Deutschlands Verwaltung ist ein wandelndes Cyberrisiko

Artikel von Maximilian Sachse

• 1 Std. • 3 Minuten Lesezeit

class="article-body" style="font-size: 17px; text-align: start; line-height: 26px; margin: 0px; max-height: 100%; overflow-y: hidden;"

Bundeskanzler Olaf Scholz (SPD) im Februar mit Microsoft-Vize Brad Smith. Der Konzern investiert in den kommenden Jahren Milliarden in Deutschland.© dpa

Es ist gut anderthalb Jahre her, dass chinesische Hacker einen Monat lang E-Mails aus dem amerikanischen Außenministerium mitlesen konnten. Zuvor hatte sich eine chinesische Hackergruppe Zugang zu den Outlook-E-Mail-Konten von 25 Organisationen verschafft. Der Fall warf ein Schlaglicht darauf, wie abhängig Regierungen auf aller Welt von Microsoft-Software sind. Auch die deutsche Verwaltung wird durch Exceltabellen am Laufen gehalten.

Genau diese Verbreitung macht Microsoft als Angriffsziel für Hacker so beliebt. Denn eine Schwachstelle verschafft womöglich Zugang zu vielen interessanten Spionage- und Sabotagezielen. Microsofts E-Mail-Software Exchange war schon mehrfach das Ziel von Cyberattacken. IT-Sicherheitsfachleute mahnen deshalb seit Jahren, dass die deutsche Verwaltung ihre Abhängigkeit von einzelnen Anbietern reduzieren und ihre Software mehr diversifizieren sollte. Nicht erst durch die anstehenden Bundestagswahlen sollte jedem die Wichtigkeit einer resilienten Verwaltung klar sein.

In sehr vielen Bereichen gibt es gleichwertige Alternativen mittelständischer europäischer oder deutscher Softwarehäuser. Im Gegensatz zu den namhaften Konkurrenten aus Amerika ist ihre Technik oft offen einsehbar. Solche „Open Source“-Software gilt als sicherer, weil jeder nachvollziehen kann, wie sie programmiert wurde. Mögliche Lücken können daher potentiell von den Millionen Entwicklern schneller erkannt werden, die sich weltweit im Bereich Open Source engagieren. Und anders als es manche Vorurteile vermuten lassen, sieht solche Software auch nicht mehr zwingend aus wie aus den Neunzigerjahren. Oft bietet sie eine vergleichbare Funktionalität zu günstigeren Preisen.

Eklatante Umsetzungsschwierigkeiten bei Open Source

Die deutsche Politik will zwar seit Jahren Open Source in der Verwaltung vorantreiben, hat offenbar aber eklatante Umsetzungsschwierigkeiten. Die zerbrochene Ampelregierung lieferte in ihrem Koalitionsvertrag noch ein ausdrückliches Bekenntnis zu Open Source in der Verwaltung und versprach: „Entwicklungsaufträge für Software beauftragen wir im Regelfall als Open Source.“

Übrig geblieben ist von diesem Versprechen wenig. Eine Kleine Anfrage der Linkenfraktion im Bundestag ergab, dass gerade einmal 0,5 Prozent der Dienstleistungen im Zusammenhang mit Software in der aktuellen Legislaturperiode auf Open Source entfielen. Welche Software in der Bundesverwaltung genau wie oft zum Einsatz kommt, weiß leider nicht mal die Bundesregierung selbst. Wer Ziele hat, muss sie auch messbar machen. Wie soll die Verwaltung ihren Fortschritt in Sachen Open Source überprüfen, wenn sie nicht mal den aktuellen Stand erfasst?

Ausgaben für Microsoft stark gestiegen

Gleichzeitig sind die Kosten für Microsoft-Lizenzgebühren in der Bundesverwaltung in den vergangenen Jahren stark gestiegen: 2017 lagen sie noch bei 74 Millionen Euro; 2023 bei 197,7 Millionen Euro. 2025 läuft der Rahmenvertrag mit Microsoft aus. Dass er deutlich günstiger ausfällt als der aktuelle, darf bezweifelt werden.

Der größte Hebel liegt in den Regeln und Verfahren für öffentliche Ausschreibungen. Viele Behörden sind im IT-Einkauf überfordert. Einfach den Vertrag mit Microsoft zu verlängern ist da im Zweifel das Unkomplizierteste. Eine entscheidende Rolle kommt deshalb dem Zentrum für Digitale Souveränität (ZenDiS) zu – einem der wenigen Lichtblicke in der Open-Source-Politik der Ampel. Hinter dem blumigen Namen verbirgt sich eine Bundes-GmbH mit dem Auftrag, offene Software für die Verwaltung zu fördern. Das ZenDiS entwickelt nicht selbst Software – was ohnehin ein Himmelfahrtskommando wäre –, sondern bündelt die bestehenden Einzellösungen privater Anbieter und passt sie für Verwaltungszwecke an. Das macht Einkauf und Einsatz quelloffener Software erheblich einfacher.

Trotz großer Startschwierigkeiten erschien im Oktober eine erste Version von „openDesk“, dem Open-Source-Pendant zu Microsoft Office. Die Rezensionen fallen bislang positiv aus. Im kommenden Jahr war die großflächige Implementation in Verwaltungen geplant. Wie groß sie wirklich ausfällt, ist unklar: Das Budget des ZenDiS wurde für 2025 stark zusammengestrichen.

Wenn schon auf Bundesebene wenig passiert, um die Verwaltungs-IT widerstandsfähiger zu gestalten, machen immerhin einige Landesinitiativen Hoffnung. Schleswig-Holstein treibt etwa sehr ehrgeizig den Umstieg von Windows auf ein Linux-basiertes System voran. Es braucht mehr solcher Initiativen.