Gemeinsamer Ratsantrag von Linken und Grünen: Einführung eines Souveränitätschecks für die städtische IT- und Softwarebeschaffung

Die digitale Souveränität von Kommunen gewinnt angesichts wachsender Abhängigkeiten von einzelnen, häufig außereuropäischen Softwareanbietern zunehmend an Bedeutung. Eine stabil funktionierende Verwaltungs-IT gehört mittlerweile zur kritischen Infrastruktur einer Stadt. Abhängigkeiten von Anbietern, die außerhalb europäischer Rechtsräume agieren, bergen erhebliche Risiken: von der Abschöpfung sensibler Daten über erpresserischen Druck bis hin zu Abschaltungen oder Störungen zentraler Dienste, etwa durch geopolitische Entwicklungen, veränderte Lizenzbedingungen oder politische Entscheidungen im Sitzstaat des Anbieters.

Diese Bedrohungsszenarien sind längst nicht mehr rein theoretischer Natur, sondern haben sich in der jüngeren Vergangenheit bereits konkret realisiert. So wurde der Chefankläger des Internationalen Strafgerichtshofs infolge US-Sanktionen von der Nutzung US-amerikanischer Softwareprodukte wie Microsoft-Diensten ausgeschlossen

In einem anderen Fall musste Microsoft aufgrund des US-amerikanischen Cloud Acts Gesprächsprotokolle und weitere Daten niederländischer Verwaltungsangestellter an US-Behörden herausgeben. Beide Fälle zeigen exemplarisch, dass der Einsatz nicht-souveräner Software auch europäische bzw. internationale Institutionen und deren Beschäftigte unmittelbar und mit weitreichenden Konsequenzen betreffen kann, unabhängig davon, ob ein konkreter Anlass für eine Sanktion oder einen Datenzugriff vorliegt.

Die Stadt Aachen sollte diesen Risiken proaktiv begegnen, statt erst im Ernstfall zu reagieren. Ein strukturierter Souveränitätscheck stellt sicher, dass Fragen der Unabhängigkeit, der Kontrolle über eigene Daten und Prozesse sowie der IT-Sicherheit bereits vor einer Beschaffungsentscheidung systematisch mitgedacht werden und nicht erst, wenn eine problematische Abhängigkeit bereits entstanden ist.
Sowohl die Stadt München als auch das ZenDiS haben hierzu bereits wichtige Vorarbeit geleistet: Beide orientieren sich dabei an den drei Kernbegriffen Selbstständigkeit, Selbstbestimmtheit und Sicherheit. Die Stadt München leitet daraus auch konkrete Bewertungskriterien sowie Konsequenzen für die Beschaffung ab.

Es ist naheliegend und ressourcenschonend, dass sich Aachen an diesem bereits dokumentierten Vorgehen orientiert, statt eine eigene Methodik von Grund auf neu zu entwickeln. Durch eine Anpassung des Münchner Modells an die Aachener Gegebenheiten kann die Stadt schnell und mit vertretbarem Aufwand ein wirksames Instrument etablieren, um zukünftige Softwarebeschaffungen nachhaltiger, sicherer und unabhängiger zu gestalten.

Ein klar definierter Kriterienkatalog schafft zudem Transparenz und Rechtssicherheit für Vergabeentscheidungen: Sowohl die Verwaltung als auch der Rat erhalten eine verlässliche Grundlage, um zu beurteilen, wann eine Software als digital souverän gelten kann und wann eine Beschaffung kritisch zu hinterfragen oder abzulehnen ist. Etwa aufgrund mangelnder Wechselmöglichkeiten oder unzureichender Kontrolle über Daten. Damit leistet Aachen einen wichtigen Beitrag zur Zukunftssicherheit und Resilienz der eigenen digitalen Infrastruktur.