Der Deutschland-Stack ist das Großprojekt des jungen Bundesministeriums für Digitales und Staatsmodernisierung schlechthin. Damit will Karsten Wildberger (CDU) ein „digitales Update“ (€) für Deutschland. Mit der „einheitlichen IT-Infrastruktur mit Basiskomponenten wie Cloud- und IT-Diensten und klar definierten Schnittstellen“ adressiert er die grundlegenden Versäumnisse der seit Jahren schleppenden Digitalisierung der öffentlichen Verwaltung.

Eigentlich könnte das Ministerium hier aus dem Vollen zivilgesellschaftlicher Expertise schöpfen. Viele zivilgesellschaftliche Akteure beobachten die scheiternde Verwaltungsdigitalisierung nicht nur seit Jahrzehnten, sondern bringen ihr Wissen und ihre Erfahrungen häufig ehrenamtlich in Digitalisierungsprojekte und nachhaltige Lösungswege ein.

Zum Start des Konsultationsprozesses im Herbst erhielt das Ministerium zunächst viel Lob. Öffentlich rief es Gruppen, Verbände, aber auch Einzelpersonen dazu auf, über die Plattform openCode ihr Feedback zum Stack einzubringen. Der Zugang dazu ist niedrigschwellig und die einzelnen Beiträge sind öffentlich einsehbar. Die volle Transparenz hebt hier die Konsultation stark von bisherigen Beteiligungsformaten ab.

Workshops ohne die Zivilgesellschaft

Doch um Feedback zu bekommen, fährt das Ministerium von Anfang an zweigleisig. Denn zeitgleich zur offenen Konsultation plante es Workshops mit Verbänden aus den Bereichen Start-ups, Wissenschaft, IT- und Digitalwirtschaft sowie weiteren. Mit von der Partie waren vor allem Wirtschaftsverbände. Dabei erhielt die Zivilgesellschaft bislang keinen Zugang.

Was bei den Workshops herauskam, ist nicht bekannt. Die hätten „generell im Haus intern und auf Arbeitsebene stattgefunden – zu diesen gibt es keine öffentliche Berichterstattung“, erklärt ein Sprecher des BMDS gegenüber netzpolitik.org.

Wie aus der Antwort (PDF) der Bundesregierung auf eine Kleine Anfrage von Sonja Lemke (Die Linke) hervorgeht, gab es im November fünf Workshops – zu den Themen Markt und Integrationsplattform, Startups und Agentic AI. Sie wurden unter anderem ausgerichtet von eco, dem KI-Verband, Bitkom und Databund. Die Bundesregierung betonte, sie habe Expertise zum Thema „technische Standards und Technologien des Deutschland-Stacks“ angefragt, aber an den Workshops lediglich als „Impulsgeber“ teilgenommen.

Digitalministerium lässt sich bitten

Bei der Terminvergabe ging die Zivilgesellschaft leer aus, sowohl in der ersten Konsultationsphase vom 1. Oktober bis zum 30. November als auch in der zweiten vom 16. Januar bis zum 15. Februar. Dabei hatte das Bündnis F5 bereits im Herbst beim Ministerium nach einem Termin gefragt, so Kai Dittmann. Er leitet die Advocacy- und Policyarbeit bei der Gesellschaft für Freiheitsrechte (GFF) und koordiniert das Bündnis.

Zu diesem Bündnis haben sich die Organisationen Reporter ohne Grenzen, AlgorithmWatch, Wikimedia Deutschland, Open Knowledge Foundation Deutschland und GFF zusammengeschlossen, sie setzen sich für eine gemeinwohlorientierte Digitalpolitik ein.

„Wir hatten gehofft, dass das BMDS von sich aus einen Konsultationsworkshop zum Deutschland-Stack anbietet“, sagt Dittmann, „um zunächst ein paar grundlegende Informationen zu vermitteln, etwa was zum Stack gehört und was nicht. Es wäre sinnvoll gewesen, zu Beginn darüber zu diskutieren, bei welchen Fragestellungen die Zivilgesellschaft aktiv eingebunden sein sollte“, etwa bei der Frage nach dem Einsatz digitaler Identitäten und danach, wie der sich auf Grundrechte auswirkt und wie er eingeschränkt werden müsste. Auch zur Frage einer sinnvollen Datenhaltung, um diesen Deutschland-Stack zu befüllen, hätte das BMDS von der Expertise von Wikimedia profitieren können, so Dittmann.

F5-Workshop zu KI in der Verwaltung

Schließlich fand Ende März ein Workshop mit F5 statt. Das Thema: „KI in der Verwaltung“. Doch wie das BMDS auf Anfrage erklärt, habe der Workshop „keinen speziellen Bezug zum Deutschland-Stack“. Das überrascht in doppelter Hinsicht. Denn laut Antwort der Bundesregierung vom Dezember sei ein Workshop mit der Zivilgesellschaft „in Klärung“ und als Organisation benannte sie das Bündnis F5. Das suggeriert, dass der F5-Workshop im Kontext des Deutschland-Stacks geplant war.

Zweitens waren bei diesem Workshop laut BMDS nicht nur Vertreter:innen aus der Zivilgesellschaft eingeladen, sondern auch aus der Wirtschaft. Überraschend ist die „Klarstellung“ des Ministeriums auch, weil KI im überarbeiteten „Gesamtbild“ ausdrücklich Teil des Deutschland-Stacks ist.

Agentische KI soll Verwaltungsaufgaben künftig erleichtern und teilweise übernehmen. Dazu hat das BMDS einen eigenen Hub gegründet und fördert eine Reihe an Pilotprojekten. Eines davon setzt agentische KI beim Antragsverfahren für Wohnberechtigungsscheine ein. Sie betrifft einen sensiblen Bereich, in dem es um die Existenz von Menschen geht. Fehler wären hier verheerend. Das veranschaulicht das Beispiel um die Kindergeldaffäre in den Niederlanden.

„Ins Machen kommen“ braucht klare Grenzen

„Im Workshop haben wir viele Fragen erst angerissen“, so Dittmann. Wie gehen Verwaltungen und Mitarbeiter:innen etwa damit um, wenn was schief geht? Wer trägt die Verantwortung für den Fall, dass Fehler passieren, die unter Umständen gravierende Konsequenzen haben? Der Sachbearbeiter, die Software-Hersteller, der IT-Dienstleister, die Behörde, die das KI-System eingekauft hat, oder der Minister, der das Ganze vorangetrieben hat? Wer ist zuständig, wenn entsprechende KI-Systeme nicht die gewünschten Ergebnisse liefern?

Was passiert, wenn ein einzelner Sachbearbeiter mithilfe von KI-Agenten immer mehr Anträge bearbeitet und etwas übersieht? „Müssen wir mit einer Verantwortungsdiffusion in diesem System rechnen?“, fragt Dittmann. Denn klar sei, die Maschine kann keine Verantwortung tragen.

Das alles seien gesellschaftliche Fragen, über die wir sprechen und die wir klären müssten. Angesichts des Mottos „ins Machen kommen“ seien sie bislang untergegangen. Ins Machen zu kommen, heiße aber auch zu entscheiden, „was wir alles nicht machen“ und Grenzen abzustecken, so Dittmann.

Aufsuchende Beteiligung

Dass das BMDS im Rahmen des D-Stacks die Zivilgesellschaft auf Abstand hält, ist umso unverständlicher, als es laut Sprecher beim KI-Transformationsprozess ausdrücklich darum gehe, deren Perspektiven einzubeziehen.

Auch wenn die Kommunikation des Ministeriums bislang unstet war, den Workshop Ende März sieht Dittmann als Startschuss dafür, zivilgesellschaftliche Expertise nicht nur einzubeziehen, sondern auch als Ressource zu begreifen. Die könne das Ministerium noch mehr nutzen, wenn es sich um eine aufsuchende Beteiligung bemüht.

Das kann bedeuten, die Expertise engagierter Menschen über andere Wege einzuholen. Denn die arbeiten häufig ehrenamtlich und können Workshops nicht wahrnehmen, wenn die an einem Werktag zu normalen Geschäftszeiten stattfinden. Das betrifft zum Beispiel Ehrenamtliche von D64, dem Zentrum für digitalen Fortschritt, vom Chaos Computer Club oder InÖG, dem Innovationsverbund öffentliche Gesundheit.

Das Ministerium könnte Forschungsmittel bereitstellen oder bei Forschenden anfragen, welche Personen oder ehrenamtlichen Organisationen sich bei bestimmten Fragen besonders gut auskennen. Beispielsweise könne das BMDS auch nach Erfahrungen fragen, die ehrenamtliche Digitalisierungsprojekte in Berlin, auf Bundesebene, aber auch in Städten und kleineren Gemeinden eingeholt haben.

Das Softwareunternehmen Vercel hat bekannt gegeben, dass es derzeit einen Sicherheitsangriff untersucht. Ein Angreifer erhielt unbefugten Zugriff auf interne Systeme und Vercel-Kundendaten. Nach Angaben des Unternehmens hat der Vorfall seinen Ursprung bei einem Vercel-Mitarbeitenden, der das KI-Tool Context.ai verwendete. Durch dessen Vercel-Google-Workspace-Account erhielt der Angreifer Zugriff auf Vercel-Umgebungen.

Guillermo Rauch, CEO und Gründer von Vercel, hat auf X Neuigkeiten zu dem Angriff gepostet. Demnach handelt es sich anscheinend um eine „sehr raffinierte Angreifergruppe“, die seiner Vermutung nach künstliche Intelligenz einsetzt und „mit überraschender Geschwindigkeit und tiefgehendem Verständnis von Vercel“ vorging.

React-Framework Next.js offenbar nicht betroffen

Next.js, Turbopack und weitere Open-Source-Projekte des Unternehmens sind nach Angaben von Rauch nicht betroffen: „Wir haben unsere Supply Chain analysiert und sichergestellt, dass Next.js, Turbopack und unsere vielen Open-Source-Projekte für die Community sicher bleiben.“

Sicherheitsprüfung: Vercel veröffentlicht IOC

Laut dem entsprechenden Vercel-Security-Bulletin-Eintrag ist eine begrenzte Zahl an Vercel-Kundinnen und -Kunden von dem Angriff betroffen. Diese seien bereits informiert und zu einer unverzüglichen Rotation ihrer Credentials aufgefordert worden.

Vercel hat zudem einen Indicator of Compromise (IOC) veröffentlicht. Ausgangspunkt des Angriffs war eine Google-Workspace-OAuth-App. Google-Workspace-Admins und Google-Account-Besitzer sollen daher unverzüglich prüfen, ob diese App verwendet wird:

• 110671459871-30f1spbu0hptbs60cb4vsmv79i7bbvqj.apps.googleusercontent.com

Vercel-Daten angeblich zum Verkauf angeboten

Wie The Hacker News berichtet, übernehmen Angreifer unter dem Namen ShinyHunters die Verantwortung für diesen Vorfall – und bieten laut Screenshots auf X offenbar gestohlene Daten für zwei Millionen US-Dollar an. Die Gruppe ShinyHunters hat bereits kürzlich Daten aus einem Cyberangriff auf Rockstar Games veröffentlicht. Ob diese für den Angriff auf Vercel tatsächlich verantwortlich ist, hat das Unternehmen bisher nicht bestätigt.

Vercel untersucht den Angriff derzeit noch aktiv und hat Incident-Response-Experten – darunter Googles Cybersicherheitstochter Mandiant – sowie die Behörden eingeschaltet. Über weitere Neuigkeiten wird das Unternehmen auf seinem Security Bulletin informieren.

(mai)

Das Fernsehen galt lange Zeit als das emotionale Lagerfeuer der Nation. Aus Sicht vieler glimmt es heute aber nur noch. Nicht so bei uns: Fast das ganze Team von netzpolitik.org saß an einem Nachmittag im Februar dicht an dicht im abgedunkelten Konferenzraum – und starrte gebannt auf den Fernseher.

Es war eine Sneak-Preview der besonderen Art. Sechs Wochen vor der offiziellen Ausstrahlung hatten wir vom Bayerischen Rundfunk die finale Schnittfassung der Dokumentation „Gefährliche Apps – Im Netz der Datenhändler“ erhalten. Die Doku ist so etwas wie der Film zu unseren Recherchen.

Seit mehr als zwei Jahren arbeiten Sebastian und Ingo zusammen mit einem Team des Bayerischen Rundfunks an den „Databroker Files“. Die Doku erzählt davon und den konkreten Gefahren, die von Tracking-Daten ausgehen.

Der Film macht das, was Filme nun einmal so gut können: den flächendeckenden Angriff auf die Privatsphäre von Handy-Nutzer:innen noch anschaulicher. Die Punkte auf der animierten Karten werden zu einzelnen Menschen, die in die Kamera blicken und zu uns sprechen. Eine ägyptische Journalistin, ein ukrainischer Soldat, eine bayerische Schülerin. Für Menschen wie sie ist der Datenhandel eine existenzielle Gefahr. Das versteht man nicht nur, das spürt man auch.

Als Ingo und Sebastian im Februar 2024 mit ihren Recherchen begannen, hatten sie wohl nicht geahnt, dass auch sie eines Tages zu Protagonisten einer Fernseh-Doku werden. Regelmäßig geben wir Interviews oder stehen auf Bühnen. So erreichen wir auch Menschen, die netzpolitik.org vielleicht noch nicht kennen. Wenn aber die eigene Recherchearbeit in ein neues Medium übersetzt wird, dann schafft dies was Neues, was verbindet: Redaktionen, die miteinander kooperieren. Medien, die ein Thema unterschiedlich erzählen. Ein Team, das jeden Tag für die Grund- und Freiheitsrechte aller kämpft.

Die Doku erreichte am 7. April eine Einschaltquote von rund elf Prozent. Laut den Kolleg:innen beim Bayerischen Rundfunk kann sich das sehen lassen. Und bei YouTube hat das Video bereits mehr als 280.000 Aufrufe. Das sind sehr viele kleine Lagerfeuer im ganzen Land. Und das macht uns schon ein wenig stolz.

Möglich ist das aber nur mit eurer Unterstützung. Der Öffentlich-Rechtliche hat seine Beitragszahler:innen, wir haben unsere Spender:innen. Dank euch konnten wir das Thema Datenhandel überhaupt erst groß machen, konnten wir über viele Monate in europaweit recherchieren und am Ende so viele Menschen erreichen.

Ihr seid der Anfang von alledem – der Funke, der das Feuer entzündet. Und das verbindet uns, liebe Spender:innen und Leser:innen. Vielen Dank dafür.

Die harten Zahlen

Und bevor wir emotional völlig dahinschmelzen, kommen wir zu den harten Zahlen des ersten Quartals 2026. Beim Jahresausklang 2025 habt ihr für uns Funken gesprüht. Das war toll. Das Erreichen des Spendenziels bei der Jahresendkampagne bedeutet für uns gute Aussichten für die Finanzierung von netzpolitik.org im Folgejahr. Denn die Einnahmen aus einer gut verlaufenden Jahresendkampagne kompensieren unsere deutlich geringeren, unterjährigen Spendeneinnahmen.

Zumal uns der Schwung vom Jahresende im ersten Quartal des neuen Jahres noch höhere Spendeneinnahmen als in den Folgemonaten beschert. So auch in diesem.

Unsere Spendeneinnahmen

Im ersten Quartal haben wir 229.136 Euro an Spenden von euch erhalten. Das ist ein gutes Ergebnis, liegt aber etwa 34.400 Euro (13 Prozent) unter unseren Erwartungen, die wir vor allem aus den Erfahrungen der Vorjahre ableiten. Der Schwung zu Anfang dieses Jahr ist also schwächer ausgefallen.

Unsere Einnahmen

Insgesamt belaufen sich unsere Einnahmen im ersten Quartal auf 235.620 Euro. Im Verhältnis zu unseren Gesamteinnahmen beträgt der Anteil der Einnahmen aus Spenden über 97 Prozent. Aus dem Verkauf im Webshop erhielten wir etwas unter 1.200 Euro und aus der Verwertung im digitalen Pressespiegel etwas über 900 Euro. Der Zuschuss des Bundes für den Platz im Rahmen des Freiwilligendienstes liegt unverändert bei 300 Euro monatlich und somit bei 900 Euro im Quartal. Die sonstigen Erlöse setzen sich vor allem aus den Posten Erstattungen für Ausfallzeiten aufgrund von Krankheit (AAG) und Zinserträgen zusammen.

Unsere Ausgaben

Bei den Ausgaben liegen die Personalkosten bei 227.273 Euro und damit rund 5.000 Euro unter den veranschlagten Kosten laut unserem Stellenplan. In den Sachkosten haben wir für das erste Quartal 58.350 Euro und damit rund 20.900 Euro weniger ausgegeben als kalkuliert. Das ist vor allem der monatlichen Kalkulation von Ausgaben wie Beratung und Fortbildung geschuldet, die nicht monatlich, sondern punktuell im Jahr auftreten.

Insgesamt haben wir im ersten Quartal 2026 an Personal- und Sachkosten 285.624 Euro verausgabt.

Unser Projekt Reichweite hatten wir in den letzten beiden Quartalsberichten 2025 vorgestellt. Die Projektlaufzeit beträgt drei Jahre bis Herbst 2027 und wird über den gesamten Zeitrahmen mit 200.000 Euro aus unseren Rücklagen finanziert. In 2025 haben wir davon 64.800 Euro für den Relaunch unserer Website und eine neue Stelle für die Verbreitung unserer Inhalte in den sozialen Medien ausgegeben. Im ersten Quartal 2026 haben wir für lediglich Personalkosten in Höhe von etwas unter 7.600 Euro verausgabt.

Das vorläufige Ergebnis

Wir schließen das 1. Quartal mit einem Ergebnis in Höhe von etwas unter -50.200 Euro ab. Laut Plan haben wir mit einem Ergebnis von -40.300 Euro gerechnet. Ein Minus in den ersten drei Quartalen beunruhigt uns nicht besonders, solange es im Rahmen unserer Erwartungen bleibt. Das bereinigen wir nach unseren bisherigen Erfahrungen im vierten Quartal mit der Jahresendkampagne. Bei dem aktuellen Quartalsergebnis kommen wir jedoch gedanklich etwas mehr in Bewegung und werden darauf mit einer Spendenaktion reagieren, damit wir nicht nicht mit zu schwerer Bürde in die Jahresendkampagne gehen.

Um das Spendenfeuer anzufachen, wird uns hoffentlich auch die Aufmerksamkeit helfen, die die Fernseh-Doku zu den „Databroker Files“ von euch erfährt. Wir freuen uns auf weiteren Funkenschlag.

Danke für eure bisherige und zukünftige Unterstützung!

Wenn ihr uns unterstützen wollt, findet ihr hier alle Möglichkeiten. Am besten ist ein Dauerauftrag. Er ermöglicht uns, langfristig zu planen:

Inhaber: netzpolitik.org e.V.
IBAN: DE62430609671149278400
BIC: GENODEM1GLS
Zweck: Spende netzpolitik.org

Wir freuen uns auch über Spenden via Paypal.

Wir sind glücklich, die besten Unterstützer:innen zu haben.

Unseren Transparenzbericht mit den Zahlen für das 4. Quartal und das Gesamtjahr 2025 findet ihr hier.

Vielen Dank an euch alle!