Schwächen der Open-Source-Welt Warum eine zentrale souveräne Cloud alternativlos ist

Anbieter zum Thema

Avanade Deutschland GmbH

secunet Security Networks AG

publicplan GmbH

Liferay GmbH

Letztlich ist „Open Source vs. kommerzielle Welt“ die Frage, ob wir im behördlichen Umfeld maßgeschneiderte Kleinserien oder bewährte Technologie von Marktführern einsetzen möchten. Und es gibt gute Gründe gegen Manufaktur- und für kommerzielle, global erfolgreiche Standard-Lösungen.

Die Debatte könnte deutscher nicht sein: Wie lange wollen wir noch – angstgetrieben – über Open-Source-Lösungen für die Verwaltung diskutieren, während schlüsselfertige Produkte bereits an die Tür klopfen? Ein Beispiel für den Spagat, der das Ziel außer Acht lässt und stattdessen auf einen vermeintlich besseren Weg setzt, ist im Grunde auch die deutsche Verwaltungscloud: Initiiert durch das Bundesministerium des Innern und für Heimat (BMI), stellt sie eine hybride Lösung dar und versucht, Elemente aus beiden Welten zu kombinieren. Offizielles Ziel ist eine Plattform, die Datensouveränität als auch Skalierbarkeit und Unabhängigkeit gewährleistet.

Die Fragen müssen schon erlaubt sein: Wo wäre eine zentrale, kommerzielle Lösung schlechter skalierbar oder automatisch weniger souverän? Wo wäre sie sicherer? Und wo bietet Open Source denn wirklich die gelobte Unabhängigkeit? Tatsache ist, dass auch hier externe Services und Produkte eingesetzt werden. Selbst wenn alles intern geregelt wird – der Effizienzgedanke, Stichwort Wettbewerb, sei hier außen vorgelassen – entstehen Abhängigkeiten: Die Gefahr dieser Denkweise ist etwa durch das Fehlen an Cobol-Fachkräften für die bisweilen als sakrosankt stilisierten Mainframes eigentlich offenkundig.

Fakt ist: Sobald ein externer Partner Leistung einbringt, entstehen solche Abhängigkeiten, immer. Wie prekär diese Herausforderung ist, zeigt sich auch bei der Frage nach definierten technischen und Qualitäts-Standards sowie Schnittstellen – sie bilden letztlich vielleicht eine andere, aber ebenfalls eine technische Abhängigkeit. Diese Kleinteiligkeit liefert noch weitere Herausforderungen, etwa wenn es künftig in den Bereich von Lieferketten-Transparenz geht.

Erste Anwendungen wie die „BundID“ oder das Portalverbundsystem zeigen denn auch, dass die Kombination von Open-Source-Technologie und zentralisierter Steuerung zwar möglich ist – dass jedoch langfristige Wartung und der Aufbau von Fachwissen innerhalb der öffentlichen Verwaltung herausfordernd sind. Überdies ist es weiterhin eine nicht untermauerte Behauptung, dass Open Source immer sicherer sei als eine Lösung aus der kommerziellen Welt. Eine komplexe Vielzahl kleiner Anbieter kann im Grunde kaum die gleichen konzertierten Investitionen in IT-Sicherheit bieten wie ein Großanbieter, der branchenübergreifend zum Einsatz kommt.

Vorteile einer zentral organisierten souveränen Cloud

Das Gesagte verdeutlichr: Eine zentral organisierte kommerzielle Cloud samt zentralem Management ist besser zur Einhaltung rechtlicher Anforderungen geeignet. Entscheidend ist allerdings, dass die Datenhoheit jederzeit gewährleistet ist und die Verarbeitung in sicheren, regional ansässigen Rechenzentren erfolgt. Das reduziert auch den Aufwand für die Prüfung der DSGVO-Konformität, was gerade in Behörden mit meist knappen technischen Ressourcen von Vorteil ist. Zudem ist die Zuschreibung einer rechtlichen Verantwortung im Open-Source-Umfeld eo ipso eine kaum zu überwindende Herausforderung – man kann es gar nicht laut genug sagen: Bei Open-Source-Lösungen liegt die Compliance-Verantwortung vollständig bei der nutzenden Behörde.

Die Security-Skaleneffekte überzeugen ebenso beim Blick auf die erforderliche integrierte Sicherheit: Die großen Hypervisoren wie AWS, Azure oder Google bieten Sicherheitsstandards, die kontinuierlich aktualisiert und überprüft werden. Dazu gehören Funktionen wie Echtzeit-Analyse von Bedrohungen, proaktive Schwachstellenmanagement-Tools und Verschlüsselung auf höchstem Niveau. Gerade bei der Speicherung sensibler Daten, wie sie in der öffentlichen Verwaltung vorkommen, ist diese Ende-zu-Ende-Sicherheit ein entscheidender Vorteil. Dass besagte Standards sich auch in anderen Bereichen, etwa CSRD, vereinfachend auswirken, ist offensichtlich.

Der wohl größte Vorteil einer solchen kommerziellen Cloud sind ihre Off-the-Shelf-Funktionalität für die Anwenderinnen und Anwender sowie die vielen vorgefertigten und skalierbaren Services. Seien wir doch ehrlich: Gaia-X ist eine charmante Idee – und von der echten Welt überholt worden. In verteilten kleineren komplexen Systemen lassen sich innovative Services eben häufig nicht schnell genug realisieren. Selbst wenn die schlanken Strukturen kleinerer Open-Source-Gebilde ihren theoretisch Geschwindigkeitsvorteil ausspielen können, sind Kleinteiligkeit, Integration und zentralisierbares Management bzw. Wartbarkeit wieder Hemmschuhe.

Herausforderung Transparenz

Bei all den Vorteilen einer kommerziellen souveränen Cloud darf zudem nicht vergessen werden: Sie steht ja gar nicht im Widerspruch zu Open Source; Azure ist letztlich eine der größten Open-Source-Plattformen der Welt, da sie ja jedwede Open-Source-Anwendung unterstützt. Allerdings ist es nicht so, dass an den kommerziellen Clouds der großen Hypervisoren keine Arbeit mehr nötig wäre, ehe sie wirklich gut für den Einsatz im behördlichen Umfeld – auch im Zusammenspiel mit Open Source – geeignet sind. Eine Aufgabe ist sicherlich, die Transparenz und Kontrolle für die nutzenden Behörden weiter zu steigern. Denn Verwaltungen haben höchste Ansprüche an Datensouveränität – hier kann also durchaus ein Hindernis bestehen.

Darüber hinaus wird ein professionelles Lizenz- und Kostenmanagement erforderlich sein; hier wird zu klären sein, wie die Behörden zu einer dauerhaft belastbaren Herangehensweise gelangen. Auch hier wird allerdings die dediziert auf behördliche Anforderungen ausgerichtete Delos-Cloud entsprechende Lösungen bieten. Das gilt umso mehr, als auch bei Open-Source-Lösungen die Gefahr besteht, dass Kosten aus dem Ruder laufen. Daher gilt es in erster Linie, gleichermaßen technische wie auch prozessuale Leitplanken zur Absicherung einzubauen.

Fazit

Letztlich und endlich zählt doch das Ziel: eine für die Nutzer komfortable sowie leistungsstarke, sichere und zuverlässige Verwaltung, im Sinn der Bürgerinnen und Bürger – immerhin sind sie es, die Ämter finanzieren. Ein Blick auf die Vorteile einer zentralen Lösung sollte ersichtlich machen, dass sie besser geeignet ist, um dieses Ziel einer souveränen Cloud zu erreichen – frei von Technologie-Ideologie. In der Vergangenheit gab es Open-Source-Ansätze mit abweichender Herangehensweise, deren Ergebnisse unterschiedlich ausfielen und die daher sorgfältig reflektiert werden sollten.

Der Autor: Oliver Stein, Account Executive Public Sector bei Avanade Deutschland GmbH.

Meilenstein erreicht

Die Deutsche Verwaltungscloud ist im Pilotbetrieb

Resilienz und Unabhängigkeit

Digitale Souveränität in stürmischen Zeiten

(ID:50303358)