Ready to Act: Warum digitale Kontrolle zur Systemfrage wird

Lesezeit: 4 Min.

Wer öffentliche IT betreibt, steht unter massivem Modernisierungsdruck. Bund, Länder und Kommunen sollen digitale Verwaltungsleistungen schneller bereitstellen, Fachverfahren modernisieren, sichere Cloud-Modelle nutzen, KI verantwortungsvoll einsetzen und gleichzeitig Bürger- und Verwaltungsdaten schützen. Für IT-Entscheider entsteht daraus eine zentrale Aufgabe: Sie müssen Digitalisierung ermöglichen, ohne die Kontrolle über Daten, Systeme, Zugriffe und Anbieterbeziehungen zu verlieren.

Die Digitalisierung der Verwaltung erfordert technische Kontrolle

Die öffentliche Verwaltung digitalisiert zentrale Leistungen, vernetzt Register, modernisiert Fachverfahren und baut neue digitale Zugänge für Bürger und Unternehmen auf. Das OZG-Änderungsgesetz soll die Verwaltungsdigitalisierung beschleunigen; künftig entsteht zudem ein Rechtsanspruch auf elektronischen Zugang zu Verwaltungsleistungen des Bundes, der vier Jahre nach Verkündung des Gesetzes greift. Damit wächst der Anspruch an öffentliche IT-Leistungen: Digitale Services müssen funktionieren und gleichzeitig rechtssicher, nachvollziehbar, barrierearm, integrationsfähig und langfristig betreibbar sein. Für IT-Teams bedeutet das, Geschwindigkeit mit Kontrollfähigkeit zu verbinden. Wer digitale Leistungen skaliert, muss wissen, wo Daten verarbeitet werden, wer Zugriff hat, welche Schnittstellen bestehen und wie sich Systeme bei Bedarf migrieren lassen.

Digitale Kontrolle ist ein Grundprinzip

Digitale Kontrolle bedeutet nicht, jede Technologie selbst zu entwickeln oder jede IT-Infrastruktur selbst zu betreiben. Entscheidend ist vielmehr, dass öffentliche Stellen jederzeit steuern können, wo Daten liegen, welche Rechtsräume gelten, welche Dienstleister beteiligt sind, wie Sicherheitsnachweise erbracht werden und ob ein Anbieterwechsel realistisch möglich bleibt. Die IT benötigt Kontrolle, Wahlfreiheit und Transparenz sowie die Fähigkeit, ihre digitale Infrastruktur selbstbestimmt weiterentwickeln zu können.

Warum öffentliche IT besonders betroffen ist

Öffentliche IT ist kein gewöhnliches Backoffice-System. Sie ist die digitale Grundlage für Meldewesen, Sozialleistungen, Gesundheitsdaten, Justiz, innere Sicherheit, kommunale Daseinsvorsorge, Energie, Verkehr, Wasser und Bildung. Werden hier Daten unklar verarbeitet, Schnittstellen geschlossen oder Betriebsmodelle intransparent gehalten, entsteht nicht nur ein technisches Risiko, sondern auch die Gefahr des Vertrauensverlusts in die staatliche Leistungsfähigkeit.

Modernisierung in der Verwaltung gelingt nur auf einem Fundament zukunftssicherer IT-Infrastrukturen. Vor dem Hintergrund stark steigender Cyberangriffe gewinnen hochverfügbare und geschützte Systeme entscheidende Bedeutung. Sensible Verwaltungsdaten stehen kontinuierlich im Fokus digitaler Bedrohungen. Die Cloud fungiert hierbei als zentraler Sicherheits- und Stabilitätsanker: Sie ermöglicht nicht nur durchdachte Backup-Strategien, sondern ist darauf ausgelegt, im Ernstfall die Wiederherstellung kritischer Prozesse und Daten an alternativen Standorten effektiv zu unterstützen.

Die Deutsche Verwaltungscloud (DVC) soll ein souveränes Cloud-Fundament der öffentlichen Verwaltung in Deutschland bilden; laut DVC sind bereits heute rund 70 DVC-konforme Cloud-Services verfügbar. Das Bundesministerium für Digitales und Staatsmodernisierung sieht die DVC als Weg zu gemeinsamen Standards und offenen Schnittstellen für Cloud-Lösungen in der öffentlichen Verwaltung, damit eine interoperable und modulare föderale Cloud-Infrastruktur entsteht. Für IT-Verantwortliche in Behörden, bei Landes-IT-Dienstleistern und in kommunalen Rechenzentren ergeben sich daraus praktische Fragen: Kann eine Fachanwendung in der Zukunft migriert werden? Sind Schnittstellen dokumentiert? Können Cloud-Services kombiniert werden? Sind Sicherheitsnachweise prüfbar? Gibt es klare Exit-Regeln? Genau diese Fragen entscheiden darüber, ob die IT langfristig handlungsfähig bleibt.

Wo digitale Kontrolle verloren geht

Digitale Abhängigkeit entsteht selten auf einen Schlag: Eine Fachabteilung braucht schnell eine Lösung, ein Cloud-Dienst wird pragmatisch eingeführt, ein Softwareanbieter liefert proprietäre Schnittstellen, ein Vertrag enthält keine klaren Exit-Regeln. Kurzfristig entsteht dadurch vielleicht Effizienz, langfristig kann daraus aber eine strukturelle Abhängigkeit werden. Gerade im öffentlichen Sektor verschärfen Vergabezyklen, föderale Zuständigkeiten, heterogene Altsysteme und ein hoher Nachweisdruck die Risiken. So sind zum Beispiel ein Bürgerportal, eine Registeranbindung oder ein KI-gestützter Verwaltungsprozess erst dann wirklich zukunftsfähig, wenn Datenflüsse nachvollziehbar sind, Schnittstellen offen bleiben, Sicherheitsanforderungen prüfbar sind und die Institution nicht dauerhaft an einen einzelnen Anbieter gebunden bleibt.

Neue Regulierung erhöht den Handlungsdruck

Die regulatorische Entwicklung macht digitale Kontrolle verbindlicher. Das deutsche NIS-2-Umsetzungsgesetz regelt unter anderem Risikomanagement-, Melde-, Registrierungs-, Nachweis- und Informationssicherheitspflichten. Für öffentliche IT bedeutet das: Informationssicherheitsmanagement, Meldeprozesse, technische Schutzmaßnahmen und Nachweisfähigkeit werden noch stärker zur Betriebsgrundlage. Auch der EU Data Act soll Nutzern und Organisationen mehr Kontrolle über ihre Daten geben. Für Cloud- und Datenverarbeitungsdienste adressiert er zudem Wechselmöglichkeiten, Interoperabilität und die Reduzierung von Lock-in-Effekten. Für die öffentliche Hand ist das ein klares Signal: Portabilität, Datenexporte, offene Schnittstellen und Exit-Szenarien gehören in jede strategische Entscheidung über Cloud und Plattformen.

Zusätzlich verschärft der Einsatz von KI die Anforderungen an die IT. Mit der schrittweisen Einführung des EU AI Act gilt für IT-Teams: KI-Systeme in der Verwaltung brauchen nachvollziehbare Datenflüsse, klare Rollen, Protokollierung, menschliche Aufsicht, überprüfbare Trainings- und Einsatzkonzepte sowie eine Governance, die Fachbereiche, Datenschutz, Informationssicherheit und Vergabe miteinander verbindet. Und schließlich betrifft der EU Cyber Resilience Act alle Produkte mit digitalen Elementen und ergänzt unter anderem die NIS-2-Richtlinie. Für die Beschaffung bedeutet das, Sicherheitsanforderungen an Software, Systeme und Lieferketten früher und verbindlicher zu prüfen.

Kontrolle beginnt im System und bei der Beschaffung

Digitale Kontrolle fängt nicht erst im Rechenzentrum an, sondern bereits bei Entscheidungen über die IT-Architektur, Ausschreibungen und Governance-Modellen. Öffentliche Auftraggeber sollten deshalb nicht nur Funktionalität und Preis bewerten, sondern auch Datenstandorte, Rechtsraum, Verschlüsselung, Auditierbarkeit, Schnittstellen, Exit-Szenarien, Unterauftragnehmer und Sicherheitsnachweise. Eine Cloud-Lösung ist für die öffentliche Hand dabei kein Tabu, benötigt aber klare Kontrollmechanismen: überprüfbare Sicherheitsnachweise, nachvollziehbare Betriebsmodelle, definierte Zuständigkeiten, dokumentierte Schnittstellen und einen IT-Architektur-Rahmen, der spätere Migrationen nicht blockiert.

Die Cloud-Lösung von Schwarz Digits wurde beispielsweise im Rahmen einer EU-weiten Ausschreibung als Bestandteil des Multi-Cloud-Portfolios für den GovTech-Deutschland-Rahmenvertrag ausgewählt. Gleichzeitig ist sie Bestandteil des GovDigital Rahmenvertrags sowie des EU Tenders der Europäischen Kommission. Für diese und weitere prüffähige IT-Entscheidungen sind Nachweise ausschlaggebend. STACKIT besitzt eine nach C5 Typ 2 testierte Infrastruktur sowie Zertifizierungen nach ISAE 3000 / SOC 2 und ISAE 3402. Damit sind die Mindestanforderungen, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) an sicheres Cloud Computing stellt, erfüllt. 

Souveräne Technologie als Enabler für souveräne IT-Entscheidungen

Für besonders schützenswerte staatliche Bereiche, KRITIS-Umfelder und die öffentliche Hand braucht digitale Kontrolle eine belastbare technologische Grundlage. Schwarz Digits adressiert diesen Bedarf mit einem Portfolio aus souveräner Cloud-Infrastruktur, zukunftsfähiger Cyber Security, Data & AI, sicheren Kommunikationslösungen und digitalen Arbeitsumgebungen. IT-Entscheider im Bereich B2G sollten zunächst digitale Abhängigkeiten systematisch erfassen: Cloud-Dienste, Fachverfahren, Identitätsdienste, Kommunikationsplattformen, KI-Anwendungen, Schnittstellen und Dienstleister. Welche Systeme werden genutzt? Welche Daten werden darin verarbeitet? Welche Prozesse hängen davon ab und welche Alternativen bestehen? Nach dieser Bestandsaufnahme sollten kritische Daten und Prozesse priorisiert werden. Bürgerdaten, Sicherheitsinformationen, KRITIS-nahe Prozesse, Registerdaten, digitale Identitäten und verwaltungsweite Basisdienste brauchen höhere Kontrollanforderungen als weniger sensible Anwendungen. Außerdem gehört die Forderung nach Interoperabilität in jede Ausschreibung: Offene Schnittstellen, dokumentierte Datenexporte, Exit-Regeln, transparente Datenstandorte und nachvollziehbare Sicherheitsnachweise sollten hierbei verbindliche Bewertungskriterien sein. Zusätzlich sollten souveräne Betriebsmodelle geprüft werden: europäische Cloud-Optionen, hybride Architekturen, föderale Cloud-Ansätze, Confidential Computing für besonders sensible Workloads sowie abgesicherte Kommunikations- und Kollaborationsumgebungen. Und schließlich braucht digitale Kontrolle auch Governance: Die Abteilungen für IT, Vergabe, Datenschutz und Informationssicherheit sowie die Fachbereiche und die Behördenleitung müssen gemeinsame Kriterien definieren, damit kurzfristige Projektentscheidungen nicht zu langfristigen Abhängigkeiten führen.

Öffentliche IT braucht Geschwindigkeit ohne Kontrollverlust

Die öffentliche Verwaltung muss digitaler, schneller und nutzerfreundlicher werden. Sie darf dabei jedoch nicht die Kontrolle über ihre digitale Grundlage verlieren. Gerade für IT-Teams im Bereich B2G ist digitale Souveränität deshalb kein politisches Schlagwort, sondern eine praktische System- und Betriebsaufgabe. Wer Datenflüsse kennt, Schnittstellen offenhält, Cloud-Dienste prüfbar auswählt, Sicherheitsanforderungen früh verankert und Exit-Szenarien realistisch plant, schafft die Basis für eine moderne Verwaltung. Wer diese Aufgaben vertagt, riskiert neue Abhängigkeiten an genau den Stellen, an denen staatliche Handlungsfähigkeit entstehen muss.

„Ready to Act“ bedeutet: bereit sein für eine Verwaltung, die digital schneller wird und dabei selbst entscheidet, worauf sie ihre Zukunft aufbaut.