Thought Leadership
Die Landeshauptstadt München hat eine eigene Methodik entwickelt, um die digitale Souveränität ihrer IT-Services zu messen. 194 kritische Anwendungen wurden bereits analysiert. Das Ergebnis überrascht.
Die Stadtverwaltung München will Ernst machen mit der digitalen Souveränität: Mit einem neu entwickelten Score für Digitale Souveränität (SDS) bewertet die Behörde systematisch ihre IT-Infrastruktur und macht Abhängigkeiten von Herstellern und Anbietern transparent. Das Ziel sei eine sichere, verlässliche und handlungsfähige Verwaltung, die nicht in kritischen Bereichen von einzelnen Anbietern abhängig ist.
Souveränität als strategisches Ziel
Dabei geht es München nicht um digitale Autarkie. “Digitale Souveränität bedeutet nicht vollständige Unabhängigkeit von externen Anbietern”, heißt es in einer Mitteilung der Stadt. Vielmehr gehe es darum, bewusst festzulegen, wo Souveränität notwendig ist und welche Risiken in Abhängigkeiten akzeptiert werden können.
Die Stadt orientiert sich an der Definition des Bundes: Digitale Souveränität beschreibe “die Fähigkeiten und Möglichkeiten von Individuen und Institutionen, ihre Rolle(n) in der digitalen Welt selbstständig, selbstbestimmt und sicher ausüben zu können.” Drei Kernaspekte stehen im Fokus: Selbstständigkeit mit minimierten Abhängigkeiten, Selbstbestimmtheit über Produktwechsel und Richtungsentscheidungen sowie Sicherheit durch Transparenz.
“Mit unserem Score wird digitale Souveränität zum ersten Mal messbar, denn nur was wir messen können, können wir auch gezielt verbessern.”
Dr. Laura Dornheim, IT-Referentin und Chief Digital Officer der Stadt München
Wissenschaftlich begleitete Methodik
Für die systematische Prüfung hat das IT-Referat der Stadt eine eigene Methodik entwickelt, die sich an bestehende wissenschaftliche Arbeiten anlehnt und von der Technischen Universität München (TUM) begleitet wurde. Der sogenannte Souveränitätscheck untersucht Hersteller- und Anbieterabhängigkeiten, Wechselmöglichkeiten, Open-Source-Lösungen, offene Standards sowie Einflussmöglichkeiten auf Betrieb, Weiterentwicklung und Daten. Auch Sicherheits- und Rechtsaspekte fließen in die Bewertung ein.
Die Bewertung erfolgt anhand eines strukturierten Fragenkatalogs und ordnet jeden IT-Service einer von fünf Kategorien zu, von maximal souverän bis nicht souverän. “Mit unserem Score wird digitale Souveränität zum ersten Mal messbar, denn nur was wir messen können, können wir auch gezielt verbessern”, erklärt Dr. Laura Dornheim, IT-Referentin und Chief Digital Officer der Stadt München.
Erste Analyse: 74 Prozent digital souverän
Im September und Oktober 2025 wurden 194 der insgesamt 2.780 Anwendungsservices der Stadt München analysiert. Die Auswahl erfolgte nach dem Kriterium der Business-Kritikalität. Geprüft wurden demnach die wichtigsten Dienste der Verwaltung.
Das Ergebnis fällt überraschend positiv aus: 74 Prozent des analysierten Portfolios (Kategorien 1, 2 und 3) sind digital souverän. Bei diesen Services liegt kein Vendor-Lock-in vor und weitere Kriterien der digitalen Souveränität sind erfüllt.
21 Prozent der Services fallen in die nicht souveräne Kategorie 5. Dabei handelt es sich um gesetzlich vorgeschriebene Leistungen zur eVergabe, Software großer Anstalten des öffentlichen Rechts in Bayern und Hamburg, die eAkte-Software, spezialisierte Lösungen deutscher Hersteller etwa im Kontext von Wahlen, Services für das Personalmanagementsystem eines deutschen Anbieters sowie zwei Services eines US-amerikanischen Softwareherstellers.
Schlechter Score bedeutet nicht “unsicher”
München betont, dass eine schlechte SDS-Kategorie nicht bedeute, dass ein IT-Service unsicher oder ungeeignet sei. In vielen Fällen bestünden gesetzliche, fachliche oder strategische Gründe für den Einsatz solcher Lösungen. Digitale Souveränität werde stets gemeinsam mit anderen Kriterien wie Datenschutz, Barrierefreiheit, Nutzbarkeit und Funktionalität abgewogen.
Mit dem systematischen Ansatz will die Landeshauptstadt München Risiken frühzeitig erkennen und verhindern. Die Behörden-IT gilt als Teil der kritischen Infrastruktur. Internationale Abhängigkeiten, geopolitische Spannungen und rechtliche Unsicherheiten können Risiken für Betrieb, Datenschutz oder Kostenkontrolle bedeuten.
Konkrete Maßnahmen sollen der Analyse folgen
Auf Basis der ermittelten SDS-Werte will München konkrete Schritte umsetzen: Risiken werden systematisch dokumentiert, Umstiegsszenarien vorbereitet und offene Standards in Beschaffungen gestärkt. Das IT-Referat informiert den Stadtrat künftig jährlich über den Stand der digitalen Souveränität. Mögliche Umstiege werden unter Berücksichtigung von Wirtschaftlichkeit, Fachlichkeit und Sicherheit abgewogen.
