MACH dich schlau - Themenwissen für die öffentliche Verwaltung · Florian Leibig · 04.11.26

Digitale Souveränität in der Verwaltung: Definition & Praxis

Von der Grundsatzdebatte zum Prüfkriterium: Kämmereien, IT-Leitungen und Vergabestellen müssen seit 2026 zeigen, welche Fachverfahren sich wechseln lassen und welche nicht.

Digitale Souveränität heißt für Behörden, die eigene IT selbstbestimmt zu steuern: Daten, Software und Betrieb bleiben unter Kontrolle, auch wenn externe Anbieter sie liefern. Für Kämmereien, IT-Leitungen und Vergabestellen ist sie 2026 ein prüfbares Kriterium.

Recht, Geopolitik und das neue Vergaberecht treiben das Thema gleichzeitig voran, das Wichtigste vorab:

Ziel sind Wechselmöglichkeit, Gestaltungsfähigkeit und Einfluss auf Anbieter, nicht Autarkie oder ein Totalausstieg aus bestehenden Systemen.
openDesk ist mit 8.756 Lizenzen im April 2026 weit entfernt vom für Ende 2025 projizierten Ziel und ersetzt die marktführende US-Office-Suite nicht vollständig.
Seit 1. Juli 2026 erlauben § 58 VgV und § 128 GWB digitale Souveränität ausdrücklich als Zuschlagskriterium und Ausführungsbedingung.
Ob CLOUD Act und DSGVO vereinbar sind, ist ungeklärt (Stand 2026). Exit-Klauseln und BSI C3A geben Halt.

Digitale Souveränität: Definition für Verwaltung und Behörden

Digitale Souveränität bezeichnet die Fähigkeit von Institutionen, ihre Rolle in der digitalen Welt selbstständig und sicher auszuüben. Die Definition stammt aus einer Studie des Kompetenzzentrums Öffentliche IT (ÖFIT), der IT-Planungsrat übernahm sie 2021 in seine Strategie zur Stärkung der digitalen Souveränität, ausgelöst durch kritische Anbieter-Abhängigkeiten. Seit 17. Juni 2026 ergänzt eine deutsch-französische Definition sechs Dimensionen, darunter Substituierbarkeit und Schutz sensibler Daten. Entscheidend bleibt der risikobasierte Ansatz: Ein Terminbuchungstool braucht weniger Absicherung als das Melderegister.

Die Abgrenzung zu Nachbarbegriffen:

Begriff	Worum es geht	Verhältnis zur digitalen Souveränität
Autarkie	Alles selbst entwickeln und betreiben	Kein Ziel: Fremdprodukte sind erlaubt, solange ein Wechsel möglich bleibt
Datenschutz	Schutz personenbezogener Daten nach DSGVO	Teilziel: Souveräne IT macht Datenschutz durchsetzbar
Datensicherheit	Vertraulichkeit, Integrität, Verfügbarkeit	Ein sicherer Dienst kann unsouverän sein, wenn er sich nicht ersetzen lässt
Digitalisierung	Prozesse von Papier auf digitale Abläufe umstellen	Schafft neue Abhängigkeiten, wenn Souveränität bei der Auswahl fehlt

Drei Ebenen der Souveränität: Daten, Technologie, Betrieb

Souveränität lässt sich auf drei Ebenen prüfen: bei Daten, Software, Betrieb.

Ebene	Kernfrage	Beispiel am Amt
Datensouveränität	Wer kontrolliert Speicherort, Zugriff und Export?	Die Kämmerei exportiert alle Buchungsdaten aus dem Finanzverfahren vollständig in einem offenen Format.
Technologie- und Softwaresouveränität	Lässt sich die Software anpassen, anbinden oder ersetzen?	Das Antragsverfahren nutzt dokumentierte Schnittstellen, ein Nachfolgeprodukt übernimmt die Formulare ohne Neuerfassung.
Betriebs- und Infrastruktursouveränität	Wer betreibt das System, und lässt sich der Betreiber wechseln?	Das Personalverfahren läuft im kommunalen Rechenzentrum, der Vertrag erlaubt den Umzug in einen anderen Betrieb.

Eine mit Nein beantwortete Kernfrage markiert eine Abhängigkeit für die nächste Vertragsverhandlung.

Rolle entscheidet mit: Der IT-Planungsrat unterscheidet die Verwaltung als Nutzerin, Bereitstellerin und Auftraggeberin, je nach Rolle verschiebt sich der Schwerpunkt von der Nutzungs- über die Betriebs- bis zur Transparenzsouveränität.

Warum das Thema jetzt drängt: Cloud Act, Lock-in und die Rechtslage

Der Druck kommt aus Recht, Geopolitik und gewachsener Abhängigkeit. Rechtlich zentral ist der US CLOUD Act, der US-Unternehmen zur Herausgabe von Daten an US-Behörden verpflichtet, unabhängig vom Speicherort. Ein Rechenzentrum in Frankfurt schützt also nicht, dagegen steht Art. 48 DSGVO. Der Europäische Datenschutzausschuss hält eine Herausgabe allein auf Basis des CLOUD Act für unzulässig, final geklärt ist die Rechtslage trotzdem nicht.

Stand der Rechtslage: Eine höchstrichterliche Klärung zum Verhältnis von CLOUD Act und DSGVO gibt es nicht (Stand 2026). Eine belastbare Vorlage benennt diese Unsicherheit offen und stützt sich auf vertraglich und technisch Regelbares.

Wie konkret das Risiko wird, zeigt der Internationale Strafgerichtshof: Nach US-Sanktionen 2025 verlor er vorübergehend den Zugang zu seinem Cloud-Konto und stellte im Oktober 2025 auf openDesk um. Dazu kommt der Vendor-Lock-in, die Bindung an einen Hersteller durch proprietäre Datenmodelle. Dagegen hilft: Daten klassifizieren und Exit-Rechte vertraglich sichern.

ZenDiS, openDesk, Verwaltungscloud-Strategie: Stakeholder im Überblick

Die Initiativen sind unterschiedlich weit, von geltendem Recht bis zum Produkt im Rollout.

Initiative	Zweck	Reifegrad und Stand
ZenDiS (Zentrum für Digitale Souveränität der Öffentlichen Verwaltung)	Bundeseigene GmbH, gegründet 2022, entwickelt und vertreibt openDesk	Über 45 Millionen Euro in die Entwicklung investiert
openDesk	Office- und Kollaborationssuite aus Nextcloud, Collabora Online, Open-Xchange, OpenProject, Element	Version 1.0 seit Oktober 2024, 8.756 Lizenzen im April 2026, davon 8.475 produktiv, gehärtete Version bis 31. März 2027 geplant
Deutsche Verwaltungscloud-Strategie	Föderaler Cloud-Verbund, modular, mit offenen Standards und Vorrang für Open Source	Beschluss des IT-Planungsrats von 2020, strategischer Rahmen für Cloud-Vorhaben

openDesk gilt in der Debatte als Alternative zur marktführenden US-Office-Suite, im Einsatz beim Robert Koch-Institut (rund 7.000 Personen) und bei der Bundeswehr, die 2025 über die BWI einen Siebenjahresvertrag schloss. Das ZenDiS hatte jedoch 160.000 Lizenzen bis Ende 2025 projiziert, exklusiv ersetzt openDesk nirgends. Funktional deckt es Textverarbeitung, Mail, Chat und Videokonferenz ab, Gegenstücke fehlen für Business-Intelligence- und Automatisierungstools großer US-Anbieter.

Open Source ist ein Hebel unter mehreren, ebenso wirksam sind offene Standards wie XRechnung, das bundesweite Format für elektronische Rechnungen. Die Grenze ist praktisch: Betrieb und Support brauchen Fachkräfte, die vielen Häusern fehlen, souverän wird Open Source erst mit einem Betriebskonzept.

Wissenswert: Open Source verschiebt die Abhängigkeit vom Lizenzgeber zum Betreiber. Der Gewinn liegt im Wechselrecht: Fällt ein Dienstleister aus, übernimmt ein anderer denselben Code.

Souveränitätsfeste Ausschreibung: Kriterien, Scheinlösungen und Dienstleister-Realität

Rahmenbedingung	Zweck	Reifegrad
EVB-IT für Open Source	Vertragsbedingungen für rechtssichere Open-Source-Beschaffung	Seit März 2026 Open Source als Standardoption bei Entwicklungsaufträgen, proprietäre Software bleibt möglich
Vergabebeschleunigungsgesetz	Souveränität als Zuschlagskriterium und Ausführungsbedingung (§ 58 VgV, § 128 GWB)	In Kraft seit 1. Juli 2026

Mit dem Vergabebeschleunigungsgesetz wird Souveränität in der Ausschreibung prüfbar. In die Leistungsbeschreibung gehören:

C5-Testat des BSI belegt Sicherheit, C3A (seit April 2026) prüft Selbstbestimmung des Cloud-Dienstes.
Das Cloud Sovereignty Framework der EU-Kommission definiert acht Ziele und fünf SEAL-Stufen (Sovereignty Effective Assurance Level) je Dienst.
Sensible Daten bleiben in der EU; kein Drittstaatsrecht darf Zugriff erzwingen.
Exit-Klausel: Datenrückgabe in offenem Format mit Fristen.
Schnittstellen sind offen dokumentiert und für Drittanbindungen nutzbar.
Das Betriebsmodell lässt sich wechseln, etwa vom Rechenzentrum des Dienstleisters in den Eigenbetrieb.
Die Anforderungen gelten nach § 128 Abs. 2 GWB als Ausführungsbedingung über die gesamte Vertragslaufzeit.

Das EU-Framework kam bereits in einem Vergabeverfahren mit rund 180 Millionen Euro Volumen zum Einsatz, löst den Zielkonflikt aber nicht auf: Laut einer Bitkom-Unternehmensbefragung sehen 78 Prozent Deutschland als zu abhängig von US-Cloud-Anbietern. Eine transparente Gewichtung mit festen Punkten für Souveränität und Funktion macht die Abwägung nachvollziehbar.

Vergabestellen sichern mit Scheinlösungen oft nur ein Merkmal ab, häufigstes Beispiel der Serverstandort Deutschland: Er schützt nicht, wenn der Anbieter dem CLOUD Act unterliegt, entscheidend ist dessen Eigentümer- und Kontrollstruktur.

Mehr Souveränität kostet zunächst Geld, Zeit und Fachkräfte, größter Posten sind Datenmigration und Parallelbetrieb. Kommunen und Länder beziehen Betrieb über kommunale Dienstleister, der Bund über das ITZBund.

Standort und Eigentümerstruktur lassen sich am Sitz der Gesellschaft prüfen. Ein Beispiel für prozessnahe Standardsoftware aus Deutschland ist MACH GmbH aus Lübeck mit MACH meinERP, einem ERP-Baustein für die Haushaltsbewirtschaftung mit variablen Betriebsmodellen und Exit-Fähigkeit, gebündelt als Software für Bundesbehörden und Software für Landesbehörden.

Mit den MACH Lösungen gestalten deutschlandweit Einrichtungen seit Jahrzehnten ihren Weg zur digitalen Souveränität. Interoperabel, sicher und leistungsfähig. Der Deutschland-Stack setzt genau hier an - und MACH ist mittendrin.

Mehr erfahren

Von der Debatte zur Ausschreibung: der nächste Schritt

Seit dem Vergabebeschleunigungsgesetz lässt sich Souveränität rechtssicher in die Vergabe einwiegen, eine Haltungsfrage bleibt sie 2026 nicht mehr. Der nächste Schritt ist eine Abhängigkeitsanalyse der eigenen Fachverfahren vor der nächsten Ausschreibung.

Alle Fachverfahren erfassen und je Dienst die Kritikalität bewerten.
Je Verfahren die drei Ebenen Daten, Software, Betrieb mit den Kernfragen prüfen.
Vertragsenden markieren und Souveränitätskriterien vorbereiten.

Den Anfang machen die drei Verfahren mit der stärksten Abhängigkeit. Wer dort die Exit-Frage beantworten kann, geht mit Rückenwind in die nächste Sitzung.

Muss eine Behörde jetzt von den etablierten US-Anbietern wegmigrieren?

Nein. Weder das Vergaberecht noch die Strategien des IT-Planungsrats schreiben einen Ausstieg vor, der Bund nutzt openDesk nicht exklusiv. Sinnvoll: sensible Datenbestände identifizieren und bei der nächsten Vertragsverlängerung Exit-Rechte sichern.

Wie stark sollte Souveränität in der Bewertungsmatrix gewichtet werden?

Nach der Kritikalität des jeweiligen Dienstes: Melderegister- oder Personaldaten verdienen deutlich mehr Gewicht als ein Terminbuchungstool. Die Gewichtung sollte vor Veröffentlichung feststehen und im Vergabevermerk nachvollziehbar begründet sein.

Wer trägt die Verantwortung, wenn ein kommunaler IT-Dienstleister den Betrieb führt?

Die Behörde selbst. Als datenschutzrechtlich Verantwortliche bleibt sie in der Pflicht, auch wenn ein kommunaler IT-Dienstleister oder ein Rechenzentrum den Betrieb übernimmt. Die Hebel liegen in den Anforderungen an neue Verfahren und in den Auftragsverarbeitungs-Vereinbarungen.

Wann ist openDesk für eine Kommune eine realistische Option?

Für Kommunikation und Dokumentenarbeit schon heute, für hohen Schutzbedarf eher ab der gehärteten Version bis 31. März 2027. Wer auf Business-Intelligence- oder Automatisierungstools großer US-Anbieter setzt, braucht zusätzliche Lösungen.

Wer betreibt Open-Source-Software, wenn im Haus Fachleute fehlen?

Ein IT-Dienstleister oder ein spezialisierter Anbieter mit Supportvertrag übernimmt Betrieb, Updates und Sicherheitspatches. Die EVB-IT-Bedingungen für Open Source vom März 2026 machen diese Beschaffung rechtssicher und planbar.

Welche Grundlagen gehören in eine Beschlussvorlage zur digitalen Souveränität?

Die Strategie des IT-Planungsrats von 2021 liefert Definition und Ziele, für die Vergabe zählen § 58 VgV und § 128 GWB, fachlich ergänzen der BSI-Katalog C3A und die Verwaltungscloud-Strategie.