Frankfurt beschlossen, dass fünf Komponenten des Deutschland-Stacks verpflichtend werden und der Bund Entwicklung und Betrieb finanziert (IT-Planungsrat). Staatssekretär Markus Richter, dieses Jahr Vorsitzender des Gremiums, sagt, der Stack nehme konkrete Formen an, Finanzierungs- und Umsetzungsfragen seien geklärt.

Im selben Monat legt der Bundesrechnungshof einen Bericht vor, der zeigt, woran solche Beschlüsse sonst zerschellen. Und auf dem Zukunftskongress in Berlin wurde über all das geredet, als wäre Geld das kleinste Problem.

Der Durchbruch ist echt. Aber er endet dort, wo er ankommen müsste: an der Kasse der Kommunen.

Drei Komponenten Pflicht, eine Rechnung offen

Die Länder haben sich einstimmig verpflichtet, drei der fünf Basisdienste flächendeckend auszurollen und zu nutzen: die EUDI-Wallet, das Registernetz NOOTS und den Übertragungsstandard FIT-Connect (Beschluss B-2026/18). Das ist mehr als alles, was in den Jahren davor zustande kam. Noch im Frühjahr war die Nutzung nur „angestrebt". Diesmal steht eine Verpflichtung, und der Bund zahlt bei diesen Komponenten für Entwicklung, Betrieb und Wartung. Die Bezahlkomponente und das Postfach bleiben vorerst offen, ihr Finanzierungsmodell soll erst bis zur nächsten Sitzung stehen.

Der Haken steht im Kleingedruckten. Die Kosten für den Anschluss der Komponenten in der Fläche bleiben bei Ländern und Kommunen. Genau dort, wo die Haushalte leer sind. Philipp Amthor hat es im Interview klargestellt: Der Bund werde aus Gründen der Finanzverfassung „keine dauerhafte IT-Finanzierung der Kommunen" übernehmen (Tagesspiegel Background, Paywall). Der laufende Betrieb in Land und Kommune gehöre nicht zu den Aufgaben des Bundes.

Wie konkret das wird, zeigt FIT-Connect selbst. Für Bund und Länder ist der Dienst kostenlos. Aber am Übergang zum Fachverfahren der Kommune verlangen die Hersteller für den Adapter zwischen ihrer Software und FIT-Connect fünfstellige Beträge, pro Instanz (netzpolitik). Vendor-Lock-in im Kleinen, genau dort, wo das Geld am knappsten ist. Und die Verpflichtung hat Schlupflöcher: Ihre alten Transportwege müssen die Länder nicht abschalten, abweichende Lösungen sind erlaubt. NRW baut mit APIGATE bereits einen eigenen, verpflichtenden Landesweg parallel auf. Neuer Briefkasten an die Wand, die alten daneben hängen lassen.

Wer wissen will, wie das endet, muss nur den Rechnungshof lesen. Nach zehn Jahren und 836 Millionen Euro Dienstekonsolidierung nutzte im Schnitt nicht einmal ein Drittel der verpflichteten Behörden die zentralen Lösungen, den einheitlichen Bundesclient gerade 14 Prozent (Tagesspiegel Background, Paywall). Vor genau diesem Muster warnt der Bundesrechnungshof seit Jahren (Bundesrechnungshof). Bereitgestellt heißt eben nicht genutzt. Und verpflichtet heißt es auch nicht, solange am Ende der Kette niemand den Anschluss bezahlen kann.

Der Hebel liegt deshalb nicht im nächsten Beschluss, sondern in der Reihenfolge. Erst die Anschlussfinanzierung der Kommunen klären, dann die Pflicht scharf stellen. Andersherum entsteht wieder eine Pflicht auf dem Papier, neben der die alten Verfahren weiterlaufen. Doppelt vorgehalten, doppelt bezahlt.

Und hier wird es interessant. Drei Tage nach dem Stack-Beschluss haben sich Bund und Länder am 25. Juni auf eine neue Finanzregel geeinigt: „Wer bestellt, bezahlt". Verursacht ein neues Bundesgesetz den Ländern und Kommunen Mehrkosten von zusammen über 200 Millionen Euro, übernimmt der Bund künftig 80 Prozent (Bundesregierung). Das ist genau das Prinzip, das beim Stack-Anschluss fehlt. Der Haken liegt im Detail: Die Regel greift erst ab dem 1. September, nur bei Bundesgesetzen, und Steuer- sowie EU-Vorgaben sind ausgenommen. Die Stack-Pflicht ist aber kein Bundesgesetz, sondern ein Beschluss des IT-Planungsrats plus Selbstverpflichtung der Länder. Genau so rutscht der Anschluss an der neuen Regel vorbei. Wer will, dass der Bund ihn mitträgt, müsste die Nutzungspflicht in ein Gesetz gießen, nicht in ein Ratsprotokoll. Die Hintertür steht offen. Jemand muss nur durchgehen.

Wenn jeder abrufen darf, wozu noch ausschreiben?

Das zweite Juni-Thema wirkt technisch, ist aber grundsätzlich. Govtech Deutschland, lange eine Blackbox selbst für Insider, hat einen Cloud-Rahmenvertrag über 250 Millionen Euro an Bechtle vergeben (eGovernment). Abrufbar für Bund, Länder und Kommunen, sofern sie Mitglied sind. Der Clou liegt in der Konstruktion: Weil Govtech über Mitgliedschaft und eine Überkreuzbeteiligung mit der PD als inhouse-fähig gilt, können Mitglieder die Leistungen beziehen, ohne ein eigenes Vergabeverfahren durchführen zu müssen.

Das ist kein Einzelfall, das ist ein Muster. Die Genossenschaft govdigital macht es über sogenannte Umklappverträge (govdigital) genauso. Wer bei einer dieser Strukturen abrufberechtigt ist, kommt über wenige Verbindungsschritte an fast jeden großen Rahmenvertrag. Und damit drängt sich eine unbequeme Frage auf: Ist die Ausschreibung am Ende noch das Verfahren, oder nur noch die Eintrittskarte? Wenn ich an meinen Wunschpartner ohnehin über irgendeinen Abruf herankomme, verlagert sich der Wettbewerb dorthin, wo kaum noch jemand hinschaut.

Es gibt einen zweiten Effekt, der seltener ausgesprochen wird. Große, gebündelte Rahmenverträge sind auf große Anbieter zugeschnitten. Anfang Juni hat die FITKO eine Rahmenvereinbarung über rund 254 Millionen Euro ausgeschrieben, eine integrierte Projekt- und Produktberatung über acht Disziplinen, ausdrücklich als Generalunternehmer-Leistung mit eigener Haftung für die Gesamtabwicklung (Vergabeunterlage). Wer ein solches Volumen über acht Felder hinweg stemmen können muss, ist nicht der Fachanbieter, sondern der Generalist. Der Spezialist, der die eigentliche Lösung baut, kommt nur noch als Unterauftragnehmer durch dessen Tür, zu Konditionen, die der Generalunternehmer setzt. Aus dem Anbieter wird ein Türsteher.

Das ist aus zwei Gründen teuer. Erstens hat in der Verwaltungsdigitalisierung über weite Strecken der Mittelstand den Fortschritt gebracht, die nachnutzbaren Fachverfahren, die EfA-Dienste, die laufenden Lösungen in Ländern und Kommunen. Und die Wertschöpfung blieb in der deutschen Wirtschaft. Zweitens sind die großen Umsetzer untereinander kaum zu unterscheiden. Wenn nach einer gewonnenen Ausschreibung ganze Teams vom einen Haus ins andere wechseln, war die Auswahl nie eine fachliche, sondern eine formale. Differenzierung sieht anders aus.

Der Hebel ist deshalb nicht, die Bündelung abzuschaffen, sondern sie anders zuzuschneiden. Lose klein genug, dass ein Fachanbieter direkt anbieten kann. Rahmenverträge Open-Source-fähig und auditierbar, damit der Wettbewerb auf der Plattform echt ist und nicht nur behauptet. Und Transparenz als Bedingung, nicht als Kür. Dass IFG-Anfragen zu Govtech seit über 250 Tagen unbeantwortet beim Ministerium liegen (Tagesspiegel Background, Paywall), ist das Gegenteil davon. Bündelung ohne Einsicht ist kein Fortschritt, sondern eine größere Blackbox.

Der Pilot, der die Wand zeigt

Wie hoch die Wand ist, führt der Agentic AI Hub vor. Neun Start-ups, neunzehn Kommunen, zwanzig Pilotprojekte in drei Monaten, und einige Ergebnisse sind beachtlich: Bei Auskunftsanfragen nach der DSGVO sank die Durchlaufzeit um über 90 Prozent, bei Sitzungsprotokollen die Nachbearbeitung von rund 45 auf 10 Minuten (BMDS). Dann kommt die eigentliche Frage: Wie kommt das in die Fläche der rund 11.000 Kommunen? Das Ministerium räumt selbst ein, dass genau das noch nicht gelöst ist, und nennt es die eigentliche Aufgabe.

Es ist dieselbe Wand wie beim Stack. Die Technik funktioniert, der politische Rückhalt war der eigentliche Beschleuniger, sagen die Beteiligten. Aber in die Fläche kommt es nur, wenn die Kommunen es bezahlen können, und auch hier verweist das Ministerium darauf, dass der Bund verfassungsrechtlich nicht einspringt. Die Lösung soll ein „dynamisches Beschaffungssystem" sein, ein digitales Kaufhaus für abrufbare KI-Produkte. Womit wir wieder bei Block zwei wären: das nächste Bündelvehikel, mit derselben offenen Frage, wer es zuschneidet und wer hineinschauen darf.

Der gangbare Weg ist nicht, mit 11.000 Kommunen einzeln zu verhandeln. Er heißt Zugriff statt Beschaffung: einmal sauber nachnutzbar gemacht, über offene Standards in die Fläche gereicht. Das ist die Mechanik, die der Stack-Beschluss eigentlich verspricht, wenn man ihn unten anschließt statt oben verkündet.

Der Schalter liegt in Washington

Ein Vorgang im Juni hat gezeigt, wie schnell Abhängigkeit konkret wird. Auf Anweisung der US-Regierung hat Anthropic seine aktuellen Modelle Fable 5 und Mythos 5 gesperrt, weltweit, weil das Unternehmen seine Nutzer nicht nach Nationalität trennen kann. Was als Exportkontrolle begann, wirkt am Ende wie ein informelles Lizenzregime für KI, ohne feste Regeln und ohne Transparenz. Für die Verwaltung ist das keine Randnotiz: Wer Fachverfahren auf Frontier-Modelle aus den USA aufsetzt, gibt den Schalter aus der Hand.

Ich habe das in einem eigenen Beitrag ausführlich eingeordnet, was digitale Souveränität dann wirklich kostet und wo der gangbare Weg liegt (72 Stunden). Die Kurzfassung: Souveränität heißt, den Schalter selbst in der Hand zu behalten, über offene Modelle und europäische Alternativen, und zwar bevor man sie braucht.

Fazit

Juni war kein schlechter Monat. Der Stack wird verbindlich, die KI-Piloten liefern, der Bund übernimmt mehr Verantwortung als je zuvor. Aber an drei Stellen dieselbe Lücke: Oben wird beschlossen, unten fehlt das Geld zum Anschließen. Und auf dem Zukunftskongress, so der Eindruck aus der Ferne, war davon wenig Neues zu hören.

An Beschlüssen mangelt es nicht mehr. An der Anschlussfinanzierung schon.

Schleswig-Holstein macht es für drei Millionen. Mai 2026 im E-Government-Rückblick.

Sun, 31 May 2026 12:08:06 +0200

Ein Jahr Bundesdigitalministerium. Die Bilanz, die sich aus den Zahlen ergibt, ist ernüchternd: Die Länder haben Microsoft im Jahr 2025 rund 191 Millionen Euro überwiesen - 84 Prozent mehr als 2021. Der BMI-Rahmenvertrag liegt bei weiteren 481 Millionen Euro. Oracle kommt allein aus neun Ländern auf über 261 Millionen. Das sind keine Schätzungen. Das sind Zahlen aus parlamentarischen Anfragen.

Gleichzeitig zeigt Schleswig-Holstein, was möglich ist, wenn man aufhört zu warten: Der Standardarbeitsplatz kostet dort heute drei Millionen Euro pro Jahr statt achtzehn. Nicht durch ein Sonderprogramm, nicht durch eine neue Behörde. Durch LibreOffice statt Microsoft Office.

Ein Jahr BMDS: Das Werkzeug liegt bereit, wird aber kaum angefasst

Der IT-Zustimmungsvorbehalt war die große strukturelle Neuerung des ersten Jahres. Das Digitalministerium kann seitdem IT-Projekte anderer Ressorts prüfen und stoppen, bevor neue Abhängigkeiten entstehen. In der Theorie ist das genau das Instrument, das jahrelang gefehlt hat. In der Praxis wurden bisher gerade einmal rund 200 Projekte geprüft - bei einem Bundeshaushalt, der Hunderte von IT-Vorhaben parallel trägt.

Das ist kein Versagen des Ministeriums. Es ist ein Kapazitätsproblem mit struktureller Ursache: Wer jeden Projektstart prüfen will, braucht Kriterien, die das automatisch filtern. Nicht ein Team, das manuell entscheidet. Der Weg führt nicht über mehr Personal, sondern über andere Defaults. Wer Open Source als Standardoption in Ausschreibungsvorlagen setzt, muss proprietäre Entscheidungen aktiv begründen. Dann prüft das System, nicht der Sachbearbeiter.

Golem hat das erste Jahr des Digitalministeriums analysiert und die Lücke zwischen Ankündigung und Umsetzung klar benannt. Was jetzt fehlt, ist die nächste Entscheidung: Vergabedefaults ändern. Nicht in einer Legislatur. In den nächsten sechs Monaten.

Dabei passiert auf der Konzeptebene gerade etwas Wichtiges: Das ZenDiS hat ein Diskussionspapier zu Souveränitätskriterien vorgelegt, das digitale Souveränität messbar machen will. Die OSBA-Stellungnahme begrüßt das, setzt aber einen klaren Punkt: Messbarkeit ohne Verbindlichkeit ist Souveränitätswashing. Wer ein europäisches Rechenzentrum bucht, aber weder Quellcode einsehen noch die Roadmap beeinflussen kann, hat keine Souveränität. Er hat einen anderen Lieferanten.

Das ist die richtige Debatte. Und der Begriff trifft.

Was Schleswig-Holstein beweist

Während Berlin diskutiert, liefert Kiel Zahlen. Die Migration der Landesverwaltung von Microsoft Office auf LibreOffice hat die jährlichen Lizenzkosten für den Standardarbeitsplatz von 18 Millionen auf 3 Millionen Euro gesenkt. Das ist kein Pilotprojekt. Das ist Regelbetrieb.

Die OSB Alliance hat im Mai nachgelegt: Unter dem Titel “Trauen Sie sich, Herr Minister!” benennt sie konkrete Hebel, die heute verfügbar sind - keine neuen Gesetze, keine Haushaltsmittel. EVB-IT Musterverträge, die Open-Source-Beschaffung strukturell bevorzugen; OSS-first Vergabekriterien, die den Beweislastwechsel einleiten; Pflichtmeldung bei Neuverträgen mit denselben Herstellern, die schon die Bestandssysteme dominieren. Das sind Verwaltungshandlungen, keine Gesetzgebung.

Der Einwand, den man an dieser Stelle hört, ist immer derselbe: Das Vergaberecht lasse das nicht zu. Schleswig-Holstein hat es trotzdem gemacht. Zürich testet gerade openDesk im Echtbetrieb. Frankreich hat die DINUM-Toolbox. Die Frage ist nicht, ob es geht. Die Frage ist, wer anfängt.

💡 Drei Millionen statt achtzehn ist kein Proof of Concept. Das ist ein Referenzwert, an dem sich jede neue Beschaffungsentscheidung messen lassen muss.

Europa gibt Rückenwind

Bisher mussten Entscheider:innen in Behörden die Open-Source-Entscheidung gegen den Strom treffen. Das ändert sich strukturell: Die EU hat für den 3. Juni die Verabschiedung des Cloud Alignment and Data Act (CADA) angekündigt - Teil des Tech Sovereignty Package. Die EU gibt derzeit schätzungsweise 264 Milliarden Euro pro Jahr für US-IT-Dienstleistungen aus. CADA verpflichtet öffentliche Auftraggeber, bei neuen Cloud-Verträgen aktiv Alternativen zu prüfen und die Entscheidung zu dokumentieren.

Das ist kein Verbot. Es ist ein Begründungszwang. Wer weiterhin AWS, Azure oder Oracle bucht, muss erklären, warum keine europäische Alternative in Frage kam. Das klingt nach Bürokratie, ist aber das Gegenteil: Es macht die implizite Entscheidung für den Incumbent sichtbar. Und angreifbar.

Für Ministerien und Landesbehörden, die intern ohnehin über Souveränität sprechen, ist CADA eine Entlastung. Die Frage “Darf ich das?” stellt sich dann nicht mehr. Die Frage wird: “Warum haben wir es nicht gemacht?”

Fazit

Mai 2026 in zwei Sätzen: Die Kosten steigen weiter, aber die Beweise, dass es anders geht, liegen auf dem Tisch - mit Namen, Zahlen und Kontaktpersonen. Wer jetzt noch auf eine gesetzliche Erlaubnis wartet, wartet auf etwas, das er nicht braucht.

Registermodernisierung in Deutschland: Warum 652 Millionen Euro pro Jahr nicht reichen und wo die wirklichen Kosten lauern.

Tue, 26 May 2026 06:46:12 +0200

Das Worst-Case-Szenario, das keines sein müsste

Angenommen, der deutsche Staat schließt seine Register exakt so, wie sie heute sind, an das Nationale Once-Only-Technical-System (NOOTS) an. Keine Strukturreformen. Keine Konsolidierung. Keine Cloud-Migration. Einfach nur alte Systeme mit neuer Verkabelung verbinden. Was kostet das?

Die Antwort steht in einer Studie der PD (Beratungsgesellschaft der öffentlichen Hand), die im April 2026 veröffentlicht wurde und das nachrechnet: 652,5 Millionen Euro pro Jahr. Über zehn Jahre: 8,5 Milliarden Euro. Und das ist die konservative Rechnung.

Die realistischere Zahl lautet 11,7 Milliarden Euro in zehn Jahren.

Das ist nicht einfach ein statistisches Detail aus dem deutschen Haushalt. Das ist ein Zeichen dafür, dass das Land genug Geld für die Grundlagen hat, aber nicht die Struktur, um es richtig einzusetzen.

Worum es bei den Registern geht

Nehmen wir ein konkretes Beispiel. Sie ziehen um. Sie registrieren sich an Ihrer neuen Adresse. Hinter dieser einfachen Aktion passiert etwas Absurdes: Ihr Name und Ihre neue Adresse landen nicht in einem zentralen Register, das die Behörden dann alle einsehen. Sie landen in Dutzenden verschiedenen Registern gleichzeitig. Das Einwohnermeldeamt hat sein Register. Die Finanzämter haben ihre. Die Krankenkassen haben ihre. Jedes funktioniert weitgehend unabhängig.

Wenn eine Behörde Ihre Daten braucht, passiert das Verrückte: sie muss entweder die anderen Behörden fragen (das dauert) oder von Ihnen selbst verlangen, dass Sie Ihre Adresse erneut eingeben. Und es ist das genaue Gegenteil davon, wie es laut “Once-Only-Prinzip” eigentlich funktionieren sollte.

Die föderale Struktur Deutschlands macht das Problem größer. Jedes Bundesland betreibt seine eigenen Register oder Variationen von ihnen. Die Kommunen auch. Das Ergebnis ist ein Flickenteppich aus rund 200 verschiedenen IT-Systemen, von denen niemand genau weiß, wie viele es wirklich gibt.

Wo die 652 Millionen Euro hingehen (und warum das Problem größer ist)

Der Jahresbetrieb dieser fragmentierten Landschaft kostet einfach Geld. Nicht, weil die Register schlecht programmiert sind, sondern weil es unglaublich aufwendig ist, viele inkompatible Systeme parallel zu betreiben, abzustimmen und zu synchronisieren. Es ist wie ein Auto mit vier verschiedenen Antrieben: jeder einzelne kostet, und die Koordination obendrein.

Der Bundesrechnungshof hat im Oktober 2025 gewarnt, dass eine Finanzierungslücke von über 300 Millionen Euro die geplante Modernisierung dieser alten Registerlandschaft in Frage stellt. Der Bundeshaushalt 2026 sieht 194 Millionen Euro für Register-Digitalisierung vor, das sind 69 Millionen weniger als 2025. Die Reform wird leiser finanziert, während der Bestand teurer betrieben wird.

Das ist die Mathematik der Lähmung: Der Status quo kostet 652 Millionen jährlich. Die Reform kostet weniger insgesamt, aber sie kostet auch etwas, und das Geld fehlt dann in anderen Bereichen. Also passiert nichts.

Die unbeantwortete Frage: Was kostet wirklich funktionierende Reform?

Die PD-Studie wirft eine Frage auf, die kaum jemand laut stellt: Wenn die Register im aktuellen Zustand 652 Millionen pro Jahr kosten, ohne dass spürbarer Mehrwert für Bürger oder Unternehmen entsteht, wie teuer wird das Ganze, wenn die Register wirklich funktionieren?

Wenn der geplante Datenaustausch über NOOTS in den Vollbetrieb geht. Wenn die Once-Only-Initiative nicht mehr nur ein Pilot ist. Wenn tatsächlich alle sehr zahlreichen Behördenverfahren angeschlossen sind.

Die Antwort ist: Es wird nicht einfach teurer, es wird komplexer. Mehr Daten fließen. Mehr Schnittstellen-Komplexität entsteht. Mehr Prozesse werden ausgelöst. Die Betriebskosten steigen, aber auch die Integrationskomplexität.

Die PD-Studie hat die Kosten im Worst-Case bei 8,5 Milliarden Euro über zehn Jahre kalkuliert. Eine Fußnote sagt jedoch: Das könnte in Wirklichkeit 11,7 Milliarden Euro kosten. Diese Zahl ist “vermutlich realistischer, jedoch weniger belastbar quantifizierbar”. Das ist eine elegante Umschreibung für: Wir wissen, dass wir unterschätzen, aber wir können es nicht genau belegen.

Wer zahlt? Die Kostenverteilung zeigt das echte Problem

Das ist der Punkt, an dem die Mathematik des Staates crasht. Der Gros der Kosten fällt nicht bei der FITKO an (die mit einem Budget von etwa 40 Millionen Euro pro Jahr arbeitet). Die Kosten entstehen bei den registerführenden Stellen: bei Bund, Ländern und Kommunen.

Pro Register rechnet die PD mit durchschnittlichen Kosten von 339.000 Euro für den Anschluss. Plus 165.000 Euro pro Jahr für den Betrieb dieses Anschlusses (als Anschlussknoten).

Ein konkretes Beispiel: Eine große Kommune mit 16 verschiedenen Registern muss mit Kosten in Höhe von 32 Millionen Euro in den ersten zehn Jahren rechnen. 32 Millionen Euro.

“Das können sich die Kommunen nicht leisten”, sagt Dominik Zborek, der Projektleiter bei der PD. Und er hat recht. Deutsche Kommunen sind chronisch unterfinanziert. Ein großer Teil läuft mit roten Zahlen.

Die technische Wirklichkeit hinter der 652-Millionen-Zahl

Die PD-Studie hat nur 50 der gesetzlich verpflichtend anzuschließenden Register untersucht. Insgesamt gibt es in Deutschland über 350 verschiedene Registertypen. Das System besteht aus:

42.000 Vollzugsstellen (das sind Verwaltungsstellen wie Kommunen, die ein Register führen)
3.800 technisch unterschiedliche Register-Instanzen
Hunderte von verschiedenen Fachverfahrens-Herstellern

Und die Studie sagt selbst: Sie hat die Zahl der Betriebsinstanzen und Fachverfahrens-Hersteller “systematisch unterschätzt”. Bei den Kommunen gibt es keinen zentralen Überblick. Dominik Zborek sagt es so: “Da unterschätzen wir eher, wie viele Fachverfahren es wirklich gibt.”

Das bedeutet: Die 8,5 Milliarden Euro sind wahrscheinlich eine Untergrenze.

Das politische Rätsel: Warum passiert nichts?

Das Problem ist nicht technisch. Es ist politisch.

Die föderale Struktur bedeutet, dass jedes Bundesland ein Interesse daran hat, seine IT-Autonomie zu behalten. Jeder Ministerialapparat verteidigt sein Budget. Auf Bundesebene gibt es keinen Verantwortlichen, der sagen kann: So wird es gemacht, und alle ziehen mit.

Reform hier heißt nicht Strukturkosmetik. Reform bedeutet konkret:

Weniger Register (nicht 200 mal der verschiedenen Instanzen, sondern vielleicht 20 zentral betrieben)
Klar abgegrenzte Zuständigkeiten zwischen Bund, Ländern, Kommunen
Ein übergreifendes Datenmodell statt Hunderte parallel laufender Systeme

Das ist ein Machtverlust für Bundesländer und Ministerien. Das ist, warum es nicht passiert.

Drei konkrete Wege aus der Kostenfalle

Was die PD-Studie wertvoll macht: Sie schlägt nicht nur ein Problem vor, sondern auch Lösungen. Und nicht alle sind kompliziert.

1. Aufgabenvollzug neu ordnen

Der politische Wille ist da. Die Kommunen haben sich in den Dresdener Forderungen des Deutschen Städtetags für eine Neuverteilung der Aufgaben ausgesprochen. Die Ministerpräsidenten haben zuletzt in ihrer föderalen Modernisierungsagenda versprochen, Aufgaben zu bündeln und neu zu verteilen.

Der Haken: Das könnte eine Verfassungsänderung erfordern. Das ist nicht unmöglich, aber es ist nicht leicht.

2. Cloudregister als Konsolidierungsstrategie

Der Verein GovTech Deutschland hat in einem Pilotprojekt gezeigt, dass das funktioniert: Register lassen sich effektiv in die Cloud verlagern. Rechtlich spricht nichts dagegen. Technisch ist es machbar.

Das Problem: Die Kommunen sind mit der Installation der erforderlichen technischen Voraussetzungen überfordert. Hier müssten Fachleute unterstützen. Das ist eine Investition, die sich aber schnell amortisiert: Cloudregister senken die Betriebskosten deutlich.

3. Zentrale Verhandlung mit Fachverfahrens-Herstellern

Ein dritter Vorschlag wird gerade getestet: Der IT-Planungsrat entschied auf seiner Frühjahrssitzung, zentral mit den Fachverfahrens-Herstellern zu verhandeln. Der Test läuft mit der Genossenschaft “Govdigital”.

Das Prinzip: Wenn der Staat zentral einkauft statt 42.000 Kommunen einzeln, sinken die Preise. Die IT-Industrie kennt diesen Hebel und wird viel tun, hier nicht zu kurz zu kommen.

Was das für die deutsche Digitalisierung bedeutet

Die Register-Situation ist nicht isoliert. Sie ist das Prolog zu einem größeren Problem: Es gibt keine Entscheidungsklarheit über die Architektur des deutschen E-Government.

Wenn nicht geklärt wird, wie die fundamentalen Datenstrukturen funktionieren sollen, wer sie besitzt, wer sie kontrolliert, wer sie bezahlt, dann laufen alle darauf aufgebauten Projekte in das gleiche Problem.

Das ist auch, warum der Deutschland-Stack und die Deutschland-App, zwei weitere Großprojekte des BMDS, ein so hohes Risiko tragen. Sie sind Frontend-Versprechen für eine Backend-Architektur, die nicht entschieden ist.

Das Zeitfenster schließt sich

Die Legislaturperiode ist schon weit fortgeschritten. Wenn die Konsolidierung und echte Reform der Register nicht in den nächsten 12 bis 18 Monaten in Bewegung kommt, wird es schwierig.

Ein neuer Bundestag. Eine neue Legislaturperiode. Neue Prioritäten. Und die Register-Reform rutscht wieder nach hinten.

652 Millionen Euro jährlich für einen kaputten Zustand ist nicht nachhaltig. Aber solange der politische Wille für echte Konsolidierung fehlt, wird genau das die Realität bleiben.

Handlungspunkte für Entscheider:innen

Wenn Sie in einer Verwaltung, bei einer Behörde oder einem Bundesland für digitale Infrastruktur verantwortlich sind, gibt es drei konkrete Punkte, die Sie jetzt tun können:

1. Beschäftigen Sie sich mit der PD-Studie. Sie wurde im April 2026 veröffentlicht und ist nicht akademisch, sondern sehr praktisch. Sie zeigt die echten Kosten für Ihr Register auf.

2. Prüfen Sie die Cloudregister-Option. Wenn Ihr Register in den nächsten zwei Jahren modernisiert werden soll, ist Cloud nicht optional, sondern wirtschaftlich notwendig. Die GovTech Deutschland und der BSI haben das bereits validiert.

3. Beteiligen Sie sich an zentralen Beschaffungsverfahren. Der IT-Planungsrat testet zentrale Verhandlung mit Fachverfahrens-Herstellern. Das ist der richtige Weg. Machen Sie mit, statt isoliert zu kaufen.

Die Reform ist nicht unmöglich. Sie erfordert nur, dass jemand sagt: So wird es gemacht. Und dass die Kommunen und Bundesländer nicht mehr allein dafür zahlen.

NRW schafft die Schriftform ab – warum das mehr ist als Bürokratieabbau und den teuren Umweg über staatliche Postfächer überspringt.

Mon, 11 May 2026 11:36:12 +0200

Während sich die Republik in Strategie-Debatten über den „Deutschland-Stack", NOOTS und die nächste Postfach-Architektur vertieft, hat das nordrhein-westfälische Kabinett am 5. Mai 2026 eine Entscheidung getroffen, die in jedem Behördenkontakt sofort spürbar werden würde – und die deshalb mehr Aufmerksamkeit verdient, als sie bisher bekommt: Die landesrechtliche Schriftform soll abgeschafft werden. Künftig reicht die einfache E-Mail.

Konkret: Im Rahmen eines Entlastungspakets mit über 30 Maßnahmen hat NRW beschlossen, die Schriftformerfordernisse im Landesrecht zum 1. Januar 2027 grundsätzlich aufzuheben. Wer eine Schriftform weiterhin braucht, muss das bis dahin per Rechtsverordnung ausdrücklich begründen – andernfalls entfällt sie. Diese Beweislastumkehr ist der eigentliche Hebel. Bisher musste der digitale Weg begründet werden. Künftig muss begründet werden, wenn weiter analog kommuniziert werden soll.

Der aktuelle Stand: Die Verbändeanhörung startet bald, der Gesetzentwurf soll vor der Sommerpause in den Landtag. Rund sieben Monate bleiben bis zum Inkrafttreten – Übergangsfristen mal ausgenommen. Das klingt nach viel. Es ist nicht viel, wenn man bedenkt, was an Infrastruktur und Prozessen mitziehen muss.

Warum das ein größerer Schritt ist, als er aussieht

Der Bürokratieabbau-Effekt ist real, aber er ist nicht das Eigentliche. Wer den Vorgang nur unter „weniger Papier" verbucht, übersieht den strukturellen Punkt: Die Frage in jeder Projektplanung, in jeder Fachverfahrensauswahl, in jeder Ausschreibung verschiebt sich. Sie lautete bisher: „Darf das digital?" Sie lautet künftig: „Warum darf das nur analog?"

Hinzu kommen drei Effekte, die zusammen den Unterschied machen:

Weniger Medienbrüche. Die Verwaltung und auch Bürger:innen und Unternehmen arbeiten ohnehin digital. Der Druck-und-Kuvertier-Schritt ist eine künstliche Naht im sonst durchgängigen Prozess. Wer sie entfernt, spart nicht nur Porto, sondern gewinnt an Geschwindigkeit und Fehlerfreiheit.

Tempo. Asynchrone digitale Kommunikation funktioniert in Minuten – die analoge Variante braucht Tage, manchmal Wochen. Für Bürger:innen und Unternehmen ein spürbarer Unterschied. Für die Verwaltung ein Effizienzgewinn, der ohne Software-Investition entsteht.

Ein Reihenfolge-Move. NRW löst das Problem nicht über eine neue Plattform oder Technologie, sondern über die Verschiebung des Defaults. Das ist kein Technikproblem, das hier gelöst wird. Die Reihenfolge (Priorisierung) der Kommunikationskanäle wird anders gesetzt; genau diese Art von Lösung ist es, die in der Verwaltungsdigitalisierung viel zu selten gewählt wird.

Der eigentliche Effekt: NRW umgeht die Postfach-Sackgasse

Damit komme ich zum Kern. Wer sich nur die NRW-Entscheidung anschaut, sieht einen Bürokratieabbau-Schritt. Wer das Gesamtbild betrachtet, sieht etwas anderes: NRW geht an einer Stelle voran, an der sich die deutsche Verwaltung seit 15 Jahren mit einer Lösung quält, die strukturell ungeeignet ist.

Wie viele Postfächer wir uns schon geleistet haben

Die Geschichte der deutschen Verwaltungs-Kommunikation ist eine Geschichte des „noch ein Postfach". Eine nüchterne Bestandsaufnahme, gruppiert nach Adressatenkreis:

Für Bürger:innen gab und gibt es: die DE-Mail, 2011 mit großen Erwartungen gestartet und 2022 vom größten Anbieter wegen fehlender Wirtschaftlichkeit aufgegeben – die endgültige Abschaltung läuft. Telekom-Chef Höttges sprach öffentlich von einem „toten Gaul" und einem dreistelligen Millionenverlust für sein Unternehmen. Es folgten die Servicekonten der Länder mit jeweils eigenen Postfach-Initiativen. BayernID, ServiceKonto.NRW, Servicekonto Hessen, Mein Service Sachsen, SH-Servicekonto und weitere. Parallel die BundID mit dem angebundenen Zentralen Bürgerpostfach (ZBP), seit 2024 das alleinige Postfach der BundID. Dazu das ELSTER-Postfach – der einzige Kanal, der wirklich läuft, weil er verpflichtend ist und einen klaren, jährlich wiederkehrenden Anlass hat. Und der privatwirtschaftliche E-Postbrief der Deutschen Post, ebenfalls gescheitert.

Für Unternehmen: „Mein Unternehmenskonto" auf Basis von ELSTER, betrieben von Bayern im Auftrag des IT-Planungsrats – plus kommunale und länderspezifische Lösungen, oft eingebettet in eigene Fachverfahren oder Onlinedienste.

Und für Professionen mit besonderer Verschwiegenheits- und Beweispflicht eine eigene, gut begründete Welt: beA für Anwält:innen (seit 2018 Pflicht), beN für Notar:innen, beBPo für Behörden, beSt für Steuerberater:innen, eBO für sonstige professionelle Einreicher. Diese Postfächer haben ihre eigene Logik und ihre eigene Rechtfertigung. Sie sind nicht das Thema dieses Artikels.

Im Hintergrund schließlich der technische Unterbau, der vieles davon trägt: OSCI/XTA für den Verwaltungsverkehr untereinander. Manchmal aber auch individuell entwickelte Softwarelösungen die einzig dem Zweck dienen, “Kommunikation” abzubilden.

Jede einzelne dieser Lösungen hat einmal ein konkretes Problem gelöst. Das große Problem entstand erst aus der Summe: Wer heute als Bürger:in einen Bauantrag stellen, sein Auto ummelden und seine Steuererklärung einreichen möchte, hat potenziell mit drei verschiedenen Kanälen zu tun – plus E-Mail für Schule, Stadtwerke und Verein. Die Verwaltung erwartet, dass Bürger:innen sich an ihre Logik anpassen. Das ist die strukturelle Schwäche.

Bemerkenswert: NRW selbst hat den Strukturfehler erkannt und schon Mai 2024 sein eigenes Servicekonto zugunsten der BundID aufgegeben. Das ist ein guter Schritt. Aber er löst das eigentliche Default-Kanal-Problem nicht. Er konsolidiert die Sonderlösung, statt sie zu hinterfragen.

ZaPuK – der föderale Versuch, das Splitterbild zusammenzubinden

Auf föderaler Ebene gibt es seit 2025 einen Anlauf, das Splitterbild zu harmonisieren: die Zielarchitektur für Postfach- und Kommunikationslösungen (ZaPuK). Mit Beschluss 2025/28 des IT-Planungsrats entwickelt unter Federführung von FITKO, Hamburg und Sachsen-Anhalt. Ziel ist ein einheitlicher föderaler Rahmen, in den ELSTER, BundID/DeutschlandID, das Unternehmenskonto und der elektronische Rechtsverkehr schrittweise integriert werden können – auf Basis eines Zero-Trust-Ansatzes und mit Ende-zu-Ende-Verschlüsselung. Phase 2 wurde beauftragt, das Umsetzungsprogramm läuft an, Konzept und Architektur liegen offen auf openCode.

Das ist gute Arbeit. Standardisierte Zustelllogik statt fragmentierter Sonderwelten ist saubere Architektur, die Menschen dahinter sind kompetent, der Open-Source-Ansatz vorbildlich. Und doch: ZaPuK ist die technisch beste Antwort auf eine politisch falsch gestellte Frage. Die gestellte Frage lautet: „Wie verbinden wir all die Postfächer, die wir schon gebaut haben?" Die bessere Frage wäre gewesen: „Brauchen wir all diese Postfächer überhaupt – oder reicht für 80 Prozent der Verwaltungskommunikation der bekannteste, weltweit etablierte Kanal, den 100 Prozent der Bürger:innen und Unternehmen ohnehin täglich öffnen: die E-Mail?"

Kaum genutzt, trotzdem teuer

Die Zahlen erzählen die Geschichte deutlich. Die BundID wächst – und doch bleibt sie weit hinter dem zurück, was eine echte Regelkommunikation bräuchte: rund 6,3 Millionen aktive Konten (Stand Februar 2026), etwa 2,5 Millionen Logins pro Monat – eine Verfünffachung gegenüber 2024 – und rund 310.000 Nachrichten pro Monat über das ZBP. Hunderttausende Konten wurden zwischenzeitlich als reine „Einmal-Konten" aus dem Bestand gelöscht, weil sie nach 24 Monaten Inaktivität nicht mehr genutzt wurden – viele waren ursprünglich nur für die Energiepreispauschale angelegt worden.

Setzt man diese Zahlen in Relation zu rund 70 Millionen erwachsenen Bürger:innen, bleibt eine einstellige Prozent-Nutzung als regelmäßiger Kanal. Und aufgrund des gestoppten PIN-Rücksetzbriefes für den neuen Personalausweis ist zu befürchten, dass die Abdeckung der BundID samt angeschlossenem ZBP nur noch schwerlich weiter steigen wird.

Gleichzeitig kostet jedes dieser Postfachsysteme im Betrieb: Hosting, Identitätsmanagement, Support, Barrierefreiheit, Security-Patches, Audits, Anbindung an Fachverfahren. Multipliziert mit den Servicekonten in den Ländern (in Konsolidierung), dem Bund, ELSTER, dem Unternehmenskonto, den professionellen Postfächern – und dem harmonisierenden ZaPuK-Layer obendrauf. Die DE-Mail ist nicht nur eine Anekdote über gescheiterte Innovation; sie ist die teure Mahnung, was passiert, wenn Sonderlösungen an der Lebenswirklichkeit vorbei entwickelt werden.

Doppelte Verlierer: Bürger:innen haben ein System, das sie nicht kennen und kaum nutzen. Steuerzahler:innen zahlen für ein System, das sie nicht kennen. Und die Verwaltung investiert Ressourcen in einen Kanal, den sie selbst nicht zuverlässig mit ihrer Hauptzielgruppe befüllen kann.

Das Problem an der Postfach-Strategie ist nicht, dass sie schlecht gemacht wäre. Das Problem ist, dass sie an einer Stelle eingreift, an der Bürger:innen nichts Neues wollen. NRW geht stattdessen dahin, wo sie schon sind – ins E-Mail-Postfach, das sie ohnehin täglich öffnen.

Die ehrlichen Bedenken

So weit, so klar. Aber E-Mail als Standard-Kanal hat technische Schwächen, die nicht weggeredet werden dürfen.

E-Mail ist eine Postkarte im Internet. Transport-Verschlüsselung erfolgt opportunistisch, Ende-zu-Ende-Verschlüsselung ist nicht der Standard. Für viele Verwaltungsvorgänge – Anfragen, Statusmeldungen, Eingangsbestätigungen, Terminvereinbarungen, Erläuterungen – ist das unkritisch. Für andere – sensible Bescheide, gesundheitsbezogene Daten, sozialrechtliche Verfahren – ist es das nicht.

Es gibt ein Empfangsproblem. Spam-Filter, restriktive Mailserver, schlecht gepflegte Reputation: Mails landen im Nirgendwo. Wenn Bürger:innen ihre Antwort nicht erhalten, ist der Kanal de facto unbrauchbar – auch wenn er technisch funktioniert.

Es gibt ein Fälschungsproblem. Absender vorzugaukeln ist trivial, wenn beide Seiten nicht professionell aufgestellt sind. Phishing-Angriffe, die scheinbar von „Ihrer Behörde" kommen, sind real und werden zunehmen.

Und es gibt die Frage der Verbindlichkeit. Wann gilt eine Mail als zugestellt? Wann als wirksam abgegeben? Was zählt im Streitfall?

Diese Punkte sind real. Sie sind aber lösbar – mit Standards und Technik, die es seit Jahren gibt und die im Privatsektor zur Selbstverständlichkeit geworden sind.

Was hilft? Die E-Mail professionalisieren – auf beiden Seiten

Hier wird es konkret. Wer heute eine seriöse Verwaltungs-Mail-Infrastruktur betreiben will, braucht keine neue Software und keinen neuen Standard. Er braucht die konsequente Anwendung dessen, was im Werkzeugkasten längst liegt.

Auf der Sender-Seite – also überall dort, wo Behörden Mails verschicken – heißt das: Absender-Authentifizierung als Pflicht statt als Kür. Mit Sachen wie SPF, DKIM und DMARC (mit p=reject, nicht nur p=none) lässt sich heute schon wirksam verhindern, dass Dritte unter dem Namen einer Behörde Mails versenden. Mit MTA-STS und DANE wird Transportverschlüsselung verbindlich statt opportunistisch. Die BSI TR-03108 beschreibt das alles seit Jahren als anwendbaren Standard für sicheren E-Mail-Transport, ergänzt durch die BSI TR-03182 zur E-Mail-Authentifizierung. Dazu kommen eindeutige Absenderdomänen pro Behörde, sauberes Bounce-Management und IP-Hygiene.

Auf der Empfänger-Seite (wenn die Verwaltung Mails von ihren Bürger:innen und Unternehmen erhält) geht es um Strukturierung statt Wildwuchs: Funktionspostfächer statt persönlicher Eingangsadressen, Anbindung an die Fachverfahren, Vorklassifikation und Erfassung von Anhängen (das ist heute Standardtechnologie, kein KI-Hype) und ein klarer, dokumentierter Prozess vom digitalen Eingang in die digitale Akte. Wenn die Mail ankommt, aber dahinter ein Drucker steht, ist nichts gewonnen.

Niemand muss auf den nächsten Standard warten. Mit dem, was im BSI-Werkzeugkasten liegt, lässt sich heute eine Mail-Infrastruktur betreiben, die seriös ist.

Die Kommunen entscheiden, ob es ein Gamechanger wird

Ein Punkt darf nicht unter den Tisch fallen, sonst verpufft die ganze Initiative: Das Land setzt mit dem Gesetz nur den Rahmen. Die Wirkung entsteht im kommunalen Schaltergeschäft. Bürgeramt, Bauaufsicht, Standesamt, Sozialamt, Ordnungsamt – das sind die Orte, an denen Bürger:innen Verwaltung erleben. Und das sind Strukturen, die NRW nicht direkt steuert.

Damit Kommunen wirklich mitziehen können, braucht es kein neues Programm. Es braucht ein paar handfeste Vorlagen und ein Vorbild:

Musterkonfigurationen für SPF, DKIM, DMARC und MTA-STS – als copy/paste-taugliche Vorlage des Landes und der kommunalen Rechenzentren, gern als Open Source für alle bereitgestellt und gemeinsam fortgeschrieben.

Förderfähige, gemeinsam betriebene Mail-Infrastruktur über die etablierten kommunalen Rechenzentren wie KDN, citeq, ITK Rheinland, krz oder regio iT – nicht jede Kommune einzeln.

Pilot-Kommunen, die es vormachen, vorweisen können und damit den anderen den Anstoß geben.

Und klar abgegrenzte Use Cases, in denen E-Mail explizit nicht reicht, kommuniziert mit der gleichen Klarheit wie die Default-Verschiebung.

Eine Behörde reicht. Wenn sie es vormacht, kommt der Rest. Das ist keine Hoffnung, das ist Erfahrung aus jeder gelungenen kommunalen Digitalisierungs-Welle der letzten zehn Jahre.

Einordnung – kein Kopieren, aber genaues Hinsehen

Ein kurzer Seitenblick auf die Nachbarn:

In Dänemark ist die digitale Behördenpost seit Jahren der Default mit Opt-out. Alle Bürger:innen ab 15 sind verpflichtet, Behördenpost digital zu empfangen, betrieben über staatlich autorisierte Plattformen wie E-Boks und mit.dk. Wer ohne Befreiung weiter Briefpost wünscht, bekommt keine. Das funktioniert – aber es funktioniert in einem zentralistischen System, das die deutsche föderale Realität nicht kennt.

In Estland hat sich die Schriftform-Frage längst auf anderem Weg erledigt: über durchgängige digitale Identität und X-Road als Backbone. Auch das ist nicht eins zu eins übersetzbar – die Voraussetzungen unterscheiden sich grundlegend.

NRW geht einen pragmatischen, freiwilligeren Weg über die Default-Verschiebung – passend zum föderalen Kontext. Estland und Dänemark sind nicht besser, sondern anders organisiert. Die Frage ist nie „Wie kopieren wir das?", sondern „Was lässt sich in unseren föderalen Kontext übersetzen?" NRW liefert eine Antwort, die andere Länder als Übersetzungs-Beispiel nutzen können.

Rechtlich bleibt der Rahmen anschlussfähig: § 3a VwVfG zur elektronischen Kommunikation, §§ 126/126a/126b BGB für die Abstufung zwischen Schriftform, elektronischer Form und Textform, eIDAS 2.0 für die qualifizierte elektronische Signatur dort, wo sie weiterhin nötig ist. Die Werkzeuge liegen seit Langem auf dem Tisch. NRW nutzt sie konsequent.

Sieben Monate, drei Hausaufgaben

Die nächsten rund sieben Monate bis zum 1. Januar 2027 entscheiden, ob das Gesetz ein Datum mit Wirkung wird oder ein Termin im Gesetzblatt. Drei Hausaufgaben, kompakt:

Erstens: Technik. Authentifizierte, sichere Mail-Infrastruktur in Land und kommunalen Rechenzentren – mit SPF, DKIM, DMARC, MTA-STS und einer Konfiguration, die der BSI TR-03108 standhält. Keine neuen Standards nötig. Keine neue Software nötig. Nur Disziplin und gute Vorlagen.

Zweitens: Prozesse. Funktionspostfächer, Anbindung an die Fachverfahren, Aktenführung digital ab Eingang. Wenn die Mail ankommt, aber dahinter ein Drucker steht, ist nichts gewonnen – und das Vertrauen in den neuen Kanal ist verloren, bevor er wirken kann.

Drittens: Kommunikation. Bürger:innen und Unternehmen wissen lassen, dass E-Mail jetzt reicht – und genauso klar: wofür sie weiterhin nicht reicht. Vertrauen entsteht über Klarheit, nicht über Verschweigen.

Das hier ist kein Game-Changer, weil es technisch revolutionär wäre. Es ist einer, weil endlich jemand auf den bekannten Kanal setzt, statt auf den nächsten neuen. NRW macht es vor. Jetzt ist die Frage, wer mitmacht.

652 Millionen pro Jahr ohne Reform. April 2026 im E-Government-Rückblick.

Thu, 30 Apr 2026 21:06:06 +0200

Im April 2026 liefert die Verwaltungs-Realität konkrete Beweise zu den Diagnosen der Vormonate. Eine Tagesspiegel-Headline vom 07.04.2026 (Tagesspiegel Background, Paywall) fasst es zusammen: „Register kosten ohne Reform 652,5 Millionen Euro jährlich." Das ist die Größenordnung dessen, was der Status quo der föderalen Registerlandschaft an laufendem Betrieb verschlingen wird, wenn staatliche Stellen ihre Register nicht technisch und strukturell modernisieren.

Im selben Monat passieren drei Dinge, die methodisch zusammenhängen: Eine Deutschland-App wird an SAP und Telekom vergeben. Das BSI legt erstmals Cloud-Souveränitätskriterien vor. Der Bundestag beschließt einen Digital-Haushalt. Drei Bewegungen, drei Diagnosen.

652 Millionen ohne Reform

Die Zahl ist beunruhigend, aber sie ist nicht überraschend. Sie ist der Beleg für das, was hier als Diagnose schon im März stand: zu komplex gedacht, zu viel Geld, das jedem erlaubt, sein eigenes Ding zu machen. Der Bundesrechnungshof hat bereits im Oktober 2025 gewarnt, dass die Registermodernisierung an einer Finanzierungslücke von 300 Millionen Euro hängt. Der [Bundeshaushalt 2026 sieht 194 Millionen Euro für Register-Digitalisierung vor[https://www.bundestag.de/presse/hib/kurzmeldungen-1105894), das sind 69 Millionen weniger als 2025. Die Reform wird leiser finanziert, der Bestand teurer betrieben.

Die eigentliche Frage stellt der Tagesspiegel nicht: Wenn die Register im aktuellen Zustand laut dem PD Positionspapier 652 Millionen pro Jahr kosten, ohne dass spürbarer Mehrwert für Bürger:innen oder Unternehmen entsteht, wie teuer wird das Ganze, wenn die Register wirklich genutzt werden? Wenn der Datenaustausch über NOOTS in den vollen Betrieb geht, wenn Once-Only kein Pilot mehr ist, wenn alle Verfahren angeschlossen sind? Wer rechnet?

Reform ist hier nicht ein Wort für Strukturkosmetik. Reform heißt: weniger Register, klarer abgegrenzte Zuständigkeiten, weniger parallele Datentöpfe. Die aktuelle Kosten-Größenordnung ist nicht nur eine Effizienz-Frage. Sie ist ein politisches Risiko.

Die Deutschland-App und drei Probleme

Mitten im April wird klar, wer die Deutschland-App bauen soll. Das BMDS hat den Auftrag an SAP und die Telekom vergeben, eine FOIA-Anfrage von FragDenStaat bestätigt: über bestehende Framework-Verträge, ohne offene Ausschreibung für die erste Phase. Drei Probleme dazu, die alle in der LinkedIn-Diskussion und in netzpolitik, heise und der OSB-Alliance-Kritik auftauchen.

Erstens, die Vergabe. Wenn ein Großprojekt mit dieser strategischen Bedeutung über Framework-Verträge an SAP und Telekom geht, fehlt der Wettbewerb. Das Echo der Corona-Warn-App-Vergabe ist nicht zufällig laut. Wer den deutschen GovTech-Markt ernst nimmt, sollte nicht den ersten relevanten Auftrag der Legislaturperiode an die immer gleichen Konzerne vergeben. Der Protest des Google-Konsortiums gegen den Ausschluss bei einer parallelen Cloud-Vergabe zeigt, dass Vergabeverfahren rechtlich angreifbar sind, wenn der Wettbewerb erkennbar nicht gesucht wird. Die Open-Source-Verbände fordern hier zu Recht Transparenz und Marktöffnung.

Zweitens, das Frontend-Problem. Eine zentrale App ist ein neues Frontend für eine unveränderte Verwaltungsrealität dahinter. Die Verwaltungssuchmaschine NRW (heute Linie6plus) hat einen ähnlichen Suchmaschinen-Ansatz schon vor Jahren probiert, ohne KI-Würze. Dass dieselbe Idee jetzt mit KI-Agenten neu lackiert wird, löst keines der Probleme dahinter: weder die föderalen Zuständigkeiten noch das Kraut-und-Rüben-Problem in den Fachverfahren der Kommunen. Eine zentrale App wirkt höchstens auf wenige Leuchttürme. In die Fläche kommt sie nicht.

Schlimmer: Eine zu zentrale App-Logik droht bestehende, regional oder thematisch funktionierende Lösungen zu verdrängen, ohne sie zu ersetzen. Verdrängung ohne Ersatz ist die teuerste Form von Konsolidierung.

Drittens, das Verhältnis zum Deutschland-Stack. Beides kommt aus demselben Haus, dem BMDS. Wie die Deutschland-App architektonisch zum Stack passt, wer welche Bausteine wem liefert, ob die App den Stack nutzt oder ihn umgeht, ob KI-Agenten ein Stack-Modul werden oder ein App-internes Feature, ist nicht erkennbar. Aus zwei großen Versprechen wird so zwei Mal Risiko, und nicht ein gemeinsames Liefer-Versprechen.

💡 Die Deutschland-App ist nicht das Frontend, das den Stack erklärt. Sie ist ein Großprojekt on top.

BSI-Kriterien: Definition wird konkret

Am 27. April hat das BSI die Criteria enabling Cloud Computing Autonomy (C3A) veröffentlicht. Acht prüfbare Kriterien, anschlussfähig an das EU Cloud Sovereignty Framework, mit Fokus auf das, was das BSI „Cyber Dominance" nennt: den anhaltenden Hersteller-Zugriff auch nach formaler Datenresidenz. Das C3A ist komplementär zum bestehenden C5-Sicherheits-Katalog. Was C5 für Sicherheit definiert, leistet C3A für Autonomie.

Methodisch ist das die richtige Antwort auf die Beobachtung aus dem Januar-Rückblick: dass „Souveränität" als Begriff inflationär und ohne Norm ist. Mit C3A gibt es jetzt einen prüfbaren Maßstab, an dem sich Cloud-Angebote messen lassen müssen. Der Vergabeblog hat bereits darauf hingewiesen, dass C3A in Beschaffungsverfahren als Anforderung gesetzt werden kann.

Damit existieren jetzt parallel mindestens zwei deutsche Souveränitäts-Kataloge. C3A vom BSI ist enger zugeschnitten auf Cloud-Dienste. Die 20 Souveränitätskriterien des ZenDiS (Konsultation läuft noch bis 15. Mai) decken eine breitere IT-Architektur ab, mit Fokus auf Wechselbarkeit und Anbieter-Einflussmöglichkeit. Das ist kein Widerspruch. Es ist eine Schichtung: BSI für Cloud-Beschaffung, ZenDiS für Open-Source-Software-Auswahl, beide an unterschiedlichen Stellen anwendbar.

Was fehlt, ist die Praxis. Welche Ausschreibung im Mai oder Juni wird C3A erstmals als Pflicht ausweisen? Welche Behörde traut sich, einen Anbieter zu disqualifizieren, weil er die Kriterien nicht erfüllt? Definitions-Arbeit ist notwendig, aber sie ersetzt nicht die Vergabe-Praxis – Souveränität entscheidet sich in der Beschaffung, nicht in Erklärungen. Die nächste Stufe heißt: Kriterien in der echten Beschaffung benutzen.

Verschiebebahnhof Digitalhaushalt

Am 22. April hat der Bundestag den ersten Digital-Haushalt der Bundesrepublik beschlossen. 4,47 Milliarden Euro, in einem neuen Einzelplan 24, konsolidiert aus Mitteln, die vorher auf sechs verschiedene Häuser verteilt waren: Kanzleramt, BMI, BMJV, BMF, BMWK und BMVI. Davon entfallen rund 650 Millionen Euro auf Verwaltungsdigitalisierung, der größte Block geht in Breitband-Infrastruktur.

Das ist mehr Reform, als auf den ersten Blick aussieht. Mit BMDS, FITKO, ZenDiS und dem DigitalService gibt es jetzt einen Apparat, der die Zuständigkeit für Verwaltungs-IT bündelt. Aber Zuständigkeit ohne Geld ist halbe Macht. Der Konsolidierungs-Schritt ist deshalb notwendig, damit das BMDS mehr ist als ein Koordinations-Container ohne Hebel.

Genau deshalb ist die Bezeichnung Verschiebebahnhof zutreffend, aber nicht abwertend. Der politische Streit um die Verlagerung ist der eigentliche Punkt: Werden die alten Häuser wirklich Ihre finanzielle Mittel (und damit Macht) abgeben an das BMDS? Mit ihren Lieblings-Projekten, eigenen Anbieter-Beziehungen, Linien-Macht und Personalplanung? Oder bleibt das BMDS am Ende eine zusätzliche Schicht, ohne dass die Häuser ihre eigenen Digitalprojekte aus der Hand geben?

Die Legislaturperiode ist schon weit fortgeschritten. Wenn sich die Konsolidierung zu lange ziert, geht das Zeitfenster zu, in dem die Reform politisch durchsetzbar ist. Eine Bundes-Digital-Architektur, die nominal zentralisiert ist, faktisch aber weiterhin durch Hausherrschafts-Konflikte gebremst wird, leistet wenig.

Fazit

April hat die Vormonate vermessen. 652 Millionen Euro pro Jahr, ohne dass Bürger:innen es spüren. Eine Deutschland-App, die mehr Frontend ist als Lösung. Acht BSI-Kriterien, die jetzt Definitions-Lücken schließen. Ein Digital-Haushalt, der Macht zentralisieren will, aber den Streit erst auslöst.

An Diagnose mangelt es nicht. An echter Reform schon.

Zuviel Geld ist das Problem. März 2026 im E-Government-Rückblick.

Tue, 31 Mar 2026 18:01:16 +0200

Der März stand im Zeichen des Deutschland-Stacks. Das BMDS hat erstmals eine Nationale Rechenzentrumsstrategie vorgelegt. ZenDiS hat seine 20 Souveränitätskriterien zur öffentlichen Konsultation gestellt. Der IT-Planungsrat hat in Rostock den Stack mit Plattformkern beschlossen und das FITKO-Budget neu sortiert.

Klingt nach Bewegung. Klingt aber auch nach dem, was der Tagesspiegel in derselben Woche pointiert getitelt hat: „Erst der Auftrag, dann das Konzept."

Mein Eindruck nach drei Wochen mit dem Thema: Wir reden hier nicht über zu wenig Geld. Wir reden über die Folgen einer Politik, die zu vielen parallelen Spuren gleichzeitig Geld gibt.

Stack ohne Stack

Wer sich aktuell mit Rechenzentrums-, Souveränitäts- und Stack-Diskussionen beschäftigt, hört von Anbietern und Verbänden den gleichen Satz: „Es ist zu wenig Geld da." Ich halte das für eine Verschiebung der Diagnose.

Geld ist absolut betrachtet eher zu viel da. Es reicht nur nicht aus, um alle parallelen, ähnlichen, aber konkurrierenden Aktivitäten dauerhaft zu finanzieren. Und am Ende wird mehrfach bezahlt, was eigentlich nur einmal gedacht und gebaut werden müsste.

Das aktuell sauberste Beispiel: ZaPuK, die föderale Zielarchitektur für Postfach- und Kommunikationslösungen. Die FITKO hat im März die Phase 2 vorgestellt. Der Hintergrund: In Bund und Ländern existieren über die Jahre eine Reihe von Postfach- und Kommunikationsdiensten parallel – entwickelt, finanziert, betrieben. Jetzt wird Geld investiert, um sie unter eine gemeinsame föderale Architektur zu bringen, samt Anbindung an EUDI-Wallet und BundID. Viel Geld, über viele Jahre, on top – nachdem die Einzellösungen vorher ebenfalls viel Geld gekostet haben.

Das Muster ist alt: Erst entstehen Insellösungen entlang der Föderalismus-Linien, weil jede Ebene ihren Anspruch in eigene Software gegossen hat. Dann kommt der Integrationslayer, der das Ganze zusammenklammert. Dann kommt – drei Jahre später – der nächste Integrationslayer, der die Klammer ersetzt. Das ist nicht Souveränität, das ist Sedimentierung.

Damit verschiebt sich auch das eigentliche Risiko des Deutschland-Stacks. Die Diskussion fokussiert sich darauf, was in den Stack gehört. Sie sollte sich darauf fokussieren, was nicht mehr in den Stack gehört.

Der größte gemeinsame Nenner

Aktuell beobachte ich das Gegenteil. Das BMDS bewirbt den Stack als „nationale souveräne Technologie-Plattform". Verbände, Anbieter, Bundesländer, Communities und Forschungsinstitute reklamieren dazu – nachvollziehbar – Sichtbarkeit für ihre eigenen Bausteine. Jede:r will sagen: „Wir sind da auch drin."

Damit wird der Deutschland-Stack zum größten gemeinsamen Nenner. Er sammelt fleißig ein. Aber genau das war nicht die Idee.

Die Idee eines Stacks lebt davon, was er nicht enthält. Reduktion ist die Funktion, nicht die Schwäche. Eine Plattform, die alles aufnimmt, ist keine Plattform mehr – sie ist ein Verbund mit neuem Logo. Genau das passiert gerade.

Der saubere Test wäre: Welche bestehenden, parallel laufenden Initiativen werden durch den Stack abgelöst? Welche Förderlinien laufen aus, welche Verträge werden nicht verlängert, welche Plattformen werden migriert und dann abgeschaltet? Wenn auf diese Frage keine konkreten Antworten existieren, ist der Stack keine Vereinfachung, sondern eine Erweiterung.

💡 Stack-Politik braucht keine 21. Initiative. Sie braucht die Bereitschaft, ein paar der bestehenden zu beenden.

Die 20 ZenDiS-Souveränitätskriterien sind in genau dieser Logik der konzeptionell stärkste Beitrag des März. Kriterien definieren, was reingehört und was nicht – und damit, was an Vorhandenem nicht mehr ausreicht. Ob die politische Umgebung den Mut für diese Konsequenz aufbringt, ist die zweite Frage. Aber methodisch ist das der richtige Schritt.

Was Österreich uns sagt – und was nicht

Im selben Monat eine andere Geschichte: Österreich migriert Teile seiner Verwaltung auf Open Source. „Reibungsloser als erwartet", schreibt Golem über die laufende Umstellung. Parallel hat das Bundesrechenzentrum (BRZ) eine Public-AI-Initiative auf Open-Source-Basis aufgesetzt – mit eigener Modell-Strategie statt Hyperscaler-Abhängigkeit.

Der deutsche Reflex auf solche Nachrichten ist berechenbar: „Lasst uns das übernehmen."

Das wäre ein Trugschluss. Österreich ist juristisch, fachlich und technisch anders aufgestellt als Deutschland. Andere Föderalismus-Architektur, andere Beschaffungsregeln, andere Größenordnungen, andere Anbieter-Ökosysteme. Was dort funktioniert, lässt sich nicht eins zu eins importieren – die Strukturen sind nicht kompatibel.

Daraus lernen ist trotzdem der Punkt. Die Frage ist nie „wie kopieren wir das?", sondern „was davon lässt sich in unseren föderalen Kontext übersetzen?". Welche Vorgehensweise, welche Governance-Struktur, welche Rolle für die Anbieter, welche Eskalationswege – was davon ist anschlussfähig an deutsche Realität, welche Bausteine sind es nicht.

Das ist der Unterschied zwischen Inspiration und Folklore. Aus Wien lassen sich in diesem Sinne mehrere konkrete Punkte herausziehen – der wichtigste: dass Souveränität nicht mit einem zentralen Plattform-Statement beginnt, sondern mit konsequenter Anbieter-Auswahl in jeder einzelnen Ausschreibung. Auch das ist ein Punkt, den der Deutschland-Stack noch nicht beantwortet.

Fazit

März 2026 in einem Satz: An Konzepten mangelt es nicht. An Entscheidungen schon. Und am Mut, parallele Spuren zu schließen, statt sie hinterher mit dem nächsten Stack-Layer zu integrieren.

500 Meinungen. Kein Fundament. - E-Government im Dezember 2025.

Mon, 22 Dec 2025 16:17:28 +0200

Der Dezember 2025 fühlte sich an wie ein Sprint auf eine Ziellinie, die noch niemand genau kennt. Die Ministerpräsidentenkonferenz beschloss eine föderale Modernisierungsagenda mit über 200 Maßnahmen. Der IT-Zustimmungsvorbehalt des Bundesdigitalministeriums trat in Kraft. Die Konsultation zum Deutschland-Stack endete mit 500 Stellungnahmen. Und Govtech Deutschland legte den Nachweis vor: Cloud-Register sind rechtlich zulässig.

Klingt nach Bewegung. Klingt aber auch nach Nachholen. Als wollte man Versäumnisse von 2025 noch eben vor Weihnachten schließen.

Der Stack und das Veto: Steuerung ohne Kompass

Die 500 Stellungnahmen zur Konsultation des Deutschland-Stacks sind beeindruckend – von Bitkom über die OSBA bis zu kommunalen IT-Dienstleistern und Einzelpersonen. Ich habe selbst eine eingereicht[https://gitlab.opencode.de/dstack/d-stack-home/-/work_items/505]. Die Frage, die mich dabei begleitet hat: Wer liest das eigentlich – und mit welchem Gewicht? Nicht weil Beteiligung schlecht ist. Sondern weil eine Konsultation ohne transparenten Verarbeitungsprozess schnell zum Alibi wird.

Das Feedback in „Version 1.0 des Tech-Stacks" einfließen lassen, fertig bis Ende Januar 2026 – so lautet die Ansage des BMDS. Wie, nach welchen Kriterien und mit welcher Priorisierung: unbekannt.

Strukturell ist das Problem bekannt. Das Gitlab-Tool funktioniert für Entwicklerinnen und Entwickler. Für die 11.000 Kreise, Städte und Gemeinden, die die größte Nutzergruppe des Stacks sein werden, ist es ein fremdes Format. Der Deutsche Städte- und Gemeindebund hat das klar benannt: Kleinere Kommunen hatten keine Kapazitäten für eine technische Beteiligung. Die, die am meisten betroffen sind, kommen am wenigsten zu Wort.

Parallel dazu trat der IT-Zustimmungsvorbehalt in Kraft. Karsten Wildberger bekommt Veto-Recht über IT-Projekte anderer Bundesministerien ab 500.000 Euro pro Jahr. Die Idee ist richtig: Fünf verschiedene KI-Umgebungen in der Bundesverwaltung sind kein Zeichen von Vielfalt, sondern von koordinationslosem Einkauf. Aber das Veto ist nur so stark wie der Prüfkatalog dahinter. Ohne öffentlich bekannte Kriterien, nach denen Projekte genehmigt oder geblockt werden, ist das zunächst vor allem eines: eine Gefühlssache. Für die anderen Ministerien genauso wie für das BMDS selbst.

Cloud-Register: Technik-Zauber für schlechte Gesetze?

Der Proof of Concept von Govtech Deutschland ist das ehrlichste Stück Lieferung im Dezember. Das Ergebnis: Cloud-Register sind verfassungs- und datenschutzrechtlich zulässig, Confidential Computing macht es technisch möglich. Drei Konsortien haben die Architektur implementiert, Hogan Lovells hat sie geprüft. 💡

Und dann: Zwei von drei beteiligten Kommunen sind aus dem Konsortium ausgestiegen. Sie konnten keine virtuelle Maschine aufsetzen und keinen kryptografischen Vault verwalten. Das ist kein Scheitern – das ist eine präzise Diagnose. Die Technologie ist bereit. Die Kommunen sind es nicht. Die Antwort ist klar: „Komplett As-a-Service. Link klicken und fertig." So Govtech-Vorstand Ammar Alkassar. Das stimmt.

Trotzdem muss man die tieferliegende Frage stellen: Wie viel Technikaufwand betreiben wir gerade, um einen schlechten Status Quo abbildbar zu machen? Die Trennung der Datenzuständigkeiten und Registerführungskompetenzen ist ein juristisches Konstrukt – gewachsen aus Gesetzen, die für die analoge Welt gemacht wurden. Confidential Computing ist die technische Antwort darauf: hochkomplex, kostspielig, erklärungsbedürftig.

Was wäre, wenn man stattdessen die Grundprinzipien der Registerführung selbst anfasste? Einfachere, zentraler organisierbare Lösungen wären möglich – wenn die Gesetzgebung den Weg freimacht. Stattdessen bauen wir technische Schlösser um Paragrafen herum, die niemand anfassen will. Das ist teuer. Und es verlangsamt die NOOTS-Roadmap erheblich.

Haushalt als Verschiebebahnhof

Der Dezember endete mit einem Befund, der sich mit dem Jahresabschluss gut zusammenfasst. Das Geld für die Verwaltungsdigitalisierung ist vorhanden – nur landet es nicht dort, wo es wirken würde. Ein Kommentar auf Golem bringt es auf den Punkt: Der Bundeshaushalt 2026 nutzt das Sondervermögen, um laufende Kosten zu decken – echte Investitionen in digitale Infrastruktur bleiben aus.

ZenDiS ist das anschaulichste Beispiel für das Gegenteil: wenig Ressourcen, viel Wirkung, aber strukturell unterfinanziert. Wer openDesk als strategische Alternative zu Microsoft 365 ernstnimmt – und das sollte man, gerade jetzt, wo Microsoft seine Preise erneut anzieht – muss auch bereit sein, ZenDiS mit entsprechenden Mitteln auszustatten.

Das Muster ist nicht neu. Bekannte Löcher werden gestopft, politische Versprechen bleiben auf dem Papier. Wie sich das 2026 auflöst, wird eine der entscheidenden Fragen des Jahres.

Fazit

An Beschlüssen mangelt es nicht im Dezember 2025. An Konsequenz schon. Der Deutschland-Stack braucht keine weiteren Stellungnahmen mehr – er braucht transparente Kriterien, wie aus Feedback Architekturentscheidungen werden. Das Cloud-Register braucht keinen weiteren Proof of Concept – es braucht Gesetze, die einfachere Lösungen ermöglichen. Und der Haushalt braucht keine weiteren Verschiebebewegungen. Er braucht echte Investitionsentscheidungen.

Zehn Jahre. Drei Gremien. Kein Durchgriff. Juli 2025 im E-Government-Rückblick.

Thu, 31 Jul 2025 20:17:15 +0200

Der Bundesrechnungshof hat dem Haushaltsausschuss des Bundestages Anfang Juli einen Bericht zur zentralen IT des Bundes (Tagesspiegel Background, Paywall) vorgelegt: zehn Jahre IT-Konsolidierung, drei parallele Gremien, Einstimmigkeitsprinzip in zwei davon, Parallelentwicklungen trotz Zentralstellenmandat. Gleichzeitig erscheint auf Golem eine nüchterne Analyse: Open Source hat im Bund keine Lobby. Und Microsoft sperrt das Konto eines LibreOffice-Entwicklers. Ohne Vorwarnung, ohne Erklärung.

Das neue Digitalministerium verwaltet unterdessen Haushaltsmittel für Registermodernisierung, EUDI-Wallet, Deutschland-ID. Und erbt eine Entscheidungsarchitektur, die Entscheidungen systematisch verlangsamt.

Klingt nach Handlungsdruck. Klingt aber auch nach einer Frage, die zu selten laut gestellt wird: Welches der geerbten Probleme kann Wildberger eigentlich lösen?

Eine Erbschaft, die niemand freiwillig angetreten hätte

Der Bundesrechnungshof-Bericht ist kein Skandal. Er ist die Dokumentation des Offensichtlichen. Das Einstimmigkeitsprinzip im IT-Rat und im Lenkungsausschuss IT-Konsolidierung lähmt Entscheidungen. Das CIO Board konnte sich nicht einigen, Haushaltsmittel für ein simples Planungstool bereitzustellen. Einzelbeschaffungen gehen weiter an der Zentralstelle IT-Beschaffung vorbei. Fast die Hälfte der Bundesbehörden erfüllt die Sicherheitsanforderungen für die Netze des Bundes nicht vollständig. Sanktionsmöglichkeiten: keine.

Das alles übergibt die Bundesregierung nun an das BMDS. Auftrag laut BMI und BMF: eine „Neujustierung der IT-Steuerung mit Durchgriffsrechten" vornehmen. Was klingt wie Ermächtigung, ist in Wirklichkeit die Umschreibung einer offenen Rechnung, die zehn Jahre kein Haus bezahlen wollte.

Für Wildberger ergibt sich daraus ein klares Bild: Hier gibt es keinen schnellen Erfolg zu holen. IT-Konsolidierung ist Verwaltungspolitik auf Sicht, kein Gewinnerthema für ein neues Ministerium in seiner ersten Legislatur. Wer das zum Leuchtturmprojekt erklärt, läuft in eine strukturelle Falle.

Der eigentliche Hebel liegt nicht in einem weiteren Reorganisationserlass. Er liegt in einer schlichten Änderung der Gremien-Geschäftsordnungen: weg vom Einstimmigkeitsprinzip, hin zu qualifizierten Mehrheitsentscheidungen. Das wäre kein Gesetzesproblem, das wäre ein Reihenfolge-Problem. Und es wäre der erste Schritt, den man in dieser Legislatur tatsächlich sehen könnte.

Open Source braucht keine Lobby. Sondern Beschaffungsentscheidungen.

Die Golem-Analyse zur fehlenden Lobby ist ehrlich. Aber sie trifft die falsche Stelle.

Open Source hat im Bund keine strukturelle Verankerung in der Beschaffung. Nicht in den Ausschreibungsvorlagen, nicht als Muss-Kriterium, nicht in den Bewertungsmatrizen. Solange Open Source als Option behandelt wird statt als Anforderung, wird die Lobby-Frage nie beantwortet sein.

Der Microsoft-Vorfall mit dem LibreOffice-Entwickler erzählt das in einem Bild: Jemand, der aktiv an der Open-Source-Alternative zu Microsoft Office arbeitet, verliert seinen Infrastrukturzugang bei Microsoft. Ohne Vorwarnung. Das ist kein Datenschutzproblem. Das ist eine Infrastrukturabhängigkeit, die niemand bewusst gewählt hat, weil niemand bis zu diesem Punkt gefragt hat: Auf wessen Infrastruktur laufen eigentlich unsere Alternativen?

Die Delos Cloud ist das aktuell anschaulichste Beispiel für diese Spannung. Hessen steht als erster Interessent bereit, die ersten Azure Foundational Services sollen im dritten Quartal 2025 verfügbar sein (Tagesspiegel Background, Paywall), Office 365 Ende des Jahres. Aber die Rechenzentren gehören noch Microsoft. Der Eigentumsübergang ist für 2026 geplant. Das ist kein Einwand gegen Delos, es ist eine Erinnerung daran, wie lang der Weg noch ist, wenn man Souveränität in Infrastruktur-Eigentum messen will.

💡 ZenDiS ist das richtige institutionelle Instrument für Open Source in der Verwaltung. Aber ohne Beschaffungsrichtlinien, die Open Source priorisieren statt optionalisieren, und ohne politischen Rückenwind, der sich in Haushaltsmitteln ausdrückt, bleibt es eine gut gemeinte Initiative ohne Skalierungslogik.

Geld für Register, Komplexität im System

Der Kabinettsentwurf für den Bundeshaushalt 2026 (Tagesspiegel Background, Paywall) sieht 194 Millionen Euro für die Registermodernisierung vor, dazu über 250 Millionen für die Deutschland-ID und 162 Millionen für die EUDI-Wallet. Das Geld ist da.

Eine Golem-Analyse zur Registermodernisierung zeigt die Lücke: Schneller Start beim Umzug in ein neues Bundesland? Theoretisch ja. Praktisch entstehen neue Komplexitäten, sobald die EU-Sicherheitsarchitektur zwischen den beteiligten Registern ins Spiel kommt. Das bekannte Muster: Warum muss ich dem Staat Daten geben, die er schon hat? Die Antwort liegt nicht in mehr Haushaltsmitteln, die sind vorhanden. Sie liegt in der Bereitschaft, Registerführungskompetenzen zu entflechten, statt technische Schichten über bestehende Strukturen zu bauen.

Daneben: Die „Initiative für einen handlungsfähigen Staat" unter Schirmherrschaft von Bundespräsident Steinmeier legt im Juli einen 160-seitigen Abschlussbericht mit 35 Forderungen vor. Experimentierklauseln, Zuständigkeitsentflechtung, zentrale Dienstleistungsplattformen. Zehn Jahre Horizont. Gut diagnostiziert. Aber ohne konkreten ersten Schritt bleibt auch der beste Bericht Papier.

Fazit

Juli 2025 in zwei Sätzen: Das BMDS erbt Baustellen, keine Blaupausen. Wer im Herbst über Wildberger urteilen will, sollte nicht fragen, was er plant, sondern welche seiner Erbschaften er als erstes ablegt.

Das Gegenbeispiel kommt aus Nürnberg. Juni 2025 im E-Government-Rückblick.

Mon, 30 Jun 2025 20:00:00 +0200

Das Bundesministerium für Digitales und Staatsmodernisierung startete seine ersten Wochen mit einem Kabinettsrang vor dem Verkehrsministerium, einem geliehenen Autohaus-Showroom als Besprechungsraum und drei Diensthandys für Staatssekretär Markus Richter – je eines aus dem Innen-, Verkehrs- und Finanzministerium. Mitte Juni veröffentlichte das Haus ein erstes Organigramm (Tagesspiegel Background, Paywall): „Version 0.1", so Richter intern, „eine Version, die uns zunächst Orientierung bietet." Kein eigener Etat für 2025, rund 500 Mitarbeitende formal noch bei ihren Herkunftshäusern. Gleichzeitig reservierte der Haushaltsentwurf 2025 1,6 Milliarden Euro aus dem Sondervermögen Infrastruktur für zentrale Digitalprojekte: 263 Millionen für die Registermodernisierung, 243 Millionen für das Bürgerkonto, 131 Millionen für die EUDI-Wallet.

Wer in diesem Monat mit konkreter Verwaltungsdigitalisierung überraschte, saß nicht in der Englischen Straße 30 in Berlin-Charlottenburg.

Struktur kommt zuletzt

Ein Ministerium aus sechs Vorläufern zusammenzuziehen ist kein bürokratischer Routinevorgang. Das BMDS war im Juni nicht einmal fertig beschriftet – am Eingang begrüßte die Plakette des Bundesinnenministeriums. Trotzdem produzierte das Haus innerhalb der ersten Wochen zwei Gesetze: das NOOTS-Gesetz, das die rechtliche Grundlage für behördenübergreifenden Datenaustausch legt, und das Glasfaserprivileg, mit dem der Breitbandausbau ins „überragende öffentliche Interesse" gehoben und damit Genehmigungsverfahren beschleunigt werden. Das ist politischer Produktionsbetrieb unter Baustellenbedingungen. Und es zeigt, was geht, wenn der politische Wille da ist.

Was das Organigramm darüber hinaus sichtbar macht: Der Deutschland-Stack bekommt eine eigene Abteilung, mit zwei Unterabteilungen für staatliche Infrastruktur und digitale Dienste. Organisatorisch mehr als eine symbolische Geste. Die Frage, ob dieser Stack eine echte Architekturentscheidung wird oder ein weiteres Sammelbecken für bestehende Initiativen, ließ sich im Juni noch nicht beantworten – das Team sollte bis Ende des Monats die Weichen stellen, ein ambitionierter Zeitplan für ein Vorhaben, das Bund, Länder und Kommunen verbinden soll.

Der eigentliche Hebel des Digitalministeriums liegt woanders: im Zustimmungsvorbehalt über IT-Ausgaben der Bundesverwaltung. Wenn das BMDS dieses Instrument konsequent nutzt, als echtes Entscheidungsfilter und nicht als weitere Koordinationsebene, entscheidet sich dort, ob der Stack eine technische Plattform wird oder ein politisches Label. Welche laufenden IT-Projekte werden auf Stack-Kompatibilität geprüft? Welche Ausschreibungen kommen nicht durch? Das sind die Fragen, die im Herbst Antworten brauchen.

Den Kontext dafür liefert der Markt selbst: Microsofts Ausgaben des Bundes für Softwarelizenzen sind 2024 deutlich gestiegen – Digitalisierung kostet zunächst mehr, nicht weniger, das ist ehrlich. Problematisch wird es, wenn die höheren Ausgaben in tiefere Abhängigkeit fließen, statt in Wahlfreiheit. Microsoft umwarb im Juni europäische Kunden aktiv mit seiner Sovereign-Cloud-Architektur. Deutschland und Frankreich vereinbarten höheres Tempo beim Aufbau europäischer Cloud-Plattformen. Beides zeigt, wohin sich die Debatte bewegt. Was noch fehlt: ein klares Signal des BMDS, welche Standards ein „souveräner" IT-Einkauf des Bundes künftig erfüllen muss – konkret, nicht als Grundsatzpapier.

Was die BA gerade macht

Während das Ministerium seine Organigramm-Version 0.1 kursieren ließ, gab BA-Chefin Andrea Nahles ein Interview über Multi-Cloud, Once-Only und Aleph Alpha (Tagesspiegel Background, Paywall), das im Fachkreis wenig Aufsehen erzeugte – das aber zeigt, wie Verwaltungsmodernisierung aussieht, wenn man sie operativ ernst nimmt.

Die Bundesagentur für Arbeit betreibt seit April einen Cloud-Broker-Rahmenvertrag über den sieben Anbieter abrufbar sind: amerikanische Hyperscaler und europäische Alternativen, ohne Abnahmeverpflichtung, ohne Mono-Strategie. Die zentralen Auszahlungssysteme ziehen 2025 in die SAP-Cloud-Umgebung. Nahles’ Begründung: Rechenzentrumskapazitäten freiräumen, um KI-Anwendungen mit sensiblen Daten weiterhin im eigenen Haus betreiben zu können. Das ist keine Widerspruch-Logik, das ist Architekturdisziplin: Cloudnutzung dort, wo es sinnvoll ist, Eigenregie dort, wo es darauf ankommt.

Beim Once-Only-Prinzip ist die BA als Pilotbehörde konkret unterwegs: Datenaustausch mit dem Bundeszentralamt für Steuern, Anbindung an das Bremer Datenschutzcockpit, vorausgefüllte Anträge. Nicht als Konzeptpapier, sondern als laufende Implementierung. Bremen hatte im selben Monat gezeigt, was Once-Only technisch voraussetzt (Tagesspiegel Background, Paywall): aufgeräumte Datenbestände. Wer seine Register nicht kennt, kann sie nicht teilen. Die BA kennt sie.

💡 Der Unterschied zwischen „wir arbeiten an Once-Only" und „wir tun Once-Only" ist ein aufgeräumtes Datenmodell. Wer da noch nicht angefangen hat, sollte nicht auf den Stack warten.

Und dann ist da noch die KI-Entscheidung. Die BA hat 2024 einen Rahmenvertrag über 19 Millionen Euro mit Aleph Alpha abgeschlossen, entwickelt gemeinsam einen internen Wissens-Assistenten namens „Bakira" und hat laut Nahles 21 KI-Anwendungsfälle aktiv, bis Ende 2025 sollen es über 30 sein. Was hier funktioniert, hat einen strukturellen Grund: Die BA verfügt über einen eigenen Technologie-Stack, der diese Integrationen trägt. Und sie hat eine Führung, die KI nicht als Kommunikationsbotschaft, sondern als Infrastrukturkomponente begreift.

Das ist kein Anlass zur Übertragung eins zu eins. Die BA ist ein Einzelakteur mit klaren Zuständigkeiten, eigenem Haushalt und einem internen IT-Dienstleister. Föderale Verwaltungsdigitalisierung ist strukturell anders. Aber das Muster ist übersetzbar: Erst die Datengrundlage, dann der Datenaustausch. Erst ein Anwendungsfall liefern, dann den nächsten bauen. Wenn eine Behörde es vormacht, kommen andere mit, schneller als es jede Bundesvereinbarung erzwingen könnte.

Fazit

Juni 2025: Das Digitalministerium entsteht. Der Deutschland-Stack bekommt eine Heimat im Organigramm. Die Milliarden aus dem Sondervermögen sind reserviert. Was noch fehlt, hat die BA schon: ein Architekturverständnis, das entscheidet, was reingehört und was nicht, und die Bereitschaft, mit einem konkreten ersten Schritt anzufangen.

Neue Zuständigkeit ist kein neues Ergebnis. Der erste echte Test für das BMDS wird nicht die nächste Agenda-Veröffentlichung sein, sondern die erste IT-Ausgabe einer Bundesbehörde, die es ablehnt.

Wildberger hat sechs Ministerien. Trump hat den Schlüssel zur Cloud. – Mai 2025 im E-Government-Rückblick.

Sat, 31 May 2025 20:00:00 +0200

Am 7. Mai 2025 vereidigt Bundeskanzler Friedrich Merz sein Kabinett. Das neue Bundesministerium für Digitales und Staatsmodernisierung (BMDS) unter Karsten Wildberger bündelt Kompetenzen aus sechs Ministerien: OZG, Staatsmodernisierung, IT-Beschaffung, das ITZBund, die strategische Vorausschau. Mehr stand noch nie unter einem digitalpolitischen Dach. In derselben Woche wird bekannt, dass Microsoft das E-Mail-Konto des Chefanklägers am Internationalen Strafgerichtshof (IStGH), Karim Khan, gesperrt hat, weil die Trump-Regierung Sanktionen gegen ihn verhängt hatte (Tagesspiegel Background, Paywall).

Klingt nach Zufall. Ist keiner. Der Mai zeigt an zwei Schauplätzen gleichzeitig, was Verwaltungsdigitalisierung 2025 bedeutet.

Das Ministerium, das ITZBund und die erste Machtfrage

Der Zuschnitt des BMDS ist ein echter Schritt. Markus Richter, bisheriger Bundes-CIO, bleibt als Staatssekretär, was operative Kontinuität sichert. Der Deutschland-Stack steht im Koalitionsvertrag. Und erstmals liegt die Zuständigkeit für souveräne Cloud, IT-Beschaffung und Verwaltungsdigitalisierung in einer Hand.

Dann, fast unmittelbar: Das Bundesfinanzministerium will das ITZBund nicht abgeben (Tagesspiegel Background, Paywall). Das ITZBund ist der IT-Dienstleister des Bundes mit Milliardenbudget. Ohne ihn ist das BMDS ein Ministerium mit Papier-Kompetenz, aber ohne operativen Hebel. Der Streit ist in der ersten Woche bereits da.

Das ist kein Betriebsunfall. Wer Haushalt und operative IT trennt, bekommt immer dieselbe Reibung. Der Schritt, der den Streit auflöst, ist nicht ein weiteres Abstimmungsgespräch, sondern eine klare politische Entscheidung: Wer am Ende entscheidet, BMDS oder BMF. Eine halbe Lösung kostet mehr als gar keine.

Parallel beginnt die Diskussion um den Deutschland-Stack, und sie beginnt so, wie solche Diskussionen in Deutschland beginnen: mit vielen Beteiligten, die alle etwas darin sehen wollen, und wenig Klarheit darüber, was der Stack eigentlich nicht enthält. Euro Stack, GovStack, Deutschland-Architektur: Die Begriffe kursieren parallel. Der IT-Planungsrat hat das Thema auf der Agenda, konkrete Beschlüsse gibt es noch nicht. Das ist der Moment, in dem Präzision mehr wert ist als Tempo. Ein Stack, der alles aufnimmt, ist keine Plattform. Er ist ein Verbund mit neuem Logo.

Was Karim Khans E-Mail-Konto mit dem Deutschland-Stack zu tun hat

Peter Ganten, Vorstandsvorsitzender der Open Source Business Alliance, nennt den IStGH-Fall einen „Weckruf für alle, die für die sichere Verfügbarkeit staatlicher und privater IT- und Kommunikationsinfrastrukturen verantwortlich sind" (Tagesspiegel Background, Paywall). Achim Weiß, CEO von Ionos, zieht die Konsequenz direkt: „Wenn Trump uns morgen die digitale Infrastruktur abdreht, sitzen wir auf dem Trockenen." Das ist kein hypothetisches Szenario mehr. Das ist der Mai 2025.

Die europäische Antwort auf genau diese Frage sollte Gaia-X sein. Fünf Jahre nach dem Start ist die Bilanz nüchtern (Tagesspiegel Background, Paywall): Standardisierungsfortschritte, einige frustrierte Unternehmen, kein handfestes Alternativangebot zu US-Hyperscalern. Die Idee war richtig. Die Umsetzung litt daran, dass zu viele Akteure zu viel auf einmal wollten, ohne dass irgendjemand die Entscheidung über Prioritäten hatte. Auch das ist ein Strukturproblem, kein Pech.

Was konkret hilft, zeigt sich ebenfalls im Mai: Die Schwarz Gruppe will mit ihrer Cloud-Tochter StackIT und SAP zum deutschen Hyperscaler werden. Wildberger war beim Start dabei. Das ist der andere Weg: Ein Unternehmen investiert in echte Infrastruktur, statt auf ein Konsortium zu warten. Kein Prozess, keine Taskforce. Einfach bauen.

Souveränität entscheidet sich nicht in Gipfelreden. Sie entscheidet sich in Beschaffungsentscheidungen. Jede Bundesbehörde, die heute einen europäischen Anbieter wählt, baut an der Antwort auf den IStGH-Fall. Das BMDS hat dafür jetzt die Zuständigkeit. Das ist keine Kleinigkeit.

Logineo und die Kosten der falschen Reihenfolge

Nordrhein-Westfalens Schulplattform Logineo steht vor dem Aus (Tagesspiegel Background, Paywall). T-Systems hat die Verträge gekündigt. Das Projekt existiert seit 2015, hat rund 200 Millionen Euro verschlungen und etwa 3.000 der 5.400 NRW-Schulen angebunden. Es scheitert nicht an fehlendem Budget, sondern an einer Architektur, die beim Start nicht nachnutzbar war und auf Technik setzte, die schon damals veraltet war.

Kritiker bringen es auf den Punkt: keine abgestimmte Strategie, keine Wiederverwendbarkeit, keine Einbindung der Schulträger. Das ist das Ergebnis, wenn die Reihenfolge falsch ist: erst entwickeln, dann fragen, was gebraucht wird.

Was hilft? Nicht das nächste Leuchtturmprojekt. Förderung, die Nachnutzung belohnt statt Innovation erzwingt. Die Agora Digitale Transformation empfiehlt im Mai genau das: Förderprogramme so umbauen, dass Kommunen für die Übernahme bewährter Lösungen gefördert werden, nicht für die Eigenentwicklung der nächsten Plattform. Der Weg ist nicht neu. Er wird nur nicht genommen.

Immerhin zwei konstruktive Signale aus dem Ökosystem: Google hat im Streit mit Nextcloud nachgegeben und gibt der App wieder volle Dateizugriffsrechte zurück. Und Wildberger bekannte sich auf der re:publica öffentlich zu Open-Source-Software, begleitet von erkennbarem Applaus. Beides sind noch keine Strategien. Aber es sind Signale, dass die Richtung stimmt.

Fazit

Der Mai 2025 ist der Monat des institutionellen Aufbruchs. Das BMDS ist real, die Kompetenz gebündelt, der Wille erkennbar. Und gleichzeitig: Die strukturellen Probleme treten ab Tag zwei in voller Schärfe auf. Der ITZBund-Streit ist ein Vorgeschmack. Der Deutschland-Stack ist noch eine Fläche ohne Kontur. Und der IStGH-Fall zeigt, dass die Welt auf keine Roadmap wartet.

An Kompetenzen mangelt es jetzt nicht mehr. An Entscheidungen schon.

Das Versprechen und die Entlassung. April 2025 im E-Government-Rückblick.

Wed, 30 Apr 2025 20:00:00 +0200

Am 9. April 2025 präsentierten CDU, CSU und SPD ihren Koalitionsvertrag. 144 Seiten, Titel: „Verantwortung für Deutschland." Digitale Souveränität steht weit vorne. Open Source soll mit „ambitionierten Zielen" vorangebracht werden. Das Zentrum für Digitale Souveränität (ZenDiS) wird namentlich als Träger genannt, ebenso wie die Sovereign Tech Agency und SPRIND. Am selben Tag beschloss das Bundesinnenministerium, ZenDiS-Geschäftsführerin Jutta Horstmann abzuberufen.

Das ist keine schlechte Koordination. Das ist die Diagnose.

Ambitionierte Ziele, vakante Strategie

Was der Koalitionsvertrag zu Open Source sagt, ist inhaltlich das Richtige: offene Schnittstellen, offene Standards, das IT-Budget strategisch ausrichten. Was fehlt, ist die Verbindlichkeit. Das von der SPD angestrebte 50-Prozent-Ziel für Open Source in der Beschaffung blieb draußen. Ein Digitalbudget fehlt ebenso. Alle Vorhaben stehen unter Finanzierungsvorbehalt. „Ambitionierte Ziele" ist eine Formel, die man ohne Konsequenzen stehen lassen kann.

Horstmann war dabei nicht irgendeine Managerin. Die Linux-Expertin und Politikwissenschaftlerin hatte das ZenDiS seit Oktober 2024 strategisch aufgestellt, Kooperationen mit Frankreich und den Niederlanden aufgebaut und openDesk als Plattform sichtbar gemacht. Das BMI begründete ihre Abberufung lapidar mit der „Bündelung von Prozessen und Kompetenzen." Die Formulierung erklärt nichts. Was bleibt, ist die von netzpolitik.org beschriebene Sorge, dass das ZenDiS zur Vertriebsorganisation wird: Produkte in die Breite bringen, Umsatz erzielen, die strategische Open-Source-Mission auf der Strecke lassen.

Das Muster ist nicht neu. Deutschland gründet Institutionen für digitale Souveränität, stattet sie mit Mandat und Sichtbarkeit aus und löst dann die Personalentscheidungen davon ab, wer das Mandat eigentlich trägt. Der IT-Planungsrat hat das ZenDiS 2021 erdacht, weil die Abhängigkeit der öffentlichen Verwaltung von US-Tech-Konzernen Informationssicherheit und Innovationsfähigkeit gefährdet. Ob das ZenDiS dieses Mandat unter neuer Führung noch verkörpert, ist offen.

Was würde helfen? Das geplante Digitalministerium könnte die strategische Rolle des ZenDiS verbindlich machen: konkrete Open-Source-Anteile im IT-Budget, Reporting-Pflichten, und die Einbindung der Bundesländer als Mitgesellschafter, die das BMI seit drei Jahren verschleppt. Ambitionierte Ziele brauchen Träger. Wer den Träger schwächt, schwächt das Ziel.

💡 Das 50-Prozent-Ziel wäre gar nicht nötig gewesen. Ein klares Anteilsziel von 20 Prozent für Open Source bei Bundesbeschaffungen, verbindlich und reportingpflichtig, hätte mehr Wirkung als jede Sonntagsformel.

Was trotzdem geliefert wird

Das ZenDiS selbst lieferte im April einen konkreten Beleg: openDesk kommt zur Bundeswehr. Die MS-Office-Alternative wird künftig in den deutschen Streitkräften eingesetzt. Kein Pilotprojekt, kein Memorandum. Ein geschlossener Vertrag. Open Source im Sicherheitsbereich, mit echten Anforderungen an Verfügbarkeit und Datenschutz. Das ist der Beweis, dass das Betriebsmodell funktioniert, auch wenn das Strategiekapitel gerade vakant ist.

Gleichzeitig erzeugt Donald Trumps Handelskrieg einen Marktdruck, den keine Kampagne hätte besser herbeireden können. Europäische Software-Anbieter melden deutlich gestiegene Anfragen. Die Abhängigkeit von US-Clouds ist nicht mehr akademisch: Das Bundesinnenministerium warnte im April explizit davor, dass ein Kollaps des EU-US Data Privacy Frameworks den Einsatz amerikanischer Cloud-Dienste für die Verwaltung faktisch unmöglich machen würde.

Das öffnet ein Fenster. Die Frage ist, ob die Verwaltung vorbereitet ist, es zu nutzen. Die Antwort aus der Praxis ist ernüchternd: Die Kosten für Clouddienste beim Bund werden laut einer Golem-Analyse massiv unterschätzt, weil Betriebskosten, Skalierungseffekte und Migrationsaufwände im Beschaffungsmodell kaum abgebildet sind. Wer jetzt in Alternativen investieren will, braucht zuerst einen realistischen Blick darauf, was der Status quo eigentlich kostet.

Bei der Registermodernisierung ist derweil eine pragmatische Idee in Bewegung: Cloud-Register. Die FITKO arbeitet an einem Konzept, das die dezentrale Registerlandschaft grundlegend verändern soll. Tausende Kommunen führen heute ihre Register lokal, viele auf eigenen Servern mit eingeschränkten Betriebszeiten. Der Koalitionsvertrag will Bundesregister auf „souveränen Cloud-Plattformen" zentralisieren. Welche Plattformen das sein sollen und was „souverän" in diesem Kontext konkret bedeutet: offen. Aber die Richtung stimmt. Und das NOOTS-System, das Register miteinander vernetzen soll, braucht genau diese Infrastruktur-Vereinheitlichung als Voraussetzung.

Das Ministerium und das Wimmelbild

Ende April wurde bekannt, was viele überrascht hat: Karsten Wildberger, bisheriger CEO von MediaMarktSaturn, soll erster Bundesdigitalminister werden. Kein Public-Administration-Hintergrund, kein explizites Open-Source-Profil, dafür Erfahrung in der Digitaltransformation eines komplexen Handelsunternehmens mit Filialnetz, Legacy-IT und Personaldruck.

Ob das reicht, ist die falsche Frage. Die richtige: Mit welchem Unterbau startet das Ministerium? Der Bitkom hat ein Papier vorgelegt, das eine koordinierende Einheit vorschlägt, die ZenDiS, Zentralstelle IT-Beschaffung, Digital Service und andere als „Spinne im Netz" zusammenführt. Das Prinzip klingt vernünftig. Die Gefahr ist dieselbe, die sich bei jedem neuen Koordinationsmechanismus in der föderalen IT zeigt: ein weiterer Layer, der das Wimmelbild unübersichtlicher macht, statt es zu vereinfachen. Der Bitkom formuliert das selbst: Die neue Einheit dürfe „das Wimmelbild nicht unübersichtlicher machen." Dass man das explizit hinschreiben muss, sagt alles über das Ausgangsproblem.

Der erste sichtbare Beweis für ein funktionierendes Digitalministerium wäre deshalb kein neues Konzeptpapier. Er wäre die Benennung dessen, was künftig nicht mehr parallel weiterläuft. Welche Förderlinien auslaufen. Welche Institutionen zusammengehen. Welche Verträge nicht verlängert werden. Reduktion ist die Funktion, nicht die Schwäche.

Fazit

April 2025 in zwei Sätzen: Der Koalitionsvertrag hat Open Source zur Staatsaufgabe erklärt. Das BMI hat am selben Tag die Person entlassen, die dafür am besten qualifiziert war.

An Absichtserklärungen mangelt es nicht. An messbaren Zielen, institutioneller Kontinuität und dem Mut zur Reduktion schon.

500 Milliarden, 0,5 Prozent. März 2025 im E-Government-Rückblick.

Mon, 31 Mar 2025 20:00:00 +0200

Am 12. März startete die Deutsche Verwaltungscloud (DVC) in den Produktivbetrieb. Ina-Maria Ulbrich, Vorsitzende des IT-Planungsrats, sprach von einem „Meilenstein für die digitale Souveränität". In den Koalitionsverhandlungen zwischen CDU/CSU und SPD kursierte zeitgleich ein Zwischenstand der AG Digitales, der Deutschland-Stack, Once-Only und eine mögliche „Deutsche Digitalservice Einheit" skizzierte – und beim Thema Open Source eine auffällige Leerstelle hinterließ. Der Bundestag verabschiedete außerdem mit der alten Mehrheit das Sondervermögen Infrastruktur über 500 Milliarden Euro. Digitalisierung soll einen Teil davon bekommen. Wie viel: offen.

März 2025 ist der Monat vor dem Neustart. Was er zeigt, ist lehrreich.

Die DVC ist live. Die Frage bleibt offen.

Der Produktivstart der Deutschen Verwaltungscloud ist tatsächlich ein Fortschritt. Vier Jahre nach dem Beschluss des IT-Planungsrats zur Stärkung der digitalen Souveränität steht ein Marktplatz für Cloud-Dienste, über den Bund, Länder und Kommunen Angebote verschiedener Anbieter flexibel abrufen können sollen. Das ist keine Selbstverständlichkeit im föderalen Betrieb. Ein funktionierender Marktplatz, der Anbieterwechsel strukturell ermöglicht, ist genau das Instrument, das verhindert, dass eine Cloud-Entscheidung zur Einbahnstraße wird.

Die offene Frage, die der Start nicht beantwortet: Was ist hier eigentlich souverän? Netzpolitik hat sie gestellt und die Antwort der Bundesregierung analysiert. Die IT-Planungsrats-Definition von „Souveränität" schließt Vendor-Lock-in-Vermeidung explizit nicht ein. Eine Exit-Strategie gilt als Kann-Bedingung, nicht als Muss. Und die Integration proprietärer Angebote, etwa über sogenannte Integratoren, die Microsoft-Dienste nach DVC-Standards konfigurieren, ist ausdrücklich vorgesehen.

Das ist das bekannte Muster: Man nennt einen Rahmen souverän, weil er technisch in Deutschland betrieben wird – nicht, weil man ihn verlassen könnte. Die Delos-Cloud-Debatte der Vorjahre zeigt, wohin das führt: Microsoft bleibt, der Standort wechselt. Das ist kein Souveränitätsgewinn, das ist ein Repositionierungsgewinn für Anbieter, die das Narrativ übernehmen.

Der Weg wäre ein anderer: Die DVC-Finanzierungsentscheidung, die der IT-Planungsrat im März in Hannover traf, hätte der richtige Moment gewesen, Souveränität als Vertragsanforderung zu verankern – mit konkreten Interoperabilitätsstandards, die Open-Source-Basis voraussetzen, und einer Exit-Strategie, die als Mindestanforderung gilt, nicht als Bonus. Schleswig-Holstein hat diesen Anspruch bereits formuliert: Wer keine Exit-Option hat, hat keine Souveränität. Das ist kein Purismus, das ist Beschaffungshygiene.

0,5 Prozent – und 50 sollen es werden

Das andere Bild des März stammt aus den Koalitionsverhandlungen. Die OSB Alliance analysiert den Zwischenstand der AG Digitales und benennt, was zwischen den Zeilen steht: Der Open-Source-Anteil an den Bundesausgaben für Software-Entwicklung und Dienstleistungen lag in der vergangenen Legislaturperiode bei etwa 0,5 Prozent des Gesamthaushalts. Die SPD will diesen Anteil bis 2029 auf 50 Prozent heben. Die CDU will „ambitionierte Zielmarken definieren". Das klingt nach einer inhaltlichen Differenz. Es ist eine kategoriale: eine Seite beschreibt eine Marke, die andere beschreibt einen Prozess.

Zum Kontext: Der Bund hat Rahmenverträge über 4,8 Milliarden Euro mit Oracle abgeschlossen. Für Microsoft-Lizenzen und Schulungen wurden 1,3 Milliarden Euro vertraglich gebunden. Das ZenDiS-Budget, das genau die Open-Source-Alternative aufbauen soll, wurde im Haushalt 2024 von knapp 50 Millionen Euro auf 24,7 Millionen Euro halbiert. Wer in dieser Ausgangslage nur „Zielmarken definieren" will, ohne Institutionen, Budgets und Zeitrahmen zu benennen, beschreibt keine Digitalpolitik, er beschreibt eine Absichtserklärung.

Was fehlt, ist das, was die DMK in ihrer Sondersitzung Ende März als Kernbedingung formuliert (Tagesspiegel Background, Paywall): ein zentrales Digitalbudget mit echten Durchgriffsrechten. Nicht als Schönheitsoperation für das Organigramm, sondern als haushaltliche Steuerungsfunktion. Wer das IT-Budget der Bundesverwaltung nicht genehmigen muss, kann den Open-Source-Anteil nicht steuern. Das ist kein Politikproblem, das ist ein Mechanikproblem.

💡 Der Unterschied zwischen 0,5 und 50 Prozent lässt sich nicht durch Zielmarken schließen. Er lässt sich durch Rahmenvertragslogik schließen: Wer die nächsten Bundesrahmenverträge schreibt, entscheidet über die Ausgangslage in vier Jahren.

Das wäre kein Gesetzgebungsproblem. Das wäre eine Beschaffungsentscheidung, die ein Digitalministerium mit Digitalbudget treffen kann – wenn es den Willen dazu hat und die Mandat-Klarheit bekommt, die im März noch nicht existierte. Die Agora Digitale Transformation hatte in einem gleichzeitig erschienenen Papier genau das gefordert: eine Digitalagentur als operativer Arm, der Rahmenverträge steuert, nicht nur Konzepte schreibt.

Fazit

März 2025: Die DVC lebt, das Sondervermögen ist beschlossen, die Koalitionspositionen liegen auf dem Tisch. Und Souveränität bleibt das, was sie in Deutschland oft ist: ein Begriff, über den man sich einig ist, bevor man klärt, was er konkret bedeutet.

Die nächsten Wochen entscheiden, ob das Digitalministerium als echtes Steuerungsinstrument in den Koalitionsvertrag kommt oder als Schaufenster. Der Unterschied liegt nicht im Namen, er liegt im Budget.

Regierung weg. Staatsvertrag da. – Dezember 2024 im E-Government-Rückblick.

Tue, 31 Dec 2024 20:00:00 +0100

Am 16. Dezember verliert Olaf Scholz die Vertrauensfrage im Bundestag, planmäßig. Am 27. Dezember löst Bundespräsident Steinmeier den Bundestag auf, Neuwahlen für den 23. Februar sind angesetzt. Deutschland ist ohne reguläre Regierung. Vier Tage vor der Vertrauensfrage, am 12. Dezember, haben Bund und Länder den Staatsvertrag zur Registermodernisierung unterzeichnet.

Zwei Daten, ein Monat. Das zweite ist das wichtigere.

Was der Staatsvertrag bedeutet – und warum er zu lange gedauert hat

Die Registermodernisierung ist das Rückgrat aller Once-Only-Versprechen. Bürger:innen sollen staatlichen Stellen ihre Daten nicht immer wieder neu mitteilen müssen. Das Kindergeld-Formular kennt das Geburtsdatum bereits. Das Finanzamt kennt die Bankverbindung. Der Sachbearbeiter fragt trotzdem.

Damit das aufhört, müssen Register untereinander sprechen. Dafür braucht man erstens einen gemeinsamen technischen Standard, das Nationale Once-Only Technical System (NOOTS). Und zweitens einen Rechtsrahmen, der regelt, wer welche Daten unter welchen Bedingungen teilt – im föderalen Gefüge von 16 Ländern und dem Bund. Genau dafür ist der Staatsvertrag.

Das Bundesverwaltungsamt und das Statistische Bundesamt haben im Laufe des Jahres die Registerlandkarte veröffentlicht: eine systematische Bestandsaufnahme der zahllosen Register, die Deutschland führt. Sie ist die Grundlage. Der Staatsvertrag ist der Rahmen, der die Umsetzung ermöglicht.

Was jetzt fehlt: Tempo. Der Staatsvertrag schafft die Voraussetzung, er liefert keine Ergebnisse. Register sind heterogen, viele Jahrzehnte alt, oft in proprietären Fachverfahren vergraben. Der schwierigere Teil beginnt jetzt, und er beginnt in einer Phase politischer Unschärfe.

Was die Ampelkoalition hinterlässt – und was nicht

Das Ampel-Aus ist für die Verwaltungsdigitalisierung keine Katastrophe, aber eine Verzögerung. Was im Koalitionsvertrag stand und nicht geliefert wurde, wird jetzt auf die nächste Regierung verschoben. Was geliefert wurde, bleibt.

Die Liste der gelieferten Dinge ist länger, als die politische Stimmung Ende 2024 vermuten lässt. Das OZG 2.0 hat im April 2024 den Bundesrat passiert, nach einem langen Ringen und einem offenen Brief mittelständischer IT-Unternehmer, der die politische Bedeutung des Gesetzes unterstrich. Es bringt einen künftigen Rechtsanspruch auf digitale Verwaltung, eine Frist für Bundeswirtschaftsleistungen und den Abbau weiterer Schriftformerfordernisse. Es ist kein Leuchtturm. Es ist ein Fundament.

Das ZenDiS hat 2024 operativ Fahrt aufgenommen. Nach der formalen Gründung 2022 hat das Zentrum für Digitale Souveränität ein Team aufgebaut und mit openDesk eine produktionsfähige Open-Source-Office-Suite für die Verwaltung an den Start gebracht. Version 1.0 wurde im Oktober auf der Smart Country Convention vorgestellt, als Cloud-Angebot für öffentliche Stellen. Das ist kein Konzeptpapier mehr.

Was fehlt: Skalierung. openDesk läuft. Aber die meisten Behörden haben es noch nicht. Und mit einer geschäftsführenden Regierung wird es keine neuen politischen Impulse für die Rollout-Finanzierung geben.

Was der IT-Planungsrat trotzdem beschlossen hat

Die 45. Sitzung des IT-Planungsrats im November 2024 hat den ersten Teil der Föderalen Digitalstrategie beschlossen. Das ist das strukturelle Gerüst, das die 16 Länder und den Bund auf eine gemeinsame Richtung für die nächsten Jahre verpflichten soll. Der IT-Planungsrat ist kein Bundesministerium und fällt nicht mit der Koalition.

Das ist der strukturelle Vorteil des föderalen Systems, der im politischen Diskurs oft untergeht: Entscheidungen, die im kooperativen Gefüge zwischen Bund und Ländern getroffen werden, gelten unabhängig davon, welche Bundesregierung gerade im Amt ist. Der Staatsvertrag zur Registermodernisierung gilt. Die Föderale Digitalstrategie gilt. NOOTS läuft weiter.

Was das für 2025 bedeutet: Die neue Bundesregierung muss keine Grundlagen legen, sie muss bauen. Ob sie es tut, mit welcher Priorität und welchem Budget, das wird sich mit dem Koalitionsvertrag entscheiden. Die Erfahrung mit dem OZG 1.0 zeigt, dass Rechtrahmen und Umsetzungswillen zwei verschiedene Dinge sind.

💡 Dezember 2024 in einem Satz: Die Verwaltungsdigitalisierung liefert gerade dann Staatsverträge, wenn die Staatsführung pausiert.

Der Rückblick auf 2024 insgesamt ist gemischter, als die Schlagzeilen über das Ampel-Aus suggerieren. OZG 2.0 ist da. ZenDiS läuft. Der Registermodernisierungs-Staatsvertrag ist unterzeichnet. Und der IT-Planungsrat hat eine Föderale Digitalstrategie beschlossen, die keine Regierungskoalition braucht, um zu gelten.

Das ist keine schlechte Bilanz für ein Jahr, das mit einem Haushaltstreit begann und mit einer Vertrauensfrage endete.

Koalition geplatzt. Digitalstrategie beschlossen. – November 2024 im E-Government-Rückblick.

Sat, 30 Nov 2024 20:00:00 +0100

Am 6. November 2024 entlässt Bundeskanzler Olaf Scholz Finanzminister Christian Lindner. Die Ampelkoalition ist Geschichte. Sieben Tage später, am 13. November, tritt der IT-Planungsrat zu seiner 45. Sitzung zusammen und beschließt den ersten Teil der Föderalen Digitalstrategie: eine gemeinsame strategische Ausrichtung für Bund und 16 Länder.

Die Koalition endet. Das föderale System arbeitet.

Was mit der Ampel geht – und was bleibt

Die Netzpolitik-Bilanz der Ampel ist gemischt, und Mischung ist in diesem Fall eine freundliche Formulierung. Kritiker sprechen von einem „Sammelsurium gebrochener Versprechen". Das OZG 2.0 hat es nach langem Ringen durch den Bundesrat geschafft. Die Registermodernisierung hat erste Schritte gemacht. Das ZenDiS ist operativ. Das sind reale Lieferungen, keine Ankündigungen.

Was geht: Der Koalitionsvertrag. Die Planungen für ein eigenständiges Digitalministerium, wie die FDP es angestrebt hatte, sind vorerst erledigt. Die Digital- und IT-Kompetenzen bleiben im Innenministerium gebündelt, unter einer geschäftsführenden Regierung ohne Gestaltungswillen. Neue politische Impulse für die nächsten Monate? Unwahrscheinlich.

Was bleibt: die Rechtsrahmen. OZG 2.0 gilt. Der künftige Rechtsanspruch auf digitale Verwaltung steht im Gesetz, nicht im Koalitionsvertrag. Das ist der Unterschied. Koalitionsverträge laufen mit der Regierung aus. Gesetze nicht.

Der strukturelle Fehler der letzten Jahre war kein Ampel-spezifisches Problem: Digitalisierungsfortschritt wurde zu stark ans Bundesprogramm geknüpft. Als das Geld knapp wurde, die Steuereinnahmen sanken und der Haushaltsstreit eskalierte, schrumpfte auch das Budget für Verwaltungsdigitalisierung. Das ist ein Konstruktionsfehler, kein Versehen. Wer Digitalisierung ausschließlich als Bundesförderprogram begreift, macht sie abhängig von Haushaltsjahren.

Die Alternative: robuste föderale Finanzierungsmodelle, die nicht mit jeder Koalitionsrunde neu verhandelt werden müssen.

Was der IT-Planungsrat beschlossen hat – und was das bedeutet

Die Föderale Digitalstrategie des IT-Planungsrats ist kein Koalitionsvertrag. Sie bindet alle 16 Länder und den Bund, unabhängig davon, welche Partei gerade in Berlin regiert. Das ist ihr struktureller Vorteil.

Der Beschluss vom 13. November ist der erste Teil: Zukunftsbild und Leitlinien. Der zweite Teil, konkrete Projektvorhaben, soll 2025 folgen. Das klingt nach bürokratischer Reihenfolge. Es ist eine. Aber sie ist die richtige.

Ein gemeinsames Zukunftsbild ist keine Selbstverständlichkeit im deutschen Föderalismus. 16 Länder, die unterschiedliche Fachverfahren betreiben, unterschiedliche Dienstleister beauftragen und unterschiedliche politische Prioritäten setzen, auf eine gemeinsame Richtung zu verpflichten, dauert. Dass es passiert, während die Bundeskoalition auseinanderfällt, ist keine Ironie. Es ist der Beweis, dass das föderale IT-Governance-System mehr Puffer hat, als die politische Kommentarspalte vermutet.

Was fehlt: operativer Druck. Eine Strategie, die nicht terminiert und nicht budgetiert ist, ist ein Dokument. Die erste Bewährungsprobe der Föderalen Digitalstrategie ist, ob sie 2025 in konkrete Projektbeschlüsse mündet, mit Zeitplan und Verantwortlichkeit, nicht in ein weiteres Rahmenwerk.

openDesk: läuft – aber wo?

Einen Monat vor dem November-Rückblick, auf der Smart Country Convention Mitte Oktober in Berlin, hat ZenDiS openDesk 1.0 offiziell vorgestellt. Die Open-Source-Office-Suite ist als Cloud-Angebot für öffentliche Stellen verfügbar: Textverarbeitung, Tabellenkalkulation, E-Mail, Kalender, Videokonferenz, Projektmanagement. Alles auf offener Software, alles ohne US-Hyperscaler.

Frühe Nutzer sind das BMI, der Deutsche Wetterdienst, das Technische Hilfswerk und das Robert-Koch-Institut. Das sind keine kleinen Pilotkommunen. Das ist Bundesverwaltung mit Gewicht.

Was jetzt gebraucht wird: Rollout-Tempo. Der Launch ist die Voraussetzung, nicht das Ergebnis. Tausende Behörden kennen openDesk nicht, haben keine Migrationsressourcen und warten auf den nächsten Haushalt, um Entscheidungen zu treffen. Die technische Bereitschaft ist da. Die Anreizstruktur für die Breite ist es noch nicht.

Das löst keine geschäftsführende Regierung. Das löst eine neue, die openDesk aktiv in Beschaffungsrichtlinien verankert, statt es als Angebot zu parken.

Europa 523:46 dafür. Deutschland 35:34 dagegen. – März 2024 im E-Government-Rückblick.

Sun, 31 Mar 2024 20:00:00 +0100

Der 13. März und der 22. März 2024 gehören zusammen, auch wenn in Berlin und Brüssel wenig aufeinander achtet.

Am 13. März verabschiedet das Europäische Parlament den AI Act mit 523 Ja-Stimmen, 46 Nein-Stimmen, 49 Enthaltungen. Der weltweit erste umfassende Rechtsrahmen für Künstliche Intelligenz ist beschlossen.

Am 22. März lehnt der Bundesrat das OZG-Änderungsgesetz ab. Die Abstimmung endet 35 zu 34. Eine Stimme mehr. Der Rechtsrahmen für Verwaltungsdigitalisierung, an dem seit Jahren gearbeitet wurde, hängt im Vermittlungsausschuss.

Beides ist legitim. Aber der Kontrast sagt etwas.

Was der AI Act für die Verwaltung bedeutet

Der AI Act ist kein Verwaltungsgesetz. Er ist eine Produktregulierung. Aber wer öffentliche Verwaltungen betreibt und KI einsetzt, ist betroffen. Konkret: Systeme, die im Bereich Strafverfolgung, Sozialhilfe, Bewerbungsverfahren oder Kreditwürdigkeitsprüfung von Bürgerinnen und Bürgern eingesetzt werden, fallen unter die Hochrisiko-Klassifikation.

Was das bedeutet: Wer diese Systeme betreibt, muss Risikoabschätzungen dokumentieren, Transparenzpflichten erfüllen und die Systeme in einer EU-weiten Datenbank registrieren. Das sind keine theoretischen Anforderungen. Die ersten harten Termine kommen im Februar 2025.

Der praktische Ratschlag für März 2024 ist nicht der strategischste, aber der dringendste: Bestandsaufnahme. Welche Systeme laufen bereits in meiner Behörde? Was davon nutzt algorithmische Entscheidungsunterstützung? Wer ist intern zuständig? Wer noch keine Antworten auf diese Fragen hat, hat weniger als ein Jahr, um sie zu entwickeln, bevor die ersten Verbote greifen.

Die Chance des AI Acts: Er zwingt Behörden, KI-Einsatz strukturiert zu dokumentieren, was viele bisher nicht tun. Das ist schmerzhaft. Es ist auch nützlich.

Warum der Bundesrat beim OZG nein gesagt hat

Die 34-zu-35-Niederlage des OZG-Änderungsgesetzes hat eine einfache und eine schwierigere Erklärung.

Die einfache: Die Länder wollten nicht, dass der Bund künftig allein die Implementierungsstandards für die Verwaltungsdigitalisierung festsetzen kann, ohne sie ausreichend einzubinden. Das ist föderale Grundlogik, keine Blockade-Taktik.

Die schwierigere: Bundes-CIO Markus Richter hat Mitte März im Behörden Spiegel darauf hingewiesen, dass der Föderalismus neu gedacht werden muss, wenn digitale Infrastruktur funktionieren soll. Das ist eine richtige Diagnose, die wenig hilft, wenn das konkrete Gesetz eine Woche später scheitert.

Das OZG-Scheitern ist kein Skandal. Es ist ein Symptom. Digitale Infrastrukturentscheidungen, die bundesweit verbindlich sein sollen, passen schlecht in einen Gesetzgebungsprozess, der auf Konsens zwischen 16 Ländern und dem Bund angewiesen ist. Andere Bereiche, etwa Straßenverkehr oder Telekommunikation, haben dafür andere Regelungsmechanismen entwickelt. Die digitale Verwaltung hat das noch nicht.

Was jetzt helfen würde: Nicht mehr Gesetze, sondern robustere Strukturen im IT-Planungsrat, die verbindlichere Beschlüsse ermöglichen. Weniger Gesetzgebungsverfahren für jede Standardentscheidung, mehr operativer Handlungsspielraum für FITKO und IT-Planungsrat. Das ist keine Verfassungsreform. Es ist eine politische Entscheidung über Governance.

Was März trotzdem vorwärts gebracht hat

Nicht alles im März ist Stillstand. Das Registermodernisierungsprojekt läuft: Das Bundesverwaltungsamt und das Statistische Bundesamt arbeiten an der Registerlandkarte, die den Grundstock für NOOTS legt. Das passiert ohne großes öffentliches Echo, aber es passiert.

Und der AI Act ist jetzt beschlossen. Das gibt Planungssicherheit für alle, die KI in der Verwaltung einsetzen oder entwickeln. Wer die nächsten Monate nutzt, um Systeme zu klassifizieren und Prozesse aufzubauen, hat 2025 weniger Überraschungen.

Sommerpause. Keine Pause für die strukturellen Probleme. – August 2023 im E-Government-Rückblick.

Thu, 31 Aug 2023 20:00:00 +0200

Der August ist der Monat, in dem Deutschland Urlaub macht. Der Bundestag tagt nicht. Ministerien arbeiten im Minimalbetrieb. Die Fachmedien füllen ihre Seiten mit Jahresstoff, den sie im Rest des Jahres nicht unterbringen.

Das ist kein Vorwurf, das ist eine Beobachtung. Und sie hat einen Nutzen: Was im August trotzdem passiert, passiert, weil es muss. Projekte, die keine politische Aufmerksamkeit brauchen, um voranzukommen, kommen voran. Projekte, die von der nächsten Ressortabstimmung abhängen, stehen still.

Was die Sommerpause über Struktur verrät

Das OZG-Programm läuft im August 2023 auf vollen Touren bei den Projektteams in Ländern und Kommunen. Die meisten konkreten Digitalisierungsarbeiten passieren nicht auf Ministeriumsebene. Sie passieren bei IT-Dienstleistern wie Dataport, AKDB oder ekom21, bei kommunalen IT-Zweckverbänden und bei den Fachverfahrensanbietern, die Verwaltungsprozesse Ende zu Ende abbilden.

Diese Ebene macht keine Sommerpause. Und das ist gut. Es zeigt auch: Der Hebel für mehr Tempo liegt weniger in der politischen Beschlusslage als in der operativen Kapazität der Umsetzungsorganisationen. Wer mehr Geschwindigkeit will, muss dort ansetzen. Mehr Stellen, mehr Budget, mehr Entscheidungsbefugnis auf der Arbeitsebene.

Was im August öffentlich sichtbar wird, ist die Literatur, die die Lage beschreibt: Die IW-Studie aus dem ersten Quartal zum OZG-Zielzeitpunkt zirkuliert weiter. Ihr Befund – erhebliche Unterschiede zwischen den Ländern, EfA-Nachnutzung als einziger skalierender Mechanismus – ist keine neue Erkenntnis mehr. Aber sie ist noch keine handlungsleitende.

Was EfA-Nachnutzung wirklich bedeutet

EfA steht für „Einer für Alle": Ein Land entwickelt einen Onlinedienst, alle anderen können ihn nutzen. Das Konzept ist richtig. Die Praxis ist komplizierter.

Erstens sind EfA-Dienste keine Plug-and-play-Lösungen. Die Nachnutzung erfordert lokale Integration in Fachverfahren, Anpassung an Landesrecht, Schulung von Mitarbeitenden. Das kostet Zeit und Kapazität, die kommunale IT-Stellen oft nicht haben.

Zweitens ist die Qualität der verfügbaren EfA-Dienste heterogen. Manche sind produktionsreif und praxiserprobt. Andere sind technisch lauffähig, aber noch weit vom optimalen Nutzererlebnis entfernt.

Was das für Kommunen bedeutet: Die Nachnutzungsentscheidung ist keine binäre. Es lohnt sich, jeden infrage kommenden EfA-Dienst konkret zu evaluieren, bevor man ihn übernimmt oder ablehnt. Der Evaluierungsaufwand ist kleiner als der Eigenentwicklungsaufwand. Meistens.

Was der Sovereign Tech Fund im Sommer tut

Der Sovereign Tech Fund hat 2023 sein Volumen auf rund 11,5 Millionen Euro ausgebaut und unterstützt inzwischen mehr als 40 Open-Source-Projekte. Das Budget ist für die Aufgabe noch klein, aber das Modell zeigt, was möglich ist: gezielte Finanzierung von Projekten, die niemand kauft, weil sie keine erkennbaren Produktgrenzen haben, die aber das Fundament bilden, auf dem alles andere läuft.

Im August ist kein Sprung erkennbar. Das ist der Charakter von Infrastrukturpflege: Sie zeigt sich nicht in Pressemitteilungen, sondern in dem, was nicht abstürzt.

OZG-Deadline erreicht. Was wirklich fertig ist und was jetzt kommt. – Dezember 2022 im E-Government-Rückblick.

Sat, 31 Dec 2022 20:00:00 +0100

Der 31. Dezember 2022 ist da. Die gesetzliche OZG-Frist endet. Von den 575 priorisierten Verwaltungsleistungen sind nicht alle vollständig digitalisiert. Das war absehbar. Was jetzt zählt, ist nicht die Nachberechnung, wie weit man gefehlt hat, sondern die Frage, was das Programm gebracht hat und was es nicht gebracht hat.

Beides verdient eine ehrliche Antwort.

Was das OZG-Programm geleistet hat

Das OZG hat etwas erreicht, das oft unterschätzt wird: Es hat die Verwaltungsdigitalisierung als gemeinsame politische Aufgabe von Bund, Ländern und Kommunen etabliert. Vor OZG gab es keine föderale Koordinationsstruktur für die Umsetzung digitaler Verwaltungsleistungen. Nach OZG gibt es sie.

Der IT-Planungsrat, die FITKO und die EfA-Kooperation der Länder sind institutionelle Ergebnisse dieser Phase. Das ist keine Kleinigkeit. Institutionen überleben Programme. Diese werden 2023 weiterarbeiten, unabhängig davon, wie die politische Kommunikation zur Deadline ausfällt.

Was das EfA-Modell gebracht hat: funktionsfähige Dienste für Kfz-Zulassung, BAföG-Antrag, Wohngeld und andere Leistungen mit bundesweiter Anwendbarkeit. Erste Nachnutzungen. Eine gemeinsame Marktplatzlogik für den Austausch von Diensten zwischen Ländern.

Was es nicht gelöst hat: die Finanzierungslücke bei Kommunen, die heterogene Kapazitätslage bei kommunalen IT-Dienstleistern, und die Standardisierungsfragen, die weiterhin von Bundesland zu Bundesland unterschiedlich beantwortet werden.

Was jetzt nicht passieren darf

Die OZG-Deadline ist keine Endstation. Sie ist ein Übergabepunkt. Was jetzt nicht passieren darf: eine Ruhepause nach dem Motto „wir haben geliefert, was wir konnten, der Rest kommt später."

Der „Rest" betrifft genau die Dienste, die schwieriger sind, weil sie tiefer in föderale Zuständigkeiten, lokales Recht und heterogene Fachverfahren eingebettet sind. Diese werden 2023 nicht von selbst fertig. Sie brauchen eine OZG-Nachfolgestruktur mit klareren Finanzierungsregeln, verbindlicheren Nachnutzungspflichten und einem Rechtsrahmen, der Anreize statt nur Ziele setzt.

Der richtige nächste Schritt für die Politik: nicht die OZG-Bilanz verteidigen, sondern auf ihrer Grundlage das OZG 2.0 so ausgestalten, dass es die Lücken des OZG 1.0 schließt. Die Vorarbeiten für den Referentenentwurf laufen bereits.

Was NIS2 als zweite Jahresabschluss-Nachricht bedeutet

Die NIS2-Richtlinie ist mit ihrer Veröffentlichung im EU-Amtsblatt am 27. Dezember 2022 in Kraft getreten. Die Transpositionsfrist läuft bis Oktober 2024. Zwei Jahre klingen nach viel. Sind sie nicht, wenn man bedenkt, wie lange IT-Sicherheitsgesetze in der deutschen Gesetzgebung brauchen.

Was NIS2 bringt: eine Ausweitung der Cybersicherheitspflichten auf deutlich mehr Sektoren und Einrichtungen, strengere Anforderungen an Risikomanagement und Lieferkettensicherheit, und Verantwortlichkeit auf Leitungsebene. Für öffentliche Verwaltungen, die bisher unterhalb des NIS-Schwellenwerts lagen, wird sich das ändern.

Was jetzt sinnvoll ist: eine Bestandsaufnahme, welche eigenen Systeme und welche genutzten Dienstleister unter NIS2 fallen werden. Nicht als Compliance-Checkbox, sondern als Grundlage für eine informierte Sicherheitsarchitektur. Wer 2024 keine Überraschungen will, beginnt die Analyse 2023.

Was kommt nach dem OZG 1.0?

Das OZG 1.0 hat gezeigt, was möglich ist, wenn föderale Koordination ernst genommen wird. Es hat auch gezeigt, wo die Struktur versagt: bei der Finanzierung, bei der Kapazität und beim Rechtsrahmen.

OZG 2.0 muss aus diesen Erfahrungen lernen. Das bedeutet konkret: Rechtsanspruch auf digitale Verwaltungsleistungen, der Anreize für Länder und Kommunen schafft. Klare Finanzierungsregelungen, die Kommunen nicht mit Pflichten ohne Budget zurücklassen. Standardsetzungsrechte für den Bund, die in föderalem Konsens verhandelt sind, statt im Alleingang durchgesetzt zu werden.

Der Referentenentwurf wird erwartet. Die Fragen, die er beantworten muss, stehen.

Hochsommerpause. Die strukturellen Fragen machen keine Ferien. – August 2022 im E-Government-Rückblick.

Wed, 31 Aug 2022 20:00:00 +0200

Der August ist der Monat, in dem Deutschland versucht, innezuhalten. Der Bundestag tagt nicht, die Ministerialbürokratie läuft auf Minimum, die Fachmedien füllen ihre Seiten mit Rückblicken und Studien. Was dabei entsteht, ist manchmal der klarste Blick auf strukturelle Probleme, die im Tagesgeschäft überdeckt werden.

Vier Monate bis zur OZG-Deadline. Vier Monate sind nicht viel. Aber sie reichen, um drei Strukturfragen zu benennen, die 2023 auf der Agenda stehen müssen.

Strukturfrage 1: Wer finanziert, wer entscheidet

Das deutsche Modell der Verwaltungsdigitalisierung leidet an einer grundlegenden Asymmetrie. Der Bund setzt die gesetzlichen Ziele. Die Länder und Kommunen setzen sie um. Die Finanzierung ist komplex verteilt. Das Konnexitätsprinzip sagt: Wer etwas befiehlt, zahlt auch dafür. In der Praxis ist die Zuordnung selten so eindeutig.

Das Ergebnis: Kommunen, die den Großteil der bürgernahen Digitalisierung leisten sollen, haben weder die Entscheidungsmacht über die Standards noch die gesicherte Finanzierung für die Umsetzung. Sie erhalten EfA-Dienste, die Länder entwickelt haben, und sollen diese integrieren, mit eigenen Ressourcen, nach Maßgabe von Zeitplänen, die ohne sie gesetzt wurden.

Was diese Asymmetrie löst, ist keine technische Maßnahme. Es ist eine finanzpolitische Entscheidung: klare Finanzierungszusagen für kommunale Digitalisierungsaufgaben, die an konkrete Leistungen gebunden sind. Wer das vermeidet, hat kein Durchführungsproblem. Er hat ein Anreizproblem.

Strukturfrage 2: Kapazität als Engpass

Die zweite Strukturfrage betrifft das Humankapital. Kommunale IT-Stellen sind chronisch unterbesetzt. Nicht weil Bürgermeister IT nicht mögen, sondern weil der öffentliche Dienst im Wettbewerb mit der Privatwirtschaft um IT-Fachkräfte regelmäßig unterliegt. Tarif, Perspektive, Tooling, alles spricht für den privaten Markt.

Die Konsequenz: EfA-Dienste stapeln sich technisch bereit, während die Integratoren vor Ort fehlen. Ein Dienst, der fertig ist, aber nicht integriert wird, erzeugt keinen Bürgernutzen.

Was helfen kann: Shared-Service-Modelle, bei denen mehrere kleine Kommunen gemeinsam auf einen kommunalen IT-Dienstleister zugreifen, der die Integrationsarbeit für sie leistet. Dataport, AKDB, ekom21 machen genau das. Was fehlt, ist die Flächendeckung und die Finanzierung dieser Dienstleistungen als Dauerbetrieb, nicht nur als Projektarbeit.

Strukturfrage 3: Digitalisierung ohne Prozessreform

Die dritte Strukturfrage ist die unangenehmste. Viele digitale Verwaltungsleistungen sind digitalisierte Analoge. Ein PDF statt eines Formulars, ein Postfach statt eines Schreiben, eine E-Mail statt eines Anrufs. Das ist kein Fortschritt, das ist Datentransfer.

Echte Verwaltungsdigitalisierung bedeutet: Prozesse so gestalten, dass sie digital zuerst gedacht werden. Once-Only nicht als Feature, sondern als Designprinzip. Bürger:innen nicht durch digitale Nachbauten analoger Bürokratie schicken, sondern durch Prozesse, die ihre Situation kennen und die benötigten Daten bereits haben.

Das ist teurer als ein PDF-Formular. Es ist auch das Einzige, was den Aufwand rechtfertigt.

Sieben Monate bis zur OZG-Frist. Was mit dem Rest passiert. – Mai 2022 im E-Government-Rückblick.

Tue, 31 May 2022 20:00:00 +0200

Sieben Monate bis zur OZG-Deadline. Der Fortschrittsmonitor des IT-Planungsrats zeigt, was läuft. Was er nicht zeigt: wie viele der geplanten Dienste bis zum 31. Dezember 2022 tatsächlich vollständig online sein werden. Die Zahl der produzierten EfA-Dienste wächst. Die Nachnutzungsquoten bei Kommunen sind heterogen. Die Rechenaufgabe ist schwierig.

Gleichzeitig arbeitet der EU-Rat weiter an seiner Position zum AI Act. Was in Brüssel verhandelt wird, betrifft jede Behörde, die KI-Systeme einsetzt oder beschaffen will.

OZG-Endspurt: Realismus statt Schönrechnung

Die Frage, ob Deutschland die OZG-Frist vollständig erfüllt, ist keine Fachfrage mehr. Sie ist politisch. Und die ehrlichere Antwort für Mai 2022 lautet: Nein, nicht vollständig.

Das ist keine Katastrophe, wenn die richtigen Lehren folgen. Was OZG 1.0 geleistet hat: Es hat Digitalisierungsthemen auf die politische Tagesordnung gesetzt. Es hat Koordinationsstrukturen aufgebaut, die vorher fehlten. Es hat EfA als Nachnutzungsmechanismus etabliert. Es hat gezeigt, welche Dienste mit überschaubarem Aufwand digital werden können.

Was es nicht gelöst hat: die Finanzierungsfrage für kommunale Digitalisierung, die Standardisierungsfrage bei heterogenen Fachverfahren, die Kapazitätsfrage bei kommunalen IT-Dienstleistern.

Der konstruktive Umgang mit dieser Bilanz ist ein OZG-Nachfolgerahmen, der aus den Erfahrungen lernt. Was die Koalition als OZG 2.0 plant, muss genau diese Lücken adressieren: verbindlichere Finanzierungsregelungen, klare Standardsetzungsrechte, und ein Rechtsanspruch, der Anreize für Länder und Kommunen schafft, die heute noch keine Digitalisierungspflicht spüren.

Der falsche Umgang wäre, die Deadline unverändert zu feiern, indem man die Zielgröße nachträglich anpasst.

EU AI Act: Was die Ratsverhandlungen für Beschaffung bedeuten

Der EU-Rat arbeitet an seiner gemeinsamen Position zum AI Act. Die Kommission hatte April 2021 ihren Vorschlag vorgelegt. Jetzt werden die Details verhandelt, die für die Umsetzung entscheidend sind: Wie wird Hochrisiko-KI definiert? Welche Ausnahmen gibt es für Strafverfolgungsbehörden? Wie werden Konformitätspflichten operationalisiert?

Für Verwaltungen, die KI-Systeme einsetzen oder planen, ist das nicht abstrakt. Systeme, die automatisiert Entscheidungen über Sozialleistungen, Bußgelder oder Antragsbearbeitungen unterstützen, werden wahrscheinlich in die Hochrisiko-Kategorien fallen. Was das bedeutet: Dokumentationspflichten, Transparenzanforderungen, menschliche Aufsichtspflichten.

Das ist kein Grund, KI-Einsatz zu stoppen. Es ist ein Grund, ihn von Anfang an so zu gestalten, dass er den wahrscheinlichen Anforderungen standhält. Wer heute ein KI-System beschafft, das diese Anforderungen nicht erfüllen kann, beschafft in zwei oder drei Jahren ein Nachbesserungsprojekt on top.

Der einfachste Schritt jetzt: KI-Beschaffungen um eine Risikoklassifikation ergänzen, die den AI-Act-Entwurf als Maßstab nimmt. Was hoch ist, wird hoch bleiben. Was niedrig ist, muss nicht rund um die Uhr überwacht werden.

FITKO und der föderale Koordinationsaufwand

Die FITKO (Föderale IT-Kooperation) koordiniert die föderale Umsetzungsarchitektur. Das ist kein kleiner Job. 16 Länder, Tausende Kommunen, hunderte Fachverfahren: Die Koordination allein ist ein Vollzeitprojekt.

Was FITKO zeigt: Ein zentraler Koordinationsknoten ist notwendig, weil der föderale Abstimmungsaufwand sonst in bilateralen Verhandlungen versickert. Was er nicht leisten kann: Entscheidungen treffen, die politische Einigungen erfordern. FITKO koordiniert, was politisch schon entschieden ist. Was noch nicht entschieden ist, bleibt im Koordinationsrückstau.

Der Hebel für die verbleibenden sieben Monate ist keine neue FITKO-Initiative, sondern klare politische Entscheidungen: Welche EfA-Dienste sind Pflicht für alle Länder? Mit welchem Mindeststandard? Wer diese Entscheidungen trifft, gibt FITKO das Mandat, sie umzusetzen.

Die Ampel hat einen Digitalpakt. Jetzt kommt die Arbeit. – Januar 2022 im E-Government-Rückblick.

Mon, 31 Jan 2022 20:00:00 +0100

Das Bundesministerium für Digitales und Verkehr (BMDV) unter Volker Wissing hat seine Arbeit aufgenommen. Zum ersten Mal in der Geschichte der Bundesrepublik gibt es ein Ministerium, das das Wort „Digital" im Namen trägt. Der Koalitionsvertrag enthält einen eigenen Digitalkapitel mit konkreten Vorhaben: Open-Source-Bevorzugung in der öffentlichen Beschaffung, digitale Identitäten als Infrastrukturprojekt, OZG-Nachfolge als explizites Ziel.

Der Zeitdruck ist eingepreist. Der 31. Dezember 2022 ist die gesetzliche OZG-Frist. Zwölf Monate.

Was der Koalitionsvertrag für Verwaltungsdigitalisierung verspricht

Das Digitalkapitel des Koalitionsvertrags ist konkreter als das seiner Vorgänger. Drei Elemente stechen heraus.

Erstens: Open Source als Beschaffungspräferenz. „Open Source" ist jetzt Koalitionsposition, nicht nur Expertenforderung. Was das konkret bedeutet, also wie Vergaberecht, Schnittstellendefinitionen und Betriebsmodelle aussehen sollen, ist noch nicht ausgearbeitet. Der Grundsatz steht. Die Mechanik fehlt noch.

Zweitens: Digitale Identitäten als Infrastrukturprojekt. Die BundID soll zur zentralen Identitätslösung ausgebaut werden. Das Once-Only-Prinzip soll nicht länger Expertenversprechen bleiben, sondern Verwaltungsrealität werden. Das erfordert Register, die miteinander sprechen. Die Registermodernisierung ist die Voraussetzung, keine Begleitmaßnahme.

Drittens: OZG-Nachfolge. Die Koalition will das OZG 1.0 nicht nur abschließen, sondern einen Nachfolgerahmen schaffen, der Rechtsansprüche, Finanzierung und föderale Verantwortlichkeiten neu ordnet. Das ist die richtige Erkenntnis aus drei Jahren OZG-Praxis. An Diagnosen mangelt es nicht. An der Umsetzungsarchitektur schon.

Zwölf Monate OZG-Deadline: Was jetzt passieren muss

Die OZG-Frist läuft zum 31. Dezember 2022 ab. Von den 575 priorisierten Verwaltungsleistungen sind noch längst nicht alle vollständig digitalisiert. Der IT-Planungsrat koordiniert die Umsetzung. Die EfA-Dienste (Einer für Alle) sind der skalierbare Mechanismus: Ein Land entwickelt, alle anderen können nachnutzen.

Der Engpass ist nicht technisch. Er ist organisatorisch. EfA-Dienste sind technisch lauffähig, bevor sie nachgenutzt werden können. Die Nachnutzung selbst erfordert lokale Integration in Fachverfahren, Anpassung an Landesrecht, Schulung von Mitarbeitenden. Dieser Aufwand wird systematisch unterschätzt.

Was in den nächsten zwölf Monaten konkret passieren muss: Länder und Kommunen brauchen klare Entscheidungen, welche EfA-Dienste sie nachnutzen, und die Kapazität, diese Nachnutzung tatsächlich umzusetzen. Wer das erste Quartal damit verbringt, noch abzuwägen, verliert Zeit, die nicht zurückkommt.

Wo Open Source in der neuen Agenda wirklich ankommt

Die Open-Source-Präferenz im Koalitionsvertrag ist mehr als symbolisch. Sie verändert den Ausgangspunkt von Vergabeentscheidungen. Wer bisher proprietäre Lösungen als Standard behandelt und Open Source als Ausnahme, muss die Begründungslast umkehren.

Was das in der Praxis bedeutet: Ausschreibungen müssen so formuliert sein, dass Open-Source-Lösungen tatsächlich bieten können. Geschlossene Schnittstellenspezifikationen, die nur bestimmte Anbieter erfüllen können, sind kein technisches Detail, sondern eine vergaberechtliche Entscheidung mit Folgen für Jahrzehnte.

Der erste Schritt, den das neue BMDV gehen kann, ist konkret: Eine Leitlinie für Open-Source-konforme Vergabe, die Behörden zeigt, wie der Koalitionsvertrag operativ übersetzt wird. Ohne diese Leitlinie bleibt die Open-Source-Präferenz ein frommer Grundsatz, den jede Vergabeabteilung selbst interpretiert.

Ampel steht. Digitalministerium kommt. Was der Koalitionsvertrag für die Verwaltung verspricht. – November 2021 im E-Government-Rückblick.

Tue, 30 Nov 2021 20:00:00 +0100

Die Ampel-Koalition einigt sich. Der Koalitionsvertrag wird im Dezember unterzeichnet, aber die wesentlichen Inhalte sind bekannt: Ein eigenständiges Bundesministerium für Digitales und Verkehr (BMDV) unter Volker Wissing (FDP). Open-Source-Bevorzugung als Koalitionsziel. Eine OZG-Nachfolge, die Rechtsansprüche und föderale Finanzierung neu ordnen soll. Ein Zentrum für Digitale Souveränität der öffentlichen Verwaltung.

Vier Versprechen, die alle in die richtige Richtung zeigen. Ob sie halten, entscheidet sich in der Umsetzung.

Was das BMDV bringt und was es nicht verändert

Ein eigenständiges Digitalministerium ist strukturell richtig. Digitalpolitik als Querschnittsthema braucht einen Ort, der nicht zwischen BMI, BMWi und anderen Ressorts koordinieren muss, sondern selbst entscheiden kann.

Was das BMDV nicht sofort ändert: Die OZG-Zuständigkeit bleibt beim BMI. Das ist eine bewusste Entscheidung, die die Kontinuität der laufenden Umsetzungsstrukturen sichert. Was langfristig folgen muss: eine klare Klärung, wo OZG-Governance liegt, und ob das BMDV koordinierende Kompetenzen übernimmt oder nicht.

Zwei Ministerien, die beide für Digitalisierung zuständig sind, schaffen Koordinationsaufwand, den die Verwaltung nicht braucht.

Was Open Source im Koalitionsvertrag bedeutet

Die Open-Source-Bevorzugung ist mehr als ein Bekenntnis. Sie ist eine Beschaffungsrichtung, die aus dem Bereich der Experten-Forderungen in die Koalitionspolitik übergewechselt ist.

Was das konkret ändern muss: Vergabeverfahren, die Open-Source-Lösungen tatsächlich einen fairen Zugang ermöglichen. Heute scheitern Open-Source-Anbieter oft an Referenzanforderungen, die für Großprojekte formuliert sind, und an Schnittstellenspezifikationen, die proprietäre Systeme bevorzugen. Eine Koalitionspräferenz, die nicht in Vergabeleitlinien übersetzt wird, ist eine Absichtserklärung ohne operative Wirkung.

Der erste Schritt, den das BMDV gehen kann: eine verbindliche Leitlinie für Bundesbehörden, wie Open-Source-Beschaffung konkret aussieht. Was muss in die Leistungsbeschreibung? Welche Bewertungskriterien ändern sich? Das ist keine Gesetzgebungsaufgabe. Es ist eine Verwaltungsanweisung.

Was das geplante Zentrum für Digitale Souveränität leisten soll

Im Koalitionsvertrag kündigt sich ein Zentrum für Digitale Souveränität der öffentlichen Verwaltung an. Die Aufgabe: einen souveränen Verwaltungsarbeitsplatz auf Open-Source-Basis entwickeln, als Alternative zu Microsoft 365.

Das ist das richtige Ziel. Was es braucht: eine Organisation mit genug Kapazität, genug Mandat, und genug Zeit. Wer in sechs Monaten ein produktionsreifes Produkt für Hunderttausende Verwaltungsarbeitsplätze erwartet, erwartet das Falsche.

Was realistisch ist: 2022 eine erste Alpha, Pilotbehörden, die früh einsteigen, strukturiertes Feedback, und dann eine Beta, die 2023 und 2024 in Produktionsbetrieb gehen kann. Das wäre schnell für ein Projekt dieser Größe. Es wäre zu spät, wenn man erst 2023 anfängt.

Koalitionsverhandlungen laufen. OZG läuft weiter. – Oktober 2021 im E-Government-Rückblick.

Sun, 31 Oct 2021 20:00:00 +0100

SPD, Grüne und FDP führen Koalitionsverhandlungen. Der Weg zur Ampel-Koalition ist erkennbar. Was das für die Digitalpolitik bedeutet, ist noch nicht offiziell, aber aus den Sondierungsgesprächen und den Parteiprogrammen zu schließen: ein eigenständiges Digitalministerium, Open-Source-Präferenz im Koalitionsvertrag, und ein neues OZG-Kapitel.

Bis das offiziell ist, regiert die amtierende Bundesregierung geschäftsführend. Für die Verwaltungsdigitalisierung ist das eine Phase, die mehr Kontinuität als Disruption bringt.

Was in der Übergangsphase trotzdem läuft

Die OZG-Umsetzung ist auf Arbeitsebene organisiert. Der IT-Planungsrat koordiniert, die FITKO unterstützt, die Länder entwickeln und nachnutzen. Das läuft nicht durch Beschlüsse des Bundestags, sondern durch Absprachen, Projekte und IT-Dienstleister.

Was diese Phase ermöglicht: operative Projekte ohne politischen Störfaktor. Wer einen EfA-Dienst integrieren will und alle nötigen Absprachen getroffen hat, integriert. Niemand wartet auf den Koalitionsvertrag, um eine Schnittstelle zu bauen.

Was sie hemmt: alles, was politische Entscheidungen erfordert. Neue Standards, neue Finanzierungsmodelle, neue gesetzliche Anforderungen. Diese warten, bis eine neue Regierung steht und arbeitsfähig ist. Das kann bis Januar 2022 dauern.

Was der Koalitionsvertrag für OZG bringen muss

Aus den Verhandlungen sickert durch, dass das Digitalthema prominent im Koalitionsvertrag verankert sein wird. Was es konkret bringen muss, um nicht nur symbolisch zu sein:

Eine klare Verantwortlichkeit für die OZG-Nachfolge. Die OZG-Frist läuft Ende 2022 ab. Ein OZG 2.0, das 2023 kommen soll, braucht einen politischen Eigentümer, nicht nur eine Koordinationsstelle.

Eine Antwort auf die Finanzierungsfrage. Kommunale Digitalisierung kostet Geld, das Kommunen nicht allein aufbringen. Wer das im Koalitionsvertrag nicht adressiert, schreibt das Problem in die nächste Legislaturperiode.

Eine Open-Source-Mechanik. „Bevorzugung" ist eine Absichtserklärung. Was es braucht: konkrete Vergabevorgaben, die Open-Source-Lösungen im Wettbewerb nicht benachteiligen.

Drei Punkte. Jeder davon lösbar. Alle drei setzen politischen Willen voraus, der jetzt vorhanden ist.

Was der Übergang für Behörden bedeutet

Für Behörden, die Digitalisierungsprojekte planen oder laufend haben, ist die Übergangsphase pragmatisch zu managen.

Was sinnvoll ist: Projekte, die in laufenden Programmen verankert sind und deren Finanzierung gesichert ist, konsequent vorantreiben. Die Übergangsphase ändert nichts an Projektanforderungen, Deadlines oder Budgets, die schon zugesagt sind.

Was weniger sinnvoll ist: mit neuen Projekten warten, die auf politische Weichenstellungen des neuen Koalitionsvertrags angewiesen sind. Diese werden ohnehin erst im neuen Jahr anlaufen können.

Die knappe Formel: Was läuft, läuft. Was wartet, wartet auf Januar 2022.

OZG zur Halbzeit. Was die Zahlen sagen und was sie nicht sagen. – Mai 2021 im E-Government-Rückblick.

Mon, 31 May 2021 20:00:00 +0200

Das OZG ist 2017 verabschiedet worden. Die Deadline ist Ende 2022. Mehr als die Hälfte der Zeit ist verstrichen. Die EfA-Dienste, die das OZG skalieren sollen, nehmen Fahrt auf. Die Frage ist nicht mehr, ob das Prinzip funktioniert. Die Frage ist, ob es schnell genug funktioniert.

Eine Halbzeitbilanz.

Was der Fortschrittsmonitor zeigt

Der IT-Planungsrat veröffentlicht regelmäßig Fortschrittsberichte zur OZG-Umsetzung. Was die Zahlen zeigen: Die Zahl der EfA-Dienste in Produktion wächst. Länder tauschen sich über Nachnutzung aus. Der koordinative Rahmen, der 2017 noch nicht existierte, funktioniert.

Was die Zahlen nicht zeigen: Wie viele Menschen diese Dienste tatsächlich nutzen. Ein Dienst, der technisch online ist, aber von weniger als einem Prozent der Berechtigten genutzt wird, hat seinen Zweck noch nicht erfüllt. Nutzungsraten sind keine Pflichtberichtsgröße im OZG-Monitoring. Das ist eine Lücke.

Wer wissen will, ob OZG gelingt, muss fragen: Wie viele Bürgerinnen und Bürger haben welchen Antrag dieses Jahr digital statt analog gestellt? Diese Zahl fehlt in den Fortschrittsberichten. Ohne sie bewertet das Programm Outputs, nicht Outcomes.

Wo die zweite Hälfte anders sein muss

Die erste Hälfte war die Aufbauphase: Koordinationsstrukturen aufbauen, EfA-Prozesse definieren, erste Dienste in Produktion bringen. Das ist geschafft. Die zweite Hälfte bis Ende 2022 ist die Umsetzungsphase: Nachnutzen, integrieren, ausrollen.

Das erfordert andere Mechanismen. Die Aufbauphase brauchte Koordinatoren. Die Umsetzungsphase braucht operative Kapazität bei kommunalen IT-Dienstleistern. Das ist der Engpass, der bekannt ist und noch nicht ausreichend adressiert wurde.

Was FITKO und der IT-Planungsrat tun können: Priorisieren. Welche EfA-Dienste haben die höchste Nutzungsfrequenz und die breiteste Anwendbarkeit? Diese brauchen die Nachnutzungsunterstützung. Nicht alle 575 OZG-Leistungen gleichzeitig.

Priorität folgt Kapazität. Wer das umkehrt, verteilt die knappe kommunale IT-Kapazität gleichmäßig auf zu viele Dienste und bringt keinen vollständig ans Ziel.

Was die Wahljahr-Dynamik für OZG bedeutet

Im September 2021 ist Bundestagswahl. Das Wahljahr bringt eine bekannte Dynamik: Im Frühling laufen noch Projekte, im Sommer beginnt der Wahlkampf, nach der Wahl kommen Koalitionsverhandlungen, und die neue Regierung braucht Monate, um arbeitsfähig zu werden.

Für OZG bedeutet das: Die politische Aufmerksamkeit für die Implementierung wird im zweiten Halbjahr 2021 geringer sein als im ersten. Was im Sommer nicht in der Pipeline ist, kommt 2021 nicht mehr rein.

Das ist kein Katastrophenszenario. OZG-Umsetzung passiert auf Arbeitsebene in Ländern, Kommunen und IT-Dienstleistern, nicht im Bundestag. Aber politischer Rückenwind fehlt in der zweiten Jahreshälfte. Was jetzt noch Rückenwind hat, sollte ihn nutzen.

Wahljahr 2021. OZG-Uhr auf 24 Monate. Was die Koalition jetzt noch schaffen kann. – Januar 2021 im E-Government-Rückblick.

Sun, 31 Jan 2021 20:00:00 +0100

Das Jahr beginnt mit einem doppelten Countdown. Bundestagswahl am 26. September 2021. OZG-Deadline am 31. Dezember 2022. Bis zur Wahl hat die amtierende Große Koalition noch neun Monate, um Tempo in die Verwaltungsdigitalisierung zu bringen. Was sie bis dahin anschieben kann, prägt das Erbe, das die nächste Regierung antritt.

COVID macht währenddessen täglich sichtbar, was passiert, wenn digitale Verwaltungsinfrastruktur nicht funktioniert.

Was 24 Monate für OZG bedeuten

Von den 575 priorisierten Verwaltungsleistungen, die das OZG bis Ende 2022 digitalisiert haben möchte, ist ein erheblicher Teil noch nicht abgeschlossen. Das EfA-Modell ist der skalierbare Hebel: Ein Land entwickelt, alle anderen können nachnutzen. In der Theorie effizient. In der Praxis hängt alles davon ab, ob kommunale IT-Dienstleister die Kapazität haben, die Nachnutzung tatsächlich umzusetzen.

Was 24 Monate erlauben: Keine grundlegenden Richtungsänderungen mehr, sondern Beschleunigung dessen, was bereits läuft. Die EfA-Dienste, die bis Jahresende 2021 produktionsbereit sind, haben eine realistische Chance auf bundesweite Nachnutzung bis 2022. Was erst 2022 in Entwicklung geht, kommt nicht rechtzeitig.

Der konkrete nächste Schritt für Länder und Kommunen: eine klare Entscheidung, welche EfA-Dienste bis wann nachgenutzt werden, und welche IT-Dienstleister dafür beauftragt sind. Wer das erste Quartal 2021 damit verbringt, noch abzuwägen, verliert Zeit, die nicht zurückkommt.

Was COVID über digitale Verwaltungsinfrastruktur zeigt

Seit fast einem Jahr zeigt die Pandemie, was passiert, wenn analoge Verwaltungsprozesse plötzlich unter digitalem Druck stehen. Impfanmeldungen per Telefon, Hotlines mit Stundenlangen Warteschlangen, Kurzarbeiteranträge per Fax. Die Infrastruktur, die hätte abfedern sollen, existiert nicht oder nicht in ausreichender Qualität.

Das ist kein Vorwurf an die Menschen, die 2020 und 2021 in Verwaltungen arbeiten. Es ist eine strukturelle Diagnose: Verwaltungs-IT wurde jahrelang als Kostenfaktor behandelt, nicht als Infrastrukturaufgabe. Infrastruktur fällt auf, wenn sie fehlt. Nicht wenn sie funktioniert.

Was daraus folgt: Verwaltungsdigitalisierung ist keine Effizienzmaßnahme. Sie ist Resilienz. Eine Verwaltung, die digital nicht funktioniert, wenn analoger Betrieb eingeschränkt ist, ist eine Verwaltung, die in der Krise versagt. Dieser Zusammenhang muss 2021 politisch ankommen, damit die Investitionen folgen.

Wo die BundID steht und wohin sie muss

Die BundID als zentrale digitale Identität für Verwaltungsleistungen ist im Aufbau. Sie ist der Schlüssel zum Once-Only-Prinzip: Bürger:innen sollen Daten nur einmal einreichen müssen, danach können Verwaltungen sie über Register weiterverwenden.

Was die BundID 2021 braucht: Verbreitung. Nicht mehr Technik, sondern mehr Dienste, bei denen sie nutzbar ist. Eine digitale Identität ohne digitale Dienste ist ein Schlüssel ohne Schlösser. Der Wachstumshebel liegt bei den OZG-Diensten, die die BundID als Pflichtanforderung integrieren, nicht als optionales Feature.

Das setzt voraus, dass EfA-Dienste von Anfang an BundID-Integration als Abnahmekriterium haben. Nicht als Wunschliste in der Dokumentation.

OZG mit Rückenwind. Was das Konjunkturpaket jetzt konkret bedeutet. – September 2020 im E-Government-Rückblick.

Wed, 30 Sep 2020 20:00:00 +0200

Das Konjunkturbudget von drei Milliarden Euro für die Verwaltungsdigitalisierung ist beschlossen. Jetzt kommt die Verteilung. Was bei den Ländern und Kommunen ankommt, hängt davon ab, wie die Verteilungsmechanismen ausgestaltet sind. Geld allein beschleunigt keine Digitalisierung. Es beseitigt einen Engpass, wenn die anderen Engpässe gleichzeitig adressiert werden.

Im September zeigt sich, was die Monate nach dem Beschluss gebracht haben, und was noch aussteht.

Was das Budget tatsächlich ermöglicht

Drei Milliarden Euro über den Zeitraum bis Ende 2022 sind signifikant. Zum Vergleich: Das reguläre OZG-Budget war deutlich kleiner. Was dieses Budget konkret ermöglicht, ist dreierlei.

Erstens: Entwicklung noch fehlender EfA-Dienste, die bisher aus Kapazitätsgründen nicht realisiert wurden. Das Budget schafft Auftragsvolumen für IT-Dienstleister und Länder, die bisher keine Ressourcen hatten.

Zweitens: Betrieb und Pflege bestehender Dienste. Was selten beachtet wird: EfA-Dienste müssen nach der Entwicklung betrieben, aktualisiert und supportet werden. Betriebsbudget war bisher der stiefmütterlich behandelte Teil.

Drittens: Nachnutzungsunterstützung für Kommunen. Der Engpass der vergangenen Jahre war nicht die Entwicklung, sondern die Integration bei kommunalen IT-Dienstleistern. Wenn ein Teil des Budgets in Integrations-Support fließt, beschleunigt das die Nachnutzungsquoten.

Was das Budget nicht löst

Geld löst das Kapazitätsproblem nicht vollständig. IT-Fachkräfte, die kommunale Nachnutzungsprojekte umsetzen könnten, sind nicht in ausreichender Zahl verfügbar, egal wie viel Budget bereitsteht. Einstellungsverfahren im öffentlichen Dienst dauern. Externe IT-Dienstleister sind ausgelastet.

Was das bedeutet: Selbst mit drei Milliarden Euro wird nicht alles bis Ende 2022 fertig. Die ehrliche Kommunikation darüber, was bis Dezember 2022 realistisch ist, sollte jetzt beginnen, nicht im November 2022.

Was FITKO und der IT-Planungsrat daraus ableiten können: Eine öffentliche Priorisierungsentscheidung, welche Dienste mit dem OZG-Sonderbudget abgeschlossen werden sollen. Was auf der Liste steht, bekommt Priorität und Kapazität. Was nicht auf der Liste steht, wandert in OZG 2.0.

Wo die Registermodernisierung nach dem Sommer steht

Das Registermodernisierungsgesetz ist noch in der Vorbereitung. Der Referentenentwurf wird für Ende 2020 oder Anfang 2021 erwartet. Was im September sichtbar ist: Die politische Auseinandersetzung um die Steuer-ID als zentrale Kennung ist nicht abgeklungen. Datenschützer bleiben skeptisch.

Was konstruktiv helfen würde: eine öffentliche Pilotplanung. Welche zwei oder drei Register sollen als erste in die NOOTS-Architektur eingebunden werden? Piloten schaffen Fakten und ermöglichen eine empirische Datenschutzdebatte statt einer theoretischen.