Diese Woche ist Resilienzwoche in Hessen. Innenminister Poseck nennt Resilienz einen unverzichtbaren Baustein der Sicherheitsarchitektur, und die Lage erfordere „von uns allen konsequente Vorbereitung“ auf Krisenereignisse.

Von uns allen.

Drei Wochen zuvor hatte Innenstaatssekretär Rößler beim Cybersicherheitsgipfel den Ton gesetzt: „Cybersicherheit ist ein unverzichtbarer Teil staatlicher Daseinsvorsorge geworden.“

Zwei Mal „unverzichtbar„, ein Mal „Daseinsvorsorge„, einmal „von uns allen„. Man könnte den Eindruck gewinnen, hier werde etwas ernst genommen.

Sehen wir nach.

Die Zahl

Hessen hat 421 Gemeinden. Von diesen 421 unterliegt exakt keine einzige einer gesetzlichen Mindestanforderung an die Informationssicherheit ihrer Verwaltung. Nicht eine.

Das ist kein Versäumnis und keine Regelungslücke, die man noch schließen wollte. Es ist eine Entscheidung, sie ist dokumentiert, und dokumentiert hat sie das Innenministerium selbst. Auf innen.hessen.de, Rubrik Cyber- und IT-Sicherheit, Unterseite „Hessische Kommunen“, steht der Vorgang in erfrischender Klarheit:

Der europäische Gesetzgeber hatte es den Mitgliedstaaten freigestellt, die Kommunalverwaltung in den Anwendungsbereich der NIS-2-Richtlinie einzubeziehen. Die Länder haben sich unisono dagegen ausgesprochen. Der IT-Planungsrat hat sie mit Beschluss 2023/39 ausdrücklich gebeten, von der Option keinen Gebrauch zu machen. Hessen ist dieser Bitte gefolgt.

„Unisono“ ist übrigens die Formulierung des Ministeriums, nicht meine. Man ist ein bisschen stolz darauf.

Rechnen wir das in Menschen um. In Hessen leben rund 6,4 Millionen Einwohnerinnen und Einwohner, und sie alle wohnen in einer dieser 421 Gemeinden. Das Verhältnis lautet also:

6,4 Millionen zu null.

Hundert Prozent der hessischen Bevölkerung leben in einer Kommune, deren Verwaltung keiner verbindlichen Anforderung an ihre IT-Sicherheit unterliegt. Nicht „einer niedrigeren als anderswo“. Keiner.

Was dort liegt: die Melderegister sämtlicher hessischer Einwohner. Die Standesämter. Die Sozial- und Jugendhilfeakten, also die sensibelsten personenbezogenen Daten, die ein Staat überhaupt führt. Bauakten, Gewerberegister, Kita- und Schulverwaltung. Die Durchführung von Wahlen. Dazu sämtliche Fachverfahren und die Schnittstellen, über die sie an Landes- und Bundesregister hängen — künftig noch erheblich mehr davon, wenn NOOTS als „zentrale Datenautobahn der föderalen Verwaltung“ ans Netz geht.

Ein Handwerksbetrieb mit 50 Beschäftigten in einem geregelten Sektor braucht ein Informationssicherheitsmanagementsystem, Meldewege und eine haftende Geschäftsleitung. Das Rathaus, das die Daten sämtlicher Mitarbeiter dieses Betriebs führt, braucht nichts davon.

„Aber die Stadtwerke sind doch erfasst“

Kommt der Einwand. Er stimmt sogar. Nur hilft er nicht.

Erfasst werden kommunale Einrichtungen über zwei Wege. Erstens als Betreiber kritischer Anlagen — das ist die alte KRITIS-Logik nach Versorgungsgrad, bei Trinkwasser rund 500.000 versorgte Personen. Zweitens über den Size-Cap: Sektor plus Größe, ab etwa 50 Beschäftigten oder 10 Millionen Euro Umsatz.

Wer daraufhin an Frankfurt, Wiesbaden und Kassel denkt, denkt schon falsch. Wiesbaden hat rund 283.000 Einwohner, Kassel rund 205.000. Beide liegen mit ihrer Wasserversorgung deutlich unter der KRITIS-Schwelle. Erfasst sind sie über den zweiten Weg — und erfasst ist dann die ESWE beziehungsweise die Städtische Werke. Nicht die Stadt. Nicht das Rathaus. Nicht das Melderegister.

Und jetzt die typische hessische Gemeinde, also der Normalfall. Sie betreibt ihre Wasserversorgung, wenn sie sie selbst betreibt, als Regie- oder Eigenbetrieb mit fünf bis acht Personen. Fällt sie unter den Size-Cap?

Nein. § 28 Abs. 3 Satz 1 Nr. 2 BSIG ordnet die Anwendung der KMU-Empfehlung — und damit die Zurechnung von Personal- und Umsatzzahlen — ausdrücklich nur für Einrichtungen an, die keine rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft sind. Ein Eigenbetrieb ist genau das. Die Beschäftigten der Verwaltung dürfen also nicht mitgezählt werden.

Was auch schwer ginge, denn die Verwaltung ist ja gar nicht erfasst.

Sechs Leute bleiben sechs Leute. Die Schwelle liegt bei fünfzig. Ergebnis: nichts.

Bundesweit haben 93 Prozent aller Gemeinden weniger als 20.000 Einwohner, rund 72 Prozent weniger als 5.000. Hessens Gemeinden sind nach der Gebietsreform der Siebziger größer als der Bundesschnitt — aus über 2.700 wurden 421, die durchschnittliche hessische Gemeinde hat rund 14.000 Einwohner gegenüber gut 7.500 im Bund. Am Prinzip ändert das nichts: In der ganz überwiegenden Zahl der Fälle ist weder die Verwaltung noch der eigene Versorgungsbetrieb reguliert.

Die Größenlogik läuft dabei exakt verkehrt herum. Reguliert wird, wer viel Personal hat. Nicht reguliert wird, wer wenig hat. Also stellt der Gesetzgeber ausgerechnet dort keine Mindestanforderung, wo am wenigsten Fachpersonal, Budget und Vertretungsfähigkeit vorhanden ist — und wo ein Ausfall die Verwaltung nicht verlangsamt, sondern anhält.

Die Frage, die daraus folgt

Wer in Frankfurt wohnt, bekommt sein Trinkwasser von einem regulierten Betreiber. Wer in einer Gemeinde mit 3.000 Einwohnern wohnt, nicht. Gleiches Wasser, gleiche Abhängigkeit, andere Rechtslage.

Also die Frage, direkt: Sind die Einwohnerinnen und Einwohner von Frankfurt, Wiesbaden und Darmstadt bei der Wasserversorgung schützenswerter als alle anderen?

Die Antwort der Landesregierung ist absehbar und lautet sinngemäß: Es gehe nicht um den Wert von Menschen, sondern um die Zahl der Betroffenen je Ereignis. Konzentriertes Risiko, konzentrierte Pflichten. Das ist die Standardlogik von Infrastrukturregulierung, und sie ist nicht von vornherein falsch.

Nur trägt sie hier an drei Stellen nicht.

Erstens ist eine Kante keine Risikoabstufung. Risikobasiert wäre, unterhalb der Schwelle geringere Anforderungen zu stellen. Gewählt wurde stattdessen ein Sprung von allem auf nichts. Wer knapp unter fünfzig Beschäftigten liegt, schuldet nicht weniger — er schuldet gar nichts. Kein Mindeststandard, kein Meldeweg, kein Notfallkonzept. Für ein Risikomodell ist das eine bemerkenswert grobe Kurve.

Zweitens hat das Land nur die halbe Rechnung aufgemacht. Risiko ist Eintrittswahrscheinlichkeit mal Schadenshöhe. Betrachtet wurde ausschließlich die Schadenshöhe. Die Wahrscheinlichkeit fällt aber in die andere Richtung: Ein Betrieb mit sechs Beschäftigten, ohne Informationssicherheitsbeauftragten, ohne Monitoring, ohne Rufbereitschaft und ohne Vertretungsregelung ist leichter zu treffen als ein Verbundversorger mit eigener Sicherheitsabteilung. Wer nur die Folgen gewichtet und die Anfälligkeit ignoriert, hat kein Risikomodell, sondern eine Einwohnerzahl.

Drittens fällt der Ausfall für Betroffene nicht anteilig aus. Wenn in einer Gemeinde mit 3.000 Einwohnern die Wasserversorgung steht, steht sie für diese 3.000 zu hundert Prozent. Grundversorgung ist ein individueller Anspruch, kein statistischer. Und in der Summe reden wir nicht über Randfälle: Bundesweit haben rund 93 Prozent aller Gemeinden weniger als 20.000 Einwohner. Die Menschen, die von nicht regulierten Betreibern versorgt werden, sind keine Minderheit.

Und jetzt der Teil, an dem die Konzentrationslogik vollständig zusammenbricht.

Bei der Verwaltung gibt es überhaupt keine Schwelle. Frankfurts Melderegister mit rund 775.000 Datensätzen unterliegt exakt derselben Regulierung wie das einer 3.000-Einwohner-Gemeinde, nämlich keiner. Hier kann sich das Land nicht einmal auf ein Risikomodell berufen, weil keines angewandt wurde. Die größte Datensammlung im Land ist genauso ungeregelt wie die kleinste.

Damit ergibt sich ein Muster. Wo eine Größenlogik angelegt wurde, führte sie zur Freistellung der Kleinen. Wo keine angelegt wurde, führte das zur Freistellung aller. In beide Richtungen lautet das Ergebnis: weniger Pflicht. Das ist kein Zufall und keine Risikoabwägung. Das ist eine Haushaltsentscheidung, die sich als Regulierungskonzept verkleidet.

Warum eigentlich?

Es gab Argumente, und der Ordnung halber seien sie genannt: Doppelregulierung vermeiden, Zuständigkeiten sauber trennen, den Ländern Zeit geben, eigene, auf die jeweilige Verwaltungsstruktur zugeschnittene Regelungen zu schaffen.

Das war allerdings die halbe Empfehlung. Der zweite Teil lautete, die Länder mögen dann eben eigene Regelungen im Landesrecht schaffen. Dieser Teil wird seit November 2023 mit bemerkenswerter Ausdauer überhört. Der Beschluss ist knapp drei Jahre alt. Das Bundesgesetz ist seit dem 6. Dezember 2025 in Kraft. Ein hessisches Landesrecht zur kommunalen Informationssicherheit: existiert nicht.

Der ehrlichere Grund ist in den Fachdebatten offen benannt worden und heißt Konnexität. Hätte man die Kommunen verpflichtet, hätte das Land zahlen müssen. Wer bestellt, bezahlt. Wer nicht bestellt, spart.

Man hat also nicht entschieden, dass kommunale IT-Sicherheit unwichtig sei. Man hat entschieden, dass sie nicht in den Landeshaushalt passt. Das ist etwas völlig anderes. Es macht sich nur in einer Pressemitteilung zur Resilienzwoche schlechter.

Wie viele sind es denn nun?

Gute Frage. Niemand weiß es.

Das BSI-Register ist nicht öffentlich. Die Einstufung erfolgt als Selbsteinschätzung, ohne behördlichen Bescheid — jede Einrichtung muss selbst prüfen, ob sie betroffen ist. Und das Land ist für die kommunale Ebene nicht zuständig, weil es sich die Zuständigkeit ja gerade erspart hat.

Es gibt also keine Stelle in Hessen, die beziffern kann, wie viele kommunale Einrichtungen einer gesetzlichen Mindestanforderung unterliegen und wie viele davon sie erfüllen. Die Registrierungsfrist beim BSI ist im März 2026 abgelaufen; Schätzungen aus der Beraterbranche gehen davon aus, dass ein erheblicher Teil der Pflichtigen sie versäumt hat. Ob das für Hessen zutrifft, kann man nicht sagen, weil niemand nachsieht.

Beim Trinkwasser wird es noch unübersichtlicher. Hessenwasser versorgt nach eigenen Angaben rund 2,4 Millionen Menschen im Rhein-Main-Gebiet; Frankfurt, Wiesbaden, Darmstadt und über fünfzig weitere Kommunen beziehen direkt oder mittelbar. Mit 2,4 Millionen liegt das Unternehmen weit über jeder Schwelle und ist zweifelsfrei erfasst.

Nur verantwortet Hessenwasser die Beschaffung — Gewinnung, Aufbereitung, Transport, Speicherung. Die Belieferung der Endkunden und die örtlichen Verteilnetze bleiben bei den Gesellschaftern und den lokalen Versorgern. Wer in einer kleinen Gemeinde wohnt, bezieht sein Wasser also unter Umständen aus einer regulierten Beschaffung über ein unreguliertes Verteilnetz. „Versorgt von einem KRITIS-Betreiber“ ist eben nicht dasselbe wie „geschützte Versorgungskette“.

Welcher Anteil der 6,4 Millionen Hessinnen und Hessen an einer durchgehend regulierten Trinkwasserversorgung hängt, kann deshalb niemand beziffern. Auch das ist keine Wissenslücke, sondern eine Folge der Zuständigkeitsverteilung.

Daraus werden zwei hübsche Landtagsanfragen. Erstens: Wie viele kommunale Einrichtungen in Hessen fallen nach Kenntnis der Landesregierung unter das BSIG, und wie viele haben sich fristgerecht registriert? Zweitens: Wie viele Einwohnerinnen und Einwohner Hessens werden von Wasserversorgungsunternehmen versorgt, die dem BSIG unterliegen — und wie viele nicht?

Die wahrscheinliche Antwort auf beide — es liegen keine Erkenntnisse vor — ist die eigentliche Nachricht.

Und wofür genau leisten wir uns zwei Ministerien?

Hessen hat ein Digitalministerium. Nicht jedes Land hat das. Man ist stolz darauf, und es liefert: ein KI-Anwendungszentrum in Frankfurt, ein Drohnenkompetenzzentrum in Calden mit acht Millionen Euro Förderung, eine Datentreuhandstelle in Gießen, Spatenstiche bei Rechenzentren, ein Förderprogramm für digitale Basistechnologien in den Rathäusern, den Verwaltungsschub und, als Krönung, den ersten Platz unter den Flächenländern im Digitalranking.

Cyber- und IT-Sicherheit sitzt derweil im Innenministerium. Dort fand der Cybersicherheitsgipfel statt, dort steht die NIS-2-Seite, dort wurde entschieden, die Kommunen nicht einzubeziehen, und dort läuft die Resilienzwoche.

Zwei Häuser, viel Digitalpolitik, ein gemeinsames Ergebnis: null verbindliche Mindestanforderung an die IT-Sicherheit von 421 Kommunalverwaltungen.

Hessen leistet sich damit mehr Ressorts für Digitalisierung als verbindliche Standards für kommunale Informationssicherheit. Eins zu null.

Was besser wäre

Landesrechtliche Mindeststandards, mit Konnexitätsausgleich. Pflicht und Finanzierung im selben Gesetz. Alles andere ist entweder eine unbezahlte Zumutung oder gar nichts — und bisher ist es gar nichts.

Verbindliche Meldewege. Ohne Meldepflicht kein Lagebild, ohne Lagebild ist jede Aussage zur kommunalen Sicherheitslage geraten. Auch die beruhigenden.

Informationssicherheitsbeauftragte im interkommunalen Verbund, vom Land kofinanziert. Eine Person für zwanzig Gemeinden ist dünn. Sie ist trotzdem zwanzig Mal mehr als der Status quo.

Ein Landes-SOC mit kommunalem Mandat und ein einsatzfähiges Incident-Response-Team. Wenn ein Rathaus verschlüsselt wird, entscheidet sich in den ersten 48 Stunden, ob die Verwaltung in einer Woche oder in einem halben Jahr wieder arbeitet. Diese Kapazität hält man vor oder man hat sie nicht.

Und, am wenigsten charmant: eine Zahl. Wie viele hessische Kommunen betreiben heute ein funktionierendes ISMS? Das Land weiß es nicht, muss es nicht wissen und hat sich das Fragen selbst erspart.

Zurück zur Resilienzwoche

Die Kampagne wirbt bei der Bevölkerung für Vorsorge und Selbstschutz. Wasservorrat, Kurbelradio, Notfallkontakte, ein Plan für 72 Stunden. Das ist richtig und viel zu wenig verbreitet, und ich meine das ohne Häme.

Nur hilft der beste Wasservorrat nicht, wenn nach einem Ransomware-Angriff das Bürgerbüro schließt, keine Personalausweise ausgegeben, keine Wohngeldzahlungen angewiesen und keine Sozialleistungen bewilligt werden. Genau das ist deutschen Kommunen in den vergangenen Jahren wiederholt passiert, teils über Monate.

Resilienz der Bevölkerung ersetzt keine handlungsfähige Verwaltung. Sie setzt sie voraus.

„Konsequente Vorbereitung von uns allen.“ Von uns allen — mit Ausnahme der 421 Stellen, bei denen im Krisenfall die Bürgerinnen und Bürger anrufen.

Null von 421. Nachzulesen auf der Website desselben Ministeriums, das zur Resilienz aufruft. Zwei Klicks von der Pressemitteilung entfernt.

Quellen:

• Pressemitteilung des Hessischen Innenministeriums zur Resilienzwoche, 03.09.2026 — https://hessen.de/node/23127
• Pressemitteilung zum Cybersicherheitsgipfel, 13.08.2026 — https://hessen.de/node/22984
• Hessisches Ministerium des Innern: NIS-2 in Hessen, „Hessische Kommunen“ — https://innen.hessen.de/sicherheit/cyber-und-it-sicherheit/nis-2-in-hessen/hessische-kommunen
• Beschluss 2023/39 des IT-Planungsrats vom 03.11.2023
• Gesetz zur Umsetzung der NIS-2-Richtlinie, in Kraft seit 06.12.2025 — https://www.recht.bund.de/bgbl/1/2025/301/VO.html
• BSI, FAQ zu NIS-2 (zur Betroffenheit kommunaler Eigen- und Regiebetriebe) — https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-FAQ/NIS-2-FAQ-allgemein/FAQ-zu-NIS-2_node.html
• § 28 Abs. 3 S. 1 Nr. 2 BSIG zur Schwellenwertberechnung bei rechtlich unselbstständigen Organisationseinheiten
• Hessisches Ministerium des Innern: Gemeinden und Landkreise (421 Gemeinden) — https://innen.hessen.de/Kommunales/Kommunen/Gemeinden-und-Landkreise
• Statistisches Bundesamt, Gemeinden nach Einwohnergrößenklassen
• Hessenwasser GmbH & Co. KG, Angaben zur versorgten Bevölkerung im Rhein-Main-Gebiet — https://www.hessenwasser.de/

Stellen Sie sich vor, Ihre Stadtverwaltung investiert Millionen in ein neues Glasfasernetz und schafft echtes Breitband für alle Bürger. Die Hardware steht, die Leitungen glühen, doch die Software, die über diese schnellen Verbindungen läuft, gehört einem einzigen Konzern aus Übersee. Wenn dieser Anbieter die Preise erhöht oder Funktionen streicht, steht das Rathaus mit dem Rücken zur Wand. Man zahlt, weil man keine Wahl hat.

Diese Abhängigkeit war in deutschen Amtsstuben über Jahrzehnte hinweg die gelebte Realität. Man nannte es pragmatisch „alternativlos“. Doch im November 2025 hat der IT-Planungsrat mit dem Beschluss 2025/48 eine Kehrtwende eingeleitet, die das Fundament der Verwaltung digital erneuert. Open Source Software (OSS) ist von einer netten Idee für IT-Idealisten zur offiziellen Marschroute für den Staat geworden. Dieser Schritt ist entscheidend für die digitale Souveränität und verändert die Art und Weise, wie Software in der öffentlichen Hand beschafft wird, von Grund auf.

1. Das Ende der juristischen Grauzone

Bisher glich die Beschaffung von Open Source Software in der Verwaltung einem juristischen Hürdenlauf. Die klassischen Standardverträge, bekannt als EVB-IT, waren fast ausschließlich auf den Kauf von Lizenzen für geschlossene Systeme zugeschnitten. Wer sich für offene Lösungen entschied, musste die Vertragswerke in mühsamer Kleinarbeit selbst anpassen. Für viele Vergabeabteilungen in kleineren Kommunen war dieses Risiko schlicht zu hoch, weshalb man lieber beim Bekannten blieb.

Mit der „Ertüchtigung“ der EVB-IT hat der IT-Planungsrat dieses Hindernis aus dem Weg geräumt. Acht zentrale Vertragstypen wurden so überarbeitet, dass Open Source nun rechtssicher eingekauft werden kann. Besonders deutlich wird der Wandel bei der Erstellung von Individualsoftware. Früher behielten Dienstleister oft alle Rechte am Code. Heute gilt das Prinzip, dass Software, die mit öffentlichem Geld entwickelt wird, auch der Öffentlichkeit gehören muss. Diese Regelung ist nun fest in den Verwaltungsvorschriften verankert und macht „Public Money, Public Code“ zur gelebten Praxis statt zu einer politischen Forderung.

2. Ein neuer Blick auf die Software-Beschaffung

Die Arbeitsgruppe EVB-IT hat die Vertragsmuster so angepasst, dass sie die Besonderheiten offener Software widerspiegeln. Bei der Erstellung von neuer Software ist OSS nun das Standardziel. Wenn eine Kommune heute eine neue Fachanwendung entwickeln lässt, landet der Quellcode künftig auf der Plattform OpenCoDE. Das bedeutet, dass eine Lösung, die in einer Stadt entwickelt wurde, ohne neue Lizenzkosten von jeder anderen Gemeinde im Land genutzt werden kann.

Selbst beim klassischen Softwarekauf, der sogenannten Überlassung vom Typ A, ist die Hemmschwelle gesunken. Einfache Optionen im Vertrag ermöglichen es nun auch Nicht-Juristen, OSS-spezifische Klauseln zu aktivieren. Auch die Pflege und Wartung der Systeme wird nun anders betrachtet. Es geht nicht mehr primär um das Bezahlen von Nutzungsrechten, sondern um die aktive Sicherstellung der Lauffähigkeit und den Beitrag zur Weiterentwicklung der Software-Gemeinschaft.

Ein technischer Meilenstein in diesen Verträgen ist die Verpflichtung zur Software Bill of Materials, kurz SBOM. Man kann sich das wie die Zutatenliste auf einer Lebensmittelverpackung vorstellen. Die SBOM listet jede einzelne Bibliothek und jeden Baustein auf, der in einer Anwendung steckt. In Zeiten von Log4j und anderen kritischen Sicherheitslücken ist das ein gewaltiger Fortschritt für die IT-Sicherheit. Die Verwaltung weiß nun in Sekunden, ob ein System betroffen ist, statt Wochen auf eine Antwort des Herstellers zu warten.

3. Digitale Souveränität und der Breitband-Faktor

Digitale Souveränität ist heute weit mehr als ein politisches Schlagwort. Es geht um die Handlungsfähigkeit des Staates. Wenn eine Kommune ausschließlich auf proprietäre Lösungen setzt, begibt sie sich in einen sogenannten Vendor-Lock-in. Die Kosten für einen Wechsel sind so immens, dass man faktisch gefangen ist. Open Source bricht diese Strukturen auf, indem sie den Anbieterwechsel ermöglicht. Wenn ein Dienstleister die Preise unangemessen erhöht oder den Service einstellt, kann ein anderer Partner die Pflege des offenen Codes übernehmen.

Diese Unabhängigkeit ist untrennbar mit dem Breitbandausbau verbunden. Es nützt wenig, wenn wir die physische Infrastruktur mit Glasfaser modernisieren, aber die logische Infrastruktur in einer technologischen Einbahnstraße verbleibt. Erst die Kombination aus schnellen Netzen und souveräner Software erlaubt es den Kommunen, Innovationen wirklich selbst zu steuern und Daten so zu verarbeiten, wie es den lokalen Bedürfnissen und dem Datenschutz entspricht.

4. Die Realität in den Rathäusern: Personal und Kultur

Trotz der neuen rechtlichen Klarheit bleibt die Umsetzung in der Praxis eine Herausforderung. Der Fachkräftemangel schlägt hier besonders hart zu. Wer Open Source professionell betreiben will, braucht Personal, das tiefer in die Technik blicken kann als beim reinen Lizenzmanagement. Man muss verstehen, wie man moderne Container-Technologien nutzt und wie man sicher mit Entwickler-Communities kommuniziert.

Zudem existiert in vielen Kämmereien noch immer das Vorurteil, dass Software ohne hohen Kaufpreis weniger wert sei oder kein Support-Versprechen biete. Es erfordert einen kulturellen Wandel zu verstehen, dass die Kosten bei OSS oft weniger in der Anschaffung, dafür aber stärker in der Implementierung und dem langfristigen Betrieb liegen. Auch die Cloud-Thematik bleibt vorerst eine Baustelle, da die entsprechenden EVB-IT-Verträge für Cloud-Dienste erst im kommenden Jahr überarbeitet werden sollen.

5. Fazit: Die neue Rolle der Rechenzentren und Fachanwendungen

Die Entscheidung des IT-Planungsrats ist ein Weckruf, der weit über die Grenzen der einzelnen Rathäuser hinausreicht. Besonders spannend wird die Entwicklung für die bestehenden Dienstleistungen und Fachanwendungen, die heute oft von den großen kommunalen Rechenzentren der Länder bereitgestellt werden. Diese Zentren fungierten lange Zeit als zentrale Gatekeeper und setzten oft auf bewährte, aber proprietäre Monolithen. Mit dem neuen Standard müssen auch diese IT-Dienstleister ihre Strategie überdenken.

Bestehende Fachanwendungen, die tief in die Verwaltungsprozesse integriert sind, können nicht über Nacht ersetzt werden. Doch der Beschluss setzt einen klaren Rahmen für alle künftigen Erweiterungen und Neuentwicklungen. Für die kommunalen Rechenzentren bedeutet das eine Transformation vom reinen Rechenkraft-Provider zum Orchestrierer offener Software-Ökosysteme. Sie müssen künftig sicherstellen, dass ihre Lösungen kompatibel mit OpenCoDE sind und dass sie die geforderten SBOM-Daten für ihre Kunden bereitstellen können.

Letztlich bedeutet dieser Wandel für die gesamte Verwaltung ein neues Maß an Kooperation. Wenn die Rechenzentren der Länder anfangen, ihre Entwicklungen konsequent als Open Source zu teilen, profitiert das gesamte System von einer massiven Beschleunigung der Digitalisierung. Wir hören auf, das Rad in jedem Bundesland neu zu erfinden. Die Kombination aus schnellem Breitband und einer offenen Software-Architektur ist das Fundament für einen Staat, der nicht nur digitaler, sondern auch unabhängiger und sicherer wird. Es ist der Abschied von der Rolle des Bittstellers gegenüber großen Softwarekonzernen und der Beginn einer echten digitalen Selbstbestimmung.

Ein kritischer Blick auf eine oft übersehene Realität

Open Source gilt als Allheilmittel für viele digitale Probleme. Auch in der öffentlichen Verwaltung wird es als Weg zu mehr Transparenz, Innovation und Unabhängigkeit von großen Tech-Konzernen gesehen. Ein aktueller Wettbewerb soll nun mit Open-Source-Projekten die öffentliche Verwaltung revolutionieren. Doch ist das wirklich die Lösung? Dieser Artikel beleuchtet, warum der Open-Source-Wettbewerb Verwaltung nicht retten wird und welche tiefer liegenden Probleme übersehen werden.

Ein Puzzleteil, das nicht passt: Open Source und fehlende Systemintegration

Die Idee, mittels eines Wettbewerbs innovative Open-Source-Lösungen zu finden, klingt auf den ersten Blick verlockend. Das Problem: Die eingereichten Projekte sind oft Insellösungen. Sie sind eigenständige Anwendungen, die eine spezifische Aufgabe lösen – sei es die Meldung von Schlaglöchern oder die Anmeldung für einen Bürgerkurs. Diese Apps haben jedoch kaum einen Einfluss auf die Kernprozesse der Verwaltung, denn sie sind nicht in die bestehenden, komplexen Infrastrukturen integriert.

Die öffentliche Verwaltung ist ein riesiges Netzwerk aus Fachanwendungen, Datenbanken und Altsystemen. Eine neue App, die als hübsche Webanwendung für den Bürger fungiert, kann die Prozesse im Hintergrund nicht beschleunigen, wenn sie nicht mit den Systemen kommuniziert, die tagtäglich genutzt werden. Das ist, als würde man einem Radfahrer ein Navigationsgerät für ein Auto geben – es funktioniert, aber es löst nicht die eigentlichen Probleme der Fortbewegung.

Die wahre Abhängigkeit: Warum Open Source nicht automatisch die Microsoft-Dominanz beendet

Eines der Hauptziele von Open-Source-Initiativen in der Verwaltung ist die Loslösung von proprietären Ökosystemen, allen voran von Microsoft. Doch hier liegt ein fundamentales Missverständnis vor. Der Open-Source-Wettbewerb konzentriert sich auf die Entwicklung neuer Anwendungen, nicht aber auf den Austausch der Basis-Infrastruktur.

Die Realität in den deutschen Kommunen sieht so aus:

• Der Großteil der Rechner läuft mit Windows.
• Das gesamte Applikations-Ökosystem basiert auf Microsoft-Produkten wie Office.
• Viele kritische Fachanwendungen, die für die tägliche Arbeit unverzichtbar sind, haben tiefe Abhängigkeiten von proprietären .Net-Frameworks oder spezifischen DLLs.

Spätestens wenn wir einen Blick ins Bürgerbüro oder den Bürgerservice werfen, wo Vorgaben und Geräte der Bundesdruckerei zwingend benötigt und genutzt werden, ist die Abhängigkeit unumstößlich vorhanden. Hier muss konzeptionell umgedacht werden. Fachanwendungen müssen komplett neu für Open Source geschrieben werden.

Solange diese grundlegenden Abhängigkeiten bestehen, können auch die besten neuen Open-Source-Anwendungen keine nachhaltige Veränderung herbeiführen. Sie werden entweder nicht genutzt oder müssen aufwändig in eine Systemlandschaft integriert werden, die nicht für sie geschaffen wurde.

Verwaltung im Dilemma: Die Herausforderung durch fehlende IT-Kompetenzen

Deutschland hat rund 11.000 Kommunen. Weit über 95 % davon sind Kleinstädte und Gemeinden mit weniger als 20.000 Einwohnern. In diesen Kommunen ist die IT-Landschaft eine besondere Herausforderung. Oft gibt es keine einzige ausgebildete IT-Fachkraft. Stattdessen sind Verwaltungsfachangestellte für die IT verantwortlich – Menschen, die eigentlich auf andere Aufgaben spezialisiert sind und meist nur Basiskenntnisse im Umgang mit Computern besitzen.

Externe Dienstleister werden zwar hinzugezogen, aber ohne einen internen Auftraggeber, der die strategischen Anforderungen definieren kann, sind die Ergebnisse oft unzureichend. Das führt zu einer veralteten und ineffizienten IT-Landschaft. Solange die Kommunen die IT nicht als kritische Infrastruktur begreifen, die Investitionen in Fachpersonal und Ressourcen benötigt, werden weder Open-Source-Wettbewerbe noch andere Initiativen die Situation grundlegend verbessern können.

Alte Strukturen, junge Technologie: Wie die Politik die Digitalisierung ausbremst

Das durchschnittliche Alter in kommunalen Gemeindevertretungen und -vorständen nähert sich oft der 70- oder 80-Jahre-Marke. Während das Alter allein keine Aussage über die Kompetenz macht, fehlt es in vielen Fällen an einem tiefgreifenden Verständnis für moderne Technologien und deren Potenzial. Dieses Verständnis ist jedoch essenziell, um die notwendigen finanziellen und strategischen Entscheidungen für eine erfolgreiche Verwaltungsdigitalisierung zu treffen. Ohne diese Weichenstellung von oben bleiben ambitionierte Projekte im Sande stecken.

Digitalisierung ist mehr als nur Software: Der Mangel an digitaler Ausbildung

Viele Mitarbeiter in den Verwaltungen haben den Sprung von der Schreibmaschine zum PC ohne ausreichende Schulung gemacht. Die digitale Kompetenz ist in vielen Bereichen erschreckend gering. Es ist keine Seltenheit, dass selbst heute noch grundlegende Aufgaben in Programmen wie Word oder Excel ineffizient ausgeführt werden, weil die Mitarbeiter nie eine systematische Ausbildung erhalten haben. Die Digitalisierung einer Verwaltung beginnt nicht mit dem Einspielen neuer Software, sondern mit der Schulung der Menschen, die diese Software nutzen sollen.

Fazit: Die Illusion des schnellen Erfolgs

Der Open-Source-Wettbewerb für eine bessere Verwaltung ist eine noble Idee, die jedoch die Komplexität der Herausforderungen ignoriert. Er liefert Insellösungen, die an den grundlegenden Problemen vorbeigehen, nämlich:

• Der fehlenden IT-Integration in bestehende Systeme.
• Der tief verwurzelten Abhängigkeit von proprietären Ökosystemen.
• Dem Mangel an IT-Fachkräften in der kommunalen Praxis.
• Der fehlenden strategischen Führung durch Politik und Verwaltung.
• Der unzureichenden digitalen Ausbildung des Personals.

Ein nachhaltiger Wandel erfordert einen ganzheitlichen Ansatz: mehr Investitionen in qualifiziertes Personal, eine umfassende strategische Planung und die konsequente Schulung der Mitarbeiter. Nur wenn diese Fundamente gelegt sind, kann Open Source sein volles Potenzial in der öffentlichen Verwaltung entfalten.