Digitale Souveränität im Public Sector: Der Open-Source-Mythos

Digitale Souveränität im Public Sector: Warum Open Source wichtig, aber nicht ausreichend ist

Eine Einordnung für den deutschen öffentlichen Sektor

In der deutschen Verwaltungs- und Digitalpolitik erscheint die Gleichung auf den ersten Blick naheliegend: Open-Source-Software wird häufig als der zentrale Baustein digitaler Souveränität betrachtet. Kann der Staat den Quellcode inspizieren, verändern und kontrollieren, auf dem kritische IT-Systeme basieren, so das Argument, macht er sich unabhängig von proprietären Anbietern und globalen Technologiekonzernen. Lizenzrestriktionen entfallen, Vendor Lock-in wird vermieden, und „Black Boxes“ im Umgang mit sensiblen Daten sollen der Vergangenheit angehören.

Diese Argumentation prägt derzeit viele Debatten auf Bundes-, Landes- und Kommunalebene und beeinflusst Programme zur digitalen Souveränität maßgeblich. Sie greift jedoch zu kurz: Open-Source-Software kann zwar Abhängigkeiten reduzieren, ersetzt jedoch nicht automatisch sichere Betriebsprozesse, ausreichende technische Kompetenzen, eine nachhaltige Finanzierung oder belastbare Exit-Strategien.

Open Source ist kein Garant für einen sicheren und kontinuierlichen Betrieb

Open-Source-Software wird häufig gemeinschaftlich entwickelt und in unterschiedlichen Betriebsmodellen eingesetzt. Für öffentliche Verwaltungen ist deshalb entscheidend, wer Betrieb, Wartung, Schwachstellenmanagement und Weiterentwicklung kontrolliert und verantwortet. Für öffentliche Verwaltungen ergibt sich daraus eine unbequeme Realität: Entweder wird Open Source primär in weniger kritischen Einsatzszenarien genutzt oder es werden betriebliche Risiken in Kauf genommen.

Ein ausschließlich communitybasierter Betrieb ohne klar geregelte Zuständigkeiten, Wartungsprozesse und Eskalationswege kann für hochkritische Systeme unzureichend sein. Das Risiko entsteht jedoch nicht durch die offene Lizenz allein, sondern durch das konkrete Betriebs- und Verantwortungsmodell. Im Zentrum steht der Ressourcenbedarf. Mögliche Modelle reichen vom Eigenbetrieb über kommerziellen Enterprise-Support bis hin zu Managed Services. In allen Fällen müssen Sicherheitsupdates, Patch-Management, Wiederherstellung, Dokumentation und Reaktionszeiten geregelt sein. Das gilt grundsätzlich für offene wie für proprietäre Software. 

Die zentrale Frage lautet daher nicht: „Open Source oder proprietär?“, sondern: Wer kann die Lösung über ihren gesamten Lebenszyklus sicher, wirtschaftlich und nachvollziehbar betreiben? 

Verfügen Bundes-, Landes- oder Kommunalverwaltungen tatsächlich über ausreichend internes Fachpersonal, um hochkritische Systeme über Jahre hinweg eigenständig zu betreiben, weiterzuentwickeln und abzusichern – insbesondere dann, wenn ein Projekt an Dynamik verliert oder externer Support wegfällt? Viele Anforderungen übersteigen in einigen Fällen die real vorhandenen Engineering-Kapazitäten der öffentlichen IT.

Regulatorik, Compliance und Zertifizierungen als zentrale Hürden

Drei Anforderungsbereiche erweisen sich für den öffentlichen Sektor als besonders anspruchsvoll: regulatorische Nachweispflichten, lizenzrechtliche Unsicherheiten bei Open Source und der Aufwand formaler Zertifizierungen. 

Für Behörden, die Finanzdaten, Sozialdaten oder andere personenbezogene Informationen verarbeiten, verschärfen sich die Anforderungen erheblich. Prüfstellen verlangen zunehmend nachweisbare Sicherheitszertifizierungen, klar definierte Wartungs- und Patch-Zyklen sowie belastbare Haftungs- und Supportzusagen. Community-basierter Support ohne kommerzielle Trägerstruktur reicht hierfür in der Regel nicht aus.

Zusätzliche Komplexität entsteht, wenn Open-Source-Projekte ihre Lizenzmodelle ändern oder sich in konkurrierende Forks aufspalten. Für Verwaltungen stellt sich dann die Frage, welche Komponenten und Sicherheitsupdates noch rechtssicher eingesetzt werden dürfen – ein Risiko, das in vergaberechtlich und revisionssicher aufgestellten Organisationen nur begrenzt tragbar ist.

Der Zertifizierungsaufwand selbst stellt eine weitere Hürde dar. Kryptografische Validierungen, Common-Criteria-Verfahren oder branchenspezifische Zulassungen sind kostenintensiv und langfristig angelegt. Bei Open-Source-Komponenten muss geklärt werden, wer die sicherheitsrelevante Integration, Dokumentation, Wartung und Nachweisführung für das konkrete Produkt oder die konkrete Lösung übernimmt. Entscheidend sind belastbare Prozesse und Verantwortlichkeiten – nicht die Lizenz allein.

Die Realität: Hybride IT-Landschaften statt „reines Open Source“

In der Praxis existiert reine Open-Source-IT im öffentlichen Sektor kaum: Verwaltungsumgebungen sind fast immer hybrid und kombinieren offene wie proprietäre Komponenten. 

Unabhängig von Lizenzdebatten zeigt der Blick in bestehende IT-Architekturen eine klare Realität: Verwaltungs-IT ist fast immer hybrid. Open-Source-Komponenten sind eingebettet in proprietäre Management-, Monitoring- und Sicherheitslösungen. Betriebssysteme laufen auf Hardware mit Closed-Source-Firmware, Netzwerk- und Storage-Systeme basieren auf proprietärem Code.

Vor allem zentrale Fachverfahren – Finanz-, Personal-, Sozial- oder Bürgerdienstsysteme – sind überwiegend kommerzielle Standardsoftware. Sie greifen auf proprietäre Datenbanken zurück oder setzen bestimmte Plattformen voraus. In solchen Architekturen entscheidet sich die Frage der Souveränität nicht auf Ebene einzelner Open-Source-Bausteine, sondern an der Steuerbarkeit der Gesamtarchitektur. Dazu gehören offene Schnittstellen, dokumentierte Datenformate, Interoperabilität, Portabilität, klare Betriebsverantwortung und realistisch getestete Wechseloptionen.

Open Source kann diese Ziele unterstützen. Es garantiert sie aber nicht automatisch. Umgekehrt ist proprietäre Software nicht per se unsouverän, wenn Abhängigkeiten transparent bewertet, vertraglich begrenzt und durch geeignete Exit- und Ausweichszenarien beherrscht werden.

Was öffentliche IT-Entscheider tatsächlich benötigen

Jenseits ideologischer Diskussionen lassen sich die tatsächlichen Anforderungen klar benennen:

• verlässlicher und langfristig gesicherter Betrieb
• planbarer Zugang zu qualifiziertem Support
• transparente und stabile Kostenmodelle
• offene Standards und dokumentierte Schnittstellen
• regulatorische und vergaberechtliche Konformität
• belastbare Exit-Strategien bei Anbieterwechsel oder Marktveränderungen
• ausreichend interne Kompetenzen und klare Verantwortlichkeiten
• belastbares Schwachstellen- und Lieferkettenmanagement

Digitale Souveränität entsteht daher weniger aus Lizenzfragen als aus vertraglicher Steuerungsfähigkeit, klarer Governance, aktivem Risikomanagement und strategischem Lieferantenmanagement.

Belastbare Souveränität zeigt sich im Ernstfall: Selbst wenn vertragliche Regelwerke nicht mehr greifen, sichern ein extern nicht beeinflussbarer, weiterlaufender Produktivbetrieb und eine klar definierte Exit-Strategie die Handlungsfähigkeit der Verwaltung.

Der konkrete Mehrwert von Open Source im öffentlichen Sektor

Open Source bietet im Verwaltungskontext durchaus substanzielleVorteile. Die Transparenz des Quellcodes ermöglicht Sicherheitsbewertungen, unterstützt technische Audits und erlaubt unabhängige Prüfungen. Software-Stücklisten (SBOMs) helfen, Abhängigkeiten und potenzielle Risiken systematisch zu erfassen. Lösungen können nachgenutzt und an eigene Anforderungen angepasst werden. Offene Entwicklungsmodelle können Wettbewerb und Innovation fördern. Abhängigkeiten von einzelnen Anbietern lassen sich unter bestimmten Bedingungen reduzieren.

Gleichzeitig zeigen Vorfälle wie Heartbleed oder Log4Shell, dass Offenheit allein keine Sicherheit garantiert. Sie schafft jedoch Optionen zur unabhängigen Kontrolle. Als Bestandteil einer Gesamtstrategie ist Open Source sinnvoll – sie ist weder hinreichend noch nebensächlich.  Es ist ein besonders wirksamer Baustein, dessen Nutzen erst durch professionelle Wartung, Governance, Kompetenzen, Finanzierung und eine passende Architektur realisiert wird.

Fazit: Digitale Souveränität ist eine Governance- und Betriebsfrage, keine Lizenzfrage

Echte digitale Souveränität im deutschen öffentlichen Sektor entsteht nicht durch die Wahl bestimmter Open-Source-Lizenzen. Sie setzt operative, organisatorische und vertragliche Kontrolle voraus: die Fähigkeit, Systeme sicher zu betreiben, regulatorische Anforderungen zu erfüllen, Anbieterbeziehungen aktiv zu steuern und technologische Richtungsänderungen ohne Beeinträchtigung öffentlicher Leistungen vorzunehmen.

Ein Staat, der Open-Source-Software auf ausländischer Cloud-Infrastruktur betreibt, durch externe Dienstleister managen lässt und weder internes Know-how noch Exit-Strategien besitzt, ist nicht souverän. Umgekehrt kann eine Verwaltung mit klar strukturierten Verträgen, starken internen Kompetenzen, Datenhoheit und diversifizierten Technologiepartnerschaften, etwa auf Basis einer,  auch beim Einsatz proprietärer Software souverän handeln.

Digitale Souveränität ist damit das Ergebnis strategischer Planung, gezielter Investitionen, kluger Beschaffung und belastbarer Governance – nicht das Resultat einer Lizenzentscheidung.

Wie Nutanix operative Souveränität im öffentlichen Sektor unterstützt

Genau an dieser Stelle setzt die Nutanix Cloud Platform an. Sie bietet öffentlichen Verwaltungen ein konsistentes Betriebsmodell über eigene Rechenzentren, private und hybride Umgebungen hinweg: mit zentraler Steuerung, durchgängiger Governance und der Möglichkeit, Workloads bei Bedarf ohne Anbieterabhängigkeit zu verlagern. So lässt sich die im Beitrag beschriebene operative Kontrolle praktisch umsetzen: vom verlässlichen Betrieb über die Wahrung der Datenhoheit bis hin zu belastbaren Exit-Optionen. Nutanix veredelt hierbei durch Eigenentwicklung Open-Source-basierte technologische Bausteine und verbindet diese mit einem integrierten Betriebsmodell, Enterprise-Support und Funktionen für Governance, Sicherheit und Lifecycle-Management. 

Nutanix versteht digitale Souveränität daher nicht als Isolation oder vollständige Autarkie, sondern als bewusste Gestaltung von Abhängigkeiten. Offenheit, Portabilität und Kontrolle werden mit professionellem Betrieb, Sicherheitsprozessen und klarer Verantwortlichkeit verbunden.

Wie Nutanix Organisationen im öffentlichen Sektor auf ihrem Weg zu mehr digitaler Souveränität unterstützt, erfahren Sie auf [unserer Lösungsseite].