Digitale Verwaltungsdienste entstehen selten in einem einzigen großen Schritt. Häufig beginnt alles mit einem begrenzten Vorhaben: Ein Formular soll online verfügbar sein, eine interne Anwendung braucht eine neue Schnittstelle oder eine Behörde möchte Zugriffsrechte übersichtlicher verwalten. Gerade solche kleinen Projekte entscheiden oft darüber, ob Mitarbeitende eine Lösung später gern nutzen oder sie umgehen. Sicherheit, Datenschutz und Alltagstauglichkeit müssen deshalb von Anfang an gemeinsam betrachtet werden.

Bei der Vorbereitung hilft es, vergleichbare öffentliche Projekte und zuständige Stellen genauer anzusehen. Die sicherheitsdirektion kanton zürich kann dabei als Recherchepunkt dienen, wenn Verantwortliche prüfen, welche Anforderungen in einem sensiblen Verwaltungsumfeld an digitale Dienstleistungen gestellt werden. Der Nutzen liegt weniger im Kopieren fremder Lösungen als in der Frage, welche Entscheidungswege, Rollen und Prüfungen sich auf das eigene Vorhaben übertragen lassen.

Das eigentliche Problem liegt oft vor der Ausschreibung

Viele Beschaffungen geraten ins Stocken, weil die Behörde zuerst über Produkte spricht und erst später über den konkreten Bedarf. Ein System kann technisch leistungsfähig sein und trotzdem am Alltag vorbeigehen. Deshalb sollte das Projektteam zunächst den Ablauf beschreiben, der sich ändern soll. Wer erfasst welche Informationen? An welcher Stelle entstehen Wartezeiten? Welche Daten dürfen zusammengeführt werden? Welche Entscheidung bleibt bei einer Person?

Eine kurze Prozessaufnahme reicht für den Anfang. Sie sollte die beteiligten Rollen, die verwendeten Daten, die Übergaben zwischen Abteilungen und die erwarteten Ergebnisse festhalten. Aus dieser Übersicht entstehen belastbare Anforderungen. Sie verhindert auch, dass Anbieter mit langen Funktionslisten den Blick auf die eigentliche Aufgabe lenken.

Sicherheit als konkrete Arbeitsfrage

Der Begriff Sicherheit wirkt schnell abstrakt. Für ein Projektteam wird er greifbar, sobald Verantwortliche einzelne Situationen durchspielen. Was passiert, wenn ein Benutzerkonto missbraucht wird? Wie erkennt die Behörde ungewöhnliche Zugriffe? Wer darf Protokolle einsehen? Wie schnell lassen sich Berechtigungen nach einem Stellenwechsel ändern? Antworten auf solche Fragen beeinflussen Architektur, Vertrag und Betrieb.

Besonders hilfreich ist eine Aufteilung nach Schutzbedarf. Nicht jede Information braucht dieselben Kontrollen. Personendaten, interne Bewertungen und öffentlich zugängliche Inhalte können unterschiedliche Speicherorte, Zugriffsstufen und Löschfristen verlangen. Die Behörde sollte diese Unterschiede in den Anforderungen festhalten, damit Anbieter sie vergleichbar beantworten. Eine allgemeine Zusage zur Sicherheit reicht dafür nicht aus.

• Benennen Sie für jede Datenart Zweck, Schutzbedarf und Aufbewahrungsfrist.
• Fordern Sie eine verständliche Beschreibung von Rollen, Berechtigungen und Protokollen.
• Legen Sie fest, wie Sicherheitsvorfälle gemeldet, bewertet und bearbeitet werden.
• Prüfen Sie, welche Schnittstellen bestehen und wie Daten zwischen Systemen übertragen werden.
• Vereinbaren Sie klare Regeln für Support, Wartung, Updates und den Zugriff externer Dienstleister.
• Planen Sie einen Austritt aus der Lösung, inklusive Datenexport und Löschung.

Anbieter nach Nachweisen vergleichen

Ein guter Vergleich benötigt mehr als eine Bewertung nach Preis und Funktionsumfang. Die Anbieter sollten zeigen, wie ihre Lösung einen konkreten Verwaltungsfall bearbeitet. Dafür kann die Behörde ein kurzes Szenario vorgeben. Der Anbieter beschreibt dann beispielsweise, wie ein neuer Benutzer angelegt, eine Berechtigung geändert und ein Vorgang revisionssicher dokumentiert wird.

Solche Szenarien machen Unterschiede sichtbar. Ein Anbieter liefert vielleicht eine elegante Oberfläche, erklärt aber die Protokollierung nur vage. Ein anderer hat weniger sichtbare Funktionen, kann dafür Datenflüsse und Verantwortlichkeiten präzise darstellen. Das Projektteam sollte Antworten anhand vorher festgelegter Kriterien bewerten. So gewinnt nicht die überzeugendste Präsentation, sondern die Lösung mit der besten Passung.

Auch Referenzen verdienen eine genaue Prüfung. Eine Behörde sollte fragen, welche Organisation die Lösung nutzt, wie viele Personen damit arbeiten und welche Anpassungen nach dem Start nötig waren. Interessant sind besonders die ersten Monate nach der Einführung. Dort zeigen sich Probleme mit Berechtigungen, Support und internen Zuständigkeiten oft deutlicher als während einer Präsentation.

Einführung mit begrenztem Risiko

Nach dem Zuschlag beginnt die Arbeit erst richtig. Ein Pilot mit einer klar abgegrenzten Nutzergruppe hilft, Annahmen zu testen. Die Gruppe sollte unterschiedliche Rollen enthalten: Personen, die täglich mit dem System arbeiten, Verantwortliche für Fachprozesse und Mitarbeitende mit administrativen Aufgaben. Jede Rolle entdeckt andere Reibungspunkte.

Der Pilot braucht messbare Kriterien. Dazu gehören Bearbeitungszeit, Zahl der Rückfragen, Fehlermeldungen, notwendige manuelle Schritte und die Zeit für die Vergabe oder Entziehung von Zugriffsrechten. Die Ergebnisse sollten in einem kurzen Bericht festgehalten werden. Danach entscheidet das Projektteam, welche Punkte vor dem breiteren Start angepasst werden müssen.

Schulungen sollten sich an realen Aufgaben orientieren. Eine allgemeine Einführung in sämtliche Funktionen überfordert viele Nutzerinnen und Nutzer. Besser sind kurze Einheiten zu den Vorgängen, die eine Person tatsächlich bearbeitet. Für Führungskräfte, Sachbearbeitung und Administration können unterschiedliche Inhalte sinnvoll sein. Dabei sollte die Behörde auch erklären, warum bestimmte Sicherheitsregeln gelten. Wer den Zweck versteht, hält Vorgaben eher ein.

Verantwortung bleibt im Haus

Auch bei einer extern betriebenen Lösung muss die Behörde ihre Verantwortung aktiv wahrnehmen. Ein Vertrag ersetzt keine Zuständigkeit. Vor dem Start sollte klar sein, wer fachliche Entscheidungen trifft, wer Berechtigungen freigibt, wer Vorfälle entgegennimmt und wer Änderungen am System bewertet. Diese Rollen gehören in die interne Dokumentation und sollten bei Personalwechseln aktuell bleiben.

Ein fester Überprüfungstermin hält das Projekt nach der Einführung auf Kurs. Dabei betrachtet das Team die Nutzung, offene Sicherheitsmaßnahmen, Supportfälle und geplante Änderungen beim Anbieter. Neue Funktionen können Vorteile bringen, aber auch Datenflüsse oder Berechtigungen verändern. Deshalb sollte jede wesentliche Anpassung einen kurzen Prüfprozess durchlaufen.

Eine gut vorbereitete digitale Beschaffung besteht damit aus mehreren überschaubaren Entscheidungen. Die Behörde klärt zuerst den Prozess, ordnet Daten und Risiken ein, vergleicht Anbieter anhand konkreter Fälle und misst die Einführung im Betrieb. Diese Arbeitsweise kostet am Anfang etwas Zeit. Sie schafft dafür eine belastbare Grundlage für Lösungen, die im Alltag funktionieren und auch bei steigenden Anforderungen nachvollziehbar bleiben.