Digitale Souveränität - einige Kommentare zu den Empfehlungen des Wissenschaftsrats

Im Herbst 2023 hat eine Arbeitsgruppe des Wissenschaftsrates ein Papier mit Empfehlungen zur Souveränität und Sicherheit der Wissenschaft im digitalen Raum veröffentlicht. Da das Thema Digitale Souveränität schon seit einiger Zeit auf der Agenda der bayerischen Hochschul-CIOs bzw. des Digitalverbundes steht, kommt es genau richtig. Im Frühjahr 2023 haben wir darüber in einer gemeinsamen Sitzung mit den Universitäts-CIO aus Baden-Württemberg diskutiert und wollen ein gemeinsames Positionspapier veröffentlichen.

Bis dahin hier ein paar subjektive Eindrücke aus dem WR-Papier:

Es ist etwas schwierig, in dem Papier eine genaue Definition von "digitaler Souveränität" zu finden, auf die sich die Ausführungen stützen.

Die Empfehlungen sind eigentlich bekannt, die ersten beiden davon sind sehr konkret und zielen auf die einzelne Hochschule: (1) installiere eine:n CIO auf Leitungsebene der Hochschule, um die Steuerung zentral in die Hand zu nehmen und (2) unterstütze Cybersicherheit mit eine:r Cybersicherheitsbeauftragten, Konzepten und Notfallplänen. 

Die (3) Empfehlung zum Aufbau hochschulübergreifender Infrastrukturen erfordert Absprachen im Bundesland. Das ist z.B. in NRW, Bayern schon gelungen. Man muss dabei beachten, dass die Empfehlung über das technische Wissenschaftsnetz, z.B. BelWue, weit hinausgeht; es geht um Kompetenzzentren z.B. für IT-Recht, IT-Sicherheit oder IT-Beschaffung, oder für Forschungsdatenmanagement. Dies erfordert ein hohes Maß an Absprachen, Kommunikation und Vertrauen zwischen den Hochschulen. Noch anspruchsvoller, wenn es hochschultyp-übergreifend geschehen soll. 

Die (4) Empfehlung zur Gestaltung digitaler Angebote unter Pluralität und Offenheit finde ich etwas schwieriger. Einige Beteiligte lesen bei Offenheit immer gleich "Open Source". Ziel dieser Empfehlung ist es aber, Abhängigkeiten zu reduzieren. Wann immer ich ein digitales Produkt lange benutze, werde ich Abhängigkeiten in meiner Hochschule produzieren, was einen Umstieg, egal wohin, schwierig macht und damit meine Steuerungs- und Entscheidungsmöglichkeiten als CIO einschränkt. Das hat weniger mit der Lizenzform zu tun als mit fehlenden Schnittstellen und Standardisierungen. Wenn ich die in der dritten Empfehlung postulierten Infrastrukturen nutzen möchte (z.B. NFDI oder EOSC), dann muss es Schnittstellen geben und diese müssen kontinuierlich gewartet werden. Manchmal ist es mir hier lieber, ich kann einem konkreten Softwareanbieter mit einer Wartungsanfrage auf die Füße treten.

Am Ende von (4) findet sich noch ein separater Absatz, dass "Knowhow und Innovationspotenzial der Wissenschaft für die Entwicklung digitaler Angebote gezielt genutzt und gefördert werden" sollte. Das ist eigentlich ein Aufruf zur Eigenentwicklung. Wie ich im Beitrag über Schatten-IT schon geschrieben habe, sehe ich da Licht und Schatten -- Licht, wenn sich neue IT-Lösungen z.B. als Startup aus einer Universität heraus verbreiten und sehr erfolgreich werden, wie bei UNIwise oder Uninow. Schatten, wenn eine hoffnungsvolle IT-Lösung mangels Wartung langsam verhungert, wie bei UnivIS. Hier gibt es sehr viel Potenzial -- leider auch, um Budget zu versenken.

Bei der letzten Empfehlung, (5) die Gestaltung des digitalen Raumes als Daueraufgabe von Wissenschaftseinrichtungen, sind wir wieder beisammen. Zu viele IT-Projekte beginnen mit befristetem Personal, aber ein späterer dauerhafter IT-Support erfordert Dauerstellen. Stattdessen wird meist ein Projektportfoliomanagement über Jahre mit Stellen-Tetris abgepuffert. Das muss sich definitiv ändern. Wenn man (3) und (5) kombiniert, wird aber schnell klar, dass es eine Budgetkonkurrenz geben wird -- gibt man das Geld an die Hochschulen oder an die Infrastrukturen? "Beides notwendig!", sagt die IT-Sicherheit. "Infrastruktur kann übernehmen", sagen IT-Recht und IT-Beschaffung. "Die zentrale Stelle benötigt lokale Strukturen, um sie zu unterstützen" sagt das Forschungsdatenmanagement. Wo das Ministerium Budget hingeben sollte, sollte eine strategische, offene und konstruktive Diskussion in der Infrastrukturgruppe von (3) ergeben.

Schatten-IT und die Universität

In diesem Post meiner Wirtschaftsinformatik-Kollegin Prof. Steffi Haag wird sehr schön dargelegt, welche Chancen der Einsatz von Schatten-IT auch in der Universität haben kann. 

Unter Schatten-IT verstehe ich häufig das Wiedererfinden des Rades: Lehrstühle, die eigene Exchange-Server betreiben, NAS-Boxen, die im Sekretariat unter dem Schreibtisch lagern, zu PC-Pools umfunktionierte Besprechungsräume. Zu hochgezogenen Augenbrauen führt bei mir nicht die Ausgabe von Sachmitteln, das möge bitte jede Professur selber wissen, wofür sie ihr Budget ausgibt. Das schwierige sind meistens die menschlichen Entscheidungen dahinter. Zur Schatten-IT gehört zuerst einmal eine Professor:in, die überzeugt davon ist, dass die zentralen IT-Dienste der Universität ihren Ansprüchen an IT-Dienstleistungen nicht genügt. Steffi Haag schreibt zu diesem Mindset:

Unsere Erforschung von mehr als 85 Schatten-IT-Fällen zeigt jedoch, dass die Nutzung von Schatten-IT oft in solchen restriktiven Unternehmenspraktiken selbst begründet ist. Insbesondere dann, wenn sich Mitarbeitende einer Sackgasse gegenübersehen, die sie vom Erreichen ihrer Ziele abhält. Sei es, weil sie in ihrem Unternehmen auf taube Ohren stoßen, was neue digitale Lösungen betrifft; sei es, weil der Einsatz neuer digitaler Technologien nur eingeschränkt möglich ist, wie etwa Tablets, deren Nutzung auf bestimmte Apps begrenzt ist; oder sei es, weil Unternehmen zum Beispiel aufgrund von rechtlichen Vorgaben, wie etwa der DSGVO, den Bedürfnissen ihrer Mitarbeitenden nicht vollends nachkommen können. Was immer das Empfinden einer Sackgasse hervorruft, Schatten-IT bietet Mitarbeitenden einen Ausweg.

Diese Art der Empfindsamkeit scheint in der Universität noch größer vertreten zu sein als woanders. Das liegt in der Natur der Sache: gerade die Tätigkeit in der Forschung hat ja qua definition mit dem Suchen nach dem Ausweg aus einer Sackgasse zu tun! Kein Wunder, das Professor:innen das auch auf ihre IT-Probleme anwenden. Viele interessante IT-Lösungen sind an mich durch das Ausprobieren einzelner Lehrstühle herangetragen worden -- seien es edTech-Tools oder elektronische Laborbücher. Gerne diskutiere ich dies mit Professorinnen und Professoren in der dafür vorgesehenen Präsidial- oder Senatskommission, lasse uns diese Tools vorführen und gebe so manches Mal auch Beschaffungsentscheidungen.

Die Empfindsamkeit schlägt allerdings nur zu oft in Unverständnis um, wenn die Kommission der Idee nicht folgen will und der Vorschlagende das nicht einsichtig findet. Die Aufzählung der obigen Gründe, warum ein Unternehmen (oder eine Universität) eine tolle neue Lösung nicht einsetzt, nennt nämlich einen zentralen Punkt nicht: das fehlende Budget und das fehlende Personal. Jeder Euro, den wir für IT einsetzen, geht weder direkt in die Forschung (Mitarbeiterstellen) noch in die Lehre. Jeder Euro für Schatten-IT nimmt einen Euro von Publikationsgebühren, Reisen, Hiwimitteln weg. Jede Personalstunde, die für Exchange-Serverwartung draufgeht, bringt eine Doktorandin weiter von ihrer Diss weg.

Bei allen Chancen, aus Effizienzgründen muss ich prinzipiell gegen Schatten-IT in der Universität sein.