Open Source Software in der Stadtverwaltung

Bei der Anschaffung von Software für die Stadtverwaltung Frankfurt am Main werden in der Regel bereits jetzt proprietäre Softwareprodukte sowie Open Source Software gleichermaßen in Erwägung gezogen und auf Eignung geprüft. Die Eignungsprüfung bezieht sich, neben wirtschaftlichen und sicherheitsrelevanten Aspekten, insbesondere auch auf Kriterien der Nutzbarkeit auf fachlicher Basis, sowie der anfallenden personellen Aufwände bezogen auf den Betrieb und den Support der Software im gesamtstädtischen IT-Kontext. Bei gleichwertiger Eignung in Bezug auf die angeführten Kriterien können Open Source Produkte bei der Softwareanschaffung wie im Beschluss vorgesehen bevorzugt werden.

Bei der Durchführung der Eignungsprüfung sind insbesondere die Aufwände für den Support sowie die fachliche Perspektive genau zu analysieren, um die personellen und finanziellen Ressourcen realistisch einschätzen zu können.

Prinzipiell ist bei der Anschaffung von Software die zentrale von fachspezifischer Software zu unterscheiden. Die zentrale Software im gesamtstädtischen Kontext wird als sogenannte Kat 1 Software zentral vom Amt 16 beschafft und die Lizenzen verwaltet, hierbei handelt es sich beispielsweise um Office-Produkte. Bei der Beschaffung von zentraler Software werden Open Source Produkte in die Evaluierung mit einbezogen, bei Office Produkten z.B. die Phönix Suite als Arbeitsplatz für eine souveräne Verwaltung.

Die Anschaffung fachspezifischer Software unterliegt der Verantwortung des jeweiligen Fachbereichs der jeweils entsprechenden Dienststelle und kann nur schwer zentralisiert werden, da zur Beschaffung die Fachexpertise notwendig ist. Auch besteht Bereitschaft, entsprechende Open Source Software in Betracht zu ziehen.

Eine allgemeine Zentralisierung der Softwarebeschaffung aus gesamtstädtischer Perspektive wird als nicht zielführend angesehen, da insbesondere für die Fachsoftware die fachliche Expertise maßgebend bei der Auswahl ist und nicht durch eine zentrale Stelle verantwortungsvoll übernommen werden kann.

Die Stadt Frankfurt am Main verfügt aktuell gesamtstädtisch betrachtet über keine Möglichkeiten, eigenständige Softwareentwicklung zu betreiben, um vollumfängliche, für den Geschäftsbetrieb kritische, geeignete Software programmieren und unterstützen zu können. Hierzu fehlt es sowohl an personellen als auch an finanziellen Ressourcen. Entsprechend verfügt die Stadtverwaltung über keine Softwareprodukte, die der Öffentlichkeit zur Verfügung gestellt werden können. Des Weiteren ist das Aufgabenspektrum der Softwareentwicklung von einer öffentlichen Verwaltung nicht gesetzlich vorgegeben und würde immense Kosten verursachen.

Sollte im Auftrag eines Fachbereichs eine Softwareentwicklung durch externe Dienstleister durchgeführt worden sein, ist zu prüfen, ob die Offenlegung des Quellcodes auch vor dem Hintergrund von Sicherheitsaspekten möglich ist, bzw. welcher Mehrwert sich daraus ergeben würde, denn meist handelt es sich bei den Eigenentwicklungen um fachspezifische Software im Verwaltungskontext, die keine Anwendung in der Öffentlichkeit findet.

Die Stadt Frankfurt verfügt aufgrund des SNOW-Systems (Software Asset Management und Software Inventarisierung) mittlerweile über umfassende Informationen der in der Stadtverwaltung Frankfurt am Main eingesetzten Software-Produkte.

Eine Veröffentlichung der bei der Stadt Frankfurt eingesetzten Software-Produkte wird aus Sicht der Informationssicherheit als äußerst kritisch gesehen. Angreifer sind mit den zur Verfügung gestellten Informationen über die eingesetzten Produkte in der Lage, gezielte Angriffsszenarien zu entwickeln und umzusetzen, denn die Publizierung einer Softwareliste ermöglicht potentiellen Hackern eine Einsicht in die verwendeten Softwareprodukte und verringert entsprechend die Hürde für potentielle Hackerangriffe. Neben dem unklaren Nutzen für die Öffentlichkeit und für die Stadtverwaltung sind weitere Aspekte zu berücksichtigen, wie Vertrags- und Lizenzbedingungen der Softwarehersteller. Das Risiko der Veröffentlichung der eingesetzten Software beziehungsweise der Lizenz- oder Supportinformationen ist im Vergleich zum möglichen Nutzen für die Öffentlichkeit zu groß und stellt überdies auch ein unnötiges, nicht BSI-konformes Risiko für die Informationssicherheit der Stadtverwaltung dar.