Alltag in der Bundesverwaltung: Tabellen öffnen sich, Videokonferenzen verbinden, Archive antworten, Rechnungen laufen durch die Freigabe, Präsentationen zirkulieren, Termine sitzen im Kalender.
Keiner dieser Schritte fällt auf.
Genau das ist das Zeichen gelungener Infrastruktur. Sie soll verschwinden. Je stiller sie arbeitet, desto fester lagert sich der Betrieb um sie. Oberflächen werden selbstverständlich. Abläufe werden zur Gewohnheit. Andere Systeme hängen sich an. Wissen sammelt sich an den Kanten. Neue Mitarbeitende lernen die Umgebung als gegeben. Verfahren setzen voraus, dass sie da ist.
Irgendwann ist die Plattform keine beschaffte Lösung mehr. Sie ist die Art, wie die Behörde arbeitet.
Dann lohnt eine andere Frage als die nach Verfügbarkeit und Zufriedenheit.
Nicht:
Wie reibungslos läuft das System?
Sondern:
Was bleibt arbeitsfähig, wenn wir es morgen nicht mehr anfassen dürfen?
Das ist der Exit-Test.
Die Schweiz prüft den Ernstfall
Die Bundesverwaltung liefert gerade ein ungewöhnlich klares Beispiel.
Der Machbarkeitsnachweis BOSS prüft quelloffene Bürosoftware. Das Ziel ist digitaler Handlungsspielraum, nicht ein ideologischer Bruch mit kommerziellen Produkten. Untersucht werden Notbetrieb für die Büroarbeit, der Umgang mit schutzbedürftigen Informationen und die Frage, ob sich eine Alternative zur heutigen Umgebung überhaupt halten lässt.
Diese Unterscheidung trägt.
Microsoft 365 muss nicht schlecht sein, damit die Bindung an Microsoft 365 strategisch zählt. Oft gilt das Gegenteil. Je besser ein System sitzt, desto leichter wächst die Abhängigkeit.
Bequemlichkeit zieht Arbeit an. Arbeit verlangt Anbindungen. Anbindungen werden zu Verfahren. Verfahren werden zu Können. Können wird zur Gewohnheit. Gewohnheit wird zur stillen Annahme.
Abhängigkeit kommt deshalb selten als grober Fehler. Sie entsteht aus tausend vernünftigen Einzelentscheiden.
Deshalb misst man Souveränität nicht am Zuschlag. Die eigentliche Probe kommt Jahre später: Können wir noch weg?
Exportierte Daten sind noch kein Ausstieg
Die schlichteste Fassung des Exit-Tests gilt den Daten.
Lässt sich alles herausholen? Dokumente, Post, Datenbanken, Prüfprotokolle, Konfiguration, Metadaten, Identitäten, Protokolle, Modellartefakte, Wissensbestände.
Das zählt. Es reicht nicht.
Man denke an zwanzig Jahre Dokumente, sauber von einer Plattform exportiert. Glückwunsch. Und dann?
Versteht die nächste Umgebung die Berechtigungen? Lassen sich Abläufe nachbauen? Halten Verweise in Dokumenten? Laufen Makros? Greifen Vorlagen? Bleiben Aufbewahrungsregeln stehen? Sind historische Prüfspuren noch lesbar? Arbeiten Automationen weiter? Lässt sich die Anmeldung wiederherstellen? Was geschieht mit Anwendungen, die proprietäre APIs vorausgesetzt haben? Finden Mitarbeitende überhaupt noch etwas?
Die Daten können draussen sein. Die Organisation ist es nicht.
Das ist der Unterschied zwischen Übertragbarkeit und Ersetzbarkeit.
Europa hat begonnen, ihn ernst zu nehmen. Der EU Data Act, anwendbar seit September 2025, soll den Wechsel zwischen Datenverarbeitung und Cloud erleichtern. Kundinnen und Kunden sollen Anbieter tauschen oder mehrere parallel nutzen können.
Nützliches Recht.
Ein Recht auf Ausstieg ist aber noch keine Fähigkeit, ihn zu vollziehen.
Sechs Proben statt eines Versprechens
Abhängigkeit wird greifbar, wenn man den Ausstieg in Schichten zerlegt.
1. Der Daten-Exit
Bekommen wir die Information, ohne die der Betrieb stehen bleibt?
Nicht nur Dateien. Beziehungen, Metadaten, Konfiguration, Verlauf, Kontext, Prüfbarkeit.
Ein Datenbankabzug, den niemand sinnvoll wieder aufbauen kann, ist technisch ein Export und betrieblich ein Scheitern.
2. Der technische Exit
Kann eine andere Technik die nötige Arbeit wirklich tun?
Eine Alternative auf dem Papier genügt nicht. Läuft die Last dort? Passen die Schnittstellen? Lässt sich Identität mitnehmen? Halten die Sicherheitsanforderungen? Bleibt die Leistung tragbar? Kann die Organisation die Umgebung überhaupt in Betrieb nehmen?
3. Der operative Exit
Laufen die unverzichtbaren Prozesse während des Übergangs weiter?
Systeme stehen selten allein. Finanzen sprechen mit Identität. Identität spricht mit Personal. Dokumente speisen Abläufe. Abläufe lösen Freigaben aus. Freigaben lösen Zahlungen aus. Überwachung hängt an Protokollen. Berichtswesen hängt an allem.
Wer eine Technik ersetzt, entdeckt oft erst, wie tief sie im Betrieb verwachsen war.
4. Der Kompetenz-Exit
Können die Leute die Alternative noch bedienen?
Das ist eine der am stärksten unterschätzten Bindungen. Infrastruktur kann technisch ersetzbar bleiben und institutionell unersetzbar werden.
Wissen verdunstet. Fachleute spezialisieren sich. Verfahren verfallen. Dokumentation wird zur Quelle. Die Alternative steht noch im Architekturplan. Seit fünf Jahren hat sie niemand angefasst.
Das ist keine Reserve. Das ist Archäologie.
5. Der Zeit-Exit
Wie lange dauert der Weg?
Das kann die härteste Probe sein. Daten, Technik und Können mögen vorhanden sein. Braucht die Migration achtzehn Monate und fällt die Bindung in vierzehn Tagen weg, bleibt der Unterschied akademisch.
Ausstiegsfähigkeit hat eine Uhr. Was sich in der verfügbaren Zeit nicht aktivieren lässt, ist betrieblich keine Alternative.
6. Der Autoritäts-Exit
Wer darf den Entscheid wirklich fällen?
Technikabteilungen bauen mitunter Auswege, die die Institution nicht einschalten darf. Verträge stehen im Weg. Aufsicht steht im Weg. Budgetzyklen, Beschaffungsregeln, Gremien, politische Verantwortung.
Ingenieurinnen und Ingenieure wissen vielleicht genau, wie zu wechseln wäre. Das heisst nicht, dass die Organisation wechseln kann.
Souveränität braucht mehr als technische Wahl. Sie braucht Entscheidungsfähigkeit.
Europa zählt Kontrolle, nicht nur Geografie
Dieses weitere Verständnis von Bindung wird in der europäischen Politik sichtbarer.
Die Europäische Kommission schlägt den Cloud and AI Development Act vor, mit einem Souveränitätsrahmen in mehreren Stufen. Auf der untersten Stufe geht es um Verarbeitung und Speicherung in der Europäischen Union. Höher liegen Unabhängigkeit von Drittstaaten, Transparenz der Softwarelieferketten, Eigentum und Kontrolle.
Das ist eine begriffliche Verschiebung.
Jahrelang kippte die Debatte über souveräne Cloud in Standortfragen. Wo steht das Rechenzentrum? Wo liegen die Platten? Wo die Sicherungskopien?
Standort zählt. Geografie allein sagt erstaunlich wenig über Kontrolle.
Ein Server kann in Europa stehen und von Software leben, die anderswo entsteht. Eine europäische Tochter kann Infrastruktur betreiben, die ein Mutterhaus unter fremder Rechtsordnung steuert. Eine «lokale» Cloud kann an ausländische Identitätssysteme, Prozessoren, Firmware, Codearchive, Betriebssoftware oder Sicherheitswerkzeuge gebunden sein. Ein europäischer KI-Dienst kann am Ende von Modellen, Beschleunigern, Bibliotheken und Plattformen abhängen, die ausserhalb Europas kontrolliert werden.
Der Standort beantwortet eine Frage. Souveränität stellt viele.
Was unter dem Modell weiterhängt
Besonders deutlich wird das bei künstlicher Intelligenz.
Europa will mehr eigenen KI-Spielraum. Die Schweiz auch.
Im Juli 2026 beschrieb die ETH Zürich Apertus 1.5 als weiteren Schritt zu einer längerfristigen souveränen KI-Infrastruktur: eine offene Alternative zu proprietären Handelsmodellen für Forschung, Lehre, öffentliche Verwaltung und Industrie.
Strategisch interessant.
Ein vollständig offenes Modell hebt Abhängigkeit trotzdem nicht auf.
Das Modell braucht Rechenleistung. Rechenleistung braucht Beschleuniger. Beschleuniger brauchen Firmware. Cluster brauchen Netze. Netze brauchen Geräte. Geräte brauchen Lieferketten. Training braucht Rahmenwerke. Rahmenwerke brauchen Bibliotheken. Bibliotheken brauchen Archive. Der Betrieb braucht Identität, Überwachung, Speicher und Sicherheit. Alles braucht Strom. Und irgendwann muss jemand verstehen, wie das Zusammenspiel trägt.
Deshalb lässt sich Souveränität nicht als Produkt kaufen. Es gibt keinen Knopf für das souveräne Modell. Keine Artikelnummer für die souveräne Cloud. Kein Betriebssystem, das der nutzenden Organisation Souveränität zaubert.
Jede Schicht kann die Lage verbessern. Keine ist das ganze System.
Die brauchbare Frage bleibt:
Fällt dieses Bauteil morgen weg: was können wir dann nicht mehr tun?
Abhängigkeit ist kein Versagen
Hier lockt der falsche Schluss.
Wenn Bindung Risiko schafft, müsse die Antwort Unabhängigkeit sein. Alles selbst bauen. Alles selbst betreiben. Nur inländische Lieferanten. Keine ausländische Technik. Keine Plattformen. Keine fremden Dienste.
Das ist keine Souveränität. Das ist meist Verschwendung im Gewand eines Prinzips.
Moderne Volkswirtschaften sind Netze von Bindungen. Unternehmen auch. Staaten auch.
Die Schweiz fertigt nicht jeden Halbleiter, den sie einsetzt. Europa steuert nicht jede Softwarebibliothek in seiner Infrastruktur. Die Vereinigten Staaten hängen an ausländischer Fertigung. China hängt an Technik und Märkten jenseits der eigenen Grenzen.
Niemand mit Gewicht ist autark. Und niemand sollte es werden wollen.
Die Frage lautet nicht, ob Abhängigkeit existiert. Die Frage lautet, ob sie steuerbar bleibt.
Sehen wir sie? Können wir sie bewerten? Lässt sich Konzentration dämpfen? Bleibt Können erhalten? Bauen wir Auswege, wo die Folgen es rechtfertigen? Und können wir gehen, wenn sich die Lage ändert?
Das ist Souveränität.
Bequemlichkeit zehrt am Spielraum
Der unbequeme Teil: Spielraum kostet.
Zwei Systeme sind teurer als eines. Mehrere Lieferanten erschweren die Beschaffung. Tragbare Architektur verlangt Kompromisse. Offene Standards legen nicht jede proprietäre Funktion frei. Schulung auf Ausweichsysteme braucht Zeit. Ungenutztes Können wirkt ineffizient. Ausstiegsproben unterbrechen produktive Arbeit. Reserve sieht nach Verschwendung aus, solange nichts bricht.
Optimierung drängt deshalb in die Gegenrichtung. Ein Anbieter. Eine Plattform. Ein Identitätssystem. Eine bevorzugte Architektur. Ein Betriebsmodell. Alles vereinheitlichen. Doppeltes streichen. Effizienz heben.
Jeder Schritt ist für sich vernünftig. Bis sich die Bedingungen ändern.
So geht Souveränität gewöhnlich verloren. Nicht durch Kapitulation. Durch Optimierung.
Die Organisation tauscht nach und nach Spielraum gegen Bequemlichkeit. Weil jedes einzelne Tauschgeschäft rational wirkt, sieht niemand, wie viel Freiheit in der Summe verschwunden ist.
Die Klausel trägt den Ausstieg nicht
Ernsthafte Unternehmensverträge denken die Kündigung bereits mit. Klauseln, Fristen, Rückgabe der Daten, Übergangshilfe, Löschbescheinigungen, Weiterbetrieb.
Juristinnen prüfen. Die Beschaffung genehmigt. Der Verwaltungsrat atmet auf. Wir haben eine Exit-Strategie.
Vielleicht.
Vertraglicher Ausstieg und betrieblicher Ausstieg sind verschiedene Dinge. Der Lieferant kann jede Pflicht erfüllen, und die Kundin kommt trotzdem nicht los.
Die Dateien kommen wie versprochen. Das System lässt sich nicht wieder aufbauen. Die Lizenz endet planmässig. Der Ersatz liegt sechs Monate zurück. Der Lieferant leistet Übergangshilfe. Intern versteht niemand die gewachsene Architektur gut genug, um sie zu steuern.
Der Vertrag hat gehalten. Der Ausstieg ist gescheitert.
Deshalb darf Ausstiegsfähigkeit kein Dokument bleiben. Sie muss Können werden.
Den Ausstieg proben
Anderswo kennt man das Prinzip.
Ein Sicherungslauf gilt nicht als zuverlässig, weil der Auftrag SUCCESS schreibt. Man stellt wieder her.
Ein Notbetrieb gilt nicht als glaubwürdig, weil eine Zweitumgebung existiert. Man prüft das Umschalten.
Notfallverfahren gelten nicht, weil jemand sie aufgeschrieben hat. Man übt sie.
Ausstiegspläne verdienen dieselbe Härte.
Eine echte Last verschieben. Echte Daten anderswo aufsetzen. Ein zweites Identitätssystem wirklich betreiben. Eine Anwendung aus dokumentierten Bindungen neu bauen. Die Dauer messen. Festhalten, was bricht. Wissen finden, das nur in Köpfen sitzt. Den Vertrag heben, an den sich niemand erinnerte. Das Format erkennen, das alle für offen hielten. Sehen, welche Alternative in PowerPoint überzeugte und unter Produktionslast fiel.
Dann nachbessern.
Ein geprobter Ausstieg ist teuer. Ein ungeprobter ist Einbildung.
Ungenutzte Alternativen verfallen
Ein weiteres Problem: Alternativen verfallen, wenn niemand sie braucht.
Das kennt man überall. Der Zweitlieferant existiert und erhält fast keine Aufträge. Die Wiederanlaufumgebung existiert und läuft auf alten Ständen. Die quelloffene Alternative ist installiert, und niemand arbeitet damit. Das Handverfahren steht in der Dokumentation, und seit Jahren hat es niemand ausgeführt. Ein zweites Cloud-Konto existiert, und jede Automatisierung zielt auf das erste.
Formal bleibt Reserve. Betrieblich löst sie sich auf.
Daraus folgt eine merkwürdige Pflicht. Was wichtig genug ist, um es zu halten, muss gelegentlich benutzt werden. Nicht weil es besser wäre. Weil Können Übung braucht.
Deshalb ist ein Vorhaben wie der Schweizer BOSS-Versuch mehr als eine Beschaffungsdebatte.
Die Frage ist nicht, ob quelloffene Bürosoftware Microsoft 365 morgen ersetzen soll. Die Frage ist, ob die Schweiz genug Wissen, Infrastruktur und Übung behält, um eine echte Wahl zu haben, wenn sich die Lage ändert.
Das ist ein erwachseneres Ziel.
Geopolitik sitzt in der Architektur
Technologiebeschaffung galt lange vor allem als kaufmännische Sache. Preis, Leistung, Funktionen, Sicherheit, Betreuung, Anbindung.
Das bleibt wichtig.
Technik liegt aber näher an geopolitischer Macht als früher. Halbleiter lassen sich beschränken. Cloud-Dienste unterliegen Rechtsordnungen. Softwareverteilung lässt sich stören. Lieferketten werden zu Politik. Übernahmen ändern Eigentum. Regierungen verhängen Sanktionen. Ausfuhrkontrollen definieren neu, welche Technik an wen und unter welchen Bedingungen verkauft werden darf.
Die Wahrscheinlichkeit, dass eine einzelne Bindung morgen wegfällt, mag klein bleiben. Die Folge kann trotzdem gewaltig sein.
Das ändert die Architekturfrage. Hängen kritische Systeme an Technik jenseits der eigenen Kontrolle, wird geopolitisches Risiko zu einer Eigenschaft des Systems.
Nicht weil ausländische Lieferanten von Natur unzuverlässig wären. Weil fremde Verfügung existiert.
Eine Bindung kann völlig vernünftig bleiben und trotzdem einen Ausweg verlangen.
Die Frage, die in der Prüfung fehlt
Vielleicht gehört deshalb in Architekturprüfungen eine andere Frage.
Wir investieren enorme Mühe darin, ob ein Entwurf skaliert. Hält er zehnfachen Verkehr? Überlebt er den Ausfall eines Servers? Kommt er von einem Datenbankstillstand zurück? Bleibt er sicher? Erfüllt er den SLA?
Vernünftige Fragen.
Daneben gehört eine weitere:
Wie hören wir auf, es zu nutzen?
Was muss heraus? Was muss neu entstehen? Welches Wissen muss überleben? Welche Standards tragen? Welche Bindungen liegen darunter? Wie viel Zeit braucht die Migration? Wer darf sie auslösen? Was liefe während des Übergangs weiter? Was nicht? Und wann haben wir das zuletzt bewiesen?
Dann sieht Ausstiegsarchitektur nicht mehr nach Beschaffungshygiene aus. Sie wird zur Arbeit an der Widerstandsfähigkeit.
Der Exit-Test
Man nehme jede wichtige Bindung.
Die Cloud. Den KI-Anbieter. Die Identitätsplattform. Das ERP. Das Zahlungsnetz. Den Chip-Lieferanten. Die Kommunikationsinfrastruktur. Das Codearchiv. Die Bürosuite. Den Logistikdienst. Die Energiequelle.
Dann stelle man sich vor, die Beziehung ändert sich morgen. Der Lieferant fällt aus. Das Produkt wird eingestellt. Preise werden untragbar. Eine Übernahme verändert das Risiko. Das Recht ändert sich. Geopolitische Lagen verschlechtern sich. Oder die Technik ist schlicht nicht mehr die richtige Wahl.
Sechs Fragen.
Bekommen wir, was zählt?
Kann etwas anderes die Funktion tragen?
Können wir während des Übergangs arbeiten?
Haben wir das Können noch?
Schaffen wir den Wechsel rechtzeitig?
Haben wir die Befugnis zu handeln?
Lauten alle sechs Antworten ja, mag die Bindung tief sein. Sie bleibt steuerbar.
Lauten mehrere nein, mag die Organisation noch Verträge, Server und Daten besitzen. Sie mag ausserordentlich effizient sein. Sie mag ausgezeichnete Lieferanten haben. Sie mag glauben, die Kontrolle zu halten.
Übertragen hat sie trotzdem etwas Wesentliches: die Fähigkeit, anders zu wählen.
Souveränität beginnt dort, wo es unbequem wird
Es ist nichts falsch daran, die beste verfügbare Technik zu wählen. An schwächerer inländischer Technik ist nichts von Natur souverän. Es ist nichts Edles daran, Allerweltsinfrastruktur neu zu bauen, nur weil sie zuerst anderswo entstand.
Souveränität verlangt nicht, Bindung zu meiden. Sie verlangt zu verstehen, was die Bindung jenseits des Preises kostet.
Jede Bequemlichkeit erzeugt eine Annahme. Jede Annahme kann zur Bindung werden. Jede Bindung gibt ein Mass an Kontrolle ab. Die meisten dieser Abgaben sind tragbar. Manche sind enorm nützlich.
Der Fehler ist, sie unsichtbar werden zu lassen.
Eine souveräne Organisation kann amerikanische Cloud-Dienste, europäische Infrastruktur, chinesische Hardware, Schweizer Software und quelloffene Bibliotheken von Menschen nutzen, die sie nie getroffen hat.
Der Ursprung entscheidet nicht. Entscheidend ist, ob genug Alternativen, Wissen und Befugnis bleiben, um den Kurs zu ändern.
Das ist schwerer als Beschaffung. Schwerer als Standort. Schwerer als Regulierung. Schwerer als eine Ausstiegsklausel.
Denn echter Spielraum muss gehalten werden, während alles läuft. Und während alles läuft, gibt es immer etwas Dringenderes.
Genau deshalb zählt es.
Bindungen entdeckt man gewöhnlich, wenn sie reissen. Man sollte sie entdecken, solange sie tragen.
Die letzte Probe einer Abhängigkeit ist nicht, ob sie funktioniert, solange die Beziehung gut ist. Die Probe ist, ob man noch handlungsfähig ist, wenn die Beziehung endet.
Nicht der Vertrag macht souverän.
Souverän ist, wer gehen kann.