Im September ist der eGovernment MONITOR 2026 erschienen, die jährliche Studie der Initiative D21 und der TU München. Wer wissen will, wie es um die OZG-Umsetzung steht, findet darin 48 Seiten Umfragewerte und keine einzige Zahl zum tatsächlichen Stand. Das ist kein Versehen, es ist das Konzept: Befragt wurden 8.091 Internetnutzer in Deutschland, wie sie die digitale Verwaltung erleben.

Ich arbeite als IT-Administrator in einer hessischen Gemeinde und lese solche Studien von der anderen Seite des Schalters. Von dort aus sehe ich zwei Dinge, die der Bericht nicht behandelt. Wir haben die Verwaltungsdigitalisierung am falschen Ende begonnen. Und niemand kann einer Kommune heute sagen, was sie der Betrieb in drei Jahren kostet.

Was der eGovernment MONITOR 2026 misst

Die Ergebnisse sind deutlich genug. Nur 32 Prozent haben großes Vertrauen in den Staat, ein Tiefstand. 15 Prozent sehen ihre Erwartungen an eine moderne digitale Verwaltung erfüllt, in Österreich sind es 32, in der Schweiz 45 Prozent. Die Hälfte der Befragten hat ihr letztes Behördenanliegen komplett offline erledigt, nur 26 Prozent komplett online.

Die Studie zieht daraus einen freundlichen Schluss: Das digitale Angebot sei besser als sein Ruf, man müsse es nur bekannter machen. Als Beleg dient die Zufriedenheit, 81 Prozent bei digitaler gegen 64 Prozent bei analoger Abwicklung. Ich halte das für einen Auswahleffekt. Online laufen die einfachen Fälle, und zwar dort, wo es ein funktionierendes Angebot gibt. Der Bauantrag mit drei Nachforderungen taucht in dieser Gruppe nicht auf.

Zur Einordnung gehört auch die Partnerliste. Accenture, Capgemini, EY, PwC, Huawei und ein gutes Dutzend weitere Unternehmen finanzieren die Studie und kommentieren sie in eigenen Kästen. Das macht die Zahlen nicht falsch. Es erklärt aber, warum die Empfehlungen nach Plattformen, KI und Wallet klingen und nicht nach Haushaltsrecht.

Wo die OZG-Umsetzung objektiv steht

Das Onlinezugangsgesetz von 2017 verpflichtete alle Behörden, ihre Verwaltungsleistungen bis Ende 2022 auch digital über Verwaltungsportale anzubieten. Geliefert wurde ein Bruchteil. Nach dem Behörden-Digimeter 2026 waren Anfang 2026 von 7.509 Einzelleistungen 823 bundesweit flächendeckend verfügbar, knapp elf Prozent.

Fairerweise: Auftraggeber ist die INSM, ein Lobbyverband der Arbeitgeber, erstellt hat es das Institut der deutschen Wirtschaft. Die Auswertung beruht aber auf den Daten des staatlichen „Dashboard Digitale Verwaltung“. Die Zählweise ist strenger als die offizielle, denn bisher galt ein Leistungsbündel schon als umgesetzt, wenn eine einzige Unterleistung digital verfügbar war. In der alten Zählung kam dasselbe Institut ein Jahr zuvor auf 196 von 575 Leistungen. Auch das ist ein Drittel und keine Hälfte.

Das Gefälle ist enorm. Nordrhein-Westfalen führt mit 21 Prozent landesweiter Abdeckung, im Saarland sind 85 Prozent der Leistungen in keiner einzigen Kommune online. Die Länder und Kommunen, bei denen es hakt, sind für drei Viertel der Leistungen zuständig.

Und die Frist? Die gibt es nicht mehr. Mit dem OZG 2.0, in Kraft seit dem 24. Juli 2024, hat der Gesetzgeber die Umsetzungsfrist gestrichen, ohne eine Nachfrist zu setzen. Begründung: Digitalisierung sei eine Daueraufgabe. Über fehlende Konsequenzen habe ich schon im Beitrag zum Digitalisierungskiller „Haben wir schon immer so gemacht“ geschrieben. Eine Frist rückwirkend zu streichen, ist die konsequenteste Form davon.

Ende-zu-Ende-Digitalisierung: Am falschen Ende angefangen

Das OZG heißt Onlinezugangsgesetz, und genau das regelt es: den Zugang. Verpflichtend wurde das Formular im Netz. Was dahinter passiert, blieb jeder Behörde selbst überlassen.

Wie das in der Praxis aussieht, steht in einem Newsletter des hessischen Digitalministeriums. Bei einer Veranstaltung zur Taxi- und Mietwagengenehmigung ging es um volldigitalisierte Lösungen mit Schnittstelle zum Fachverfahren und, als Alternative, um die Umsetzung des OZG über die Postkorblösung. Der Antrag kommt also digital an und liegt dann in einem Postfach. Formal ist das OZG damit erfüllt.

Der Bürger merkt den Unterschied sofort. Laut Monitor endet fast jedes zweite online begonnene Anliegen in einem Medienbruch, und 68 Prozent der Betroffenen hätten es lieber komplett digital erledigt. 51 Prozent sagen, die Digitalisierung der Verwaltung habe in ihrem Alltag kaum oder gar nichts verändert. Wie auch, wenn die Bearbeitung so lange dauert wie vorher.

Ich bin überzeugt, dass die umgekehrte Reihenfolge mehr gebracht hätte: erst E-Akte, Fachverfahren mit Schnittstellen und saubere Register, dann der Antrag im Netz. Dann wäre der Online-Antrag schneller gewesen als der Gang aufs Amt, und das hätte jeder gesehen. Ein Einwand ist berechtigt: Österreich hat nicht nacheinander gebaut, sondern Register, Identität und Oberfläche parallel. Mein Vorwurf lautet deshalb genauer, dass Deutschland den Zugang zur Pflicht gemacht hat und das Backend zur Kür.

Sechzehn Länder, viele Projekte, keine zentrale Anlaufstelle

Wer als Kommune eine Online-Leistung einführen will, muss erst einmal suchen. Der Bund führt eine eigene Übersichtsseite dazu, welche Regeln für die Nachnutzung in welchem Land gelten: eigene Ansprechstellen, eigene Marktplätze, eigene Finanzierungsmodalitäten, sechzehnmal. Allein in Hessen begegnen mir civento, das Verwaltungsportal, der Portalverbund, der FIT-Store der FITKO, das Servicekonto und die BundID.

Die Zuständigkeit ist ähnlich verteilt. Dass in Hessen Digitalministerium, Innenministerium und Finanzministerium an derselben Aufgabe arbeiten, habe ich im Artikel über das Digitalministerium Hessen beschrieben. Bei den Online-Diensten kommt ein viertes Haus dazu: Für vier Dienste aus Hamburg will das Wirtschaftsministerium die Nachnutzungsverträge schließen.

Das „Einer für Alle“-Prinzip, kurz EfA, sollte das lösen: Ein Land entwickelt, alle nutzen nach. Aus meiner Sicht hat es das Problem verschoben. Denselben Verwaltungsprozess gibt es weiterhin in mehreren Fassungen von verschiedenen Anbietern, und jede Kommune muss ihre Fachverfahren einzeln anbinden.

Der IT-Planungsrat hat das inzwischen selbst untersuchen lassen. Eine Machbarkeitsstudie vom April 2026 stellt fest, dass Online-Dienste von Kommunen kaum nachgenutzt werden. Sie schlägt eine föderale Antragsplattform vor, die alle bundesgesetzlichen Verwaltungsleistungen zentral bereitstellt. Neun Jahre nach dem OZG steht die zentrale Plattform also in einer Machbarkeitsstudie.

Die Bürger sind da weiter als die Politik. 65 Prozent ist laut Monitor egal, ob Gemeinde, Land oder Bund eine Leistung organisiert. 62 Prozent wollen eine einheitliche digitale Identität statt eines Baukastens.

EfA-Betriebskosten: Die Rechnung kommt später

Dieselbe Studie des IT-Planungsrats enthält die Zahl, die in keinem Grußwort vorkommt. Den Entwicklungskosten eines EfA-Dienstes stehen etwa das 1,5-fache an Betriebskosten, das 7,5-fache an Anschlusskosten und das 15-fache an Kosten für Fachverfahren gegenüber.

Rechnet man das zusammen, macht die Entwicklung ein Fünfundzwanzigstel der Gesamtkosten aus, also vier Prozent (eigene Rechnung: 1 + 1,5 + 7,5 + 15 = 25). Gefördert und gefeiert wurde jahrelang dieser kleinste Teil. Die übrigen 96 Prozent fallen dort an, wo die Dienste laufen sollen: in den Kommunen.

Bisher fängt das Land vieles ab. Hessen übernahm für 2023 und 2024 die Betriebskosten kommunaler EfA-Verfahren bis zu 3,9 Millionen Euro pro Jahr. Für die aktuelle Welle mit fünf Leistungen gilt: Den Kommunen entstehen im Jahr 2026 weder Kosten für die technische Integration noch für die Mitnutzung. Im Jahr 2026. Für 2027 steht dort nichts.

Wie belastbar solche Zusagen sind, schreibt das Land selbst. Für die Hamburger Dienste will das Wirtschaftsministerium die Kosten in die Haushaltsplanung aufnehmen und den Dienst weiter zentral finanzieren, „solange ausreichend Mittel bewilligt werden“. Das ist ehrlich formuliert. Es ist aber keine Grundlage, auf der eine Gemeinde einen Haushalt aufstellen kann.

Denn die Pflicht bleibt, auch wenn die Förderung endet. Keine Kommune, die ich kenne, kann heute beziffern, was Anbindung, Betrieb und Fachverfahren für alle Pflichtleistungen zusammen kosten würden. Bezahlen könnten es viele ohnehin nicht. Dass vom Sondervermögen des Bundes nur rund 12 Prozent bei den Kommunen ankommen, passt ins Bild. Der Monitor schweigt dazu komplett. Finanzierung kommt in seinen vier Handlungsfeldern nicht vor.

Was Bund und Land dagegenhalten

Es wäre unfair zu behaupten, es passiere nichts. In Hessen gibt es seit 2025 eine Kompetenzstelle als zentrale Anlaufstelle für die kommunale Verwaltungsdigitalisierung, getragen von Land und Spitzenverbänden. Der Bund finanziert Roll-in-Teams, im Gegenzug wollen Hessen und Bayern bis Ende 2026 fünf Online-Dienste landesweit einführen. In Hessen sind nach Angaben des Ministeriums rund 300 Kommunen angebunden, die übrigen folgen in mehreren Wellen. Im Haushaltsentwurf des Bundes ist rund eine Milliarde Euro für Verwaltungsdigitalisierung vorgesehen.

Auch der Monitor ist nicht blind. Er fordert, dass Anträge verwaltungsintern ohne Ausdruck weiterverarbeitet werden, und FITKO-Präsident André Göbel wirbt darin für mehr Standardisierung.

Mich überzeugt das trotzdem nur halb. Fünf Leistungen bis Ende 2026 sind vier Jahre nach Fristablauf kein Durchbruch. Ein Pilot, eine Kompetenzstelle und ein jährlich neu verhandelter Zuschuss ersetzen weder eine gemeinsame Plattform noch eine Finanzierung, die länger hält als ein Haushaltsjahr.

Was das für Ihre Kommune heißt

Wenn Sie in einer Verwaltung Verantwortung tragen, würde ich drei Dinge tun.

Stellen Sie zusammen, welche Online-Dienste Sie nutzen und wer jeweils welche Kosten bis wann trägt. Bei den meisten wird hinter dem Kostenträger eine Jahreszahl stehen. Diese Liste gehört in die Haushaltsberatung, nicht in die IT-Abteilung.

Fragen Sie bei jeder neuen Anbindung, ob der Antrag im Fachverfahren landet oder im Postkorb. Ein Dienst ohne Schnittstelle spart dem Bürger den Weg und Ihnen nichts.

Und fragen Sie Ihr Land schriftlich, wie die Betriebskosten ab 2027 finanziert werden. Die Antwort ist auch dann aufschlussreich, wenn sie ausbleibt.

Fazit

Der eGovernment MONITOR 2026 beschreibt die Symptome genau: Vertrauen auf dem Tiefstand, die Hälfte der Anliegen offline, Medienbrüche gegen den Willen der Bürger. Bei den Ursachen bleibt er an der Oberfläche und empfiehlt bessere Auffindbarkeit und mehr Kommunikation. Die Ursachen liegen tiefer: ein Gesetz, das den Zugang regelt und nicht die Bearbeitung, sechzehn Länder mit eigenen Wegen, und eine Finanzierung, die jedes Jahr neu verhandelt wird.

Deshalb meine Forderungen: Verwaltungsinterne Digitalisierung muss Pflicht werden, nicht nur das Formular davor. Bundesgesetzliche Leistungen gehören auf eine zentrale Plattform, schlüsselfertig für die Kommunen. Und wer Kommunen gesetzlich verpflichtet, muss den Betrieb dauerhaft bezahlen.

Wenn Sie Gemeindevertreter oder Bürgermeister sind: Stellen Sie die Frage nach den Kosten ab 2027 jetzt, in der Haushaltsberatung. Später kommt sie als Rechnung.

Quellen:

• Initiative D21 / TU München: eGovernment MONITOR 2026 (September 2026);
• INSM / IW Köln: Behörden-Digimeter 2026, Pressemitteilung (12.03.2026);
• Hessisches Ministerium für Digitalisierung und Innovation: Newsletter Digital-Kommunal Mai 2026 und Juni 2025;
• Hessisches Digitalministerium: Land Hessen weitet Unterstützung der Kommunen bei OZG-Umsetzung aus (Januar 2023);
• Kommune21: Kommunen scheuen EfA-Kosten (17.04.2026), zur Machbarkeitsstudie „Einmal für Alle!“ des IT-Planungsrats (Langfassung 15.12.2025);
• Kommune21: Schub für die digitale Verwaltung (26.01.2026);
• Kommune21: Kommunale Verwaltungsdigitalisierung wird gestärkt (15.01.2025);
• GvW Graf von Westphalen: OZG 2.0 in Kraft getreten (September 2024);
• NWB Experten-Blog: Bundestag beschließt Änderungen des Onlinezugangsgesetzes (2024)

Der Deutsche Städte- und Gemeindebund hat ein Statement seines Präsidenten Ralph Spiegler zur kommunalen Resilienz veröffentlicht. Anlass sind die Ereignisse am Flughafen Leipzig/Halle, abgegeben wurde es gegenüber dem Redaktionsnetzwerk Deutschland, auf der Verbandsseite steht es unter dem 24. August 2026. Er ist damit der Nächste in einer längeren Reihe. Vor ihm waren es der hessische Innenminister, sein Staatssekretär und ein IT-Dienstleister in der Fachpresse.

Ich betreue die IT einer Gemeinde und habe zu diesem Thema in den vergangenen Wochen zweimal geschrieben: in „Null von 421“ und in „Hackback? Schließt erst mal die eigene Haustür ab“. Deshalb lese ich das Statement mit einer einfachen Frage. Was davon verpflichtet irgendjemanden zu irgendetwas, und wen?

Erst kommt, was drinsteht. Dann der Vergleich mit dem, was hier schon stand. Dann meine Bewertung, und am Ende ein Blick auf eine ältere Pressemitteilung desselben Verbands, die zu diesem Statement nicht passen will.

Was der DStGB nach dem Drohnenfund von Leipzig fordert

Zum Anlass: Nach Angaben der Bundesanwaltschaft sollte am Abend des 4. August 2026 auf dem Gelände des Flughafens Leipzig/Halle mit einer Drohne eine Explosion verursacht werden, an der Drohne waren professioneller Sprengstoff und ein Zünder angebracht. Die Behörde hat das Verfahren am 6. August übernommen. Ein kleiner Einschub zur Datierung: Das Statement spricht von Ereignissen „in der vergangenen Woche“. Es dürfte also älter sein als das Datum auf der Verbandsseite.

Das Statement hat 304 Wörter. Daraus lassen sich sechs Forderungen lesen:

1. Kommunale Infrastrukturen wie Energie- und Wasserversorgung sollen in Krisen handlungsfähig bleiben, ihr Schutz sei gemeinsame Aufgabe von Bund, Ländern und Kommunen.
2. Es brauche ausfallsichere Kommunikation, gemeinsame Lageübungen und regelmäßig erprobte Verfahren.
3. Städte und Gemeinden sollen verbindlich in sicherheitsrelevante Lagebilder eingebunden werden, mit festen Meldestrukturen, klaren Ansprechpartnern und gesicherten Kanälen.
4. Beschäftigte sollen geschult und sensibilisiert werden, damit sie ungewöhnliche Vorfälle erkennen und Meldeketten auslösen.
5. Kommunen sollen früh in Sicherheits- und Krisenvorsorgeplanungen einbezogen werden.
6. Bund und Länder sollen die Kommunen beim Schutz Kritischer Infrastrukturen dauerhaft mit Personal, Geld und Technik unterstützen.

Jeden dieser Sätze würde ich unterschreiben. Interessant ist, was eine Wortzählung ergibt. Das Wort „verbindlich“ kommt genau einmal vor, und zwar bei dem, was andere den Kommunen schulden. Die Wörter Cyber, IT, digital, Informationssicherheit, Verwaltung und Standard kommen nicht vor. Ein Eurobetrag, eine Frist oder eine Kennzahl auch nicht.

Schutz Kritischer Infrastrukturen: Das Rathaus kommt nicht vor

Das Statement redet durchgehend vom Schutz Kritischer Infrastrukturen, viermal in vier Absätzen. Dafür gibt es inzwischen ein Gesetz. Das KRITIS-Dachgesetz ist am 17. März 2026 ganz überwiegend in Kraft getreten, wie der nordrhein-westfälische Landesverband des DStGB seinen Mitgliedern mitgeteilt hat.

Nur erfasst es die typische Gemeinde nicht. Als Regelwert nennt § 5 des Gesetzes 500.000 von einer Anlage zu versorgende Einwohner. Ein Wasserwerk, das 8.000 Menschen versorgt, erreicht diesen Wert nie. Welche Anlagen im Einzelnen dazugehören, regelt eine Rechtsverordnung, die nach der Auswertung von Christopher Helm am 7. September nur als Referentenentwurf vom 26. Mai 2026 vorlag. Ob sich daran seither etwas geändert hat, konnte ich nicht prüfen.

Bleibt die Verwaltung selbst, also Melderegister, Standesamt, Sozialakten, Wahlen. Das hessische Innenministerium schreibt auf seiner eigenen Seite, dass die Länder sich bei der NIS-2-Umsetzung dagegen ausgesprochen haben, die Kommunalverwaltung einzubeziehen, und dass Hessen den Anwendungsbereich nicht auf die Kommunen erstreckt hat. Das Ministerium nennt das „unisono“. In Hessen gibt es 421 Gemeinden. Für die Verwaltung keiner einzigen gilt eine gesetzliche Mindestanforderung an die Informationssicherheit.

Der Verband fordert also Schutz für einen Bereich, in dem die meisten seiner Mitglieder rechtlich gar nicht vorkommen. Und über den Bereich, in dem sie alle vorkommen, verliert er kein Wort.

Meldewege und Lagebild: eine Einbahnstraße von oben nach unten

Die konkreteste Forderung im Text betrifft Informationen. Sicherheitsbehörden sollen ihre Erkenntnisse schnell und verlässlich an die Kommunen weitergeben. Das ist berechtigt. Wenn eine Sicherheitsbehörde etwas über Ausspähversuche an Wasserwerken weiß, nützt das Wissen in Wiesbaden oder Berlin niemandem.

Ein Lagebild entsteht aber aus zwei Richtungen. Im Hackback-Artikel stand dazu der Satz: „Was unten nicht gemeldet werden muss, kommt oben nicht an.“ Solange eine Gemeinde einen IT-Sicherheitsvorfall niemandem melden muss, hat die Stelle, die das Lagebild erstellen soll, keine Daten aus der Fläche. Der DStGB verlangt die Lieferung nach unten und schweigt zur Lieferung nach oben.

Das ist die bequeme Hälfte der Forderung. Die unbequeme wäre eine Meldepflicht für die eigenen Mitglieder.

Der Vergleich: DStGB-Forderungen und was hier schon stand

Wo wir übereinstimmen: Übungen, Schulungen, feste Ansprechpartner, dauerhaftes Geld. Das stand bei mir in anderen Worten, und ich nehme davon nichts zurück.

Wo wir auseinanderliegen: Der Verband beschreibt Resilienz als etwas, das den Kommunen geliefert wird. Ich habe sie als etwas beschrieben, das Kommunen schulden und wofür sie bezahlt werden müssen. In „Null von 421“ hieß das: „Pflicht und Finanzierung im selben Gesetz.“ Im Statement steht die Finanzierung. Die Pflicht fehlt.

Warum der Verband keine Mindeststandards fordert

Die Gegenposition verdient eine faire Wiedergabe, und sie kommt aus dem Verband selbst. Der Städte- und Gemeindebund NRW hat im März 2026 neue BSI-Hinweise zu NIS-2 kommentiert. Die Hinweise stützten die Einschätzung von DStGB und StGB NRW, dass Kommunalverwaltungen grundsätzlich nicht vom NIS-2-Anwendungsbereich erfasst sind. Dann folgt das Argument: Eine gesetzliche Verpflichtung verbessere das Schutzniveau noch nicht, sie „verlagert lediglich Verantwortung“. Kernproblem sei die fehlende Finanzierung, nötig sei eine föderale Cybersicherheitsarchitektur aus Bundesmitteln.

Das ist kein dummes Argument. Ein Paragraf patcht keinen Server. Wer einer Gemeinde ohne Administrator ein ISMS vorschreibt und kein Geld mitschickt, produziert Papier und einen haftenden Bürgermeister. Ich habe das selbst eine unbezahlte Zumutung genannt.

Trotzdem trägt es aus drei Gründen nicht.

Erstens liegt die Verantwortung längst bei der Kommune. Wenn das Rathaus verschlüsselt ist, steht der Bürgermeister vor der Presse, mit oder ohne Gesetz. Ein Standard würde ihm erstmals sagen, was genug ist.

Zweitens ist die Pflicht der Hebel für das Geld. Konnexität heißt: Wer bestellt, bezahlt. Wo nichts bestellt wird, gibt es keinen Anspruch. Der Verband bittet um Unterstützung, wo er einen Ausgleich einfordern könnte.

Drittens hat es ein anderer kommunaler Spitzenverband anders gemacht. Der Deutsche Landkreistag hatte sich 2023 in einem Schreiben an IT-Planungsrat und Innenministerkonferenz für die Einbeziehung der Landkreise ausgesprochen. Sein Digitalreferent Christian Stuffrein schrieb dazu: „Dass die kommunale Ebene Verbindlichkeit fordert, ist die Ausnahme.“ Länder, die sich hinter dem Konnexitätsprinzip versteckten, würden die Probleme nur fortschreiben. Eine vergleichbare Forderung des DStGB auf Bundesebene habe ich nicht gefunden.

Digital only: Im April wollte derselbe Verband das Papier abschaffen

Vier Monate vor dem Resilienz-Statement hat der DStGB eine Pressemitteilung seines Digitalisierungsausschusses veröffentlicht. Sie stammt vom 28. April 2026 und berichtet von der Frühjahrstagung in Ellwangen, bei der Oberbürgermeister Andreas Feller aus Schwandorf zum Vorsitzenden gewählt wurde. Feller bekennt sich darin zum Grundsatz Digital Only und sagt: „Verwaltungsprozesse müssen in Zukunft ausschließlich digital abgewickelt werden.“

Fairerweise: Feller betont, dass damit kein reiner Online-Zugang gemeint ist und die Rathäuser weiter allen helfen, die persönlich kommen. Sein Ziel ist der Abbau der Doppelstrukturen aus analogen und digitalen Prozessen, weil sie Zeit und Geld kosten. Das ist ein berechtigtes Ziel. Wer je ein Fachverfahren und die Papierakte parallel gepflegt hat, weiß das.

Zwei Dinge fallen im Vergleich mit dem August-Statement trotzdem auf. Auch der Ausschuss verwendet das Wort „verbindlich“, und zwar für eine föderale IT-Architektur, die der Bund gemeinsam mit den Ländern entwickeln soll. Wieder richtet es sich an die anderen. Und Cybersicherheit erscheint in der Pressemitteilung nur als eines der weiteren Tagungsthemen, als koordiniertes Vorgehen von Bund, Ländern und Kommunen. Eine Forderung dazu steht nicht drin.

Jetzt meine Bewertung, und sie ist eine Schlussfolgerung, keine Aussage des Verbands. Der analoge Prozess ist heute in vielen Rathäusern die einzige Rückfallebene. Wenn er als Doppelstruktur verschwindet, bedeutet ein Ausfall der IT den Ausfall der Verwaltung. Dann braucht die IT genau die Mindeststandards, Notfallkonzepte und Wiederanlaufpläne, die der Verband nicht fordert. Im April sollte alles digital werden, im August alles resilient. In keinem der beiden Texte steht, wie das eine das andere aushalten soll.

Was das für Ihre Gemeinde bedeutet

Das Statement ändert für Sie nichts. Es ist eine Pressemeldung, kein Programm. Fünf Dinge können Sie aber ohne Bund und Land erledigen, und zwar diese Woche.

Prüfen Sie die „klaren Ansprechpartner“ bei sich selbst. Liegt im Rathaus eine Liste auf Papier mit den Nummern von Leitstelle, Kreisverwaltung, IT-Dienstleister und Polizei? Weiß die Vertretung, wo sie liegt?

Klären Sie den zweiten Kommunikationsweg. Wenn Mailserver und Telefonanlage am selben Netz hängen, sind bei einem Vorfall beide weg. Ein Satz privater Mobilnummern und ein vereinbarter Messenger sind keine Architektur, aber besser als nichts.

Üben Sie einen Nachmittag lang. Szenario: Montag, sieben Uhr, kein System fährt hoch. Wer ruft wen an, wer entscheidet, was das Bürgerbüro den Leuten sagt? Sie werden nach einer Stunde mehr Lücken kennen als nach jedem Audit.

Schreiben Sie auf, welche Leistungen Sie ohne IT noch erbringen können. Bevor ein Papierprozess als Doppelstruktur abgeschafft wird, sollte jemand entscheiden, was ihn im Notfall ersetzt. Bisher entscheidet das meist niemand.

Und prüfen Sie Ihren Eigenbetrieb. Der StGB NRW weist darauf hin, dass es Kommunen nur bedingt hilft, wenn ein Betrieb die Schwellenwerte erreicht und kein von der Verwaltung getrenntes IT-System hat. Das BSI bietet dafür eine Betroffenheitsprüfung an.

Fazit

Falsch ist an dem Statement nichts. Es ist an der Stelle unvollständig, an der es den Verband etwas kosten würde. Sechs Forderungen richten sich an Bund, Länder und Sicherheitsbehörden, keine an die eigenen Mitglieder. Ein Verband, der Resilienz als Baustein nationaler Sicherheit bezeichnet und zugleich die Verwaltung ausschließlich digital betreiben will, müsste sagen können, welches Schutzniveau ein Rathaus mindestens haben soll.

Ich verstehe die Sorge vor Pflichten ohne Geld. Ich teile sie. Aber Geld ohne Pflicht ist bisher nicht gekommen, und es wird auch nach diesem Statement nicht kommen.

Schreiben Sie Ihrem Bürgermeister oder direkt dem Landesverband Ihres Städte- und Gemeindebunds. Fragen Sie, ob der Verband landesrechtliche Mindeststandards mit Konnexitätsausgleich fordert, und wenn nein, warum nicht. In Hessen dürfen Sie die Frage gleich an Ihren Landtagsabgeordneten weiterreichen. Die Zahl dazu kennen Sie: null von 421.

Quellen:

• DStGB, Statement „Kommunale Resilienz“ (24.08.2026),
• DStGB, Pressemitteilung des Ausschusses für Digitalisierung (28.04.2026),
• Generalbundesanwalt, Pressemitteilung zum Drohnenfund (06.08.2026),
• Hessisches Innenministerium, NIS-2: Hessische Kommunen (abgerufen 03.10.2026),
• Hessisches Innenministerium, Gemeinden und Landkreise (abgerufen 03.10.2026),
• StGB NRW, Kritis-Dachgesetz in Kraft getreten (25.03.2026),
• StGB NRW, Neue BSI-Hinweise zu NIS-2 (25.03.2026),
• Christian Stuffrein, Deutscher Landkreistag, Standpunkt im Tagesspiegel Background (23.11.2023),
• Christopher Helm, KRITIS-Schwellenwert und fehlende Verordnung (07.09.2026, Sekundärquelle)

Das Digitalministerium Hessen ist seit Januar 2024 ein eigenständiges Ressort. Die Cybersicherheit liegt trotzdem beim Innenministerium, und der IT-Dienstleister des Landes gehört zum Finanzministerium. Drei Häuser für eine Aufgabe, bei der seit Jahren alle von Konsolidierung und Standardisierung reden.

Anlass für diesen Text ist ein Bericht aus dem Nachbarland. Der Niedersächsische Landesrechnungshof hat in einer Beratenden Äußerung festgestellt, dass die Landes-IT dort trotz Fortschritten zu uneinheitlich ist und zu langsam vorankommt, wie der Behörden Spiegel am 30. September berichtet. Die Diagnose passt auf Hessen erstaunlich gut, nur dass hier noch niemand sie so deutlich gestellt hat.

Ich arbeite als IT-Administrator in einer hessischen Gemeinde und frage mich seit einer Weile, wofür das Wiesbadener Digitalministerium eigentlich die Verantwortung trägt. Also habe ich nachgesehen.

Was der Landesrechnungshof Niedersachsen zur Verwaltungsdigitalisierung sagt

Die Prüfer beschreiben ein bekanntes Bild. Niedersachsens Behörden arbeiten mit vielen unterschiedlichen IT-Systemen, die häufig nebeneinander statt miteinander laufen; Daten werden mehrfach erfasst und gepflegt, was Fehler und höhere Kosten verursacht. Vizepräsidentin Andrea Schröder-Ehlers fasst es so zusammen: „Jedes Ressort braucht gute digitale Lösungen“, aber eben nicht jedes eine eigene IT-Landschaft.

Interessant ist, was der Rechnungshof daraus folgert. Niedersachsen hat vor gut einem Jahr IT und Digitalisierung im Innenministerium gebündelt und eine Digital-Staatssekretärin berufen. Das reicht den Prüfern nicht. Die verantwortliche Stelle brauche klare Durchsetzungsrechte gegenüber den Ministerien und den nachgeordneten Behörden, dazu strikte Umsetzungsfristen und ein Umsetzungscontrolling.

Neu ist das alles nicht. Schon 2023 verlangte der Rechnungshof, die Steuerungs- und Entscheidungsstruktur für IT und Verwaltungsdigitalisierung zentral und ressortübergreifend zu bündeln. Drei Jahre später steht derselbe Satz wieder im Bericht, nur mit dem Wort „Durchsetzungsrechte“ ergänzt. Das ist die eigentliche Lehre: Eine zuständige Stelle zu benennen ist leicht. Ihr zu erlauben, einem anderen Ressort etwas vorzuschreiben, ist die Hürde.

Wer in Hessen wofür zuständig ist

In Hessen verteilt sich die Landes-IT auf drei Ministerien. Der Reihe nach.

Das Hessische Ministerium für Digitalisierung und Innovation (HMD) stellt die CIO des Landes. Louisa Solonar-Unterasinger leitet dort die Abteilung Verwaltungsdigitalisierung, landesweite IT-Projekte und IT-Planungsrat und wurde für die Dauer der Legislatur zur CIO ernannt. Dazu kommen OZG-Umsetzung, Breitband- und Mobilfunkausbau, KI-Themen und Förderprogramme für Kommunen.

Der Chief Information Security Officer sitzt woanders. Ralf Stettner leitet die Abteilung VI „Informations- und Cybersicherheit“ im Innenministerium und ist CISO der Landesverwaltung. Auch das Hessen CyberCompetenceCenter gehört dorthin: Das Hessen3C wurde 2019 im Innenministerium gegründet und bündelt Informationen von Polizei, Verfassungsschutz, CERT-Verbund und Nationalem Cyber-Abwehrzentrum. Seit einem Erlass vom 25.10.2023 ist es zugleich das Zentrum für Informationssicherheit nach dem Hessischen IT-Sicherheitsgesetz.

Und dann die Hessische Zentrale für Datenverarbeitung (HZD), die den Betrieb macht: Rechenzentren, Arbeitsplätze, Netze, Beschaffung. Sie untersteht der Dienst- und Fachaufsicht des Finanzministeriums.

Eine Personalie zeigt, wie künstlich die Trennlinie ist. Stettner war von Ende 2018 bis Anfang 2024 CISO und leitete im Innenministerium die Abteilung „Cyber- und IT-Sicherheit und Verwaltungsdigitalisierung“, war dann bis Ende 2024 CIO im Digitalministerium und ging anschließend als CISO zurück. Bis 2024 lagen Sicherheit und Verwaltungsdigitalisierung also in einer Abteilung. Mit der Gründung des eigenständigen Ministeriums wurden sie auseinandergezogen.

Die HZD bleibt im Finanzministerium

Der Plan war ein anderer. Mit dem Zuständigkeitsbeschluss der Landesregierung vom 5. März 2024 bekam das HMD die Dienst- und allgemeine Fachaufsicht über die HZD eingeräumt, die Steuer-IT ausgenommen. Ministerin Kristina Sinemus erklärte damals im Gespräch mit dem Hessischen Industrie- und Handelskammertag, mit der zusammengeführten OZG-Steuerung und der Aufsicht über die HZD lägen die zentralen Aufgaben der Verwaltungsdigitalisierung in der Hand ihres Ministeriums.

Daraus wurde nichts. Die Belegschaft warnte in einer Petition mit über 600 Unterschriften vor ineffizienten Doppelstrukturen durch eine Aufspaltung. Am 25. September 2025 wurde im Landtagsausschuss für Digitales, Innovation und Datenschutz bekanntgegeben, dass die HZD vorerst im Finanzministerium bleibt. So steht es in einer Pressemitteilung der FDP-Fraktion, also einer Oppositionsquelle. Deren digitalpolitischer Sprecher Oliver Stirböck sieht das Digitalministerium nun ohne nachgeordneten Bereich dastehen und die Regierung „vor dem digitalpolitischen Nichts“.

Den Ton muss man nicht übernehmen. Der Befund stimmt trotzdem: Ein Ministerium, das Standards setzen soll, hat keinen Zugriff auf den Betrieb, in dem diese Standards umgesetzt werden.

Was für getrennte Zuständigkeiten spricht

Fairerweise: Die Aufteilung ist nicht bloß Zufall oder Besitzstandswahrung.

Dass der CISO nicht der CIO untersteht, ist gewollt und fachlich richtig. Wer Sicherheit kontrolliert, soll nicht demselben Chef berichten wie die, die er kontrolliert. Das verlangt der BSI-Grundschutz auch von jeder Kommune, wenn sie einen Informationssicherheitsbeauftragten bestellt. Hinzu kommt die Nähe zu Polizei und Verfassungsschutz, die das Hessen3C für sein Lagebild braucht und die ein Digitalministerium nicht bieten kann.

Bei der HZD ist das Argument ein anderes. Ein großer Teil ihrer Arbeit ist Steuer-IT, und die gehört wegen Steuergeheimnis und Länderverbund zum Finanzressort. Die Beschäftigten wollten keinen zerschnittenen Betrieb, und damit hatten sie recht. Ein in zwei Hälften geteilter Dienstleister wäre schlechter gewesen als der Status quo.

Nur folgt daraus nicht, dass alles bleiben muss, wie es ist. Die Unabhängigkeit des CISO lässt sich auch innerhalb eines Hauses sichern, etwa durch ein direktes Vortragsrecht bei der Hausleitung. Und wenn die HZD als Einheit erhalten bleiben soll, hätte man sie auch als Einheit dem Digitalministerium zuordnen und dem Finanzministerium die Fachaufsicht über die Steuerverfahren lassen können. Diese Variante wurde fast zwei Jahre geprüft und dann verworfen.

Zentrale IT-Steuerung braucht Durchsetzungsrechte

Zurück zur Ausgangsfrage: Ist das Digitalministerium Hessen nur ein Aushängeschild für OZG und Förderbescheide?

Ganz so einfach ist es nicht. CIO-Funktion, IT-Planungsrat und OZG-Steuerung sind echte Aufgaben. Der Breitbandausbau auch. Aber gemessen an dem, was der niedersächsische Rechnungshof für nötig hält, fehlen dem Haus die beiden Dinge, auf die es ankommt: der operative Unterbau und das Recht, anderen Ressorts verbindliche Vorgaben zu machen. Ob die CIO gegenüber dem Kultus- oder Justizressort mehr durchsetzen kann als gute Argumente, konnte ich aus öffentlichen Quellen nicht klären. Ich vermute: nein.

Niedersachsen zeigt dabei, dass die Zahl der Ministerien gar nicht der Kern ist. Dort liegt alles in einem Haus, und es hakt trotzdem. Ein eigenes Digitalministerium kann sinnvoll sein, wenn es Budget, Betrieb und Weisungsbefugnis in IT-Fragen hat. Ohne das ist es eine Koordinierungsstelle mit Ministerrang. Hessen hat sich für das Ministerium entschieden und ihm danach die Werkzeuge nicht gegeben.

Was die Aufteilung für Kommunen bedeutet

In der Gemeinde kommt diese Struktur als Zuständigkeitsfrage an. Für Sicherheitsvorfälle und Präventionsangebote wende ich mich an das Innenministerium. Dessen „Aktionsprogramm Kommunale Cybersicherheit“ unterstützt die 442 hessischen Kommunen mit modularen Formaten. Für Fördermittel zur Digitalisierung ist das Digitalministerium die Adresse. Über das Programm „Starke Heimat Hessen“ standen von 2020 bis 2024 jährlich rund 16 Millionen Euro für die Digitalisierung der kommunalen Daseinsvorsorge bereit.

Wie diese Förderung in der Praxis funktioniert, zeigt ein Beispiel. Gefördert wird, was den Bürgern zugutekommt und innovativ ist. Abholboxen für Ausweisdokumente erfüllen das erste Kriterium ohne Diskussion: Wer seinen Personalausweis abends nach der Arbeit aus einem Fach vor dem Rathaus holen kann, muss sich dafür keinen halben Tag freinehmen. Vier Kommunen haben solche Boxen gefördert bekommen. Die fünfte bekommt sie nicht mehr, weil die Idee dann nicht mehr innovativ genug ist.

Man muss sich das kurz vor Augen führen. Dieselbe Box, derselbe Nutzen, andere Bürger, und das Land sagt nein, weil vier andere Gemeinden schneller waren. Überspitzt gesagt müsste man die Box lila anstreichen und Blinklichter anschrauben, damit sie wieder als Innovation durchgeht. So kommt Förderpolitik bei uns an: als Willkür.

Fairerweise: Ein Innovationsprogramm soll Piloten finanzieren und nicht die Fläche. Das ist als Förderlogik vertretbar. Aber dann fehlt der zweite Schritt. Wenn vier Pilotkommunen gezeigt haben, dass etwas funktioniert, müsste daraus ein Standard werden, mit Rahmenvertrag, Sicherheitsvorgaben und einer Regelfinanzierung für die übrigen Kommunen. Diesen Weg vom Piloten zum Standard gibt es nicht. Es bleibt bei vier Leuchttürmen, und die anderen Kommunen zahlen selbst oder lassen es.

Hier schließt sich der Kreis zur Ausgangsfrage. Ein Ministerium mit operativem Unterbau und Durchsetzungsrechten könnte aus einem erfolgreichen Piloten eine Landeslösung machen. Ein Ministerium, das vor allem Bescheide überreicht, kann den nächsten Piloten fördern.

Fazit

Hessen hat ein Digitalministerium mit CIO, aber ohne Rechenzentrum und ohne Zuständigkeit für Sicherheit. Das Innenministerium hat die Sicherheit, das Finanzministerium den Betrieb. Wer es mit Konsolidierung ernst meint, muss entweder die Zuständigkeiten zusammenlegen oder der CIO verbindliche Durchsetzungsrechte gegenüber allen Ressorts geben. Der Rechnungshof in Hildesheim hat das für Niedersachsen aufgeschrieben. Für Hessen steht es noch aus. Solange das so bleibt, werden in Hessen Abholboxen nach Neuigkeitswert gefördert und nicht nach Nutzen.

Der Hessische Rechnungshof könnte das prüfen, und der Digitalausschuss des Landtags könnte danach fragen. Wenn Sie in einer hessischen Kommune arbeiten: Schreiben Sie Ihrem Landtagsabgeordneten und fragen Sie, wer in Wiesbaden einem Ressort eine IT-Vorgabe machen darf, die es nicht will. Die Antwort würde mich interessieren.

Quellen:

• Behörden Spiegel, „Jedes Ressort braucht gute digitale Lösungen“ (30.09.2026);
• Niedersächsischer Landesrechnungshof, Pressemitteilung „IT in Niedersachsen: Denn sie tun nicht, was sie wissen…“ (2023);
• Hessisches Ministerium für Digitalisierung und Innovation, „CIO und CISO der Landesregierung neu besetzt“ (04.04.2025);
• Hessische Staatskanzlei, 2. Bericht zum Stand der Verwaltungsmodernisierung (1. Halbjahr 2025);
• Hessisches Innenministerium, Themenseite Cyber- und IT-Sicherheit;
• hessen.de, „Cybersicherheit in Hessen: Gefährdungslage 2024 weiterhin hoch“;
• HIHK, Interview mit Kristina Sinemus (2024);
• FDP-Fraktion Hessen, Pressemitteilung Stirböck (25.09.2025);
• move-online/Kommune21, „CIO und CISO neu besetzt“ (07.04.2025);
• Wikipedia, „Hessische Zentrale für Datenverarbeitung“ (Petition, aktuelle Aufsicht)

Am 26. September 2026 hat Außenminister Johann Wadephul vor der UN-Generalversammlung gesprochen. Er vertrat dabei Bundeskanzler Merz, der selbst nicht nach New York gereist ist. Die Rede ist auf der Seite des Auswärtigen Amts in englischer Fassung nachlesbar, und wer sie liest, findet vor allem eins: Fragen. Wer kontrolliert KI? Wer setzt die Regeln? Wer haftet? Gute Fragen. Ich stelle sie mir beruflich auch, wenn ein Fachverfahrenshersteller mir ein „KI-Feature“ andrehen will.

Ich schreibe hier als IT-Admin einer Kommune. Das färbt den Blick, und das soll man merken. Trotzdem zuerst die Fakten, dann die Meinung. Der Leser soll erkennen können, wo der Bericht aufhört und die Polemik anfängt.

Was Wadephul vor der UN-Generalversammlung 2026 gesagt hat

Die Rede beginnt mit einem Gedankenexperiment: Atomwaffen, entwickelt von Privatfirmen, gelagert auf dem Werksgelände, die Startcodes im Safe des Vorstandsvorsitzenden. Daraus leitet Wadephul die drei Fragen ab, die den Rest der Rede tragen sollen. Dann folgt der übliche Dreiklang einer Generaldebatten-Rede: Frieden und Sicherheit (Ukraine, Haiti, Sudan), faire Kooperation statt Nationalismus, und als drittes die großen globalen Fragen, allen voran KI.

Der KI-Teil ist der einzige Abschnitt mit einem konkreten Vorschlag. Deutschland ruft die UN-Mitgliedstaaten zu gemeinsamen Sicherheitsanforderungen für die leistungsfähigsten KI-Modelle auf: verpflichtende Tests vor der Veröffentlichung, eine Meldepflicht für schwere Sicherheitsvorfälle, nationale und regionale Aufsicht. Freiwillige Selbstverpflichtungen der KI-Unternehmen reichten nicht, es brauche Transparenz und gemeinsame Standards. Der Satz, den man sich merken soll, lautet sinngemäß: Macht muss an Verantwortung gebunden sein.

Zur EU steht in der Rede genau ein Halbsatz, im Kontext von Handelsabkommen. Zur Reform des Sicherheitsrats: Man müsse sie „hoch auf der Agenda halten“. Welche Reform, mit welchem deutschen Ziel, bleibt offen. Der neue UN-Generalsekretär soll einen tiefgreifenden Reformprozess leiten; António Guterres scheidet Ende 2026 aus.

Der Kontext: Trump, Guterres und die Superintelligenz

Man muss die Rede vor dem lesen, was vier Tage vorher passiert ist. Trump sprach am 22. September vor derselben Generalversammlung und lehnte jedes „globalistische Kontrollsystem“ für KI ab. Nebenbei verkündete er, dass Artificial Intelligence künftig „Super Intelligence“ heißen soll, auch in Dokumenten der US-Regierung. Das ist keine Satire, das ist das Protokoll.

UN-Generalsekretär Guterres hatte zur Eröffnung eine strengere Kontrolle von KI gefordert, Macron warb vor der Generalversammlung dafür, dass niemand zum Vasallen einer der Großmächte werden solle, und der Sicherheitsrat beriet am Mittwoch über Grenzen für die Technologie. Laut WirtschaftsWoche hatten Amodei, Altman und Musk gut eine Woche zuvor gemeinsam gefordert, das Entwicklungstempo zu drosseln. Wenn also selbst die Hersteller nach Regeln rufen, ist Wadephuls Forderung nach verbindlichen Tests keine Avantgarde. Sie ist Mainstream mit Verspätung.

Fairerweise: Sie ist trotzdem eine klare Positionierung gegen die US-Linie, ausgesprochen in New York, mit der amerikanischen Delegation im Saal. Das hätte man auch weglassen können. Hat Wadephul nicht.

KI-Regulierung fordern und den AI Act vertagen

Jetzt wird es interessant, denn der Außenminister fordert vor der UN etwas, das die EU längst hat. Die KI-Verordnung, der AI Act, ist seit August 2024 in Kraft. Sie kennt verbotene Praktiken, Pflichten für Anbieter von Basismodellen, Transparenzpflichten und ein Hochrisiko-Regime für Systeme, die zum Beispiel in Behörden über Menschen entscheiden. Genau das, was Wadephul weltweit will: testen, dokumentieren, melden, beaufsichtigen.

Und was hat Europa mit diesem Instrument im Sommer 2026 gemacht? Der Digital Omnibus on AI wurde als Verordnung (EU) 2026/1744 am 8. Juli 2026 erlassen und gilt seit dem 27. Juli 2026. Er hat vier Fristen des AI Act verschoben: Anhang III auf den 2. Dezember 2027, Anhang I auf den 2. August 2028, die nationalen Reallabore auf den 2. August 2027 und die Inhaltskennzeichnung auf den 2. Dezember 2026. Anhang III, das sind unter anderem die Systeme für Verwaltung, Bildung, Beschäftigung und Strafverfolgung. Also die, die mich betreffen.

Die offizielle Begründung ist nicht erfunden: Die harmonisierten Normen für Konformitätsbewertungen nach Art. 40 waren zur ursprünglichen Frist im August 2026 nicht fertig. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte hatten in ihrer Stellungnahme 1/2026 für eine möglichst kurze Verschiebung plädiert. Herausgekommen sind sechzehn Monate für Anhang III und zwei Jahre für Anhang I. Das ist nicht „möglichst kurz“. Das ist das, was die Wirtschaftsverbände wollten; der BVDW hatte laut Lobbyregister eine planungssichere Verlängerung der Hochrisiko-Frist gefordert und hat sie bekommen.

Ich will hier nicht behaupten, Berlin habe das allein durchgedrückt. Das Europäische Parlament stimmte im März 2026 mit 569 zu 45 Stimmen bei 23 Enthaltungen zu, das war ein breiter Konsens. Aber die Bundesregierung hat auch nicht dagegen gekämpft. Und dann steht ihr Außenminister zwei Monate nach Inkrafttreten der Verschiebung in New York und erklärt der Welt, dass freiwillige Selbstverpflichtungen nicht reichen. Das ist die Pointe, die in keinem Agenturbericht zur Rede steht.

Merz‘ Europapolitik: Führung wird angekündigt, nicht ausgeübt

Der zweite Befund betrifft die EU, und hier lohnt der Blick über die Rede hinaus. Die NZZ beschreibt, wie Merz nach Jahren deutscher Passivität eine Führungsrolle in der EU beansprucht, bislang aber nur eine konkrete Initiative unternommen hat und damit gescheitert ist. Der Föderalist zieht nach einem Jahr Bilanz und nennt Deutschland eine schlafende Mittelmacht, ohne Rückkehr zu einem europapolitischen Leitbild. Das Ifri sieht die deutsch-französischen Beziehungen seit Anfang 2026 in einer Phase grundlegender Divergenzen.

Was der Kanzler stattdessen tut: Bei der Karlspreis-Verleihung an Mario Draghi hat er gemeinsame europäische Schulden erneut ausgeschlossen und die EU-Haushaltspolitik „geradezu planwirtschaftlich“ genannt. Man kann das für richtig halten. Führung ist es nicht. Führung wäre, einen eigenen Vorschlag auf den Tisch zu legen, wie Europa seine KI-Infrastruktur, seine Rechenzentren, seine Modelle finanziert, damit Macrons Satz vom Vasallentum nicht das letzte Wort bleibt. Wadephuls Rede erwähnt Zugang zu Rechenleistung, Daten, Expertise und Infrastruktur als Machtfrage. Richtig erkannt. Und dann kommt: nichts. Kein Betrag, kein Projekt, kein Zeitplan.

Das ist der eigentliche Skandal. Nicht dass Wadephul Fragen stellt, sondern dass die Antworten seit Jahren bekannt sind und in Sonntagsreden gut aufgehoben scheinen: offene Standards, offene Modelle, europäische Cloud-Infrastruktur unter öffentlicher Kontrolle, Beschaffungsregeln, die Herstellerabhängigkeit bestrafen statt belohnen. Nichts davon braucht die UN. Alles davon bräuchte eine Bundesregierung, die will.

Die Gegenposition, fair wiedergegeben

Man kann mir drei Dinge entgegenhalten, und ich nehme sie ernst.

Erstens: Eine Generaldebatten-Rede richtet sich an 193 Staaten, nicht an Brüssel. Wer dort EU-Führungsanspruch erwartet, hat das Format missverstanden. Stimmt. Nur hat Macron in demselben Format eine europäische Position formuliert, und Wadephul hat es nicht getan.

Zweitens: Der KI-Vorschlag ist konkret, gegen Trump gerichtet und international anschlussfähig. Auch das stimmt, und ich habe es oben eingeräumt. Er ist nur nichts, was Deutschland nicht schon in EU-Recht gegossen hätte, bevor es die Fristen verschob.

Drittens: Die Omnibus-Verschiebung war Sachzwang, keine Ideologie, weil Normen und notifizierte Stellen fehlten. Einverstanden. Aber wer die Standards nicht rechtzeitig finanziert und personell hinterlegt, erzeugt den Sachzwang selbst. Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde und startet mit 43 neuen Planstellen. Dreiundvierzig. Für die Aufsicht über KI in einem Land mit 84 Millionen Einwohnern. Das ist die Antwort auf „Wer kontrolliert?“, und sie ist kleiner als die IT-Abteilung mancher Kreisverwaltung.

Was das für KI in der Verwaltung bedeutet

Für Kollegen in Kommunen und Fachverfahrensbetreuer heißt das ganz praktisch: Verlassen Sie sich nicht auf die Verschiebung. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026, und die verbotenen Praktiken nach Artikel 5 sind seit August 2025 bußgeldbewehrt. Wenn Ihr Bürgerservice-Chatbot nicht sagt, dass er ein Chatbot ist, ist das heute schon ein Problem, nicht erst 2027.

Zweitens: Hochrisiko-Systeme nach Anhang III kommen im Dezember 2027, und das ist im Beschaffungszyklus einer Verwaltung übermorgen. Wer jetzt ein Fachverfahren mit „KI-gestützter Antragsprüfung“ kauft, sollte im Vertrag stehen haben, dass der Hersteller die Konformität nachweist und die Dokumentation liefert. Sonst sind Sie 2027 der Betreiber eines Hochrisiko-Systems ohne Papiere.

Drittens, und das ist mein Punkt, nicht mein Admin-Punkt: Fragen Sie bei jedem KI-Angebot, wo das Modell läuft, wem es gehört und ob Sie es ohne den Anbieter weiterbetreiben könnten. Wadephul hat vor der UN gesagt, dass Kooperation Fähigkeiten schaffen soll, nicht neue Abhängigkeiten. Das gilt für eine Gemeindeverwaltung genauso wie für einen Staat. Ich habe noch keinen Hersteller erlebt, der diese Frage gern beantwortet.

Fazit

Wadephuls Rede ist als Diagnose brauchbar und als Programm leer. Der KI-Vorschlag ist richtig, aber er beschreibt, was die EU bereits beschlossen und dann um anderthalb Jahre vertagt hat. Zur Führungsrolle Deutschlands in Europa sagt die Rede nichts, und die Bilanz der Regierung Merz nach anderthalb Jahren sagt auch nichts, außer dass Eurobonds ausgeschlossen sind.

Drei Fragen, null Antworten, kein Europa: Das ist nicht böswillig verkürzt, das ist der Text.

Ursula von der Leyen hat in ihrer Rede zur Lage der Union am 16. September 2026 den EU Kids Act angekündigt, einen Tag später hat die Kommission den Entwurf zusammen mit Henna Virkkunen offiziell vorgelegt. Der volle Name lautet „EU Keeping Internet Digital Spaces Accountable and Trustworthy“, und schon das Akronym verrät, dass hier jemand sehr lange an der Verpackung gearbeitet hat. Zeit, sich den Inhalt anzuschauen: Was will das Gesetz, was kann es, und was wäre klüger gewesen?

Was der EU Kids Act vorsieht

Das Stufenmodell ist inzwischen bekannt: Unter 13 Jahren kein Zugang zu sozialen Netzwerken, zwischen 13 und 15 nur ein von den Eltern eingerichtetes und beaufsichtigtes „Mini-Konto“ mit eingeschränkten Funktionen und Zeitlimit, ab 15 ein eigenes Konto, allerdings nur auf Plattformen, die für Minderjährige „safe by design“ sein müssen. Die Beweislast soll umgedreht werden: Anbieter müssen belegen, dass ihr Dienst sicher ist.

Das Kleingedruckte hat es aber in sich, und das steht nicht in der Rede, sondern im Gesetzestext, den netzpolitik.org vorab veröffentlicht hat. Die wichtigsten Punkte:

• Für riskante Social-Media- und Videoplattformen ist eine echte Altersverifikation vorgesehen, etwa mit der Alterskontroll-App der EU auf Ausweisbasis. Das betrifft alle Nutzer, auch Erwachsene. Ausnahmen gibt es nur für Bestandskonten, bei denen ein Minderjähriger praktisch ausgeschlossen ist.
• Als „riskant“ gilt ein Dienst schon dann, wenn man dort Fremde kontaktieren oder einen personalisierten Feed sehen kann. Das ist so ziemlich jede Plattform.
• Ein zweiter Regelungsblock erfasst den bloßen Zugang ohne Konto: Videoplattformen, Online-Spiele, KI-Chatbots, Software-Marktplätze. Sie dürfen öffentlich nur noch eine kindgerechte Version zeigen, alles andere nur nach „Age Assurance“, worunter auch Schätzverfahren wie Gesichtsscans fallen.
• App Stores müssen ihre Kataloge mit Alterslabels versehen und vor der Installation prüfen.
• Eltern brauchen für ein Mini-Konto drei Nachweise: ihr eigenes Alter, das Alter des Kindes und die Sorgeberechtigung. Die Mitgliedstaaten sollen dafür eine Bescheinigung schaffen.
• Mini-Konten sind auf maximal eine Stunde am Tag begrenzt, Eltern sollen jeden neuen Kontakt vorab freigeben können.
• Bestehende Konten von unter 15-Jährigen müssten innerhalb von sechs Monaten nach Geltung der Regeln abgeschaltet werden.
• Eine Ausnahme für kleine Anbieter gibt es nicht. Ausgenommen sind nur nicht-kommerzielle Enzyklopädien, Bildungs- und Wissenschaftsangebote, Verwaltung und Plattformen für quelloffene Software.

Der Zweck: berechtigt, aber vermischt

Man muss der Kommission zugestehen, dass sie ein reales Problem adressiert. Feeds, die auf maximale Verweildauer optimiert sind, Streaks, Autoplay, Push-Benachrichtigungen im Minutentakt, Kontaktaufnahme durch Fremde, KI-generierte sexualisierte Bilder von Schülerinnen. Wer mit Jugendlichen zu tun hat, weiß, dass das keine Erfindung besorgter Politiker ist. Von der Leyen hat in ihrer Rede den Fall eines 14-jährigen Mädchens aus Belgien erzählt, das nach Online-Mobbing gestorben ist. Solche Geschichten sind wahr, und sie sind furchtbar.

Nur: Der Kids Act packt zwei sehr unterschiedliche Dinge in ein Gesetz. Das eine sind Designpflichten für Plattformen. Das andere ist eine Zugangskontrolle für Menschen. Das Erste ist überfällig. Das Zweite ist der Teil, an dem das Vorhaben scheitern wird, und zwar nicht politisch, sondern technisch.

Was am EU Kids Act sinnvoll ist

Die Designvorschriften sind der stärkste Teil des Entwurfs. Autoplay, Endlos-Scrollen, Belohnungsmechaniken für tägliche Nutzung, Empfehlungssysteme auf Basis von Verhaltensprofilen: All das für Minderjährige zu verbieten, ist konkret, prüfbar und trifft die Geschäftsmodelle dort, wo es wehtut. Bislang standen diese Punkte nur in unverbindlichen Leitlinien zum Digital Services Act. Dass sie Gesetz werden sollen, ist ein echter Fortschritt.

Auch die Beweislastumkehr ist richtig. Seit Jahren behaupten Plattformen, ihre Dienste seien sicher, und liefern dafür Studien, die sie selbst finanziert haben. Wenn künftig der Anbieter nachweisen muss, dass sein Feed 14-Jährige nicht in eine Spirale zieht, ändert das die Verhandlungsposition der Aufsicht grundlegend.

Wo die Alterskontrolle unrealistisch wird

Das Altersnachweis-Trilemma

Der Entwurf verlangt von jeder Altersfeststellung gleichzeitig hohe Genauigkeit, Robustheit, geringe Eingriffstiefe, Datenschutz und Nichtdiskriminierung. Das klingt vernünftig, ist aber nicht lieferbar. Ein Gesichtsscan ist wenig eingriffstief, aber ungenau, und trifft je nach Herkunft und Geschlecht unterschiedlich zu. Ein Ausweisabgleich ist genau, aber ein tiefer Eingriff und schließt Menschen ohne digitale Identität aus. Man kann sich zwei der drei Eigenschaften aussuchen, nie alle. Ein Gesetz, das alle drei fordert, verlagert das Problem in die Durchführungsverordnungen, wo es dann still zugunsten der Genauigkeit entschieden wird.

Der Zero-Knowledge-Satz

Im Entwurf steht, jede Maßnahme zur Alterskontrolle solle „zero knowledge proof“ sein. Wer weiß, was ein Zero-Knowledge-Beweis ist, liest diesen Satz zweimal. Der Begriff wird als Adjektiv verwendet, ist aber ein Substantiv für ein konkretes kryptografisches Verfahren, das nicht einmal die EU-eigene Alterskontroll-App verpflichtend nutzt. Das ist keine Spitzfindigkeit. Es ist ein Indiz dafür, dass an dieser Stelle niemand mit technischem Hintergrund gegengelesen hat. Bei einem Gesetz, dessen Kern eine technische Infrastruktur ist, ist das kein gutes Zeichen.

Der Geltungsbereich

Weil der Entwurf „soziale Medien“ nicht definiert, greift voraussichtlich die Definition aus dem Digital Markets Act: Dienste, in denen Nutzer sich vernetzen, kommunizieren und Inhalte teilen. Das ist jedes Vereinsforum, jedes Hobby-Board, jeder Mastodon-Server. Eine Ausnahme für kleine Anbieter fehlt. Wer ehrenamtlich ein Forum mit 300 Mitgliedern betreibt, müsste dieselbe Verifikationsinfrastruktur aufbauen wie TikTok. In der Praxis heißt das: Er macht zu. Die Folge wäre eine weitere Zentralisierung auf die großen Plattformen, also genau die, gegen die das Gesetz eigentlich gerichtet ist.

Der Sorgeberechtigungsnachweis

Hier lohnt sich der Blick aus der Verwaltungspraxis. Die Mitgliedstaaten sollen eine Bescheinigung schaffen, mit der Eltern gegenüber Instagram belegen, dass sie die Eltern sind. Wer soll die ausstellen? Das Meldeamt? Das Jugendamt? Wie sieht das bei getrennt lebenden Eltern aus, bei Pflegefamilien, bei Geflüchteten ohne Papiere? Der Entwurf nennt als Übergangslösung die Selbsterklärung, also einen Haken in einem Formular. Damit ist der gesamte Nachweisapparat entweder wirkungslos oder ein Bürokratiemonster. Ein Mittelding gibt es nicht.

Die Stunde am Tag

Ein fest im Gesetz verankertes Zeitlimit von 60 Minuten für 13- und 14-Jährige, unabhängig davon, was der Jugendliche dort tut. Eltern sollen darunter bleiben können, nicht darüber. Das nimmt Eltern die Entscheidung ab, statt sie zu unterstützen. Und es ignoriert, dass Jugendliche über soziale Medien auch Hausaufgaben abstimmen, Vereinsgruppen organisieren und Freundschaften pflegen.

Die Umgehung

Australien hat ein Kontoverbot ab 16 eingeführt. Was danach passierte, war absehbar: Konten von Geschwistern, Zweithandys, VPN. Der Kids Act geht noch weiter und reguliert schon den Zugang ohne Konto. Damit wird die Umgehung nicht schwerer, sondern der Anreiz größer, weil auch 16- und 17-Jährige plötzlich vor Ausweisschranken stehen. Eine Altersschranke, die von den Betroffenen als willkürlich empfunden wird, erzeugt nicht Schutz, sondern Kreativität.

Die Sicherheitsfrage

Aus IT-Sicherheitssicht ist der schlimmste Aspekt, dass hier eine Infrastruktur entsteht, die Ausweisdaten, biometrische Merkmale und Plattformnutzung zusammenführt. Jeder Anbieter von Age Assurance wird zum Hochwertziel. Ein australisches Gutachten zu den dortigen Alterskontrollanbietern hat gezeigt, dass biometrische Daten gehortet werden, obwohl sie es nicht sollten. Es gibt keinen Grund anzunehmen, dass das in Europa anders läuft, solange das Gesetz Datensparsamkeit nur fordert, aber nicht technisch erzwingt.

Was besser wäre als eine Altersgrenze

Der Entwurf hat einen richtigen Kern, den man freilegen könnte, wenn man die Zugangskontrolle vom Schutzgedanken trennt.

Sicheres Design als Standard für alle, ohne Altersschranke. Autoplay, Endlos-Scrollen, Streaks und Push-Spam sind nicht nur für Kinder schädlich. Wenn diese Mechaniken standardmäßig aus sind und jeder Nutzer sie aktiv einschalten muss, braucht es dafür keine Altersfeststellung. Die Kommission plant mit dem Digital Fairness Act ohnehin ein solches Gesetz für den Herbst. Es wäre ehrlicher gewesen, den Kids Act als dessen Jugendschutzkapitel zu bauen.

Beweislast statt Ausweis. Man kann die Beweislastumkehr auf die Spitze treiben: Wer nicht sicher weiß, dass ein Nutzer volljährig ist, darf ihn nicht profilieren und muss ihm die sichere Version ausspielen. Das setzt keinen Ausweiszwang voraus. Es zwingt Plattformen dazu, standardmäßig anzunehmen, dass ein unbekannter Nutzer minderjährig sein könnte. Wer den vollen Feed will, kann sich freiwillig verifizieren. Wer nicht, bekommt eine Plattform ohne Tracking. Das wäre für viele Erwachsene sogar ein Gewinn.

Wenn Altersnachweis, dann richtig. Ein anonymes Credential, das nur „über 15: ja“ oder „nein“ ausgibt, technisch auf dem Gerät gehalten, mit echtem Zero-Knowledge-Verfahren, quelloffen und auditierbar, ohne dass die Plattform oder der Ausweisanbieter erfährt, wo das Credential eingesetzt wurde. Das ist mit der EUDI-Wallet grundsätzlich machbar. Der Entwurf müsste das aber als harte technische Anforderung formulieren, nicht als missverstandenes Schlagwort, und Gesichtsscans als Verfahren explizit ausschließen.

Geltungsbereich auf die Großen beschränken. Der Digital Services Act kennt bereits die Kategorie der sehr großen Plattformen. Dort sitzt das Problem, dort sitzt das Geld für Compliance. Kleine Communities, Vereinsforen und dezentrale Netzwerke gehören nicht in dieselbe Pflicht.

Elternkontrolle als Angebot, nicht als Pflicht. Beaufsichtigte Konten sind eine gute Option für Eltern, die sie wollen. Sie sollten aber nicht der einzige Weg für einen 14-Jährigen sein, und das Zeitlimit gehört in die Hände der Eltern, nicht ins Gesetz. Der CCC und D64 weisen zu Recht darauf hin, dass nicht alle Jugendlichen in Verhältnissen leben, in denen elterliche Vollkontrolle über jeden Kontakt ein Schutz wäre. Für manche ist das Netz der einzige Ort, an dem sie Hilfe finden.

Medienkompetenz finanzieren. Jede Altersschranke fällt spätestens am 15. oder 18. Geburtstag weg. Was dann bleibt, ist ein junger Mensch, der entweder gelernt hat, mit Aufmerksamkeitsökonomie umzugehen, oder nicht, und das lernt er nicht durch ein Verbot.

Zwei Hebel, die das Gesetz verwechselt. Es gibt genau zwei Stellen, an denen sich das Problem lösen lässt. Beim Anbieter, indem man ihm Mechaniken verbietet, die auf Abhängigkeit optimiert sind. Und beim Kind, indem man ihm beibringt, was da mit ihm passiert, und zwar altersgerecht ab der Kita, methodisch in der Grundschule, systematisch in der Sekundarstufe. Beides ist mühsam. Das eine kostet Streit mit Konzernen, das andere kostet Lehrpläne, Fortbildung und Geld. Eine Altersschranke kostet nichts davon. Sie greift weder beim Anbieter noch beim Kind ein, sondern schiebt nur den Zeitpunkt nach hinten, an dem ein unvorbereiteter Jugendlicher auf eine unveränderte Plattform trifft. Der Design-Teil des Kids Act zieht den ersten Hebel, und das ist richtig. Der zweite kommt im Entwurf schlicht nicht vor: kein Wort zu Medienpädagogik, keine Förderung, keine Verpflichtung der Mitgliedstaaten. Übrig bleibt das Verbot als das Einzige, was politisch billig ist, weil die Rechnung an Eltern, Forenbetreiber und Jugendliche geht.

Fazit

Der EU Kids Act ist ein Gesetz mit einer guten ersten Hälfte und einer zweiten, die die erste gefährdet. Designpflichten und Beweislastumkehr sind richtig und überfällig. Die flächendeckende Alterskontrolle dagegen ist technisch nicht so lieferbar, wie das Gesetz es verspricht, trifft mit den kleinen Anbietern die Falschen, schafft mit dem Sorgeberechtigungsnachweis eine neue Bürokratie und baut eine Dateninfrastruktur, die in fünf Jahren niemand mehr abbauen wird. Und sie ersetzt das, was wirklich fehlt: die Bereitschaft, Kinder an diese Welt heranzuführen, statt sie nur länger davon fernzuhalten.

Der Entwurf muss noch durch Parlament und Rat. Es wäre nicht das erste Mal, dass dort aus einem Überwachungsgesetz mit Kinderschutz-Etikett am Ende doch etwas Brauchbares wird. Ich würde aber nicht darauf wetten.

FAQ zum EU Kids Act

Ab welchem Alter dürfen Kinder laut EU Kids Act Social Media nutzen?

Unter 13 gar nicht, zwischen 13 und 15 nur über ein von den Eltern eingerichtetes Mini-Konto mit maximal einer Stunde pro Tag, ab 15 mit eigenem Konto auf Plattformen, die für Minderjährige sicher gestaltet sein müssen.

Müssen sich auch Erwachsene ausweisen?

Nach dem Entwurf ja. Riskante Social-Media- und Videoplattformen sollen das Alter aller Nutzer verifizieren. Ausnahmen sind nur für langjährige Bestandskonten vorgesehen.

Gilt der Kids Act auch für kleine Foren und Fediverse-Server?

Voraussichtlich ja. Der Entwurf enthält keine Ausnahme für kleine Anbieter und definiert „soziale Medien“ nicht eigenständig, sodass die weite Definition des Digital Markets Act greifen dürfte.

Ist der EU Kids Act schon beschlossen?

Nein. Es handelt sich um einen Vorschlag der Kommission vom 17. September 2026. Europäisches Parlament und Rat müssen zustimmen und können den Text noch erheblich ändern.

Was ist der Unterschied zwischen Age Verification und Age Assurance?

Age Verification meint den strengen Nachweis über Belege wie Ausweisdaten. Age Assurance ist der Oberbegriff und umfasst auch Schätzverfahren, etwa biometrische Gesichtsscans, die deutlich ungenauer sind.

Stellen Sie sich vor, Ihre Stadtverwaltung investiert Millionen in ein neues Glasfasernetz und schafft echtes Breitband für alle Bürger. Die Hardware steht, die Leitungen glühen, doch die Software, die über diese schnellen Verbindungen läuft, gehört einem einzigen Konzern aus Übersee. Wenn dieser Anbieter die Preise erhöht oder Funktionen streicht, steht das Rathaus mit dem Rücken zur Wand. Man zahlt, weil man keine Wahl hat.

Diese Abhängigkeit war in deutschen Amtsstuben über Jahrzehnte hinweg die gelebte Realität. Man nannte es pragmatisch „alternativlos“. Doch im November 2025 hat der IT-Planungsrat mit dem Beschluss 2025/48 eine Kehrtwende eingeleitet, die das Fundament der Verwaltung digital erneuert. Open Source Software (OSS) ist von einer netten Idee für IT-Idealisten zur offiziellen Marschroute für den Staat geworden. Dieser Schritt ist entscheidend für die digitale Souveränität und verändert die Art und Weise, wie Software in der öffentlichen Hand beschafft wird, von Grund auf.

1. Das Ende der juristischen Grauzone

Bisher glich die Beschaffung von Open Source Software in der Verwaltung einem juristischen Hürdenlauf. Die klassischen Standardverträge, bekannt als EVB-IT, waren fast ausschließlich auf den Kauf von Lizenzen für geschlossene Systeme zugeschnitten. Wer sich für offene Lösungen entschied, musste die Vertragswerke in mühsamer Kleinarbeit selbst anpassen. Für viele Vergabeabteilungen in kleineren Kommunen war dieses Risiko schlicht zu hoch, weshalb man lieber beim Bekannten blieb.

Mit der „Ertüchtigung“ der EVB-IT hat der IT-Planungsrat dieses Hindernis aus dem Weg geräumt. Acht zentrale Vertragstypen wurden so überarbeitet, dass Open Source nun rechtssicher eingekauft werden kann. Besonders deutlich wird der Wandel bei der Erstellung von Individualsoftware. Früher behielten Dienstleister oft alle Rechte am Code. Heute gilt das Prinzip, dass Software, die mit öffentlichem Geld entwickelt wird, auch der Öffentlichkeit gehören muss. Diese Regelung ist nun fest in den Verwaltungsvorschriften verankert und macht „Public Money, Public Code“ zur gelebten Praxis statt zu einer politischen Forderung.

2. Ein neuer Blick auf die Software-Beschaffung

Die Arbeitsgruppe EVB-IT hat die Vertragsmuster so angepasst, dass sie die Besonderheiten offener Software widerspiegeln. Bei der Erstellung von neuer Software ist OSS nun das Standardziel. Wenn eine Kommune heute eine neue Fachanwendung entwickeln lässt, landet der Quellcode künftig auf der Plattform OpenCoDE. Das bedeutet, dass eine Lösung, die in einer Stadt entwickelt wurde, ohne neue Lizenzkosten von jeder anderen Gemeinde im Land genutzt werden kann.

Selbst beim klassischen Softwarekauf, der sogenannten Überlassung vom Typ A, ist die Hemmschwelle gesunken. Einfache Optionen im Vertrag ermöglichen es nun auch Nicht-Juristen, OSS-spezifische Klauseln zu aktivieren. Auch die Pflege und Wartung der Systeme wird nun anders betrachtet. Es geht nicht mehr primär um das Bezahlen von Nutzungsrechten, sondern um die aktive Sicherstellung der Lauffähigkeit und den Beitrag zur Weiterentwicklung der Software-Gemeinschaft.

Ein technischer Meilenstein in diesen Verträgen ist die Verpflichtung zur Software Bill of Materials, kurz SBOM. Man kann sich das wie die Zutatenliste auf einer Lebensmittelverpackung vorstellen. Die SBOM listet jede einzelne Bibliothek und jeden Baustein auf, der in einer Anwendung steckt. In Zeiten von Log4j und anderen kritischen Sicherheitslücken ist das ein gewaltiger Fortschritt für die IT-Sicherheit. Die Verwaltung weiß nun in Sekunden, ob ein System betroffen ist, statt Wochen auf eine Antwort des Herstellers zu warten.

3. Digitale Souveränität und der Breitband-Faktor

Digitale Souveränität ist heute weit mehr als ein politisches Schlagwort. Es geht um die Handlungsfähigkeit des Staates. Wenn eine Kommune ausschließlich auf proprietäre Lösungen setzt, begibt sie sich in einen sogenannten Vendor-Lock-in. Die Kosten für einen Wechsel sind so immens, dass man faktisch gefangen ist. Open Source bricht diese Strukturen auf, indem sie den Anbieterwechsel ermöglicht. Wenn ein Dienstleister die Preise unangemessen erhöht oder den Service einstellt, kann ein anderer Partner die Pflege des offenen Codes übernehmen.

Diese Unabhängigkeit ist untrennbar mit dem Breitbandausbau verbunden. Es nützt wenig, wenn wir die physische Infrastruktur mit Glasfaser modernisieren, aber die logische Infrastruktur in einer technologischen Einbahnstraße verbleibt. Erst die Kombination aus schnellen Netzen und souveräner Software erlaubt es den Kommunen, Innovationen wirklich selbst zu steuern und Daten so zu verarbeiten, wie es den lokalen Bedürfnissen und dem Datenschutz entspricht.

4. Die Realität in den Rathäusern: Personal und Kultur

Trotz der neuen rechtlichen Klarheit bleibt die Umsetzung in der Praxis eine Herausforderung. Der Fachkräftemangel schlägt hier besonders hart zu. Wer Open Source professionell betreiben will, braucht Personal, das tiefer in die Technik blicken kann als beim reinen Lizenzmanagement. Man muss verstehen, wie man moderne Container-Technologien nutzt und wie man sicher mit Entwickler-Communities kommuniziert.

Zudem existiert in vielen Kämmereien noch immer das Vorurteil, dass Software ohne hohen Kaufpreis weniger wert sei oder kein Support-Versprechen biete. Es erfordert einen kulturellen Wandel zu verstehen, dass die Kosten bei OSS oft weniger in der Anschaffung, dafür aber stärker in der Implementierung und dem langfristigen Betrieb liegen. Auch die Cloud-Thematik bleibt vorerst eine Baustelle, da die entsprechenden EVB-IT-Verträge für Cloud-Dienste erst im kommenden Jahr überarbeitet werden sollen.

5. Fazit: Die neue Rolle der Rechenzentren und Fachanwendungen

Die Entscheidung des IT-Planungsrats ist ein Weckruf, der weit über die Grenzen der einzelnen Rathäuser hinausreicht. Besonders spannend wird die Entwicklung für die bestehenden Dienstleistungen und Fachanwendungen, die heute oft von den großen kommunalen Rechenzentren der Länder bereitgestellt werden. Diese Zentren fungierten lange Zeit als zentrale Gatekeeper und setzten oft auf bewährte, aber proprietäre Monolithen. Mit dem neuen Standard müssen auch diese IT-Dienstleister ihre Strategie überdenken.

Bestehende Fachanwendungen, die tief in die Verwaltungsprozesse integriert sind, können nicht über Nacht ersetzt werden. Doch der Beschluss setzt einen klaren Rahmen für alle künftigen Erweiterungen und Neuentwicklungen. Für die kommunalen Rechenzentren bedeutet das eine Transformation vom reinen Rechenkraft-Provider zum Orchestrierer offener Software-Ökosysteme. Sie müssen künftig sicherstellen, dass ihre Lösungen kompatibel mit OpenCoDE sind und dass sie die geforderten SBOM-Daten für ihre Kunden bereitstellen können.

Letztlich bedeutet dieser Wandel für die gesamte Verwaltung ein neues Maß an Kooperation. Wenn die Rechenzentren der Länder anfangen, ihre Entwicklungen konsequent als Open Source zu teilen, profitiert das gesamte System von einer massiven Beschleunigung der Digitalisierung. Wir hören auf, das Rad in jedem Bundesland neu zu erfinden. Die Kombination aus schnellem Breitband und einer offenen Software-Architektur ist das Fundament für einen Staat, der nicht nur digitaler, sondern auch unabhängiger und sicherer wird. Es ist der Abschied von der Rolle des Bittstellers gegenüber großen Softwarekonzernen und der Beginn einer echten digitalen Selbstbestimmung.

Wenn Tröpfchenbewässerung als Wasserrecht verkauft wird

Erinnern Sie sich an das Gefühl, wenn Sie versuchen, ein modernes Leben auf einer Infrastruktur der 80er Jahre aufzubauen? Es ist, als ob man versucht, einen Formel-1-Wagen auf einem Feldweg zu fahren. In Deutschland ist genau das der Status quo unserer digitalen Welt. Während wir uns gegenseitig zu „Meilensteinen“ gratulieren, blicken unsere europäischen Nachbarn mitleidig auf unser Kupfer-Museum.

Die Bundesnetzagentur (BNetzA) hat jüngst ihr neues Prüf-Tool für Bürger freigeschaltet. Ein digitales Fieberthermometer, das uns nun offiziell bestätigen soll, was wir ohnehin schon schmerzhaft wissen: Unser Internet ist zu langsam. Gleichzeitig wurde die gesetzliche Untergrenze der Breitband-Mindestversorgung nach § 2 TKMV von 10 Mbit/s auf 15 Mbit/s angehoben.

Lassen Sie uns ehrlich sein: Diese 5 Mbit/s mehr sind kein Fortschritt. Sie sind eine Beleidigung für jeden Bürger, der im Home-Office arbeitet, für jede Schülerin, die online lernt, und für jedes Unternehmen, das im globalen Wettbewerb bestehen will. In diesem Artikel zerlege ich das Theater um die neue Grundversorgung und zeige auf, warum wir nicht weniger als eine Glasfaser-Revolution brauchen, um nicht endgültig als digitales Entwicklungsland zu enden.

1. Der zynische Blick in das Gesetz: Was § 2 TKMV wirklich verbirgt

Wenn man sich durch die trockenen Texte der Telekommunikationsmindestversorgungsverordnung (TKMV) kämpft, erkennt man schnell die Absicht: Hier wird nicht das Mögliche angestrebt, sondern das gerade noch Akzeptable verwaltet. § 2 TKMV definiert die Untergrenze dessen, was man in Deutschland als „versorgt“ bezeichnen darf.

Bisher waren das 10 Mbit/s im Download. Ab sofort sind es 15 Mbit/s. Das klingt nach einer Steigerung von 50 Prozent, ist aber in der Praxis bedeutungslos. Warum? Weil diese Werte die Realität der Datenströme im Jahr 2026 komplett ignorieren. Wer 15 Mbit/s als Standard festschreibt, zementiert die digitale Zweiklassengesellschaft. Er sagt den Menschen im ländlichen Raum: „Für euch reicht es, wenn die E-Mail irgendwann ankommt.“

Dabei ist das Gesetz ein Schutzschild für Provider. Solange diese lächerlichen Werte nicht unterboten werden, besteht kaum rechtlicher Druck für den echten Glasfaserausbau. Es ist eine Politik der kleinen Schritte, während die Welt um uns herum sprintet.

2. Das BNetzA Prüf-Tool: Transparenz als Trostpflaster

Man muss der Bundesnetzagentur zugutehalten, dass sie den Bürgern nun ein Werkzeug an die Hand gibt. Aber was bringt uns ein Tool, das lediglich diagnostiziert, dass wir am digitalen Hungertuch nagen? Es ist, als würde man einem Verdurstenden ein geeichtes Messglas schenken, damit er genau sehen kann, wie wenig Wasser er bekommt.

Diagnose ohne Therapie

Wenn Sie mit dem Tool feststellen, dass Ihr Breitband-Anschluss nicht einmal die 15 Mbit/s erreicht, können Sie ein Verfahren anstoßen. Aber seien wir realistisch: Bis ein unterversorgter Haushalt tatsächlich Glasfaser sieht, vergehen Jahre. Das Tool ist eine bürokratische Antwort auf ein infrastrukturelles Versagen.

In meinem Blog-Artikel „Digitales Entwicklungsland? Warum wir ein gesetzliches Recht auf Glasfaser brauchen“ habe ich es so formuliert:

„Wir feiern uns hierzulande oft für minimale Fortschritte, doch die nackten Zahlen sprechen eine andere Sprache. Das Internet muss nicht im Durchschnitt funktionieren, sondern in der Peak Time.“

Und genau hier versagt das Konzept der BNetzA: 15 Mbit/s in der Spitze sind in der Realität einer vierköpfigen Familie schlicht nicht vorhanden.

3. Die 15-Mbit/s-Lüge: Warum diese Bandbreite heute nicht mehr reicht

Um zu verstehen, warum 15 Mbit/s eine Sackgasse sind, müssen wir uns von der Vorstellung lösen, dass das Internet nur zum „Surfen“ da ist. Das Internet ist die Lebensader unseres Alltags.

Das Home-Office-Szenario

Stellen Sie sich vor, Sie sitzen in einem wichtigen Teams-Call. Ihr Partner ist ebenfalls im Home-Office und schickt gerade eine größere PDF-Datei an einen Kunden. Gleichzeitig lädt Ihr Betriebssystem im Hintergrund ungefragt ein Sicherheits-Update. Bei 15 Mbit/s Download und den im Gesetz vorgesehenen 5 Mbit/s Upload bricht dieses Kartenhaus sofort zusammen. Die Videoübertragung ruckelt, der Ton verzerrt – willkommen in der digitalen Steinzeit.

IPTV: Der neue Standard braucht Leistung

Seit dem Fall des Nebenkostenprivilegs im Juli 2024 schauen Millionen Haushalte über das Internet fern. Ein einziger 4K-Stream verbraucht stabil 25 Mbit/s. Wer also 15 Mbit/s als Mindestversorgung festlegt, untersagt diesen Menschen faktisch den Konsum von modernem Fernsehen in hoher Qualität. Das ist keine Teilhabe, das ist Ausschluss.

4. Die Kupfer-Sackgasse: Das Vectoring-Trauma

Warum hängen wir in Deutschland so sehr am Kupfer? Weil wir Milliarden investiert haben, um eine sterbende Technologie künstlich zu beatmen. Vectoring und Super-Vectoring waren die Beruhigungspillen einer Politik, die den teuren Tiefbau scheute.

Die physikalische Grenze

In meiner Analyse zur Glasfaser-Revolution habe ich aufgezeigt, dass Kupfer physikalisch am Ende ist:

„Elektrische Signale unterliegen einer Dämpfung, die mit der Kabellänge exponentiell zunimmt. Kupfer ist bereits nach 500 Metern am Ende seiner Hochleistungsfähigkeit.“

Das Festhalten an der Kupfer-Mindestversorgung schützt die alten Telkos davor, ihre Ineffizienz eingestehen zu müssen. Wir verwalten den Verfall, anstatt die Gigabit-Gesellschaft zu bauen.

5. Globaler Realitätscheck: Ein Blick zum mitleidigen Rest der Welt

Es schmerzt, über den Tellerrand zu blicken. Während wir über 15 Mbit/s debattieren, haben Länder wie Spanien, Portugal oder Frankreich den Turbo gezündet.

• Spanien: Durch strikte Regulierung und den erzwungenen Zugang zu Leerrohren liegt die Glasfaserquote bei über 80 %.
• Südkorea & VAE: Hier sind 95 % bis 99 % Abdeckung Standard. Glasfaser ist dort so selbstverständlich wie Atemluft.

Deutschland dümpelt im OECD-Ranking am Ende herum. Wir riskieren unseren Wohlstand. Kein Start-up, kein KI-Unternehmen und kein moderner Industriebetrieb wird sich dort ansiedeln, wo die Internet-Grundversorgung auf dem Niveau eines ISDN-Anschlusses auf Steroiden stagniert.

6. Radikaler Kurswechsel: Meine Forderungen für ein echtes Digitalrecht

Wir müssen aufhören, um 5 Mbit/s mehr oder weniger zu feilschen. Wir brauchen einen harten Bruch mit der Vergangenheit.

100 Mbit/s als unterste Schmerzgrenze

Die Definition der Grundversorgung muss sich an der Realität orientieren. 100 Mbit/s Download und 50 Mbit/s Upload müssen das neue gesetzliche Minimum sein. Alles darunter ist für ein modernes Leben nicht geeignet.

Die gesetzliche FTTH-Pflicht

Wir brauchen eine Pflicht für Vermieter und Eigentümer, Glasfaseranschlüsse zu dulden und aktiv zu fördern. Inhouse-Verkabelung darf kein optionales Extra sein, sondern muss wie Strom- und Wasserleitungen zum Standard jedes Gebäudes gehören.

Der Copper Switch-Off

Spanien macht es vor: Wir brauchen ein festes Datum für die Abschaltung des Kupfernetzes (z. B. 2032). Nur so schaffen wir den nötigen Investitionsdruck. Solange die Telkos mit der alten Infrastruktur noch Geld verdienen können, ohne zu graben, werden sie es tun.

7. Das Erbe von Helmut Kohl: Ein historischer Fehler wird zum Dauerbrenner

Man kann die heutige Misere nicht verstehen, ohne in die 80er Jahre zurückzublicken. Die Regierung unter Helmut Kohl stoppte damals die visionären Glasfaserpläne der Vorgängerregierung Schmidt. Man setzte stattdessen auf das Kupfer-Koaxialkabel, um privates Fernsehen schnell in die Wohnzimmer zu bringen.

Es war eine Entscheidung für den schnellen Konsum und gegen die langfristige industrielle Stärke. Heute, fast 40 Jahre später, sitzen wir immer noch auf diesem Trümmerhaufen. Die aktuelle Regierung setzt diese Tradition der Mutlosigkeit fort, indem sie sich hinter Paragrafen wie dem TKMV § 2 versteckt, anstatt das TKG grundlegend zu modernisieren.

8. Die psychologische Komponente: Warum wir uns wehren

Ein seltsames Phänomen in Deutschland ist der Widerstand gegen den Ausbau. „Ich brauche das nicht“, hört man oft von Menschen, die nur E-Mails lesen. Aber Infrastruktur baut man nicht für den Bedarf von heute, sondern für die Möglichkeiten von morgen.

Wer heute den Glasfaseranschluss ablehnt, senkt den Wert seiner Immobilie und verbaut der nächsten Generation die Zukunft. Das „Recht auf Glasfaser“ ist auch ein Schutz vor der eigenen Kurzsichtigkeit.

9. Wirtschaftlicher Faktor: Ohne Bits kein Business

Kleine und mittelständische Unternehmen (KMU) im ländlichen Raum sind das Rückgrat unserer Wirtschaft. Wenn ein Handwerksbetrieb keine Cloud-Software nutzen kann oder ein Architekturbüro Stunden braucht, um Baupläne zu versenden, verlieren wir Wettbewerbsfähigkeit.

Die 15 Mbit/s Mindestversorgung sind ein Schlag ins Gesicht für jeden Unternehmer, der nicht in einer Metropole sitzt. Wir brauchen Breitband, das diesen Namen auch verdient.

10. Fazit: Hört auf zu messen, fangt an zu graben!

Das neue BNetzA Prüf-Tool ist wie ein Tachometer, der bei 50 km/h auf der Autobahn stehen bleibt. Es nützt uns nichts zu wissen, dass wir langsam sind, wenn das Gesetz diese Langsamkeit legitimiert.

Wir müssen die Breitband-Mindestversorgung von 15 Mbit/s als das entlarven, was sie ist: Ein schlechter Witz auf Kosten der Zukunft unseres Landes. Wir brauchen ein echtes Recht auf Glasfaser, eine FTTH-Pflicht und Politiker, die den Mut haben, das Kupfer-Zeitalter offiziell für beendet zu erklären.

Call-to-Action (CTA)

Werden Sie laut! Lassen Sie sich nicht mit Alibi-Erhöhungen abspeisen. Fordern Sie von Ihren lokalen Abgeordneten ein echtes Recht auf Glasfaser. Teilen Sie diesen Artikel, um das Bewusstsein für die digitale Sackgasse Deutschlands zu schärfen.

Quellen und weiterführende Links:

• Heise Online: BNetzA startet Prüf-Tool für Bürger
• Grams IT: Warum wir ein gesetzliches Recht auf Glasfaser brauchen
• Grams IT: Die Glasfaser-Revolution und die FTTH-Pflicht
• Gesetze im Internet: § 2 TKMV – Mindestanforderungen

Hören Sie das? Das ist das schrille Pfeifen der Bundesregierung, die im Wald der digitalen Abhängigkeit laut „Souveränität“ ruft, während sie gleichzeitig die Haustürschlüssel der deutschen Sicherheitsarchitektur an einen US-Milliardär übergibt. Es ist ein lächerliches Schauspiel. Einerseits schwafelt die CDU-geführte Regierung unter Kanzler Friedrich Merz von der „Zeitenwende“ und der Notwendigkeit, sich von autokratischen Systemen und der technologischen Vorherrschaft des Silicon Valley zu emanzipieren. Andererseits rollt man für Palantir den roten Teppich aus – ein Unternehmen, dessen DNA so tief mit dem US-Geheimdienstapparat und der MAGA-Bewegung von Donald Trump verwoben ist, dass man sich fragen muss: Ist das Naivität oder nackter Zynismus?

In diesem Artikel zerlegen wir das Kartenhaus der deutschen Digitalpolitik. Wir blicken hinter die Fassade von Gotham und Foundry und analysieren, warum die Bundesregierung sehenden Auges in die totale Abhängigkeit steuert, während sie den Bürgern das Märchen vom Datenschutz erzählt.

1. Wasser predigen, Wein trinken: Die „Souveränitäts“-Heuchelei der CDU

Es ist fast schon amüsant, wenn man es nicht mit seinen eigenen Steuergeldern bezahlen müsste. Die Union schreit bei jeder Gelegenheit nach europäischer Cloud-Infrastruktur und digitaler Eigenständigkeit. Doch wenn es ernst wird, wenn es um die Innere Sicherheit geht, greift man zum bequemsten Werkzeug im Kasten: Palantir.

Der Widerspruch als Prinzip

Warum baut Deutschland keine eigenen Lösungen? Warum investiert man Milliarden in Aufrüstung, aber lässt die digitale Flanke sperrangelweit offen? Die Antwort ist simpel: Bequemlichkeit schlägt Prinzipien. Man will die Macht des „Data Mining“, ohne die Verantwortung für die Entwicklung zu tragen. Dass man sich damit zum digitalen Vasallen Washingtons macht, wird in Berlin geflissentlich ignoriert.

Digitale Souveränität

Was bedeutet „Digitale Souveränität“ eigentlich noch, wenn die Kernprozesse unserer Polizei und Geheimdienste auf proprietärer Software aus den USA laufen? Es ist ein hohler Begriff, eine Worthülse für Sonntagsreden, während man im Hinterzimmer die Verträge mit Peter Thiels Daten-Krake unterschreibt.

2. Peter Thiel und die MAGA-Connection: Ein „Partner“ zum Fürchten

Reden wir Tacheles: Wer Palantir kauft, kauft nicht nur Software. Er kauft die Ideologie seiner Schöpfer. Peter Thiel, der Mann hinter dem Unternehmen, ist kein neutraler Tech-Genie. Er ist einer der wichtigsten Finanziers der Trump-Bewegung und ein erklärter Skeptiker der Demokratie.

Daten für den „Commander-in-Chief“

In einem Szenario, in dem Donald Trump und seine MAGA-Gefolgschaft das Weiße Haus kontrollieren, ist die Vorstellung, deutsche Geheimdienstdaten lägen auf Systemen eines Thiel-Unternehmens, schlichtweg beängstigend. Glaubt in der Bundesregierung wirklich jemand ernsthaft, dass Palantir im Zweifelsfall den deutschen Datenschutz über die Anforderungen der US-Regierung stellen würde?

Die Rolle von Palantir im US-Apparat

Palantir wurde mit Startkapital von In-Q-Tel, dem Investmentarm der CIA, gegründet. Das Unternehmen ist kein „Partner“ der deutschen Regierung – es ist ein integraler Bestandteil des US-Sicherheitskomplexes. Wer hier von Unabhängigkeit spricht, hat entweder keine Ahnung oder lügt sich schamlos in die eigene Tasche.

3. Der CLOUD Act: Das Ende der Illusion vom deutschen Serverstandort

Ein beliebtes Argument der Palantir-Apologeten in den deutschen Innenministerien ist: „Die Daten liegen doch in Frankfurt!“ Ein schönes Märchen, das leider an der harten Realität des US-Rechts zerschellt.

Zugriff per Gesetz

Der U.S. CLOUD Act erlaubt es US-Behörden, Zugriff auf Daten zu verlangen, die von US-Unternehmen kontrolliert werden – völlig egal, wo auf der Welt der Server steht. Ob die Daten in Berlin, Frankfurt oder auf dem Mond liegen, spielt keine Rolle. Wenn Washington pfeift, muss Palantir liefern.

CLOUD Act

Die Bundesregierung ignoriert diesen Fakt beharrlich. Man versteckt sich hinter juristischen Gutachten, die das Papier nicht wert sind, auf dem sie stehen. Die technologische Realität ist: Software-Updates, Fernwartung und die proprietäre Struktur von Gotham erlauben technisch immer einen Abfluss von Metadaten oder sogar Kerninhalten. Ein „Backdoor per Design“ lässt sich bei geschlossener Software niemals ausschließen.

4. Karlsruhe im Rückspiegel: Warum das Verfassungsgericht ignoriert wird

Wir erinnern uns an das Jahr 2023. Das Bundesverfassungsgericht hat der automatisierten Datenanalyse in Hessen und Hamburg eine schallende Ohrfeige verpasst. Die Richter in Karlsruhe machten klar: Massives Data-Mining ohne konkreten Tatverdacht ist mit dem Grundgesetz nicht vereinbar.

Das Prinzip der informationellen Selbstbestimmung

Doch was macht die Bundesregierung unter Merz? Sie baut „Bundes-VeRA“ (Verfahrensübergreifende Recherche- und Analyseplattform) weiter aus. Man versucht, die Urteile mit kosmetischen Änderungen zu umgehen, während der Kern der Überwachungstechnologie von Palantir unberührt bleibt.

Datenschutz

Datenschutz wird hier zum reinen „Compliance-Check“ degradiert. Man hakt Listen ab, anstatt die Bürgerrechte zu schützen. Dass Palantir darauf spezialisiert ist, disparate Datenquellen zu verknüpfen und Profile zu erstellen, die weit über das hinausgehen, was ein menschlicher Ermittler jemals könnte, wird als „Fortschritt“ verkauft. In Wahrheit ist es der langsame Tod der Privatsphäre.

5. Die „Ontology“-Falle: Warum Vendor Lock-in eine nationale Gefahr ist

Eines der mächtigsten Werkzeuge von Palantir ist die sogenannte „Ontology“. Sie bildet die gesamte operative Welt einer Behörde digital ab. Das klingt effizient, ist aber in Wahrheit die perfekte Fessel.

Einmal Palantir, immer Palantir

Wer seine gesamten Datenstrukturen erst einmal in das proprietäre Format von Palantir überführt hat, kommt dort nie wieder heraus. Ein Wechsel zu einem europäischen Anbieter? Technisch nahezu unmöglich und finanziell ein Desaster.

Datenanalyse

Indem die Bundesregierung Palantir tief in die Infrastruktur von BKA und Landespolizeien einsinken lässt, begeht sie einen strategischen Fehler ersten Ranges. Wir machen uns für Jahrzehnte abhängig von den Preisvorstellungen und der technologischen Gnade eines US-Konzerns. Das ist keine Souveränität, das ist digitale Leibeigenschaft.

6. Die Ignoranz der Bundesregierung: Ein gefährliches Spiel

Es ist schwer zu sagen, was schlimmer ist: Die Ignoranz gegenüber den technischen Risiken oder der Verrat an den eigenen politischen Idealen. Während man in Brüssel über den AI Act streitet und ethische KI fordert, implementiert man zu Hause die mächtigste und intransparenteste Analyse-KI der Welt.

US-Geheimdienste

Die Verstrickung mit US-Geheimdiensten wird in Berlin als „notwendiges Übel“ abgetan. Doch in einer Welt, in der die USA zunehmend isolationistisch agieren und ihre Technologie als politisches Druckmittel einsetzen, ist dieses Vertrauen nicht nur naiv, sondern gefährlich.

Fazit: Zeit für eine digitale Umkehr

Palantir ist kein Segen für die deutsche Sicherheit. Es ist ein Symptom für das Versagen einer politischen Elite, die zu faul ist, eigene Kompetenzen aufzubauen, und zu feige, dem „Partner“ USA die Stirn zu bieten. Die CDU-geführte Bundesregierung opfert unsere digitale Souveränität auf dem Altar einer vermeintlichen Effizienz.

Was jetzt passieren muss:

• Sofortiger Stopp des Ausbaus von Palantir-Systemen auf Bundesebene.
• Investition in Open-Source-Alternativen, die unter europäischer Kontrolle stehen.
• Echte Transparenz über die Datenabflüsse und Zugriffsmöglichkeiten durch den CLOUD Act.

Wir dürfen nicht zulassen, dass unsere Sicherheit zum Geschäftsmodell für US-Milliardäre und zum Spielball der MAGA-Politik wird. Es ist Zeit, dass „Digitale Souveränität“ mehr wird als nur ein billiger Slogan in einem Wahlwerbespot.

Stellen Sie sich vor, Sie drehen den Wasserhahn auf, aber es kommen nur tröpfchenweise braune Schlieren heraus. In Deutschland wäre das ein Skandal. Doch wenn es um unsere digitale Lebensader – das Internet – geht, nehmen wir genau diesen Zustand seit Jahren hin. Während wir uns durch ruckelnde Videokonferenzen quälen und auf Ladebalken starren, spielt sich in Deutschland ein absurdes Theater ab: Mieter und Eigentümer wehren sich gegen kostenlose Glasfaseranschlüsse, oft aus Angst vor „Schmutz im Flur“.

Doch dieser Widerstand ist nur ein Symptom. Das eigentliche Problem liegt tiefer. Deutschland fehlt der Mut zur Modernisierung und vor allem: ein gesetzlich verankertes Recht auf Glasfaser. In diesem Artikel analysieren wir, warum Deutschland im internationalen Vergleich ein digitales Entwicklungsland ist, warum die aktuellen Gesetze die Realität ignorieren und welche radikalen Schritte die Bundesregierung jetzt gehen muss.

Deutschland im digitalen Tiefschlaf: Ein internationaler Vergleich

Um zu verstehen, wie dramatisch die Lage wirklich ist, müssen wir über den deutschen Tellerrand blicken. Wir feiern uns hierzulande oft für minimale Fortschritte beim Breitbandausbau, doch die nackten Zahlen der Glasfaser-Statistiken sprechen eine andere Sprache. Im globalen Vergleich wirkt die größte Volkswirtschaft Europas wie ein Relikt aus dem letzten Jahrhundert.

Die Weltspitze spielt in einer eigenen Liga

Schauen wir uns die Länder an, die verstanden haben, dass Daten das Öl des 21. Jahrhunderts sind. Die Top 5 der Welt bei der Glasfaserabdeckung (FTTH/B Penetration) zeigen, was möglich ist:

1. Vereinigte Arabische Emirate (VAE): Mit fast 99% Abdeckung ist Glasfaser hier so selbstverständlich wie Strom.
2. Singapur: Rund 97%. Hier wurde bereits 2010 ein staatliches Programm gestartet.
3. Hongkong: Ca. 95%.
4. China: Etwa 93%, getrieben durch staatlich verordnete Digitalisierung.
5. Südkorea: Der Pionier mit 87-96%, der bereits Anfang der 2000er Jahre die Weichen stellte.

Was haben diese Länder gemeinsam? Sie haben nicht auf die „Marktkräfte“ bei einer kritischen Infrastruktur gewartet. Sie haben gehandelt, während Deutschland noch versuchte, aus alten Kupferleitungen (Vectoring) das letzte Bit herauszupressen.

Der beschämende Blick zu den Nachbarn

Vielleicht denken Sie: „Nun gut, Asien ist weit weg.“ Aber auch in Europa werden wir abgehängt. Nehmen wir Spanien. Während hierzulande Bauanträge in Bürokratie ersticken, hat Spanien durch strikte Regulierung – etwa den erzwungenen Zugang zu Leerrohren – eine Abdeckung von über 80% erreicht.

Deutschland hingegen dümpelt im OECD-Ranking regelmäßig auf den hinteren Plätzen (oft Platz 34 von 38). Zwar steigen die Zahlen der „Homes Passed“ (Häuser, an denen Glasfaser vorbeiführt), aber die tatsächliche Nutzung („Homes Activated“) liegt oft nur zwischen 6% und 25%. Das ist volkswirtschaftlicher Wahnsinn: Die Infrastruktur liegt in der Straße, aber niemand nutzt sie, weil das alte Kupfernetz künstlich am Leben erhalten wird.

Vom Recht auf Telefon zum Recht auf Glasfaser

Historisch gesehen hatte Deutschland einst einen starken Ansatz bei der Daseinsvorsorge. Es gab lange Zeit ein „Recht auf einen Telefonanschluss“. Wer ein Haus baute, musste erreichbar sein. Punkt.

Heute regelt das Telekommunikationsgesetz (TKG) die Versorgung. Doch der Begriff „Grundversorgung“ wird hier so minimalistisch ausgelegt, dass er fast schon zynisch wirkt. Die aktuellen Vorgaben der Bundesnetzagentur für die Mindestversorgung (Stand 2024/2025) sind ein Witz für eine Industrienation:

• Download: Mindestens 15 Mbit/s
• Upload: Mindestens 5 Mbit/s
• Latenz: Maximal 150 ms

Diese Werte orientieren sich an der absoluten technischen Untergrenze, um eine Webseite gerade noch so aufrufen zu können. Sie haben nichts mit der Lebensrealität einer Familie oder eines modernen Home-Office-Arbeitsplatzes zu tun.

Realitätscheck: Warum 50 Mbit/s heute nicht mehr reichen

Gesetzgeber argumentieren oft mit Durchschnittswerten. Doch das Internet muss nicht im Durchschnitt funktionieren, sondern in der „Peak Time“ – also genau dann, wenn alle zu Hause sind. Lassen Sie uns einen typischen 4-Personen-Haushalt im Jahr 2025 simulieren, um zu sehen, warum die aktuellen Standards versagen.

Das Szenario am Abend

• Vater: Sitzt noch im Home Office und muss große Dateien auf den Firmenserver laden.
• Mutter: Nimmt an einer Fortbildung via Zoom teil.
• Kind 1 (Jugendlich): Streamt Twitch in 4K oder spielt online (benötigt extrem niedrige Latenz).
• Kind 2: Schaut Netflix oder Disney+ im Wohnzimmer.

Die Bandbreiten-Rechnung

1. Das Ende des Kabelfernsehens: Seit dem Fall des Nebenkostenprivilegs im Juli 2024 nutzen Millionen Haushalte TV nur noch über das Internet (IPTV). Ein einzelner 4K-Stream benötigt stabil ca. 15–25 Mbit/s. Laufen zwei Fernseher, sind 50 Mbit/s bereits komplett belegt.
2. Der Flaschenhals Upload: Für Videokonferenzen ist nicht der Download, sondern der Upload entscheidend. Zwei parallele HD-Calls benötigen 10 Mbit/s Upload. Bei einem Standard-VDSL-Anschluss bricht hier die Verbindung oft schon zusammen.
3. Der unsichtbare Traffic: Im Hintergrund laden Smartphones Updates, der Smart Speaker streamt Musik und die Cloud macht Backups.

Das Fazit: Ein VDSL-Anschluss mit 50 Mbit/s ist in diesem Szenario hoffnungslos überlastet. Die gesetzliche Untergrenze von 15 Mbit/s kommt einer digitalen Ausgrenzung gleich.

Was die Bundesregierung jetzt tun muss

Es reicht nicht mehr, Fördergelder mit der Gießkanne zu verteilen. Wir brauchen einen harten politischen Kurswechsel hin zur Glasfaser-Nation. Basierend auf Expertenmeinungen und der aktuellen Marktlage sind folgende vier Schritte unverzichtbar:

1. Das „Recht auf Glasfaser“ gesetzlich verankern

Glasfaser muss im TKG den gleichen Status erhalten wie Wasser und Strom. Es ist Daseinsvorsorge. Vermieter sollten Modernisierungen nicht mehr blockieren dürfen. Die Duldungspflicht muss verschärft werden, damit einzelne Blockierer nicht den Fortschritt ganzer Straßenzüge aufhalten.

2. Anhebung der Mindestbandbreiten auf zeitgemäße Werte

Die Definition der Grundversorgung muss sich an der Realität orientieren, nicht an der Vergangenheit.

• Download: Mindestens 100 Mbit/s (besser 150 Mbit/s).
• Upload: Mindestens 50 Mbit/s, um Home Office und Cloud-Nutzung zu ermöglichen.
• Latenz: Unter 20 ms.

3. Der Abschaltplan für Kupfer (Copper Switch-Off)

Solange das alte Kupfernetz parallel betrieben wird, fehlt der Anreiz zum Wechsel. Wir brauchen – nach dem Vorbild von Spanien oder Schweden – ein festes Datum (z.B. 2032) für die Abschaltung des Kupfernetzes. Das schafft Planungssicherheit für Investoren und Kunden.

4. Verpflichtende Inhouse-Verkabelung (NE4)

Glasfaser bis in den Keller (Homes Passed) bringt dem Nutzer im 4. Stock nichts. Bei jeder Renovierung und jedem Neubau muss die Glasfaser-Verkabelung bis in die Wohnräume gesetzlich vorgeschrieben sein.

Das Erbe der Ära Kohl (CDU)

Warum stehen wir überhaupt hier? Die digitale Rückständigkeit Deutschlands ist kein Zufall, sondern das Ergebnis politischer Entscheidungen. Bereits in den 1980er Jahren gab es unter der Regierung Schmidt Pläne für einen flächendeckenden Glasfaserausbau.

Doch die Regierung unter Helmut Kohl (CDU) stoppte dieses visionäre Vorhaben zugunsten des Kupfer-Koaxialkabels – primär, um privates Kabelfernsehen zu fördern. Diese „Kupfer-Entscheidung“ gilt heute als einer der gravierendsten industriepolitischen Fehler der Nachkriegsgeschichte.

Die Gefahr der Wiederholung unter Merz

Mit der aktuellen Regierung unter Friedrich Merz (CDU) und der SPD besteht die Gefahr, dass sich Geschichte wiederholt (oder zumindest nicht korrigiert wird). Die „Kupfer-DNA“ sitzt tief. Ein echtes „Recht auf Glasfaser“ kostet Geld und erfordert harte Eingriffe in den Markt – etwas, das einer wirtschaftsliberalen Führung traditionell widerstrebt. Doch ohne Bruch mit der alten Doktrin droht Deutschland den Anschluss endgültig zu verlieren.

Fazit: Handeln statt Hoffen

Das Internet ist kein „Neuland“ mehr, es ist das Fundament unserer Wirtschaft und Gesellschaft. Wir können es uns nicht leisten, dieses Fundament auf bröckeligen Kupferleitungen aus den 80er Jahren zu bauen.

Ein Recht auf Glasfaser ist keine Luxusforderung, sondern die Voraussetzung für Chancengleichheit in Bildung und Beruf. Die Technologien sind da, das Geld ist da (oft mangelt es eher am Abruf der Fördermittel) – was fehlt, ist der politische Mut, alte Zöpfe abzuschneiden und das Kupferzeitalter zu beenden.

I. Die explosive Abhängigkeit: Wo globale Clouds an nationale Gesetze stoßen

Die Nutzung von Cloud-Diensten, insbesondere der großen US-Hyperscaler wie Amazon Web Services (AWS), Microsoft Azure und Google Cloud, ist heute die Norm für Unternehmen und oft auch für öffentliche Verwaltungen. Sie bieten beispiellose Skalierbarkeit, Innovation und Kosteneffizienz. Doch diese Abhängigkeit kommt mit einem hohen Preis: dem Verlust der Cloud Act Datenschutz Souveränität.

Das Kernproblem ist der direkte Konflikt zwischen den Gesetzen, die US-Unternehmen in ihrem Heimatland befolgen müssen, und den strengen Datenschutzbestimmungen der Europäischen Union (DSGVO) sowie der Schweiz (DSG). Daten, die in Deutschland, der EU oder der Schweiz gespeichert werden, gelten nur vermeintlich als geschützt, sobald der Dienstleister seinen Hauptsitz in den USA hat.

Dieser Artikel analysiert diesen fundamentalen Rechtskonflikt, beleuchtet den jüngsten und drastischen Präzedenzfall in der Schweiz und zieht den Vergleich zur oft zögerlichen, aber strategischen Reaktion in Deutschland und der gesamten EU. Erfahren Sie, welche Schritte Sie unternehmen müssen, um Ihre Daten wirklich souverän und rechtskonform zu halten.

II. Das juristische Fundament des Konflikts: Der US CLOUD Act und seine Folgen

Der „Clarifying Lawful Overseas Use of Data Act“ (kurz CLOUD Act) ist der zentrale rechtliche Dreh- und Angelpunkt, der die Datensicherheit in Europa massiv infrage stellt. Verabschiedet im Jahr 2018, nur kurz vor Inkrafttreten der DSGVO, stellt er eine direkte Bedrohung für die Datensouveränität dar.

1. Was der CLOUD Act US-Behörden erlaubt

Der CLOUD Act ermächtigt US-Strafverfolgungsbehörden, von in den USA ansässigen Cloud-Dienstanbietern die Herausgabe elektronischer Daten zu verlangen. Das Entscheidende daran ist die extraterritoriale Reichweite dieses Gesetzes:

• Unabhängig vom Speicherort: Die US-Behörden können Daten herausverlangen, selbst wenn diese physisch auf Servern in Deutschland, Frankreich, der Schweiz oder einem anderen europäischen Land gespeichert sind.
• Umgehung internationaler Rechtshilfe: Der CLOUD Act umgeht die traditionellen, zeitraubenden Mechanismen der internationalen Rechtshilfe (Mutual Legal Assistance Treaties, MLATs). Anstatt offizielle Ersuchen über diplomatische Kanäle zu stellen, kann eine US-Behörde direkt eine Vorladung an das US-Mutterunternehmen senden.
• Geheimhaltung (Gag Orders): In vielen Fällen ist es dem US-Cloud-Anbieter untersagt, seine europäischen Kunden oder die betroffenen Personen über die erfolgte Datenherausgabe zu informieren. Dies verhindert eine wirksame Rechtsverteidigung durch die Betroffenen.

Das bedeutet im Klartext: Ein US-Unternehmen, das Daten europäischer Kunden speichert, ist in einem Dilemma: Entweder es verstößt gegen US-Recht (Verweigerung der Herausgabe) oder es verstößt gegen europäisches Recht (unzulässige Drittlandsübermittlung ohne angemessene Garantie).

2. DSGVO vs CLOUD Act: Ein unlösbarer Widerspruch

Die DSGVO ist in ihren Anforderungen an die Datenübermittlung in sogenannte Drittstaaten (wie die USA) unmissverständlich.

Auch wenn das transatlantische Datenaustausch-Rahmenwerk (Trans-Atlantic Data Privacy Framework, TADPF) existiert, wurde von Kritikern, darunter Max Schrems, bereits gewarnt, dass die zugrundeliegenden US-Überwachungsgesetze nicht grundlegend geändert wurden. Die rechtliche Unsicherheit bleibt bestehen und wird durch die Möglichkeit des jederzeitigen Zugriffs über den CLOUD Act zementiert.

3. Die reale Gefahr: Digitale Sanktionen gegen den Internationalen Strafgerichtshof (ICC)

Die Gefahr der Abhängigkeit von US-Technologie geht über den CLOUD Act hinaus und wird durch die Möglichkeit politisch motivierter Sanktionen unterstrichen. Ein prägnantes Beispiel ist der Vorfall, bei dem der Chefankläger des Internationalen Strafgerichtshofs (ICC) in Den Haag, Karim Khan, Berichten zufolge den Zugang zu seinem Microsoft-E-Mail-Konto gesperrt bekam.

• Der Auslöser: Die Maßnahme erfolgte mutmaßlich aufgrund einer Executive Order der US-Regierung, die Sanktionen gegen ICC-Personal vorsah. Die US-Regierung unter dem damaligen (und späteren) Präsidenten Donald Trump hatte dies als Reaktion auf Ermittlungen des ICC gegen die USA und ihren Verbündeten Israel angeordnet.
• Die Konsequenz: Ein US-Unternehmen (Microsoft), das dem US-Recht unterliegt, war gezwungen, die Dienste für eine unabhängige internationale Justizbehörde einzustellen.
• Die Bedeutung für die Souveränität: Dieser Vorfall demonstriert auf erschreckende Weise, dass die US-Regierung über US-Tech-Dienstleister einen „digitalen Notschalter“ besitzt, der nicht nur auf Unternehmen, sondern auch auf internationale Organisationen und sogar die Justiz angewendet werden kann. Für alle Nutzer von US-Hyperscalern, auch in Europa, ist dies ein Weckruf: Technologische Abhängigkeit bedeutet immer auch politische und rechtliche Verwundbarkeit.

III. Der Präzedenzfall Schweiz: Ein breites Cloud-Verbot für Behörden

Während in der EU lange über die korrekte Anwendung von Standardvertragsklauseln (SCCs) diskutiert wurde, hat die Schweiz einen deutlich klareren, wenn auch drastischeren Weg eingeschlagen. Die Konferenz der kantonalen und eidgenössischen Datenschutzbeauftragten, kurz Privatim, hat eine Resolution verabschiedet, die faktisch ein breites Cloud-Verbot für Behörden bedeutet.

1. Schweizer Cloud-Verbot Behörden: Analyse der Privatim-Resolution

Die am 18. November 2025 verabschiedete Resolution von Privatim stellt klar: Die Auslagerung besonders schützenswerter oder geheimhaltungspflichtiger Daten an große internationale SaaS-Anbieter ist aus Sicht des Datenschutzes heute in den meisten Fällen unzulässig.

Die Analyse der Resolution, wie sie in den Berichten von Heise und Privatim selbst dargelegt wird, legt die tiefgreifenden Bedenken der Schweizer Datenschützer offen:

1. CLOUD Act als Kernproblem: Die Resolution identifiziert den CLOUD Act explizit als Hauptrisiko. Da US-Anbieter zur Datenherausgabe verpflichtet werden können, widerspricht dies den Geheimhaltungspflichten und der Datensicherheit der Schweizer Behörden.
2. Unzureichende Verschlüsselung: Die gängigen Verschlüsselungsmechanismen der Hyperscaler (z.B. bei Microsoft 365, Google Workspace) reichen nicht aus, solange der Cloud-Anbieter theoretisch Zugriff auf die Schlüssel hat oder der Entschlüsselungsprozess in einem US-dominierten System stattfindet.
3. Fehlende Hilfsperson-Eigenschaft: Bei Daten, die einer gesetzlichen Geheimhaltung unterliegen (wie das Amtsgeheimnis), stellt sich die Frage, ob der externe Cloud-Anbieter überhaupt als „Hilfsperson“ im Sinne des Strafrechts gelten kann. Oftmals ist dies nicht der Fall, was eine Auslagerung von vornherein verbietet.

Die Resolution richtet sich dabei insbesondere an Daten mit erhöhter Schutzbedürftigkeit, wie beispielsweise Steuerdaten, Sozialdaten, Gesundheitsdaten oder vertrauliche Informationen, die dem Amtsgeheimnis unterliegen. Für diese Daten ist eine Migration auf souveräne, Schweizer oder europäische Alternativen unumgänglich.

2. Die Reaktion: Warum die Schweiz so konsequent ist

Der Schweizerische Weg ist bemerkenswert konsequent. Im Gegensatz zur EU, wo die Umsetzung der DSGVO durch die Aufsichtsbehörden oft zersplittert ist, zeigt die Schweiz mit der Privatim-Resolution eine geschlossene Front:

• Klare Gesetzgebung (revDSG): Das revidierte Schweizer Datenschutzgesetz (revDSG) hat die Anforderungen an die Datenübermittlung und -sicherheit verschärft. Die Datenschützer interpretieren diese Regeln nun sehr restriktiv, wenn es um Drittstaaten mit fragwürdiger Rechtslage geht.
• Schutz des Amtsgeheimnisses: Für Behörden ist die Einhaltung des Amtsgeheimnisses eine zentrale gesetzliche Pflicht. Die Existenz des CLOUD Acts schafft eine rechtliche Grauzone, die als unvereinbar mit dieser Pflicht angesehen wird.
• Pragmatismus: Anstatt sich auf komplizierte rechtliche Konstrukte wie SCCs und TMPs zu verlassen, setzt die Schweiz auf klare Verbote für sensible Bereiche. Die einzige akzeptierte Lösung für internationale SaaS-Lösungen ist die vollständige Client-Side-Encryption, bei der die Behörden die Daten selbst verschlüsseln und der Cloud-Anbieter keinen Zugriff auf die Schlüssel hat.

Die Schweizer Entscheidung stellt damit einen bedeutenden Impuls für ganz Europa dar und beweist, dass Datensouveränität im öffentlichen Sektor keine Option, sondern eine Notwendigkeit ist.

IV. Deutschland und die EU: Zwischen Zögerlichkeit und dem Wunsch nach Datensouveränität Deutschland

Die Situation in Deutschland und der EU ist von einer ähnlichen Erkenntnis geprägt wie in der Schweiz, unterscheidet sich aber in der Geschwindigkeit und dem Grad der Umsetzung. Während die Schweiz ein Verbot ausspricht, arbeitet die EU an einem komplexen Rahmenwerk zur Stärkung der EU Cloud-Verordnung und der digitalen Unabhängigkeit.

1. Die Rolle von Schrems II und die Haltung der deutschen Aufsichtsbehörden

Seit dem wegweisenden Schrems II-Urteil des Europäischen Gerichtshofs (EuGH) im Juli 2020 ist klar: Die USA bieten kein angemessenes Schutzniveau für personenbezogene Daten im Sinne der DSGVO. Das Urteil kippte das Abkommen „Privacy Shield“ und zwang Unternehmen, bei Datentransfers in die USA Standardvertragsklauseln (SCCs) zu verwenden, die jedoch nur wirksam sind, wenn „zusätzliche Maßnahmen“ (Technical and Organisational Measures, TOMs) ergriffen werden, die den Zugriff durch US-Behörden effektiv verhindern.

Die Position der Deutschen DPCs:

Die deutschen Datenschutzkonferenzen (DPCs) haben immer wieder betont, dass für Cloud-Dienste, die dem CLOUD Act unterliegen, eine Konformität mit der DSGVO kaum zu gewährleisten ist, insbesondere im Kontext von Telemetrie- und Metadaten.

• Öffentlicher Sektor in Deutschland: Die Nutzung von US Cloud-Anbietern im öffentlichen Sektor ist in vielen Bundesländern stark eingeschränkt oder nur unter Vorbehalt erlaubt. Das prominenteste Beispiel ist Microsoft 365 (M365): Obwohl Datenschutzkonferenzen und Aufsichtsbehörden (wie kürzlich der HBDI in Hessen) die Nutzung für sensible Daten wegen des CLOUD Acts und der unklaren Telemetrie-Kontrolle untersagten oder stark einschränkten, wird M365 aufgrund des Digitalisierungsdrucks und mangels praktikabler Alternativen weiterhin häufig von Bundes- und Landesbehörden eingesetzt. Dies unterstreicht den enormen Konflikt zwischen operativer Notwendigkeit und der Pflicht zur Datensouveränität Deutschland.
• Konkrete Anleitung aus Hessen: Der Hessische Datenschutzbeauftragte (HBDI) veröffentlichte kürzlich eine detaillierte Orientierungshilfe zur datenschutzkonformen Nutzung von Microsoft 365. Diese Anleitung unterstreicht die extrem hohen technischen und organisatorischen Anforderungen (TOMs), die erfüllt werden müssen – insbesondere in Bezug auf Telemetriedaten und die Schlüsselverwaltung (Key Management), um die europäische Cloud Act Datenschutz Souveränität zu gewährleisten. Sie bekräftigt im Grunde die Notwendigkeit einer Client-Side-Encryption für schützenswerte Daten.
• Unzureichende „Sovereign Cloud“-Angebote: US-Anbieter reagieren mit sogenannten „European Sovereign Cloud“ oder „EU Data Boundary“-Angeboten. Diese versprechen, dass Daten in europäischen Rechenzentren bleiben und die Datenverarbeitung europäischen Mitarbeitern unterliegt. ABER: Wie aus den Suchergebnissen hervorgeht, bestätigen selbst Manager von Microsoft in Anhörungen, dass die rechtliche Zuständigkeit des US-Mutterunternehmens bestehen bleibt und der CLOUD Act somit weiter greift. Der Standort Europa allein schützt nicht vor US-Zugriff.

Die deutsche Rechtslage ist damit zwar nuancierter als das Schweizer Verbot, läuft aber auf dieselbe Erkenntnis hinaus: Ohne technische Garantie, dass der US-Anbieter keinen Zugriff auf die unverschlüsselten Daten hat, ist die Nutzung für sensible Daten nach DSGVO nicht konform.

2. Europas Antwort: GAIA-X und der regulatorische Rahmen

Die EU reagiert auf die Herausforderungen des CLOUD Acts nicht nur mit Verboten, sondern vor allem mit dem Aufbau einer eigenen, souveränen digitalen Infrastruktur und einem starken Regulierungsrahmen.

Das Projekt GAIA-X: Ein souveräner Datenraum

GAIA-X ist eine der wichtigsten strategischen Initiativen zur Verwirklichung digitaler Souveränität in Europa. Es ist kein Cloud-Anbieter im klassischen Sinne, sondern ein föderiertes System, das europäische Dateninfrastrukturen zusammenführen soll.

• Zielsetzung: Schaffung eines transparenten und sicheren Datenökosystems, das den europäischen Werten und Standards entspricht (Datenschutz, Transparenz, Portabilität).
• Prinzipien: Zentral sind die Prinzipien der Datensouveränität (der Nutzer behält die Kontrolle über seine Daten), Interoperabilität (Daten und Dienste können leicht zwischen Anbietern gewechselt werden) und Vertrauen (durch die Einhaltung definierter Regeln).
• Herausforderungen: Das Projekt wird oft kritisiert für seine langsame Umsetzung, seine Komplexität und die Tatsache, dass auch US-Unternehmen teilnehmen können – allerdings nur unter der Bedingung, dass sie sich den GAIA-X-Regeln unterwerfen, was die rechtliche Herausforderung des CLOUD Acts nicht automatisch löst. Es ist ein notwendiger Schritt, aber noch kein Garant für vollständige Unabhängigkeit.

Die Regulatorische Offensive der EU

Flankiert wird GAIA-X durch eine Reihe neuer EU-Gesetze und -Verordnungen, die die digitale Autonomie Europas stärken sollen:

1. EU Data Act: Zielt darauf ab, fairen Zugang und Nutzung von Daten zu gewährleisten. Er stärkt die Portabilität und soll es Nutzern erleichtern, zwischen Europäische Cloud-Alternativen zu wechseln, was die Abhängigkeit von einzelnen Hyperscalern verringert.
2. NIS 2-Richtlinie: Verbessert die Cybersicherheit und die Resilienz kritischer Infrastrukturen. Sie fordert höhere Sicherheitsstandards und engere Zusammenarbeit, was indirekt die Notwendigkeit souveräner, sicherer Cloud-Lösungen unter europäischer Kontrolle verstärkt.
3. Cyber Resilience Act: Fokussiert auf die Sicherheit vernetzter Produkte (Hardware und Software), was die gesamte Lieferkette, einschließlich der Cloud-Dienste, in die Pflicht nimmt.

Die EU setzt somit auf einen doppelten Ansatz: Aufbau eigener Infrastruktur (GAIA-X) und Schaffung eines regulatorischen Rahmens, der eine echte Cloud Act Datenschutz Souveränität erzwingen soll, auch wenn die Anbieter außerhalb Europas sitzen.

V. Strategien für Unternehmen: Den Weg zur Datensouveränität gestalten

Der Fall Schweiz zeigt, dass die Zeit der unverbindlichen Diskussionen vorbei ist. Unternehmen und Verwaltungen in Deutschland und der EU müssen jetzt proaktiv handeln, um die rechtlichen Risiken und Bußgelder nach DSGVO zu vermeiden und die Datensouveränität zu wahren.

1. Risikobewertung und Klassifizierung der Daten

Der erste Schritt ist die ehrliche Bestandsaufnahme:

• Datenschutz-Folgenabschätzung (DSFA): Führen Sie eine detaillierte DSFA für jeden Cloud-Dienst durch. Das Risiko des CLOUD Acts muss explizit bewertet und dokumentiert werden.
• Datenklassifizierung: Klassifizieren Sie Ihre Daten nach ihrem Schutzbedarf (öffentlich, intern, vertraulich, geheim). Sensible und besonders schützenswerte Daten (Gesundheitsdaten, Finanzdaten, Betriebsgeheimnisse) sollten niemals unverschlüsselt bei einem US-Anbieter gespeichert werden.

2. Technische und Organisatorische Maßnahmen (TOMs) als Schlüssel

Um die Lücke zwischen CLOUD Act und DSGVO zu schließen, sind die TOMs entscheidend. Standortgarantien von US Cloud Anbieter DSGVO-konform zu machen, reicht nicht aus.

3. Der Fokus auf Europäische Cloud-Alternativen

Langfristig ist die digitale Unabhängigkeit nur durch die Nutzung von Anbietern zu erreichen, die technologisch, organisatorisch und rechtlich vollständig dem europäischen Recht unterliegen.

• Rechtssicherheit: Die Wahl eines Anbieters mit Hauptsitz in der EU (z.B. Deutschland, Frankreich, Skandinavien) und Rechenzentren in der EU/Schweiz bietet die größtmögliche Sicherheit, da dieser nicht dem CLOUD Act unterliegt.
• Open Source-Lösungen: Die Nutzung von Open Source-Plattformen, deren Quellcode transparent und überprüfbar ist, fördert das Vertrauen und die Cloud Act Datenschutz Souveränität.
• Föderierte Ansätze: Lösungen, die es erlauben, Daten dezentral und auf verschiedenen Clouds zu speichern, reduzieren die Abhängigkeit von einem einzigen Hyperscaler.

Technologische Basis: KVM und Proxmox VE

Für den Aufbau souveräner europäischer Cloud-Infrastrukturen auf Hypervisor-Ebene (IaaS) bieten KVM (Kernel-based Virtual Machine) und Proxmox Virtual Environment (VE) ideale technische Voraussetzungen. Als stabile, quelloffene und in Europa entwickelte bzw. stark genutzte Lösungen ermöglichen sie eine hohe Kontrolle über die Virtualisierungsebene. Die größte Herausforderung ist derzeit jedoch die Schaffung einer umfassenden, mandantenfähigen und modularen Verwaltungsschicht (Management Plane), die es Kunden erlaubt, ihre eigene Infrastruktur so einfach und flexibel „zusammenzuklicken“, wie dies bei den IaaS-Angeboten von Azure oder AWS der Fall ist. Hier besteht noch Entwicklungsbedarf, um die Wettbewerbsfähigkeit zu gewährleisten.

Angesichts dieser dringenden rechtlichen und souveränitätspolitischen Notwendigkeit ist es umso verwunderlicher, dass bisher keine europäische Firma oder kein Dienstleister in der Lage war, eine marktreife, EU-eigene Lösung zu etablieren, die in ihrer Benutzerfreundlichkeit und Modulhaftigkeit (Verwaltungsebene) den US-Hyperscalern ebenbürtig ist. Hier muss dringend die EU und müssen Länder wie Deutschland die Schirmherrschaft übernehmen und eine dedizierte Task Force gründen, um diese existenzielle Lücke schnellstmöglich zu schließen und europäische Lösungsanbieter gezielt zu unterstützen.

Die Cloud Act Datenschutz Souveränität ist kein technisches, sondern ein rechtliches Problem. Es erfordert einen Paradigmenwechsel: Von der Akzeptanz des geringsten Widerstands (US-Hyperscaler) hin zur bewussten Wahl souveräner und rechtskonformer Lösungen.

VI. Schlussfolgerung und Ihr Weg zur Datensouveränität (CTA)

Der Konflikt zwischen dem US CLOUD Act und den europäischen Datenschutzgesetzen ist eine der größten Herausforderungen der digitalen Ära. Die klare Position der Schweizer Datenschützer, die ein faktisches Schweizer Cloud-Verbot Behörden für sensible Daten verhängen, unterstreicht die Realität der Bedrohung: Der Zugriff durch US-Behörden, selbst auf europäisch gespeicherte Daten, ist ein ungelöstes Problem. Der Vorfall mit dem Internationalen Strafgerichtshof (ICC) zeigt zudem die extreme Verwundbarkeit durch digitale Sanktionen auf.

Deutschland und die EU reagieren mit strategischen Infrastrukturprojekten wie GAIA-X und einer verschärften Regulierung (Data Act, NIS 2), um die Datensouveränität Deutschland zu sichern. Doch diese Initiativen brauchen Zeit.

Für Ihr Unternehmen oder Ihre Behörde bedeutet dies:

1. Akzeptieren Sie das Risiko: Die bloße Speicherung in europäischen Rechenzentren eines US-Anbieters schützt nicht vor dem CLOUD Act oder politischen Sanktionen.
2. Verschlüsseln Sie selbst: Nur die vollständige Client-Side-Encryption, bei der Sie die Schlüsselkontrolle behalten, bietet echten Schutz für sensible Daten.
3. Evaluieren Sie Alternativen: Prüfen Sie proaktiv Europäische Cloud-Alternativen, die unter rein europäischer Jurisdiktion operieren.

Die Cloud Act Datenschutz Souveränität ist die Basis für das Vertrauen Ihrer Kunden und die Einhaltung Ihrer gesetzlichen Pflichten. Warten Sie nicht auf das nächste Schrems-Urteil oder ein Verbot; handeln Sie jetzt.