Digitale Souveränität Open Source für eine souveräne öffentliche Hand

Anbieter zum Thema

Ceyoniq Technology GmbH

The Quality Group GmbH

mgm technology partners GmbH

Digitale Souveränität ist von einem theoretischen Idealkonstrukt zur existenziellen Notwendigkeit geworden. Doch wie lässt sich staatliche Handlungsfähigkeit in einer vernetzten Welt tatsächlich sichern?

Digitale Souveränität war lange Zeit ein schönes Konzept, das jeder unterstützen konnte, ohne es wirklich ernst zu nehmen. Nachdem die jüngsten geopolitischen Entwicklungen und prominente Probleme mit US-basierten IT-Diensten dafür gesorgt haben, dass digitale Souveränität von einer viel breiteren Gruppe ernst genommen wird, stellt sich die Frage umso drängender: Wie ist digitale Souveränität zu erreichen, welcher Software kann man vertrauen? Antworten darauf sind im öffentlichen Sektor besonders drängend, geht es doch um staatliche Handlungsfähigkeit und Sicherheit.

Zentrum Digitale Souveränität

Ein stabiles Ökosystem für Open Source

Europäische Lieferketten als Sicherheitsgarantie

Den ersten Faktor für digitale Souveränität bilden die Lieferketten. Die Verantwortlichen in Behörden müssen die Lieferketten ihrer (Software-) Hersteller unter die Lupe nehmen, denn die Herkunft einer Software ist mehr als nur ein wirtschaftlicher Aspekt – sie ist ein Sicherheitskriterium. Eine vollständig deutsche oder zumindest europäische Lieferkette kann verhindern, dass in Drittstaaten Funktionen oder Schnittstellen eingebaut werden, die mit europäischem Recht nicht vereinbar sind oder sogar Sicherheitsrisiken bergen.

Es reicht per se nicht aus, dass ein Software-Anbieter einfach nur in Deutschland oder Europa ansässig ist, wenn er nicht garantieren kann, dass er beispielsweise die Programmierung seiner Lösungen nicht in das nichteuropäische Ausland outsourct. Gerade Behörden müssen sicherstellen, dass Entwicklung, Wartung und Support innerhalb des europäischen Rechtsraums erfolgen, wenn sie Digitale Souveränität sicherstellen wollen. Nur so lassen sich regulatorische Vorgaben und Sicherheitsstandards ohne Kompromisse einhalten.

Open Source als Fundament der Kontrolle

Digitale Souveränität setzt voraus, dass der Quellcode der kritischen Stellen einer eingesetzten Lösung vollständig einsehbar und überprüfbar ist. Open-Source-Software bietet diese Transparenz und ermöglicht es, Sicherheitslücken zu identifizieren, Anpassungen vorzunehmen und die Lösung unabhängig vom ursprünglichen Anbieter weiterzuentwickeln. Entscheidend ist, dass Anbieter vertraglich garantieren, dass ein Wechsel des Dienstleisters jederzeit möglich ist, ohne dass die Funktionalität der Lösung verloren geht. Damit wird ein Vendor-Lock-in vermieden. Dies ist gleichzeitig der zweite zwingende Faktor für Digitale Souveränität: Unabhängigkeit von einem Anbieter.

Reine Open-Source-Lösungen können allerdings Nachteile mit sich bringen: Ihre Wartung gestaltet sich oft aufwendig, es gibt keinen garantierten Support, und die Benutzeroberflächen sind häufig eher auf technisch versierte Anwender als auf praktische Anforderungen von Alltagsnutzern oder Administratoren ausgerichtet. Ein Beispiel dafür ist Keycloak, eine Open-Source-Plattform für Identitäts- und Zugriffsmanagement. Hier fallen in der Regel rund zwanzig Updates pro Jahr an – allein der Aufwand für Prüfung, Freigabe und Rollout sämtlicher Aktualisierungen beansprucht bereits eine Vollzeitstelle. Häufig ein Grund für Organisationen, die Updates nicht durchzuführen, was gerade bei einer Sicherheitslösung zu oftmals kritischen Sicherheitslücken für das gesamte Unternehmen führt.

Um Open-Source-Software erfolgreich einzusetzen und so das Fundament digitaler Souveränität zu legen, sind professioneller Support und Service in Form von Commercial-Open-Source-Software (COSS) oftmals entscheidend. Bei COSS kombiniert ein zuverlässiger Partner aus Deutschland die Vorteile von Open-Source mit wichtigen Erweiterungen und abgestimmten professionellen Dienstleistungen für Management, Wartung und Sicherheit, die über klassisches Hosting hinausgehen.

Während Open-Source im Eigenbetrieb mit hohem Wartungsaufwand verbunden ist, übernimmt im Falle von COSS der Anbieter die Wartung und bietet die Option, kritische Sicherheitslücken schon vor einem offiziellen Patch zu schließen. Managed COSS bietet ferner umfassenden Service und Support für Installation, Wartung und andere Belange bis hin zum professionellen Betrieb der Lösung, sodass die IT- und Security-Verantwortlichen in ihrer täglichen Arbeit entlastet werden.

Ein COSS-Partner bietet zudem häufig weitere Leistungen an. Dazu kann eine intuitive und benutzerfreundliche Administrationsoberfläche gehören, die das Management von Benutzern, Berechtigungen und Sicherheitsrichtlinien vereinfacht oder eine Application Gallery, über die mit wenigen Klicks vorkonfigurierte Applikationen angebunden werden können. Darüber hinaus sind Enterprise Reporting und die Integration in bestehende Unternehmensinfrastrukturen wichtige Zusatzleistungen ebenso wie eine stabile Performance auch in großen IT-Umgebungen.

Offeriert der Anbieter neben dem reinen Hosting auch Consulting Services und die Erweiterung der Open-Source-Software basierend auf Kundenerfahrungen, kann ein Kunde ein Rundum-Sorglos-Paket erhalten. Ein Anbieter, der seinen COSS-Ansatz ernst nimmt, wird zudem nicht nur die volle Verantwortung für den Betrieb der Lösung übernehmen, sondern neben der eventuellen Fehlerbehebung auch einen aktiven Beitrag zur jeweiligen Open-Source-Community leisten.

Datenhoheit als unverrückbares Prinzip

Die Datenschutz-Grundverordnung schreibt vor, dass personenbezogene Daten im Eigentum der Organisation bleiben, die sie rechtmäßig erhalten hat. Doch die Praxis zeigt, dass nicht alle Anbieter diese Vorgabe konsequent umsetzen. Beispielsweise, wenn es um die Passwort-Hashes der Endbenutzer geht. Für Behörden ist es daher zwingend erforderlich, dass Softwareanbieter verbindlich garantieren, dass sämtliche Daten – unabhängig von Speicherort oder Verarbeitungsweg – im Eigentum des Kunden bleiben. Und auch, dass sie Alternativlösungen in der Hinterhand haben, wo sie diese – häufig proprietären Daten – auch nutzen können. Diese Garantie muss vertraglich fixiert und technisch durch geeignete Maßnahmen abgesichert werden.

Souveräne Bereitstellung

Zu guter Letzt sollte das Augenmerk auf der Software-Bereitstellung liegen. Beim Betrieb von Software im eigenen Rechenzentrum liegt die Gewährleistung der digitalen Souveränität in der Hand des Kunden. Allerdings ist der Software-Betrieb im eigenen Rechenzentrum nicht immer die effizienteste Lösung und auch von der öffentlichen Hand nicht mehr in allen Fällen gewollt.

In einem solchen Szenario ist es wichtig, darauf zu achten, dass auch bei der Auswahl des Managed-Services- oder Cloud-Partners strenge Maßstäbe angelegt werden. Ein Standort der Server in Deutschland sollte selbstverständlich sein und der Anbieter sollte der europäischen Rechtsprechung unterliegen. Andernfalls droht gegebenenfalls der Zugriff fremder Regierungsorganisationen auf sensible Daten oder, wie vor kurzem durch Microsoft geschehen, die Abschaltung wichtiger Dienste. Wie wir das im Falle des Internationalen Gerichtshofes gesehen haben.

Mit Vorteilen zum Vorbild

Digitale Souveränität ist kein Luxus, sondern eine strategische Verteidigungslinie. Wer sie ernst nimmt, kombiniert europäische Lieferketten, Open-Source-Transparenz, Bereitstellung gemäß europäischer Gesetzgebung, Unabhängigkeit von bestimmten Lieferanten sowie vertraglich gesicherte Datenhoheit – und macht sich damit unabhängig, sicher und zukunftsfähig. Dem öffentlichen Sektor bietet sich darüber hinaus eine einmalige Chance: Nicht nur profitiert er von den Vorteilen der digitalen Souveränität, er kann – zur Abwechslung – auch zum Vorbild für die Privatwirtschaft werden.

Personalie

ZenDiS mit neuer Doppelspitze

Digitale Souveränität in der Verwaltung

Alternative Softwarelösungen: Chancen und Hürden

(ID:50614735)