Deutsche Behörden planen, Daten von Bürger:innen, Unternehmen und Wissenschaft zu großen Teilen in Clouds abzuspeichern: Fingerabdrücke, Ausweiskopien, Geburtsurkunden. Laut Cloud-Anbietern wie Microsoft, Google und Amazon könnten Behörden und Ämter erheblich Kosten einsparen. Doch schon jetzt zeichnet sich die Übermacht gerade der Microsoft-Cloud ab.
So zwingt der Tech-Gigant seine Anwender:innen erst, in die Cloud zu gehen. Das hat mit Microsofts neuem Geschäftsmodell zu tun. Die Bürosoftware Office 365 etwa steht ab dem Jahr 2029 nicht mehr als lokale Installation bereit. Ämter können sie dann nur noch über die Cloud nutzen. Microsofts Softwarelizenzierungen schließen allerdings schon jetzt nahezu den Wechsel zu einem anderen Cloud-Anbieter aus.
Mit der Deutschen Verwaltungscloud (DVC) will sich die öffentliche Verwaltung in Sachen Cloud breiter aufstellen und sich von US-amerikanischen Angeboten unabhängiger machen. Doch zeigt die Antwort der Bundesregierung auf eine Kleine Anfrage der Partei Die Linke: Die Microsoft-Cloud hat in der öffentlichen Verwaltung dennoch eine erfolgreiche Zukunft vor sich.
Wenn’s sein muss, haben wir eine Exit-Strategie
Heute geht die DVC in den Produktivbetrieb. Als „Meilenstein für die digitale Souveränität und die Modernisierung der öffentlichen Verwaltung“, bewirbt sie Ina-Maria Ulbrich, Staatssekretärin von Mecklenburg-Vorpommern und Vorsitzende des IT-Planungsrats.
Die DVC soll wie ein digitaler Marktplatz für Cloud-Lösungen verschiedener Anbieter funktionieren. Bund, Länder und Kommunen können hier bald, wenn alles nach Plan läuft, Angebote frei wählen und unkompliziert wechseln. Daneben stünden „souveräne und sichere Cloud-Services von IT-Dienstleistern der öffentlichen Verwaltung“ zur Auswahl, beispielsweise Speicherkapazitäten, Office- und Backup-Lösungen.
Was „digital souveräne“ Cloud-Lösungen sind, orientiere sich an der Definition des IT-Planungsrats (PDF): Eine Cloud sei dementsprechend dann souverän, wenn sie es dem Bund erlaubt, „selbstständig, selbstbestimmt und sicher“ zu agieren, schlussfolgert die Bundesregierung in ihrer Antwort.
Das Wort „selbstbestimmt“ suggeriert, es gehe darum, den Vendor-Lockin-Effekt zu vermeiden. Das bedeutet, dass man an einen bestimmten Anbieter gebunden ist und nur schwer von dessen Produkten loskommt. Doch der kommt in der Definition des IT-Planungsrats nicht vor und auch der Bund scheint ihm in seiner Antwort wenig Bedeutung beizumessen. Lediglich am Rand merkt er an, dass es eine Exit-Strategie brauche, um Lock-in-Effekte zu vermeiden. Dieser Anmerkung geht die explizite Frage der Fragesteller:innen nach, ob eine Exit-Strategie „für alle Cloud-Anwendungen“ geplant sei, „die nicht Open Source“ seien.
Microsoft-Hütchen-Spiel
Exit-Strategie heißt offenbar nicht, dass man versuche, einen Lock-in-Effekt von Vornherein zu vermeiden: Nach der Strategie zur DVC sollen perspektivisch Cloud-Services von Microsoft auf dem Marktplatz angeboten werden können. Die DVC sehe nämlich „die spezielle Rolle eines Integrators vor, um externe Marktangebote, dazu gehören auch proprietäre Angebote, bedarfsgerecht in die DVC einzubinden“, so die Bundesregierung in ihrer Antwort.
Sogenannte Integratoren seien IT-Dienstleister der öffentlichen Verwaltung, die „Angebote externer, auch verwaltungsfremder Cloud-Anbieter wie Hyperscaler nach DVC-Standards konfigurieren und so rechtssicher verfügbar machen“. Vereinfacht gesagt heißt das: Solange ein deutscher IT-Dienstleister die Microsoft-Cloud nachbaut und anbietet, gilt sie als souverän.
Damit spräche in der Bundesverwaltung nichts gegen die Delos-Cloud, für die sich Bundes-CIO Markus Richter einsetzt. Dabei handelt es sich um das Produkt der deutschen SAP-Tochter Delos Cloud GmbH. Es baut auf Microsoft Azure und Microsoft 365 auf und steht daher wiederum stark in der Kritik. „Selbstbestimmt tätig zu sein“, sei mit der Delos-Cloud nicht möglich, so die IT-Sicherheitsforscherin Bianca Kastl auf Mastodon.
Denn sie müsse „Microsofts Rahmenbedingungen eins zu eins nachbilden, um als ‚lokales und sicheres Office 365‘ lauffähig zu sein“. Bei Delos tausche man lediglich die US-Version von Microsofts Office 365 gegen eine deutsche Version aus. Ein Vendor-Lockin lasse sich damit nicht verhindern.
Cloud oder nicht Cloud
Der Delos-Cloud hatte der IT-Planungsrat letztes Jahr vorläufig eine Absage erteilt. In dem Gremium von Bund und Ländern gibt es auch kritische Stimmen zum umfassenden Einsatz von Cloud-Technologie. Schleswig-Holstein etwa hält das gegenüber netzpolitik.org nicht für einen notwendigen Schritt bei der „Modernisierung der Verwaltung“.
Öffentliche Verwaltungen hätten nur dann etwas von der Cloud, wenn sie Vorteile explizit für sich nutzen. Ein Vorteil läge darin, dass sie bei Bedarf Infrastruktur flexibel nutzen könnten, die sie nicht selbst vorhalten können. Gleichzeitig sehe man die Abhängigkeit von bestimmten Herstellern wie Microsoft als erheblichen Nachteil. Sie entzögen den Kunden den Betrieb, die Datenhaltung und die Software.
Es scheitert vielleicht auch an nicht vorhandener strategischer Ausrichtung der EU. Was ist mit Datenbanksystemen? Was mit Betriebssystemen? Chips?
Wir brauchen kein sinnloses Riesen-KI-Monstrum, es sei denn die Forschung sagt da einhellig, dass wir das für die Forschung brauchen. Die Basics brauchen wir viel mehr.