Cyber-Angriffe drohen, Rathäuser lahmzulegen, IT-Fachkräfte fehlen und die Haushaltskassen sind klein. Dennoch ist die Digitalisierung der Verwaltung unausweichlich. Kommunen brauchen eine IT-Infrastruktur, die Datensouveränität und DSGVO-Konformität garantiert, ohne den Haushalt mit Millionenbeträgen zu belasten. Onsite-Colocation-Betreibermodelle bieten diesen Weg: physische Kontrolle über sensible Bürgerdaten, professioneller 24/7-Betrieb durch Spezialisten und planbare Kosten als laufende Betriebsausgaben.
Im Oktober 2023 traf ein Ransomware-Angriff auf den IT-Dienstleister Südwestfalen-IT 72 kommunale Verwaltungen in Nordrhein-Westfalen mit einem Schlag: 20.000 Arbeitsplätze waren betroffen, Bürgerbüros, Ausländerbehörden und Kfz-Zulassungsstellen mussten geschlossen bleiben, und viele Kommunen mussten notgedrungen auf Papierdokumente umstellen (1). Solche Szenarien sind keine Seltenheit mehr, sondern bittere Realität für viele Städte und Gemeinden in Deutschland.
Laut dem BSI-Jahresbericht 2025 wurden zwischen Juli 2024 und Juni 2025 täglich durchschnittlich 280.000 neue Schadprogramm- Varianten registriert, während die Zahl der täglich entdeckten Schwachstellen um 24 Prozent stieg. Kommunen zählen dabei ausdrücklich zu den besonders gefährdeten Gruppen (2).
Ein eklatanter Fachkräftemangel in der kommunalen IT verschärft die Lage: Bis 2030 werden im öffentlichen Dienst bis zu 140.000 Fachkräfte mit spezifisch digitalen Fähigkeiten fehlen (3). Gleichzeitig wächst der Druck durch chronisch knappe Budgets für die Modernisierung veralteter Rechenzentren. Der kommunale Investitionsrückstand erreichte 2024 mit 186,1 Milliarden Euro einen neuen Höchststand, wovon ein erheblicher Teil auf die Infrastruktur entfällt (4).
In diesem Spannungsfeld stehen kommunale Entscheider vor einer strategischen Kernfrage: Wie lässt sich eine moderne, sichere IT-Infrastruktur aufbauen, die Datenhoheit wahrt und gleichzeitig den Haushalt schont?
Digitale Souveränität: Warum das Rathaus die Kontrolle behalten muss
Ob Stadtverwaltung, kommunaler Energieversorger oder städtisches Krankenhaus: Sie alle verarbeiten hochsensible Daten und unterliegen dabei strengen regulatorischen Vorgaben. Sie fallen unter die Definition Kritischer Infrastrukturen (KRITIS) und unterliegen den Vorgaben des BSI, dem IT-Sicherheitsgesetz sowie der europäischen NIS-2-Richtlinie. Auch kommunale Eigenbetriebe mit wirtschaftlicher Tätigkeit sind von NIS-2 betroffen, selbst wenn die Kernverwaltung dies oft nicht direkt ist (5).
Die Auslagerung sensibler Bürgerdaten in eine Public Cloud ist für Kommunen keine rechtssichere Option. Das Problem liegt nicht allein in der Übertragung, sondern in der Verarbeitung: Daten müssen für aktive Prozesse entschlüsselt vorliegen und in diesem Zustand liegt die Kontrolle beim Infrastrukturbetreiber, nicht bei der Kommune. Hinzu kommt die rechtliche Grauzone bei US-amerikanischen Anbietern, die dem CLOUD Act unterliegen und damit potenziell US-Behörden Zugriff auf gespeicherte Daten gewähren müssen, unabhängig vom Serverstandort. Für Verwaltungen, die zur Einhaltung der DSGVO und kommunaler Datenschutzpflichten verpflichtet sind, ist das inkompatibel.
Grundsätzlich gibt es drei Wege, die sich in Bezug auf Kontrolle, Kosten und Komplexität fundamental unterscheiden:
Die Public Cloud bietet zwar Skalierbarkeit, ist aber für sensible Bürgerdaten und KRITIS- Betriebe oft keine rechtssichere Option. Der Eigenbetrieb eines Rechenzentrums bietet maximale Kontrolle, ist aber für die meisten Kommunen eine große Belastung. Die Investitionskosten (CapEx) für Bau und Technik sprengen oft den Haushalt, und der Fachkräftemangel in der kommunalen IT macht einen sicheren 24/7-Betrieb schwierig. Der dritte Weg bietet sich an: ein hybrides Modell, das die Vorteile beider Welten vereint. Es basiert auf dem Gedanken, die physische Kontrolle über die Infrastruktur im eigenen Haus zu behalten, den komplexen Betrieb aber an einen spezialisierten Dienstleister auszulagern.
Haushaltsschonend und sicher: Das Betreibermodell für Städte und Gemeinden
Die Idee ist einfach, aber wirkungsvoll: Die Rechenzentrumsinfrastruktur wird auf dem Gelände der Kommune oder des Stadtwerks errichtet und verbleibt in deren physischer Kontrolle. Der gesamte Betrieb, von der Wartung über die Überwachung bis hin zur Einhaltung von BSI-Vorgaben, wird jedoch als Service von einem spezialisierten Dienstleister wie Prior1 übernommen.
Ein entscheidender Vorteil dieses Modells liegt im kommunalen Haushaltsrecht und Vergaberecht. Der Wechsel von CapEx (hohe Einmal- investitionen) zu OpEx (planbare laufende Kosten) ist für finanziell angespannte Kommunalkassen hochattraktiv. Anstatt Millionenbeträge für den Bau eines eigenen Rechenzentrums im Investitionshaushalt blockieren zu müssen, werden die Kosten als laufende Dienstleistungsausgaben verbucht. Dies erleichtert die Finanzierung und bietet langfristige Planungssicherheit. Zudem lässt sich ein solches Betreibermodell als klare Dienstleistungskonzession vergaberechtskonform ausschreiben, wodurch die Beschaffung im Vergleich zu komplexen Cloud-Verträgen mit US-Anbietern deutlich vereinfacht wird.
Praxisbeweis aus der regulierten Welt: Übertragbar auf Kommunen
Dass dieser Ansatz in der Praxis funktioniert und höchste regulatorische Anforderungen erfüllt, zeigt das Beispiel der Commerz Real, einem der führenden deutschen Immobilien- Investmentmanager. Das Unternehmen stand vor der Herausforderung, seine IT-Infrastruktur zu modernisieren und gleichzeitig strengste Vorgaben der BaFin und der EU-Verordnung DORA zu erfüllen. Eine Auslagerung in eine Public Cloud war aufgrund der Sensibilität der Daten und eines faktischen Auslagerungsverbots ausgeschlossen – eine Situation, die der von kommunalen KRITIS-Betreibern oder Gesundheitsämtern sehr ähnlich ist.
Die Lösung: An zwei Standorten wurde in Zusammenarbeit mit dem Rechenzentrumsspezialisten Prior1 Colocation & Services je eine IT-Verkettung aus drei hochsicheren Mini-Rechenzentren, sogenannten IT-Safes, realisiert. Die Commerz Real behält die volle Datenhoheit, profitiert aber von einer hochverfügbaren und nach EN 50600 TÜV-zertifizierten Infrastruktur, ohne eigenes Personal für den komplexen 24/7-Betrieb vorhalten zu müssen. Das Betriebskonzept ist so ausgelegt, dass die Organisation selbst an Wochenenden nicht auf Störungen reagieren muss. Dieses Modell ist prädestiniert für Stadtwerke, Kreisverwaltungen oder kommunale Krankenhäuser, die ähnlichen regulatorischen Zwängen unterliegen und unter dem Fachkräftemangel leiden.
Mehr als nur ein Case: Ein Modell für die digitale Kommune
Das Onsite-Colocation-Modell ist besonders relevant für die öffentliche Verwaltung und alle kommunalen Betriebe, die mit sensiblen Daten arbeiten und auf eine hochverfügbare IT angewiesen sind.
Die Vorteile für Kommunen liegen auf der Hand: Zunächst wird maximale Souveränität gewährleistet, da die sensiblen Bürgerdaten das eigene Gelände zu keinem Zeitpunkt verlassen. Gleichzeitig bietet das Modell volle Compliance, da es gezielt darauf ausgelegt ist, die strengen Anforderungen von BSI-Grundschutz, KRITIS und NIS-2 zu erfüllen.
Ein weiterer entscheidender Aspekt ist die Entlastung des Personals. Da spezialisierte Dienstleister den reibungslosen Betrieb garantieren, können sich die IT-Fachkräfte der Kommune voll und ganz auf Digitalisierungsprojekte und die Verbesserung von Bürgerservices konzentrieren. Auch aus finanzieller Sicht ist der Ansatz haushaltsschonend: Statt hoher Anfangsinvestitionen (CapEx) fallen lediglich planbare monatliche Betriebskosten (OpEx) an. Nicht zuletzt punktet das Modell durch seine Vergabekonformität, die eine klare und rechtssichere Beschaffung von IT-Dienstleistungen ermöglicht.
Fazit: Souveränität ist eine Frage der Infrastruktur
Die Frage ist nicht mehr, ob Kommunen ihre IT modernisieren müssen, sondern wie sie es tun, ohne Datensouveränität, Compliance und Haushaltsdisziplin zu opfern. Onsite-Colocation- Betreibermodelle bieten einen Weg, der alle drei Anforderungen erfüllt: Die Infrastruktur bleibt physisch in kommunaler Hand, der Betrieb liegt bei Spezialisten, und die Kosten sind planbar. Für Stadtwerke, Kreisverwaltungen und kommunale Einrichtungen ist das die pragmatischste Antwort auf eine strukturelle Herausforderung.
Autor: Thomas Görres, Geschäftsführer bei Prior1 Colocation & Services
Quellen:
(1)https://www.haufe.de/oeffentlicher-dienst/digitalisierung-transformation/bedrohung-von-it-strukturen-der-behoerden-werden-immer-groesser_524786_644502.html
(2)https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251111_BSI-Jahresbericht_2025.html
(3)https://www.staatklar.org/artikel/it-fachkraeftemangel-im-oeffentlichen-dienst.html
(4)https://cf-fachportal.de/meldungen/kfw-kommunalpanel-2024-schlechtere-finanzlage-und-hoeherer-investitionsrueckstand/
(5)https://www.bsi.bund.de/DE/Themen/Oeffentliche-Verwaltung/Sicherheitsberatung/NIS-2-Verwaltung/Land/nis-2-land_node.html
www.prior1.com