Über die Infrastruktur X-Road tauschen Behörden im digitalen Vorzeigestaat Estland Daten aus. Auch in Deutschland wird die Software jetzt getestet.

In Estland läuft praktisch jeder Kontakt mit dem Staat digital, vom Wählen über die Steuererklärung bis hin zum Parkticket-Kauf. Hinter diesen Services steckt X-Road, die Infrastruktur für digitale Kommunikation zwischen Behörden, Bürgerinnen und Unternehmen. Zusammen mit Standards und Gesetzen bildet die Software Estlands digitales Rückgrat.

1991 hat Estland nach 51 Jahren seine Unabhängigkeit von der Sowjetunion erklärt - der Beginn eines radikalen Systemwechsels. Die Erfinder von X-Road legten Ende der 1990er Jahre den Grundstein für Estlands Entwicklung zum Vorzeigebeispiel für den digitalen Staat. Einer von ihnen ist Uuno Vallner. Von 1993 bis 2001 hat er als Berater für die Abteilung für Informationssysteme im Wirtschaftsministerium gearbeitet.

„Wir haben unser Verwaltungssystem von null auf aufgebaut", erinnert sich Vallner. Dabei kristallisierte sich ein zentrales Problem heraus: Daten zwischen Behörden auszutauschen, war teuer. Die Anforderungen der Datenschutzbehörde machten die Prozesse kompliziert.

Wir haben unser Verwaltungssystem von null auf aufgebaut.

Eine sichere und vor allem günstige Lösung musste her. „Wir hatten kein Geld für Kabelnetzwerke", sagt Vallner. „Also haben wir entschieden, dass Daten der König sind. Einem König auf Reisen würde man keine eigene Straße bauen, sondern ihm ein Schutzteam zur Seite stellen. Wir wollten Daten über das Internet verschicken und mit Software beschützen."

Sicher, einfach und quelloffen sollte die neue Infrastruktur sein. Diese Eigenschaften bestimmten das Design.

Der Kern von X-Road sind individuelle Keys. Jede Behörde, jede Bürgerin, jedes Unternehmen hat einen digitalen Zwilling, eine einzigartige ID. Zwei dieser Parteien können innerhalb von X-Road über zwei Security-Server Daten austauschen, ohne dabei den Server einer dritten Partei nutzen zu müssen.

Im System von X-Road gibt es keine doppelt gespeicherten Datensätze, das ist per Gesetz verboten. Wer X-Road benutzt, stellt sich den gewünschten Datensatz über Anfragen an die jeweiligen Behörden zusammen.

„So kennt jede Behörde nur einen Teil der Daten. Das Gesundheitsamt kennt die Gesundheitsdaten, das Bevölkerungsregister die Einwohner, die Verkehrsbehörde die Verkehrsdaten", erklärt Vallner. Vorher lagen dieselben Datensätze bei verschiedenen Behörden - nicht effizient.

Die Bürger sehen, wer ihre Daten wofür nutzt. Mit ihrem Ausweis können sie sich in einem Onlineportal einloggen und ihre Daten einsehen. Fehler fallen so eher auf und können gemeldet werden. Transparenz und Effizienz gehen Hand in Hand.

„Ich habe in die Anforderungen geschrieben, dass diese Lösung Open Source sein muss, damit jeder sie überprüfen kann", sagt Uuno Valler. Das stieß aber nicht nur auf Zustimmung. „Wir hatten einige Diskussionen mit Sicherheitsbeamten."

Ich habe in die Anforderungen geschrieben, dass diese Lösung Open Source sein muss.

So ergab sich die Situation, dass X-Road rechtlich zwar von Anfang an quelloffen war, praktisch aber nicht. Fachleute bekamen den Code auf Anfrage. Auf GitHub veröffentlicht wurde er erst 2016 unter der MIT-Open-Source-Lizenz.

Auch privaten Unternehmen steht die Infrastruktur offen. Einer der ersten wichtigen Partner für X-Road waren beispielsweise die Banken. Bis 2002 hatten nur 3% Prozent der Bürgerinnen und Bürger Onlinedienste genutzt, um mit Behörden zu kommunizieren. Dann stiegen die zwei wichtigsten Banken in Estland von Pin-Codes auf die digitale Identifikation um.

Innerhalb von acht Jahren stieg der Nutzungsanteil auf knapp 40 Prozent. Heute werden 99 Prozent aller Behördenkontakte in Estland online erledigt.

Seit 2013 entwickeln Finnland und Estland die Software gemeinsam weiter. Vier Jahre später haben die beiden Länder das Nordic Institute for Interoperability Solutions gegründet. Die Organisation kümmert sich seitdem um die Weiterentwicklung und organisiert die Arbeit der inzwischen weltweit aktiven X-Road-Community.

Auf der Weltkarte der Community ist zu sehen, dass X-Road inzwischen international benutzt wird. 2016 haben die Faröer und El Salvador als erste Länder außerhalb von Estland und Finnland X-Road implementiert. Heute gehören unter anderem Aserbaidschan, Australien, Schottland, Chile und Südafrika dazu, und die WHO will X-Road für digitale Impfzertifikate nutzen.

Auch in Deutschland gibt es einen Marker auf der X-Road-Karte: Die Kassenärztliche Vereinigung in Hessen hat im April 2020 ein Pilotprojekt für Videosprechstunden und digitale Rezepte gestartet. Einer der beteiligten IT-Dienstleister ist das estnische Unternehmen Nortal.

In Estland hat Nortal mehrere staatlichen E-Services entwickelt. Seit 2018 ist der Softwareentwickler auch in Deutschland tätig. Im Gespräch mit t3n.de betonen CEO Ole Behrens-Carlsson und Head of Digital Healthcare Taavi Einaste, wie wertvoll Erfahrungen aus anderen Ländern und auch aus dem privaten Sektor für die Digitalisierung in Deutschland sein können.

In Estland verbindet X-Road Behörden, Bürger und Unternehmen - in Hessen Patienten, Ärzte und Apotheken. Funktioniert die Infrastruktur auch als Insellösung im Gesundheitsbereich, ohne den bundesweiten Kontext? Ja, sagen Einaste und Behrens-Carlsson.

„Man kann sich das föderale Deutschland vorstellen wie viele kleine Estlands. Theoretisch könnten hunderte X-Roads zusammenarbeiten", erklärt Behrens-Carlsson. Aber auch mit anderen Infrastrukturen, etwa der Telematik-Infrastruktur, sei das System kompatibel.

Laut Einaste bietet X-Road genau die Elemente, die eine Infrastruktur braucht, wenn so sensible Daten wie Gesundheitsdaten ausgetauscht werden sollen: Sie ermöglicht den einfachen, integren und sicheren Austausch von Daten und regelt die Schlüsselfrage, wer Zugriff auf welche Daten hat.

Außerdem bietet X-Road eine „gewissermaßen sehr deutsche Eigenschaft", fügt Einaste hinzu. Bei jeder Datenanfrage wird automatisch ein digitales Zertifikat erstellt, das vor Gericht gültig ist. Das brauchen deutsche Behörden für die rechtssichere Kommunikation.

Einaste erinnert sich an Gespräche mit Stakeholdern in Deutschland, die genau deshalb lieber das Fax benutzen - um ein rechtskräftiges Dokument zu haben. Weil X-Road diesen Prozess automatisiert, ist das System so gut mit dem deutschen Kontext vereinbar.

Die Infrastruktur ist also gut geeignet, um bestehende Prozesse ins Digitale zu übertragen. Aber im Falle der digitalen Rezepte war noch mehr nötig. Die genaue Pipeline, über die Daten verschickt werden, und die Rolle von Krankenhäusern, Apotheken und Patienten darin mussten definiert werden. Anstatt den Stand der Dinge zu digitalisieren, entstand ein neuer Prozess.

„Digitalisierung bedeutet nicht, aus einem Papier ein PDF zu machen. Dadurch geht die Chance auf eine echte Transformation verloren", sagt Taavi Einaste. Auf dieses Mindset stößt sein deutscher Kollege Ole Behrens-Carlsson bei seiner Arbeit mit Behörden aber immer wieder.

Digitalisierung bedeutet nicht, aus einem Papier ein PDF zu machen.

„Politiker denken, X-Road könnte ihre Probleme lösen. Aber X-Road verbindet nicht auf magische Weise zwei Behörden, sondern dafür ist Entwicklungsarbeit nötig", so Einaste. Wer hat welche Rechte, welche Akteure tauschen welche Daten aus? Erst wenn die Antworten auf diese Fragen stehen, kann X-Road ins Spiel kommen. Deshalb muss am Anfang eines technischen Wandels ein neues Mindset stehen.