Digitale Souveränität: worauf ein Staat nicht verzichten darf

Verwaltungen arbeiten heute in großem Umfang mit Software, Cloud-Diensten und KI-Modellen, die sie weder besitzen noch selbst herstellen könnten. Das ist für sich genommen kein Mangel; der Staat hat noch nie alles selbst gebaut, womit er arbeitet. Zum Problem wird die Abhängigkeit dort, wo sie jene Bestandteile erfasst, aus denen hoheitliches Handeln besteht. Dieser Beitrag grenzt ab, was ein Staat auf dem Weg zum selbstfahrenden Staat in eigener Hand behalten muss, was er ohne Bedenken beziehen darf und warum die europäische Ebene für beides die richtige Größenordnung ist.

Souveränität heißt Kontrolle, nicht Eigenfertigung

In unserem Buch „Der selbstfahrende Staat“ (Springer Gabler 2024) beschreiben wir den Staat über drei Merkmale: ein abgegrenztes Territorium, eine ständige Bevölkerung und eine Regierung, die verbindliche Regeln erlassen und durchsetzen kann. Diese Regierung muss die Kontrolle über Territorium und Bevölkerung ausüben können, ohne von externen Mächten abhängig zu sein; souverän heißt der Staat, weil er von anderen Staaten unabhängig ist. Diese Definition stammt aus der analogen Welt, in der sich Hoheit in Gebäuden und Akten sowie in Beamtinnen und Beamten materialisiert.

Im digitalen Staat läuft hoheitliches Handeln durch Software. Gesetze werden als Regeln in Fachverfahren umgesetzt, Entscheidungen beruhen auf Registerdaten, Identität wird digital geprüft, Leistungen werden über Plattformen erbracht. Wer diese vier Dinge nicht kontrolliert, erfüllt die Definition an ihrer entscheidenden Stelle nicht mehr: bei der Unabhängigkeit von externen Mächten. Dass diese Mächte heute keine Staaten, sondern Plattformkonzerne sind, ändert an der Sache nichts.

Souveränität bedeutet dabei nicht Autarkie. Wir verwenden im Buch das Beispiel eines Übersetzungsdienstes, der im Browser einfach zu bedienen ist, während die Software im Hintergrund auf Servern in Kalifornien läuft und laufend weiterlernt; für ein kleineres Unternehmen wäre es unmöglich und unfinanzierbar, so etwas selbst zu entwickeln. Für einen Staat gilt das bei vielen Komponenten ebenso. Der Maßstab ist deshalb nicht, ob der Staat etwas selbst herstellt, sondern ob er drei Fragen mit Ja beantworten kann:

• Entscheiden. Bestimmt der Staat, was die Software tut, oder bestimmt es der Anbieter mit seiner Roadmap?
• Prüfen. Können der Staat und seine Bürgerinnen und Bürger nachvollziehen, warum eine Entscheidung so ausgefallen ist?
• Ersetzen. Kann der Staat den Anbieter wechseln, ohne Regeln, Daten oder Identitäten zu verlieren?

Souverän ist im digitalen Staat nicht, wer alles selbst baut, sondern wer jederzeit entscheiden, prüfen und ersetzen kann.

Vier Dinge, die ein Staat nicht aus der Hand geben darf

Aus den drei Fragen ergibt sich, welche Bestandteile in staatlicher Hand bleiben müssen. Es sind genau jene, die im Buch das Rückgrat des selbstfahrenden Staates bilden.

Die Regeln: digitale Gesetzeszwillinge als öffentliches Gut

Ein digitaler Gesetzeszwilling ist die formale Repräsentanz eines Prosagesetzes: Entscheidungsregeln, Parameter und die Semantik der Entscheidungsdaten in computerlesbarer Form, vergleichbar mit einer Konfigurationsdatei. Im Buch legen wir fest, dass Gesetzeszwillinge zeitgleich mit dem Prosatext veröffentlicht, von der Judikative auditiert und unter eine freie Open-Source-Lizenz gestellt werden. Alle dürfen sie frei nutzen und weiterentwickeln; die Exekutive, andere Staatsorgane und Unternehmen bauen sie als Steuergerät in Fachverfahren, Onlineplattformen und ERP-Systeme ein. Dasselbe Prinzip gilt für den quelloffenen Steuerrechenkern, den staatliche Organe entwickeln und dessen Programmcode sie kostenlos veröffentlichen.

Der Grund dafür ist kein ideologischer. Wenn die Auslegung eines Gesetzes nur im proprietären Code eines Herstellers existiert, verlassen sich Bürgerinnen und Bürger auf die Korrektheit dieses Herstellers, nicht auf das Gesetz. Der Staat kann eine solche Entscheidung weder selbst prüfen noch den Hersteller wechseln, ohne die Regeln neu zu implementieren. Liegt die Logik dagegen im offenen Gesetzeszwilling, wird ein Anbieterwechsel zur technischen Übung: Der Zwilling bleibt, das Produkt darum herum ist austauschbar. Die Regeln sind die Schicht, auf der ein Lock-in nicht stattfinden darf, weil sie das Gesetz selbst sind.

Die Daten und das Interaktionsprotokoll

Um seine hoheitlichen Aufgaben wahrzunehmen, musste der Staat seit jeher über Daten seiner Bevölkerung verfügen. Im selbstfahrenden Staat werden diese Daten vernetzt, und das Gewaltmonopol erweitert sich, wie wir es im Buch am Beispiel der Steuer nennen, um ein Datenmonopol: Unternehmen stellen dem Staat ihre Daten zur Verfügung, und der Staat hat die Verpflichtung, auf dieser Basis die Steuern eigenmächtig und transparent zu berechnen und vorzuschreiben. Die technische Basis dafür ist das Interaktionsprotokoll, die Weiterentwicklung des Aktes, in dem jede Interaktion zwischen Bürgerinnen und Bürgern, Unternehmen und Verwaltung unabhängig von der jeweiligen Fachanwendung protokolliert wird, dezentral angelegt und vollständig interoperabel. Wie Register dafür beschaffen sein müssen, hat Philipp Seper-Ambros im Beitrag Register statt Nachweise beschrieben.

Für die Souveränität zählt weniger, wo die Daten physisch liegen, als wer über Datenmodell, Zugriffsrechte, Protokollierung und Schlüssel bestimmt. Speicher und Rechenleistung lassen sich beziehen, die Data Governance nicht. Der Serverstandort allein schützt dabei nicht: Der US-amerikanische CLOUD Act von 2018 erlaubt US-Behörden, von US-Anbietern die Herausgabe gespeicherter Daten zu verlangen, unabhängig davon, in welchem Land diese Daten liegen. Souverän sind Daten erst, wenn der Staat sie mit eigenen Schlüsseln verschlüsselt hält, ihre Struktur offen dokumentiert ist und ein Umzug zu einem anderen Betreiber technisch geprobt wurde.

Die Identität: Public Service Wallet und eID

Der Staat stellt Identität her. Im selbstfahrenden Staat bündelt die Public Service Wallet sämtliche Ausweise, Nachweise und Zugriffsberechtigungen einer Person, und die eID ist an allen relevanten Schnittstellen der Behörden abrufbar. Der einheitliche digitale EU-Ausweis ist im Aufbau; im Buch verweisen wir auf die Europäische Blockchain Services Infrastruktur, in der 2023 bereits etwa 25 Knoten aktiv waren, einen davon betreibt das österreichische Bundesrechenzentrum. Die Verordnung (EU) 2024/1183 verpflichtet die Mitgliedstaaten inzwischen, eine europäische digitale Identitätsbrieftasche anzubieten.

Warum Identität nicht delegierbar ist, zeigt der Gegenentwurf: Läuft der Zugang zu öffentlichen Leistungen über das Konto einer kommerziellen Plattform, entscheidet diese Plattform darüber, wer im digitalen Raum als Bürgerin oder Bürger auftritt, und sie kann diesen Zugang sperren, verändern oder auswerten. Zur Souveränität gehört auch die Unabhängigkeit vom Endgerät. Im Buch beschreiben wir es als eine Art Grundrecht, Leistungen des Staates auch ohne eigene technische Geräte in Anspruch nehmen zu können, über Servicestellen und geschulte Personen. Ein Staat, der seine Bürgerinnen und Bürger auf das Betriebssystem eines bestimmten Herstellers verweist, hat einen Teil seiner Hoheit an diesen Hersteller abgegeben.

Die Schnittstellen: Public Service Plattformen und Public Service API

Die vierte Komponente entscheidet über die Richtung der Abhängigkeit. Im Buch formulieren wir als Anrecht der Bürgerinnen und Bürger, dass der Staat seine Leistungen hoheitsgemäß und souverän über seine eigenen Public Service Plattformen anbietet und zusätzlich alle Leistungen als Schnittstellen bereitstellt, sodass kommerzielle Plattformen sie integrieren können. Eine Bank oder ein Maklerbüro wickelt beim Wohnungsverkauf die Wohnsitzmeldung direkt mit ab; eine Buchhaltungssoftware nutzt den Steuerrechenkern des Staates per API, und eine Bäckerei muss ihre Steuer nicht mehr selbst berechnen.

Das kehrt das heutige Verhältnis um. Gegenwärtig passen sich Verwaltungen an die Schnittstellen an, die Hersteller vorgeben. Im selbstfahrenden Staat definiert der Staat die Schnittstelle, und der Markt integriert sie. Wer die API besitzt, besitzt den Vertrag zwischen Staat und Plattformökonomie, und dieser Vertrag darf nicht von der Gegenseite geschrieben werden.

Worauf ein Staat verzichten kann

Die Abgrenzung macht den Einkauf einfacher, nicht schwieriger. Alles, was nicht zu den vier Komponenten gehört, darf ein Staat beziehen: Rechenzentren und Cloud-Dienste, Standardsoftware, Entwicklungswerkzeuge, Sprachmodelle und Basisdienste wie Übersetzung oder Texterkennung. Die folgende Übersicht fasst zusammen, wo die Grenze verläuft.

Vier Bedingungen machen den Bezug unbedenklich. Erstens liegt die fachliche Logik außerhalb des Produkts, im Gesetzeszwilling. Zweitens sind die Daten in einem offenen, dokumentierten Format exportierbar, vertraglich und technisch. Drittens wird die Ersetzbarkeit geübt, etwa durch einen zweiten Betreiber oder einen erprobten Ausstiegsplan, statt sie nur in einer Klausel zu vereinbaren. Viertens bleibt der Einsatz transparent: Der gläserne Staat, den wir im Buch dem Überwachungsstaat gegenüberstellen, legt seine eigenen Daten und Prozesse offen und verhindert gerade dadurch, dass Vertrauen durch Kontrolle ersetzt werden muss.

Die im August 2024 in Kraft getretene KI-Verordnung (EU) 2024/1689 verstärkt diese Bedingungen. Sie stuft zahlreiche Einsatzfelder der Verwaltung als Hochrisikoanwendungen ein und verlangt Dokumentation, menschliche Aufsicht und Nachvollziehbarkeit. Ein Staat, der die Entscheidungslogik seiner Systeme nicht selbst kontrolliert, kann diese Pflichten nicht erfüllen; er kann sie nur an den Hersteller weiterreichen.

Europa ist die richtige Größenordnung

Kein einzelner Mitgliedstaat betreibt den vollständigen Technologiestapel eines selbstfahrenden Staates allein, und er muss es auch nicht. Im Buch beschreiben wir den digitalen Staatenverbund als Ebene, die gemeinsame Standards für Datenaustausch, Datenformate und Kommunikation etabliert und gemeinsame Plattformen, Infrastrukturen und Sicherheitsstandards schafft, einschließlich Cloud-Diensten und Rechenzentren, die von den Mitgliedstaaten genutzt werden. Die Europäische Kommission sieht, wie wir im Buch wiedergeben, in der öffentlichen Auftragsvergabe einen wesentlichen Schlüssel: Die starke kollektive Kaufkraft des öffentlichen Sektors soll als Katalysator wirken und die Nachfrage nach vertrauenswürdigen und sicheren KI-Technologien in Europa stimulieren.

Das ist der entscheidende Mechanismus. Wenn 27 Mitgliedstaaten ihre Verfahren gegen dieselben Anforderungen beschaffen, offene Gesetzeszwillinge, exportierbare Daten, standardisierte Public Service APIs, dann liefert der Markt genau das, und zwar auch der außereuropäische. Die Verordnung (EU) 2024/903 für ein interoperables Europa, seit Juli 2024 anwendbar, verpflichtet öffentliche Stellen bereits, die Interoperabilität grenzüberschreitender Dienste zu bewerten und Lösungen miteinander zu teilen. Der Weg von der Pflicht zur gelebten Praxis führt über die Ausschreibung: Jede Vergabe, die die vier Komponenten benennt und ihre Ersetzbarkeit einfordert, verschiebt das Kräfteverhältnis ein Stück.

Meine Einschätzung ist, dass die Debatte über digitale Souveränität in Europa zu oft als Debatte über Rechenzentren geführt wird. Eine europäische Cloud ist nützlich, aber sie ist nicht die Schicht, auf der Souveränität entschieden wird. Wer Regeln, Daten, Identität und Schnittstellen nicht kontrolliert, hat mit einer europäischen Cloud lediglich den Anbieter gewechselt. Wer sie kontrolliert, kann auch außereuropäische Dienste nutzen, ohne seine Handlungsfähigkeit zu verlieren. Die Resilienz, die wir im vorangegangenen Beitrag dieser Serie beschrieben haben, beginnt an derselben Stelle.

Der nächste Schritt

Wie Gesetzeszwillinge, Interaktionsprotokoll, Wallet und Public Service API im Gesamtbild zusammenwirken, beschreibt unser Buch Der selbstfahrende Staat. Wie wir Verwaltungen dabei begleiten, die vier Komponenten in Architektur und Ausschreibungen zu verankern, lesen Sie auf der Seite Öffentliche Verwaltung.