Deutschland hat 2026 zwei echte Schritte in Richtung digitaler Souveränität gemacht. Öffentliche Vergabestellen dürfen digitale Souveränität ausdrücklich als Zuschlagskriterium berücksichtigen. Außerdem wurden acht EVB-IT-Vertragsmuster modernisiert, damit Open-Source-Software rechtssicher beschafft werden kann.
Das klingt nach einer Open-Source-Wende. Es ist aber noch keine.
Der entscheidende Unterschied steckt in einem einzigen Wort: kann. § 58 Absatz 2 der Vergabeverordnung erlaubt, Aspekte digitaler Souveränität bei der Zuschlagsentscheidung zu berücksichtigen. Die Vorschrift verpflichtet Vergabestellen nicht dazu. Im verkündeten Regelungstext des Vergabebeschleunigungsgesetzes kommen die Begriffe „Open Source“, „Software“ und „Quellcode“ nicht vor. [3][4]
Die Bundesregierung hat eine Tür geöffnet. Ob Verwaltungen hindurchgehen, entscheidet sich in Ausschreibungen, Verträgen, Budgets und im späteren Betrieb.
Was seit Juli 2026 tatsächlich gilt
Das Gesetz zur Beschleunigung der Vergabe öffentlicher Aufträge trat am 1. Juli 2026 in Kraft. Sein Hauptzweck ist eine schnellere und einfachere öffentliche Beschaffung. Die Reform erhöht unter anderem Direktauftragsgrenzen, flexibilisiert Gesamtvergaben, verringert Nachweispflichten und beschleunigt Nachprüfungsverfahren. [3][6]
Für digitale Souveränität ist die Änderung von § 58 Absatz 2 VgV relevant. Neben Preis und Kosten können qualitative, umweltbezogene oder soziale Kriterien einfließen. Neu genannt werden „Aspekte der digitalen Souveränität“. [4]
Das erweitert den Spielraum. Eine Behörde kann künftig deutlicher bewerten, ob sie Daten exportieren, Schnittstellen dokumentiert nutzen oder einen Betreiber wechseln kann. Sie kann Abhängigkeiten und Kontrollrechte in die Zuschlagsentscheidung einbeziehen, statt nur auf den kurzfristig niedrigsten Preis zu schauen.
Belegte Tatsache: Digitale Souveränität ist nun ausdrücklich als mögliches Zuschlagskriterium genannt.
Ebenso belegt: Eine allgemeine gesetzliche Pflicht zu Open Source enthält der veröffentlichte Normtext nicht.
Genau an diesem Punkt formuliert der am 28. Juli 2026 veröffentlichte Deutschland-Bericht des europäischen Open Source Observatory, kurz OSOR, zu stark. Der Bericht beschreibt Deutschland als führendes Beispiel für Open Source im öffentlichen Sektor. Er behauptet jedoch auch, das Gesetz verpflichte Beschaffungsstellen zur Berücksichtigung digitaler Souveränität bei nicht preislichen Kriterien. Zudem soll ein Anhang Open Source und offene Standards als Beispiele nennen. Im verkündeten deutschen Regelungstext lässt sich diese Darstellung nicht bestätigen. [1][2][3]
Nachprüfung vom 31. Juli 2026: Die Fußnote 37 des OSOR-Berichts verweist ausschließlich auf BGBl. 2026 I Nr. 137. Der dort veröffentlichte 19-seitige Regelungstext enthält keinen Anhang und keinen Treffer für „Open Source“, „offene Standards“, „Software“ oder „Quellcode“. Damit ist die Behauptung durch die vom OSOR selbst genannte Quelle nicht gedeckt. Sie wird in diesem Entwurf als fehlerhafte Darstellung des Länderberichts behandelt, nicht als Inhalt des geltenden Gesetzes.
Bewertung: Wer Open Source stärken will, sollte ein „kann“ nicht zum „muss“ aufblasen. Die Übertreibung verdeckt gerade jene Umsetzungslücke, über die politisch gestritten werden muss.
Die EVB-IT können mehr bewirken als eine Sonntagsrede
Praktisch womöglich wichtiger als der neue Gesetzessatz sind die modernisierten EVB-IT. Diese ergänzenden Vertragsbedingungen und Muster werden von Bund, Ländern und Kommunen für IT-Leistungen eingesetzt.
Das Bundesministerium für Digitales und Staatsmodernisierung erklärte am 20. März 2026:
- Acht Vertragsmuster wurden für die rechtssichere Beschaffung von Open Source überarbeitet.
- Die Entwicklung und Bereitstellung neuer Softwareprojekte als Open Source wird als Standard in den Mustern abgebildet.
- Die Muster bieten Optionen für mehr Transparenz, darunter die Übergabe einer Software Bill of Materials, kurz SBOM.
- Proprietäre Software bleibt weiterhin beschaffbar. [5]
Standardklauseln lösen ein reales Problem. Eine Beschaffungsstelle muss nicht für jedes Open-Source-Projekt eine individuelle juristische Konstruktion erfinden. Das senkt Aufwand und Unsicherheit.
Aber ein Mustervertrag ist nur ein Werkzeug. Ob daraus Freiheit entsteht, entscheidet der ausgefüllte Vertrag.
Ein Auftrag kann etwa die Übergabe von Quellcode verlangen. Ohne Build-Anleitung, dokumentierte Abhängigkeiten, Testfälle und Release-Prozess kann ein anderer Betreiber daraus trotzdem kein lauffähiges System erzeugen. Eine SBOM zeigt, welche Komponenten verbaut wurden. Sie spielt aber kein Sicherheitsupdate ein und benennt nicht automatisch die verantwortliche Wartungsstelle.
Bewertung: Die EVB-IT sind ein starker Hebel, weil sie in die tägliche Verwaltungspraxis eingreifen. Ihre Wirkung muss jedoch an realen Verträgen gemessen werden: Welche Klauseln werden übernommen, welche abgewählt, und welche Übergaben werden tatsächlich abgenommen?
Souveränität ist mehr als Serverstandort und Lizenz
Der Begriff „digitale Souveränität“ bleibt gefährlich dehnbar. Ein europäischer Anbieter mit einem deutschen Rechenzentrum kann geschlossene Formate, undokumentierte Schnittstellen und ein proprietäres Kontrollpanel einsetzen. Der Standort allein verändert dann die Machtverteilung nicht.
Umgekehrt ist auch eine freie Lizenz keine Betriebsgarantie. Ein Open-Source-Dienst bleibt abhängig, wenn nur ein Integrator die Konfiguration kennt oder eine einzige Person über privilegierte Zugänge verfügt.
Das lässt sich am Community-Betrieb gut erkennen.
Eine Matrix-Instanz kann vollständig auf Synapse und anderer freier Software beruhen. Wenn Admin-Tokens, Raumrechte, Signaturschlüssel, .well-known-Einträge und Wiederanlaufprozedur nicht dokumentiert sind, kann die Community den Betreiber trotzdem nicht sicher wechseln.
Eine offene Webanwendung kann hinter Nginx laufen. Wenn Reverse-Proxy-Regeln, Zertifikatserneuerung, Datenbankmigration, Monitoring und Secrets beim bisherigen Dienstleister bleiben, ist der Auftraggeber weiterhin gefangen.
Ein Backup kann jeden Abend erfolgreich gemeldet werden. Wenn niemals geprüft wurde, ob Datenbank, Dateien, Konfiguration, Schlüssel und passende Softwareversion auf einer frischen Umgebung wiederhergestellt werden können, ist dieses Backup nur eine Hoffnung.
Technische Bewertung: Souverän ist ein Dienst erst, wenn eine zweite Organisation ihn mit den übergebenen Daten, Rechten und Unterlagen unabhängig wieder in Betrieb nehmen kann.
Zehn Mindestanforderungen für souveräne Verträge
Eine belastbare öffentliche Ausschreibung sollte mindestens folgende Punkte verlangen:
- vollständigen Quellcode unter einer anerkannten freien Lizenz;
- offene Datenformate und dokumentierte Schnittstellen;
- reproduzierbare Bereitstellung, Build-Anleitung und dokumentierte Abhängigkeiten;
- eine aktuelle SBOM sowie klare Zuständigkeiten für Sicherheitsmeldungen und Updates;
- vollständigen Export von Daten, Konfigurationen, Rollen und Berechtigungen;
- kontrollierte Übergabe und Rotation von Domains, Schlüsseln, Zertifikaten und Admin-Zugängen;
- unabhängige Betriebs-, Prüf- und Weiterentwicklungsrechte;
- Wartungsbudget und einen geregelten Umgang mit Upstream-Projekten;
- vertragliche Unterstützung beim Anbieterwechsel;
- einen praktisch bestandenen Migrations- und Restore-Test.
Diese Anforderungen machen Beschaffung zunächst aufwendiger. Sie verhindern aber, dass niedrige Einstiegspreise mit späteren Wechselkosten erkauft werden. Der Exit muss von Anfang an Teil der Gesamtbetriebskosten sein.
Der Deutschland-Stack ist ein Aufbau, kein fertiger Zustand
Der Deutschland-Stack soll eine gemeinsame, interoperable und europäisch anschlussfähige Grundlage für Bund, Länder und Kommunen schaffen. Als Leitlinien nennt das Ministerium offene Standards, Open-Source-Lösungen, Wiederverwendbarkeit und die Verringerung externer Abhängigkeiten. Zu den ersten Bereichen gehören Identität, Postfach und Interaktion, Datenaustausch, Nachweisabruf sowie Ein- und Auszahlung. [7]
Bund und Länder verständigten sich im IT-Planungsrat im März 2026 auf Eckpunkte für einen gemeinsamen Plattformkern und ein initiales Portfolio. Gleichzeitig beschreibt das Ministerium einen schrittweisen Aufbau bis 2028. Roadmap, Steuerung, Umsetzung und Beschaffung werden weiterentwickelt. [7][8]
Das ist ein politischer Aufbauplan, kein Beleg für eine abgeschlossene bundesweite Migration.
Gemeinsame Komponenten können Doppelarbeit vermeiden. Sie schaffen jedoch neue kritische Abhängigkeiten. Fällt eine zentrale Identitäts- oder Austauschkomponente aus, können viele angebundene Dienste gleichzeitig betroffen sein. Deshalb müssen offene Schnittstellen, alternative Implementierungen, Schlüsselrotation, Fehlerzustände und unabhängige Wiederherstellung zum Plattformkern gehören.
Bewertung: Der Deutschland-Stack sollte nicht nur an Konten oder angeschlossenen Diensten gemessen werden. Entscheidend sind nachgewiesene Interoperabilität, alternative Betreiber und bestandene Ausfall- und Migrationstests.
Die Gegenargumente sind berechtigt – aber kein Freifahrtschein
Open Source ist nicht automatisch sicher. Offener Quellcode garantiert keine Prüfung, kein Update und keine schnelle Reaktion auf Schwachstellen. Dafür braucht es gepflegte Meldewege, bezahlte Wartung, nachvollziehbare Builds und klare Verantwortung.
Open Source ist auch nicht automatisch billiger. Schulung, Integration, Support und Bereitschaft kosten Geld. Ein fairer Vergleich muss jedoch auch Preissteigerungen, Datenrückgewinnung und Anbieterwechsel einbeziehen.
Und nicht jede Kommune muss jeden Dienst selbst hosten. Ein kompetenter externer Betreiber kann sicherer und wirtschaftlicher sein. Entscheidend bleibt, ob der Auftraggeber Daten, Rechte, Wissen und Wechselmöglichkeiten behält.
Eine sofortige ausnahmslose Open-Source-Pflicht könnte bei spezialisierten Fachverfahren zu Verzögerungen führen. Die bessere Regel wäre ein verbindlicher Vorrang mit begründungspflichtigen Ausnahmen. Dabei müsste öffentlich festgehalten werden, welche offene Lösung welche Anforderung nicht erfüllt, welche Lock-in-Kosten die proprietäre Ausnahme erzeugt und wann die Entscheidung erneut geprüft wird.
Bewertung: Die Alternative zu blindem proprietärem Einkauf ist nicht blinder Open-Source-Einkauf. Die Alternative ist überprüfbare Beschaffung mit offenen Rechten, professionellem Betrieb und einem realen Ausstieg.
Fazit: Deutschland hat Werkzeuge, noch keine Wende
Deutschland hat 2026 Fortschritte gemacht. Digitale Souveränität kann ausdrücklich in die Zuschlagsentscheidung einfließen. Die EVB-IT senken Hürden für Open-Source-Verträge. Der Deutschland-Stack stellt offene Standards und gemeinsame Komponenten ins Zentrum.
Aber aus einer Möglichkeit folgt keine Praxis. Aus einem Vertragsmuster folgt kein guter Vertrag. Aus einem öffentlichen Repository folgt kein übergabefähiger Betrieb.
Jetzt braucht es messbare Zahlen: Wie viele Vergaben gewichten digitale Souveränität? Wie oft werden die neuen Open-Source-Klauseln genutzt? Welche Verträge enthalten Exit- und Restore-Tests? Wie häufig übernimmt tatsächlich ein zweiter Betreiber?
Meine abschließende Bewertung: Die Open-Source-Wende beginnt erst, wenn eine öffentliche Stelle Nein sagen, den Anbieter wechseln und weiterarbeiten kann. Souveränität ist kein Etikett. Sie ist die belegbare Verteilung von Rechten, Wissen, Geld und Kontrolle.
Quellen
- Open Source Observatory / Interoperable Europe Portal: Germany 2026 Country Report, 28. Juli 2026: https://interoperable-europe.ec.europa.eu/collection/open-source-observatory-osor/news/germany-2026-country-report
- OSOR: Open Source Software Country Intelligence Report – Germany, 2026: https://interoperable-europe.ec.europa.eu/sites/default/files/inline-files/germany-2026-osor-country-report.pdf
- Bundesgesetzblatt: BGBl. 2026 I Nr. 137 – Gesetz zur Beschleunigung der Vergabe öffentlicher Aufträge, 18. Mai 2026: https://www.recht.bund.de/bgbl/1/2026/137/VO.html
- Gesetze im Internet: § 58 Vergabeverordnung, insbesondere Absatz 2 Nummer 4: https://www.gesetze-im-internet.de/vgv_2016/__58.html
- Bundesministerium für Digitales und Staatsmodernisierung: Open Source rechtssicher beschaffen, 20. März 2026: https://bmds.bund.de/aktuelles/pressemitteilungen/detail/open-source-rechtssicher-beschaffen
- Bundesregierung: Einfachere Verfahren mit dem neuen Vergaberecht, 1. Juli 2026: https://www.bundesregierung.de/breg-de/suche/oeffentliche-vergabe-2376854
- Bundesministerium für Digitales und Staatsmodernisierung: Deutschland-Stack: https://bmds.bund.de/themen/digitaler-staat/deutschland-stack
- Bundesministerium für Digitales und Staatsmodernisierung: Bund und Länder einigen sich auf gemeinsame Umsetzung des Deutschland-Stacks, 19. März 2026: https://bmds.bund.de/aktuelles/aktuelle-meldungen/detail/gemeinsame-umsetzung-des-deutschland-stacks
- Deutscher Bundestag: Stärkung der digitalen Souveränität ist Kernanliegen, zur Antwort der Bundesregierung auf Drucksache 21/1264: https://www.bundestag.de/presse/hib/kurzmeldungen-1106074
CTA
Diskussion: https://treff.darknight-coffee.eu/@carrabelloy
Podcast: https://podcast.darknight-coffee.org/pages/startseite
Blog: https://carrabelloy.darknight-coffee.org/blog/
Wenn dir das Projekt hilft: Spendenlinks sind im Blog.
Freigabe erforderlich: ja
Veröffentlichung erfolgt: nein