Forderung nach Sanktionen für Souveränitätswashing
Wehnes fordert zudem wirksame Sanktionen: "Anbieter, die fälschlich digitale Souveränität behaupten, müssen mit Konsequenzen rechnen. Wir brauchen Vertragsstrafen und bei wiederholten Verstößen den Ausschluss von öffentlichen Ausschreibungen. Ohne Sanktionen bleibt Souveränitätswashing ein lukratives Geschäftsmodell."
Ein Kontrollverlust, den Open Source allein nicht auffangen kann
Das hat auch die Industrie vermutlich schon erkannt, doch fürchtet sie offenbar um ihre Pfründe. Zwar ist eine der Regeln des Kapitalismus auch für deutsche und europäische Firmen (ob nun Open Source oder nicht), Kunden dauerhaft zu binden. Doch perfektioniert haben das stets amerikanische Firmen. Die Verträge von Red Hat etwa stehen auch heute noch für viele als Vorbild für Kundenbindung.
Es ist verständlich, dass die Verlustangst groß ist. Fast 30 Jahre lang hat sich kaum jemand beschwert, dass geltendes Recht nicht umgesetzt wurde.
Nicht mehr illegal, weil Prüfsiegel vom BSI?
Mit dem C3A-Katalog erhalten aber nun beispielsweise Finanzdienste eine abgestufte Beurteilung für Clouddienste, als "Chance für die Finanzindustrie, einen standardisierten Blick auf ihr Bemühen um digitale Souveränität(öffnet im neuen Fenster) zu werfen – und damit den eigenen Stand und Fortschritt einzuschätzen".
Kritiker sagen, dass hier etwas, das eigentlich als nicht compliant mit europäischem Recht angesehen werden müsse, jetzt vom BSI ein Prüfsiegel erhalte, das nach "Naja, nicht ganz gesetzeskonform, aber besser als nix" klingt. Also nach Souveränitätswashing par excellence.
Über die merkwürdigen Ratschläge und Klassifizierungen des BSI wundern sich auch Politiker. In einer schriftlichen Anfrage der Linken im Bundestag fragte Donata Vogtschmidt, Sprecherin für Digitalpolitik und Cybersecurity der Linksfraktion und Obfrau im Digitalausschuss:
"Welche Vertreterinnen und Vertreter aus Wissenschaft, Wirtschaft und Zivilgesellschaft waren nach Kenntnis der Bundesregierung bei der Entwicklung des BSI-Kriterienkatalogs C3A einbezogen beziehungsweise lieferten inhaltliche Eingaben mündlicher oder schriftlicher Art?"
Am 11. Mai kam die überraschende Antwort des Innenministeriums:
"Bei der Entwicklung der C3A wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) Feedback von den BSI-Kooperationspartnern StackIT, SAP, Ionos, AWS, Oracle und Google eingeholt und nach dem Ermessen des BSI eingearbeitet."
Die Antwort überraschte Insider nur bedingt. Schon als Reaktion auf die Berichterstattung zur Hannover Messe im April gab es verärgerte Kommentare dazu, dass ein Konzern wie die Schwarz-Gruppe (StackIT) jetzt auch Standards definieren dürfe. Die C3A-Systematik sei nicht im luftleeren Raum entstanden, sondern auch mit Anbietern abgesprochen(öffnet im neuen Fenster), hieß es damals. Doch neben StackIT (Schwarz) sind ja auch Ionos, SAP, Amazon (AWS), Google und Oracle beteiligt.