DigiD-Übernahme vor niederländischem Gericht

Wer in den Niederlanden online seine Steuererklärung abgibt, Sozialleistungen prüft oder sich bei einer Behörde anmeldet, nutzt fast immer DigiD, das nationale Authentifizierungssystem des Landes. Für Bürger ist es ein unsichtbarer Durchgang. Für den Staat ist es kritische Infrastruktur.

Betrieben wird die Plattform, auf der DigiD läuft, von dem privaten IT-Unternehmen Solvinity (AG Connect). Als der in den Vereinigten Staaten ansässige IT-Konzern Kyndryl Solvinity übernehmen wollte, untersagte die niederländische Regierung den Kauf aus Gründen der nationalen Sicherheit. Im Juni focht Solvinity diese Entscheidung vor einem Gericht in Rotterdam an; ein Teil der Verhandlung fand unter Ausschluss der Öffentlichkeit statt (Tweakers). Damit wird aus dem politischen Schlagwort der „digitalen Souveränität“ ein konkreter Rechtsstreit: Wer darf Unternehmen besitzen, ohne die der digitale Staat im Alltag nicht funktioniert?

Der Kontrollraum hinter dem Netz

Digitale Verwaltungsdienste ähneln in dieser Hinsicht einem Stromnetz. Der Staat setzt die Regeln und erscheint auf der Oberfläche als Anbieter. Doch ein privater Dienstleister kann den Zugang zum Kontrollraum halten: Wartungswissen, Verschlüsselung, Administrationsrechte und die praktische Erfahrung, ein System auch unter Belastung am Laufen zu halten (policyreview.info). Für Teile des niederländischen digitalen Staates nahm Solvinity genau diese Rolle ein.

Am 26. Mai 2026 blockierte Staatssekretärin Willemijn Aerdts die Übernahme formell (Logius). Die vollständige Risikobewertung wurde nicht veröffentlicht. Das Parlament erhielt vertrauliche Informationen, und auch vor Gericht gab es einen geschlossenen Verhandlungsteil, in dem sensible Details ohne Journalisten erörtert wurden (Tweede Kamer).

Öffentlich bekannt ist, dass Abgeordnete befürchteten, eine amerikanische Eigentümerschaft könne Washington den Zugriff auf Daten erleichtern oder im äußersten Fall Dienste stören, auf die Bürger täglich angewiesen sind (NOS). In dieser Debatte spielte der amerikanische CLOUD Act eine zentrale Rolle.

Dieses Gesetz ist ein reales Problem, aber es wird in der öffentlichen Diskussion leicht überdehnt. Es verpflichtet Anbieter unter amerikanischer Jurisdiktion, Daten herauszugeben, die sich in ihrem „possession, custody, or control“ befinden, wenn eine rechtmäßige Anordnung vorliegt, auch wenn die Daten in Europa gespeichert sind (Cornell LII). Das ist ein ernstzunehmendes Rechtsrisiko. Es bedeutet aber nicht, dass Washington per Fernzugriff Systeme durchsuchen oder einen Dienst auf Befehl abschalten könnte.

Die weitergehende Sorge vor einem digitalen „Kill Switch“ gehört in eine andere Kategorie: Abhängigkeitsrisiken, Vertragskonflikte, verlorene Administrationszugänge oder die schlichte Schwierigkeit, einen zentralen Anbieter in einer Krise schnell zu ersetzen. Diese Risiken sind erheblich, aber sie sind nicht identisch mit dem CLOUD Act. Wer beides vermischt, schwächt das Argument, weil aus einem strukturellen Problem schnell eine verschwörungstheoretisch klingende Behauptung wird.

Der strukturelle Punkt ist auch ohne Übertreibung stark genug. Wenn zur Beruhigung gesagt wird, die Daten blieben ja in Europa, wird nur eine Ebene beantwortet. Der Speicherort ist wichtig. Tiefer reicht aber die Kontrollfrage: Wer kann Systeme verwalten, Aktualisierungen einspielen und den Betrieb sichern, wenn die Geschäftsbeziehung politisch oder kommerziell unter Druck gerät?

Drei Länder, drei Wege

Frankreich versucht, digitale Souveränität in überprüfbare Vergaberegeln zu übersetzen. Wer sensible staatliche Cloud-Aufträge erhalten will, muss die Zertifizierung SecNumCloud erfüllen und nachweisen, dass ausländische Rechtsordnungen nicht ohne Weiteres auf den Dienst durchgreifen können (Alliancy). Aus einem politischen Anspruch wird damit ein Beschaffungskriterium: Wer die Anforderungen nicht erfüllt, kommt für bestimmte Aufträge nicht in Frage.

Schweden setzt anders an. Der Staat prüft nicht jeden Anbieter im selben Maß, sondern will die Wurzel der digitalen Identität stärker selbst kontrollieren. Das Justizministerium hat einen neuen staatlichen Ausweis mit biometrischen Merkmalen und eingebauter elektronischer Identifizierung vorgeschlagen (Dagens.se). Zugleich hat Schweden eine führende Rolle beim Zertifizierungssystem für die kommende digitale Identitätsbrieftasche der EU übernommen (Digg). Private Unternehmen können die technische Infrastruktur betreiben, doch der Staat behält den Hauptschlüssel.

Die Niederlande wirken im Vergleich reaktiver. Parlamentsunterlagen zeigen zwar, dass auch dort grundsätzlich über souveräne Cloud-Dienste nachgedacht wird (1848.nl). Der Fall Solvinity ist aber kein breit angelegtes Zertifizierungsmodell, sondern ein einzelner, nach vertraulicher Risikoprüfung blockierter Unternehmenskauf, den die Regierung nun vor Gericht verteidigen muss.

Was das Gericht tatsächlich entscheidet

Die Europäische Union versucht nicht, ein eigenes Internet neben dem amerikanischen oder chinesischen aufzubauen. Sie schafft Instrumente, mit denen Regierungen Übernahmen prüfen, Cybersicherheitsauflagen verlangen und Cloud-Anbieter austauschbarer machen können. Die Investitionskontrolle erlaubt den Mitgliedstaaten, Erwerbe in sensiblen Sektoren zu prüfen (Paul Weiss). Die NIS2-Richtlinie verschärft Sicherheits- und Lieferkettenpflichten für Betreiber kritischer Infrastrukturen (European Commission). Der Data Act regelt unter anderem den Wechsel zwischen Cloud-Anbietern und Schutzvorkehrungen gegen unrechtmäßige ausländische Datenzugriffe (EUR-Lex). Keine dieser Regeln löst das Problem allein. Zusammen verschieben sie die Debatte aber von der Serverfrage zur Abhängigkeitsfrage: Wer kontrolliert die technische Voraussetzung staatlicher Handlungsfähigkeit?

Der Rotterdamer Fall dürfte diese Frage präzisieren. Setzt sich die Regierung durch, stärkt das den Grundsatz, dass Eigentümerwechsel bei öffentlicher digitaler Infrastruktur untersagt werden können, selbst wenn die vollständige Risikoanalyse geheim bleibt. Gewinnt Solvinity, könnte der Staat gezwungen werden, genauer darzulegen, ob mildere Mittel ausgereicht hätten: strengere Vertragsauflagen, die Abtrennung sensibler Betriebsbereiche vom ausländischen Mutterkonzern oder verbindliche Ausstiegspläne.

Das Gericht entscheidet damit nicht nur über eine Übernahme. Es entscheidet auch, wie viel ein Staat offenlegen muss, wenn er einen Kauf verhindert, um einen Dienst zu schützen, dem sich Bürger praktisch nicht entziehen können. Für die Millionen Menschen, die sich täglich bei DigiD anmelden, ohne darüber nachzudenken, ist genau das der Kern des Falls.