Es ist zehn Jahre her, da war ein Projekt IT-Konsolidierung und Netze des Bundes gestartet worden. Ziel war es gewesen, die vielfachen Formen der Datenverarbeitung der Bundesbehörden, deren Speicherung sowie die Beschaffung neuer Technik zu vereinheitlichen. Jetzt berichtete der Bundesrechnungshof, dass im Kern in den letzten zehn Jahren nicht viel erreicht wurde.
Das ist nicht wirklich erstaunlich, wenn man sich mit öffentlicher Verwaltung etwas auskennt. Einen vergleichsweise tiefen Einblick erhielt man vor etwas mehr als 25 Jahren, als weltweit die Befürchtung herrschte, der Jahrtausendsprung könnte zu massiven Problemen führen; bekannt war das Ganze damals unter Y2K. Schließlich waren damals Teile der eingesetzten Programme so alt gewesen, dass sie ein Jahr 2000 gar nicht vorgesehen hatten.
Als man sich dann daranmachte, genauer zu untersuchen, welche Programme wo eingesetzt wurden (und da ging es auch um Großkonzerne, Versicherungen etc.), stellte sich heraus, dass teilweise noch Programme liefen, die in den 1960ern in Fortran programmiert worden waren, einer Computersprache, die inzwischen niemand mehr kannte. Das Ergebnis der damaligen Erfahrung war, dass sich überall Artefakte finden können, einzelne Routinen, die aus älteren Programmen erhalten blieben, oder Nischen, in denen einfach nie Geld und Interesse zusammentrafen, um am einmal gefundenen Zustand etwas zu ändern. Schließlich lautet die Hauptanforderung an jede Art von Verwaltung: Sie muss funktionieren.
Schon in Kommunalverwaltungen ist es oberhalb einer bestimmten Größe schwierig, die technischen Veränderungen annähernd kompatibel zu halten. Schließlich haben einzelne Teile der Verwaltung jeweils eigene Budgets und entscheiden in der Regel nach eigenen Interessen, ob sie Technik erneuern oder wann, und die finanziellen Beschränkungen, unter denen öffentliche Haushalte meist leiden, sorgen dann dafür, dass Erneuerungen so weit wie möglich hinausgezögert werden. Dazu kommt dann noch das Problem, dass größere Aufgaben innerhalb der Verwaltung eben nicht einfach mit einem auf dem Markt befindlichen Produkt gelöst werden können, sondern oft ein auf die jeweilige Kommune maßgeschneidertes Programm brauchen, für das man erst einmal die erforderlichen Fachleute finden muss.
Nachdem jede Verwaltung in Deutschland sich in ihrem eigenen Rhythmus verändert, sind die Schnittstellen ein zentrales Problem für jeden Versuch, irgendwo irgendwas zu vereinheitlichen. Die schönste Online-Eingabemöglichkeit nützt nichts, wenn ihr Format mit den Rechnern der Nutzer am anderen Ende nicht kompatibel ist, die in der Verwaltung auf verschiedenen Systemen laufen und aus völlig verschiedenen Zeiten stammen können. Nicht zu vergessen: Da viele dieser Daten geschützt werden sollten, müssen auch die jeweiligen Sicherheitssysteme kompatibel sein. Das ist in etwa so, als müssten Menschen in völlig verschiedenen Sprachen ohne Übersetzungsmöglichkeit, dafür aber zu beliebigen Tages- und Nachtzeiten miteinander kommunizieren.
Wie vielteilig die Bundesverwaltung ist, kann man daran erkennen, dass bei der Planung des Projekts IT-Konsolidierung 1.300 Rechenzentren und Serverräume allein in der unmittelbaren Bundesverwaltung gefunden wurden. Ursprünglich sollte ihre Zahl bis 2022 verringert werden; das wurde als Ziel inzwischen gestrichen. Stattdessen sollen bis Ende 2028 77 Behörden in die IT-Struktur des Bundes überführt werden. Dafür sind beim Finanzministerium zwei Milliarden Euro vorgesehen. Aber ob es funktioniert?
Eines der Ziele lautete ursprünglich auch, die Vergaben zu zentralisieren. Das ist ein probates Mittel, um eine Vereinheitlichung zu erreichen; und tatsächlich, berichtet der Rechnungshof, wurden 2022 90 Prozent der Vergaben zentral durchgeführt. Aber in den Jahren danach sank dieser Anteil wieder und lag 2024 bei 88,5 Prozent.
Aber die Bemühungen, aus den ganzen verschiedenen Teilen der Bundesverwaltung ein Netz des Bundes zu schaffen, stießen auf noch ganz andere Probleme: “Wesentliche Komponenten der NdB sind veraltet und erhalten z. B. keine Sicherheitsupdates mehr.” Helfen soll dabei eine Reorganisation; doch derartige Schritte sind mühsam. Schließlich ist jedes Ministerium eigenverantwortlich und achtet in der Regel sehr darauf, keine Kompetenzen abzugeben.
Seit Mai dieses Jahres gibt es nun ein Ministerium für digitale Sicherheit, das dabei helfen soll, die zehn Jahre alte Strategie endlich umzusetzen. “Mit der IT-K Bund wollte die Bundesregierung u. a. die Variantenvielfalt von Hard- und Software verringern. (…) Bis heute fehlt ein Überblick bisher umgesetzter IT-Standards in der Bundesverwaltung.”
Die meisten Ressorts haben noch nicht einmal eine eigene Strategie für ihre Informationstechnologie. Drei von 18 Ressorts haben eine, zwei arbeiten daran, aber 13 haben noch nicht einmal damit begonnen. Aber wie soll man sich über die Probleme möglicher Schnittstellen klar werden, wenn noch nicht einmal die eigenen Bedürfnisse und Ziele klar ausformuliert sind?
“Neun von zehn Handlungsfeldern”, so der Bundesrechnungshof, “hat sie [die Bundesregierung] noch nicht beschrieben. Dazu zählen wesentliche Handlungsfelder wie Digitale Souveränität, Resilienz und Sicherheit, Digitale Infrastruktur und Konsolidierung, Standardisierung und Nachfrage.”
Dass dann auch noch keine Methoden entwickelt wurden, um den Erfolg möglicher Maßnahmen zu messen und zu überprüfen, muss nicht mehr sonderlich wundern. Selbst die Umsetzung des Minimums scheint schwierig. So das Computerportal Golem:
“So legte das Bundesamt für Sicherheit in der Informationstechnik (BSI) Mindeststandards für die IT-Sicherheit in den Netzen des Bundes fest. Doch diese werden weiterhin nicht überall eingehalten. Schon im Oktober 2018 sei dem Bundesinnenministerium bekannt gewesen, dass ein erheblicher Teil der Behörden und Einrichtungen die Nutzerpflichten nicht erfüllten. ‘Über sechs Jahre später erfüllen immer noch knapp die Hälfte (52 von 106 Behörden und Einrichtungen) die Nutzerpflichten nicht vollständig’, schreibt der Rechnungshof.”
Zugegeben, eine Vereinheitlichung der IT in einem so großen Verwaltungsapparat wie dem des Bundes wird immer eine Utopie bleiben. Aber keinerlei Fortschritte über einen Zeitraum von zehn Jahren? Das ist mehr als bedenklich. Und gerade im Bereich Sicherheit erweisen sich die Standards als Makulatur.
Der Bundesrechnungshof hatte gute Gründe, das zu monieren. Das Innen- und das Finanzministerium haben dazu natürlich eine Stellungnahme abgegeben, dass in Wirklichkeit alles gut ist und es nur etwas mehr Geld braucht. Die Bürger jedoch können sehen, dass nicht nur bei der Bahn nichts vorangeht, und ansonsten hoffen, dass die beschriebenen Mängel keine größeren Schäden anrichten.
Mehr zum Thema – Microsoft-Produkte in deutschen Behörden: Deutschland in der Abhängigkeits-Falle
