So funktioniert digitale Souveränität

Wie unabhängig ist die Verwaltung?

Stell Dir vor: In Deiner Kommune werden sämtliche Fachverfahren über einen einzigen Cloud-Anbieter betrieben. Dann kommt es zu einem technischen Ausfall:

• kein Zugriff auf Bürgerportale,
• keine Terminvergabe
• und keinen Zugriff auf Fachanwendungen.

Die Verwaltung steht still, weil sie keine Handlungsoptionen mehr hat. Um solche und schlimmere Szenarien zu vermeiden, will Deutschland digitale Souveränität erreichen.

Was genau digitale Souveränität bedeutet und wie sie erreicht werden kann, erfährst Du in diesem Artikel.

Wie kann digitale Souveränität erreicht werden?

Das Wichtigste in Kürze

• Digitale Souveränität bedeutet: Kontrolle über Daten, Systeme und Entscheidungen ohne Abhängigkeit von einzelnen Anbietern
• Besonders kritisch für Kommunen: Cloud-Lock-ins, Fachkräftemangel und fehlende Interoperabilität
• Kommunale digitale Souveränität entsteht schrittweise: durch eine Abhängigkeitsanalyse, verbindliche Beschaffungskriterien, offene Standards, Notfallkonzepte und interne Kompetenzen.
• Erfolgreiche Behörden kombinieren Open Source, Schulungen und klare KI-Governance-Strukturen
• Open Source kann Abhängigkeiten reduzieren, ist allein aber keine Garantie für Sicherheit, Wirtschaftlichkeit oder einen reibungslosen Betrieb.

Definition: Was ist digitale Souveränität?

„Digitale Souveränität“ beschreibt „die Fähigkeiten und Möglichkeiten von Individuen und Institutionen, ihre Rolle(n) in der digitalen Welt selbstständig, selbstbestimmt und sicher ausüben zu können“ cio.bund.de

Für die öffentliche Verwaltungen lassen sich daraus vier zentrale Ziele ableiten:

• Kontrolle über Datenhaltung und Datenzugriff
• Entscheidungsfreiheit bei IT-Architekturen
• Unabhängigkeit von einzelnen Plattformanbietern
• Durchsetzung von DSGVO- und Sicherheitsstandards

Was bedeutet digitale Souveränität konkret für Kommunen?

Eine digital souveräne Kommune sollte insbesondere:

• die Speicherorte und Zugriffsrechte ihrer Daten kennen,
• Daten in dokumentierten, weiterverwendbaren Formaten exportieren können,
• offene und standardisierte Schnittstellen verlangen,
• kritische Systeme auch bei Anbieterproblemen weiterbetreiben können,
• Verantwortlichkeiten für Cloud-, Daten- und KI-Dienste festlegen,
• Datenschutz- und Sicherheitsanforderungen kontrollieren können,
• Wissen nicht ausschließlich bei externen Dienstleistern bündeln,
• für zentrale Fachverfahren eine Exit-Strategie besitzen.

Digitale Souveränität bedeutet dabei nicht, jede Software selbst zu entwickeln oder ausschließlich im eigenen Rechenzentrum zu betreiben. Eine Kommune kann externe Cloud- und Softwareanbieter nutzen und trotzdem souverän handeln, sofern sie Kontrolle, Transparenz und Sicherheitsstandards behält.

Was ist Gaia-X – und wie relevant ist die Initiative heute?

Gaia-X ist eine europäische Initiative (2019 gestartet), die eine souveräne, interoperable Dateninfrastruktur für Europa schaffen soll. Die Ziele sind:

• Digitale Souveränität Europas
• Offene Standards & Interoperabilität (Systeme, die Daten sicher und automatisch austauschen können)
• Aufbau sicherer Branchendatenräume (digitale Umgebungen, in denen Daten sicher ausgetauscht und genutzt werden können)

Ist Gaia-X gescheitert?

Obwohl die Initiative nicht sehr bekannt ist, zeigen sich positive erste Entwicklungen. Mittlerweile engagieren sich über 250 Organisationen und Unternehmen in dem Projekt. Bis November sollen etwa 3.000 Cloud-Dienste angeboten werden können. Spannend bleibt, wie es weitergeht.

👉 Mehr Infos findest Du hier:

• Gaia-x.eu
• Gaia-X Hub Germany

Wie entstehen Abhängigkeiten?

Auch wenn die digitale Transformation in vollem Gange ist, fehlen oft die passenden Technologien, Services oder Schnittstellen. So entstehen Risiken bzw. Lücken in Systemen und Insellösungen, während es an der passenden Lösung fehlt und die Sicherheit beeinträchtigt wird.

Typische Ursachen sind:

• historisch gewachsene IT-Landschaften,
• fehlende Alternativen bei spezialisierten Fachverfahren,
• proprietäre Datenformate,
• unzureichend dokumentierte Schnittstellen,
• langfristige Lizenz- und Betriebsverträge,
• Zeitdruck bei Ausschreibungen und Einführungen,
• fehlende interne IT-Fachkräfte,
• mangelnde Dokumentation,
• Wissen, das nur bei einzelnen Dienstleistern liegt,
• hohe technische und organisatorische Wechselkosten.

Digitale Abhängigkeit entsteht auch, weil es bisher zu wenige europäische Plattformen auf dem Markt gibt. Anbieter aus den USA oder China sind durch ihre weite Verbreitung oft überlegen.

Zum anderen ist Zeitdruck ein großes Problem: Unternehmen oder auch die öffentliche Verwaltung brauchen eine Lösung und haben nicht die Zeit oder das Personal, sich durch den Berg von Lösungen zu wühlen. Knappe Ressourcen sind ein generelles Problem, denn der Fachkräftemangel macht sich auch in der IT-Branche bemerkbar.

Digitale Souveränität ist also wichtig, um Grundrechte und Datenschutz durchzusetzen, ökonomische sowie digitale Unabhängigkeit zu erlangen und die Demokratie zu schützen. Besonders wenn es um staatliche Institutionen geht, ist es wichtig, vertrauliche Daten zu schützen, wie vergangene Hacker-Angriffe gezeigt haben.

Warum ist digitale Souveränität wichtig für die Sicherheit?

Sicherheitsvorfälle zeigen, wie wichtig kontrollierbare und resiliente IT-Strukturen sind. Im Jahr 2015 wurde beispielsweise der Deutsche Bundestag Ziel eines russischen Hackerangriffs, bei dem über E-Mails Zugang zu sensiblen Daten von Bundestagsabgeordneten geschaffen wurde. Über Wochen konnten unbemerkt Daten gesammelt werden, was zur Folge hatte, dass das IT-System teilweise sogar neu aufgebaut werden musste.

Das zeigt, dass Abhängigkeiten die Angriffsflächen erhöht und fehlende Kontrolle erst verspätete Reaktionen zulässt. Digitale Souveränität hilft dabei, resilienter zu werden und eigene Sicherheitsstandards zu etablieren.

Der Vorfall zeigt auch: Digitale Souveränität und Cybersicherheit sind nicht identisch.

• Cybersicherheit schützt Systeme, Daten und Prozesse vor Angriffen und Ausfällen.
• Digitale Souveränität stellt sicher, dass eine Organisation über ihre Schutzmaßnahmen, Architekturen und Reaktionen selbst bestimmen kann.

Cyberbedrohungen werden immer relevanter

Welche Rolle spielt Open Source für digitale Souveränität?

Open-Source-Software kann digitale Souveränität fördern, weil offener Quellcode und offene Schnittstellen die Abhängigkeit von einzelnen Herstellern reduzieren können. Das ZenDiS unterstützt Bund, Länder und Kommunen unter anderem mit openCode, Open-Source-Produkten, Beratung und einem Souveränitätscheck.

Mögliche Vorteile von Open Source sind:

• größere Transparenz,
• geringere Bindung an einzelne Hersteller,
• mehr Wahlfreiheit beim Betriebsdienstleister,
• gemeinsame Weiterentwicklung,
• überprüfbare Schnittstellen,
• bessere Nachnutzung bestehender Lösungen.

Open Source sollte vor der Einführung von Kommunen genau überprüft werden, zum Beispiel ob es einen Support gibt, wie Wartung und Sicherheitsupdates ablaufen und ob die Verwaltung über die benötigten Kompetenzen verfügt.

Welche Dimensionen digitaler Souveränität gibt es?

Digitale Souveränität ist kein rein technisches Thema. Sie entsteht im Zusammenspiel von:

1. Staatliche Dimension:

• Rechtlicher Rahmen (DSGVO, OZG 2.0)
• Sicherheits- und Governance-Standards

2. Unternehmen & Verwaltung 

• Kontrolle über Daten und Systeme
• Schutz vor Lock-in-Effekten
• Wirtschaftliche Handlungsfähigkeit

3. Bürgerinnen und Bürger 

• Digitale Kompetenzen
• Akzeptanz digitaler Angebote
• Vertrauen in staatliche IT und Services

Wie kann digitale Souveränität in Kommunen umgesetzt werden?

Es gibt bereits einige Projekte, die digitale Unabhängigkeit unterstützen sollen. Neben dem IT-Planungsrat gibt es eine länderoffene Arbeitsgruppe, die unter anderem die AG Cloud Computing eingerichtet hat. Außerdem benennt sie Fachkräfte und schafft nachhaltige Arbeitsstrukturen. Zum anderen wurde das Zentrum für Digitale Souveränität ins Leben gerufen. Dieses soll als Kompetenz- und Servicezentrum fungieren und beispielsweise passende Open Source Software sicherstellen. Zudem soll das Zentrum eine Schnittstelle zwischen ÖV und IT-Anbietern sein.

Doch darüber hinaus braucht es noch weitere Faktoren:

• Know-how über digitale Schlüsseltechnologien, also Software, Hardware, IT-Sicherheit, Tools und Co. Dafür werden Weiterbildungen gebraucht.
• Eine sichere und funktionierende IT-Infrastruktur
• Kooperation mit anderen Ländern, um sich über Lösungen und Technologien auszutauschen
• Innovationsförderung durch einen offenen Markt und Subventionen
• Rechtliche Absicherung und staatliche Regulierungen

Digitale Souveränität ist kein einmaliges Projekt

Digitale Souveränität Schritt für Schritt einführen

Um digitale Souveränität einzuführen, solltest Du folgende Schritte beachten:

1. Schritt: Welche Systeme sind besonders kritisch?

Erstelle ein vollständige Übersicht der eingesetzten Anwendungen, Plattformen und Dienstleister und Bewerte pro System

• betroffene Verwaltungsleistungen,
• Zahl der Nutzer,
• verarbeitete Datenarten,
• notwendige Verfügbarkeit,
• mögliche Ausweichverfahren,
• eingesetzte Schnittstellen,
• Vertragslaufzeit,
• Datenexportmöglichkeiten,
• Abhängigkeit von einzelnen Personen oder Anbietern.

Schritt 2: Wie wird die Abhängigkeit messbar?

Ein einfacher kommunaler Souveränitätscheck kann fünf Fragen pro System enthalten:

1. Können alle relevanten Daten vollständig exportiert werden?
2. Gibt es mindestens eine realistische technische oder organisatorische Alternative?
3. Kann ein anderer Dienstleister Betrieb oder Wartung übernehmen?
4. Sind Schnittstellen, Konfigurationen und Prozesse dokumentiert?
5. Existiert ein getesteter Exit- oder Notfallplan?

Je häufiger die Antwort „Nein“ lautet, desto größer ist der Handlungsbedarf.

Schritt 3: Welche Anforderungen gehören in die Beschaffung?

Bereits vor einer Ausschreibung sollten Mindestanforderungen definiert werden, z.B. offene und dokumentierte Schnittstellen, maschinenlesbarer Datenexport, nachvollziehbare Sicherheitsmaßnahmen sowie Rechte an individuellen Konfigurationen.

Schritt 4: Wie wird ein Exit-Plan aufgebaut?

Ein guter Exit-Plan beantwortet mindestens:

• Welche Daten müssen übernommen werden?
• In welchem Format werden sie bereitgestellt?
• Welche Fristen gelten?
• Wer unterstützt die Migration?
• Welche Dokumentationen werden übergeben?
• Wie bleibt der Verwaltungsbetrieb während des Wechsels erhalten?
• Welche Kosten entstehen?
• Wie wird die vollständige Löschung beim bisherigen Anbieter nachgewiesen?

Schritt 5: Welche Kompetenzen braucht die Verwaltung?

Nicht jede Kommune benötigt für jedes System ein eigenes Entwicklungsteam. Sie braucht aber ausreichend Kompetenz, um Angebote zu bewerten und Dienstleister zu steuern. Besonders wichtig sind aber IT-Architektur, Informationsicherheit, Datenschutz und Datenmanagement.

Welche Rolle spielen gesetzliche Rahmenbedingungen?

Rechtliche Vorgaben des Staates bezüglich der Digitalisierung sind das OZG 2.0 und die DSGVO. Sie sollen dafür sorgen, dass Verwaltungsdienstleistungen medienbruchfrei, digital und souverän angeboten werden.

Schritt 6: Wie lässt sich digitale Souveränität testen?

Um die eigene digitale Souveränität zu testen, können folgende Punkte kontrolliert werden:

• Probeexport zentraler Daten,
• Wiederherstellung eines Backups,
• Ausfallübung für kritische Fachverfahren
• oder die Prüfung der technischen Dokumentation.

Damit das allerdings funktioniert, müssen öffentliche Verwaltungen sichere und interoperable Lösungen entwickeln. Auch das Bürokratieentlastungsgesetz hat zum Ziel, Verwaltungsprozesse zu vereinfachen und bürokratische Hürden abzubauen. Im Sinne der digitalen Souveränität lässt das nun mehr Platz für agile IT-Strukturen.

Welche drei Fehler sollten Kommunen vermeiden?

Fehler 1: Digitale Souveränität mit vollständiger Autarkie verwechseln.

Keine Kommune muss sämtliche Software selbst entwickeln oder vollständig selbst betreiben, denn Kooperationen und externe Leistungen bleiben ein fester Bestandteil moderner IT-Landschaften. Entscheidend ist nicht die völlige Unabhängigkeit, sondern die Fähigkeit zur Wahlfreiheit, zur Kontrollfähigkeit, zur Transparenz und zur Resilienz im Umgang mit digitalen Systemen.

Fehler 2: Starker Fokus auf den Serverstandort.

Ein deutscher oder europäischer Serverstandort kann zwar ein wichtiger Baustein sein, reicht jedoch allein nicht aus, um digitale Souveränität sicherzustellen. Ebenso relevant sind Eigentums- und Konzernstrukturen der Anbieter, eingesetzte Unterauftragnehmer, Zugriffsrechte auf Daten, Verschlüsselungskonzepte, verwendete Datenformate, vorhandene Schnittstellen, vertragliche Regelungen sowie die tatsächlichen Möglichkeiten eines späteren Anbieterwechsels.

Fehler 3: Erst am Ende eines Vertrags über einen möglichen Wechsel nachdenken.

Eine belastbare Exit-Strategie muss bereits vor Vertragsabschluss entwickelt werden, da später häufig weder ausreichend Zeit noch Budget, Dokumentation oder technische Alternativen zur Verfügung stehen, um einen reibungslosen Übergang sicherzustellen.

📚 Leseempfehlungen
Digitale Souveränität 2024 (Bundesministerium für Wirtschaft und Klimaschutz)
👉 Dieser Report hält die Herausforderungen aus Sicht der Unternehmen fest. Diese lassen sich aber zum Teil auch auf die öffentliche Verwaltung übertragen.

Digitale Souveränität (Kompetenzzentrum Öffentliche IT)
👉 In diesem Papier geht es darum, was digitale Souveränität ausmacht und wie sie umgesetzt werden kann. Zudem gibt es wertvolle Handlungsempfehlungen.

Fazit: Digitale Selbstbestimmung macht zukunftsfähig

Digitale Souveränität ist ein zentrales Ziel für eine stabile politische, wirtschaftliche und gesellschaftliche Zusammenarbeit. Denn nur wer Kontrolle über die eigene Infrastruktur und Daten hat, ist wirklich unabhängig und kann wichtige Entscheidungen treffen.

Das ist ein Ziel, das langfristige Investitionen und Planung bedarf. Dabei spielt der Staat eine zentrale Rolle, der Rahmenbedingungen für eine solche Entwicklung schaffen muss. Dazu zählen Geldmittel, aber auch die Motivation, neue Lösungen zu finden. So kann sich ein Staat, aber auch Ämter und Unternehmen vor Cyberbedrohungen schützen.