Mögliche Risiken für die digitale Souveränität, IT-Sicherheit und Grundversorgung durch die Übernahme von VMware durch Broadcom

Deutscher Bundestag Drucksache 20/11763 20. Wahlperiode 10.06.2024 Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Anke Domscheit-Berg, Dr. André Hahn, Gökay Akbulut, weiterer Abgeordneter und der Gruppe Die Linke – Drucksache 20/11457 – Mögliche Risiken für die digitale Souveränität, IT-Sicherheit und Grundversorgung durch die Übernahme von VMware durch Broadcom V o r b e m e r k u n g d e r F r a g e s t e l l e r Virtualisierung ist ein übliches Verfahren zur Emulation von IT-Ressourcen, die dadurch flexibler genutzt und aufgeteilt werden können. Produkte des US- Unternehmens VMware dominieren den Markt für die Virtualisierung von Servern und Rechenzentren. Bei Cloud-Virtualisierung lag der Marktanteil 2023 bei mindestens 45 Prozent (cispe.cloud/broadcoms-brutal-contract-termi nation-and-imposition-of-prohibitive-new-licensing-terms-will-decimate-euro pes-cloud-infrastructure/). Die Abhängigkeit von VMware-Produkten für IT- Dienste bei Unternehmen, der öffentlichen Hand, einschließlich Krankenhäusern und anderen Einrichtungen der Daseinsvorsorge, ist sehr hoch. Im Zeitraum von Mai 2022 bis Dezember 2023 wurde VMware durch den US-Konzern Broadcom für 61 Mrd. US-Dollar vollständig übernommen (www.heise.de/news/Broadcom-uebernimmt-VMware-fuer-rund-61-Millarde n-US-Dollar-7123532.html). Broadcom ist vor allem ein Chiphersteller, der jedoch auch durch Übernahmen großer IT-Unternehmen bekannt wurde. Die enormen Kosten für die Übernahmen sollten dabei durch eine gezielte Ausnutzung der Kundenbindung (Lock-in-Effekt) überkompensiert werden, indem den Kunden hohe Preise aufgezwungen wurden, ehe sie auf Alternativen umsteigen konnten. Der „Behördenspiegel“ beschreibt die Strategie von Broadcom exemplarisch an der Übernahme von CA Technologies im Jahr 2018 und Symantec im Jahr 2019 als Beispiele dafür, „wie man mit einer nicht an Technologie orientierten Strategie Gewinn maximiert“ (Behördenspiegel, Printausgabe vom Februar 2024, S. 20). Dabei kam es zu umfangreichem Personalabbau, Innovationsrückgang, vernachlässigtem Support und Preiserhöhungen für die stark zurückgehende Anzahl der Kunden (www.computerwoche.de/a/ wirdbroadcom-die-vmware-kunden-melken,3553471). Daraus ergibt sich nach Ansicht der Fragestellerinnen und Fragesteller, dass Produkte der von Broadcom gekauften IT-Unternehmen einem besonderen Risiko für die Verfügbarkeit und Zuverlässigkeit sowie besonderen Risiken für die digitale Souveränität des Kunden unterliegen. Dennoch schrieb das Beschaffungsamt des Bundesministeriums des Innern und für Heimat noch im August 2023 zwei Rahmenverträge „VMWare für Bundesbehörden“ über 300 Mio. Euro mit einer Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums des Innern und für Heimat vom 7. Juni 2024 übermittelt. Die Drucksache enthält zusätzlich – in kleinerer Schrifttype – den Fragetext. Laufzeit von zwei Jahren aus (www.evergabe-online.de/tenderdetails.html?2& id=533958; www.evergabe-online.de/tenderdetails.html?1&id=533966). Ab Januar 2024 wurde den Kunden von VMware vonseiten des Unternehmens mitgeteilt, dass sämtliche bestehenden Lizenzverträge kurzfristig (einseitig) gekündigt werden. Das breite Portfolio wurde im Wesentlichen auf zwei Pakete eingedampft, die nur noch zur Miete (also nicht „on-premise“) bezogen werden können. Noch am 12. März 2024 antwortete die Bundesregierung auf die Schriftliche Frage 39 der Abgeordneten Anke Domscheit-Berg auf Bundestagsdrucksache 20/10665, zur Kündigung bestehender Lizenzverträge zu VMware lägen ihr keine Informationen vor (mdb.anke.domscheit-berg.de/202 4/03/meine-schriftliche-frage-zu-lizenzvertraegen-des-bundes-mit-vmware/). Die Vereinigung von Cloud-Serviceprovidern CISPE gab in einer Pressemitteilung vom 19. März 2024 an, dass die Vertragskündigungen mit einer Frist von nur wenigen Wochen mitgeteilt wurden, und dass durch die neuen Verträge bei den Kunden mit einer Steigerung der Lizenzkosten um das bis zu Zwölffache gerechnet werden muss und für den privaten und öffentlichen Sektor einschließlich Krankenhäusern essenzielle Cloud-Services offline gehen könnten (cispe.cloud/broadcoms-brutal-contract-termination-and-imposition-o f-prohibitive-new-licensing-terms-will-decimate-europes-cloud-infrastruct ure/). In diesem Kontext folgte ein Brief von IT-Anwendervereinigungen mehrerer Mitgliedstaaten an Margrethe Vestager, Thierry Breton und Ursula von der Leyen. Am 15. April 2024 wurde bekannt, dass die Wettbewerbsaufsicht der Europäischen Union (EU) Kontakt mit Broadcom bezüglich der umgestellten Geschäftspraxis von VMware aufgenommen habe (www.reuters.com/t echnology/broadcom-questioned-by-eu-over-vmware-licensing-changes-2024- 04-15/). Es besteht nach Ansicht der Fragestellerinnen und Fragesteller eine große Wahrscheinlichkeit für erhebliche finanzielle Risiken für den Bund durch diese Unternehmensübernahme und damit verbundene geänderte Lizenzbedingungen sowie außerdem weitere Risiken für die Sicherstellung des IT- Betriebes, die digitale Souveränität und die IT-Sicherheit. Vor diesem Hintergrund stellen sich Fragen dazu, wie die Bundesregierung diese Risiken selbst bewertet und welche Maßnahmen sie vorsieht, um ihnen zu begegnen und künftige vergleichbare Risiken zu verringern.  1. Wie bewertet die Bundesregierung die Zusatzbelastungen deutscher Unternehmen und der öffentlichen Hand durch die im Zusammenhang mit der Übernahme von VMware steigenden Lizenzkosten sowie durch höhere Risiken für die Zuverlässigkeit und Sicherheit VMware-abhängiger Anwendungen und Infrastrukturen, insbesondere für Bedarfe der Daseinsvorsorge? Die Zusatzbelastungen deutscher Unternehmen und der öffentlichen Hand durch die im Zusammenhang mit der Übernahme von VMware steigenden Lizenzkosten sind aktuell unklar. Auf Grundlage der vorhandenen Informationen geht die Bundesregierung jedoch von einer Steigerung der Lizenzkosten aus. Mit Blick auf die Zuverlässigkeit und die Sicherheit der VMware-Produkte erwartet die Bundesregierung jedoch auch nach der Übernahme durch die Firma Broadcom einen transparenten und vertrauensfördernden Umgang mit Risiken.  2. Hat die Bundesregierung wettbewerbsrechtliche Untersuchungen oder andere Untersuchungen auf mögliche Rechtsverstöße im Zusammenhang mit der Übernahme von VMware durch Broadcom angestoßen, und welche, gegebenenfalls auch vorläufige Einschätzung zu möglichen Rechtsverstößen hat dazu das Bundeskartellamt oder haben andere Einrichtungen des Bundes (bitte auch bei noch laufenden Untersuchungen die untersuchten möglichen Rechtsverstöße benennen sowie die einseitige Veränderung von Kündigungsfristen, verfallende Gutscheine („PSO- Credits“), gestoppte Wartungsverträge ohne Entschädigungsleistung und Zwang zum Umstieg von on-premise auf Cloud-Lösung sowie von Einzel-Lizenz zu Bündel-Lizenz berücksichtigen, und ob Broadcom die marktdominierende Stellung von VMware in bestimmten Bereichen des Virtualisierungsmarktes unzulässig ausgenutzt hat, zum Nachteil der Kunden)? Das Bundeskartellamt sowie die Europäische Kommission sind als Kartellbehörden unabhängig. Die Bundesregierung ist gegenüber diesen Behörden nicht weisungsbefugt und hat daher keinen Einfluss auf das Aufgreifermessen oder die konkreten Entscheidungen der Kartellbehörden, welche allein auf Grundlage des Wettbewerbsrechts getroffen werden. Die Übernahme von VMware durch Broadcom wurde von der zuständigen Europäischen Kommission (EU-Kommission) auf Grundlage der Fusionskontrollvorschriften geprüft und unter Auflagen genehmigt. Die Untersuchung der Kommission ergab, dass die ursprünglich angemeldete Fusion den Wettbewerb auf dem weltweiten Markt für Fibre Channel Host-Bus Adapter (FC-HBA) beeinträchtigen würde. Diese Bedenken wurden durch Verpflichtungen seitens Broadcom bzgl. Zugang für Wettbewerber und Interoperabilität bei FC-HBA ausgeräumt. Die Kommission hatte explizit keine wettbewerbsrechtlichen Bedenken in Bezug auf die Bündelung der Virtualisierungssoftware von Broadcom und VMware gesehen. Die Bundesregierung würde darüberhinausgehende Untersuchungen auf mögliche Rechtsverstöße auch auf EU-Ebene unterstützen. Die bestehenden Rahmen- und Wartungsverträge sind nicht direkt mit VMware, sondern mit einem Vertriebspartner geschlossen worden. Rechtsverstöße wurden vereinzelt geprüft, allerdings liegt die Verantwortlichkeit grundsätzlich bei der zentralen Beschaffungsstelle des Bundes. Es ist von Auswirkungen auf den bestehenden BMI Rahmenvertrag in Bezug auf Produkt, Konditionen und Preise auszugehen. Ein Zwang zum Umstieg von On-premise auf Cloud-Lösungen, von Einzel- auf Bündellizenzen, negative Auswirkungen aufgrund einer Umstellung auf Abo-Modelle sowie gestoppte Wartungsverträge sind seitens der Bundesregierung nicht bekannt. Wartungsverträge sollen laut Information des Rahmenvertragspartners des Bundes bis zum Vertragsende erhalten bleiben, da es aktuell keine Kündigung der Wartung bei der Servervirtualisierung für Rahmenvertragspartner gibt. Für die Wirtschaft ist dies allerdings anders geregelt, da hier auch Original- Ausrüstungs-Hersteller (OEM) Partner betroffen sind. Sicherheitstechnisch problematisch sind die „alten“ unter Wartung stehenden Produkte allemal, da sie mit Ablauf der Verträge End-of-Life sind und ab dann nicht mehr mit Sicherheitsupdates versorgt werden. Am Ende bleibt dann nur, alle Instanzen mit hohem Ressourcenaufwand zu migrieren.  3. In welchem Volumen hat die Bundesregierung Produkte von VMware eingekauft, und in welchem Volumen kaufte sie Produktalternativen zu VMware-Produkten, insbesondere Open Source Software ein (bitte sowohl laufende Rahmenverträge als auch alle seit Januar 2020 abgeschlossenen Einzelverträge je Ressort und nachgeordneten Behörden auflisten und explizit eine Gesamtsumme je Ressort und nachgeordnete Behörde angeben, dabei nach VMware und Alternativen unterscheiden, Letztere auch noch einmal nach Closed Source und Open Source unterscheiden, auch bei den Gesamtsummen, in maschinenlesbarer Form bereitstellen)? Die Zentralstelle IT-Beschaffung (ZIB) im Beschaffungsamt des Bundesministeriums des Innern und für Heimat (BMI) hält als eine der Beschaffungsstellen der Bundesregierung die nachfolgenden Rahmenverträge zu VMware Produkten: 20913 Virtualisierungslösungen des Herstellers VMware – Software und produktnahe Dienstleistungen Vertragslaufzeit: Beginn: 1. November 2019 Ende: 31. Oktober 2023 Abrufvolumen: 234 947 903 Euro 21638 Virtualisierungsprodukte des Herstellers VMWare für BWI Vertragslaufzeit: Beginn: 1. Dezember 2022 Ende: 30. November 2024 Abrufvolumen zum 31. März 2024: 222 130 952,51 Euro 21828 VMWare für Bundesbehörden Los 2 Vertragslaufzeit: Beginn: 17. November 2023 Ende: 16. November 2025 Abrufvolumen zum 31. März 2024: 1 484 141,45 Euro 21829 VMWare für Bundesbehörden Los 3 Vertragslaufzeit: Beginn: 17. November 2023 Ende: 16. November 2025 Abrufvolumen liegt noch nicht vor Direkte Vergleiche mit Produktalternativen zu VMware-Produkten sind nicht möglich, da von Seiten der Firma VMware bzw. nun Teil der Broadcom Inc. eine Vielzahl an unterschiedlichen Produkten angeboten wird, welche nicht pauschal mit den Produktpaletten von anderen Herstellern verglichen werden können. Ein Vergleich der Beschaffung von VMware-Produkten mit der Beschaffung von Open Source Alternativen ist nicht möglich, da als „open source“ qualifizierte Software, aufgrund ihrer Eigenschaft als frei verfügbare Software, zumeist nicht im klassischen Sinne beschafft wird. Diese ist daher nicht mit der Beschaffung von klassischer Software, etwa in Form von Rahmenverträgen, vergleichbar. Beschaffungen der Zentralstelle IT-Beschaffung im Kontext von „open source“ Software umfassen stattdessen zumeist Entwicklungs- und Beratungsleistungen.  4. Sind weitere Vertragsabschlüsse zur Nutzung von VMware-Produkten für 2024 oder 2025 geplant oder sind derartige Ausschreibungen oder Vergaben aktuell „auf Eis gelegt“? Aktuell liegen der Bundesregierung keine Informationen zu weiteren Vertragsabschlüssen zur Nutzung von VMware-Produkten für 2024 oder 2025 vor.  5. In welchen der laut der Antwort auf die Kleine Anfrage auf Bundestagsdrucksache 20/3619 genannten 184 Rechenzentren (RZ) des Bundes und seitdem hinzugekommenen RZ des Bundes sind Produkte von VMware eingesetzt? Die Bundesregierung ist nach sorgfältiger Abwägung zu der Auffassung gelangt, dass die Beantwortung der Fragen 5a bis 5c aus Gründen des Staatswohls nicht offen erfolgen kann. Zu Einzelheiten des Betriebs informationstechnischer Anlagen und konkret eingesetzter Produkte können wir aus Sicherheitserwägungen keinen Antwortbeitrag liefern. Eine Offenlegung der angefragten Informationen birgt die Gefahr, dass Einzelheiten zur konkreten Methodik und zu in hohem Maße schutzwürdigen spezifischen Fähigkeiten sowie zur IT-Infrastruktur bekannt würden. Infolgedessen könnten sowohl staatliche als auch nichtstaatliche Akteure Rückschlüsse auf spezifische Fähigkeiten sowie auf IT-Sicherheitsvorkehrungen ziehen. Dies könnte unter anderem für Angriffe auf die IT-Infrastruktur ausgenutzt werden und folgenschwere Einschränkungen des IT-Betriebs zur Folge haben. Diese Informationen werden daher als „VS – Nur für den Dienstgebrauch“ eingestuft und dem Deutschen Bundestag gesondert übermittelt. a) Für welche dieser RZ wurde oder wird ein Ersatz von VMWare durch ein Alternativprodukt geprüft? b) Wo es solche Prüfungen gab, welche Alternativprodukte wurden dabei betrachtet? c) Wo bereits für eine Alternative entschieden wurde, auf welches Produkt soll in welchem Zeitrahmen umgestiegen werden? Die Fragen 5a bis 5c werden gemeinsam beantwortet. Auf die Anlage 1 wird verwiesen.* d) Zusätzlich für die Master-RZ des Bundes, wie hoch ist der Anteil (bezogen zum Beispiel auf Einheiten Rechenleistung) von VMware- Produkten zur Virtualisierung verglichen mit jeweils welchen anderen in Master-RZ des Bundes genutzten Virtualisierungslösungen? Auf die Anlage 2 wird verwiesen.*  6. In welcher Art und Weise ist der Einsatz beziehungsweise der Austausch von VMware-Produkten in der Umsetzung der IT-Konsolidierung berücksichtigt (wenn ja, bitte beschreiben, in welcher Weise), und wenn bisher nicht, ist die Berücksichtigung zeitnah geplant (wenn nein, bitte begründen, warum nicht)? Die Bundesregierung ist nach sorgfältiger Abwägung zu der Auffassung gelangt, dass die Beantwortung der Frage 6 aus Gründen des Staatswohls nicht offen erfolgen kann. Zu Einzelheiten des Betriebs informationstechnischer Anlagen und konkret eingesetzter Produkte können wir aus Sicherheitserwägungen keinen Antwortbeitrag liefern. Eine Offenlegung der angefragten Informationen birgt die Gefahr, dass Einzelheiten zur konkreten Methodik und zu in hohem Maße schutzwürdigen spezifischen Fähigkeiten sowie zur IT-Infrastruktur bekannt würden. * Das Bundesministerium des Innern und für Heimat hat die Antwort als „VS – Nur für den Dienstgebrauch“ eingestuft. Die Antwort ist im Parlamentssekretariat des Deutschen Bundestages hinterlegt und kann dort von Berechtigten eingesehen werden. Infolgedessen könnten sowohl staatliche als auch nichtstaatliche Akteure Rückschlüsse auf spezifische Fähigkeiten sowie auf IT-Sicherheitsvorkehrungen ziehen. Dies könnte unter anderem für Angriffe auf die IT-Infrastruktur ausgenutzt werden und folgenschwere Einschränkungen des IT-Betriebs zur Folge haben. Diese Informationen werden daher als „VS – Nur für den Dienstgebrauch“ eingestuft und dem Deutschen Bundestag gesondert in Anlage 3* übermittelt.  7. Hat eine systematische Überprüfung und Bewertung der Abhängigkeiten und Risiken für den Bund durch die Folgen der Übernahme von VMware durch Broadcom stattgefunden? a) Wenn ja, wer hat dafür die Federführung? b) Was sind die bisherigen Ergebnisse dieser Untersuchung? c) Welche Risiken betrachtet diese Untersuchung? d) Wann wird die Untersuchung abgeschlossen sein? e) Wenn nein, ist eine solche Überprüfung noch geplant? f) Wenn eine Untersuchung geplant ist, in welchem Zeitrahmen soll sie erfolgen (Beginn und erwartetes Ende), und durch wen in der Federführung? g) Wenn eine Untersuchung nicht geplant ist, bitte begründen, warum nicht? Die Fragen 7 bis 7g werden gemeinsam beantwortet. Es hat keine systematische Überprüfung und Bewertung der Abhängigkeiten und Risiken für den Bund durch die Folgen der Übernahme von VMware durch Broadcom stattgefunden. Zusätzlich wird auf die Antwort zu Frage 2 verwiesen.  8. Wie bewertet die Bundesregierung ihre eigene Abhängigkeit im IT- Umfeld von VMware-Produkten unter besonderer Berücksichtigung a) der quantitativen Verbreitung des Einsatzes von VMware-Produkten in der IT des Bundes und b) der Möglichkeit, zeitnah (oder überhaupt) auf alternative Produkte umzustellen? Die Bundesregierung ist nach sorgfältiger Abwägung zu der Auffassung gelangt, dass die Beantwortung der Frage 8 aus Gründen des Staatswohls nicht offen erfolgen kann. Zu Einzelheiten des Betriebs informationstechnischer Anlagen und konkret eingesetzter Produkte können wir aus Sicherheitserwägungen keinen Antwortbeitrag liefern. Eine Offenlegung der angefragten Informationen birgt die Gefahr, dass Einzelheiten zur konkreten Methodik und zu in hohem Maße schutzwürdigen spezifischen Fähigkeiten sowie zur IT-Infrastruktur bekannt würden. Infolgedessen könnten sowohl staatliche als auch nichtstaatliche Akteure Rückschlüsse auf spezifische Fähigkeiten sowie auf IT-Sicherheitsvorkehrungen ziehen. Dies könnte unter anderem für Angriffe auf die IT-Infrastruktur ausgenutzt werden und folgenschwere Einschränkungen des IT-Betriebs zur Folge haben. * Das Bundesministerium des Innern und für Heimat hat die Antwort als „VS – Nur für den Dienstgebrauch“ eingestuft. Die Antwort ist im Parlamentssekretariat des Deutschen Bundestages hinterlegt und kann dort von Berechtigten eingesehen werden. Diese Informationen werden daher als „VS – Nur für den Dienstgebrauch“ eingestuft und dem Deutschen Bundestag gesondert in Anlage 4* übermittelt.  9. Wie bewertet die Bundesregierung die Beeinträchtigung des Weiterbetriebs von VMware-Produkten bei On-premise-Lösungen, zum Beispiel durch die von Broadcom für VMware-Produkte eingeschränkte Update- Fähigkeit, die ihre Zuverlässigkeit, Anpassbarkeit und IT-Sicherheit gefährdet? Auf Grundlage von Aussagen der Firma Broadcom zur Weiterentwicklung der VMware-Produktpalette geht die Bundesregierung von zunächst uneingeschränkter Updatefähigkeit der Produkte im Rahmen der laufenden Verträge aus. Eine Beeinträchtigung des Weiterbetriebs von VMware-Produkten hängt im Einzelfall jedoch u. a. vom Funktionsumfang der durch die Firma Broadcom künftig angebotenen Lizenzen ab und kann aktuell seitens der Bundesregierung nicht ausgeschlossen werden. 10. Was ist der Bundesregierung zum möglichen Mischbetrieb von bereits genutzten On-premise-Produkten und gegenwärtig erhältlichen VMware- Produkten, und zu Preisnachlässen für neue Lizenzen in diesem Zusammenhang, bekannt, und ist insbesondere bekannt, ob dieser Mischbetrieb möglicherweise nicht zulässig beziehungsweise nicht möglich sein wird? Der Bundesregierung ist im Zusammenhang mit der Fragestellung nichts bekannt. 11. Mit welchen Zusatzkosten rechnet die Bundesregierung (grobe Schätzung) im Zusammenhang mit der genannten Unternehmensübernahme im laufenden sowie in den kommenden Haushaltsjahren, zum Beispiel durch geänderte Lizenzbedingungen, Kündigungsfristen, Umstieg auf Mietmodelle statt On-premise-Lösungen, Wegfall von Bonus- Konditionen (PSO-Credits), Wegfall von Wartungsverträgen, Zwang zu Bündelprodukten, Dienstleistungen im Zusammenhang mit der Gewährleistung des Weiterbetriebs und der IT-Sicherheit oder auch durch den Wechsel auf Produktalternativen und allgemein durch die Erhebung, Bewertung und Mitigierung der Risiken für den Bund? Die Bundesregierung ist nach sorgfältiger Abwägung zu der Auffassung gelangt, dass die Beantwortung der Frage 11 aus Gründen des Staatswohls nicht offen erfolgen kann. Zu Einzelheiten des Betriebs informationstechnischer Anlagen und konkret eingesetzter Produkte können wir aus Sicherheitserwägungen keinen Antwortbeitrag liefern. Eine Offenlegung der angefragten Informationen birgt die Gefahr, dass Einzelheiten zur konkreten Methodik und zu in hohem Maße schutzwürdigen spezifischen Fähigkeiten sowie zur IT-Infrastruktur bekannt würden. Infolgedessen könnten sowohl staatliche als auch nichtstaatliche Akteure Rückschlüsse auf spezifische Fähigkeiten sowie auf IT-Sicherheitsvorkehrungen ziehen. Dies könnte unter anderem für Angriffe auf die IT-Infrastruktur ausgenutzt werden und folgenschwere Einschränkungen des IT-Betriebs zur Folge haben. * Das Bundesministerium des Innern und für Heimat hat die Antwort als „VS – Nur für den Dienstgebrauch“ eingestuft. Die Antwort ist im Parlamentssekretariat des Deutschen Bundestages hinterlegt und kann dort von Berechtigten eingesehen werden. Diese Informationen werden daher als „VS – Nur für den Dienstgebrauch“ eingestuft und dem Deutschen Bundestag gesondert in Anlage 5* übermittelt. 12. Welche Maßnahmen unternimmt die Bundesregierung, a) kurzfristig, um vor allem die Risiken dieser Übernahme zu mitigieren, Kurzfristig sind hier kaum Maßnahmen möglich, aufgrund der Absicherung der Lizenzierung bis 2027 aber auch nicht notwendig. Für neue Projekte müssen die geeigneten Produkte neu ausgeschrieben und evaluiert werden. b) mittel- und langfristig, um einerseits den aktuellen Risiken zu begegnen, aber auch um vergleichbare Situationen künftig zu verhindern, also Abhängigkeiten von einzelnen Produkten und Herstellern sowie die damit verbundene Erpressbarkeit systematisch und strukturell zu verringern, Mittel- und langfristig arbeitet die Bundesregierung im Rahmen der Betriebskonsolidierung Bund auf eigene Infrastrukturdienste hin, welche eine Abhängigkeit in Zukunft verringern. Die Gefahr eines Vendor Lock besteht jedoch bei jedem Einsatz von proprietären Produkten. Langfristig können nur offene Standards, einfache Migrationsmöglichkeiten oder quelloffene Produkte diese Gefahr lindern. c) um die Förderung von Open-Source-Produkten beziehungsweise den Umstieg auf Open-Source-Produkte im Virtualisierungsbereich durch den Bund zu stärken, Die Bundesregierung stärkt die Digitale Souveränität der Öffentlichen Verwaltung, stellt Wahlmöglichkeiten sicher und reduziert dadurch die Abhängigkeit von einzelnen Anbietern. Digitale Souveränität heißt insbesondere Alternativen zu schaffen und einen offenen, wettbewerbsfähigen Markt zu unterstützen und zu gestalten. Dazu verfolgen wir drei strategische Ziele: 1. die Schaffung von Wechselmöglichkeiten mit Hilfe leistungsfähiger und sicherer Alternativen, 2. die Verbesserung der Gestaltungfähigkeit der Öffentlichen Verwaltung im digitalen Raum und 3. die Entwicklung klarer Anforderungen an IT-Anbieter. Zur Erreichung dieser Ziele arbeiten wir derzeit gemeinsam mit Bund, Länder und Kommunen an verschiedenen komplementären Lösungsansätzen. a) Wir stärken Interoperabilität und Austauschbarkeit: Hierfür fördern wir IT- Lösungen, die so konzipiert sind, dass sie durch ihren modularen Aufbau unabhängig voneinander ausgewechselt werden sowie über offene Schnittstellen und nach definierten Standards Informationen austauschen können. b) Wir stellen die Verfügbarkeit von Alternativen sicher: Die Öffentliche Verwaltung muss auf sichere und leistungsfähige Alternativen zurückgreifen können. Ein wichtiger Baustein dabei ist die Förderung von Open-Source- * Das Bundesministerium des Innern und für Heimat hat die Antwort als „VS – Nur für den Dienstgebrauch“ eingestuft. Die Antwort ist im Parlamentssekretariat des Deutschen Bundestages hinterlegt und kann dort von Berechtigten eingesehen werden. basierten Lösungen als moderne, leistungsfähige, sichere und entscheidungsoffene Option. c) Wir definieren klare technische und rechtliche Anforderungen an IT- Lösungen: Mithilfe dieser Anforderungen wollen wir sicherstellen, dass ein angemessenes Maß von Modularität und Interoperabilität unter Berücksichtigung von Informationssicherheit und Datenschutz gewährleistet wird. Die aktuellen Unterlagen zu den o. g. Maßnahmen und bestehenden Strategien stehen Ihnen hier zum Download zur Verfügung: www.cio.bund.de/Webs/CIO/DE/digitale-loesungen/digitale-souveraenitaet/dig itale-souveraenitaet-node.html;jsessionid=8FC6061F7E1EAD4AB6835C5B3F C74D13.2_cid373 www.it-planungsrat.de/foederale-zusammenarbeit/gremien/ag-cloud-computin g-und-digitale-souveraenitaet d) um eine Exit-Strategie mit Bezug auf VMware bereitzuhalten, wie es unter anderem in der IT-Strategie des Bundes empfohlen wird, um Risiken von Lock-in-Effekten zu senken (IT-Strategie des Bundes – Handlungsfeld Cloud vom 2. November 2023; www.cio.bund.de/Shar edDocs/downloads/Webs/CIO/DE/digitaler-wandel/it-strategie/it-strat egie-handlungsfeld_cloud_bf.pdf)? Aktuell wird geprüft, ob, und wenn ja, welche Workloads auf anderen Plattformen betrieben werden können. Zusätzlich wird geprüft, ob aktuell bereitgestellte Ressourcen verringert werden können. Eine Hersteller-Unabhängigkeit ist in der IT kaum zu erreichen. Dennoch arbeitet die Bundesregierung verstärkt daran, unterschiedlichste Anbieter für einzelne Komponenten der Betriebsumgebung zu verwenden. Die Bundesregierung verfolgt in diesem Zusammenhang mehrere Strategien: Marktsichtung bzw. Prüfung von Alternativprodukten (u. a. „Bundescloud“), Berücksichtigung von Open Source Produkten, Mehrproduktstrategie, Umsetzung der Cloudstrategie des Bundes. 13. Wie hat die Bundesregierung seit 2018 die Entwicklung, Verbesserung oder Nutzung von Open Source Software für die IT-Virtualisierung von Servern und Rechenzentren (zum Beispiel Proxmox, XCP-ng, Open- Nebula, OpenShift) unterstützt, beispielsweise durch entsprechende Auftragsvergaben (bitte Aufträge oder andere unterstützend wirkende Leistungen beschreibend auflisten)? a) Mit welchen anderen Maßnahmen hat die Bundesregierung die (Weiter-)Entwicklung von Open Source Software für IT-Virtualisierung gefördert, zum Beispiel über den Sovereign Tech Fund, oder plant sie derartige Fördermaßnahmen? Die Fragen 13 und 13a werden gemeinsam beantwortet. Die Bundesregierung fördert zum Beispiel mit dem Sovereign-Cloud-Stack (SCS) ein Projekt zur Verbreitung von Open-Source Cloud-Technologien für die Industrie und öffentlichen Verwaltung. Im Rahmen dieses Projektes werden, u. a. auch alternative, Open-Source basierte Virtualisierungstechnologien (u. a. KVM, SDS, OVN) weiterentwickelt und genutzt. U. a. für das Bayern- Cloud Schule (ByCS) Projekt, welches derzeit 6 300 Schulen mit ca. fünf Mio. Usern umfasst. Der Sovereign Tech Fund unterstützt digitale Open-Source- Basistechnologien, die breite Anwendung in jeglicher Softwareentwicklung finden. b) Erwägt die Bundesregierung, künftig dem Zentrum für Digitale Souveränität der Öffentlichen Verwaltung (ZenDiS) auch Aufträge zur Förderung und Weiterentwicklung von Open Source Software- Produkten zur IT-Virtualisierung zu erteilen? Da die ZenDiS GmbH u. a. für die (Weiter-)Entwicklung von Open Source Software, die relevant für die öffentliche Verwaltung ist, gegründet wurde, ist eine Beauftragung im Bereich IT-Virtualisierung grundsätzlich möglich. Aktuell ist eine entsprechende Beauftragung nicht vorgesehen. c) Welche Rolle spielen nach Ansicht der Bundesregierung die Deutsche Verwaltungscloudstrategie und das Informationstechnikzentrum Bund (ITZBund) für den Einsatz von Open Source Software- Virtualisierungsprodukten? Wir arbeiten derzeit an der Konzeption und Umsetzung der Deutschen Verwaltungscloud-Strategie (DVS) zur Schaffung gemeinsamer Standards und offener Schnittstellen (möglichst Open Source), um bestehende föderale Cloud- Lösungen der öffentlichen Verwaltung interoperabel und modular zu gestalten. Die DVS ist die nationale Multi-Cloud-Strategie der öffentlichen Verwaltung, die im Koalitionsvertrag verankert ist. Das Konzept zur DVS wurde durch Bund und Länder beschlossen und bereits erfolgreich pilotiert. Ziel der Maßnahme ist vor allem die Möglichkeit einer cloud-übergreifenden Nutzung von Anwendungen nach dem Grundsatz „build once, run everywhere“. Gesamtherstellung: H. Heenemann GmbH & Co. KG, Buch- und Offsetdruckerei, Bessemerstraße 83–91, 12103 Berlin, www.heenemann-druck.de Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.bundesanzeiger-verlag.de ISSN 0722-8333