Digitale Souveränität verstehen, Teil 1 Warum unabhängige IT für die öffentliche Hand wichtig ist

Anbieter zum Thema

GISA GmbH

Governikus GmbH & Co. KG

Mein Videotermin Suite | Voigtmann GmbH

Für die öffentliche Hand zählt souveräne IT, und als Teil davon auch die „Souveräne Cloud“, mittlerweile zu den wichtigsten strategischen Themen. Die Gründe dafür sind vielfältig, doch ein zentrales Motiv zieht sich durch alle Überlegungen: Unsicherheit.

Die globale Lage ist instabil wie selten zuvor. Politische Umbrüche, geopolitische Spannungen und eine zunehmende Zahl verdeckter Cyberangriffe haben das Vertrauen in bestehende Strukturen und Partnerschaften (möglicherweise nachhaltig) gestört. Risiken, die in der Vergangenheit in der Bewertung als nachrangig eingestuft wurden, müssen aktuell neu bewertet werden.

Besonders betroffen ist der Bereich der IT-Infrastruktur als Plattform aller IT-Projekte und digitaler Modernisierungsmaßnahmen. Diese Infrastrukturen werden verstärkt auch in die Cloud verlagert, sei es in Form von Public-, Private- oder Hybrid-Cloud-Angeboten. Dabei steht insbesondere die Kontrolle über Zugänge und Daten auf dem Spiel.

Digitale Souveränität verstehen, Teil 2

Souveräne Verwaltungs-IT – von der Strategie zur Praxis

Kern der Diskussion in der Vergangenheit war hier immer der US-amerikanischen Cloud Act, der US-Behörden weitreichende Zugriffsmöglichkeiten auf Daten der Kunden von US-Cloud Anbietern erlaubt, unabhängig davon, wo diese liegen. Durch jüngste Ereignisse hat sich die Diskussion allerdings um zahlreiche Aspekte erweitert. Die Aushöhlung des Transatlantic Data Privacy Framework durch die aktuelle US-Regierung ist vor diesem Hintergrund ein weiterer Baustein, der Besorgnis auslöst. Die Entlassung der US-Regierungsmitarbeiter, die mit der Umsetzung der aus der DSGVO entstehenden Datenschutzanforderungen beauftragt wurden, stellt den durch die EU-Kommission getroffenen Angemessenheitsbeschluss in Frage.

In Folge ist die Rechtssicherheit, die Unternehmen und Behörden den DSGVO-konformen Betrieb von Cloud-Lösungen von US-Anbietern erlaubte, nicht mehr gegeben. Aber auch angesichts der Erlangung von Trainingsdaten für US-KI Projekte gilt es, nationale Interessen und Industrien zu schützen. Des Weiteren sind Spionage- und Sabotagebemühungen im digitalen Raum durch Gruppierungen, die verschiedenen staatlichen und privaten Akteuren zugerechnet werden, ein schnell wachsendes Risiko, das bewertet und gehandhabt werden muss. Eine entsprechende Reaktion kann nur erfolgen, wenn Kontrolle und Transparenz in der IT sichergestellt werden können.

Gleichermaßen wächst die Sorge um politische Einflussnahme: Anbieter unterliegen zunehmend der Kontrolle fremder Staaten durch politischen Druck, strategischer Zukäufe und Konsolidierungen, was die Durchsetzung nationaler Gesetze und Regularien wie den IT-Grundschutz gefährdet, und die Verfügbarkeit von Diensten von guten diplomatischen Beziehungen und politischen Zusagen abhängig machen kann.

Wirtschaftliche Unwägbarkeiten sind ein weiterer relevanter Faktor. Zölle, Embargos und der strategische Entzug von IT-Diensten werden immer häufiger als politische Druckmittel eingesetzt. Für öffentliche Institutionen bedeutet das: Planungssicherheit geht verloren, Kosten werden unkalkulierbar.

Treiber der souveränen Infrastrukturen

Ein zentraler Treiber für den Einsatz souveräner Clouds und IT-Infrastrukturen in Behörden ist die notwendige Modernisierung der IT, um den wachsenden Anforderungen einer digitalisierten Verwaltung gerecht zu werden, sowie die Steigerung von Effizienz mit Blick auf den sich verschärfenden Fachkräftemangel. Die Konsolidierung der IT bei zentralen staatlichen Anbietern in Bund, Ländern und Kommunen bietet hier einen Hebel, IT neu zu denken und zu standardisieren.

Souveräne Cloud-Infrastrukturen bilden die Grundlage für eine erfolgreiche Digitalisierung des öffentlichen Sektors, da sie es ermöglichen, sensible Daten sicher, rechtskonform und unabhängig zu verarbeiten. Insbesondere die zeitgemäße Erneuerung der Fachverfahren erfordert flexible, skalierbare und sichere Plattformen, die den Betrieb und die Weiterentwicklung bestehender Anwendungen vereinfachen. Gleichzeitig steigt der Bedarf an einer übergreifenden, sicheren Nutzung und dem Austausch von Daten zwischen Behörden und föderalen Ebenen, eine Kernvoraussetzung für effiziente und nutzerzentrierte Verwaltungsdienste über Grenzen einzelner Behörden hinweg.

Der zunehmende Einsatz von künstlicher Intelligenz als Transformator moderner IT-basierter Verwaltungsprozesse macht robuste und vertrauenswürdige Infrastrukturen unabdingbar. Nur durch den Einsatz souveräner Clouds können langfristig souveräne digitale Dienste geschaffen werden, die Transparenz, Sicherheit und Kontrolle gewährleisten – im Einklang mit den Prinzipien digitaler Souveränität und europäischer Werte.

Die Antwort auf all diese Herausforderungen kann nur eine souveräne Cloud-Infrastruktur sein – betrieben unter europäischer Kontrolle, nach klaren gesetzlichen Vorgaben, resilient gegenüber politischen Eingriffen und frei von technologischen Abhängigkeiten. Nur so lässt sich die digitale Handlungsfähigkeit des Staates langfristig sichern.

Was bedeutet digitale Souveränität?

Digitale Souveränität hat sich in Rekordzeit zu einem wichtigen Marketing-Claim entwickelt, nahezu jeder Anbieter bezeichnet die eigenen Dienste mittlerweile als souverän. Aber was bedeutet Souveränität eigentlich? Und wer definiert, was souveräne IT-Dienste sind?

Einfach zusammengefasst bedeutet Souveränität in der IT für Behörden, aber auch privatwirtschaftliche Unternehmen, die Kontrolle und Entscheidungsfreiheit über ihre digitalen Infrastrukturen und Daten zu behalten. Im Detail ergeben sich vier zentrale Leitlinien zur Herstellung und des Erhalts von Souveränität, die jeweils verschiedene Dimensionen der Fragestellung umfassen.

Kontrolle des Rechtsraums

Im Zentrum dieser Kontrollfähigkeit steht die Durchsetzbarkeit von Rechtsnormen, hier vor allem die Einhaltung und Durchsetzbarkeit nationaler und europäischer Gesetze und Regularien gegenüber Dritten, explizit internationalen Anbietern. Ohne eine uneingeschränkte Durchsetzbarkeit des Rechts ist die Aufrechterhaltung einer freiheitlich-demokratischen Rechtsordnung unmöglich.

Kontrolle der Daten

Die sichere Verarbeitung und der Schutz der eigenen Daten vor Dritten ist eine weitere wichtige Leitlinie. Dies setzt sowohl die uneingeschränkte Verfügbarkeit als auch eine uneingeschränkte Integrität von Daten voraus, besonders in Krisensituationen oder bei geopolitischen Spannungen. Die Vertraulichkeit und Integrität der Daten lässt sich nur über eine Kontrolle von Datenzugriff, -speicherung und -verarbeitung sicherstellen.

Kontrolle über Workloads

Die Kontrolle über Workloads, also über Anwendungen, Prozesse und deren Ausführungsumgebung, ist essenziell, um Abhängigkeiten von Anbietern zu minimieren und Manipulationen der Software auszuschließen. Dies umfasst neben der Abhängigkeit von proprietären Anwendungen auch die Manipulation von Applikationen, die Möglichkeit der transparenten Auditierung und die zuverlässige Erkennung und Behandlung von Sicherheitslücken im Code.

Kontrolle über Infrastruktur und Betrieb

Schließlich gehört die Kontrolle über die Infrastruktur und den Betrieb selbst dazu: Behörden müssen frei wählen können, welche Dienste sie nutzen, von wem sie diese betreiben lassen, wo diese betrieben werden und wie sie betrieben und aktualisiert werden. Dies umfasst auch die Migrationsfreiheit. Damit einher geht zudem die Kontrolle über die Verfügbarkeit von Infrastruktur und Betriebsservice und unter welchen Bedingungen Infrastruktur und Service verfügbar sind.

IT-Souveränität ist ein kontinuierlicher Prozess

Nur unter Beachtung dieser vier zentralen Leitlinien der Souveränität lässt sich eine vertrauenswürdige und resiliente digitale Verwaltung aufbauen und weiterentwickeln. Ziel muss also eine IT- und Souveränitäts-Strategie sein, die sich an diesen Leitlinien ausrichtet und langfristig in jedem einzelnen IT-Projekt angewandt wird, um einen höheren Grad an Souveränität zu erreichen.

Souveränität von IT ist also weder ein Stempel Dritter noch ein Claim des jeweiligen Anbieters. Es ist ein kontinuierlicher Prozess, bei dem abgewogen werden muss, welche Abhängigkeiten bei der Einführung von Diensten entstehen, wie diese behandelt werden können und diese müssen gegen die eigene Souveränitäts- und IT-Strategie gewichtet werden. Durch die so erreichte Unabhängigkeit ist es möglich, völlig frei und auf Augenhöhe mit unterschiedlichen Anbietern zusammenzuarbeiten.

Im nächsten Artikel der Reihe werden wir uns mit den nötigen organisatorischen Rahmenparametern auseinandersetzen, die eine dauerhaft erfolgreiche Umsetzung dieser Strategien voraussetzt.

Digitale Souveränität verstehen, Teil 3

Der Deutschland-Stack – Fundament für eine souveräne digitale Verwaltung

(ID:50511724)