Digitale Souveränität in Bremen: Zwischen Microsoft-Abhängigkeit und Open Source

Am 6. August 2024 hat der Bremer Senat entschieden, welche Bürosoftware auf den Rechnern der Landesverwaltung läuft. Es wurde wieder Microsoft. In der Antwort auf meine Kleine Anfrage steht dazu ein bemerkenswerter Satz: Die Entscheidung für eine proprietäre Lösung werde “ausdrücklich als Übergangslösung verstanden”. Die quelloffene Alternative openDesk solle “bis zum Jahr 2029 erneut auf ihre Einsatzfähigkeit in der bremischen Verwaltung geprüft werden”.

Eine Übergangslösung mit fünf Jahren Prüfzeit. Das ist, sehr freundlich formuliert, ein Widerspruch in sich.

Ich schreibe diesen Text nicht, um dem Senat eine Ohrfeige zu verpassen. Sondern weil hinter dem Begriff “digitale Souveränität” ein Thema steckt, das viele für Nerd-Kram halten – und das in Wahrheit darüber entscheidet, ob ein Staat im Ernstfall handlungsfähig bleibt. Deshalb erst einmal das Grundsätzliche: Was ist das eigentlich?

Digitale Souveränität einfach erklärt: vier Ebenen statt ein Schlagwort

Eine allgemein verbindliche Definition gibt es bis heute nicht. Das ist ein Teil des Problems, denn fast jeder Anbieter kann sein Produkt “souverän” nennen. In der Fachdebatte hat sich aber eine Aufteilung durchgesetzt, die auch die EU-Cybersicherheitsagentur ENISA verwendet – vier Ebenen, die man getrennt betrachten muss:

• Datensouveränität: Wer kontrolliert Zugriff und Nutzung der Daten?
• Rechtliche Souveränität: Unter welchem Rechtssystem stehen Anbieter und Betreiber?
• Technologische Souveränität: Wer kontrolliert Software, Plattform und Weiterentwicklung?
• Betriebssouveränität: Wer administriert und betreibt die Infrastruktur tatsächlich?

Der Punkt, an dem die meisten “souveränen Clouds” scheitern, ist der zweite. Der US CLOUD Act von 2018 verpflichtet amerikanische Anbieter unter bestimmten Umständen, Daten an US-Behörden herauszugeben – auch dann, wenn diese Daten in einem Rechenzentrum in Frankfurt oder Hamburg liegen. Der Serverstandort allein sagt also wenig aus. Wer in Europa Daten auf einer US-Plattform speichert, hat physische Nähe gekauft, aber keine rechtliche Kontrolle.

Deutschland und Frankreich haben im Juni 2026 versucht, aus diesem Definitionsnebel herauszukommen, und eine gemeinsame Definition digitaler Souveränität mit sechs Dimensionen vorgelegt. Bundesdigitalminister Karsten Wildberger nennt das Thema dort “das geopolitische Gebot der Stunde”. Im Kern geht es um rechtliche Durchsetzbarkeit, den Schutz sensibler Daten, offene Standards und modulare Architekturen, die Lock-in-Effekte vermeiden.

Und genau da liegt für mich der wichtigste Punkt: Digitale Souveränität heißt nicht Autarkie. Niemand baut sinnvollerweise ein eigenes Betriebssystem, nur um unabhängig zu sein. Souveränität heißt, dass man weiß, wo die eigenen Daten liegen, wer darauf zugreifen kann, unter welchem Recht das passiert – und dass man den Anbieter wechseln kann, ohne alles neu bauen zu müssen. Beherrschbare Abhängigkeiten statt unkontrollierbarer.

Was Abhängigkeit konkret kostet – und warum das jeden betrifft

Der Preis dieser Abhängigkeit lässt sich beziffern. Allein im Haushaltsjahr 2025 hat der Bund rund 481 Millionen Euro für Microsoft-Lizenzen ausgegeben, berichtet netzpolitik.org unter Verweis auf Recherchen von heise online. 2023 waren es noch rund 274 Millionen, 2024 rund 348 Millionen. Das ist kein Betriebskostenposten mehr, das ist ein Trend – und zwar einer, den der Kunde nicht steuert.

Denn wer in einem Vendor Lock-in sitzt, verhandelt nicht. Er akzeptiert. Preiserhöhungen, geänderte Lizenzmodelle, abgekündigte Schnittstellen: All das lässt sich schwer ablehnen, wenn ein Wechsel Jahre dauern würde. Peter Ganten, Vorstandsvorsitzender der Open Source Business Alliance und Geschäftsführer der Bremer Softwarefirma Univention, bringt die sicherheitspolitische Seite auf den Punkt: “Wer die Systeme der öffentlichen Verwaltung abschalten kann, der kann Deutschland abschalten.”

Man muss diesen Satz nicht dramatisch finden, um ihn ernst zu nehmen. Die Verwaltung verarbeitet Meldedaten, Sozialdaten, Steuerdaten, Ermittlungsakten. Sie muss funktionieren, wenn es politisch ungemütlich wird – nicht nur, wenn alle sich gut verstehen. Dazu kommt ein Sicherheitsargument, das in der Debatte oft untergeht: Eine IT-Monokultur ist angreifbarer. Wenn alle dasselbe System nutzen, trifft dieselbe Schwachstelle alle gleichzeitig. Wer sich an den Ransomware-Angriff auf die Werkstatt Bremen im Februar 2026 erinnert, weiß, dass das kein theoretisches Szenario ist.

Für Bürgerinnen und Bürger ist der unmittelbare Effekt gering – sie merken nicht, welches Textverarbeitungsprogramm im Amt läuft. Mittelbar geht es aber um ihre Daten und ihr Geld. Beides gute Gründe, genauer hinzusehen.

Wo Bremen steht: gute Ansätze, fehlender Fahrplan

Bremen ist beim Thema Open Source keineswegs bei null. Der Senat bezeichnet quelloffene Software als “strategisch bedeutende Rolle in der IT-Infrastruktur der bremischen Verwaltung”, und das ist mehr als eine Floskel: Die Schul-IT in Bremen und Bremerhaven läuft seit Jahren auf dem Univention Corporate Server, Schülerinnen und Lehrkräfte arbeiten mit LibreOffice und Collabora Office. Im Bibliothekswesen läuft FOLIO, bei der Zahlungsabwicklung ePayBL. Bremen ist Teil der Plattform Open CoDE und arbeitet im Zentrum für Digitale Souveränität mit.

Nur: Der Großteil der Verwaltungssoftware basiert weiterhin nicht auf Open Source, und daran wird sich vorerst wenig ändern. Thomas Rehbohm von der Bremer Finanzbehörde schätzt gegenüber buten un binnen, dass der Ersatz der über Jahrzehnte etablierten Microsoft-Systeme mindestens fünf Jahre brauchen und mit “riesigem Arbeitsaufwand” verbunden wäre. Einen Zeitplan gibt es nach Auskunft des Senats bewusst nicht: “Einen starren Zeitplan (‘bis Datum X 100 Prozent OSS’) gibt es aus guten Gründen nicht.” Eine gesetzliche Verankerung wie in Schleswig-Holstein oder Thüringen plant der Senat ebenfalls nicht.

Der Vergleich mit Schleswig-Holstein tut weh, weil er zeigt, dass es geht. Dort ist LibreOffice inzwischen verbindlicher Standard. Auf nahezu 80 Prozent aller Arbeitsplätze außerhalb der Steuerverwaltung wurde Microsoft Office bereits deinstalliert oder wird gerade deinstalliert, rund 44.000 E-Mail-Postfächer sind auf eine quelloffene Lösung umgezogen. Digitalisierungsminister Dirk Schrödter bilanziert: “Wir setzen mit der Einführung von LibreOffice als Standard unsere Open Innovation und Open Source Strategie weiter konsequent um und stärken die digitale Souveränität des Landes.” Das Land spart dadurch mehr als 15 Millionen Euro an Lizenzkosten, dem stehen 2026 neun Millionen Euro an einmaligen Investitionen gegenüber.

Der Senat verweist zu Recht darauf, dass die bremische Verwaltungslandschaft mit ihren Eigenbetrieben und Beteiligungen heterogener ist als eine reine Ministerialverwaltung. Das ist ein Argument für einen anderen Weg. Es ist kein Argument gegen einen Fahrplan.

Was jetzt zu tun ist: Souveränität als Betriebsprinzip, nicht als Bekenntnis

Souveränität ist kein Projekt mit Enddatum, sondern eine Daueraufgabe. Deshalb halte ich vier Dinge für notwendig – und zwar unabhängig davon, wann welches Produkt reif ist.

Erstens braucht Bremen einen verbindlichen Migrationsfahrplan mit überprüfbaren Meilensteinen. Nicht “bis Datum X 100 Prozent Open Source” – diese Kritik des Senats teile ich. Aber sehr wohl: Welche Systeme werden bis wann evaluiert, welche Arbeitsplätze bis wann umgestellt, und was passiert, wenn ein Meilenstein reißt? Ein Prüfauftrag bis 2029 ohne Zwischenschritte ist kein Plan, sondern eine Vertagung.

Zweitens gehört Souveränität in die Vergabe. Offene Standards, dokumentierte Schnittstellen, Datenportabilität und ein geprobtes Exit-Szenario sollten in Ausschreibungen keine Wunschkriterien sein, sondern Mindestanforderungen. Wer erst beim Anbieterwechsel merkt, dass er nicht wechseln kann, hat den Fehler Jahre vorher gemacht.

Drittens muss risikobasiert priorisiert werden. Ein Kalender im Ortsamt braucht nicht denselben Souveränitätsgrad wie ein Melderegister oder ein polizeiliches Fachverfahren. Wer alles gleichzeitig souverän machen will, macht am Ende nichts. Kritische Daten zuerst.

Viertens – und das ist der unbequemste Punkt: “Buy European” ist noch keine Souveränität. Wenn der Bund 250 Millionen Euro für eine KI-Cloud ausgibt und diese von großen europäischen Konzernen bauen lässt, ist das industriepolitisch nachvollziehbar. Ein Lock-in wird aber nicht dadurch harmlos, dass der Anbieter aus Walldorf statt aus Redmond kommt. Entscheidend ist, wie das Produkt gebaut ist: offene Schnittstellen, portable Daten, einsehbarer Code. Sonst tauschen wir eine Abhängigkeit gegen die nächste und nennen das Fortschritt.

Rund 96 Prozent aller Softwareprodukte enthalten heute Open-Source-Komponenten. Die Technologie ist da, die Beispiele sind da, das Geld ist ohnehin da – es fließt nur derzeit in Lizenzen statt in eigene Handlungsfähigkeit. Was fehlt, ist die Entscheidung, Souveränität als Betriebsprinzip zu behandeln und nicht als Bekenntnis in einer Senatsvorlage. Bremen hat 2024 eine Übergangslösung beschlossen. Dann sollten wir jetzt auch sagen, wohin übergegangen wird.