Der Deutschland-Stack soll die „nationale souveräne Technologie-Plattform“ für die Verwaltung werden. Am 12. Oktober 2026 hat der Deutsche Städte- und Gemeindebund über ein Webinar mit dem Digitalministerium berichtet, an dem am 3. Juli mehr als 400 Vertreter aus Städten, Gemeinden und Landesverbänden teilgenommen haben. Erste Lösungen sollen ab Beginn 2028 verfügbar sein.

Ich betreue die IT einer hessischen Gemeinde, und meine Frage an so ein Vorhaben ist schlicht: Hilft mir das, aus der Microsoft-Abhängigkeit herauszukommen? Windows 11 auf den Laptops, Windows Server 2019 und 2025 als virtuelle Maschinen, Active Directory, eine RDS-Farm, AD FS, AD LDS, SQL Server, Exchange, Office 2024, Sternberg SD.NET, die eAkte, ein Stapel Fachverfahren der ekom21 und im Bürgerservice die Geräte der Bundesdruckerei. Das ist kein Sonderfall, so sieht eine normale Kommune aus.

Ich habe die Webseiten des Stacks, den Beschluss des IT-Planungsrats samt Anlagen und die Sachstandspräsentation des Ministeriums durchgearbeitet. Die kurze Antwort: Der Deutschland-Stack löst dieses Problem nicht, und er will es auch gar nicht lösen. Er setzt Standards, die es mittelfristig lösbar machen. Bis dahin kommt er obendrauf.

Was der Deutschland-Stack ist und was beschlossen wurde

Verbindlich ist bisher ein Dokument: der Beschluss B-2026/03-IT des IT-Planungsrats vom 18. März 2026. Darin steht, dass der Bund den Stack federführend aufbaut und dass der einheitliche Plattformkern in erster Fassung aus fünf Basisdiensten besteht: Identität und Vertrauen, Datenaustausch, Datenabruf, Zahlungsabwicklung und Postfach.

Die Anlage „Portfolio“ nennt dazu die Produkte. Für Identität sind es eID und EUDI-Wallet, für das Postfach ZaPuK, für den Datenaustausch FIT-Connect, für den Datenabruf NOOTS, für Zahlungen ZBDS einschließlich ePayBL. Dazu kommen KIPITZ als KI-Plattform, Low-Code für Workflows, der Marktplatz Deutschland Digital, openCode für die Entwicklung und die Deutsche Verwaltungscloud als Betriebsumgebung. Als Zugang sind Bundesportal und Deutschland-App vorgesehen.

Zwei Formulierungen sollte man genau lesen. Bund, Länder und Kommunen „streben“ die Nutzung dieser Lösungen bei Neu- und Weiterentwicklungen „an“. Das ist kein Anschlusszwang. Und die Standards sind verbindliche Grundlage „der Lösungen des Deutschland-Stacks“, also der Bausteine selbst, nicht der IT im Rathaus.

Struktur des D-Stacks: sieben Schichten

Die Seite zur Struktur des Stacks ordnet alles in sieben Schichten: Infrastruktur, DevSecOps (Entwicklung, Sicherheit, Betrieb), Plattform, Basisdienst, Anwendungen und Dienstleistungen, Oberfläche und Zugang sowie Strategie, Architektur und Governance.

Wichtig ist die Trennung zwischen fachagnostisch und fachspezifisch. Fachagnostische Schichten gehören zum Stack, fachspezifische bauen nur darauf auf. Fachanwendungen stehen in der Schicht „Anwendungen und Dienstleistungen“ und sind damit ausdrücklich nicht Teil des Kerns. Ein Einwohnermeldeverfahren, ein Finanzwesen oder ein Sitzungsdienst bleibt Sache der Hersteller und der kommunalen IT-Dienstleister.

Das Zielbild in der Sachstandspräsentation zeigt dasselbe von oben: Portale wie ein „Digitales Rathaus“ sitzen auf Plattformdiensten, darunter liegen fachagnostische Plattformen, Basisdienste und Betriebsplattformen. Ein Verwaltungsarbeitsplatz kommt in diesem Bild nicht vor.

D-Stack Standards: was verbindlich festgelegt ist

Die beschlossenen Standards verteilen sich auf sieben Technologiefelder. Für Admins sind diese relevant:

• KI: Model Context Protocol (MCP), Agent2Agent (A2A), Agent Network Protocol (ANP), AG-UI
• Daten und Dokumente: RDF, OWL, SPARQL, DCAT, JSON, XML, CSV, ODF und PDF/UA als Dokumentenformate, SQL mit ODBC und JDBC
• Infrastruktur: MEF 70 für SD-WAN, Network Function Virtualization
• DevSecOps und Schnittstellen: Git, CI/CD, Infrastructure as Code, SBOM, OWASP, Kubernetes, REST, gRPC, GraphQL, MQTT, OpenAPI
• Cloud: Standards der Deutschen Verwaltungscloud, OpenStack, Sovereign Cloud Stack, EVB-IT
• IT-Sicherheit: BSI IT-Grundschutz, Technische Richtlinien, C5, AES, RSA, ECC, ML-KEM für Post-Quanten-Kryptografie, OAuth, OpenID Connect, JWT, OTP für MFA
• Workflowautomatisierung: kein Standard festgelegt

Auffällig ist, was fehlt. Es gibt keinen Standard für Betriebssysteme, keinen für Verzeichnisdienste, keinen für Laufzeitumgebungen. Weder Linux noch Windows, weder LDAP noch Kerberos, weder Java noch .NET werden genannt. Für die Verwaltung virtueller Maschinen ist ausdrücklich noch „Festlegungsbedarf“ vermerkt.

Drei Punkte aus der Liste wirken trotzdem bis in den Serverraum. ODF ist das Dokumentenformat, nicht OOXML. OAuth und OpenID Connect sind die Anmeldeprotokolle, nicht NTLM oder Kerberos. Und Kubernetes ist die Betriebsplattform, was faktisch Linux-Container bedeutet.

Tech-Stack Landkarte und Kriterien: Orientierung, keine Pflicht

Neben den Standards gibt es die Tech-Stack Landkarte, methodisch von der CNCF Landscape übernommen. Die Präsentation spricht von mehr als 100 Technologien und Standards. Das Ministerium schreibt selbst, die Zusammenstellung sei „aktuell keine rechtliche oder vertragliche Grundlage“.

Ähnlich steht es um die sechs Kriterien: digitale Souveränität, Interoperabilität, Zukunftsfähigkeit, Marktrelevanz, Vertrauenswürdigkeit, Nachhaltigkeit. Das geplante Reifegradmodell wurde nach Kritik aus der ersten Konsultation zurückgestellt, die Kriterien sind nur Orientierung. Als Mindestmaß für Souveränität nennt die Seite die Wechselfähigkeit zwischen Betreibern und Anbietern.

Unter den zehn Architekturprinzipien im Gesamtbild stehen „Made in EU first“, „Prefer Buy over Make“ und „Managed Services only“. Das letzte Prinzip sagt viel über das Betriebsmodell: Stack-Elemente sollen als Dienst bezogen werden, nicht im eigenen Keller laufen.

Was noch offen ist

Laut Sachstandspräsentation wird die Finanzierung der investiven und konsumtiven Kosten des Plattformkerns „aktuell geprüft“, ebenso die rechtssicheren Beauftragungs- und Bezugswege. Der Meilensteinplan soll erst auf der 52. Sitzung des IT-Planungsrats im März 2027 vorgestellt werden, so steht es auf der Zeitplan-Seite.

Das heißt: Eine Kommune weiß heute weder, was die Nutzung kostet, noch auf welchem Vertragsweg sie die Dienste bezieht, noch wann welcher Baustein fertig ist. Die im Webinar gestellten Fragen der Kommunen hat der DStGB gesammelt ans Ministerium gegeben, die Antworten sollen auf der BMDS-Seite erscheinen.

Die Gegenposition: Wem der Stack nicht weit genug geht

Die Open Source Business Alliance hat im Februar 2026 zur zweiten Konsultation Stellung genommen. Nach Bericht von heise kritisiert sie, dass „Lösungen europäisch souveräner Anbieter“ mit Open Source gleichgestellt werden, und nennt die Gefahr „Sovereignty Washing“. Ihr Vorstandsvorsitzender Peter Ganten sagt laut it-daily, ohne durchgängige Open-Source-Strategie „bleibt echte digitale Souveränität unerreichbar“.

Der Verein D64 fragte schon 2025 gegenüber netzpolitik.org, wer den Stack betreibt, finanziert und dafür haftet. Die DIHK verlangt in ihrer Stellungnahme vor allem Klarheit und Verbindlichkeit.

Fairerweise: Das Ministerium hat einen Punkt. Wer alles auf einmal vorschreibt, bekommt nichts fertig. Ein kleiner Plattformkern mit fünf Basisdiensten, der 2028 tatsächlich läuft, wäre mehr, als das Onlinezugangsgesetz in Jahren geliefert hat. Und das Ministerium betont, dass vorhandene Einzellösungen nicht verworfen werden müssen. Nur darf man dann nicht „Souveränität“ über das Ganze schreiben und den Arbeitsplatz ausklammern, an dem die Abhängigkeit jeden Morgen hochfährt.

Microsoft ablösen in der Kommune: Komponente für Komponente

Hier die Beispielkommune gegen den Stack gehalten. Die mittlere Spalte gibt wieder, was Beschluss und Standards hergeben, die rechte ist meine Einschätzung.

Hyper-V, VMware, Proxmox: Der Hypervisor lässt sich tauschen

Unter den Windows-Servern liegt die Virtualisierung, und auch dort sitzt in den meisten Kommunen vermutlich ein proprietäres Produkt: Hyper-V, weil es bei Windows Server dabei ist, oder VMware. Zahlen dazu kenne ich nicht, das ist mein Eindruck. Wer VMware betreibt, hat seit der Übernahme durch Broadcom ein zusätzliches Problem. Um die neuen Lizenzbedingungen gibt es so viel Streit, dass sich laut Bericht von computing.co.uk die EU eingeschaltet hat.

Die freie Alternative heißt Proxmox VE, eine Open-Source-Plattform, die den KVM-Hypervisor und Linux-Container (LXC) zusammenführt. Der Hersteller, die 2005 gegründete Proxmox Server Solutions GmbH, verlangt nach eigener Angabe keine Lizenzkosten und bietet Subskriptionen optional an. Ich betreibe selbst einen Proxmox-Cluster und würde nicht zurückwechseln. Von allen Schritten in diesem Artikel ist das der, den eine Kommune am ehesten allein schafft.

Nur sollte niemand glauben, damit sei die Microsoft-Frage erledigt. Auf dem freien Hypervisor laufen weiter Windows-Server, und für die gilt Microsofts Lizenzmodell unverändert. Antworten in Microsofts eigenem Q&A-Forum sagen es ausdrücklich: Die Lizenz hängt an der physischen Hardware, nicht am Hypervisor, ob Hyper-V, VMware oder Proxmox.

Microsoft-Lizenzkosten: Die Rechnung läuft pro Benutzer

Wer über Microsoft-Kosten redet, denkt zuerst an die Serverlizenzen. In der Praxis sind sie der kleinere Posten. Laut Microsofts Lizenzleitfaden für Windows Server 2025 müssen alle physischen Kerne eines Hosts lizenziert werden, mindestens 16 pro Server. Die Standard-Edition deckt damit zwei virtuelle Maschinen ab, Datacenter beliebig viele. Datacenter rechnet sich deshalb erst, wenn genügend Windows-VMs auf dem Host laufen. Dann aber kosten die Windows-Betriebssysteme der Gäste nichts extra, und das einzelne Serverbetriebssystem ist kein Kostentreiber mehr.

Der große Posten sind die Lizenzen je Benutzer. Der Leitfaden verlangt für jeden Benutzer oder jedes Gerät, das auf einen lizenzierten Server zugreift, eine Windows-Server-CAL. CAL steht für Client Access License, also eine Zugriffslizenz. Für die RDS-Farm kommt je Benutzer eine RDS-CAL obendrauf, für das Postfach eine Exchange-CAL, dazu die Office-Lizenz. In einer typischen Kommune, die zentral in der RDS-Farm arbeitet, sind das vier Lizenzen pro Kopf, und jede neue Stelle bringt alle vier mit.

Dazu kommt, dass diese Lizenzen altern. Eine CAL erlaubt laut Leitfaden den Zugriff auf „the same version, or earlier versions“ der Serversoftware. Wer seine Server von 2019 auf 2025 hebt, braucht also für alle Benutzer neue CALs, auch wenn sich an deren Arbeit nichts ändert. Bei Exchange ist der Kauf auf Vorrat ganz vorbei: Für die Exchange Server Subscription Edition müssen nach den Product Terms, wie sie im Microsoft-Q&A zitiert werden, auch die CALs als Abonnement oder mit aktiver Software Assurance vorliegen. Office LTSC 2024 läuft im Oktober 2029 aus dem Support.

Das ist der Kern der Abhängigkeit, und er hat mit dem Hypervisor nichts zu tun. Eine Kommune kann Proxmox einführen, Datacenter-Lizenzen sauber ausnutzen und alle Infrastrukturdienste auf Linux ziehen. Solange die Beschäftigten sich an einer Windows-Domäne anmelden, in einer RDS-Sitzung arbeiten, ein Exchange-Postfach haben und Word öffnen, zahlt sie für jeden von ihnen weiter, und bei jedem Versionswechsel wieder.

Sparen lässt sich daher nur, indem man ganze Dienste ablöst: Fällt Exchange weg, fallen die Exchange-CALs weg. Fällt die RDS-Farm weg, fallen die RDS-CALs weg. Die Server-CAL verschwindet erst, wenn kein Benutzer mehr auf einen Windows-Server zugreift, also praktisch zuletzt. Der Deutschland-Stack sagt zu alledem nichts.

Active Directory, AD FS und AD LDS

Für AD FS gibt es die sauberste Antwort. Der Stack legt OAuth und OpenID Connect fest, und Keycloak spricht OpenID Connect, OAuth 2.0 und SAML, bindet LDAP und Active Directory als Benutzerquelle ein und hat eine Kerberos-Brücke. Man kann Keycloak also vor ein bestehendes AD stellen und AD FS ablösen, ohne die Domäne anzufassen. Das ist der eine Schritt, den ich jeder Kommune schon heute empfehlen würde.

Das Active Directory selbst ist schwieriger. Univention dokumentiert für UCS einen AD Takeover: Benutzer, Gruppen, Computerobjekte und Gruppenrichtlinien werden übernommen, die Windows-Clients müssen der Domäne nicht neu beitreten. Die Grenzen stehen ebenfalls im Handbuch: Microsoft-Domänencontroller können einer Samba-Domäne nicht beitreten. Samba bietet die Funktionsebene 2016 seit Version 4.20 nur als Option an, die laut Release Notes noch neu und nicht voreingestellt ist.

Schleswig-Holstein, das am weitesten ist, beschreibt den Microsoft-Verzeichnisdienst auf seiner Projektseite als Instanz, ohne die die Arbeitsfähigkeit der Behörden nicht sicherzustellen ist, und arbeitet an einer Teststellung für die Ablösung. Wenn ein Land mit Dataport im Rücken dafür Jahre braucht, sollte eine Gemeinde mit einer IT-Stelle das nicht als Wochenendprojekt planen. Ob Produkte wie eine Kennwortrichtlinien-Erweiterung oder eine Smartcard-Anmeldung an Samba-AD funktionieren, habe ich nicht getestet.

Windows Server und die RDS-Farm

Hier gibt es einen Termin, der unabhängig vom Deutschland-Stack läuft: Der erweiterte Support für Windows Server 2019 endet im Januar 2029. Windows Server 2025 läuft bis November 2034. Jede Kommune mit 2019er-Servern muss also bis Ende 2028 entscheiden, was neu aufgebaut wird, und das ist der Moment, an dem man Dienste trennen kann. Es ist auch der Moment, an dem die neuen CALs fällig werden.

Datei-, Druck-, DNS- und DHCP-Dienste brauchen kein Windows. Die RDS-Farm braucht es, solange die Anwendungen darauf Windows-Programme sind. Ich halte sie deshalb nicht für das Problem, sondern für die Brücke: Wenn die Fachanwendung zentral auf einem Session Host läuft, ist dem Endgerät das Betriebssystem egal. Schleswig-Holstein plant genau so und will Fachverfahren, die nicht betriebssystemunabhängig laufen, ersetzen oder über einen Remote-Dienst bereitstellen.

Die Brücke hat ihren Preis: Jeder Nutzer, der sie betritt, braucht Server-CAL und RDS-CAL. Wer den Laptop auf Linux umstellt und die Fachverfahren per RDS liefert, spart die Windows-Lizenz am Client und zahlt den Rest weiter.

MS SQL Server

Der Stack nennt SQL, ODBC und JDBC, also Schnittstellen und keine Produkte. SQL Server läuft laut Microsoft-Dokumentation seit Version 2017 auf Linux, mit derselben Datenbank-Engine, unterstützt auf Red Hat und Ubuntu bis einschließlich SQL Server 2025. SUSE wird ab 2025 nicht mehr unterstützt.

Das nimmt Windows aus der Gleichung, nicht Microsoft. Der Wechsel auf PostgreSQL hängt allein am Hersteller der Anwendung. Solange ein Fachverfahren nur für SQL Server freigegeben ist, verliert man mit einer anderen Datenbank den Support.

Exchange, Office 2024 und openDesk

Office LTSC 2024 wird bis Oktober 2029 unterstützt, einen erweiterten Support gibt es nicht. Der Stack setzt ODF und PDF/UA als Dokumentenformate.

Die Alternative des Bundes heißt openDesk, entwickelt vom ZenDiS, einer GmbH des Bundes. Aktuell ist Version 1.19.1 vom 6. Oktober 2026. Das ist eine Web-Suite mit E-Mail, Kalender, Dateien, Dokumentenbearbeitung, Chat, Videokonferenz, Projekten und Identitätsmanagement; laut einer Pressemitteilung vom Juli sind 100.000 Verwaltungsarbeitsplätze damit ausgestattet. openDesk ersetzt Exchange, SharePoint und Teams, aber kein Betriebssystem und kein Client-Management. Im beschlossenen Portfolio des Deutschland-Stacks taucht openDesk nicht auf.

Für die Lizenzrechnung ist Exchange der lohnendste Kandidat, weil mit dem Dienst eine ganze CAL-Schicht verschwindet und E-Mail am wenigsten an Fachverfahren hängt. Bei Office ist es umgekehrt. Die eAkte-Broschüre der ekom21 wirbt mit der Integration von Microsoft-Office-Werkzeugen, das Modul „eAkte Office“ übergibt Dokumente aus Word per Knopfdruck. Bei SD.NET sind die Dokumentvorlagen laut ekom21-Broschüre Word-Dateien, dazu kommt eine Outlook-Schnittstelle.

Schleswig-Holstein hat für seine E-Akte eine LibreOffice-Erweiterung beauftragt und arbeitet nach eigenen Angaben mit fast 80 Prozent der Arbeitsplätze auf LibreOffice. Dort hat das Land die Anpassung bezahlt. In Hessen müsste das jemand bei der ekom21 bestellen.

Bürgerservice: Die Geräte der Bundesdruckerei laufen nur an Windows-PCs

Ein Punkt fehlt in fast jeder Linux-Debatte, und er wiegt schwerer als Office. Im Bürgerservice stehen Geräte der Bundesdruckerei: das Lesegerät, mit dem Personalausweise geprüft werden, das Änderungsterminal, an dem Bürger ihre PIN setzen oder ändern, und der Fingerabdruckscanner für Pass und Ausweis. Ohne diese Geräte stellt eine Kommune kein einziges Ausweisdokument aus.

Aus meiner Praxis: Diese Geräte laufen ausnahmslos an einem Windows-PC, und zwar direkt am Arbeitsplatzrechner. Das ist keine Bequemlichkeit der Kommune, sondern Vorgabe der Bundesdruckerei. Ein Linux-Client scheidet damit aus, und die Brücke über die RDS-Farm, die bei anderen Fachverfahren trägt, hilft hier nicht, weil die Hardware lokal am Windows-Gerät hängen muss. Eine öffentlich zugängliche Systemanforderung der Bundesdruckerei, die das schwarz auf weiß zeigt, habe ich nicht gefunden; der Produktkatalog der Bundesdruckerei-Gruppe nennt die Geräte, aber keine Betriebssysteme.

Das Unangenehme daran ist der Absender. Die Bundesdruckerei gehört dem Bund. Derselbe Bund schreibt mit dem Deutschland-Stack „Souveränität“ über sein größtes Digitalvorhaben und macht die EUDI-Wallet zum Basisdienst für Identität. An der Stelle, an der diese Identität im Rathaus entsteht, schreibt ein Bundesunternehmen den Kommunen Windows vor.

Solange das so bleibt, gibt es in jeder Kommune mit Pass- und Ausweisbehörde Windows-Arbeitsplätze, egal was mit dem Rest passiert. Man kann sie auf den Bürgerservice begrenzen. Abschaffen kann man sie nicht.

.NET Framework unter Linux: warum die alte Abhängigkeit bleibt

Sie fragen sich vielleicht, warum man die Windows-Programme nicht einfach unter Linux startet. Die Antwort steckt in der Unterscheidung zwischen zwei Dingen, die beide „.NET“ heißen.

Das alte .NET Framework 4 ist laut Microsoft eine reine Windows-Version und gilt als Bestandteil des Betriebssystems. Das moderne .NET ist plattformübergreifend und läuft auf Linux. Eine Serveranwendung auf ASP.NET Core lässt sich also in einen Linux-Container packen und passt damit zum Kubernetes-Standard des Stacks.

Bei Desktop-Programmen hilft das nicht. Windows Forms ist auch in der modernen Fassung ein Framework für Windows-Desktop-Anwendungen. Und beim Portieren fallen Techniken weg, die ältere Fachverfahren gern benutzen: Microsoft listet unter den nicht verfügbaren Technologien Application Domains, .NET Remoting, COM+ über System.EnterpriseServices und Workflow Foundation. WCF-Server gibt es nur noch über das Community-Projekt CoreWCF.

Der frühere Ausweg hieß Mono, eine freie Nachbildung des .NET Framework samt Windows Forms für Linux. Microsoft hat das Projekt im August 2024 an WineHQ abgegeben. Das letzte große Release stammt vom Juli 2019, und Microsoft empfiehlt den Umstieg auf das moderne .NET. Für ein Fachverfahren mit Herstellersupport ist das keine Grundlage.

Für SD.NET heißt das konkret: Die ekom21 bietet den Betrieb im Rechenzentrum über Citrix an, alternativ den autonomen Betrieb im eigenen Haus. Welche Laufzeit und Datenbank der Client genau verlangt, steht in der Broschüre nicht, die Systemvoraussetzungen gibt es auf Anfrage. Dass es sich um einen Windows-Client auf .NET handelt, legen Name und Bereitstellung nahe, belegt habe ich es nicht. Der Citrix-Weg zeigt aber die Richtung: Citrix liefert eine Workspace-App für Linux, derzeit nur für X11 und nicht für Wayland.

Ein Linux-Arbeitsplatz in der Kommune funktioniert also dann, wenn jedes Fachverfahren entweder im Browser läuft oder aus dem Rechenzentrum gestreamt wird. An der Abhängigkeit von Windows ändert das auf dem Server nichts. Sie zieht nur vom Laptop ins Rechenzentrum um, samt Lizenzen. Und im Bürgerservice zieht sie nicht einmal um.

Die größte Hürde: die Menschen am Arbeitsplatz

Bis hierher ging es um Technik und Lizenzen. Wenn Microsoft wirklich ersetzt werden soll, liegt die größte Hürde woanders, nämlich bei den Mitarbeitenden. Viele in der Verwaltung kommen mit Word und Excel gerade so zurecht und nutzen Outlook für ihre E-Mails. Mehr haben sie nie gebraucht, und mehr hat ihnen meist auch niemand beigebracht. Das ist kein Vorwurf. Eine Sachbearbeiterin im Ordnungsamt ist für Ordnungsrecht eingestellt, nicht für Software.

Für diese Kolleginnen und Kollegen ist der Wechsel auf LibreOffice, ein anderes Mailprogramm oder gar einen Linux-Desktop kein Detail. Jeder Handgriff, der seit Jahren sitzt, liegt plötzlich woanders. Die Serienbrief-Vorlage sieht anders aus, die Excel-Tabelle mit den Makros des Vorgängers rechnet nicht mehr, der Kalender lässt sich nicht mehr so freigeben wie gewohnt. Was die IT als gleichwertigen Ersatz verbucht, kommt am Schreibtisch als Störung an, und zwar mitten in der laufenden Arbeit mit Fristen und Publikumsverkehr.

Deshalb braucht eine Ablösung erheblich mehr Schulung, als in den meisten Projektplänen steht. Schleswig-Holstein hat das erkannt: Die Projektseite des Landes nennt ein eigenes Schulungspaket und Schulungen für die Beschäftigten als festen Teil der LibreOffice-Einführung, und das Land stellt nach eigenen Angaben für 2026 neun Millionen Euro an einmaligen Investitionen für Migration und Weiterentwicklung den eingesparten Lizenzkosten gegenüber. Eine Gemeinde hat dafür weder ein Budget noch eine Fortbildungsabteilung.

Ich halte diesen Punkt für entscheidender als jede Frage nach Samba oder Kubernetes. Eine technisch saubere Migration scheitert, wenn nach drei Wochen der halbe Fachbereich beim Bürgermeister steht und Word zurückverlangt. Wer Microsoft ablösen will, muss die Schulung von Anfang an mitfinanzieren, mit Zeit für die Beschäftigten, mit Ansprechpartnern im Haus und mit Geduld über Monate. Im Deutschland-Stack kommt das Thema nicht vor, bei den Festlegungsbedarfen zur IT-Sicherheit steht lediglich ein „Format zu Sensibilisierung von Nutzenden“.

Der Stack kommt obendrauf: Kosten und Kubernetes-Know-how

Aus alledem folgt etwas, das in keiner Präsentation des Ministeriums steht. Der Deutschland-Stack ersetzt in einer Kommune zumindest derzeit keine einzige Microsoft-Komponente. Er liefert Identität, Postfach, Datenaustausch, Registerabruf und Bezahlen für Bürgerdienste. Domäne, RDS-Farm, Exchange, Office und die Fachverfahren laufen daneben unverändert weiter, mit allen Lizenzen.

Für den Haushalt heißt das: Was die Stack-Dienste kosten werden, kommt zu den Microsoft-Lizenzen hinzu, nicht an ihre Stelle. Wie viel das ist, weiß niemand, die Finanzierung wird ja noch geprüft. Vielleicht trägt der Bund den Plattformkern, vielleicht landet ein Teil über Umlagen und Entgelte der IT-Dienstleister bei den Kommunen. Sicher ist nur die Richtung der Rechnung. Wer im Gemeindevorstand „Souveränität“ hört und Einsparungen erwartet, sollte das vorher wissen.

Der zweite Punkt betrifft die Technik. Der Stack setzt auf Kubernetes, CI/CD-Pipelines und Infrastructure as Code. Das ist Stand der Technik und für eine zentrale Plattform richtig. Nur hat nach meinem Eindruck kaum eine Kommune jemanden, der Kubernetes betreibt oder auch nur nutzt. Die IT-Abteilung einer Gemeinde besteht oft aus ein oder zwei Leuten, die Windows-Server, Netzwerk, Telefonie und den Drucker im Standesamt betreuen. Zahlen dazu habe ich nicht, aber ich kenne kein Rathaus dieser Größe mit einem Kubernetes-Cluster.

Das Ministerium hat darauf eine Antwort, und sie steht in den Architekturprinzipien: „Managed Services only“. Die Kommune soll den Stack gar nicht selbst betreiben, sondern Dienste beziehen. Das ist ehrlich, hat aber zwei Folgen. Erstens entsteht eine neue Abhängigkeit, diesmal vom Betreiber der Plattform und vom IT-Dienstleister, der sie vermittelt. Zweitens bleibt das Wissen dort. Wechselfähigkeit, das Mindestmaß an Souveränität laut Kriterienkatalog, setzt voraus, dass jemand im Haus beurteilen kann, was er da bezieht.

Ich halte das nicht für ein Argument gegen den Stack. Eine Gemeinde mit 12.000 Einwohnern soll keinen Cluster betreiben. Aber es zeigt, für wen er gebaut ist: für Länder, IT-Dienstleister und Softwarehersteller, die darauf Dienste entwickeln. Die Kommune ist Kundin, nicht Betreiberin, und sie zahlt künftig an zwei Stellen.

Was Sie als Admin jetzt tun können

Ich würde nicht auf 2028 warten, und ich würde auch nicht den großen Umstieg ausrufen. Diese Schritte kosten wenig und passen zu dem, was der Stack festlegt:

1. Fachverfahren inventarisieren: Client-Typ, Laufzeit, Datenbank, Office-Kopplung, Anmeldeverfahren, angeschlossene Hardware. Ohne diese Liste ist jede Linux-Diskussion Meinung.
2. Die Lizenzen pro Benutzer aufschreiben: Server-CAL, RDS-CAL, Exchange-CAL, Office. Dann sieht man, welcher Dienst welche Schicht verursacht und wo eine Ablösung sich rechnet.
3. Neue Anmeldungen nur noch über OpenID Connect oder SAML bauen und AD FS durch Keycloak ersetzen.
4. Bei jeder Beschaffung drei Fragen stellen: Gibt es einen Web-Client? Läuft der Serverteil auf Linux und PostgreSQL? Kann das Verfahren ODF?
5. Den Neuaufbau der 2019er-Server bis Ende 2028 nutzen, um Infrastrukturdienste von Windows zu lösen, und vorher klären, welche CALs dabei neu fällig werden.
6. Den Hypervisor prüfen. Der Wechsel von VMware zu Proxmox spart die VMware-Kosten, an der Microsoft-Rechnung ändert er nichts.
7. ODF intern als Ablageformat einführen, soweit die Fachverfahren es zulassen.
8. Schulung als eigenen Posten planen, bevor irgendetwas am Arbeitsplatz ersetzt wird: Zeit für die Beschäftigten, feste Ansprechpartner je Fachbereich, und zuerst eine Pilotgruppe, die freiwillig mitmacht.
9. Linux- und Container-Wissen im eigenen Haus aufbauen, in kleinen Schritten. Ein paar Dienste in LXC-Containern oder mit Docker reichen, um mitreden zu können. Einen eigenen Kubernetes-Cluster braucht dafür niemand.
10. Im Haushalt keine Einsparung durch den Stack einplanen und den IT-Dienstleister fragen, welche Entgelte für Stack-Dienste zu erwarten sind.
11. Die ekom21 schriftlich fragen, welche Verfahren wann ohne Windows-Client und ohne Microsoft Office nutzbar sein werden.
12. Den Bürgerservice als eigene Geräteklasse planen: Diese Arbeitsplätze bleiben auf Windows. Und die Frage nach Linux-Unterstützung der Bundesdruckerei gehört in die Feedbackrunden zum Deutschland-Stack.

Punkt 11 und 12 entscheiden darüber, ob eine Ablösung überhaupt möglich wird, Punkt 8 darüber, ob sie gelingt. Die ersten beiden liegen nicht im Rathaus, sondern bei den Herstellern der Fachverfahren, beim kommunalen IT-Dienstleister und bei einem Unternehmen des Bundes.

Fazit

Der Deutschland-Stack ist ein Plattformkern für Bürgerdienste: Anmeldung, Postfach, Datenaustausch, Registerabruf, Bezahlen. Beschlossen sind dafür fünf Basisdienste und eine Liste offener Standards. Betriebssystem, Verzeichnisdienst, Virtualisierung, Terminalserver und Fachverfahren kommen darin nicht vor, und Finanzierung, Bezugswege und Meilensteine sind offen bis mindestens März 2027.

Für die Microsoft-Ablösung liefert er trotzdem etwas Brauchbares, nämlich Argumente für Ausschreibungen. ODF, OpenID Connect, offene Schnittstellen und Kubernetes sind vom IT-Planungsrat beschlossen. Wer das in Leistungsbeschreibungen schreibt, zwingt Hersteller in die richtige Richtung.

Was die Kommune selbst tun kann, ist überschaubar: Proxmox statt VMware oder Hyper-V, Keycloak statt AD FS, Linux für die Infrastrukturdienste. Das ist richtig, aber es ändert an der Microsoft-Rechnung wenig. Die läuft pro Benutzer, über Server-, RDS- und Exchange-CALs und über Office, und sie wird mit jeder neuen Version neu gestellt. Solange Fachverfahren eine Windows-Domäne, eine RDS-Sitzung und Word verlangen, bleibt jeder Beschäftigte ein Lizenzfall.

Der Stack kommt deshalb vorerst obendrauf, als zweite Rechnung neben der ersten, gebaut auf einer Technik, die im Rathaus kaum jemand beherrscht. Das spricht nicht gegen ihn. Es spricht dagegen, ihn den Kommunen als Entlastung zu verkaufen.

Und selbst wenn Hersteller und Bund morgen alle technischen Hürden abräumten, säße die größte noch am Schreibtisch. Menschen, die seit zwanzig Jahren mit Word, Excel und Outlook arbeiten, wechseln nicht per Beschluss. Ohne Geld und Zeit für Schulung bleibt jede Ablösung ein Papier.

Was fehlt, ist ein Baustein für den Verwaltungsarbeitsplatz samt Verzeichnisdienst und eine Pflicht für Fachverfahrenshersteller, betriebssystemunabhängige Clients zu liefern. Anfangen könnte der Bund bei sich selbst: Solange die Geräte der Bundesdruckerei nur an Windows-PCs laufen, bleibt jede Pass- und Ausweisbehörde im Land an Microsoft gebunden. Das halte ich für die eigentliche Lücke im Stack, und ich finde, die Kommunen sollten sie in den angekündigten Feedbackrunden benennen.

Über digitale Souveränität redet in Berlin inzwischen jeder. Wovon genau der Bund abhängig ist, kann dort aber niemand sagen. Anke Domscheit-Berg hat das am 1. Oktober im Behörden Spiegel aufgeschrieben, und ihr Text liest sich wie ein Prüfbericht, den man als Admin lieber nicht über die eigene Umgebung lesen möchte.

Ich betreue die IT einer Gemeinde und entwickle nebenbei ein ITSM-Produkt für Verwaltungen. Mich interessiert an dem Thema deshalb weniger die große Politik als eine ganz schlichte Frage: Wie will jemand Abhängigkeiten abbauen, der kein Inventar hat?

Was zum Lagebild über den IT-Bestand des Bundes bekannt ist

Die Fakten zuerst. Die Zentralstelle Lizenzmanagement Bund (ZLB) ist seit 2021 geplant, Geld dafür wurde nie bewilligt, und die Daten liegen nur dezentral in den Behörden. Ein Sprecher des Digitalministeriums (BMDS) sagte dem Behörden Spiegel, die Ressourcen seien seit 2022 immer wieder im Haushaltsverfahren angemeldet, aber nie bereitgestellt worden. Das Projekt Lizenzmanagement Bund gilt laut BMDS trotzdem als eines, das „erfolgreich abgeschlossen wurde“. Die Zentralstelle, die sein Kernstück sein sollte, gibt es bis heute nicht.

Domscheit-Berg kennt die Vorgeschichte aus eigener Arbeit. 2023 antwortete ihr die Bundesregierung auf eine Kleine Anfrage, ein Software-Asset-Management-Tool (SAM-Tool) sei für die Bundesbehörden geplant, dessen dezentral gesammelte Daten bei der ZLB zusammenlaufen sollten. Das Werkzeug existiert inzwischen. Nur muss es niemand benutzen.

Lizenzmanagement im Bund: Jede Behörde für sich

Jede Bundesbehörde verwaltet ihre Lizenzen selbst und entscheidet auch selbst, ob sie das SAM-Tool des Bundes einsetzt, das inzwischen als On-Premises-Lösung verfügbar ist. Wie das in der Praxis aussieht, zeigen die Zahlen des Ministeriums: Auf eine Abfrage aller Bundesbehörden antworteten 76, davon gaben 12 an, das SAM-Tool tatsächlich zu nutzen, also 16 Prozent.

Dazu kommt, wer gar nicht geantwortet hat. Bei mehr als 900 Behörden umfasst das Dunkelfeld mehr als 800. Eigene Rechnung: 12 Nutzer bei mehr als 900 Behörden sind höchstens rund 1,3 Prozent. Fairerweise: Unter den Nichtnutzern können laut BMDS auch Behörden sein, die ihr Lizenzmanagement komplett an das ITZBund ausgelagert haben. Ob dort dann ein sauberes Bild vorliegt, steht im Artikel nicht.

Auch bei den Kosten bleibt es vage. Auf die Frage nach vermeidbaren Ausgaben für angeschaffte, aber ungenutzte Lizenzen hieß es, zentral lägen die Daten nicht vor, die einzelnen Behörden könnten dazu aber Aussagen treffen. Können sie das wirklich alle? Ich habe Zweifel.

Der Data Lake Lizenzmanagement soll es ab 2027 richten

Die Antwort des BMDS heißt Data Lake Lizenzmanagement Bund. Er soll Daten aus dem dezentralen Lizenzmanagement und aus dem SAM-Tool aufnehmen, schrittweise vereinheitlichen und qualitätssichern. Anfang 2027 soll daraus ein erstes, noch unvollständiges Lagebild entstehen; Aussagen zur digitalen Souveränität der Bundesverwaltung werden erst nach späteren Ausbaustufen möglich. Parallel entsteht seit April 2026 gemeinsam mit der KoSIT ein Lizenz-Standard für den Informationsaustausch zu Softwarelizenzen in der gesamten öffentlichen Verwaltung.

Neu ist die Idee nicht. Auch der Data Lake war laut BMDS schon Teil früherer Planungen und scheiterte wie die Zentralstelle an begrenzten Haushaltsmitteln.

Die Gegenposition: Braucht es das Lagebild überhaupt?

Die Bundesregierung sah das im Frühjahr noch gelassener. In ihrer Antwort auf eine Kleine Anfrage der Linken vom 22. April 2026 schrieb sie, eine umfassende und aktuelle Bestandsaufnahme digitaler Abhängigkeiten sei nicht geplant, weil vorliegende Studien bereits einen Überblick über die drängenden Handlungsfelder gäben.

Das Argument ist nicht dumm. Dass der Bund an Microsoft hängt, weiß man auch ohne Datenbank, und wer erst drei Jahre inventarisiert, hat drei Jahre nichts abgelöst. Der Data Lake widerspricht dem auch nicht direkt: Er sammelt Lizenzdaten und ist noch keine umfassende Bestandsaufnahme.

Trotzdem trägt das Argument nicht weit. In derselben Drucksache steht, dass die Bundesverwaltung 8 756 openDesk-Lizenzen hat, von denen 8 475 produktiv genutzt werden, openDesk aber nirgends exklusiv als Ersatz für proprietäre Lösungen läuft. Wie viele Microsoft-Umgebungen dadurch tatsächlich abgelöst wurden, kann die Bundesregierung nicht belastbar sagen. Wer nicht messen kann, ob eine Maßnahme wirkt, hat einen Überblick über Handlungsfelder, aber keine Steuerung. Die Regierung nennt als eine Dimension digitaler Souveränität selbst Substituierbarkeit und Interoperabilität. Ob etwas ersetzbar ist, lässt sich ohne Bestandsdaten nicht beurteilen.

Warum Lizenzlisten keine CMDB ersetzen

Jetzt die Meinung. Mich stört an der Debatte, dass „Lagebild“ fast nur als Lizenzfrage behandelt wird. Lizenzen zählen ist Software Asset Management, und das ist ein Teil von IT-Asset-Management: Was haben wir gekauft, was ist installiert, was kostet es, wann läuft es aus? Wichtig, keine Frage.

Abhängigkeit ist aber eine Beziehung. Welches Fachverfahren braucht welche Datenbank, auf welchem Server, bei welchem Betreiber, mit welchem Verzeichnisdienst davor? Genau dafür gibt es seit Jahrzehnten ein Werkzeug. Die Configuration Management Database (CMDB) taucht schon in ITIL 2 auf, als Datenbank mit den Details jedes Configuration Items und den Beziehungen zwischen ihnen. Die Beziehungen sind es, die eine CMDB von einer bloßen Asset-Datenbank unterscheiden. ITIL 4 führt beides als eigene Praktiken, „IT Asset Management“ und „Service Configuration Management“.

Ein Data Lake, in den über 900 Behörden uneinheitliche Lizenzdaten kippen, beantwortet die Frage „Was passiert, wenn Hersteller X morgen den Zugang sperrt?“ nicht. Eine gepflegte CMDB beantwortet sie mit einer Impact-Analyse. Ich will dem BMDS nicht unterstellen, dass dort niemand ITIL kennt; das Problem ist nach eigener Auskunft Geld und, so lese ich es, die Freiwilligkeit. Aber wer seit 2021 plant und 2027 ein „unvollständiges“ Bild erwartet, dem würde ich einen Foundation-Kurs zumindest nicht ausreden.

Was das für Kommunen und Admins heißt

Bevor wir uns über den Bund amüsieren: In vielen Rathäusern sieht es nicht besser aus, nur kleiner. Und dort gibt es keine Ausrede mit dem Ressortprinzip. Wer IT-Grundschutz ernst nimmt, braucht die Daten ohnehin. Der BSI-Standard 200-2 verlangt in der Strukturanalyse die Erfassung von Geschäftsprozessen, Anwendungen, IT-Systemen und Räumen. Das ist im Kern eine CMDB, nur dass sie oft als Excel-Tabelle endet, die am Tag nach dem Audit veraltet.

Mein Rat an Kolleginnen und Kollegen: einmal sauber erfassen, was da ist, mit Beziehungen und Verantwortlichen. Lizenzen als Berechtigung gegen Installation führen. Und bei jedem Fachverfahren notieren, wovon es abhängt und ob es eine Alternative gäbe. Danach ist „digitale Souveränität“ eine Liste mit Prioritäten und kein Schlagwort mehr.

Fazit

Der Bund hat kein Erkenntnisproblem, er hat ein Inventarproblem. Fünf Jahre nach dem Plan für eine Zentralstelle nutzen zwölf Behörden nachweislich das gemeinsame Werkzeug, und das erste Lagebild kommt frühestens 2027, unvollständig. Souveränität lässt sich so ankündigen, aber nicht steuern.

Ein kleiner Tipp zum Schluss, und ja, das ist Werbung in eigener Sache: Wer in seiner Verwaltung nicht auf den Data Lake warten will, kann sich Ordivis IT ansehen, das ich bei Grams IT entwickle. On-Premises, mit CMDB, IT-Asset-Management und Lizenzverwaltung in einer Datenbasis. Derzeit läuft es im Pilotbetrieb, allgemein verfügbar wird es zum 1. Januar 2027. Dem ITZBund und den Verantwortlichen im BMDS zeige ich es gern. Die ITIL-Schulung müssten sie allerdings selbst buchen.

Quellen:

• Deutscher Bundestag, Drucksache 21/5502, Antwort der Bundesregierung (22.04.2026);
• Behörden Spiegel, Anke Domscheit-Berg: „Digitale Souveränität – Ohne Lagebild ist alles nichts“ (01.10.2026);
• BSI-Standard 200-2, IT-Grundschutz-Methodik (Version 1.0);
• IT Process Wiki, Service Asset and Configuration Management (abgerufen 03.10.2026);
• Device42, ITIL CMDB (abgerufen 03.10.2026);
• ordivis.eu, Produktseite Ordivis IT (abgerufen 03.10.2026)

Der Deutsche Städte- und Gemeindebund hat ein Statement seines Präsidenten Ralph Spiegler zur kommunalen Resilienz veröffentlicht. Anlass sind die Ereignisse am Flughafen Leipzig/Halle, abgegeben wurde es gegenüber dem Redaktionsnetzwerk Deutschland, auf der Verbandsseite steht es unter dem 24. August 2026. Er ist damit der Nächste in einer längeren Reihe. Vor ihm waren es der hessische Innenminister, sein Staatssekretär und ein IT-Dienstleister in der Fachpresse.

Ich betreue die IT einer Gemeinde und habe zu diesem Thema in den vergangenen Wochen zweimal geschrieben: in „Null von 421“ und in „Hackback? Schließt erst mal die eigene Haustür ab“. Deshalb lese ich das Statement mit einer einfachen Frage. Was davon verpflichtet irgendjemanden zu irgendetwas, und wen?

Erst kommt, was drinsteht. Dann der Vergleich mit dem, was hier schon stand. Dann meine Bewertung, und am Ende ein Blick auf eine ältere Pressemitteilung desselben Verbands, die zu diesem Statement nicht passen will.

Was der DStGB nach dem Drohnenfund von Leipzig fordert

Zum Anlass: Nach Angaben der Bundesanwaltschaft sollte am Abend des 4. August 2026 auf dem Gelände des Flughafens Leipzig/Halle mit einer Drohne eine Explosion verursacht werden, an der Drohne waren professioneller Sprengstoff und ein Zünder angebracht. Die Behörde hat das Verfahren am 6. August übernommen. Ein kleiner Einschub zur Datierung: Das Statement spricht von Ereignissen „in der vergangenen Woche“. Es dürfte also älter sein als das Datum auf der Verbandsseite.

Das Statement hat 304 Wörter. Daraus lassen sich sechs Forderungen lesen:

1. Kommunale Infrastrukturen wie Energie- und Wasserversorgung sollen in Krisen handlungsfähig bleiben, ihr Schutz sei gemeinsame Aufgabe von Bund, Ländern und Kommunen.
2. Es brauche ausfallsichere Kommunikation, gemeinsame Lageübungen und regelmäßig erprobte Verfahren.
3. Städte und Gemeinden sollen verbindlich in sicherheitsrelevante Lagebilder eingebunden werden, mit festen Meldestrukturen, klaren Ansprechpartnern und gesicherten Kanälen.
4. Beschäftigte sollen geschult und sensibilisiert werden, damit sie ungewöhnliche Vorfälle erkennen und Meldeketten auslösen.
5. Kommunen sollen früh in Sicherheits- und Krisenvorsorgeplanungen einbezogen werden.
6. Bund und Länder sollen die Kommunen beim Schutz Kritischer Infrastrukturen dauerhaft mit Personal, Geld und Technik unterstützen.

Jeden dieser Sätze würde ich unterschreiben. Interessant ist, was eine Wortzählung ergibt. Das Wort „verbindlich“ kommt genau einmal vor, und zwar bei dem, was andere den Kommunen schulden. Die Wörter Cyber, IT, digital, Informationssicherheit, Verwaltung und Standard kommen nicht vor. Ein Eurobetrag, eine Frist oder eine Kennzahl auch nicht.

Schutz Kritischer Infrastrukturen: Das Rathaus kommt nicht vor

Das Statement redet durchgehend vom Schutz Kritischer Infrastrukturen, viermal in vier Absätzen. Dafür gibt es inzwischen ein Gesetz. Das KRITIS-Dachgesetz ist am 17. März 2026 ganz überwiegend in Kraft getreten, wie der nordrhein-westfälische Landesverband des DStGB seinen Mitgliedern mitgeteilt hat.

Nur erfasst es die typische Gemeinde nicht. Als Regelwert nennt § 5 des Gesetzes 500.000 von einer Anlage zu versorgende Einwohner. Ein Wasserwerk, das 8.000 Menschen versorgt, erreicht diesen Wert nie. Welche Anlagen im Einzelnen dazugehören, regelt eine Rechtsverordnung, die nach der Auswertung von Christopher Helm am 7. September nur als Referentenentwurf vom 26. Mai 2026 vorlag. Ob sich daran seither etwas geändert hat, konnte ich nicht prüfen.

Bleibt die Verwaltung selbst, also Melderegister, Standesamt, Sozialakten, Wahlen. Das hessische Innenministerium schreibt auf seiner eigenen Seite, dass die Länder sich bei der NIS-2-Umsetzung dagegen ausgesprochen haben, die Kommunalverwaltung einzubeziehen, und dass Hessen den Anwendungsbereich nicht auf die Kommunen erstreckt hat. Das Ministerium nennt das „unisono“. In Hessen gibt es 421 Gemeinden. Für die Verwaltung keiner einzigen gilt eine gesetzliche Mindestanforderung an die Informationssicherheit.

Der Verband fordert also Schutz für einen Bereich, in dem die meisten seiner Mitglieder rechtlich gar nicht vorkommen. Und über den Bereich, in dem sie alle vorkommen, verliert er kein Wort.

Meldewege und Lagebild: eine Einbahnstraße von oben nach unten

Die konkreteste Forderung im Text betrifft Informationen. Sicherheitsbehörden sollen ihre Erkenntnisse schnell und verlässlich an die Kommunen weitergeben. Das ist berechtigt. Wenn eine Sicherheitsbehörde etwas über Ausspähversuche an Wasserwerken weiß, nützt das Wissen in Wiesbaden oder Berlin niemandem.

Ein Lagebild entsteht aber aus zwei Richtungen. Im Hackback-Artikel stand dazu der Satz: „Was unten nicht gemeldet werden muss, kommt oben nicht an.“ Solange eine Gemeinde einen IT-Sicherheitsvorfall niemandem melden muss, hat die Stelle, die das Lagebild erstellen soll, keine Daten aus der Fläche. Der DStGB verlangt die Lieferung nach unten und schweigt zur Lieferung nach oben.

Das ist die bequeme Hälfte der Forderung. Die unbequeme wäre eine Meldepflicht für die eigenen Mitglieder.

Der Vergleich: DStGB-Forderungen und was hier schon stand

Wo wir übereinstimmen: Übungen, Schulungen, feste Ansprechpartner, dauerhaftes Geld. Das stand bei mir in anderen Worten, und ich nehme davon nichts zurück.

Wo wir auseinanderliegen: Der Verband beschreibt Resilienz als etwas, das den Kommunen geliefert wird. Ich habe sie als etwas beschrieben, das Kommunen schulden und wofür sie bezahlt werden müssen. In „Null von 421“ hieß das: „Pflicht und Finanzierung im selben Gesetz.“ Im Statement steht die Finanzierung. Die Pflicht fehlt.

Warum der Verband keine Mindeststandards fordert

Die Gegenposition verdient eine faire Wiedergabe, und sie kommt aus dem Verband selbst. Der Städte- und Gemeindebund NRW hat im März 2026 neue BSI-Hinweise zu NIS-2 kommentiert. Die Hinweise stützten die Einschätzung von DStGB und StGB NRW, dass Kommunalverwaltungen grundsätzlich nicht vom NIS-2-Anwendungsbereich erfasst sind. Dann folgt das Argument: Eine gesetzliche Verpflichtung verbessere das Schutzniveau noch nicht, sie „verlagert lediglich Verantwortung“. Kernproblem sei die fehlende Finanzierung, nötig sei eine föderale Cybersicherheitsarchitektur aus Bundesmitteln.

Das ist kein dummes Argument. Ein Paragraf patcht keinen Server. Wer einer Gemeinde ohne Administrator ein ISMS vorschreibt und kein Geld mitschickt, produziert Papier und einen haftenden Bürgermeister. Ich habe das selbst eine unbezahlte Zumutung genannt.

Trotzdem trägt es aus drei Gründen nicht.

Erstens liegt die Verantwortung längst bei der Kommune. Wenn das Rathaus verschlüsselt ist, steht der Bürgermeister vor der Presse, mit oder ohne Gesetz. Ein Standard würde ihm erstmals sagen, was genug ist.

Zweitens ist die Pflicht der Hebel für das Geld. Konnexität heißt: Wer bestellt, bezahlt. Wo nichts bestellt wird, gibt es keinen Anspruch. Der Verband bittet um Unterstützung, wo er einen Ausgleich einfordern könnte.

Drittens hat es ein anderer kommunaler Spitzenverband anders gemacht. Der Deutsche Landkreistag hatte sich 2023 in einem Schreiben an IT-Planungsrat und Innenministerkonferenz für die Einbeziehung der Landkreise ausgesprochen. Sein Digitalreferent Christian Stuffrein schrieb dazu: „Dass die kommunale Ebene Verbindlichkeit fordert, ist die Ausnahme.“ Länder, die sich hinter dem Konnexitätsprinzip versteckten, würden die Probleme nur fortschreiben. Eine vergleichbare Forderung des DStGB auf Bundesebene habe ich nicht gefunden.

Digital only: Im April wollte derselbe Verband das Papier abschaffen

Vier Monate vor dem Resilienz-Statement hat der DStGB eine Pressemitteilung seines Digitalisierungsausschusses veröffentlicht. Sie stammt vom 28. April 2026 und berichtet von der Frühjahrstagung in Ellwangen, bei der Oberbürgermeister Andreas Feller aus Schwandorf zum Vorsitzenden gewählt wurde. Feller bekennt sich darin zum Grundsatz Digital Only und sagt: „Verwaltungsprozesse müssen in Zukunft ausschließlich digital abgewickelt werden.“

Fairerweise: Feller betont, dass damit kein reiner Online-Zugang gemeint ist und die Rathäuser weiter allen helfen, die persönlich kommen. Sein Ziel ist der Abbau der Doppelstrukturen aus analogen und digitalen Prozessen, weil sie Zeit und Geld kosten. Das ist ein berechtigtes Ziel. Wer je ein Fachverfahren und die Papierakte parallel gepflegt hat, weiß das.

Zwei Dinge fallen im Vergleich mit dem August-Statement trotzdem auf. Auch der Ausschuss verwendet das Wort „verbindlich“, und zwar für eine föderale IT-Architektur, die der Bund gemeinsam mit den Ländern entwickeln soll. Wieder richtet es sich an die anderen. Und Cybersicherheit erscheint in der Pressemitteilung nur als eines der weiteren Tagungsthemen, als koordiniertes Vorgehen von Bund, Ländern und Kommunen. Eine Forderung dazu steht nicht drin.

Jetzt meine Bewertung, und sie ist eine Schlussfolgerung, keine Aussage des Verbands. Der analoge Prozess ist heute in vielen Rathäusern die einzige Rückfallebene. Wenn er als Doppelstruktur verschwindet, bedeutet ein Ausfall der IT den Ausfall der Verwaltung. Dann braucht die IT genau die Mindeststandards, Notfallkonzepte und Wiederanlaufpläne, die der Verband nicht fordert. Im April sollte alles digital werden, im August alles resilient. In keinem der beiden Texte steht, wie das eine das andere aushalten soll.

Was das für Ihre Gemeinde bedeutet

Das Statement ändert für Sie nichts. Es ist eine Pressemeldung, kein Programm. Fünf Dinge können Sie aber ohne Bund und Land erledigen, und zwar diese Woche.

Prüfen Sie die „klaren Ansprechpartner“ bei sich selbst. Liegt im Rathaus eine Liste auf Papier mit den Nummern von Leitstelle, Kreisverwaltung, IT-Dienstleister und Polizei? Weiß die Vertretung, wo sie liegt?

Klären Sie den zweiten Kommunikationsweg. Wenn Mailserver und Telefonanlage am selben Netz hängen, sind bei einem Vorfall beide weg. Ein Satz privater Mobilnummern und ein vereinbarter Messenger sind keine Architektur, aber besser als nichts.

Üben Sie einen Nachmittag lang. Szenario: Montag, sieben Uhr, kein System fährt hoch. Wer ruft wen an, wer entscheidet, was das Bürgerbüro den Leuten sagt? Sie werden nach einer Stunde mehr Lücken kennen als nach jedem Audit.

Schreiben Sie auf, welche Leistungen Sie ohne IT noch erbringen können. Bevor ein Papierprozess als Doppelstruktur abgeschafft wird, sollte jemand entscheiden, was ihn im Notfall ersetzt. Bisher entscheidet das meist niemand.

Und prüfen Sie Ihren Eigenbetrieb. Der StGB NRW weist darauf hin, dass es Kommunen nur bedingt hilft, wenn ein Betrieb die Schwellenwerte erreicht und kein von der Verwaltung getrenntes IT-System hat. Das BSI bietet dafür eine Betroffenheitsprüfung an.

Fazit

Falsch ist an dem Statement nichts. Es ist an der Stelle unvollständig, an der es den Verband etwas kosten würde. Sechs Forderungen richten sich an Bund, Länder und Sicherheitsbehörden, keine an die eigenen Mitglieder. Ein Verband, der Resilienz als Baustein nationaler Sicherheit bezeichnet und zugleich die Verwaltung ausschließlich digital betreiben will, müsste sagen können, welches Schutzniveau ein Rathaus mindestens haben soll.

Ich verstehe die Sorge vor Pflichten ohne Geld. Ich teile sie. Aber Geld ohne Pflicht ist bisher nicht gekommen, und es wird auch nach diesem Statement nicht kommen.

Schreiben Sie Ihrem Bürgermeister oder direkt dem Landesverband Ihres Städte- und Gemeindebunds. Fragen Sie, ob der Verband landesrechtliche Mindeststandards mit Konnexitätsausgleich fordert, und wenn nein, warum nicht. In Hessen dürfen Sie die Frage gleich an Ihren Landtagsabgeordneten weiterreichen. Die Zahl dazu kennen Sie: null von 421.

Quellen:

• DStGB, Statement „Kommunale Resilienz“ (24.08.2026),
• DStGB, Pressemitteilung des Ausschusses für Digitalisierung (28.04.2026),
• Generalbundesanwalt, Pressemitteilung zum Drohnenfund (06.08.2026),
• Hessisches Innenministerium, NIS-2: Hessische Kommunen (abgerufen 03.10.2026),
• Hessisches Innenministerium, Gemeinden und Landkreise (abgerufen 03.10.2026),
• StGB NRW, Kritis-Dachgesetz in Kraft getreten (25.03.2026),
• StGB NRW, Neue BSI-Hinweise zu NIS-2 (25.03.2026),
• Christian Stuffrein, Deutscher Landkreistag, Standpunkt im Tagesspiegel Background (23.11.2023),
• Christopher Helm, KRITIS-Schwellenwert und fehlende Verordnung (07.09.2026, Sekundärquelle)

Einleitung: Der finale Countdown im globalen Scherbenhaufen

Hört ihr das Ticken? Es ist nicht die Uhr in eurem Wohnzimmer. Es ist die Doomsday Clock, die gerade von 85 Sekunden auf lächerliche 5 Sekunden vor Mitternacht vorgerückt ist. Wir haben keinen bloßen Systemabsturz mehr; die Hardware der internationalen Ordnung brennt bereits lichterloh.

Wir befinden uns im Endstadium einer globalen Architektur, die sich “Völkerrecht” nennt, faktisch aber nur noch als dekoratives Element in den Foyers der UN-Gebäude existiert. Wenn Gesetze nur noch für jene gelten, die keine Flugzeugträger oder Atomsprengköpfe besitzen, dann sind es keine Gesetze mehr – dann ist es eine Farce. Die sogenannte Weltgemeinschaft steht daneben, gibt betroffene Pressemitteilungen heraus und beobachtet, wie der Quellcode unserer Zivilisation von den “Admins” (den Vetomächten) mutwillig korrumpiert wird.

Was bringen Abkommen, wenn sie nach Belieben ignoriert werden? Was bringen Urteile des Internationalen Gerichtshofs (IGH) oder Haftbefehle des Internationalen Strafgerichtshofs (IStGH), wenn sie als “politisch motiviert” abgetan werden, sobald sie den Falschen treffen? In dieser Obduktion schauen wir uns die Leichenteile des internationalen Rechts an und benennen jene, die den Stecker gezogen haben.

1. Das Spielplatz-Prinzip: Die USA und das Gesetz des Stärkeren

Um das Verhalten der USA im internationalen Gefüge zu verstehen, hilft kein Jurastudium, sondern ein Blick auf einen durchschnittlichen Kinderspielplatz. Stellen wir uns einen Sandkasten vor: Da sitzen viele kleine Kinder und versuchen, nach den Regeln der “Lehrer*innen” (der UN und des Völkerrechts) gemeinsam zu spielen.

Doch dann kommt er: Der zwei Jahre ältere und deutlich größere Bube – die USA. Er braucht keine Regeln, denn er hat die größten Muskeln. Wenn ihm ein Spielzeug gefällt – sei es Öl, geopolitischer Einfluss oder schlicht die Kontrolle über einen Sektor –, dann nimmt er es sich einfach weg. Wehrt sich eines der kleineren Kinder oder wagt es auch nur, lautstark zu protestieren, wird mit aller Härte zugeschlagen. Es gibt keine Verhältnismäßigkeit; es gibt nur die Demonstration absoluter Dominanz.

Und die Lehrer*innen? Die sitzen in der Ecke, schauen demonstrativ weg und rauchen ihre Drogen. Sie sind berauscht von ihrer eigenen Bedeutungslosigkeit und der Angst, der große Bube könnte sich gegen sie wenden. Das ist die Realität der Vereinten Nationen: Ein Haufen zugedröhnter Aufsichtspersonen, die zusehen, wie der Bully den Sandkasten zerlegt, während sie in Resolutionen über die Farbe der Eimerchen debattieren.

2. Die Chronik des legalisierten Wahnsinns (1945–heute)

Seit 1945 sollte die UN-Charta die Firewall gegen den Aggressionskrieg sein. Doch die Logfiles der letzten Jahrzehnte zeigen ein kontinuierliches Versagen. Jedes Mal, wenn eine Großmacht ihre Interessen bedroht sah, wurde die Souveränität schwächerer Staaten zur wertlosen Verhandlungsmasse.

Der Sündenfall im Osten: Russland und die Zerstörung der Integrität

Schauen wir auf Russland. 2014 wurde die Krim kurzerhand annektiert. Ein glatter Bruch des Budapester Memorandums und der UN-Charta. Die Reaktion? Ein bisschen Symbolpolitik mit Sanktionen, während man fleißig weiter Gas kaufte und die Abhängigkeit zementierte. 2022 folgte dann der konsequente nächste Schritt: Der Full-Scale-Angriff auf die gesamte Ukraine. Wieder standen alle daneben. Wir beobachteten live, wie ein souveräner Staat zerrissen wurde, während man in westlichen Hauptstädten monatelang darüber philosophierte, ab wann eine Waffe “zu offensiv” für das Völkerrecht sei. Das Recht war hier nicht mehr als ein machtloser Zuschauer in der ersten Reihe eines Gladiatorenkampfes. Russland hat bewiesen: Wenn du Atomwaffen hast, ist die “Souveränität” deiner Nachbarn nur ein unverbindlicher Vorschlag.

Die USA: Richter, Henker und Entführer im Sandkasten

Die USA haben das Prinzip der “Rules-Based Order” perfektioniert – mit der impliziten Fußnote, dass sie die Regeln definieren und bei Bedarf umschreiben. Nehmen wir den Fall Venezuela. Unter scheinheiligen Begründungen der “Demokratisierung” wurde eine Operation durchgeführt, die an die dunkelsten Tage der CIA-Interventionen im 20. Jahrhundert erinnert. Dass ein amtierendes Staatsoberhaupt nebst Ehefrau gefangen genommen und in die USA verschleppt wurde, wo sie bis heute in einem Kerker sitzen, ist ein völkerrechtliches Sakrileg.

Hier spielt Washington nicht mehr nur Weltpolizei; der große Bube im Sandkasten hat entschieden, dass ihm die Nase des anderen Kindes nicht passt. Also hat er es kurzerhand entführt und in seinen privaten Schuppen gesperrt. Ohne UN-Mandat, ohne internationale Legitimation – einfach, weil die militärische Kapazität dazu ausreicht. Es ist die Fortführung einer Logik, in der Souveränität nur für Freunde gilt. Die Lehrer*innen rauchen in der Ecke weiter ihre Drogen und stellen fest, dass das Kind ja sowieso “schwierig” war. Damit ist das Gewaltmonopol der UN endgültig Geschichte.

3. Die Obduktion des Iran-Konflikts: Bomben für den Frieden?

Der jüngste Angriff auf den Iran durch Israel und die USA ist die finale Bestätigung, dass der Artikel 51 der UN-Charta (das Recht auf Selbstverteidigung) zu einer leeren Worthülse verkommen ist.

Der Zynismus des “Präventivschlags”

Völkerrechtlich betrachtet greift das Recht auf Selbstverteidigung erst nach einem bewaffneten Angriff. Doch die Achse Washington-Tel Aviv hat die “antizipatorische Selbstverteidigung” zur neuen Weltnorm erhoben. Man bombardiert iranische Forschungszentren und Militärbasen nicht, weil man angegriffen wurde, sondern weil man mutmaßt, dass der andere irgendwann gefährlich werden könnte.

Das ist juristischer Wildwest-Stil im Sandkasten: Der große Bube haut dem Kind mit der Brille vorsorglich aufs Maul, weil das Kind in seinem Eimerchen vielleicht Sand mischt, der zu hart werden könnte. Die Zerstörung des JCPOA (Atomabkommen) durch die USA war der erste Dominostein. Man hat den Vertrag vorsätzlich gebrochen, um eine Eskalationsspirale zu erzeugen, die man heute als “Verteidigungsnotwendigkeit” verkauft. Ein perfekter Zirkelschluss der Machtpolitik.

Souveränität als selektives Privileg

Während man dem Iran jedes Recht auf territoriale Integrität abspricht, nutzt man die eigene Souveränität als unantastbaren Schutzschild. Ein Angriff auf iranisches Territorium ist nach jedem Standard eine Kriegserklärung. Dass die Weltgemeinschaft hier nicht mit Sanktionen gegen die Angreifer reagiert, beweist: Das Völkerrecht ist kein Instrument der Gerechtigkeit mehr, sondern ein Selektionswerkzeug der Unterdrückung. Die Lehrer*innen in der Ecke haben sich mittlerweile eine neue Pfeife angezündet.

4. Gaza: Die ethnische Säuberung hinter dem Feigenblatt des Rechts

Was wir in Gaza erleben, ist die ultimative Pervertierung des Rechtsbegriffs. Unter dem Banner der Terrorbekämpfung wird eine gesamte Zivilbevölkerung kollektiv bestraft – ein Vorgang, der alle Grenzen des humanitären Völkerrechts sprengt.

Verteidigung vs. Vernichtung

Sicherlich war der Angriff der Hamas ein abscheuliches Verbrechen. Aber das Völkerrecht kennt das Prinzip der Verhältnismäßigkeit (Artikel 51 (5b) Zusatzprotokoll I). Wenn man ganze Wohnviertel dem Erdboden gleichmacht, die Wasser- und Nahrungszufuhr für Millionen kappt und Menschen in Todeszonen treibt, aus denen es keinen Fluchtweg gibt, dann verlassen wir den Bereich der legitimen Verteidigung.

Wir sprechen hier über das Feld der ethnischen Säuberung. Der IStGH hat bereits Haftbefehle gegen die Führungsriege, einschließlich Benjamin Netanjahu, wegen Kriegsverbrechen und Verbrechen gegen die Menschlichkeit erlassen. Doch der große Bube im Sandkasten hält drohend seine Faust über jeden, der es wagt, im Sicherheitsrat Konsequenzen zu fordern. Für die Opfer in Gaza ist das Völkerrecht eine zynische Randnotiz in ihrem Todesurteil.

5. Deutschland unter Friedrich Merz: Polizeischutz für Gesuchte

Schauen wir auf die deutsche Bundesregierung unter Kanzler Friedrich Merz. Wenn man wissen will, wie tief die moralische Verkommenheit eines Staates sinken kann, der sich “Rechtsstaat” nennt, muss man nur zum Flughafen BER schauen.

Ein gesuchter Verbrecher zu Gast beim Kanzler

Es ist im Fernsehen für jeden sichtbar: Benjamin Netanjahu, ein Mann, gegen den ein internationaler Haftbefehl des Internationalen Strafgerichtshofs (IStGH) vorliegt, landet am BER. Und was macht die deutsche Justiz? Was macht die Bundesregierung? Sie rollt den roten Teppich aus. Statt Handschellen gibt es Polizeischutz. Eine massive Eskorte begleitet den Mann, der vermutlich aus Angst vor iranischer Vergeltung aus seinem eigenen Land geflohen ist, sicher zu seinen Gesprächen.

Das ist der ultimative Verrat an der eigenen Rechtsordnung. Deutschland ist Unterzeichner des Römischen Statuts. Wir sind völkerrechtlich verpflichtet, diesen Haftbefehl zu vollstrecken. Doch Kanzler Merz trifft sich mit ihm, schüttelt Hände und sichert “volle Unterstützung” zu. Ein gesuchter Kriegsverbrecher wird unter dem Schutz deutscher Polizisten durch Berlin chauffiert, während man uns gleichzeitig etwas von “Werten” und “regelbasierter Ordnung” erzählt.

Verfassungsbruch als Staatsräson

Artikel 25 des Grundgesetzes besagt eindeutig, dass die allgemeinen Regeln des Völkerrechts Bestandteil des Bundesrechts sind und den Gesetzen vorgehen. Wenn Friedrich Merz einen Mann empfängt und schützt, den das höchste internationale Gericht wegen Verbrechen gegen die Menschlichkeit sucht, bricht er direkt mit der Verfassung. Er stellt die politische Opportunität über das Recht.

Es ist ein Schlag ins Gesicht für jedes Opfer von Kriegsverbrechen weltweit. Wenn Deutschland entscheidet, welche Haftbefehle es ignoriert und welche es feiert, dann ist das Recht kein Recht mehr – es ist eine politische Beliebigkeit. Merz zeigt hier eine Nibelungentreue, die nicht nur blind, sondern kriminell gegenüber der eigenen Rechtsordnung ist. Während andere Länder wie Spanien auf Distanz gehen, spielt Deutschland den Bodyguard für den Bully-Freund des großen Buben.

Die Trump-Falle und der Vasallenstatus

Zudem droht am Horizont Donald Trump, der jeden erniedrigt, der nicht bedingungslos spurt. Merz reagiert darauf mit vorauseilender Unterwerfung. Er opfert unsere rechtlichen Prinzipien, unsere Integrität und unser Grundgesetz auf dem Altar einer transatlantischen Partnerschaft, die längst zur Erpressungsstruktur verkommen ist. Wenn der große Bube pfeift, lässt Merz sogar internationale Haftbefehle unter den Tisch fallen.

6. Die Konsequenz: Warum 5 Sekunden vor 12 eigentlich schon zu spät ist

Die Doomsday Clock steht auf 5 Sekunden vor 12, weil die Mechanismen, die den Weltbrand verhindern sollten, vorsätzlich deaktiviert wurden. Das Völkerrecht wurde durch ein System ersetzt, das Willkür belohnt und Rechtstreue bestraft.

Das Schweigen der Lehrer*innen

Wenn niemand mehr die Gesetze einhält, wenn selbst die “Vorzeige-Demokratien” internationale Haftbefehle ignorieren, sobald es unbequem wird, bricht das System zusammen.

• Die USA agieren als Richter und Henker zugleich, die den Sandkasten terrorisieren.
• Russland fungiert als imperialer Landräuber, der sich nimmt, was er kriegen kann.
• Israel agiert als Staat jenseits aller Proportionalität, dessen Chef trotz Haftbefehl in Berlin hofiert wird.
• Deutschland fungiert als schweigender Komplize und Chauffeur für Gesuchte, der die eigene Verfassung für geopolitische Punkte opfert.

Fazit: Shutdown der Menschlichkeit

Was bringen uns Gesetze, wenn sie nur noch als Tinte auf wertlosem Papier existieren? Das aktuelle System der Nationalstaaten hat auf ganzer Linie versagt. Es ist korrupt, feige und führt uns geradewegs in den globalen Kollaps.

Wenn ein Kanzler Merz einen gesuchten Mann mit Polizeischutz empfängt, während die Doomsday Clock bei 5 Sekunden vor 12 steht, dann wissen wir: Die Aufsichtspersonen im Sandkasten sind nicht nur zugedröhnt – sie stecken mit dem Bully unter einer Decke. Das Völkerrecht wurde im Sandkasten ermordet, und Deutschland hat Schmiere gestanden. Die Verantwortlichen sitzen in den klimatisierten Büros in New York, Washington, Moskau und Berlin.

Hören Sie das? Das ist das schrille Pfeifen der Bundesregierung, die im Wald der digitalen Abhängigkeit laut “Souveränität” ruft, während sie gleichzeitig die Haustürschlüssel der deutschen Sicherheitsarchitektur an einen US-Milliardär übergibt. Es ist ein lächerliches Schauspiel. Einerseits schwafelt die CDU-geführte Regierung unter Kanzler Friedrich Merz von der “Zeitenwende” und der Notwendigkeit, sich von autokratischen Systemen und der technologischen Vorherrschaft des Silicon Valley zu emanzipieren. Andererseits rollt man für Palantir den roten Teppich aus – ein Unternehmen, dessen DNA so tief mit dem US-Geheimdienstapparat und der MAGA-Bewegung von Donald Trump verwoben ist, dass man sich fragen muss: Ist das Naivität oder nackter Zynismus?

In diesem Artikel zerlegen wir das Kartenhaus der deutschen Digitalpolitik. Wir blicken hinter die Fassade von Gotham und Foundry und analysieren, warum die Bundesregierung sehenden Auges in die totale Abhängigkeit steuert, während sie den Bürgern das Märchen vom Datenschutz erzählt.

1. Wasser predigen, Wein trinken: Die “Souveränitäts”-Heuchelei der CDU

Es ist fast schon amüsant, wenn man es nicht mit seinen eigenen Steuergeldern bezahlen müsste. Die Union schreit bei jeder Gelegenheit nach europäischer Cloud-Infrastruktur und digitaler Eigenständigkeit. Doch wenn es ernst wird, wenn es um die Innere Sicherheit geht, greift man zum bequemsten Werkzeug im Kasten: Palantir.

Der Widerspruch als Prinzip

Warum baut Deutschland keine eigenen Lösungen? Warum investiert man Milliarden in Aufrüstung, aber lässt die digitale Flanke sperrangelweit offen? Die Antwort ist simpel: Bequemlichkeit schlägt Prinzipien. Man will die Macht des “Data Mining”, ohne die Verantwortung für die Entwicklung zu tragen. Dass man sich damit zum digitalen Vasallen Washingtons macht, wird in Berlin geflissentlich ignoriert.

Digitale Souveränität

Was bedeutet “Digitale Souveränität” eigentlich noch, wenn die Kernprozesse unserer Polizei und Geheimdienste auf proprietärer Software aus den USA laufen? Es ist ein hohler Begriff, eine Worthülse für Sonntagsreden, während man im Hinterzimmer die Verträge mit Peter Thiels Daten-Krake unterschreibt.

2. Peter Thiel und die MAGA-Connection: Ein “Partner” zum Fürchten

Reden wir Tacheles: Wer Palantir kauft, kauft nicht nur Software. Er kauft die Ideologie seiner Schöpfer. Peter Thiel, der Mann hinter dem Unternehmen, ist kein neutraler Tech-Genie. Er ist einer der wichtigsten Finanziers der Trump-Bewegung und ein erklärter Skeptiker der Demokratie.

Daten für den “Commander-in-Chief”

In einem Szenario, in dem Donald Trump und seine MAGA-Gefolgschaft das Weiße Haus kontrollieren, ist die Vorstellung, deutsche Geheimdienstdaten lägen auf Systemen eines Thiel-Unternehmens, schlichtweg beängstigend. Glaubt in der Bundesregierung wirklich jemand ernsthaft, dass Palantir im Zweifelsfall den deutschen Datenschutz über die Anforderungen der US-Regierung stellen würde?

Die Rolle von Palantir im US-Apparat

Palantir wurde mit Startkapital von In-Q-Tel, dem Investmentarm der CIA, gegründet. Das Unternehmen ist kein “Partner” der deutschen Regierung – es ist ein integraler Bestandteil des US-Sicherheitskomplexes. Wer hier von Unabhängigkeit spricht, hat entweder keine Ahnung oder lügt sich schamlos in die eigene Tasche.

3. Der CLOUD Act: Das Ende der Illusion vom deutschen Serverstandort

Ein beliebtes Argument der Palantir-Apologeten in den deutschen Innenministerien ist: “Die Daten liegen doch in Frankfurt!” Ein schönes Märchen, das leider an der harten Realität des US-Rechts zerschellt.

Zugriff per Gesetz

Der U.S. CLOUD Act erlaubt es US-Behörden, Zugriff auf Daten zu verlangen, die von US-Unternehmen kontrolliert werden – völlig egal, wo auf der Welt der Server steht. Ob die Daten in Berlin, Frankfurt oder auf dem Mond liegen, spielt keine Rolle. Wenn Washington pfeift, muss Palantir liefern.

CLOUD Act

Die Bundesregierung ignoriert diesen Fakt beharrlich. Man versteckt sich hinter juristischen Gutachten, die das Papier nicht wert sind, auf dem sie stehen. Die technologische Realität ist: Software-Updates, Fernwartung und die proprietäre Struktur von Gotham erlauben technisch immer einen Abfluss von Metadaten oder sogar Kerninhalten. Ein “Backdoor per Design” lässt sich bei geschlossener Software niemals ausschließen.

4. Karlsruhe im Rückspiegel: Warum das Verfassungsgericht ignoriert wird

Wir erinnern uns an das Jahr 2023. Das Bundesverfassungsgericht hat der automatisierten Datenanalyse in Hessen und Hamburg eine schallende Ohrfeige verpasst. Die Richter in Karlsruhe machten klar: Massives Data-Mining ohne konkreten Tatverdacht ist mit dem Grundgesetz nicht vereinbar.

Das Prinzip der informationellen Selbstbestimmung

Doch was macht die Bundesregierung unter Merz? Sie baut “Bundes-VeRA” (Verfahrensübergreifende Recherche- und Analyseplattform) weiter aus. Man versucht, die Urteile mit kosmetischen Änderungen zu umgehen, während der Kern der Überwachungstechnologie von Palantir unberührt bleibt.

Datenschutz

Datenschutz wird hier zum reinen “Compliance-Check” degradiert. Man hakt Listen ab, anstatt die Bürgerrechte zu schützen. Dass Palantir darauf spezialisiert ist, disparate Datenquellen zu verknüpfen und Profile zu erstellen, die weit über das hinausgehen, was ein menschlicher Ermittler jemals könnte, wird als “Fortschritt” verkauft. In Wahrheit ist es der langsame Tod der Privatsphäre.

5. Die “Ontology”-Falle: Warum Vendor Lock-in eine nationale Gefahr ist

Eines der mächtigsten Werkzeuge von Palantir ist die sogenannte “Ontology”. Sie bildet die gesamte operative Welt einer Behörde digital ab. Das klingt effizient, ist aber in Wahrheit die perfekte Fessel.

Einmal Palantir, immer Palantir

Wer seine gesamten Datenstrukturen erst einmal in das proprietäre Format von Palantir überführt hat, kommt dort nie wieder heraus. Ein Wechsel zu einem europäischen Anbieter? Technisch nahezu unmöglich und finanziell ein Desaster.

Datenanalyse

Indem die Bundesregierung Palantir tief in die Infrastruktur von BKA und Landespolizeien einsinken lässt, begeht sie einen strategischen Fehler ersten Ranges. Wir machen uns für Jahrzehnte abhängig von den Preisvorstellungen und der technologischen Gnade eines US-Konzerns. Das ist keine Souveränität, das ist digitale Leibeigenschaft.

6. Die Ignoranz der Bundesregierung: Ein gefährliches Spiel

Es ist schwer zu sagen, was schlimmer ist: Die Ignoranz gegenüber den technischen Risiken oder der Verrat an den eigenen politischen Idealen. Während man in Brüssel über den AI Act streitet und ethische KI fordert, implementiert man zu Hause die mächtigste und intransparenteste Analyse-KI der Welt.

US-Geheimdienste

Die Verstrickung mit US-Geheimdiensten wird in Berlin als “notwendiges Übel” abgetan. Doch in einer Welt, in der die USA zunehmend isolationistisch agieren und ihre Technologie als politisches Druckmittel einsetzen, ist dieses Vertrauen nicht nur naiv, sondern gefährlich.

Fazit: Zeit für eine digitale Umkehr

Palantir ist kein Segen für die deutsche Sicherheit. Es ist ein Symptom für das Versagen einer politischen Elite, die zu faul ist, eigene Kompetenzen aufzubauen, und zu feige, dem “Partner” USA die Stirn zu bieten. Die CDU-geführte Bundesregierung opfert unsere digitale Souveränität auf dem Altar einer vermeintlichen Effizienz.

Was jetzt passieren muss:

• Sofortiger Stopp des Ausbaus von Palantir-Systemen auf Bundesebene.
• Investition in Open-Source-Alternativen, die unter europäischer Kontrolle stehen.
• Echte Transparenz über die Datenabflüsse und Zugriffsmöglichkeiten durch den CLOUD Act.

Wir dürfen nicht zulassen, dass unsere Sicherheit zum Geschäftsmodell für US-Milliardäre und zum Spielball der MAGA-Politik wird. Es ist Zeit, dass “Digitale Souveränität” mehr wird als nur ein billiger Slogan in einem Wahlwerbespot.

Einleitung: Brauchen wir ein neues Social Network aus Europa?

In einer Zeit, in der Desinformation, Bot-Armeen und fragwürdige Algorithmen den digitalen Diskurs auf Plattformen wie X (ehemals Twitter) oder Facebook dominieren, sehnen sich viele Nutzer nach einer seriösen Alternative. Hier setzt W Social an. Als ambitioniertes Projekt aus dem Herzen Europas verspricht die Plattform nicht weniger als eine Revolution der sozialen Medien: Ein digitaler Raum, der auf europäischen Werten basiert und die Privatsphäre der Nutzer schützt. Doch kann W Social wirklich gegen die übermächtigen Giganten aus dem Silicon Valley bestehen oder wird es als eine weitere gut gemeinte Randerscheinung enden? In diesem Artikel analysieren wir, was hinter dem Projekt steckt und ob der Wechsel für Sie sinnvoll ist.

1. Was ist W Social? Hintergründe und Vision

W Social (oft kurz nur „W“ genannt) positioniert sich strategisch als die „europäische Antwort“ auf die zunehmende Polarisierung auf US-amerikanischen Plattformen. Es handelt sich um einen Microblogging-Dienst, der den Fokus auf Qualität statt Quantität legt.

Die Köpfe hinter dem Projekt

Ein wesentlicher Faktor für das Vertrauen in eine neue Plattform ist das Team. W Social wurde von Anna Zeiter initiiert. Als ehemalige Datenschutzchefin (CPO) von eBay bringt sie eine Expertise mit, die genau den Nerv der Zeit trifft: Die Verbindung von großskalierbaren Plattformen mit strikter Compliance.

Der Name als Programm

Das „W“ steht symbolisch für „We“ (Wir). Das Logo, das visuell aus zwei ineinandergreifenden „V“ besteht, repräsentiert die Grundpfeiler der Plattform:

• Values (Werte): Die Einhaltung demokratischer Grundregeln.
• Verified (Verifiziert): Die Garantie, dass man mit echten Menschen kommuniziert.

Der offizielle Launch wurde medienwirksam im Januar 2026 beim Weltwirtschaftsforum in Davos vollzogen, was den hohen politischen und gesellschaftlichen Anspruch der Plattform unterstreicht.

2. Wie funktioniert W Social? Die Technik unter der Haube

Während die Benutzeroberfläche vertraut wirkt – kurze Textbeiträge, Bilder und Thread-Diskussionen –, unterscheidet sich das technische Fundament von W Social grundlegend von den „Platzhirschen“.

Die „Human-Only“-Strategie: Ende der Bot-Armeen

Das radikalste Merkmal von W Social ist die Verifizierungspflicht. Während man bei X einen blauen Haken einfach kaufen kann und bei Facebook oft Pseudonyme geduldet werden, verlangt W einen echten Identitätsnachweis. Nutzer müssen sich per Ausweisdokument und biometrischem Abgleich verifizieren.

Dies führt zu zwei entscheidenden Vorteilen:

1. Eliminierung von Bots: Automatisierte Accounts, die oft zur Manipulation von Wahlen oder Meinungen genutzt werden, haben keine Chance.
2. Zivilisierter Diskurs: Wer mit seinem echten Namen einsteht, überlegt sich zweimal, ob er Hasskommentare verfasst (De-Anonymisierung des Hasses).

Datenschutz und Hosting „Made in Europe“

In puncto Datenschutz geht W Social keine Kompromisse ein. Die Daten werden dezentral auf europäischen Servern gespeichert. Damit unterliegt die Plattform vollumfänglich der DSGVO. Im Gegensatz zu US-Diensten gibt es keine Hintertüren durch den Cloud Act, was besonders für Unternehmen und Behörden ein wichtiges Argument ist.

3. Der große Vergleich: W Social vs. X, Facebook & Threads

Um die Marktchancen von W Social zu verstehen, hilft ein Blick auf die Unterschiede zu den etablierten Netzwerken:

4. Das WhatsApp-Paradoxon: Warum der Wechsel so schwer fällt

Sie kennen das sicher aus Ihrem Alltag: Obwohl es sicherere Alternativen wie Signal oder Threema gibt, nutzen Sie wahrscheinlich immer noch WhatsApp. Warum ist das so? Experten sprechen hier vom sogenannten Netzwerkeffekt.

Der Netzwerkeffekt (The Network Effect)

Ein soziales Netzwerk ist für Sie nur dann nützlich, wenn Ihre Kontakte ebenfalls dort sind. Ob in der Schule, im Verein oder in der Firma – wenn die Kommunikation über WhatsApp läuft, ist man als Einzelner fast gezwungen, dabei zu bleiben. W Social steht vor dem klassischen „Henne-Ei-Problem“: Nutzer kommen erst, wenn Content da ist; Content kommt erst, wenn Nutzer da sind.

Die „Convenience“-Falle: Bequemlichkeit schlägt Sicherheit

Die hohe Sicherheit von W Social ist gleichzeitig ihre größte Einstiegshürde. Während Sie bei X in 30 Sekunden einen anonymen Account erstellen können, fordert W Social den Griff zum Personalausweis. Die menschliche Psychologie ist hier eindeutig: Bequemlichkeit gewinnt im Alltag oft gegen abstrakte Werte wie Datenschutz.

Der Lock-In-Effekt und das digitale Kapital

Wer seit zehn Jahren auf Instagram oder X aktiv ist, hat dort ein „digitales Erbe“ aufgebaut: Tausende Follower, hunderte Beiträge und ein Netzwerk an Bekanntschaften. Ein Umzug zu W Social bedeutet, bei null anzufangen. Dieser psychologische Effekt der „Sunk Cost Fallacy“ hält viele davon ab, alten Plattformen den Rücken zu kehren.

5. Strategien für die Zukunft: Hat W Social eine echte Chance?

Wird W Social das nächste Facebook? Wahrscheinlich nicht im Sinne eines Massenphänomens für schnelle Unterhaltung. Aber die Plattform könnte eine extrem wichtige Nische besetzen.

Das „LinkedIn für den öffentlichen Diskurs“

Es zeichnet sich ab, dass W Social vor allem für Politik, Journalismus und offizielle Institutionen attraktiv wird. Wenn der Ton auf X zu toxisch wird, benötigen gewählte Volksvertreter und seriöse Medienhäuser einen geschützten Raum für Kommunikation. Hier kann W Social glänzen:

• Offizielle Statements: Man kann sicher sein, dass der Minister wirklich der Minister ist.
• Fakten-Check: Durch die Transparenz der Algorithmen verbreiten sich Fake News schwerer.

Fragmentierung des Marktes

Wir beobachten derzeit eine Zersplitterung der Social-Media-Welt. Anstatt eines großen Platzhirschs gibt es viele spezialisierte Dienste (Mastodon, Bluesky, Threads). W Social wird seinen Platz in diesem Ökosystem als der „seriöse, europäische Hafen“ finden müssen.

Fazit: Lohnt sich die Anmeldung bei W Social?

W Social ist mehr als nur eine weitere App; es ist ein Experiment zur digitalen Souveränität Europas. Wenn Sie Wert auf Datenschutz legen und eine Diskussionskultur ohne Trolls suchen, sollten Sie die Hürde der Verifizierung auf sich nehmen.

Unsere Einschätzung: W Social wird X nicht morgen ablösen. Aber für alle, die beruflich oder privat auf verlässliche Informationen und einen respektvollen Umgang Wert legen, ist es die derzeit spannendste Entwicklung im Web.