Digital unsouverän: Bundesregierung legt sich an Broadcoms Kette

Bundeskanzler Olaf Scholz (SPD) wirbt für eine Behörden-Cloud von SAP, Digitalminister Volker Wissing (FDP) entscheidet sich größtenteils gegen Open-Source-Software (OSS). Dabei hatte die Ampel-Regierung in ihrem Koalitionsvertrag im Jahr 2021 noch angekündigt, bevorzugt in offene staatliche Software investieren zu wollen. Drei Jahre später ist die Bilanz hier jedoch ernüchternd.

Somit fließen Gelder des Bundes weiterhin in proprietäre Software, wie auch das Beispiel der Virtualisierungssoftware VMware zeigt. Für deren Einsatz in der öffentlichen Verwaltung plant der Bund, bis zum Jahr 2025 bis zu 600 Millionen Euro auszugeben. Langfristig könnten die Kosten für den Bund noch deutlich anwachsen. Denn das gleichnamige Unternehmen wurde im Mai 2022 vom US-amerikanischen Chiphersteller Broadcom übernommen. Seitdem hat dieser das Angebot stark verändert und die Preise erhöht, was zu großem Ärger bei vielen Kunden und massiver Kritik seitens europäischer Nutzerverbände führte. Unsere Anfrage, was das Unternehmen auf diese Kritik entgegnet, ließ es unbeantwortet.

Dennoch sieht sich die Bundesregierung offenbar nicht dazu veranlasst, auf die Übernahme und die absehbaren Folgen zu reagieren. Nicht einmal eine Risikoanalyse hält sie allem Anschein nach für erforderlich. Dass sie damit eine noch größere Abhängigkeit von Broadcom geradezu in Kauf nimmt, belegen auch die Antworten der Bundesregierung auf eine Kleine Anfrage, die sie teils zur Verschlusssache erklärte und die wir veröffentlichen.

„Kunden monetär melken“

Die Abhängigkeit des Bundes von VMWare ist schon jetzt sehr hoch. Denn der Bund setzt die Virtualisierungssoftware in vielen seiner Rechenzentren ein.

Diese Rechenzentren betreibt als öffentlicher IT-Dienstleister das Informationstechnikzentrum Bund (ITZBund). Generell dient Virtualisierungssoftware dazu, IT-Ressourcen flexibler einsetzen zu können. So lassen sich damit mehrere Betriebssysteme auf einem physischen Server ausführen. VMware ist hier einer der größten Anbieter auf dem Markt, im vergangenen Jahr erzielte das Unternehmen einen Marktanteil von rund 45 Prozent.

Im Mai 2022 kündigte Broadcom an, VMware für 61 Milliarden US-Dollar zu übernehmen. Unmittelbar danach wurden mahnende Stimmen laut. So warnte etwa das US-amerikanische Marktforschungsunternehmen Forrester Research, dass die Übernahme negative Folgen für die VMware-Kunden haben werde. Bereits mit der Übernahme von CA Technologies im Jahr 2018 sowie von Symantec ein Jahr darauf habe Broadcom gezeigt, dass es vor allem daran interessiert sei, die Kunden monetär „zu melken“, während das Unternehmen den Support und die Weiterentwicklung der vertriebenen Software vernachlässige.

Tatsächlich mussten Kunden seit der Übernahme von VMware Ende 2023 drastische Preissteigerungen hinnehmen, teilweise um das Zwölffache. Das berichtet etwa der gemeinnützige Fachverband für Anbieter von Cloud-Infrastruktur in Europa (CISPE). Mit dem neuen Geschäftsmodell erwerben die Kunden zudem nicht wie bisher Lizenzen, sondern nutzen die Produkte über ein Abo-Modell. Inzwischen bietet Broadcom nur noch zwei Produkt-Bundles an, die jeweils ein bestimmtes Set an Funktionalitäten umfassen. Die Kunden müssen damit auch für Funktionen bezahlen, die sie nicht benötigen.

Mitgefangen, mitgehangen?

Zu den Kunden gehört auch die Bundesregierung. Im Mai wollte Anke Domscheit-Berg (Linke) in einer Kleinen Anfrage wissen, wie sich der Bund nach der Übernahme durch Broadcom gegen „mögliche Risiken für die digitale Souveränität, IT-Sicherheit und Grundversorgung“ wappnet.

Laut ihrer Antwort sieht die Bundesregierung erst einmal keinen Handlungsbedarf, auch wenn nicht klar sei, wie sich die Kosten entwickeln. Unsere Anfrage dazu an das Bundesinnenministerium blieb unbeantwortet. Lizenzverträge mit Drittanbietern bestünden bis 2027 zu den gleichen Konditionen wie vorher, ebenso gelten die Wartungsverträge unverändert fort. Außerdem sei VMware alternativlos, so die Regierung. Nicht nur fehle ein belastbares Produkt am Markt, auf das der Bund ausweichen könnte. Sondern ein Wechsel sei außerdem kompliziert sowie „technisch aufwändig, zeitintensiv und kostspielig“.

Holger Lehmann, Pressesprecher vom ITZBund und Leiter des Projekts IT-Konsolidierung Bund, erklärte gegenüber netzpolitik.org, dass seine Einrichtung permanent Alternativen prüfe. Allerdings müsse man „mit dem Markt zusammen agieren“, so Lehmann. „Es gibt nicht für alles wunderbare Alternativen. Wir betreiben kritische Infrastruktur, und was wir an Software einsetzen, muss massentauglich sein.“ Das sei bei Open Source mal mehr, mal weniger gegeben, so Lehmann.

Marco Gräf, Abteilungsleiter beim ITZBund und zuständig für Virtualisierung, weist darauf hin, dass der Betrieb kritischer Infrastruktur einen 24-Stunden-Support brauche. Kleinere Hersteller könnten dies häufig nicht leisten.

Das Beschaffungsamt des Bundesinnenministeriums schloss noch im November – und damit lange, nachdem die Übernahme durch Broadcom bekannt war – zwei Rahmenverträge „VMware für Bundesbehörden“ ab. Gesamtvolumen beider Verträge: mehr als 600 Millionen Euro. Bis Ende 2025 bindet sich der Bund damit noch enger an Broadcom, wie aus der Antwort der Bundesregierung hervorgeht.

Nutzung von VMware bei 80 Prozent

Vier Antworten auf die insgesamt 13 Fragen der Kleinen Anfrage hat die Bundesregierung zur Verschlusssache erklärt, „Nur für den Dienstgebrauch“ (NfD). Dazu gehört auch die Antwort auf die Frage, wie hoch sie die Abhängigkeit von VMware einstuft. Demnach macht die Nutzung von VMware 80 Prozent aller Virtualisierungslösungen in den drei Masterrechenzentren des Bundes aus. Das sind Rechenzentren, in die der Bund laut Digitalstrategie die einzelnen Rechenzentren der Bundesbehörden zusammenführen will.

Dass die hohe Abhängigkeit von einem Produkt problematisch ist, hat die Regierung offenbar erkannt. Sie strebt nach „digitaler Souveränität“ und verfolgt dafür unter anderem eine Multi-Cloud-Strategie. Indem sie so „Wahlmöglichkeiten sicherstellt und dadurch die Abhängigkeit von einzelnen Anbietern reduziert“, hat die Bundesregierung das Ziel, „Alternativen zu schaffen und einen offenen, wettbewerbsfähigen Markt zu unterstützen und zu gestalten“.

Digitale Souveränität ist ein gesetzlicher Auftrag des ITZBund. Dazu zielt der Dienstleister nicht auf Herstellerunabhängigkeit ab, sondern auf Wechselfähigkeit. Die technischen Systeme sind demnach so aufzubauen, dass ein Wechsel zu einem anderen Produkt oder Hersteller ohne größeren Aufwand möglich ist. In Bezug auf Virtualisierung bestehe diese bislang nicht, so Gräf, da es keine belastbaren Alternativen gebe, die gleiche Funktionalitäten abbilden.

Die Broadcom-Übernahme habe bei VMware allerdings bereits spürbare Folgen, sagte Gräf gegenüber netzpolitik.org. Seither gebe es zwar keine technischen Änderungen im Betrieb der Rechenzentren, jedoch sei schon zu merken, „dass der Managementbereich in Deutschland von VMware/Broadcom ja sehr ausgedünnt ist“.

Rechenzentren setzen zum Teil auf Open-Source-Lösungen

Zwar erklären die Bundesregierung und das ITZBund damit VMware-Produkte als alternativlos. Allerdings geht aus einer Antwort der Bundesregierung auch hervor, dass Rechenzentren und Ressorts andere Virtualisierungsmanagementlösungen nicht nur prüfen, sondern sich in Teilen auch bereits zu einem Wechsel hin zu Open-Source-Alternativen entschieden haben.

Als Alternativen gelten etwa Nutanix, Microsoft Hyper-V, Azure, GDC von Google, Citrix Xe-nServer oder auch Red Hat Openshift sowie die Open-Source-Lösung Proxmox VE. Letztere haben 26 der schätzungsweise 190 Rechenzentren des Bundes geprüft, fünf von ihnen planen den Umstieg auf Proxmox. Die Mehrheit der Rechenzentren plant keinen Umstieg, hat sich noch nicht entschieden oder befindet sich noch in der Prüfungsphase.

Die Bundesregierung agiert offenkundig planlos

Bei der Suche nach Alternativen gehen die Rechenzentren offenkundig auf eigene Faust vor. Der Bund verfolgt hier allem Anschein nach keine einheitliche Strategie. Ein erster Schritt könnte beispielsweise darin bestehen, mittels einer Machbarkeitsstudie zu prüfen, ob der Wechsel auf andere Produkte langfristig möglich ist.

Für eine solche Prüfung bleibt nicht mehr viel Zeit. Die bestehenden Verträge mit den Drittanbietern laufen 2025 und 2027 aus. Zu welchen Konditionen die Bundesregierung VMware-Produkte anschließend beziehen kann, ist derzeit unklar. Doch statt die drohenden Risiken zu analysieren und die technischen Folgen abzuschätzen, zeigt sich die Bundesregierung in ihrer Antwort ohne konkreten Plan. Anke Domscheit-Berg wirft ihr deshalb „schlechtes Risikomanagement“ vor.

Alternativen sind da

Hinzu kommt, dass eine Open-Source-Alternative zu VMware sogar vom Bund selbst vorangetrieben wird. So förderte das Bundesministerium für Wirtschaft und Klimaschutz für dreieinhalb Jahre das Open-Source-Projekt Sovereign Cloud Stack (SCS) – wenn auch mit nur insgesamt 13,2 Millionen Euro, so Kurt Garloff, Mitgründer des SCS. Zum Vergleich: Von 2019 bis 2024 gab die Bundesregierung für VMware-Lizenzen rund 460 Millionen Euro aus.

Garloff ist überzeugt, dass OpenStack-basierte Lösungen eine Alternative zu VMware sein könnten. SCS böte gerade für größere Umgebungen mit einem hohen Grad an Automatisierung eine Möglichkeit, sich von VMware zu lösen, so Garloff. „Wir haben anbieterübergreifende Standards etabliert, eine gemeinsame Implementierung erarbeitet und Wissen einfacher verfügbar gemacht“, erklärte Garloff gegenüber netzpolitik.org. „Das steigert die Qualität und senkt die Einstiegshürden“.

SCS habe sich in größeren Umgebungen bereits bewährt, beispielsweise in der BayernCloud Schule, auf die täglich hunderttausende Nutzer:innen zugreifen. Die Kosten seien kalkulierbar, außerdem werde die Lösung wie andere Open-Source-Lösungen von der Community mitgestaltet und weiterentwickelt. Das erhöhe nicht nur die Sicherheit (PDF), sondern mache die Software-Lösung auch zukunftsfest, so Garloff.

Hier die Antworten auf die Kleine Anfrage im Wortlaut:

Anlage 1 Kleine Anfrage, Drucksache 20/11457, Gruppe Die Linke, Frage 5a-c

In welchen der laut Kleiner Anfrage DS 20/3619 genannten 184 Rechenzentren (RZ) des Bundes und seitdem hinzugekommenen RZ des Bundes sind Produkte von VMware eingesetzt?
a) Für welche dieser RZ wurde oder wird ein Ersatz von VMWare durch ein Alternativprodukt geprüft?
b) Wo es solche Prüfungen gab – welche Alternativprodukte wurden dabei betrachtet?
c) Wo bereits für eine Alternative entschieden wurde – auf welches Produkt soll in welchem Zeitrahmen umgestiegen werden?

Anlage 2 Kleine Anfrage, Drucksache 20/11457 Gruppe Die Linke, Frage 5d

In welchen der laut Kleiner Anfrage DS 20/3619 genannten 184 Rechenzentren (RZ) des Bundes und seitdem hinzugekommenen RZ des Bundes sind Produkte von VMware eingesetzt?
d) Zusätzlich für die Master-RZ des Bundes – wie‘ hoch ist der Anteil (bezogen zum Beispiel auf Einheiten Rechenleistung) von VMware-Produkten zur Virtualisierung verglichen mit jeweils welchen anderen in Master-RZ des Bundes genutzten Virtualisierungslösungen?

zu 5 d): VMware ist als Hypervisor stark in der IT-Landschaft der Rechenzentren des ITZBund integriert. So liegt der Anteil von VMware-Produkten in den Masterrechenzentren bei ca. 80 % gegenüber anderen in den Masterrechenzentren verwendeten Virtualisierungslösungen.

Anlage 3 Kleine Anfrage, Drucksache 20/11457 Gruppe Die Linke, Frage 6

In welcher Art und Weise ist der Einsatz beziehungsweise der Austausch von VMware Produkten in der Umsetzung der IT-Konsolidierung berücksichtigt (wenn ja, bitte beschreiben in welcher Weise) und falls bisher nicht, ist die Berücksichtigung zeitnah geplant (wenn nein, bitte begründen, warum nicht)?

zu 6): In der IT-Konsolidierung Bund wurde beim ITZBund bis Anfang 2024 auf den VMware Hypervisor gesetzt. So wird das VMware-Produkt beim zentralen ITDienstleister ITZBund sowohl für die Cloudlösung der Bundesverwaltung „Bundescloud“; als auch für den Betrieb von virtuellen Maschinen eingesetzt. Ein Austausch von VMware wäre mit erheblichen Aufwänden verbunden. Siehe hierzu auch die Antwort auf Frage 5b.

Anlage 4 Kleine Anfrage, Drucksache 20/11457 Gruppe Die Linke, Frage 8 a) – b)

8: Wie bewertet die Bundesregierung ihre eigene Abhängigkeit im IT-Umfeld von VMware Produkten unter besonderer Berücksichtigung von
a) der quantitativen Verbreitung des Einsatzes von VMware Produkten in der ITdes Bundes und
b) der Möglichkeit, zeitnah (oder überhaupt) auf alternative Produkte umzustellen?

Zu 8 a): Die Bundesregierung sieht durchaus eine Abhängigkeit von VMware-Produkten. Ein großer Teil der Server läuft als virtuelle Maschine. Bei diesen vor-Ort-Lösungen („on-premises“) ist VMware der Anbieter mit den am weitesten verbreiteten und am besten unterstützten Produkten. Aber auch der Einsatz anderer Produkte von anderen Herstellern (selbst bei OpenSource-Lösungen) würde eine ähnliche Abhängigkeit nach sich ziehen

Zu 8 b): Die Umstellung von VMware auf ein anderes Produkt ist nicht trivial und unterliegt zahlreichen Abhängigkeiten. Die neben VMware eingesetzten Produkte sind in der eingesetzten Menge in keiner Weise mit dem auf VMware betriebenen Infrastrukturen vergleichbar. Die Möglichkeit, zeitnah auf ein alternatives Produkt umzustellen, besteht bei vielen Rechenzentren nicht. Ein Wechsel zu einem anderen Produkt ist ggf. möglich, jedoch technisch aufwändig, zeitintensiv und kostspielig. Die Möglichkeit einer Umstellung müsste vorerst im Rahmen einer Machbarkeitsstudie untersucht werden. Die eingesetzten Software-Produkte sind aktuell komplex in der betrieblichen IT-lnfrastruktur verzahnt, so dass etwaige Produktwechsel sehr wahrscheinlich mit neuen Vertragsschlüssen, Lizenzkosten, Aufwänden für Migration, Integration und Einarbeitung sowie ggf. auch mit Hardware-Kosten verbunden sind.

Insbesondere würde im Falle einer Umstellung das bei den Mitarbeitern über Jahre gesammelte Wissen und Know-how fehlen, das für ein neues Produkt mühsam neu erworben werden müsste. Ein Wechsel könnte auch dazu führen, dass gewisse Funktionalitäten entfallen, was das Zusammenspiel mit bestehenden Lösungen gefährde und Notbehelfe („workarounds“) erfordern könnte.

Teilweise befinden sich die Behörden in der Betriebskonsolidierung Bund (BKB) mit dem Ziel, zum ITZBund zu migrieren und dortige souveräne IT-Lösungen zu nutzen.

Darüber hinaus orientieren sich die Behörden an der Architekturrichtlinie für die IT des Bundes.

Im Rahmen der Konsolidierung von verschiedenen Services ist die Beschränkung auf Produkte ein und denselben Herstellers notwendig (in diesem Fall Vcenter, ESXI und Horizon). Diese Services sind in eine ganzheitliche IT-lnfrastruktur mit Schnittstellen zu Komponenten wie Konfigurationsmanagement, Backup/Archivierung, Automatisierung, Monitoring, Detektion/Prävention, usw. eingebunden. Eine Migration auf ein Konglomerat von Produkten unterschiedlicher Hersteller ist nicht sinnvoll und wäre kurzfristig nicht zu realisieren. Ungeachtet dessen haben einzelne Behörden erste Alternativbetrachtungen durchgeführt (z.B. Hyper-V, Proxmox).

Anlage 5 Kleine Anfrage, Drucksache 20/11457 Gruppe Die Linke, Frage 11

11: Mit welchen Zusatzkosten rechnet die Bundesregierung (grobe Schätzung) im Zusammenhang mit der genannten Unternehmensübernahme im laufenden sowie in den kommenden Haushaltsjahren, zum Beispiel durch geänderte Lizenzbedingungen, Kündigungsfristen, Umstieg auf Mietmode//e statt On-premise Lösungen, Wegfall von Bonus-Konditionen (PSO-Credits), Wegfall von Wartungsverträgen, Zwang zu Bündelprodukten, Dienstleistungen im Zusammenhang mit der Gewährleistung des Weiterbetriebs und der IT-Sicherheit, oder auch durch den Wechsel auf Produktalternativen und allgemein durch die Erhebung, Bewertung und Mitigierung der Risiken für den Bund?

zu 11: Die Zusatzkosten für den Bund im laufenden sowie in den kommenden Haushaltsjahren im Zusammenhang mit der Unternehmensübernahme sind aktuell unklar. Auf Grundlage bisheriger Aussagen der Firma Broadcom zur Weiterentwicklung der VMware-Produktpalette sowie des Vertriebs geht die Bundesregierung jedoch von zusätzlichen Kosten – u.a. auch durch den Wechsel auf Produktalternativen – aus. Die Prüfung der Produktalternativen ist noch nicht abgeschlossen und es können daher noch keine Kosten, die durch die Unternehmensübernahme oder einen Produktwechsel entstehen, abgeschätzt werden.

Die Zusatzkosten von neuen Lizenzen im aktuellen und kommenden Haushaltsjahr können darüber hinaus erst dargestellt werden, wenn die dazu benötigten Angebote durch die Vertragspartner vorgelegt wurden.

Die PSO Credits wurden in Broadcom eigene Credits gewandelt. Ob es dabei zu einem Wegfall von Konditionen gekommen ist, wird geprüft. Die abgeschlossenen Wartungsverträge haben aus Sicht des zentralen IT-Dienstleisters ITZBund weiterhin Bestand und wurden, Stand heute, nicht gekündigt. Grundsätzlich sieht das ITZBund den Zwang zu Bundles als kritisch an. Ein Wechsel auf Alternativprodukte wird betrachtet, ist aber für einen Großteil der betriebenen Infrastruktur nicht oder nur schwer umsetzbar (Siehe Antwort Frage 5).