Digitale Souveränität für Gemeinden mit 2000 Einwohnern
Was es konkret heisst, Infrastruktur selbst zu kontrollieren, wenn man keine IT-Abteilung hat und das Budget für das nächste Jahr schon verplant ist
Digitale Souveränität ist ein Wort, das in Strategiepapieren vorkommt und in Gemeinderatssitzungen nicht. Das ist kein Zufall. Das Wort klingt nach grosser Politik, nach Nationalstaaten und Datenschutzbehörden. Es klingt nicht nach dem Gemeindeschreiber in Andeer, der jeden Morgen in ein System einloggt, das irgendwo in einer US-amerikanischen Cloud liegt, dessen AGB er nicht gelesen hat und dessen Betreiber jederzeit entscheiden kann, die Preise zu verdoppeln oder das Produkt einzustellen.
Und doch ist das genau der Ort, wo digitale Souveränität zählt. Nicht in der Bundesverwaltung — da gibt es Fachleute. In der Gemeinde mit 2000 Einwohnern, die keine IT-Abteilung hat, deren Gemeinderat ehrenamtlich arbeitet und deren Jahresbudget für Software sich im mittleren vierstelligen Bereich bewegt.
Das Problem ist nicht Technologie. Das Problem ist Sichtbarkeit. Die meisten kleinen Gemeinden wissen nicht, was sie nicht wissen. Sie haben Software eingekauft, weil jemand sie empfohlen hat oder weil die Kantonsverwaltung sie verwendet. Sie zahlen Abonnements, die sich automatisch verlängern. Sie haben Daten in Systemen, auf die sie im Prinzip zugreifen können — aber nur so lange, wie sie das Abonnement bezahlen, und nur in den Formaten, die der Anbieter vorgibt.
„Wer seine Daten nicht exportieren kann, hat keine Daten. Er hat eine Abhängigkeit.”
Das ist keine Panikmache. Das ist Rechenmathematik. Wenn eine Gemeinde ihre Einwohnerdaten in einem SaaS-System hat und der Anbieter den Dienst einstellt, gibt es drei Szenarien: Der Anbieter bietet einen Datenexport an. Der Anbieter bietet keinen Export an. Der Anbieter ist insolvent und es gibt niemanden mehr, den man fragen kann. Szenario eins ist der Normalfall. Szenario zwei und drei kommen vor. Wer nicht weiss, in welchem Szenario er sich befindet, hat das Problem schon.
Was konkret zu tun ist
Ich arbeite mit Gemeinden und NGOs an drei Fragen:
Erstens: Was haben wir? Eine vollständige Übersicht aller eingesetzten Systeme, aller laufenden Abonnements, aller Stellen, an denen Daten entstehen oder gespeichert werden. Das klingt trivial. In der Praxis dauert es meistens einen halben Tag und führt regelmässig zu Überraschungen. Software, die «eigentlich niemand mehr benutzt» aber noch läuft. Zugänge, die niemand mehr kennt. Systeme, die automatisch verlängert werden, seit drei Jahren.
Zweitens: Was davon ist kritisch? Nicht alles ist gleich wichtig. Einwohnerdaten, Buchhaltung, Korrespondenz — das sind die Systeme, bei denen ein Ausfall oder ein Datenverlust echte Konsequenzen hat. Diese Systeme brauchen eine andere Behandlung als das Tool, das jemand mal für ein Projekt ausprobiert hat und das jetzt vergessen in einem Browser-Tab schlummert.
Drittens: Wie kommen wir raus, wenn wir müssen? Für jedes kritische System: Wo sind die Daten? In welchem Format? Wie exportiert man sie? Gibt es eine lokale Kopie? Wer hat den Zugang? Diese Fragen stellt man am besten, wenn noch kein Notfall besteht.
Das Ergebnis ist kein grosses Migrationsprojekt. Das Ergebnis ist meistens ein Dokument, das zwei Seiten lang ist, und ein paar Massnahmen, die sich über ein Jahr verteilen lassen. Ein Backup-Prozess, der wirklich automatisiert und wirklich getestet wird. Ein Export-Format für die kritischsten Daten, der einmal im Quartal geprüft wird. Vielleicht der Wechsel von einem SaaS-Tool zu einer selbst gehosteten Alternative — aber nur dort, wo der Aufwand vertretbar ist.
Kleine Gemeinden haben kein unbeschränktes Budget und keine Vollzeit-IT. Das heisst nicht, dass sie schutzlos sein müssen. Es heisst, dass die Massnahmen zur Grösse passen müssen.
— KM, Chur