BAMFÜber 25 Millionen Euro für eine Asyl-Blockchain

Fast die Hälfte der Asylverfahren werden mittlerweile mit Hilfe einer Blockchain verwaltet, zumindest von Registrierung bis Anhörung. Immer mehr Bundesländer nutzen das Assistenzsystem des Bundesamts für Migration und Flüchtlinge, die Behörde wird zunehmend zum Software-Anbieter.

Eine goldene Halskette, an den Rändern grau eingefärbt
Goldene Ketten sind besonders teuer (Symbolbild). – Gemeinfrei-ähnlich freigegeben durch unsplash.com Vishnu Prasad

Seit 2018 arbeitet das Bundesamt für Migration und Flüchtlinge an einem Blockchain-System, das mittlerweile den blumigen Namen FLORA trägt. FLORA, das steht für „Föderale Blockchain Infrastruktur Asyl“. Ziel des Assistenzsystems ist vor allem, verschiedene beteiligte Behörden bei „Registrierung, Aktenanlage und Anhörung“ zu unterstützen. Über das System sollen sie den Status von Asylverfahren abrufen können – zumindest in der Zeit zwischen der Registrierung etwa bei einer Ausländerbehörde und der Anhörung durch das BAMF.

2021 startete der Pilotbetrieb für FLORA, ab 2022 wurde das System produktiv genutzt – zuerst in Sachsen und Brandenburg. Mittlerweile kommt das Blockchain-Projekt zusätzlich in Rheinland-Pfalz, Baden-Württemberg, Niedersachsen, Mecklenburg-Vorpommern, Hessen und Thüringen zum Einsatz. „Derzeit werden ca. 47 Prozent der bundesweit bearbeiteten Asylverfahren mit Unterstützung durch FLORA durchgeführt“, so eine Sprecherin des BAMF gegenüber netzpolitik.org. Bayern, Nordrhein-Westfalen, Berlin und Sachsen-Anhalt sollen folgen, bis Ende 2027 soll die Anbindung der interessierten Länder abgeschlossen sein.

Ausbau der Funktionen liegt auf Eis

Eigentlich sollte die Blockchain-Lösung auf Basis des Open-Source-Frameworks Hyperledger Fabric nicht nur räumlich, sondern auch funktional noch weiter ausgebaut werden: beispielsweise auf die Verteilung von Geflüchteten auf Landkreise und Kommunen oder EU-weit bei der Koordination, welcher Mitgliedstaat für ein Asylverfahren zuständig ist. Doch diese Pläne, so das BAMF, liegen vorerst auf Eis. Oder wie die Behörde es ausdrückt: wurden „zurückgestellt“.

Grund dafür sei, dass die Priorität auf einem bundesweiten Roll-out des Systems liege. „Maßgeblich für diese Entscheidung“, so das BAMF, „waren die umfangreichen Haushaltskürzungen zu Beginn des Jahres 2024“. Damals fehlten im Kernhaushalt rund 17 Milliarden Euro, die von der damaligen Ampel-Regierung an verschiedenen Stellen gekürzt wurden. Dem fiel auch die funktionale Ausweitung des Blockchain-Projekts zum Opfer.

Alles netzpolitisch Relevante

Drei Mal pro Woche als Newsletter in deiner Inbox.

Jetzt abonnieren

FLORA indes hat sein ganz zu Beginn geplantes Budget schon seit langem gesprengt. 2019, nach der Machbarkeitsstudie, waren für das Projekt „Verwaltung von Asylprozessen in der Blockchain“ noch insgesamt 4,53 Millionen Euro veranschlagt gewesen. Mittlerweile liegen die Gesamtkosten für Entwicklung und Betrieb von FLORA bis Ende 2025 bei 25.710.867,50 Euro, das ist mehr als das Fünffache. Die ursprünglich geplanten Beträge waren schon 2020 erreicht, noch bevor es einen ersten Pilotbetrieb gab.

Der Aufwand, eine datenschutzkonforme, Blockchain-basierte Lösung für die Koordinierung von Prozessen zu konzipieren, die jede Menge personenbezogener Daten involvieren, war hoch. Juristen und Informatiker suchten nach Wegen, das zu realisieren. Sie erstellten Machbarkeitsstudien und Gutachten und am Ende lautete das Fazit – vereinfacht gesagt: Das ist eine Menge Aufwand, aber möglich. Dass es geht, hat das BAMF mittlerweile gezeigt. Dass das Projekt entsprechend teuer geworden ist, auch.

Die Bundesländer als „Kunden“

Die Kosten würden sich, so das BAMF, aus dem Roll-out und der Anbindung von Bundesländern ergeben. Außerdem habe es 2024 eine Neuentwicklung der FLORA-Cloudversion gegeben. In einem wissenschaftlichen Bericht von Forschenden der Universitäten von Luxembourg und Arkansas klingt an, was wohl den größeren Aufwand verursacht hat: Das BAMF hatte zu Beginn auf dezentrales Hosting von FLORA gesetzt und mehr Verantwortung bei den Bundesländern gesehen. Die Forschenden schreiben: „Diese Bemühungen gerieten jedoch ins Stocken, als die Bundesländer eine schnelle Einführung des FLORA-Systems forderten. Daraufhin beschloss das FLORA-Team, seinen (De-)Zentralisierungskompromiss weiter zu formalisieren.“

Die Länder wollten also offenbar nicht alles selbst machen, sondern am liebsten eine fertige Lösung nach ihren Anforderungen nutzen, schlüsselfertig und ohne Zusatzaufwand. Das BAMF übernahm so immer mehr Verantwortung für die FLORA-Infrastruktur, die Bundesländer wurden immer mehr zu „Kunden“ des Bundesamts – die Anpassungen bestellten, um ihre eigenen Prozesse abzubilden.

Zahlen müssen die Bundesländer dafür praktischerweise nicht. Das BAMF schreibt: „Hier entstehen für die Bundesländer keine eigenen Kosten, da das BAMF die Anwendung an die Anforderungen des einzelnen Bundeslands anpasst und die benötigte Infrastruktur zur Nutzung bereitstellt.“

Wir sind communityfinanziert

Unterstütze auch Du unsere Arbeit mit einer Spende.

Weitere Kosten, so die Sprecherin des BAMF, sind angefallen, weil die Reform des europäischen Asylsystems (GEAS) Änderungen im System erforderlich macht. Derartige Anpassungen werden in diesem Jahr weiterhin erforderlich sein, denn die nationale Umsetzung von GEAS in Deutschland ist längst nicht abgeschlossen. Obwohl die EU-Regeln ab Juni 2026 in allen EU-Staaten anwendbar sein sollen, hat Deutschland bisher seine Anpassungsgesetze nicht verabschiedet, sie liegen weiterhin zur Beratung im Bundestag.

Und bevor die genauen nationalen Regeln nicht klar sind, lassen sich die IT-Systeme nicht so einfach aktualisieren. Die Zeit wird knapp, es bleiben nur noch vier Monate. Die Bundesregierung sieht „eine erhebliche Herausforderung“ darin, die GEAS-Regelungen rechtzeitig umzusetzen, schrieb sie im Januar – was längst nicht nur FLORA betrifft, sondern eine Vielzahl von IT-Systemen von BAMF und anderen Behörden.

Interesse eingeschlafen

Das BAMF will unterdessen FLORA „zur Unterstützung des Fristenmanagements“ weiterentwickeln. Durch GEAS würden sich Bearbeitungsfristen für das BAMF „zum Teil deutlich verkürzen“. Wie lange die Fristen etwa zur Entscheidung von Asylanträgen letztlich in Deutschland sein werden, ist noch nicht festgelegt. Die EU-Regeln geben den Mitgliedstaaten einen Spielraum, die Details müssen in einem nationalen Gesetz definiert werden.

Auf europäischer Ebene, so wirkt es, ist das Interesse an der Asyl-Blockchain mittlerweile eingeschlafen. „Die Kontaktaufnahme mit anderen EU-Staaten wurde im Zuge der Neuausrichtung des Projekts zu Beginn 2024 zurückpriorisiert“, so das BAMF. Aktuell seien keine weiteren Aktivitäten bekannt oder Gespräche geplant“. Ein gemeinsames Projekt mit Frankreich, eine Blockchain-basierte Lösung für die Zuständigkeitsbestimmung von EU-Ländern im bisherigen Dublin-Verfahren zu nutzen, wurde eingestellt, „da das EU-Partnerland das Projekt nicht weiterbetrieben hat“.

Während der allgemeine Blockchain-Hype also deutlich abgeflacht ist, arbeitet das BAMF unbeirrt weiter an der Technologie. Und wird, wie es aussieht, auch in den nächsten Jahren jede Menge Support für die involvierten Bundesländer-Kunden leisten müssen.

Deine Spende für digitale Freiheitsrechte

Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich zu fast 100 Prozent aus den Spenden unserer Leser:innen.

4 Ergänzungen

  1. Ist das nicht völlig bescheuert?
    Das was nicht funktioniert, also die Identifikation, ist der Teil der mit Blockchain nichts bringt? Oder ist die Blockchain eine Ausrede für DNS-Sammlung? „Das geht dann ja nicht anders.“

  2. Mit 5 Mio € könnten Sie ein kleines On-Premise-Rechenzentrum aufbauen mit
    → ~100 Standard-Servern
    → mehreren GPU-Servern
    → Enterprise-Storage
    → kompletter Netzwerktechnik
    Bingo! ;-)
    Aber nicht wenn Beamte und Politiker noch daran viel verdienen oder das Startup eines
    begabten IT Fachmann / CEO stören und regulieren ! Deswegen geht ja unsere Wirtschaft seit Jahren nach unten und die der USA nach oben .Nicht erst seit Habeck.Das wäre unfair alles ihm anzulasten.
    In Krankenhäusern haben wir eine Über und Unterregulierung , was Lauterbach richtig anmerkte. Es mischen auf verschiedenen Ebenen einfach zuviele Menschen mit und das auch noch in den Ländern
    auf unterschiedlichste Weise. Was die BIg5Techs in SUA zuviel dürfen , das dürfen die unseren zu wenig.Da kann nie ein fairer Wettbewerb herrschen, noch schnell mal ein einfaches Onlineformular
    für die Polizei oder andere wartenden Behörden gebaut werden.

    Und nun scheitert der Staat selbst an der Entbürokratisierung , die lange beschlossen ist , da er dafür wieder Personal und einen Plan bräuchte! Aber mit 5.5 Mio Strafverfahren und 1 Mio offener und damit neuem Rekord sieht das düster aus! Wer die Gesetzte so ändert ,dass praktisch jeder Post im Netz schon zu einer Straftat ausgelegt werden kann, wenn der Richter das will oder politisch motiviert wurde, dann ist die Partei auch dran schuld für diesen Supergau an Straftaten.Gute Nacht Internet ! Schaltet besser alles ab ! Und selbes gilt für die analogen Meinungen an Beamte: falshes Wort ( ohne Beleidigung ) und schon bist du angezeigt! So hält man sich die Kritiker fern .Meint man zumindest.DIe Schäden die enstehen , die Familien und Firmen die darunter leiden , zahlt ja nur der Steuerzahler ! Auch deren Insolvenz. Die Gerichte sind ja auch da bestens überfüllt! Und die Justizminister aus Bayern jubeln : juhuuu mehr Umsätze durch Klagen …..die Wirtschaft boooomt !

  3. Eine einfache Blockchain zur Verwaltung von Behörden- bzw. Personaldaten (HR/Personalmanagement) kostet realistisch nicht über 25 Mio €, sondern – je nach Umfang – eher über 2–10 Mio € für Aufbau + erste Betriebsjahre.
    In Europa unterliegt so ein System u. a. der Datenschutz-Grundverordnung (DSGVO).
    Und genau hier liegt die größte Herausforderung: Unveränderlichkeit (Blockchain) vs. Recht auf Löschung.
    Deshalb wird in der Praxis fast nie eine „vollständige Personenakte“ auf die Blockchain geschrieben, sondern:
    Nur Hashes / Referenzen auf der Chain
    Die eigentlichen Personendaten in gesicherten Off-Chain-Datenbanken

    Konzeption & Architektur (6–9 Monate)
    IT-Architektenteam 300 000 – 600 000 €
    Datenschutz-Folgenabschätzung 100 000 – 250 000 €
    Juristische Beratung 150 000 – 400 000 €
    = ca ~0,5 – 1,2 Mio €

    1. „Und genau hier liegt die größte Herausforderung: Unveränderlichkeit (Blockchain) vs. Recht auf Löschung.“

      Kann sein, dass man einen europäischen Standard draus macht, was nicht mal so blöd wäre, dann hat man Schlüssel unter Verwaltung ausländischer oder europäischer Behörden. Dann ist es umsomehr eine Fragestellung. Hier würde aber nicht irgendein Dienstleister mit Schnitzen anfangen, sondern man sollte erst mal Protokolle und Hardwarefragen überlegen.

      Will man das richtig umsetzen, kommt man wohl nicht umhin, IDs für Datenbankeinträge bei Stelle XYZ in der Blockchain mitzuführen. Dann gibt es einen Prozess wo eine Stelle den Übergang signiert, so dass eine Rekonstruktion verbleibender Daten durchaus möglich wäre. Man muss also von Anfang an mit dem Bewusstsein der Löschung bestimmter Daten drangehen. Das wird mehr Aufwand. Es wird allerdings keine derart dezentrale Blockchain. Es wird nicht jede Streife an der Verhandlung teilnehmen, ob ein Eintrag jetzt gelöscht ist, oder nicht. Oder andersherum: würde dir Blockchain dazu führen, dass überall der der ganze Datensatz herumfliegt, wird es mit der Möglichkeit des Löschens dann nicht mehr so weit her sein. Würde man nur die IDs referenzieren, kann man im Feld mit den Daten nicht viel anfangen, falls die Verbindung mal weg ist, das wäre im europäischen Kontext auch kompliziert. Will man nur die absolut nötigen Daten herausgeben, müsste man es allerdings auf die IDs beschränken, dann funktionieren Löschnotizen natürlich, bzw. die Abfrage gibt einen Fehler. ABER, dann müssen die Kräfte so ausgerüstet sein, dass relativ dezentral die benötigten Daten durchaus vorhanden sind, sonst könnte ein Angreifer die europäische Strafverfolgung einfachst lahmlegen. Das wiederum bedeutet Hardware und Software im Feld, die die IDs mit durchschleppen. Das wird Milliarden kosten ;).

Wir freuen uns auf Deine Anmerkungen, Fragen, Korrekturen und inhaltlichen Ergänzungen zum Artikel. Bitte keine reinen Meinungsbeiträge! Unsere Regeln zur Veröffentlichung von Ergänzungen findest Du unter netzpolitik.org/kommentare. Deine E-Mail-Adresse wird nicht veröffentlicht.