Dramatische digitale Inkompetenz

Es mag etwas harsch klingen, aber die Nutzung – und allzu oft Nichtnutzung – der digitalen Möglichkeiten zur Bewältigung der Pandemiesituation lässt sich aus meiner höchstpersönlichen Sicht mit nur drei Worten umschreiben: Dramatische digitale Inkompetenz!

Damit meine ich nicht „nur“ das bildungspolitische Totalversagen, auch nach über einem Jahr nicht flächendeckend digital unterrichten zu können – wenn man schon vorher nicht dafür gerüstet war. Und mir geht es auch nicht nur darum, dass zahllose Behörden noch immer keine zeitgemäßen digitalen Tools im Einsatz haben, Fördergelder nicht auszahlen können und, anders als die meisten Unternehmen, analog und in Präsenz statt aus dem Homeoffice arbeiten. Es gibt zahllose Beweise für die bestehende Ahnungs- und Hilflosigkeit.

Ein weiteres Paradebeispiel dafür: der Umgang mit der digitalen Kontaktnachverfolgung. Dass es nur eine Frage der Zeit war, bis eine echte Pandemie auch Europa heimsuchen wird, war ebenso Erstsemester-Wissen in Virologie wie die Bedeutung einer Kontaktnachverfolgung. Wenn der Staat also schon nicht für solch eine Situation vorsorgt, dann ist es schon erstaunlich, dass es bis Mitte Juni letzten Jahres gedauert hat, um mit durchaus erklecklichen Kosten die Corona-Warn-App (CWA) zu entwickeln – sozusagen in den Ramp-up nach dem Lockdown hinein.

Und dann kam der Sommer. „Gefühlt“ war Corona vorbei. Und was passiert monatelang in der Wahrnehmung der Nutzer und der Öffentlichkeit? Nichts. Und so kam dann die zweite Welle, von der unzweifelhaft klar war, dass sie kommen wird – ebenfalls Erstsemesterwissen in Virologie.

Weder wurde der Sommer genutzt, um im Bildungsbereich die Digitalisierung einschließlich Knowhow-Aufbau der Lehrkräfte ernsthaft voranzutreiben, noch hatte die Verwaltung ihre wichtigsten Hausaufgaben erledigt.

Wer beispielsweise gedacht hatte, dass der Staat sich darauf vorbereitet, existenzsichernde Unterstützungsleistungen auch wirklich auszahlen zu können, wer gedacht hatte, dass in der Finanzverwaltung die entsprechenden IT-Voraussetzungen geschaffen werden, der sah sich bitter enttäuscht. Auch die CWA wurde nicht grundlegend weiterentwickelt. Keiner hat offensichtlich im Sommer darüber nachgedacht, was noch fehlen könnte. Einfach nur verschenkte Zeit. Verschenkte Zeit bei grob fahrlässiger Missachtung der digitalen Möglichkeiten, die einen erheblichen Beitrag zur Minderung der Folgen der sicheren zweiten Welle hätten leisten können.

Und je schneller und intensiver die zweite Welle hereinschwappte, umso schneller zeigte sich auch ein Grundproblem, das Unternehmen und ihre Führungskräfte im Zusammenhang mit der Digitalisierung ihrer Prozesse schon lange kennen. Der entscheidende Entwicklungsschritt ist, schnell und trotzdem sehr gründlich zu überlegen, was man erreichen will; wofür ein Tool oder ein Prozess gut sein soll. Wer vorher nicht ausreichend nachdenkt, der entwickelt etwas, das hinterher für den echten Bedarf nicht brauchbar ist. Das ist kein Vorwurf an die Entwickler, sondern an die, die briefen, an die, die das Ziel definieren – oder eben auch falsch oder gar nicht definieren. Oft ist es dann so, dass „am vorderen Ende“ wegen unklarer oder falscher Vorgaben eine Architekturentscheidung getroffen wird, die hinterher dazu führt, dass die Software oder der Prozess nicht tauglich ist. Digitalisierung entlarvt eben gerade auch Schwächen in der analogen Welt und Defizite im finalen Denken.

Und so war es offenkundig auch hinsichtlich der digitalen Kontaktnachverfolgung – zumindest aus Sicht einiger Gesundheitsbehörden. Doch statt nun schnell zu definieren, was man wirklich benötigt, und die CWA sofort anzupassen, ersetzt operative Hektik angemessene Strategieentwicklung und Planung.

Das ruft dann naturgemäß die Privatwirtschaft auf den Plan, die als Ersatz mit „heißer Nadel“ etwas strickt, das, vorbei an allen Beschaffungsregeln und, viel schlimmer, ohne ernsthafte fachliche Prüfung, gekauft, empfohlen und in Gesetze eingebunden wird: Die Luca App. Einmal mehr zeigt sich schnell, dass auch diese Entscheidung nicht wirklich gründlich genug durchdacht und abgestimmt war. Einmal mehr operative Hektik. Und während die Kritik immer größer wird, springen dessen ungeachtet immer mehr Landesregierungen auf den Zug auf.

Es ist schon bemerkenswert, dass all dies passiert, obwohl nicht „nur“ in einigen kleinen Spezialisten-Foren Kritik kursiert: Aktuell haben mehr als 70 führende deutsche IT-Sicherheitsfachleute aus Wissenschaft und Praxis in einer gemeinsamen Stellungnahme der Luca App eine schallende Ohrfeige verpasst, weil sie keines der aus ihrer Sicht elementaren Sicherheitsprinzipien einer solchen Anwendung befolgt! Ich bin kein Fachmann und kann es auch inhaltlich kaum beurteilen, aber aufmerken lässt es mich schon. Gleichzeitig hat sich die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder überaus kritisch zur Luca App geäußert. Man muss es sich einmal auf der Zunge zergehen lassen, die obersten Datenschützer sagen mit Bezug auf die Luca App unter anderem:

„Nach dem derzeitigen Stand kann daher ein qualifizierter Angriff von Dritten gegen die zentralen IT-Systeme des Dienstes dazu führen, dass ab dem Zeitpunkt eines erfolgreichen Cyberangriffs die Funktionsweise des Luca-Systems manipuliert wird und im schlimmsten Fall die Angreifenden in großem Umfang Daten über die Anwesenheit von Personen bei Veranstaltungen etc. entschlüsseln und ausleiten können.“

All das drängt natürlich die Frage auf, wo in den Ministerien – und das ist ausdrücklich eine Frage der Exekutive und nicht der Legislative – die Fachleute sind, die so etwas verhindern. Ich gehöre nicht zu denen, die glauben, dass sie nicht da sind; aus meiner Sicht können sie sich schlicht nicht durchsetzen. Und das ist symptomatisch für eine Kultur und Organisationsstruktur, die in weiten Bereichen der Wirtschaft seit einigen Jahren überholt ist. Das Problem besteht top down. Ebenso in der Bundesregierung: Echte Digitalexperten sitzen, auch in den meisten Ministerien und Landesregierungen, allenfalls am Katzentisch, ohne Durchschlagskraft als Feigenblatt, damit die anderen Ressorts analog weiterwurschteln können – denn für Digital ist ja der am Katzentisch zuständig.

Viele Unternehmen sind schon lange über die Phase hinaus, in der ein Chief Digital Officer der einzige Digitalkompetente in der Unternehmensführung ist. Sie haben verstanden, dass es kein digital oder analog mehr gibt. Fünfzig Jahre nach der Entstehung des Internets, vierzig Jahre nach Beginn der Verbreitung von PC und über zehn Jahre nach dem beginnenden Siegeszug der Smartphones ist den meisten Unternehmen klar, dass alle Führungskräfte umfassend unter Einbezug der digitalen Möglichkeiten denken und handeln müssen, wenn das Unternehmen eine Zukunfts-Chance haben soll. Die deutschen Verwaltungsorgane sind noch vor dem Stadium der Einführung eines CDO mit Durchschlagskraft, der die anderen Ressorts in die neue digitale Welt zwingt, die im „echten Leben“ schon längst nicht mehr neu ist.

Die dramatische digitale Inkompetenz ist weit mehr als nur ein Schönheitsfehler. Sie beeinträchtigt zunehmend unsere internationale Wettbewerbsfähigkeit und behindert uns dabei, sachgerechte Antworten auf dringende Fragen zu geben. In der Pandemie zeigt sich das schmerzlich an allen Ecken und Enden.

Zurück zur digitalen Kontaktnachverfolgung: Dieses planlose Umherirren hat viele Konsequenzen. Die wichtigste ist, dass auf sträfliche Weise Chancen verpasst werden, die Gesundheit der Menschen zu schützen. Einhergehend damit werden den Menschen Freiheiten genommen und die Wirtschaft wird massiv durch Maßnahmen geschädigt, von denen zumindest einige so nicht sein müssten, würde man all die digitalen Möglichkeiten mit Sinn und Verstand nutzen.  

Gleichzeitig, und das ist zugegebener Maßen das vergleichsweise geringste Übel, schafft man für die Unternehmen eine kaum beherrschbare Komplexität. Und das in Zeiten, in denen gewiss keine Langeweile herrscht – auch durch den täglichen Bedarf zur Reaktion auf zahllose kurzfristigst kommunizierte Regelwerke, die bis hinunter auf die kommunale Ebene reichen, ihrerseits oft operativer Hektik entspringen und handwerklich schlecht erstellt sind.

Am Beispiel von Luca und CWA wird man in eine lose-lose-Situation gezwungen: In meiner Rolle als CEO sehe ich mich deutlichen Anfeindungen ausgesetzt, weil wir entschieden haben, dem Aufruf zahlreicher Regierungen und Gesundheitsbehörden zu folgen, und die Nutzung der Luca App zu ermöglichen. Ich kann die Kritik an der App zumindest teilweise sehr gut verstehen, aber sie geht an die falsche Adresse:

Es kann nicht Aufgabe von Unternehmen sein, im innerbehördlichen Konflikt Partei zu ergreifen und staatliche Aufforderungen zu missachten, auch wenn dies vermutlich zumindest hinter vorgehaltener Hand die staatlichen Datenschützer begrüßen würden. Es ist auch nicht die Aufgabe eines Unternehmens, Kunden zu verweigern, eine staatlich legitimierte und geforderte App zu nutzen. Und das gilt auch dann, wenn man als Unternehmen eigene oder fremde vertrauliche Daten nicht sehenden Auges aktiv in ein so strukturiertes System einstellen würde. Es ist Aufgabe des Staates, für eine klare und planbare Situation zu sorgen – und nicht durch operatives Chaos und unüberlegtes, widersprüchliches Handeln inhärente Konflikte heraufzubeschwören.

Überrascht vom Erfolg der Luca App, den man selbst hervorgerufen hat, wurde nun also mühsam nachgebessert und in der eigenen App (der CWA) eine QR-Code Lösung veröffentlicht, die aber natürlich – anders als angekündigt – nicht mit den Luca QR Codes arbeitet oder umgekehrt. Und während die Datenschützer und manch andere staatliche Stelle nun den Einsatz der CWA fordern, setzen andere unbeirrt auf Luca. Glaubt jemand ernsthaft, dass ohnehin bereits verunsicherte Bürger beides nutzen und dass es den Unternehmen zumutbar ist, doppelten Aufwand zu betreiben und sich der Kritik beider Lager auszusetzen?

Schaut man dann auf die CWA-Lösung, so reibt man sich als Filialist im Detail die Augen: Kann es wirklich sein, dass eine Lösung auf den Markt kommt, bei der es keine andere Möglichkeit gibt, als QR Codes einzeln mit dem Handy zu erzeugen? Offenkundig hat keiner darüber nachgedacht – oder soll tatsächlich ein Mitarbeiter mit einem eigens dafür konfigurierten Firmenhandy tausende QR Codes für viele hundert Läden einer Filialkette erzeugen?

Zum Glück, und das ist einer der Vorteil von Open Source, hat die Community schnell einen QR Code Generator für die CWA gebaut (bei der Gelegenheit ein großes Dankeschön an die Entwickler!). Nun rollt man also als Unternehmen zwei QR Codes aus, weil „der Staat“ einerseits eine datenschutzgerechte eigene App hat, gleichzeitig aber eine damit inkompatible App fördert und deren Einsatz fordert.

Und als ob all das nicht genug wäre, ist man offenkundig stolz darauf, dass jetzt daran gearbeitet wird, eine Lösung nachzuliefern, bei der dann doch ein QR-Code für beide Apps genutzt werden kann. Einführungsdatum: ungewiss. Ein gemeinsamer QR-Code, der aber, wenn die Lösung irgendwann steht, neu erzeugt werden muss. Also zum dritten Mal tausende Codes generieren, vor Ort austauschen, mit allem, was damit verbunden ist.

Hätte jemand am Anfang (also spätestens im März 2020) darüber nachgedacht, was wirklich gewollt ist und gebraucht wird, hätte man all das wesentlich einfacher, schneller und kostengünstiger entwickeln können. In einer App. Und zwar vorzugsweise in einer, die den Anforderungen von IT-Sicherheit und Datenschutz genügt. Wir hätten seit Monaten eine taugliche digitale Kontaktnachverfolgung, die zweite und dritte Welle wären vermutlich milder verlaufen, wir hätten Freiheitsrechte geschützt, Milliarden gespart, einige Existenzvernichtungen vermieden und es wären vor allem weniger Menschen in Leid gestürzt worden oder gar gestorben.

Und zum Abschluss benenne ich noch einmal eine der Ursachen für all das: Dramatische digitale Inkompetenz. Wir dürfen uns diesen digitalen Dilettantismus auf oberster Ebene nicht länger erlauben, wir müssen handeln und es ändern – jetzt!