Souverän digital verwalten Was Beschaffung und Betrieb wirklich absichern müssen

Anbieter zum Thema

Alcatel-Lucent

Materna Information & Communications SE

PDV GmbH

Governikus GmbH & Co. KG

Elektronische Patientenakte, An- und Ummeldungen, digitale KFZ-Zulassung: Im Zuge der Digitalisierung verlagert die öffentliche Verwaltung immer mehr behördliche Abläufe in Plattformen und Cloud-Dienste. Damit wird Datensouveränität zur Grundlage für die Handlungsfähigkeit des Staates.

Die öffentliche Verwaltung wird mit elektronischen Fachverfahren, Fördergeldanträgen, Bürgerportalen, Termin- und Identitätsdiensten immer digitaler. Im Sinne der Souveränität ist es nicht nur wichtig, dass die Daten in Deutschland liegen, es geht vor allem um die Frage: Wer hat rechtlich und praktisch Zugriff? Wer trägt Verantwortung für Betrieb, Sicherheit und Störungen?

Monitoring im Rechenzentrum

Betriebs- und Ausfallsicherheit als Erfolgsfaktor

Für Behörden ist das besonders wichtig, da hier oft hoher Schutzbedarf, strenge Nachweispflichten und lange Nutzungszyklen zusammentreffen. Einschränkungen bei zentralen Diensten – etwa durch Cyberangriffe, Anbieterentscheidungen, geopolitische Konflikte oder rechtliche Streitigkeiten – wirken sich direkt auf Servicefähigkeit, Krisenkommunikation und Verwaltungsprozesse aus.

Jurisdiktion entscheidet – nicht allein der Standort

Rechenzentrumsstandorte und „EU-Region“-Optionen sind wichtige Bausteine für eine digitale Souveränität, lösen aber nicht die Kernfrage: Welchem Recht unterliegen der Anbieter und seine Konzernstruktur? Denn Zugriffspflichten aus Drittstaaten lassen sich nicht allein durch lokale Verträge ausschließen. Deshalb gehört zur Souveränitätsprüfung zwingend die juristische Verankerung.

Ebenso entscheidend ist, ob die operative Kontrolle – etwa Administration, Support, Unterauftragnehmer oder Schlüsselmanagement – tatsächlich innerhalb eines europäischen Rechtsrahmens bleibt. Der US CLOUD Act zeigt, wie Zugriffsrechte unabhängig vom Speicherort greifen können, wenn ein US-Unternehmen betroffen ist.

Quelloffenheit: Sinnvoll, aber kein Killerkriterium

Open Source hat in Deutschland an Bedeutung gewonnen, weil Quelloffenheit Transparenz schafft, Wiederverwendung erleichtert und Interoperabilität fördert. Schleswig-Holstein stellt zahlreiche Arbeitsplätze auf LibreOffice und Linux um, und das BMI fördert Projekte wie den souveränen Arbeitsplatz und OpenDesk.

Nichtsdestotrotz garantiert Open Source keine Souveränität. Auch offene Software kann Abhängigkeiten unterliegen, wenn Betrieb, Administration oder Support außerhalb europäischer Kontrolle liegen. Umgekehrt kann eine proprietäre Lösung souverän sein, wenn sie unter EU-Recht entwickelt und betrieben wird, Schnittstellen und Portabilität bietet, Sicherheit nachweist und klare Verantwortlichkeiten definiert.

Für die öffentliche Verwaltung heißt das: Eine Lizenzfrage – Open Source oder proprietär – darf keine Vorprüfung ersetzen, die für Schutzbedarf, Rechtslage und Betriebsmodell erforderlich ist.

In der Praxis sollten Vergaben daher nicht primär nach der Lizenzform filtern, sondern prüfbare Souveränitätskriterien in den Fokus rücken, etwa:

• Rechtsrahmen und Anbieterstruktur: Sitz und Kontrolle des Anbieters, keine beherrschenden Drittstaatenstrukturen, transparente Unterauftragsnehmerketten.
• Betriebsoptionen passend zum Schutzbedarf: Betrieb durch EU-Anbieter, wahlweise Private Cloud oder On-Premises (z. B. für besonders schützenswerte Kommunikations- und Verwaltungsdaten).
• Zugriffs- und Schlüsselhoheit: Rollen- und Rechtekonzepte, Protokollierung, nachvollziehbare Admin-Zugriffe, kundenseitig steuerbares Schlüsselmanagement.
• Sicherheitsnachweise: anerkannte Zertifizierungen wie BSI C5 oder ISO 27001 sowie belastbare Prozesse für Patch- und Incident-Management.
• Verantwortung und Betrieb: klare SLAs, Haftung, Support in deutscher Sprache, Audit- und Exit-Rechte sowie realistische Migrationspfade.
• Wirtschaftlichkeit wichtiger als der Lebenszyklus: Betriebs-, Schulungs- und Personalkosten, Abhängigkeiten und Wechselbarrieren.

Diese Kriterien sind technologieoffen. Open Source kann also gezielt eingesetzt werden, ohne europäische kommerzielle Anbieter auszuschließen, die dieselben Souveränitäts- und Sicherheitsanforderungen erfüllen.

Fazit

Datensouveränität ist für die Verwaltung ein zentrales Thema, um Steuerung und Resilienz zu sichern. Sie wächst aus klaren rechtlichen Vorgaben, technischen Kontrollsystemen, geprüfter Sicherheit und verlässlichen Betriebsmodellen – nicht aus einem bloßen Label. Wer diese Prinzipien konsequent in Beschaffung, Verträge und Betrieb einbindet, stärkt die Servicekontinuität, das Vertrauen und die digitale Handlungsfähigkeit.

Schwarz Digits und STACKIT

„Open Source ist der heilige Gral der Souveränität“