RegMo: Behördenübergreifender Datenaustausch für Millionen Bürger:innen – Teil 3
Im zweiten Teil habe ich zwei der drei zentralen Herausforderungen bei der technischen Anbindung an das BVA konkret erläutert. Im letzten Teil gehe ich der noch offene Frage nach, wie sich echte Transparenz für Bürger:innen schaffen lässt, damit niemand das Gefühl hat, die Kontrolle über die eigenen Daten zu verlieren.
Am Ende gehe ich auf die grundlegenste Frage ein: Welcher Mehrwert entsteht daraus tatsächlich für Bürger:innen, Verwaltung und Staat? Eine mögliche Antwort darauf liefert der NOOTS-Staatsvertrag.
Transparenz für Bürger:innen: das Mengenproblem des Protokolls
Je mehr Daten zwischen Behörden fließen, desto wichtiger wird das Vertrauen der Bürger:innen. Automatisierter Datenaustausch darf keine Blackbox sein. Genau hier setzt das Datenschutzcockpit an: Es gibt Bürger:innen die Möglichkeit, jederzeit nachzuvollziehen, was mit den eigenen Daten geschieht, und sorgt so dafür, dass die Kontrolle bei ihnen selbst bleibt.
Wie bereits in Teil 1 zur Bürgerlesbarkeit erläutert, müssen diese XML-Dateien für den Bürger verständlich aufbereitet sein. Diese Optimierung auf Bürgerlesbarkeit darf dabei nicht erst beim Abruf über das Cockpit erfolgen, sondern muss bereits vorher sichergestellt sein, also schon beim Erzeugen und Ablegen der XML-Datei. Nur so lässt sich die geforderte Antwortzeit von unter 0,5 Sekunden einhalten, denn eine nachträgliche Aufbereitung oder Transformation der Inhalte zur Laufzeit wäre in diesem engen Zeitfenster kaum realisierbar.
Auch das Datenschutzcockpit selbst hat eine klare Antwortzeitanforderung: Ein Abruf durch das Cockpit muss innerhalb von 0,5 Sekunden beantwortet werden. Hinzu kommt eine Aufbewahrungsfrist von 2 Jahren, denn nur für diesen Auskunftszeitraum liegen Protokolldaten vor, die den Bürger:innen angezeigt werden können.
Die Kombination aus einer Antwortzeit von unter einer halben Sekunde und Aufbewahrungszeit von zwei Jahre führt direkt zum eigentlichen technischen Kernproblem dieses Bereichs: der schieren Datenmenge. Jede Datenübermittlung erzeugt nicht einen, sondern zwei Protokolleinträge, denn Abfrage und Antwort müssen beide protokolliert werden. Rechnet man das hoch, ergibt sich folgendes Bild:
33.000.000 gespeicherte Personendatensätze einer Behörde
× 2 (Abfrage und Antwort werden protokolliert)
× 12 Monate
× 2 Jahre (Aufbewahrungsfrist)
─────────────────────────────────────────────────────
= 1.584.000.000 ProtokolleinträgeDiese Rechnung geht von genau einem Austausch pro Bürger:innen und Monat aus. Finden mehrere Austausche pro Monat statt, steigt die Zahl der Protokolleinträge entsprechend proportional an. Es handelt sich also um ein Rechenbeispiel auf Basis dieser Annahme und nicht um einen starren Höchstwert. Wichtig ist außerdem, dass diese Zahlen nicht aus einer abstrakten Modellrechnung stammen, sondern aus dem konkreten Projekt, in dem wir selbst tätig waren, und damit reale Größenordnungen widerspiegeln.
Rund 1,58 Milliarden Protokolleinträge müssen also dauerhaft in einem rollierenden Fenster von zwei Jahren vorgehalten werden. Eine Abfrage über das Cockpit muss in dem Datenbestand innerhalb weniger als einer halben Sekunde ein Ergebnis liefern.
Das ist der Punkt, an dem naive Ansätze scheitern. In der Praxis hat sich ein geteilter Speicheransatz bewährt. Eine relationale Datenbank übernimmt die Indizierung und ermöglicht die schnelle Suche anhand der IDNr. Die eigentlichen XML-Dateien mit den fachlichen Inhalten werden dagegen in NoSQL-Datenbank, einem Objektspeicher oder einem Blobspeicher abgelegt. Der relationale Index bleibt so schlank und schnell, während die voluminösen Nutzdaten dort liegen, wo sie günstig und in Masse gespeichert werden können.
Ebenso wichtig wie das Schreiben und Lesen ist die Bereinigung der Protokolldaten. Die Frist von zwei Jahren bedeutet nicht nur, dass Daten vorgehalten, sondern auch, dass abgelaufene Einträge zuverlässig wieder gelöscht werden müssen. Heikel wird das, weil dieses Löschen parallel zum laufenden Schreiben und Abfragen der Protokolldaten geschehen muss: Rund 66 Millionen neue Einträge pro Monat treffen auf eine latenzkritische Leselast und auf die kontinuierliche Bereinigung. Diese drei gleichzeitigen Zugriffsarten sauber zu entkoppeln, ohne dass sie sich gegenseitig blockieren, ist eine der zentralen Betriebsherausforderungen.
Bevor im Folgenden auf die eigentliche Anbindung der Protokollierung an das Datenschutzcockpit eingegangen wird, lohnt sich zunächst ein Blick auf zwei Werkzeuge, die den Umgang mit dieser Schnittstelle in der Praxis erheblich erleichtern: den DSC-Viewer und den DSC-Simulator.
– Mit dem DSC-Viewer lassen sich die XDatenschutz XML-Dateien so betrachten, wie sie später auch im Datenschutzcockpit selbst dargestellt würden. So kann bereits während der Entwicklung geprüft werden, ob die erzeugten Dateien für Bürger:innen tatsächlich verständlich aufbereitet sind, ohne dafür auf das eigentliche Cockpit angewiesen zu sein.
– Der DSC-Simulator wiederum erstellt einmalige Tokens, mit denen sich die Anbindung testen lässt, ohne dass das Datenschutzcockpit selbst dafür bereitstehen muss.
Ein weiterer wesentlicher Aspekt betrifft die Anbindung der Protokollierung an das Datenschutzcockpit selbst, denn nur über diesen Weg erhalten Bürger:innen überhaupt Zugriff auf ihre Daten. Diese Anbindung bringt eigene Schwierigkeiten mit sich: Zum einen muss sich die Protokollierung als eigenes Register im Datenschutzcockpit registrieren lassen, zum anderen muss die Übertragung zwischen Datenschutzcockpit und Protokollierung durchgehend sicher erfolgen. Dafür müssen mehrere Zertifikate ausgetauscht und auf beiden Seiten berücksichtigt werden, damit die Kommunikation vollständig abgesichert ist. Aus eigener Erfahrung lag der größte Aufwand in der Organisation der Zertifikate und der Registrierung als eigenes Register im Datenschutzcockpit, der größte Teil des Aufwands lag.
NOOTS: der Mehrwert für Bürger:innen, Verwaltung und Staat
NOOTS steht für Nationales Once Only Technical System und ist das zentrale technische System, mit dem Bund, Länder und Kommunen künftig Nachweise und Daten automatisiert untereinander austauschen sollen. Dahinter steckt das sogenannte Once-Only-Prinzip: Bürger:innen müssen einen Nachweis künftig nur noch einmal bei einer Behörde einreichen. Bei allen weiteren Verfahren holt sich die Behörde den Nachweis selbst bei der Stelle, die ihn bereits hat. Das erspart den Menschen wiederholte Antragswege, das erneute Ausfüllen von Formularen und das mühsame Zusammensuchen von Dokumenten.
Die rechtliche Grundlage dafür liefert der NOOTS-Staatsvertrag. Bund und Länder verständigen sich bereits im Dezember 2024 auf den Vertrag; anschließend musste er jedoch noch von den einzelnen Länderparlamenten ratifiziert werden. Seit Februar 2026 ist er in Kraft und schafft damit erstmals eine gemeinsame rechtliche Grundlage für Aufbau und Betrieb von NOOTS.
Innerhalb von NOOTS gibt es zwei zentrale Rollen: den Data-Consumer und den Data-Provider.
– Der Data-Consumer ist die Stelle, die einen Nachweis benötigt, etwa eine Behörde, die im Rahmen eines Verwaltungsverfahrens auf eine bestimmte Information angewiesen ist.
– Der Data-Provider ist demgegenüber die Stelle, die diesen Nachweis tatsächlich bereitstellt, in der Regel also das Register, in dem die entsprechende Information geführt wird.
Ein und dieselbe Behörde kann dabei je nach Anwendungsfall in beiden Rollen auftreten, einmal als anfragende und einmal als liefernde Stelle.
Der eigentliche fachliche Austausch der Nachweise läuft dabei über den Standard XNachweis: Darüber stellt der Data-Consumer seine Nachweisanfrage, und der Data-Provider antwortet im gleichen Format mit den angeforderten Daten oder einer entsprechenden Fehlermeldung.
Die technische Anbindung erfolgt für beide Rollen über den Sicheren Anschlussknoten, kurz SAK. Der SAK der zentral von NOOTS bereitgestellt wird, aber dezentral beim jeweiligen Data-Consumer oder Data-Provider läuft. Dieser ist nicht für den SAK selbst verantwortlich, sondern lediglich dafür, dass der Adapter nach außen kommunikationsfähig ist. Der SAK übernimmt zentrale Sicherheitsaufgaben wie das Ausstellen und Prüfen der benötigten Zugriffstoken, die Verschlüsselung der Kommunikation zwischen den beteiligten Stellen sowie eine Prüfung der übermittelten Nachrichten, etwa auf Schadcode.
Eine besondere Schwierigkeit ergibt sich dabei aus dem SAK selbst: Da die Kommunikation über den SAK durchgängig verschlüsselt sein muss, darf die Verbindung an einem Reverse-Proxy aktuell nicht aufgebrochen werden. Nach meinem aktuellen Kenntnisstand besteht in der Anbindung an NOOTS an dieser Stelle noch ein ungelöster Widerspruch: Die Kommunikation im NOOTS verläuft in der Praxis meist über mehrere Netzübergänge, an denen zur Absicherung häufig Firewalls oder andere Intermediärsysteme sitzen, die ein Aufbrechen der Transportverschlüsselung erzwingen. Gleichzeitig sollen die eigentlichen Punkte der fachlichen Verschlüsselung laut Anbindungsdokumentation aber genau im SAK liegen, und genau das lässt sich mit einem Aufbrechen am Reverse-Proxy nur schwer vereinbaren. Bei den dafür benötigten Zertifikaten zeigt sich zudem ein ähnliches Bild wie schon bei der Anbindung an das Datenschutzcockpit: Auch hier liegt ein erheblicher Teil des Aufwands in der Beschaffung, dem Austausch und der laufenden Pflege der Zertifikate für den SAK.
Fazit
Die Erfahrungen aus der praktischen Erfahrungen der Registermodernisierung bei virtual7 zeigen, dass der Mehrwert von RegMo nicht nur für Bürger:innen oder im behördenübergreifenden Datenaustausch entsteht, sondern ebenso innerhalb der Verwaltung. Personendubletten mussten bislang häufig aufwendig identifiziert und veraltete Personendaten manuell bereinigt werden. Außerdem sorgt die eindeutige IDNr künftig für eine deutlich höhere Datenqualität, weil Stammdaten konsistent bleiben.
Der Identitätsdatenabruf (IDA) bildet dafür die Grundlage und ist zugleich der erste Baustein der Registermodernisierung. Erst auf dieser einheitlichen Identifikation bauen die beiden weiteren Säulen auf: das Datenschutzcockpit, das Transparenz für Bürger schafft, und NOOTS, das den sicheren und standardisierten Nachweisaustausch zwischen Behörden ermöglicht. Gerade die praktische Umsetzung dieser Bausteine zeigt, dass neben technischen Standards auch der Austausch von Erfahrungen entscheidend für den Erfolg solcher Vorhaben ist.
Insgesamt wird deutlich, dass die Registermodernisierung weit mehr ist als ein technisches Infrastrukturprojekt. Die Anbindung an NOOTS und die Schaffung echter Transparenz für Bürger sind technisch, organisatorisch und fachlich anspruchsvoll. Gleichzeitig eröffnen sie große Chancen für Bürger, Verwaltung und Staat. Durch das Teilen praktischer Erkenntnisse können zukünftige Anbindungen effizienter umgesetzt werden und bereits gewonnene Erfahrungen für weitere Projekte genutzt werden.
Die Registermodernisierung schafft damit die Grundlage für schnellere Verwaltungsverfahren, reduziert die Mehrfacherhebung von Daten und ermöglicht zahlreiche weitere digitale Anwendungsfälle.
