Die öffentliche Verwaltung verfolgt seit mehreren Jahren eine cloudorientierte Modernisierungsstrategie. Der IT-Planungsrat, das politische Steuerungsgremium für die Digitalisierung der deutschen Verwaltung, setzt mit seiner „Strategie zur Stärkung der Digitalen Souveränität“ auf interoperable, modulare und föderierte IT-Strukturen. Das bedeutet, dass IT-Systeme auch von verschiedenen Anbietern reibungslos zusammenarbeiten, aus austauschbaren Bausteinen bestehen und nicht zentral bei nur einem Akteur betrieben werden. Entscheidend ist dabei nicht der eine „richtige“ Anbieter, sondern die Fähigkeit, Anbieter und Dienste bei Bedarf wechseln zu können.
Vier Beispiele, wie sich digitale Souveränität in der Verwaltung organisieren lässt:
1. Staatlich kontrollierte Private Cloud
Für besonders schutzbedürftige Bereiche braucht der Staat maximale Kontrolle über Betrieb, Datenzugriff und Sicherheitsmechanismen. Die Bundescloud des ITZ Bund steht exemplarisch für diesen Ansatz: Dort, wo Kritikalität und Schutzbedarf besonders hoch sind, bleibt staatlich kontrollierte Infrastruktur ein zentraler Baustein.
2. Föderierte Verwaltungscloud
Nicht jeder souveräne Cloud-Ansatz muss zentral betrieben werden. Hohe Souveränität kann entstehen, wenn Behörden über gemeinsame Standards verschiedene Cloud-Dienste nutzen und bei Bedarf wechseln können. Die Deutsche Verwaltungscloud sollte dafür IT-Silos aufbrechen und eine gemeinsame Basis für unterschiedliche Cloud-Leistungen inklusive Wahlfreiheit und Portabilität schaffen.
3. Souveräne Angebote internationaler Anbieter
Auch internationale Anbieter können Teil einer souveränen Cloud-Strategie sein, wenn sie sich an europäische Governance-, Compliance- und Kontrollmechanismen binden lassen. Ein Beispiel ist die AWS European Sovereign Cloud, die auf eine physisch getrennte Infrastruktur in der EU ausgerichtet ist. Solche Modelle verbinden Skalenvorteile mit zusätzlichen Kontrollmechanismen – verlangen aber eine sorgfältige Prüfung von Transparenz, Durchsetzbarkeit und Exit-Fähigkeit.
4. Public Cloud für Standardanwendungen
Für Anwendungen mit geringerem Schutzbedarf können Public-Cloud-Dienste sinnvoll sein. Voraussetzung ist, dass sie in eine klare Architektur eingebettet sind: mit definierten Schnittstellen, Sicherheitsanforderungen und vertraglich abgesicherten Wechseloptionen. Bezugsmodelle wie der govdigital Cloud-Broker oder Anforderungen des BSI-Kriterienkatalogs können Orientierung geben.
Die Verwaltung sollte keinen Einheitsansatz verfolgen, um die digitale Souveränität zu wahren, sondern differenziert nach Schutzbedarf und Kritikalität vorgehen. Denn wer alle Anwendungsfälle gleich behandelt, riskiert Innovationshemmnisse, den Verlust digitaler Souveränität – oder beides.
