Ich war bis 2018 bei einer Konkurrenzfirma von Xplain als Software-Architekt tätig. Aus Rücksicht auf meinen ehemaligen Arbeitgeber und seine Kunden schreibe ich hier anonym.

Dass Bundesämter damals öffentliche Ausschreibungen nach Möglichkeit umgangen haben war in der Branche ein offenes Geheimnis. Als Gründe genannt wurden der hohe Aufwand für die Durchführung einer Ausschreibung (unter anderen wurde kolportiert, die WTO-Ausschreibung eines bestimmten Projektes habe eine halbe Million gekostet), und die Dauer eines Ausschreibungsverfahrens, die den Projektstart auch ohne Rekurse um ein Jahr verzögern könne. Da Bundesämter ein Interesse an einer möglichst einfachen und schnellen Auftragsvergabe haben, wurden manche sehr kreativ, um sich die Juristen vom Bundesamt für Bauten und Logistik vom Leib zu halten ...

Die Sache mit den Folgeaufträgen sehe ich sehr zwiespältig. Einerseits geht es bei vielen dieser Projekte ja um Individualentwicklungen - und die sind halt, wie der Name schon sagt, individuell. Das Team, dass die ursprüngliche Software entwickelt hat, kennt diese bereits, und hat bei Aufträgen für Weiterentwicklungen einen Wettbewerbsvorteil. Ein Anbieter müsste schon sehr hoch pokern, damit er die Ausschreibung des Folgeprojekts nicht gewinnt. Wenn umgekehrt aber aufgrund dieses Wettbewerbsvorteils der Gewinner schon im voraus klar ist, lohnt sich dann die Ausschreibung? Und die Verzögerung des Projektstarts, die diese mit sich bringt? Andererseits: Wie kann man sich sonst gegenüber überhöhten Preisen absichern?

Und das bringt mich zur Bevorzugung bestimmer Anbieter, die in der Tat immer wieder vorkam, und die, wie Frau Fichter zu Recht schreibt, durchaus problematisch ist. Aber auch hier lohnt sich auf Blick auf die Ursachen: Wenn sie mit einem Anbieter erfolgreich und annehm zusammengearbeitet haben, würden sie diesen bekannten Anbieter dann nicht auch einem unbekannten Anbieter vorziehen? Ein bekanntes Bonmot in diesem Bereich ist, dass das "wirtschaftlich günstigste Angebot", das laut Beschaffungsrecht den Zuschlag erhalten soll, oft von dem Team stammt, dass "das Projekt am meisten unterschätzt hat". Und wenn das Team dann nichts brauchbares liefert und das Projekt scheitert müssen sie von vorn anfangen und haben viel Zeit (und Aufwand) verloren. Die rechtlich korrekte Lösung wäre natürlich, die IT-Kompetenz der Anbieter im Rahmen der Offerte zu bewerten. Es ist jedoch nicht gerade einfach, das an objektiven Kriterien festzumachen, die einem Rekurs standhalten. Und ausserdem erfordert es einiges an IT-Fachwissen, über das das entsprechende Bundesamt oft nicht verfügt. Da ist es viel einfacher, Anbieter, die sich bereits in anderen Projekten bewährt haben, zu bevorzugen ... (natürlich kann eine Bevorzugung auch andere Gründe haben, zum Beispiel Korruption ... in meiner Erfahrung war es jedoch meistens, dass die Fortsetzung einer eingespielten Zusammenarbeit für den Auftraggeber einfacher war, als mit einem neuen Anbieter eine Zusammenarbeit aufzubauen).

Ich will die Beugung des Beschaffungsrechts nicht verteidigen. Wettbewerb ist unerlässlich, damit staatliche Aufträge effizient erbracht werden. Aber nicht jede Rechtsbeugung in diesem Bereich ist böswillig oder grobfahrlässig. Manchmal waren die Auftraggeber auch einfach überfordert. Und das hat auch mit den Rahmenbedingungen zu tun.

Ich arbeite als IT-Spezialist meist für internationale Firmen, aber auch für den Bund. Teils war ich direkt angestellt, teils arbeite ich über einen IT-Provider. Aufgrund der Geheimhaltungspflichten bleibe ich anonym.
Während Grossfirmen die IT-Infrastruktur, die IT-Sicherheit und den IT-Einkauf zentralisierten, um die IT-Sicherheit zu erhöhen, tat der Bund dies nur auf Ebene IT-Infrastruktur. Es gibt zwar das Bundesamt für Informatik und Telekommunikation (BIT), welches Infrastruktur und ERP-Applikationen bereitstellt, ansonsten aber ein schwaches Bundesamt ohne Durchgriff ist. Die Departemente und die Bundeskanzlei sind weitgehend frei in ihren IT-Entscheidungen und viele der 80 Bundesämter beanspruchen diese Freiheit auch für sich. Merkmal dieser dezentralen Struktur ist, dass Personal über IT-Lösungen entscheidet, dem das heute erforderliche Wissen über Cybersecurity abgeht. Und - im Gegensatz zu Grossfirmen - kann die zentrale IT umgangenen werden.
Das Problem des Bundes geht leider viel, viel weiter als das Umgehen von WTO-Ausschreibungsregeln. Solange Hobby-Informatiker:innen in den Ämtern kein Korretiv in Form eines Vetorechts einer zentralen IT-Fachstelle haben, wird das Grundproblem immer weiterbestehen. Dieses haben die Finanzindustrie, die Pharmaindustrie und andere bereits vor 20 Jahren erfolgreich abgestellt. Leider ist die Prognose für den Bund ungünstig: die Ämter sind zu machtbewusst sowie von regionalen und parteipolitischen Rivalitäten geprägt, als dass man sich darauf einliesse. Denn der wahre Feind sitzt für sie nicht im „Darknet“, sondern hinter der Tür des nächsten Bundesamtes.

Ich schreibe diesen Beitrag aus der Perspektive eines Mit-Bewerbers in den frühen 2000er Jahren, als XPlain ebenfalls gestartet ist. Damals war die WTO-Beschaffungsrichtlinie noch nicht Standard und SIMAP - die Beschaffungsplattform des Bundes - nicht das normale Prozedere. XPlain hatte ein quasi-Monopol für schweizerische IT-Projekte im Bereich Polizei (nach ihrer eigenen Darstellung). XPlain trat auch an unsere Firma heran mit dem Angebot, dass wir doch unsere Produkte (über die sie nicht verfügten) nicht direkt ("da habt ihr keine Chance als Newcomer") sondern als ihr Unterakordant der Polizei anzubieten- d.h. XPlain tritt als Anbieter auf. Ihre Argumentation: "die Polizei arbeitet nur mit Firmen zusammen, die sie gut kennt und die das Polizeiwesen gut kennen" - meist Firmen, die von ehemaligen Polizeiangehörigen gegründet wurden. Wir machten zusammen mit XPlain einen (erfolglosen) Versuch. Wir beendeten diese "Zusammenarbeit" schnell, auch weil wir realisierten, dass wir eigentlich unser ganzes Wissen der XPlain hätten übergeben müssen, damit sie die Projekte auch erfolgreich verkaufen - und unterhalten - könnte. Wir versuchten dann - während mehr als 10 Jahren - unsere damals weltweit führenden IT-Systeme der Bundespolizei direkt zu verkaufen. Erfolglos. In diesem Sinne hatte XPlain die Wahrheit gesagt. Die IT-Lieferanten der Bundespolizei waren(sind?) eine kleine Insidergruppe. Ich gehe davon aus, dass die Beschaffungstricks von den Polizeibehörden regelmässig angewandt werden - nicht nur bei XPlain.

Danke für die Hartnäckigkeit, Adrienne Fichter. Die Recherche bei Behörden scheint nicht sehr komplex. Trifft man auf Schweigen ist man auf dem richtigen Weg. ;)

Bitte am Thema dran bleiben! Mich interessiert besonders, ob nach der ganzen Aufarbeitung auch mal Konsequenzen gezogen werden und Beschaffungs-Berater bzw. Verantwortliche in den Behörden aus diesem kaputten Beschaffungs-System entfernt werden.

Das Problem ist, dass beim Bund, Kantonen und Gemeinden die nötige IT Expertise fehlt. Und es sieht schlecht aus für die Behörden: die Arbeitsumgebung und Arbeitskultur ist nicht kompatibel mit den Erwartungen von guten Software-Spezialisten, die sich heutzutage ihre Arbeitgeber aussuchen können.

Provokativ lässt sich auch fragen, ob 'weniger Staat' und eine seit über hundert Jahren solide bürgerliche Mehrheit zu genau solchen problematischen Verflechtungen - um nicht zu sagen Verfilzungen - führen.

Und da heisst es immer, die EU sei korrupt… Ich habe lange Erfahrung mit behördlichen Auftragserteilungen im EU-Raum, aber einen solch breiten Sumpf von systematischen Unlauterkeiten habe ich nur gerade in Italien, Malta und Polen, und abgeschwächt in einigen anderen osteuropäischen Staaten vorgefunden. Wäre die Schweiz in der EU, würde sie wohl diesen Schlusslichtern ernsthaft Konkurrenz machen.

Und nein, dass einst öffentliche Unterlagen nicht rausgerückt werden, gehört nicht zu meinem Erfahrungsschatz…, das müsste die Schweiz zum Patent anmelden :-)

Danke, Frau Fichter, für Ihre Beharrlichkeit!

Super Beitrag wie immer Adrienne Fichter! Pflichtlektüre und Wahlkampfmaterial für die Piratenpartei 😊🏴‍☠️

Wen wundern diese Zustände in den Departmenten, wenn die Mehrheit der staatstragenden Parteien weniger Staat will. Das lassen sich Departamente, resp. deren Ämter nicht zwei Mal sagen. Irgenwie müssen sie ja die Aufträge und Aufgaben erfüllen, trotz X-Steinen, die ihnen in den Weg gelegt werden von Kommissionen, einzelnen Politikern, die direkt intervenieren, als Freund, Freundin vom Amtsvorsteher etc. Die Amtsvorsteher sind vom jeweiligen Bundesrat abhängig, und der hat den Letztentscheid, was wie auf die Entscheidungsebene kommt. FAzit: In einer solchen Struktur sind auch die entsprechenden Politiker namhaft beteiligt, wie die Umsetzung der Geschäfte laufen.

Ich lese da mehrmals "iPhone". Wieso setzt der Bund ein dramatisch überteuertes Produkt ein, dessen Software quasi eine Insel darstellt? Ich denke mal, viele zu dem Preis führenden Features wie die Kameras sind für den Einsatz kaum entscheidend. Und einmal in der iPhone-Insel angekommen grüsst der Vendor Lock-In.

Für mich klingt das nach dem nächsten Beschaffungsskandal, da bei einem Lifecycle Ersatz automatisch wieder ein iPhone her muss.

Wow, dieser Teaser mit der Ritterrüstung und der selbstzerstörerischen 🇨🇭Flagge ist Giga gäch gelungen und ich freue mich schon vor dem Lesen auf den Inhalt.

Und dann wundert man sich wieder, wieso das Vertrauen in den Staat und die Behörden flöten geht...

Die (Cyber-)Welt ist zu komplex, als dass sie mit ausgrenzenden Top-down Organisationen „bewältigt“ werden könnte. Open source und grenzüberschreitendes Teilen von Erkenntnissen bottom up hätten da eher eine Chance.

Eine Frage hier, in die Zeit fällt ja auch die Entwicklung von OpenJustitia (Weiss wer wo man den SourceCode findet?) Die waren ja eine rühmliche Ausnahme. Aber auch von etlichen durchaus heftigen Angriffen begleitet. Hat da Xplain eigentlich auch offeriert?
Ich denke, eben dank der Software gibt es nun dieses neue Embag Gesetz ab 2024.

Den am Schluss erwähnten Brief zu diskutieren gäbe Material für einen weiteren Artikel.

Solche Mauscheleien sind nicht neu. In meiner langjährigen Zeit an der ETHZ habe ich einige Müsterchen davon erlebt, hauptsächlich vom Amt für Bundesbauten und von der EDMZ. Angefangen hat es in den 60er Jahren, als ein Flachmaler aus der Innerschweiz in wochenlanger Arbeit mit dem Pinsel Parkfelder um das alte Physikinstitut herum malte, zu einer Zeit als die Stadt Zürich schon längst dafür spezielle Spritzmaschinen einsetzte. Dann etliches beim Bau der ETH Hönggerberg. Z.B. für die Betonierung des Tragtischs des Hörsaalgebäudes wurde „billiger“ Armierungsstahl eingekauft und verbaut, der unterhalb einer bestimmten Temperatur spröd wird Als Folge musste der Tragtisch im Winter dauernd beheizt werden um die Sicherheit der Konstruktion zu gewährleisten. Die Gefahr wurde erst entschärft, als viele Jahre später die überdimensionierten Streben für die „Erdbebensicherheit“ eingebaut wurden. u.s.w., u.s.w.

Und welche persönlichen Verbindungen zwischen den Verwaltungen und der Firma haben dies alles ermöglicht? Futter für einen weiteren Artikel.

Ein ausgezeichneter Beitrag zum wichtigen und ungelösten Problem der Datensicherheit. Die Frage ist: Wie weiter? Im Fazit erwähnt Adrienne Fichter den Brief des Nationalen Zentrums für Datensicherheit, in welchem die "Hausaufgaben" der IT-Dienstleister aufgelistet sind. Dazu zählen die Pflicht der Multifaktor-Authentisierung, das Verbot zur Nutzung unverschlüsselter Passwörter und zur Speicherung nicht anonymisierter Produktivdaten des Bundes, die Implementierung des Löschverfahrens von Testdaten, ein Incident Response Prozess sowie die "Forcierung" von remote arbeitenden Personen auf eine VPN-Verbindung. In einem Kommentar zu diesem Brief wird geäussert, diese Maximalforderungen seien völlig unrealistisch. Ist das der Fall? Ich wäre interessiert zu lesen, wie Adrienne Fichter sowie andere Expertinnen und Experten diese Forderungen beurteilen.

Ich hoffe dank dieser Recherche, kann man nun alle verantwortlichen für eine solche Beschaffung verklagen. Könnten diese Vergehen gar zu Haftstrafen führen?

«Vergaben, welche sich beispielsweise auf den Ausnahme­artikel zur Aufrecht­erhaltung der inneren und äusseren Sicherheit sowie der öffentlichen Ordnung beziehen, müssen nicht auf Simap.ch veröffentlicht werden.» Ich meckere: sie finden sich im Darknet.

resp. der Schlüssel ist „frei verfügbare Software“ (Matthias Stürmer)
weil diese Frage "Doch geniesst Xplain überhaupt noch das Vertrauen der Bundes­verwaltung?“ muss mit NEIN beantwortet werden, resp. es soll eine andre Frage gefunden werden.
Ein Angebot: Wie nennen wir die schweizeigene Forschergruppe, die mittels Software unter Open-Source-Lizenzen bestehende it ertüchtigt und neue Module der Gemeinschaft bereitstellt? - Der Bund soll sich also rechtlich betrachtet diese Xplain einverleiben, er laibt das bundeseigne Label.

Sehr geehrte Frau Fiechter
Herzlichen Dank für diese riesige Arbeit.

Aus meiner Sicht kratzen Sie erst an der Oberfläche.

Noch spannender finde ich zu untersuchen was beim BfE, der ElCom, Swissgrid betreffend denm grössten Risiko der Schweiz "Eine lang andauernde Stromangellage" passiert. Gemäss Bundesamt für Bevolkerungschutz ist eine lang andauernde Strommangellage schon seit 2015, das grösste Risiko der Schweiz.
Seit dem Ukraine Krieg wird die Strommangellage missbraucht für eine Stromproduktionsturbo und Partikularinteressen einiger weniger.
Dabei bleibt die Versorgungssicherheit weiterhin auf der Strecke.
Mit Notrecht werden 1000 mal zu teure Grossnotkraftwerke (Birr) gebaut und Stromspeicherreserven angelegt zum finanziellen Nutzen der Überlandwerke und zu Lasten der Stromkonsumenten.
Die Photovoltaik auf nicht überbauten Flächen wird subventioniert, obwohl diese ohne saisonale Speicher keinen Beitrag leisten kann zur Stromversorgungssicherheit der Schweiz.
Themen wie Stromentschwendung (der Stromverbrauch in der Schweiz sinkt seit 2010 ohne spezielle Fördeerung) sind kein Thema auch in der Republik.
Die Möglichkeit gezielt und gegen Bezahlung Stromverbraucher auszuschalten wird nicht in betracht gezogen.
Besthende dezenentrale Notstromanlagen mit "BAFU-Diesel" zu betreiben und diese für die klimaneutrale sicher Stromversorgung zu nutzen, wird nur stiefmütterlich angegangen.
Das Klimalabor scheint es nicht zu interessieren, dass wir letzten Dezember unser Stromversorgung nur mittels import von Strom aus Deutschland sicher stellen konnte, der Notabene mit Gaskraftwerken und Kohlekraftwerken sicher gestellt wurde.
Es wird höchste Zeit, dass im Zusammnhang mit dem grösste Risiko der Schweiz jemand wie Sie sorgfältig recherchiert und neue und andere Lösungsmöglichkeiten präsentiert.

Vielen Dank fuer die gruendliche Recherche. Dazu ist zu sagen ...

• bei einem Singlesource Anbieter passen die Module zumindest zusammen.

• so gerne man offene Systeme haette, kommt das Problem der Schnittstellen. Wer kann die definieren ? Die Kunden sollten's koennen, haben aber die Leute nicht. Allenfalls jemand auf niederer Hierarchiestufe, der nicht zu lange bleibt.. Man kann und sollte den Implementor, XPlain, verpfichten die Schnittstellen zu dokumentieren. Der Vollstaendigkeit willen.

• solche Schnittstellen sind einem Wandel unterworfen, nach ein paar Jahren sind die urspruenglichen Dokumente nichts mehr wert. Als Drittanbieter waere man auf aktuelle Dokumente angewiesen, welche dann ueblicherweise nicht ausgehaendigt werden, und Nachfragen bleiben dann ergebnislos.

• Wuerden nun Module an Drittanbieter ausgeschrieben sollten die Schnittstellen Spezifikationen einsehbar sein, sonst kann sich der Leistungserbringer auf erhebliche zusaetzliche Schwierigkeiten berufen, und eine Zusatzrechnung in irgendwelcher Hoehe stellen zusammen mit einer beliebigen Verzoegerung. Sollten Schnittstellen von sensitiven Bundesdiensten oeffentlich einsehbar sein ? Eher nicht, denn damit wuerde die Funktion der Organisation offengelegt. Als Projekt ausschreibende Firma, resp als Bund, wuerde ich ein NDA (Geheimhalteerklaerung) verlangen.