Gaia X: Letzte Chance für Europas digitale Souveränität — und wie die Schweiz profitieren könnte, Teil 2

Gaia-X ist eine europäische Initiative zur Förderung der digitalen Souveränität und zur Schaffung von Datenräumen. Ihr Erfolg ist sehr umstritten. Doch in der Schweiz kommt die Initiative gerade zur rechten Zeit. Open Source-Befürworter:innen wittern ihre Chance bei den IT-Beschaffungen rund um die Swiss Government Cloud-Infrastruktur. Teil 2 der Gaia-X-Rechercheserie.

Hinweis: Dies ist der zweite Teil der Gaia-X-Rechercheserie. Für das bessere Verständnis rund um die Kontroverse von Gaia-X, empfiehlt es sich Teil 1 zuerst zu lesen.

Anders als in Deutschland existiert in der Schweiz ein Gesetz, das in gewisser Weise einige der politisch-technischen Prinzipien des Projekts Gaia-X verbindlich machen will: das EMBAG (Bundesgesetz über den Einsatz elektronischer Mittel zur Erfüllung von Behördenaufgaben).

Das Gesetz soll die Verbreitung von Open-Source-Software und Open Government Data fördern, um Transparenz und Effizienz in der Verwaltung zu erhöhen. 

Das EMBAG ist somit fast schon eine revolutionäre Errungenschaft, hat doch die Bundesverwaltung bisher vor allem mit IT-Lieferanten zusammengearbeitet, die jegliche Transparenzforderungen unter dem Deckmantel „Geschäftsgeheimnis“ abwehrten (siehe den Beschaffungsskandal Xplain). Wobei auch beim EMBAG die Open-Source-Pflicht zu relativieren ist: Diese gilt erstens nur für spezifische Werkaufträge, die ein Lieferant allein für den Staat entwickelt. Und die Firmen können auch bei diesen Aufträgen mit Bezug auf das Geschäftsgeheimnis die Offenlegung von Code und technischer Dokumentation verweigern.

Dennoch: Zum ersten Mal in der digitalen Geschichte der Schweiz werden Open Source und Open Government Data by Default aktiv gefordert, was im besten Fall auch zu einer Bevorzugung von entsprechenden Angeboten bei IT-Beschaffungen führen wird. Auch fordert das Gesetz an verschiedenen Stellen Interoperabilität ein. Immerhin können die Kantone dann nicht mehr überall ihr eigenes digitales Süppchen kochen und müssen allgemein verbindliche Standards erfüllen (man erinnere sich an den Wildwuchs der Contact-Tracing-Datenübermittlung aller Kantone vor 4 Jahren).

Und dazu kommt: Soeben hat die Bundeskanzlei auch den Einsatz von Open-Source-Software als Fokusthema ihrer Strategie „Digitale Schweiz“ definiert. 

Das Wichtigste in Kürze: Gaia-X, Europas Projekt zur digitalen Souveränität, könnte für die geplante Swiss Government Cloud eine zentrale Rolle spielen, um Abhängigkeiten zu reduzieren, auch von amerikanischen Hyperscalern. Der Sovereign Cloud Stack (SCS), eine Initiative von Gaia-X, bietet offene Standards, Interoperabilität und auch erste zertifizierte Anbieter an, die es der Schweiz ermöglichen könnten, eine unabhängige Multi-Cloud-Infrastruktur zu entwickeln (und dem Bund damit erlauben würde, anbieterunabhängig zu planen). Während das Schweizer Parlament „Switzerland First“ und Open Source bei der Cloud-Beschaffung fordert, stösst dies intern beim Bundesamt für Informatik und Telekommunikation BIT teilweise auf Widerstand, da einige Vertreter bei der Public-Cloud-Beschaffung nach wie vor lieber mit IT-Konzernen zusammenarbeiten wollen. Die Ausschreibungen und das Beschaffungsverfahren im Frühjahr 2025 wird zeigen, ob die Schweiz auf Standards des Sovereign Cloud Stack setzen wird oder man bei der Public-Cloud-Beschaffung auf die „gewohnte“ Zusammenarbeit mit Amazon & Co setzen möchte.

„Wir sind neidisch auf diese Grundsätze des EMBAG“, sagt die deutsche Chief Operating Officer von Sovereign Cloud Stack, Manuela Urban, gegenüber DNIP.ch. Die Open Source-Plattform ist neben Catena-X (dem Datenraum zur Automobilindustrie, siehe Teil 1) ein weiteres Erfolgsprojekt von Gaia-X, das nun „Produktionsreife“ erlangt hat. In Deutschland war die Förderung von Open-Source-Software im Koalitionsvertrag der gescheiterten Ampel-Koalition verankert, eine verbindliche Forderung hat sich jedoch nicht durchgesetzt.

Der Sovereign Cloud Stack repräsentiert in gewissem Sinne auch genau die Idee einer europäischen Cloud, die die Kritiker von Gaia-X ursprünglich einforderten (siehe Teil 1). Doch statt eines zentralen Players stehen hier viele vernetzte Anbieter zur Verfügung.

Und genau das könnte relevant werden für ein anderes digitalpolitisches Mammut-Projekt der Schweizer Bundesverwaltung: den Bau einer Swiss Government Cloud, also einer Multi-Cloud-Infrastruktur (für die Speicherung und Verarbeitung von Bürger:innen-Daten und Betrieb von Fachanwendungen). Das Bundesparlament hat dem Verpflichtungskredit von über 240 Millionen Franken zugestimmt.

Radikale Offenheit beim Sovereign Cloud Stack

Beim „Sovereign Cloud Stack“ erhält man nicht nur die Anleitung, das Betriebswissen und die Standards, sondern auch schon die Technologie für die eigene Cloud-Infrastruktur: erste zertifizierte Public-Cloud-Unternehmen wie etwa die deutsche Firma Plusserver bieten ihre Dienstleistungen gemäss SCS-Standards an, die volle digitale Souveränität garantieren könnten. 

Unternehmen oder Regierungen können sich hier quasi autonom ihre Cloud-Infrastruktur, bestehend aus standardisierten „Bausteinen“ (wie zum Beispiel eine Kubernetes-Plattform, damit gemeint ist grob vereinfacht eine Open Source-Plattform, mit der Anwendungen verwaltet werden können) zusammenbauen, bewusst steuern und ihre Daten einfach migrieren, wenn alle die gleichen Standards nutzen – die übrigens auch von bestehenden Cloud-Infrastrukturen auf vergleichbarer technologischer Basis (OpenStack, Kubernetes) implementiert werden können.

Das Dilemma mit der Mitwirkung amerikanischer Big-Tech-Konzernen, die man nicht ausschliessen möchte, aber auch nicht dabei haben will, gibt es beim Sovereign Cloud Stack nicht (siehe Teil 1). Sie machen hier schlichtweg nicht mit – und werden das wohl auch in Zukunft nicht tun. Aus einem einfachen Grund wie Manuela Urban augenzwinkernd festhält: Sie nutzen zwar umfangreich Open Source, aber halten nicht so viel von durchgängiger Offenheit und offenen Standards.

Das könnte sich ändern, wenn offene Standards von europäischen Regierungen immer mehr verbindlich gemacht werden. Das Zertifikat „SCS-compatible“, welches Interoperabilität und Wechselfähigkeit garantiert, kann jeder bekommen, der die offenen Standards implementiert. Wer darüber hinaus radikal offen ist, das heisst den kompletten Source Code offenlegt, kann sich auch „SCS-open“ zertifizieren lassen. Damit wäre auch theoretisch die Brücke zum französischen Cloud-Anbieter OVH gebaut, der seinen Source Code zwar nicht vollständig offenlegt, aber durch die Verwendung von offenen Standards durchaus Interoperabilität ermöglicht. Beides Mechanismen, welche die Gefahr von Abhängigkeiten und langfristigen Verträgen verringern, aus denen man nicht mehr herauskommt.

Die Idee für den Sovereign Cloud Stack entstand Ende 2019 und wurde als Projekt der Open Source Business Alliance aufgebaut, gefördert vom Bundesministerium für Wirtschaft und Klimaschutz. Die Förderung von insgesamt 13 Millionen Euro läuft dieses Jahr aus, wie Urban auf Anfrage erläutert.

Der „Sovereign Cloud Stack“ ist somit neben dem grundsätzlichen Datenraum-Ansatz ein weiteres Gaia-X-Projekt, das in der Schweiz gerade zur rechten Zeit kommt. Denn im Frühjahr 2025 steht ein Mammutprojekt beim Bund an: die Ausschreibungen und Beschaffungen rund um die Swiss Government Cloud. 

Und genau hier wird es in den nächsten Wochen zum spannenden Showdown kommen.

Open Source-Turbo will Gaia-X-Standards in die Schweizer Swiss Government Cloud-Ausschreibung einschleusen

Die Spannungen zwischen den Pragmatiker:innen und den Idealist:innen in der EU bei Technologiefragen gibt es auch in der Schweiz: Die einen haben bei den Themen Virtualisierung und Cloud null Berührungsängste mit Hyperscalern. Und die anderen möchten vor allem aus politisch-rechtlichen Gründen auf die heimische Industrie und Open Source-Technologien setzen. Besonders gut erkennbar ist dieser Konflikt entlang des Röstigrabens, also zwischen der Romandie und der Deutschschweiz.

So ist es vor allem die lateinische Schweiz, die lautstark digitale Souveränität verlangt. Die CTOs der welschen Kantone haben schon früh die Beteiligung bei einer Bundescloud, wie sie mit der Swiss Government Cloud von Bundesbern geplant ist, eingefordert. Sie sind vor allem an einer soliden Private Cloud interessiert, bei denen Betrieb, Hard- und Software vom Bundesamt für Informatik und Telekommunikation verantwortet wird. (Die Swiss Government Cloud wird auch den Kantonen zur Verfügung stehen, unklar ist noch zu welchem „Preis“).

Doch auch innerhalb des Bundesamts für Informatik und Telekommunikation BIT existieren zwei Fraktionen, wie DNIP.ch aus mehreren Gesprächen mit Insidern erfahren hat: Auf der einen Seite diejenigen, die gemäss den Forderungen des Bundesparlaments „Switzerland First“ und „Open Source“ verlangen bei der Beschaffung der Swiss Government Cloud-Infrastruktur. Und diejenigen, die sich gar nicht gerne hineinreden lassen und lieber mit den IT-Grosskonzernen verhandeln. Besonders die zweite Gruppe ist laut Insidern „nicht amused“ darüber, dass die Stände- und Nationalrät:innen den Verpflichtungskredit an einen Zweckartikel knüpften mit der Forderung: Open Source, offene Standards und „Switzerland first“. Und das für die IT-Beschaffungen für die Private und für die Public Cloud.

Der politische Wille des Parlaments für die Nutzung der Standards von SCS und damit auch Gaia-X ist zweifelsohne da. Die Gruppe Parldigi — eine parlamentarische Gruppe der Bundesversammlung, die als informelles Gremium fungiert —  schickte bereits Ende August 2024 einen Brief an die Mitglieder der Finanzkommission des Nationalrats. Das Schreiben, das DNIP.ch vorliegt, fordert unter anderem: „Auf den Stufen 1 und 2 [Public Cloud und Public Cloud On-premise] sollen alle technischen Möglichkeiten genutzt werden, um Herstellerabhängigkeiten zu minimieren.“ Gemeint ist: Die Parlamentarierinnen sollen auch auf Stufe Public Cloud eine bestimmte technische Infrastruktur vorschreiben, die es ermöglicht, später problemlos zu einem anderen Unternehmen zu wechseln. Dies wäre mit den Standards der Sovereign Cloud Stack ohne Weiteres möglich, denn genau diese „Wechselfähigkeit“ ist für deren Macher zentral. Sowohl National- als auch Ständerat habe diese technischen Bestimmungen nun bei der Verhandlung des Zweckartikels abgesegnet.

Der bekannte Open Source-Berater und Geschäftsführer von Parldigi, Matthias Stürmer, nutzte die Gunst der Stunde und versucht die Standards des SCS auch Bundesbern schmackhaft zu machen. So organisierte die Parldigi-Gruppe vor der Abstimmung zum Verpflichtungskredit beim Ständerat am 12. Dezember ein virtuelles Meeting mit den Sovereign Cloud Stack-Machern Kurt Garloff und Felix Kronlage-Dammers. Das Interesse an der Initiative SCS und auch zur Swiss Government Cloud war gross: Die beiden Deutschen stellten Sovereign Cloud Stack vor rund 100 Zuschauer:innen vor. Im Publikum befanden sich vor allem viele IT-Unternehmen, aber kaum Politiker:innen.

BIT will sich nicht in die Karten blicken lassen

Für den ebenfalls eingeladenen grünen Digitalpolitiker Gerhard Andrey ist der Fall klar: Der „Sovereign Cloud Stack“ passe wie die Faust aufs Auge im Fall der bevorstehenden Swiss Government Cloud-Ausschreibungen. Er werde dafür kämpfen, dass die Ausschreibungskriterien so viel „Openness“ wie möglich beinhalten würden und hofft auf den Support der Fach-Community.

Einer renommierten Schweizer Firma wie exoscale — deren Vertreter ebenfalls beim virtuellen Meeting teilgenommen haben — würden offene Standards in der Ausschreibung sicherlich zugutekommen. „Basierend auf den heute verfügbaren Informationen über das Vorhaben SGC können wir sagen, dass wir als Schweizer Firma mit Sitz in Lausanne ziemlich genau die Cloudlösung anbieten können, die sich der Bund vorstellt“, sagt Oliver Fuchs von exoscale.

Unklar ist zurzeit, ob die zuständigen IT-Beschaffer beim Bund dies auch so sehen. 

Eigentlich hatte Parldigi-Geschäftsführer Matthias Stürmer auch das BIT eingeladen zum virtuellen Hearing. Doch die BIT-Direktoren Philipp Voirol und Dirk Lindemann schlugen diese Einladung aus, sie wollen sich nicht beeinflussen lassen und unabhängig bleiben. Die BIT-Vertreter möchten keine Veranstaltungen besuchen, die Technologien bewerben, die im Rahmen der Swiss Government Cloud liegen – unabhängig davon, ob es sich um kommerzielle Modelle oder Open Source handle, zitierte Matthias Stürmer die beiden BIT-Direktoren. (Open Source und kommerzielle Modelle sind im Übrigen keine Gegenspieler, aber dies nur am Rande.)

Allgemein will sich das BIT nicht in die Karten blicken lassen. 

Auf Anfrage von DNIP.ch sagte eine BIT-Sprecherin:

„Im Rahmen der Konzeption der SGC hat das BIT eine Marktanalyse durchgeführt; auch zum Sovereign Cloud Stack haben in diesem Zusammenhang Austausche stattgefunden. Aufgrund der laufenden Vorbereitungen des Ausschreibungsverfahrens können wir Ihnen jedoch keine Angaben dazu machen, ob Standards, Zertifizierungen und Labels des Sovereign Cloud Stack in die Ausschreibung für die SGC einfliessen werden oder nicht.“

Das BIT habe laut Gerhard Andrey immerhin durchblicken lassen, dass die amerikanischen und chinesischen Hyperscaler für die kommende Public-Cloud-Ausschreibung nicht gesetzt seien und man auch für Schweizer Anbieter in dem Bereich offen sei. Ganz anders im Jahr 2021, als die Ausschreibung bewusst nur auf Big-Tech-Konzerne der USA und China zugeschnitten war und bei welcher der Zuschlag an Oracle, IBM, Microsoft, Amazon und Alibaba einen riesigen Aufschrei in Politik und Medien auslöste. Die Rahmenverträge mit den Big 5 habe ich trotz Öffentlichkeitsgesetz-Gesuch bis heute von der Bundeskanzlei nicht erhalten (sie laufen 2026 aus). Die Big-Tech-Konzerne sperren sich gegen jegliche Art von Transparenz.

Die Bundesparlamentarier goutieren derartiges Verhalten nicht mehr, wie die parlamentarische Debatte im Nationalrat zeigte. Und die jeweiligen Kommissionen der Räte werden die Beschaffungen rund um die „Swiss Government Cloud“ kritischer begleiten als noch vor vier Jahren, wie DNIP.ch von verschiedenen Seiten erfahren hat.

Inwiefern nun Prinzipien oder Standards — die angelehnt sind an Gaia-X —  in die Ausschreibung einfliessen werden und welche Fraktion („Open Source“ und Offene Standards versus „Closed Source“) den Machtkampf gewinnen wird, wird sich im Frühjahr 2025 zeigen.

Bilanz zu Gaia-X: durchzogen

Zoomen wir nochmals heraus zu Europa und ziehen ein vorläufiges Fazit zu Gaia-X: Konkrete Projekte wie der „Sovereign Cloud Stack“ oder „Catena-X“ stehen für einen radikalen Paradigmenwechsel in der Digitalisierung: die Datensilos sollen aufgebrochen und dezentrale Infrastrukturen geschaffen werden.

Dieser Paradigmenwechsel ist nötiger denn je, denn: die „Lock-in“-Effekte und die Black-Box-Maschinerie, mit der amerikanische Big-Tech-Konzerne reich geworden sind und die auch zur Entmündigung des digitalen Europa führten, sollen endlich Geschichte werden.

Gaia-X hat auch weitere europäische Initiativen inspiriert: So läuft derzeit eine weitere millionenschwere EU-Initiative mit dem komplizierten Namen IPCEI-CIS, in der Grosskonzerne wie die deutsche Telekom Cloud-Projekte nach ähnlichem Konzept wie Sovereign Cloud Stack verfolgen und diese Prinzipien von Gaia-X teilweise in physische Infrastruktur umsetzen. Und namhafte Digitalvordenkerinnen wie die ehemalige CTO von Barcelona Francesca Bria möchten einen „EuroStack“ etablieren, eine europaweite öffentliche digitalen Infrastruktur für Cloud, KI und Chips.

Doch: Gaia-X hat trotz der bestechenden konzeptionellen Vorteile in den letzten Jahren vor allem ein Vermarktungsproblem. Die Gaia-X-Promotoren versäumten es, den konkreten Mehrwert von Datenräumen nach aussen adäquat zu kommunizieren, wie etwa neue medizinische Ansätze als Folge des Datenaustauschs. Auch vermochten sie bei vielen Kritiker:innen Fragen zur Machbarkeit und auch Bedenken zur Privatsphäre noch nicht genügend zu entkräften. Stattdessen redet der Verein Gaia X in der Aussendarstellung des Projekts stets von technischen Spezifikationen, die Laien kaum verstehen. Und auch die interne Zerstrittenheit unter den Mitgliedern des Vereins trug nicht zur Bekanntheit des Projekts bei.

Die aktuelle Debatte über den europäischen Weg zum Thema Cloud kommt für viele Unternehmen und Verwaltungen auch zu spät. Die ehemaligen Wirtschaftsminister Frankreichs und Deutschland wollten 2019 vor allem eine wirtschaftliche Antwort lancieren auf die Übermacht der USA. Mit der Cloudifizierung der Big-Tech-Konzerne (wie etwa durch den Konzern Microsoft, der seine Software immer mehr nur noch cloudbasiert anbietet) erhielt das Thema in den letzten Jahren eine hohe politische Dringlichkeit. 

EU-Kommissionspräsidentin Ursula von der Leyen scheint endlich die hohe Relevanz erkannt zu haben und schuf in ihrer Kommission einen neuen Präsidentenposten für „Tech-Souveränität, Demokratie und Sicherheit“. In ihrem „Mission Letter“ (eine Art Pflichtenheft für die Legislatur) an die neue Amtsträgerin Henna Virkunnen verlangt von der Leyen nach einer europaweiten Policy für öffentliche Regierungen und will der Cloud-Frage hohe Priorität einräumen.

Hätten europäische Politiker:innen und Unternehmen schon vor fünf Jahren einen gemeinsamen Konsens über eine Cloud-Policy gehabt, würden die Regierungen und Verwaltungen bei ihren Risikoeinschätzungen bei den Beschaffungen von Office-Lösungen amerikanischer Big-Tech-Konzerne nicht alleine gelassen werden. Denn heute verhandelt jede europäische Exekutive (darunter auch die Schweizer Bundeskanzlei 2021) allein mit Microsoft, Google oder Amazon. Zum Vorteil der Hyperscaler. Und: Wenn Europa schon früher Einigkeit gezeigt hätte, hätten die meisten EU-Staaten mit Leichtigkeit auch eine gemeinsame Standard-Infrastruktur auf Open-Source-Basis für die Speicherung und Verarbeitung von Bürger:innen-Daten aufstellen können.

Damit die Prinzipien von Gaia-X sich durchsetzen, braucht es Mut

Die Erwartungen von zahlreichen IT-Expert:innen 2019, dass mit Gaia-X nun ein staatlich geförderter europäischer Hyperscaler gebaut werde, sind klar nicht erfüllt worden. Auch der Schweizer Bundesrat hat übrigens mit einer solchen Alternative für die Schweizer Privatwirtschaft gerechnet, wie er in einer parlamentarischen Fragestunde zur Absage an die „Swiss Cloud“ erörtert hat.

Der Erfolg von Gaia-X steht und fällt mit der Nachfrage von Kunden im privaten und öffentlichen Sektor Europas. Entscheiden sich europäische Regierungen bewusst für eine Cloud-Infrastruktur mit offenen Standards, die europäischen Werten entspricht und finanzieren das ambitionierte Projekt weiter und öffnen die europäischen Unternehmen ihre Datensilos für die verschiedenen Datenräume, so könnten all die verschiedenen Initiativen eines Tages vielleicht zum Fliegen kommen. Der EU Data Act fordert jedenfalls teilweise die Schaffung eines Daten-Ökosystems.

Die Vision einer dezentralen Cloud-Architektur und auch der Ansatz von Datenräumen kommen immerhin auch ausserhalb von Europa gut an. 

Sowohl Korea als auch Japan interessieren sich für das Konzept, erste Kollaborationen sind bereits am Laufen. Gaia-X und die International Data Spaces Association (IDSA) arbeiten ebenfalls eng zusammen. 

Und Govstack — eine Initiative der Internationalen Fernmeldeunion ITU sowie weiterer Länder wie Deutschland und Estland zur Förderung eines Werkzeugkastens von digitalen Verwaltungsdienstleistungen — hat die Infrastruktur von „Sovereign Cloud Stack“ bereits in ihr Portfolio integriert. Interoperabilität, Datenschutz, Dezentralität, Föderation, Offenheit und Transparenz sind demnach wie die Europäische Datenschutzgrundverordnung politisch-technische Werte mit Exportschlagerpotenzial. 

Viele europäische Administrationen (wie etwa deutsche Bundesländer) sind zurzeit jedoch angesichts des aktuellen Spardrucks geneigt, bei digitalen zivilgesellschaftlichen Projekten und Open Source-Fördertöpfen einzusparen (die Schweizer Bundesverwaltung hat sich für ihre Office-Lösung auch für den omnipräsenten Big-Tech-Konzern aus Redmond entschieden). Und weiterhin den „bequemen, sicheren“ Weg zu gehen. Das bedeutet: Mit den amerikanischen Hyperscalern eine jahrelange Partnerschaft einzugehen, aus der man kaum mehr herauskommt und bei der man unter dem Strich mehr Euro ausgibt als für den eigenen Betrieb von Open Source-Alternativen.  

Nicht umsonst hält sich ja auch ein hartnäckiges Bonmot in der Verwaltungs-IT: „Nobody has ever been fired for buying IBM/Microsoft.“

Damit die europäische digitale Souveränität endlich erfüllt wird, braucht es daher vor allem zwei Dinge: Mut und ein langfristiges Commitment.

Mitarbeit: Marcel Waldvogel

Die Gaia-X-Rechercheserie wurde ermöglicht durch die finanzielle Unterstützung des Journafonds.