GovImpact, ein Gemeinschaftsprojekt von DigitalService und NExT e. V., legte ein Policy Paper zur Umstellung auf souveräne Clouds in der Verwaltung vor. Dieses enthält praxisnahe Empfehlungen für die Überwindung bestehender Umsetzungsbarrieren, unter anderem mit einem Souveränitätsfonds und spezialisierten Teams, die vor Ort unterstützen, aber auch mit Empfehlungen für einen effektiveren IT-Zustimmungsvorbehalt und einen kulturellen Wandel in Vergabestellen.
Es gibt viele Gründe dafür, dass immer mehr Verwaltungen ihre IT-Dienste in die Cloud verlagern, z. B. die einfachere Skalierung bei Lastspitzen oder weil sie mangels Personal einen eigenen, sicheren Betrieb von Fachanwendungen nicht garantieren und mit dem Cloud-Betrieb externe Dienstleister beauftragen können.
Gleichzeitig ist gerade bei Cloud-Lösungen die digitale Abhängigkeit von großen Tech-Unternehmen riskant, denn werden Fachanwendungen einmal in einer Cloud betrieben, hängt ihre Verfügbarkeit vom Vorhandensein des Cloud-Zugriffs ab. Jede externe Cloud hat daher einen Killswitch, denn wird der Zugriff abgeklemmt, ist die eigene Anwendung samt darin befindlicher Daten nicht mehr nutzbar. Dieses Szenario galt lange als abwegig und spielte in Risikobewertungen keine Rolle. Das hat sich mit der Trump-Präsidentschaft geändert. US-Sanktionen könnten von einem Tag zum anderen die Betriebsfähigkeit der deutschen Wirtschaft und Verwaltung gefährden, z. B. wenn die Bereitstellung von Cloud-Diensten durch Hyperscaler sanktioniert wird. Deshalb ist digitale Souveränität in Deutschland und in der EU gerade beim Thema Cloud ein großes Thema.
GovImpact hat dazu das Policy Paper „Souveräne Cloud: Handlungsfähigkeit der Verwaltung stärken“ veröffentlicht, das präzise Barrieren identifiziert, an denen die Umsetzung souveräner Clouds in Verwaltungen oft scheitert, das aber auch konkrete Handlungsempfehlungen gibt, die diese Barrieren adressieren.
Jede gute Strategie braucht ein Lagebild als Basis
Der Weg hin zu mehr digitaler Souveränität ist steinig. Ein erstes Hindernis ist das fehlende Lagebild, denn man muss Abhängigkeiten und ihre Risiken kennen, um eine kluge Strategie zu entwickeln, die zum Ziel führt. Selbst für die sinnvolle Zielbestimmung braucht es ein Lagebild.
So fordert die Autorin des GovImpact-Policy-Papers, Anke Obendiek, ein „klares Lagebild von Abhängigkeiten“, mehr Transparenz und Messung von Souveränitätskriterien sowie eine Analyse der Lockin- Effekte als wichtige Voraussetzungen, um dem Ziel digitale Souveränität näher zu kommen. Das Policy Paper empfiehlt dafür die Erhebung von Daten aus dem IT-Zustimmungsvorbehalt (ITZV), die jedoch nur einen Blick in die Zukunft ermöglichen, nicht in den IT-Bestand. Dafür braucht es andere Prozesse, die das Dokument nicht näher beschreibt.
Auch wenn das genaue Ausmaß der Abhängigkeit aktuell nicht bestimmbar ist, ist es inzwischen Konsens, dass die Verwaltung zu abhängig von US-Hyperscalern ist. Dennoch stellt GovImpact fest, dass in der Praxis häufig ein verbreiteter Ressourcenmangel – finanziell und personell – sowie eine Überforderung durch komplexe Migrationsverfahren eine Ablösung von Diensten der Hyperscaler durch digital souveräne Clouds verhindert.
Das liege unter anderem daran, dass der Einsatz souveräner Lösungen mit einem höheren Integrations- und Personalaufwand einher gehe, weil den europäischen Clouds so manche Funktionalität der Hyperscaler-Konkurrenz noch fehle. Es mangele außerdem an „spezialisierter Expertise, um die damit verbundenen, langfristigen Risiken fundiert abzuwägen“, was am Ende dazu führe, dass All-inklusive Pakete der Hyperscaler im Vergleich risikoärmer erschienen.
Barriereabbau durch Souveränitätsfonds und Migrations-Teams
Um dem zweifachen Ressourcenmangel zu begegnen, schlagen die GovImpact-Partner NExT e. V. und DigitalService einen Souveränitätsfonds und sogenannte Roll-in-Teams vor. Der Souveränitätsfonds soll sich am Vorbild des Effizienzfonds der Modernisierungsagenda orientieren. Seine Mittel sollen nur dann fließen, wenn klare Souveränitätskriterien eingehalten werden, die zu messbarer Reduktion von Abhängigkeiten führen.
Dieser Fonds könnte durch seinen ganzheitlichen und langfristigen Fokus einen Ausgleich dafür schaffen, dass z. B. Open-Source-Projekte kurzfristige Nachteile bei der Betrachtung einer einzelnen Beschaffung haben können, obwohl es langfristig durch Nachnutzung in anderen Behörden und eingesparte Lizenzkosten erhebliche Einsparpotenziale für den Gesamthaushalt gibt.
Cloud-Umstieg mit Teamtransfer
Dem Mangel an geeigneten Fachkräften will GovImpact mit der Bereitstellung interdisziplinärer Roll-in-Teams begegnen, die den Umstieg auf souveräne Clouds (z. B. für Office- und Arbeitsplatzsysteme) mit standardisierten Migrationsprozessen unterstützen und gleichzeitig vor Ort Wissen für den eigenständigen Betrieb aufbauen. Einen Wissenstransfer vor allem zu Praxiserfahrungen sollen diese Teams auch über das jeweilige Behördenprojekt hinaus leisten – in „strukturierten Austauschräumen“ und mit einer Vernetzung über alle föderalen Ebenen hinweg.
Strategische Marktsteuerung durch souveräne Beschaffung
Mit dem IT-Zustimmungsvorbehalt hat das BMDS nach einer Analyse der Agora Digitale Transformation Einflussmöglichkeiten auch über die 40 Prozent der IT-Ausgaben, die außerhalb des BMDS verantwortet werden. Damit eine strategische Steuerung durch den ITZV aber wirksam ist, braucht es laut GovImpact mehr Transparenz und mehr Verbindlichkeit zu den Kriterien, nach denen er ausgeübt wird. Mit dieser Forderung stehen die Expertinnen und Experten, die an dem Dokument mitgewirkt haben, nicht allein, denn zu viel Intransparenz und einen Mangel an klar kommunizierten, verbindlichen Kriterien kritisierte auch der Bundesrechnungshof in seinem Bericht zur Verwaltungsdigitalisierung vom 31.07.2026. Dort steht auch dessen Einschätzung zur Wirkung der erstmaligen Anwendung des ITZV im Anmeldeverfahren für den Bundeshaushalt 2027: „Die Prüfung von über 3.000 IT-Vorhaben innerhalb von 28 Tagen erscheint unrealistisch“ – was implizit aussagt, dass aus Zeitmangel die meisten Anmeldungen ohne echte Prüfung durchgewunken werden.
Auch dieses Problem wird im Gov-Impact-Paper adressiert, wo eine Priorisierung der Prüfung und eine Fokussierung auf die drei Schwerpunkte Arbeitsplatzsoftware, Cloud-Infrastruktur und KI empfohlen wird, um, mit diesen Bereichen beginnend, wenigstens dort eine vollständige Steuerung ausüben zu können und dabei erst einmal Erfahrungen zu sammeln. Nach und nach könnten dann Prozesse etabliert und der ITZV auf weitere relevante Bereiche angewendet werden.
Neue Kompetenzen in Vergabestellen
Zu den weiteren Empfehlungen gehört ein interdisziplinärer Kompetenzmix in Vergabestellen, der zeitgemäßer ist und einen strategischen Einkauf für mehr digitale Souveränität überhaupt erst ermöglicht. Denn dazu braucht es nicht mehr nur Expertise aus Verwaltungswissenschaft und Vergaberecht, sondern eben auch Fachwissen zu IT-Architekturen.
Um das Potenzial des Deutschland- Stacks auch für souveräne Clouds voll auszuschöpfen, empfiehlt GovImpact mehr verbindliche Standards und eine Orientierung am Open-Source-Anteil als Erfolgsindikator, denn Open-Source -Software ermögliche nicht nur unabhängige Sicherheitsprüfungen, sondern reduziere auch neue proprietäre Abhängigkeiten und sichere eine europäische Anschlussfähigkeit offener Standards. Sei der Open-Source-Anteil zu gering, kämen diese Potenziale nicht effektiv zum Tragen.
Dort, wo der Einkauf nicht-souveräner Cloud-Dienste unvermeidlich ist, wird nach dem Vorbild Frankreichs eine Pflicht zur Erstellung von Exit-Strategien vorgeschlagen; diese müssten jedoch auch langfristige Kostenprognosen enthalten.
Klares politisches Mandat der Regierungsspitze erforderlich
Wie bei allen großen Veränderungen sind auch kulturelle Barrieren zu überwinden. Autorin Obendiek empfiehlt daher eine Veränderung der Entscheidungskultur und eine Umkehrung der Begründungspflicht bei Beschaffungsentscheidungen: „Wer sich für eine abhängige Lösung entscheidet, muss das damit verbundene Risiko rechtfertigen, nicht umgekehrt.“ Sie plädiert für eine kontinuierliche Rückendeckung für echte digitale Souveränität, auch durch die Regierungsspitze.
Das Policy Paper von GovImpact entstand unter Mitwirkung vieler Expertinnen und Experten, die sich dafür an Workshops, Umfragen und Interviews der beiden Kooperationspartner beteiligten. Zu den konsultierten Fachleuten gehörte auch unsere Autorin Anke Domscheit-Berg.
