E-Mail-Souveränität: Deutsche Kommunen setzen auf heimische Anbieter

Deutsche Kommunen bevorzugen heimische Anbieter

Eine Studie unter Beteiligung der Technischen Hochschule Nürnberg hat die E-Mail-Infrastruktur von mehr als 15.000 kommunalen Domains in Deutschland, Österreich und der Schweiz untersucht. Das Ergebnis: Von 11.129 untersuchten deutschen Kommunen setzen 86,7 Prozent auf einen heimischen Anbieter. Nur 7,2 Prozent nutzen US-amerikanische Cloud-Dienste, wobei Microsoft 365 mit 793 Kommunen klar dominiert. Google kommt lediglich auf acht Kommunen.

Im Vergleich dazu fällt die Abhängigkeit in den Nachbarländern deutlich höher aus. In Österreich betreiben 67 Prozent der Kommunen ihre E-Mail-Dienste über US-Anbieter, in der Schweiz sind es 53,3 Prozent. Auch dort liegt Microsoft 365 vorn.

Große Unterschiede zwischen den Bundesländern

Innerhalb Deutschlands variiert die Abhängigkeit von US-Cloud-Diensten stark. Bayern verzeichnet mit 18,7 Prozent den höchsten Anteil, gefolgt von Hessen mit 12,3 Prozent. Besonders gering ist die Nutzung in Nordrhein-Westfalen mit 0,3 Prozent, Schleswig-Holstein mit 2,4 Prozent und Rheinland-Pfalz mit 2,9 Prozent. In Hamburg, Bremen und Berlin fand die Untersuchung bei den kommunalen Domains keine US-Cloud-Nutzung. Die Forscher führen das auf starke kommunale oder öffentlich getragene IT-Dienstleister zurück.

Sicherheitskonfiguration bleibt lückenhaft

Digitale Souveränität schützt allerdings nicht automatisch vor technischen Schwachstellen. Zwar verfügen 87,5 Prozent der deutschen kommunalen Domains über einen SPF-Eintrag, eine strikte Konfiguration setzen jedoch nur 35,9 Prozent um. Bei DMARC sieht es ähnlich aus: 50,7 Prozent haben den Mechanismus eingerichtet, eine konsequente Reject-Policy nutzen aber lediglich 16,9 Prozent. DANE, das die Transportverschlüsselung zusätzlich absichert, findet sich bundesweit nur bei 1,6 Prozent der Domains.

Auffällig ist, dass US-Anbieter bei strikter SPF-Konfiguration besser abschneiden, bei DMARC jedoch schlechter. Heimische Anbieter kommen hier auf 17,1 Prozent konsequente Konfiguration, US-Cloud-Anbieter nur auf 7,9 Prozent. DANE wird fast ausschließlich bei heimisch betriebener Infrastruktur eingesetzt. Die Studie schlussfolgert, dass der Anbieter eher die Art der Sicherheitskonfiguration beeinflusst als das allgemeine Sicherheitsniveau.

Was das für Beschäftigte in der Verwaltung bedeutet

Für Beschäftigte in der Kommunalverwaltung, insbesondere in der IT, zeigt die Studie konkreten Handlungsbedarf. Wer in diesem Bereich arbeitet oder sich dafür interessiert, trifft auf ein Thema, das zunehmend Priorität bekommt: die Absicherung der eigenen Domain gegen Spoofing-Angriffe. Die Forscher empfehlen, nicht nur den Anbieter selbst zu kennen, sondern auch dahinterliegende Plattformen und Gateways nachzuvollziehen. Bei Beschaffungsentscheidungen sollten zudem langfristige Abhängigkeiten und die Möglichkeit eines späteren Anbieterwechsels mitgedacht werden.

Solche Aufgaben betreffen IT-Fachkräfte sowohl im Beamtenverhältnis als auch im Tarifbeschäftigungsverhältnis. Wer eine entsprechende Stelle sucht, findet aktuelle Ausschreibungen unter StaatsJobs.com, auch bei Landesbehörden und beim Bund, wo digitale Souveränität ebenfalls ein zentrales Thema ist.