Gute Nachrichten zuerst: Im Kampf gegen den massiven Betrug beim Deutschlandticket bewegt sich etwas. Wie die Sicherheitsforscher Q Misell und Maya „551724“ Boeckh in ihrem Vortrag „All my Deutschlandtickets gone“ auf dem 39. Chaos Communication Congress (39C3) berichteten, nutzen inzwischen diverse Verkehrsunternehmen eine zentrale Sperrliste für sogenannte UIC-Tickets des Deutschlandtarifverbund (DTVG). Dabei handelt es sich um elektronische oder ausgedruckte Zugtickets, bei denen die Fahrkartendaten in einem 2D-Barcode nach dem Standard des UIC (Union internationale des chemins de fer) kodiert werden, der sich im Vorfeld als besonders leicht zu fälschen erwiesen hatte.
Weiterlesen nach der Anzeige
Die Deutsche Bahn führt derzeit 98 Prozent aller Abfragen dieser Sperrliste durch. Hinzu kommen laut den Vortragsfolien die bConn GmbH, deren System die Magdeburger Verkehrsbetriebe, Autobus Oberbayern, das Busunternehmen Lehner und die Harzer Schmalspurbahnen nutzen. Über die AMCON GmbH sind Transdev, die Nahverkehrsgesellschaft Hochstift, Elbe-Weser, VGE ZOB, der Landkreis Würzburg sowie die Unternehmen Kalmer und Veelker angebunden. Auch INSA nutzt die Sperrliste für die PVGS Altmarkkreis Salzwedel. Zudem arbeite die Branche an einer zentralen Ausstellung von UIC-Deutschlandtickets, um künftige Sicherheitslücken zu schließen.
Inzwischen nutzen zahlreiche Verkehrsunternehmen und -verbände die zentrale Sperrliste für UIC-Tickets der DTVG – aber noch längst nicht alle.
(Bild: Q Misell, Maya Boekh)
Doch der Weg dorthin war lang – und der Vortrag dokumentiert ein erschreckendes Ausmaß an Versäumnissen. Er fasst viele der Betrugsfälle zusammen, welche die Sicherheitsforschenden Q Misell und Flüpke zusammen mit heise online Anfang des Jahres öffentlich gemacht hatten. Es lohnt sich aber auch jeden Fall, die Aufzeichnung des Talks anzuschauen, weil Q und Maya die gesamte Geschichte sehr unterhaltsam aufgerollt haben.
Den größten Schaden verursacht der sogenannte Dreiecksbetrug: Kriminelle kaufen mit gestohlenen Bankdaten echte Tickets bei Verkehrsverbünden und verkaufen diese über Telegram-Kanäle weiter. Wie Q Misell im Februar aufdeckte, boten zahlreiche illegale Shops Deutschlandtickets für 5 bis 30 Euro an.
Das Grundproblem: Viele Verkehrsunternehmen stellen Tickets sofort aus, bevor die SEPA-Lastschrift vollständig verarbeitet ist. Eine Validierung der Kontodaten findet oft nicht statt. Der Gesamtschaden durch alle Betrugsarten belief sich auf bis zu 267 Millionen Euro allein für den Zeitraum Januar bis Oktober 2024. Insgesamt dürfte bis dato sogar bis zu einer halben Milliarde Euro an entgangenen Ticketeinnahmen aufgelaufen sein.
Besonders dreist waren die Betreiber des illegalen Ticketshops d-ticket.su. Dieser hatte monatelang Deutschlandtickets verkauft, die mit einem offenbar entwendeten kryptografischen Schlüssel der Vetter Verkehrsbetriebe signiert waren. Die Deutsche Bahn fand bei einer nachträglichen Prüfung rund 50.000 solcher Tickets in ihren Kontrollprotokollen – was einem Mindestschaden von 2,9 Millionen Euro entspricht. Die tatsächliche Summe dürfte deutlich höher liegen, da nicht alle Tickets bei der DB kontrolliert werden.
Weiterlesen nach der Anzeige
Wie der Schlüssel in falsche Hände geriet, ist bis heute ungeklärt. Die Forscher präsentierten mehrere mögliche Szenarien: von kryptografischen Schwächen des verwendeten DSA-1024-Verfahrens mit SHA-1 über klassischen Diebstahl bis zu schlichter Nachlässigkeit – etwa einem öffentlich zugänglichen Schlüssel. Besonders brisant: Der Technologiepartner mo.pla, ein Münchner Startup, hatte bei einer Firmenübernahme offenbar auch alte Schlüssel von Vetter übernommen. Ob diese dabei „verloren gingen“, bleibt Spekulation. Nachdem Vetter in der Vergangenheit engere Zusammenarbeit mit mo.pla bestritten hatte, hat Q Misell etwas gegraben und nachvollziehbare Verbindungen gefunden.
Besonders kritisch bewerteten Q und Maya in ihrem Talk die Sicherheitspraktiken des Technologiepartners mo.pla. Sie dokumentierten eine Schwachstelle im PayPal-Zahlungsprozess, die es ermöglichte, mit einem leeren PayPal-Konto Tickets zu erwerben. Der Fehler sei inzwischen behoben. Bezeichnend: Code von mo.pla-Entwicklern fand sich auf Stack Overflow – „typischer Startup-Code“, hieß es in dem Vortrag.
Zudem weigere sich mo.pla, am branchenweiten Sperrsystem teilzunehmen, und habe stattdessen ein eigenes Revokationssystem etabliert. Das bedeutet zusätzlichen Integrationsaufwand für alle Unternehmen, die mo.pla-Tickets kontrollieren wollen.
Obwohl die DTVG bereits im Dezember 2024 von dem Missbrauch durch d-ticket.su wusste, wurde der kompromittierte Schlüssel erst Anfang Februar 2025 gesperrt. Die Begründung war bezeichnend: „Ein Sperren des Ticketschlüssels noch im Dezember 2024 wurde aufgrund von Urlaub und Krankheit des verantwortlichen Mitarbeiters nicht durchgeführt. Ein Back-up für diese Fälle existiert bei der DTVG aufgrund enger Personaldecke nicht.“
Auf Nachfrage von heise online hatte Vetter damals behauptet, man tausche Schlüssel inzwischen „regelmäßig“ aus. Die Forscher widerlegten dies im Vortrag: Ein aktuell gekauftes Vetter-Ticket werde weiterhin mit demselben Schlüssel signiert wie im März.
Erst nachdem das Ausmaß des Betrugs und die Untätigkeit der Verantwortlichen publik wurden, bewegte sich die Branche. Interne Protokolle hatten belegt, dass den Entscheidungsträgern die Probleme seit Anfang 2024 bekannt waren – konkrete Gegenmaßnahmen aber an Partikularinteressen und gescheiterten Abstimmungen scheiterten.
Im Mai 2025 einigten sich die Verkehrsunternehmen schließlich auf verbindliche Sicherheitsmaßnahmen. Dazu gehören eine verpflichtende Bankkontoverifizierung, zentrale Sperrlisten, sichere Schlüsselverwaltung in Trustcentern und ab 2026 kopiergeschützte Handytickets. Seit Oktober 2025 sollten eigentlich nur noch Tickets gültig sein, welche die neuen Standards erfüllen. Dieses Ziel ist bisher nur in Teilen erreicht worden.
Immerhin ist die Finanzierung des Deutschlandtickets inzwischen bis 2030 gesichert. Der Preis steigt allerdings zum Jahreswechsel auf 63 Euro. Ob die nun beschlossenen Sicherheitsmaßnahmen den Betrug tatsächlich eindämmen können, wird sich zeigen. Die Forscher bedankten sich am Ende ihres Vortrags bei den Mitarbeitern der DTVG und der Deutschen Bahn, die bei der Aufklärung geholfen hatten – und machten deutlich, dass ohne externen Druck wohl wenig passiert wäre.
(vza)
Der IT-Sicherheitsforscher Christoph Saatjohann ist kein Unbekannter in der Welt der medizinischen IT. Seit 2019 beobachtet er die Einführung der Telematikinfrastruktur (TI) kritisch. Bereits in den vergangenen Jahren legte er den Finger in die Wunde eines Systems, das eigentlich den Austausch im deutschen Gesundheitswesen absichern soll. Unter dem Label „Kommunikation im Medizinwesen“ (KIM), werden täglich Arztbriefe, elektronische Arbeitsunfähigkeitsbescheinigungen und Laborbefunde verschickt. Doch die Bilanz, die Saatjohann nun in Hamburg auf dem 39. Chaos Communication Congress (39C3) zog, ist entzaubernd: Das Versprechen einer schier lückenlosen Sicherheit ist auch nach Jahren voller Korrekturen noch nicht erfüllt.
Weiterlesen nach der Anzeige
Nicht alles ist schlecht. Saatjohann räumte ein, dass KIM in den Praxen mittlerweile gut angekommen sei und die Gematik bereits früher gemeldete Schwachstellen – wie etwa gravierende Fehler bei der Schlüsselverwaltung – geschlossen habe. Doch kaum ist ein Loch gestopft, tun sich neue Abgründe auf. So berichtete der Professor für eingebettete und medizinische IT-Sicherheit an der FH Münster von einem „KIM of Death“: Durch fehlerhaft formatierte E-Mails konnten Angreifer das Clientmodul – die Software-Schnittstelle beim Arzt – gezielt zum Absturz bringen.
In einem Fall musste Saatjohann in einer Praxis, in der er nebenberuflich an Wochenenden experimentieren darf, selbst Hand anlegen und ein Python-Skript schreiben, um die blockierenden Nachrichten manuell vom Server zu löschen. „Es war knapp, dass die Praxis am Montag wieder funktioniert hat“, kommentierte er die Tragweite eines solchen Denial-of-Service-Angriffs. Ein solcher könnte theoretisch alle rund 200.000 KIM-Adressen gleichzeitig lahmlegen.
Als besonders perfide erwiesen sich Schwachstellen beim neuen KIM-Attachment-Service (KAS), der den Versand von Dateien bis zu 500 MB ermöglicht. Da das Clientmodul dabei Anhänge von externen Servern nachlädt, können Angreifer laut Saatjohann dem System eigene Server als Download-Quelle unterschieben. Das Ergebnis sei ein „IP-Mining“ im großen Stil. Übeltäter könnten so ein präzises Lagebild einer kritischen Infrastruktur erhalten: einbezogen wären die IP-Adressen von Praxen, Apotheken und Krankenkassen, die den Anhang herunterladen wollen.
Schlimmer noch: Da T-Systems als Mailserver-Betreiber zeitweise das Feld für den Absender („Mail-From“) nicht validierte, ließen sich KIM-Nachrichten mit beliebigem Absender fingieren – etwa im Namen des Bundesministeriums für Gesundheit. Der Professor warnte: Da solche E-Post einen „besonderen Vertrauensvorschuss“ genieße, wäre dies die perfekte Basis für hochwirksame Phishing-Kampagnen.
Auch die Identitätsprüfung innerhalb des Walled-Garden-Systems der TI stellte sich als löchrig heraus. Saatjohann demonstrierte, wie er sich problemlos eine KIM-Adresse unter falschem Namen erstellen konnte, da die Plausibilität der Adressen nicht geprüft wurde. Zudem war es ihm möglich, KIM-Nachrichten mit einem beliebigen TI-Schlüssel zu signieren, ohne dass das Empfängermodul Alarm schlug: die Prüfung zwischen Signatur und tatsächlichem Absender fehlte. Selbst das Mitlesen verschlüsselter Nachrichten war unter bestimmten Bedingungen möglich. Durch das Unterschieben eines eigenen POP3-Servers und die Ausnutzung einer mangelhaften Zertifikatsprüfung der Clientmodule konnten Nachrichten im Klartext an einen Angreifer weitergeleitet werden.
Weiterlesen nach der Anzeige
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) reagierte auf die Enthüllungen besorgt, bemühte sich aber um Schadensbegrenzung. Gegenüber NDR und Süddeutscher Zeitung erklärte die Behörde, die gefundenen Sicherheitslücken seien nur mit technischen Fachkenntnissen ausnutzbar. Ein unmittelbares Risiko für die Patienten sei unwahrscheinlich.
Dennoch bleibt die Kritik an der Sicherheitskultur im KIM-System bestehen. Während die Gematik auf Saatjohanns Meldungen schnell reagierte und Mitte November Hotfixes für die Clientmodule sowie schärfere Zertifikatsprüfungen auf den Weg brachte, reagierte T-Systems gegenüber dem Forscher nicht. Laut Saatjohann wurden die Schwachstellen dort zwar stillschweigend gefixt, eine transparente Kommunikation oder Dokumentation habe jedoch gefehlt.
Trotz der neuen Mängel zog Saatjohann ein differenziertes Fazit. Er hob hervor, dass die Architektur zwar an vielen Stellen „strukturell falsch“ sei. Das liege auch an der Komplexität von über 130 verschiedenen Praxisverwaltungssystemen, die alle eigene Sicherheitsanforderungen erfüllen müssten. Das System KIM agiere aber grundsätzlich „auf recht hohem Niveau“. Das Sicherheitsrisiko sei im Vergleich zum völlig unverschlüsselten Fax-Versand oder herkömmlichen E-Mails immer noch geringer. Er selbst würde sensible Daten eher über KIM verschicken als über die konventionellen Wege.
Der Wissenschaftler gab zugleich zu bedenken: „Eine Restunsicherheit bleibt.“ Die Gematik plane zwar über eine zur Konsultation freigegebene Vorabveröffentlichung bereits weitere Schutzmaßnahmen wie eine zusätzliche Signatur in den Mail-Headern. Doch solange die Authentifizierung der Clientmodule nicht verpflichtend und die freie Wahl der Absendernamen möglich sei, bleibe KIM eine Lösung, deren Vertrauensanker auf tönernen Füßen stehe.
(nie)
Die Slotmaschine rattert, blinkt und klingelt, während ihre Walzen rotieren. Die Lootbox schüttelt sich und pulsiert, als würde sie gleich explodieren, begleitet von anschwellenden Glockenklängen. Für viele Gamer*innen bedeutet das Spaß und Nervenkitzel, ob beim klassischen (Online-)Glücksspiel für Erwachsene oder in Glücksspiel-ähnlichen Games, die teils sogar für Kinder freigegeben sind.
Für die Psychologin und Neurowissenschaftlerin Elke Smith bedeutet Glücksspiel dagegen Arbeit. Denn sie erforscht an der Universität zu Köln menschliche Entscheidungs- und Lernprozesse – darunter jene Mechanismen, die beim Zocken im Hintergrund ablaufen. In ihrem Vortrag auf dem 39. Chaos Communication Congress erklärt Smith die zentralen Tricks von Glücksspiel, die sich inzwischen auch in klassischen Online-Games ausbreiten.
Geschätzt 2,4 Prozent der deutschen Bevölkerung zwischen 18 und 70 Jahren sind laut Gesundheitsministerium süchtig nach Glücksspielen, haben also eine als Krankheit anerkannte Verhaltensstörung. Derweil liegen die Umsätze für legales Glücksspiel in Deutschland bei knapp 63,5 Milliarden Euro. Dennoch kommt der Vortrag der Glücksspiel-Forscherin Smith ohne Verteufelung aus. Vielmehr umreißt sie den Graubereich zwischen Spaß und Suchtgefahr.
Ein besonders auffälliger Glücksspiel-Mechanismus, den Smith hervorhebt, sind audiovisuelle Effekte, die bei hohen Gewinnen noch stärker werden. Darunter fallen zum Beispiel die zu Beginn erwähnten klingelnden und glitzernden Slotmaschinen und Lootboxen. Gerade bei einem Gewinn können virtuelle Funken sprühen, Goldmünzen hageln und Fanfaren blasen. Solche Elemente sind kein bloßes Beiwerk, sondern tragen dazu bei, Menschen durch Reize zu belohnen und damit zum Weiterspielen zu motivieren.
Sogenannte Near Misses sind Fälle, in denen Spieler*innen den Eindruck bekommen, nur ganz knapp verloren zu haben, etwa wenn bei der Slotmaschine das Gewinnsymbol fast getroffen wurde. Zwar macht es finanziell keinen Unterschied, ob man knapp oder deutlich verliert – es fühlt sich aber anders an.
Ein weiterer Mechanismus, den Smith hervorhebt, sind als Verluste getarnte Gewinne, auf Englisch: losses disguised as wins. In diesem Fall bekommen Spielende einen Bruchteil ihres Einsatzes als scheinbaren Gewinn zurück, begleitet mit audiovisuellen Belohnungsreizen.
Bei der Jagd nach Verlusten („chasing losses“) versuchen Spieler*innen wiederum, das verlorene Geld aus vorigen Runden durch immer weitere Einsätze wieder zurückzuholen.
Nicht zuletzt kann sich Glücksspiel auch der sogenannten Kontroll-Illusion („illusion of control“) bedienen. Das ist eine kognitive Verzerrung: Üblicherweise können Menschen durch ihre Entscheidungen tatsächlich ihre Umwelt beeinflussen, dazu lernen und ihre Fähigkeiten verbessern. Beim Glücksspiel dagegen haben Entscheidungen oftmals keinen Einfluss auf das Ergebnis – es fühlt sich nur so an. Als Beispiel nennt Smith die Entscheidung, wann genau man bei einer Slotmaschine den Knopf drückt, um die rollenden Walzen zu stoppen.
Diese und weitere Mechanismen sind nicht auf (Online-)Casinos begrenzt, sondern verbreiten sich auch in klassischen Spiele-Apps, wie Smith ausführt. Die Integration von Glücksspiel-Elementen wie Zufall, Risiko und Belohnung nennt sie „Gamblification“ – und deren Effekte hat sie selbst untersucht.
Gemeinsam mit Forschungskolleg*innen hat Smith gemessen, wie Zuschauer*innen auf YouTube-Videos reagieren, in denen Gamer*innen sich beim Öffnen von Lootboxen filmen. Solche Videos erreichen auf YouTube ein Millionenpublikum und zeigen: Glücksspiel-Mechanismen wirken möglicherweise sogar dann, wenn man anderen nur beim Spielen zuschaut.
Konkret haben die Forschenden Views, Likes und Kommentare von 22.000 Gaming-Videos mit und ohne Lootboxen miteinander verglichen. Das Ergebnis: Der Lootbox-Content hat das Publikum messbar stärker eingenommen als anderer Gaming-Content: mehr Views, mehr Likes, mehr Kommentare. „Dieses erhöhte Engagement könnte mit den Glücksspiel-ähnlichen Eigenschaften der durch Lootboxen vermittelten Belohnungsstruktur zusammenhängen“, heißt es auf Englisch in dem Paper, das im Mai 2025 beim Journal Scientific Reports erschienen ist.
Um ihre Online-Spiele zu optimieren, können Anbieter auf A/B-Testing mit großen empirischen Datenmengen zurückgreifen, erklärt Smith in ihrem Vortrag. Das heißt: Sie können Features einfach ausprobieren und messen, was am besten funktioniert. Schließlich bekommen sie täglich kostenlos neue Daten von Millionen Gamer*innen. Auf diese Weise entstehen Produkte, die von Anfang an so gestaltet sind, dass sie die Belohnungsmechanismen der Spieler*innen am besten ausnutzen. Smith nennt das „Neuroexploitation by design“.
Gegen Ende ihres Vortags geht Smith auf Ansätze ein, um die Gefahren von Glücksspiel-Mechanismen einzudämmen. In Deutschland gibt es etwa den Glücksspielstaatsvertrag. Manche Normen zielen direkt auf Glücksspiel-Mechanismen ab: So muss bei einem virtuellen Automatenspiel etwa ein einzelnes Spiel mindestens fünf Sekunden dauern, der Einsatz darf einen Euro pro Spiel nicht übersteigen. Das soll das Feuerwerk aus Risiko und Belohnung eindämmen.
Ob Lootboxen in die Kategorie Glücksspiel fallen, beschäftigt internationale Gerichte und Gesetzgeber bereits seit Jahren. In Deutschland hatte jüngst der Bundesrat strengere Regeln gefordert. Am 21. November hielten die Länder fest, dass Lootboxen und andere Glücksspiel-ähnliche Mechanismen in Videospielen besser reguliert werden sollen, um Suchtgefahr zu reduzieren. In Belgien und den Niederlanden gibt es bereits strengere Regeln.
Auf EU-Ebene gibt es derzeit kein spezifisches Recht zur Regulierung von Lootboxen, wie die Wissenschaftlichen Dienste des Bundestags den Sachstand im Herbst 2024 zusammenfassen. Allerdings kommen je nach Kontext verschiedene EU-Gesetze in Frage, etwa das Gesetz über digitale Dienste (DSA), das manche Anbieter dazu verpflichtet, Risiken für ihre Nutzer*innen zu erkennen und zu minimieren. Derzeit plant die EU-Kommission zudem den Digital Fairness Act, der Lücken im Verbraucherschutz schließen soll.
„Ich denke, es wäre wichtig, vor allem junge Menschen vor diesen Mechanismen zu schützen“, warnt Smith mit Blick auf Glücksspiel-Mechaniken in Spielen. Damit verweist die Forscherin auf eine Leerstelle in den aktuellen Debatten um Jugendschutz im Netz, die vor allem um Alterskontrollen für soziale Medien kreisen.
Ein fertiges Regulierungs-Konzept für Glücksspiel-Mechanismen hat die Forscherin zwar nicht. In welchem Spannungsfeld man sich bei dem Thema bewegt, bringt sie jedoch in Reaktion auf eine Frage aus dem Publikum auf den Punkt: „Gibt es einen Bereich vom Spieldesign, der Spaß macht, Nervenkitzel birgt, profitabel ist für die Anbieter und im Bereich des sicheren Spielens liegt?“
Der Deutschland-Stack ist eines der größten Digitalisierungsvorhaben im schwarz-roten Koalitionsvertrag. Auch in ihrer Modernisierungsagenda beschreibt die Bundesregierung den D-Stack als entscheidende Technologie-Plattform, um die öffentliche Verwaltung zu digitalisieren.
Ein Technologie-Stack enthält in der Regel mehrere Komponenten, um Software zu entwickeln, zu betreiben und zu warten. Dazu gehören unter anderem Werkzeuge für die Entwicklung: Programmiersprachen, Datenbanken und Schnittstellen. Laut Agenda soll der Deutschland-Stack eine einheitliche IT-Infrastruktur bereitstellen, auf der die Verwaltung zum Beispiel Basisdienste betreibt, etwa Systeme, über die Wohngeld verrechnet wird oder das Begleichen von anfallenden Gebühren.
Allerdings ist weiterhin unklar, was den Stack im Detail ausmachen soll. Fest steht bislang nur: Die Zivilgesellschaft soll bei dem Thema offenbar nicht groß mitreden. Und auch das Thema Open Source kommt allenfalls am Rande vor. Profitieren könnten davon ausgerechnet die Tech-Konzerne, auch wenn deren Angebote die Anforderungen an die digitale Souveränität kaum erfüllen können.
Dass viele Fragen noch offen sind, zeigt auch der Konsultationsprozess zum Stack, den das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) organisierte. Bei dem Beteiligungsverfahren konnten Verbände, Organisationen, Unternehmen und Privatpersonen ihre Vorschläge und Anforderungen zu bestimmten Vorhaben einreichen. Die einzelnen Stellungnahmen und Rückmeldungen sind über die Plattform openCode öffentlich einsehbar – als ganze Konsultationsbeiträge von öffentlichen IT-Dienstleistern, Nicht-Regierungs-Organisationen und privaten Herstellern oder als Anregungen zu einzelnen Fragen. So wies der Verband Green Software auf die Umweltbelastung durch Software hin und Dirk Gernhardt vom IT-Referat München fragt: Sollten konkrete Produkte und Technologien in Vergabeverfahren verbindlich gefordert werden können, „liefert der Deutschland-Stack dafür den rechtlichen Rahmen“?
Parallel zu dem Verfahren fanden geschlossene Workshops mit ausgewählten Beteiligten statt. Thilak Mahendran von der Agora Digitale Transformation kritisiert (PDF), dass das BMDS weder die Teilnehmenden noch die Ergebnisse dieser Workshops bislang transparent gemacht hat. „Dies widerspricht dem Anspruch eines offenen Verfahrens.“ Auch habe das Ministerium die Zivilgesellschaft nicht aktiv in den Beteiligungsprozess einbezogen, so Mahendran gegenüber netzpolitik.org. Über Wochen habe das Stichwort „Zivilgesellschaft“ auf der Website zum D-Stack gefehlt.
Neben Mahendran war auch die ehemalige Bundestagsabgeordnete und Digitalaktivistin Anke Domscheit-Berg zu einem Workshop zum Thema Open Source eingeladen, den die Open Source Business Alliance (OSBA) auf eigene Initiative am 5. Dezember in den Räumlichkeiten des BMDS veranstaltete. Unter den Teilnehmenden waren Open-Source-Unternehmer*innen sowie Vertreter*innen aus Zivilgesellschaft, von Open-Source-Stiftungen, aus der Politik und von Behörden sowie zwei Vertreter*innen aus dem Digitalministerium.
Allerdings scheint das Ministerium diesem Workshop nicht allzu große Bedeutung beizumessen. Auf einer Konferenz des Hasso-Plattner-Instituts Anfang Dezember habe Staatssekretär Markus Richter davon gesprochen, dass der Beteiligungsprozess zum Deutschland-Stack abgeschlossen sei, erinnert sich Anke Domscheit-Berg gegenüber netzpolitik.org. „Da hatte der Workshop der OSBA noch gar nicht stattgefunden.“
Außerdem ist weiterhin offen, welche Dienste und Cloud-Angebote in den Stack aufgenommen werden und welche nicht. Dafür brauche es klare Vorgaben, einschließlich roter Linien, de Mindeststandards definieren müssen, so Domscheit-Berg. Bislang seien die vorgegebenen Kriterien aber nicht nur schwammig, unambitioniert und teils sogar kontraproduktiv für das Ziel digitaler Unabhängigkeit, sondern außerdem auch noch unverbindlich formuliert: „Durch das Fehlen einer Bewertung entlang der Kriterien ist kein Ausschluss vom Tech-Stack gegeben“, heißt es im entsprechenden Dokument.
Der überschaubare Kriterien-Katalog soll demnach nur einen Eindruck darüber vermitteln, ob und inwiefern die fragliche Technologie für den Stack etwa digital souverän, interoperabel und vertrauenswürdig ist.
Ob eine Software oder Cloud-Lösung digital souverän ist, lässt sich laut Katalog entlang von sechs Stufen kategorisieren. Die Mindestestufe 0 erfüllt ein Angebot nur dann, wenn es Nutzenden ermöglicht, „mit überschaubarem Aufwand“ zu einer „vergleichbaren Alternative“ zu wechseln. Können die Nutzenden Einfluss darauf nehmen, wo Daten gespeichert werden, sei die Lösung zu 20 Prozent digital souverän (Stufe 1). Erlaubt das Angebot es darüber hinaus, Einfluss „auf den Anbieter oder zur aktiven Teilnahme an der Community“ zu nehmen, sei sie zu 40 Prozent digital souverän. Die höchste Stufe 5 erreicht eine Lösung, wenn sie „die Möglichkeiten zum vollumfänglichen Einfluss“ beinhaltet. Der Kriterien-Katalog schweigt sich darüber aus, worin diese Möglichkeiten bestehen.
Ohne eine klare Zielvorstellung davon, was digitale Souveränität „im Kontext des Deutschland-Stacks konkret bedeutet“, könne das Kriterium jedoch nicht „zweckdienlich“ umgesetzt werden, hält eco, der Verband für Internetwirtschaft, in seiner Stellungnahme zum Deutschland-Stack (PDF) fest. Dabei sei grundsätzlich fraglich, ob digitale Souveränität den anderen Kriterien gleichgestellt sein sollte.
Die öffentliche Vergabe an sogenannte Hyperscaler, die große Rechenzentren und eine flexible Skalierung etwa von Cloud-Diensten anbieten. reguliert der Katalog nicht. Dabei wird digitale Souveränität in der Regel auch als technologische Unabhängigkeit von Big Tech verstanden. Ebensowenig räumt Stack offener Software verbindlich Vorrang ein, wie es etwa das E-Government-Gesetz des Bundes (EGovG) tut.
Das EGovG regelt die rechtlichen Rahmenbedingungen für die Digitalisierung der Bundesverwaltung. Dort heißt es konkret: „Die Behörden des Bundes sollen offene Standards nutzen und bei neu anzuschaffender Software Open-Source-Software vorrangig vor solcher Software beschaffen, deren Quellcode nicht öffentlich zugänglich ist oder deren Lizenz die Verwendung, Weitergabe und Veränderung einschränkt.“
Dennoch gebe es immer wieder Ausschreibungen explizit für Hyperscaler, so Domscheit-Berg. Ein Beispiel dafür sei die aktuelle Ausschreibung des Bundesministeriums für Wirtschaft und Energie für Clouddienste von Amazon, die beim Betrieb der deutschen Forschungszentrale zum Einsatz kommen sollen. Der Deutschland-Stack müsse so etwas künftig verhindern. Andernfalls riskiere man, dass sich Konzerne wie Microsoft, Amazon und Google im Stack fest einrichten und sich so die technologische Abhängigkeit von ihnen verfestigt. „Wenn man den Deutschland-Stack abschalten kann, zwingt man die öffentliche Verwaltung in die Knie“, warnt Domscheit-Berg.
Das Digitalministerium will die Angebote der Tech-Konzerne für den Deutschland-Stack aber offenbar nutzen. Heiko Hartenstein, Referent und Leiter Architekturmanagement Dienstekonsolidierung im Digitalministerium, räumt dem Kriterium der Marktrelevanz klar Vorrang ein. Das Ministerium verfolge das Ziel, „möglichst schnell und einfach digitale Angebote zu schaffen“. Dabei gehe es darum, „das abzuholen, was schnell verfügbar ist“, so Hartenstein beim Workshop der OSBA. Gerade Hyperscaler könnten hier punkten.
Das Digitalministerium will nun bis Mitte Februar die Ergebnisse der Konsultation und der Workshops auswerten und das Konzept des Deutschland-Stacks überarbeiten. Spätestens dann wird sich wohl zeigen, ob sich das Ministerium die Kritikpunkte aus dem Workshop zu Open Source zu Herzen nimmt oder nicht.
Illustrierte Reise nach New York City › PAGE online
Aus Softwarefehlern lernen – Teil 3: Eine Marssonde gerät außer Kontrolle
Top 10: Die beste kabellose Überwachungskamera im Test
SK Rapid Wien erneuert visuelle Identität
Neue PC-Spiele im November 2025: „Anno 117: Pax Romana“
Kommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
Donnerstag: Deutsches Flugtaxi-Start-up am Ende, KI-Rechenzentren mit ARM-Chips
Arndt Benedikt rebranded GreatVita › PAGE online
