Gesamtbild

Der Deutschland-Stack ist das Fundament für das digitale Deutschland und setzt auf offene internationale Standards (Tech-Stack).

Ziel ist eine souveräne, europäisch anschlussfähige und interoperable digitale Infrastruktur für Bund, Länder und Kommunen zu schaffen.

Dazu soll ein lebendiges Ökosystems offener Innovation etabliert und bestehende nationale und europäische Bausteine integriert werden.

Strategie

Die Strategie ist an den politischen Zielsetzungen und notwendigen Umsetzungsbedingungen ausgerichtet. Grundlage sind die Festlegungen aus Koalitionsvertrag, Modernisierungsagenda Bund und Föderal sowie die Beschlüsse aus Digitalministerkonferenz und IT-Planungsrat.

• Gemäß Koalitionsvertrag wird Ländern und Kommunen die Nutzung eines interoperablen und europäisch anschlussfähigen souveränen Deutschland-Stack ermöglicht, welcher KI, Cloud-Dienste sowie Basiskomponenten integriert. Der Aufbau soll europäische Anbieter, Lösungsmodelle und vertrauenswürdige Anbieter berücksichtigen ¹.
• Gemäß Beschlüssen der Digitalministerkonferenz wird
  • der Bund den Deutschland-Stack bereitstellen, mit der Deutschland-Architektur abstimmen, den Plattformkern verbindlich und offen zugänglich machen, Lösungen über den Marktplatz bereitstellen sowie die Länder und Wirtschaft in geeigneter Weise einbeziehen ².
  • der Bund ein zentrales Cloud-Hosting-Angebot rechtssicher und standardisiert bereitstellt, Lock-In Effekte reduziert und europäische Angebote stärkt sowie die Infrastruktur europäisch souverän ausgestaltet ³.
  • der Bund den Deutschland-Stack als Ökosystem für offene Innovationen gestaltet, offene Standards und Schnittstellen vorrangig nutzt, den Plattformkern zentral anbietet, europäische Anschlussfähigkeit sicherstellt und eine kooperatives Steuerungsmodell mit Wirtschaft und Ländern etabliert ⁴.
• Gemäß Beschluss der Ministerpräsidentenkonferenz zur föderalen Modernisierungsagenda (viertes Kapitel, Nr. 205) wird eine offene, sichere und skalierbare IT-Infrastruktur für alle föderalen Ebenen geschaffen. Der Bund baut dabei unter Einbeziehung der Länder, der Wirtschaft, der Wissenschaft und der Gesellschaft den Deutschland-Stack standardisiert und erfahrungsbasiert auf. Der Deutschland-Stack ist ein kooperatives Ökosystem mit verbindlicher und fakultativer Nutzung von Komponenten. Vorrangig werden Open Source Lösungen oder Lösungen europäisch souveräne Anbieter eingesetzt. Standards und Governance werden bis 31.03.2026 festgelegt ⁵.
• Gemäß Beschluss des Bundeskabinetts zur Modernisierungsagenda Bund (Handlungsfeld V Effiziente Verwaltung, Nr. 6) wird eine zukunftsfähige Infrastruktur bereitgestellt. Länder und Kommunen werden eingebunden, Lösungen werden modular und nachnutzbar gestaltet. Bestehende Lösungen werden berücksichtigt und Automatisierung mit KI-Unterstützung implementiert. Grundlage sind Industriestandards.

Aus den Erfahrungen bisheriger Umsetzungen und bestehender Umsetzungsbedingungen werden folgende strategische Pfeiler gesetzt:

• Nutzungs-Erlebnis
  • Die Nutzung ist intuitiv und aufwandsarm.
  • Die Lösungen sind einfach und standardisiert.
  • Das Erlebnis und die praktische Umsetzung werden kontinuierlich verbessert.
• Plattform als Grundlage und für Interoperabilität
  • Die Lösungen werden über eine zentrale Plattform bereitgestellt.
  • Die Lösungen werden nachgenutzt.
  • Der Betrieb, die Integration und die Distribution der Lösungen erfolgt automatisiert, fehlertolerant, skalierbar und für den Nutzenden unsichtbar.
  • Der Betrieb ist mit professionellen vertrauenswürdigen Dienstleistungen und Prozessen untersetzt.
• Künstliche Intelligenz, Daten und Standardisierung als Enabler
  • Künstliche Intelligenz wird aktiv genutzt um Aufgaben, Abläufe und Regelwerke zu automatisieren.
  • Daten werden standardisiert direkt miteinander ausgetauscht.
  • Die Lösungen sind auf technologisch aktuellem Stand.
• Digitale Souveränität
  • Die Lösungen werden primär dynamisch am europäischen Markt eingekauft.
  • Die notwendigen eigenen Anteile an Lösungen werden als Open Source entwickelt.
  • Die Lösungen erfüllen die bündelungsfähigen Bedarfe und bieten offene Schnittstellen sowie lokale Datenhaltung.

Architekturprinzipien

• API-First – Stack-Elemente setzen auf offene, gut dokumentierte Schnittstellen.
• Serviceorientierung und lose Kopplung – Stack-Elemente sind modular, unabhängig austauschbar und klar abgegrenzt.
• Wiederverwendbarkeit – Stack-Elemente sind qualitätsgesichert nachnutzbar.
• DevSecOps only – Stack-Elemente werden durch einen integrierten automatisierten Prozess von Entwicklung, Sicherheit und Betrieb gesteuert.
• Zero-Trust – Stack-Elemente werden flexibel mit vertrauensbildenden Maßnahmen ausgestattet.
• Technologisch aktuell – Stack-Elemente sind auf dem neuesten Stand der Technik
• Made in EU first – Stack-Elemente werden prioritär durch Produkte aus EU-Ländern umgesetzt.
• Prefer Buy over Make – Stack-Elemente werden primär als Standard-Produkte am Markt beschafft.
• Ende-Zu-Ende-Digitalisierung – Stack-Elemente müssen in Ende-zu-Ende digitalisierten und anschlussfähigen Prozessen verwendet werden.
• Managed Services only – Stack-Elemente werden durch professionelle Betriebs(Dienst)leistungen angereichert

Motivation

Der Deutschland-Stack bietet ein Fundament an wiederverwendbaren, technischen und sicheren Bausteinen, welche auf offenen Standards und Schnittstellen basieren. Durch Stärkung der Transparenz und Beteiligung sowie der Verbesserung von Sicherheit in der Fläche werden Akzeptanz und Vertrauen in die Umsetzung erhöht. Wir stärken das Vertrauen in den Staat.

Mit der Etablierung einer gemeinsamen digitalen öffentlichen Infrastruktur und der damit verbundenen Verbesserung der Anschlussfähigkeit wird die Vernetzung zwischen den Stakeholdern auf verschiedenen Ebenen ermöglicht. Zudem wird Nachnutzbarkeit und Wirtschaftlichkeit verbessert. Wir verbessern Handlungsfähigkeit des Staates.

Der Stack soll die Kraft der europäischen Gesellschaft und Wirtschaft mit befördern. Grundlegende Funktionen der Organisation des Zusammenlebens werden von uns als Europa eigenständig gesteuert. Wir sind selbstbewusst und stärken unsere eigene Verantwortung. Dafür arbeiten wir mit der europäischen IT- und Digitalwirtschaft zusammen und erleichtern die Zusammenarbeit von Staat, Wirtschaft und Gesellschaft. Wir helfen die europäische Wirtschaft und Gesellschaft zu stärken.

Technologiefelder und Standards

Anhand der strategischen Ausrichtung und der Rückmeldungen aus dem ersten Beteiligungsverfahren sind nachfolgende prioritäre Technologiefelder als Grundlage für den Stack beschrieben. Hierzu werden möglichst internationale Industriestandards festgelegt und sind in der jeweils aktuellsten Variante anzuwenden. Industriestandards sind mit entsprechenden Technologieprodukten im Portfolio zu unterlegen. In den Bereichen ohne einen internationalen Industriestandard ist ein Technologieprodukt anhand der o.g. strategisch-architektonischen Ausrichtung festzulegen.

Agentische und Generative KI

Durch agentische und generative KI wird die Automatisierung von Aufgaben, Abläufen und Regelwerken ermöglicht. Hierzu gehört einerseits das KI-basierte Entwickeln und Bereitstellen von Lösungen (AI Engineering) sowie die konkrete Nutzung von KI in der automatisierten Aufgabenerledigung in Verwaltungsverfahren.

Agentische KI wird insbesondere für die Erledigung von autonomen Aufgaben genutzt. Ziel ist Aufgabenpakete zu identifizieren, welche eigenständig durch KI abgearbeitet werden können. Das Zusammenspiel mehrerer Agenten ermöglicht die Abarbeitung ganzer Arbeitsabläufe und ermöglicht auch eine Skalierung bei Routineaufgaben. Menschen können sich dann auf die koordinierenden und qualitätssichernden Anteile im Arbeitsablauf konzentrieren.

Als technische Standards für die Umsetzung von agentischer KI im Deutschland-Stack werden festgelegt:

• Model Context Protocol (MCP) für die Anlieferung von Kontextinformationen an Sprachmodelle und die Verbindung von Datenquellen,
• Agent Network Protocol (ANP) und Agent2Agent Protocol (A2A) für die Kommunikation von Agenten untereinander,
• Agent-User Interaction Protocol (AG-UI) für die Interaktion von Nutzenden mit den Agenten.
• Künftig benötigt werden auch Standards zur Überwachung von Agenten und bei der Unterstützung der Qualitätssicherung.

Generative KI wird insbesondere für die Automatisierung der Inhaltserstellung und bei der Unterstützung in kreativen Prozessen eingesetzt. Für generative KI gibt es aktuell keine spezifischen Standards. Festgelegt wird aber, dass

• Nutzenden die Option zur Auswahl von verschiedenen Basis- und Fach-Sprachmodellen gegeben werden muss,
• Nutzenden die Option zur Einbindung einer fachspezifischen Quelle (im Sinne von RAG) und zur Nachnutzung der eigenen Prompts gegeben werden muss,
• Nutzenden eine Nachvollziehbarkeit der generierten Antwort und Einhaltung der Compliance gegeben werden muss (im Sinne Responsible AI, u.a. Nachweise zu Quellen, Lizenzen, Verarbeitung),
• Entwickler die Option zum Austausch von Sprachmodellen (u.a. ONNX) und zur einfachen Nachnutzung von Trainingsdaten haben müssen.

Semantische Technologien und Echtzeitanalytik

Durch semantische Technologien und Echtzeitanalytik wird die Nutzbarkeit von isolierten Daten und damit ihr Wertbeitrag erhöht sowie die direkte Verfügbarkeit sichergestellt. Grundlage ist Komplexität von Zusammenhängen und Bedeutung in einer standardisierten Form für maschinelle Verarbeitung bereitzustellen sowie die Informationsüberlastung zu reduzieren. Zudem wird die Skalierbarkeit durch Graphen- und Vektor-basierte Verarbeitung erhöht.

Semantische Technologie wird insbesondere für die Verbindung und Anreicherung von Daten genutzt (u.a. Ontologien, Linked Data). Die Anreicherung von Daten bezieht sich dabei sowohl auf die Beschreibung der Daten durch Meta-Daten als auch auf die Optionen der Interpretation und Kontexte.

Als technische Standards für die Umsetzung von semantischer Technologie werden festgelegt:

• RDF, OWL, SPARQL, SKOS für die Beschreibung und Abfrage von Zusammenhängen einzelner Daten,
• DCAT und OAI-PMH für die Beschreibung und den Austausch von Meta-Daten,
• JSON, XML und CSV als Datenformate,
• ODF und PDF/UA als Dokumentenformate,
• SQL, ODBC und JDBC für die Abfrage von relationalen Daten.
• Künftig benötigt werden auch Standards für vektor-, graphen-, dokumenten- und objektorientierte Datenhaltung sowie für die Modellierung von Datenflüssen und Datenintegration.
• Ebenfalls benötigt werden stärker harmonisierte Semantiken und Taxonomien zur Etablierung von Fachdatenstandards (u.a. XÖV, HL7, SWIFT) für die Verbesserung der semantischen Interoperabilität.

Echtzeitanalytik wird insbesondere für die schnelle Entscheidungsunterstützung, die Früherkennung, die Erhöhung von Effizienz und die Verbesserung der Individualisierung des Nutzendenerlebnis genutzt.

Für Echtzeitanalytik gibt es aktuell keine spezifischen Standards. Festgelegt wird aber, dass

• bestehende Management- und Integrations-Ansätze aus Business Intelligence (u.a. ETL, OLAP), Streaminganalytik (u.a. Kafka), Big Data und InMemory Datenhaltung zur standardisierten Datenhaltung von hohen Mengen an Echtzeitinformationen und automatisierten Auswertungsmechanismen kombiniert werden,
• einheitliche Entwicklungs- und Modellierungsumgebungen für das Datenmanagement angeboten werden,
• bestehende Visualisierungs-, Navigations- und Suchfunktionen (u.a. Dashboard, IBCS) flexibel konfigurierbar und intuitiv nutzbar gestaltet werden.

Virtualisierte Softwarebasierte Infrastruktur

Virtualisierte softwarebasierte Infrastruktur wird insbesondere eingesetzt zur Erhöhung von Effizienz, Flexibilität und Skalierbarkeit von Ressourcen sowie zur Optimierung der Strukturen.

Als technische Standards für die Umsetzung von virtualisierter softwarebasierter Infrastruktur werden festgelegt:

• MEF für die Definition von Software-Defined Wide-Area-Networks (SD-WAN),
• Network Function Virtualization (NFV) für die Entkopplung von Netzdiensten von dedizierter Hardware,
• Künftig benötigt werden auch Standards für Software-Defined Storage (SDS) sowie Verwaltung von virtuellen Maschinen und Ressourcen (u.a. Hypervisor).

DevSecOps und APIs

DevSecOps und APIs werden insbesondere für die automatisierte Entwicklung, Integration, Inbetriebnahme, Bereitstellung und Betrieb von Lösungen benötigt. Dabei werden im gesamten Lebenszyklus die IT-Sicherheit berücksichtigt und die Leistungsfähigkeit überwacht.

Als technische Standards für die Umsetzung von DevSecOps werden festgelegt:

• GIT für die Versionskontrolle von Code,
• Prinzipien von Continuous Integration und Delviery (CI/CD Pipelines), Infrastructure as Code (IaC), Policy as Code (PaC) (siehe ggf. auch IEEE 2675),
• Mechanismen für Scanning, Testing und Analyse,
• Mechanismen für Monitoring, Logging und Observability,
• Mechanismen für Package Management und Distribution,
• SBOM für die Auflistung der Komponenten,
• OWASP als Handlungsleitfaden.

Bei der Integration, Orchestrierung und dem Management von Schnittstellen wird insbesondere das Zusammenspiel einzelner Lösungen organisiert.

Als technische Standards für die Umsetzung von Integration, Orchestrierung und APIs werden festgelegt:

• Kubernetes für die Orchestrierung,
• REST, gRPC, GraphQL und MQTT für den Austausch,
• openAPI für die Schnittstellenbeschreibung,
• Als Grundlage vorausgesetzt werden aktuelle sichere Transport- und Kommunikationsprotokolle (u.a. IPv6, HTTPS, FTPS, SMTPS, QUIC).
• Künftig benötigt werden auch Standards für Load Balancing, Proxies und Gateways, Service Mesh und Service Discovery.

Managed Services und Cloud

Durch Managed Services und Cloud wird eine effiziente und skalierbare Leistungsfähigkeit zum Zugriff auf betriebliche Angebote hergestellt.

Managed Services werden insbesondere für den Bezug von standardisierten (externen) Leistungen genutzt. Mit dem standardisierten Bezug kann sich der Fachbereich auf die fachlichen Kompetenzen konzentrieren.

Für Managed Services gibt es aktuell keine spezifischen Standards. Festgelegt wird aber, dass

• Compute, Storage und Communication Leistungen primär als virtualisierte und skalierbare Leistungen anhand der Bedarfe beschafft werden,
• grundlegende betriebliche Leistungen (u.a. Logging, Monitoring, Backup) entlang einer Kategorisierung des Bedarfes berücksichtigt werden,
• betriebliche Leistungen für Kundenbetreuung, Abrechnung und Leistungsmessung (u.a. Support, Lizenzen) mit standardisierten Vertragsgrundlagen und Berichtsmechanismen ausgestattet werden (u.a. ITIL, SLAs, AGBs/GGBs).

Cloud wird insbesondere für die Art des Bezuges von betrieblichen Leistungen als Liefer- und Finanzierungsmodell genutzt.

Für Cloud in diesem Sinne gibt es aktuell keine spezifischen Standards. Festgelegt wird aber, dass

• Leistungen über eine zentrale Stelle abgerufen werden (u.a. Marktplatz),
• Grundlagen der Beschaffung genutzt (u.a. EVB-IT) und künftig dynamisiert werden,
• Standards aus Deutsche Verwaltungscloud (DVC), OpenStack und Sovereign Cloud Stack (SCS) einzuhalten sind,
• für den Abruf von Leistungen klar kategorisiert ist welche betrieblichen Rahmenbedingungen erfüllt sein müssen (u.a. Skalierbarkeit, Verfügbarkeit, Schutzbedarf).
• Künftig benötigt werden standardisierte Vereinbarungen zu den Liefer- und Finanzierungsmodellen welche im deutschen Rechtsrahmen nutzbar sind.

IT-Sicherheit

IT-Sicherheit steht insbesondere für die Sicherstellung von Vertraulichkeit, Integrität und Verfügbarkeit. Alle Nutzenden und Betreibenden müssen ihren Anteil zur IT-Sicherheit beitragen, um das für das jeweilige Verfahren notwendige Schutzniveau zu erreichen.

Als technische Standards für IT-Sicherheit werden festgelegt:

• Anforderungen gemäß BSI IT-Grundschutz kompakt, Einhaltung der technischen Richtlinien BSI und C5 Katalog für Cloud-Dienste,
• AES und RSA für die Verschlüsselung von Kommunikation,
• OAuth, OIDC und JWT sind für die Autorisierung und Authentifizierung einzusetzen,
• Einmalpasswörter/ Multi-Faktoren (OTP), Post-Quanten-Algorithmen (u.a. ML-KEM) und Krypto-Agilität (Schlüssel- und Algorithmenwechsel) sind entsprechend des zu definierenden Sicherheitsbedarfes zu verwenden.

Workflowautomatisierung (LowCode)

Workflowautomatisierung wird insbesondere für die Ende-zu-Ende-Digitalisierung von Verfahrens- und Arbeitsabläufen benötigt. Der Kern liegt in der einfachen Modellierung der Ablaufstrukturen und der Nachnutzung der Modelle in einer Ausführungsengine.

Für Workflowautomatisierung in diesem Sinne gibt es aktuell keine spezifischen Standards. Festgelegt wird aber, dass

• externe IT-Lösungen aus einem Workflow heraus ohne Implementierungsaufwand aufrufbar sein müssen (ggf. über eine zentrale Integrationskomponente),
• modellierte Inhalte exportierbar und auf einer anderen Workflowautomatisierungsplattform mit geringem Aufwand nutzbar sein müssen,
• die betriebliche Ausführung auf verschiedenen Betriebs- und Infrastrukturumgebung möglich sein muss.

Zusammenhang zu weiteren Aktivitäten

Der Deutschland-Stack ist verknüpft mit

• der Deutschland-Architektur. Beide Aktivitäten arbeiten auf das Ziel der Schaffung von konkreten Angeboten für Bund, Länder und Kommunen hin. Dabei nimmt die Deutschland-Architektur die Perspektive der Geschäftsfähigkeiten und Wertschöpfung ein und der Deutschland-Stack die Perspektive der technologischen Umsetzung.
• der Digital Public Infrastructure (DPI). Die Kernelemente einer DPI sind in den Basisdiensten des Deutschland-Stack erfasst. Ebenso gehen beide Aktivitäten von einer Ko-Produktion mit und Nachnutzbarkeit durch die Wirtschaft aus.
• dem Government-as-a-Platform (GaaP) Ansatz. GaaP geht ebenfalls von einer Ko-Produktion mit und Nachnutzbarkeit durch die Wirtschaft aus.
• dem Euro-Stack. Beide Stacks adressieren die Stärkung der europäischen Souveränität und europäischen Anschlussfähigkeit. Der Deutschland-Stack ist dabei etwas stärker auf koordinierte Umsetzungsaktivitäten und der Euro-Stack auf breite Wirtschaftsförderung ausgelegt.
• der Modernisierungsagenda Bund (Beschluss Bundeskabinett). Der Deutschland-Stack zahlt direkt auf das Handlungsfeld für einen effizienten Staat ein (Nr. V.6).
• der Föderalen Modernisierungsagenda (Beschluss Ministerpräsidentenkonferenz). Der Deutschland-Stack zahlt direkt auf das Kapitel für digitale Verfahren ein (Nr. 205, Kapitel IV).
• der Deutschen Verwaltungscloud (DVC). Der Deutschland-Stack nutzt die Angebote und Vorarbeiten der DVC nach.

Portfolio, Roadmap und mehr

Das Portfolio des Deutschland-Stack besteht aktuell aus folgenden Elementen:

• dem Plattformkern aus den Basisdiensten gemäß DPI
  • für Vertrauen mit Authentifizierung und Autorisierung durch eine elektronische Identität (u.a. EUDI-Wallet, Unternehmenskonto),
  • für Zahlungsabwicklung mit Organisation des Bezahlvorganges (u.a. ePayBL, ZBDS) sowie
  • für Datenaustausch mit Datenübermittlung, Registerabruf und Benachrichtigung (u.a. FIT-Connect, NOOTS),
• den fachagnostischen Plattformen zu nachnutzbaren Basisfunktionalitäten
  • für Künstliche Intelligenz mit Agenten und Generatoren zur Unterstützung der Aufgaben (u.a. KIPITZ),
  • für Daten mit Organisation des Datenflusses, der Datenhaltung und der Datenauswertung,
  • für Workflowautomatisierung mit LowCode und Prozesssteuerung zur Definition der Leistungserbringung (u.a. Ende-zu-Ende-Digitalisierungsprogramm) sowie
  • für Beschaffung mit dem dynamischen Bezug von Liefergegenständen und Stack-Elementen (u.a. Marktplatz Deutschland Digital, DVC Portal),
• den Managed Services zum skalierbaren und vertrauenswürdigen Nutzen der Stack-Elemente auf einer Infrastruktur
  • für Entwicklung und Bereitstellung von vertrauenswürdigen Stack-Elementen (u.a. openCode),
  • für Betrieb und Monitoring der Stack-Elemente (u.a. DVC Betriebsangebot) sowie
  • für Integration der Stack-Elemente untereinander.

Das Portfolio des Deutschland-Stack gibt eine Basis für

• den Zugang der Wirtschaft und der Bürger zu Leistungen (u.a. Bundesportal, Verwaltungs-App, Fachplattformen) sowie
• die Fachverfahren der Verwaltung zur Organisation der Leistungserbringung.

Der Deutschland-Stack arbeitet kontinuierlich an der weiteren Ausarbeitung des avisierten Portfolios und einer Roadmap für die Umsetzung. Bis 2028 sollen konkrete Angebote für Bund, Länder und Kommunen bereitgestellt werden. Dafür bedarf es einer Koordination mit Stakeholdern und einer Festlegung des Zielbildes mit relevanten Bausteinen, zeitlichen und ressourcentechnischen Rahmenbedingungen sowie einer Bewertung der Abhängigkeiten entlang von Ziel- und Wirkungsorientierung. Der Deutschland-Stack umfasst demnach auch organisatorische Aspekte, wie Steuerungs-, Umsetzungs- und Beschaffungseinheiten. Der Deutschland-Stack wird auch in seinem Zusammenspiel der Stack-Elemente durch Architekturen und Referenzimplementierungen gestaltet. Verbindlichkeit, Finanzierung und Konsolidierung werden in den jeweiligen Portfoliobereiche gesondert betrachtet.