Deutschland-Stack: Was „DevSecOps only“ konkret bedeutet

Am 18. März 2026 hat der IT-Planungsrat (das zentrale politische Gremium bei der Digitalisierung der öffentlichen Verwaltung) den Deutschland-Stack beschlossen. Das föderale Rahmenwerk legt zehn Architekturprinzipien für die gesamte Verwaltungs-IT fest – von Bund über Länder bis zu Kommunen.

Eines dieser Prinzipien fällt durch seine Klarheit auf: „DevSecOps only“. Damit wird agile, sicherheitsintegrierte Softwareentwicklung erstmals als verbindlicher Entwicklungsstandard verankert. Konkrete Umsetzungsangebote für alle föderalen Ebenen sollen bis 2028 bereitstehen.

Was steckt hinter dem DevSecOps-Mandat?

DevSecOps integriert Sicherheitsprüfungen direkt in die Entwicklungspipeline, statt sie ans Projektende zu verschieben. Security-Checks, automatisierte Tests und Infrastructure as Code gehören damit zum Entwicklungsalltag. Der Deutschland-Stack benennt OWASP (das Open Web Application Security Project) explizit als Handlungsleitfaden und Policy as Code als Standardprinzip.

Kurz: Sicherheit soll nicht mehr beim Abnahmetermin nachgewiesen, sondern von Anfang an eingebaut werden.

Das ist keine graduelle Anpassung. Behörden, die heute noch mit dem V-Modell XT oder klassischen Phasenmodellen arbeiten, stehen vor einer strukturellen Transformation ihrer Entwicklungs- und Abnahmeprozesse.

Vorgabe trifft herausfordernde Ausgangslage

Der Beschluss schafft einen Standard. Die Umsetzung obliegt den Behörden. Und dort trifft die neue Anforderung auf eine herausfordernde Realität: Rund 78 Prozent der IT-Budgets in der öffentlichen Verwaltung fließen in Wartung und Betrieb bestehender Systeme. Für den Aufbau neuer Entwicklungsinfrastrukturen bleibt wenig Spielraum.

Gleichzeitig wächst der Druck von einer weiteren Seite: Das NIS-2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 ohne Übergangsfrist in Kraft ist, fordert in § 30 BSIG-neu explizit Sicherheit in Entwicklung und Beschaffung von IT-Systemen. Wer DevSecOps nicht umsetzt, riskiert dort eine Compliance-Lücke, die sich bei nächsten Audits und Vergabeverfahren bemerkbar machen wird.

Hinzu kommt der Fachkräftemangel: In der öffentlichen Verwaltung fehlen heute rund 39.000 IT-Fachkräfte, Tendenz steigend. DevSecOps-Erfahrung gehört zu den am stärksten nachgefragten Kompetenzen am Markt und ist intern entsprechend schwer aufzubauen.

Wo der Einstieg gelingt

Die gute Nachricht: DevSecOps lässt sich schrittweise einführen. Erste Bundesländer zeigen, wie es geht. Niedersachsen setzt das Scaled Agile Framework (SAFe) mit Program Increment Planning für bis zu 125 Beteiligte ein. Das V-Modell XT Bund wurde so angepasst, dass vollständig auf Scrum-Basis gearbeitet werden kann. Der Weg funktioniert, aber er braucht Struktur, Erfahrung und verlässliche Nachweisartefakte.

Pragmatische Einstiegspunkte für Behörden:

CI/CD-Pipeline mit automatisierten Sicherheitschecks aufbauen:
SAST-Tools (Static Application Security Testing) und DAST-Tools (Dynamic Application Security Testing) lassen sich schrittweise in bestehende Build-Prozesse integrieren, ohne die gesamte Infrastruktur umzubauen.
Testautomatisierung als Rückgrat etablieren:
Automatisierte Regressionstests schaffen die Grundlage für kürzere Release-Zyklen und liefern die Prüfprotokolle, die Vergabe und Audit verlangen.
Gov-IT-erfahrene Entwicklungspartner einbinden:
Im Rahmen vergaberechtlicher Spielräume können externe Dienstleister agile Entwicklungs- und Testprozesse aufsetzen – mit Dokumentation, die in EVB-IT-Kontexte passt und Abnahmen revisionsicher macht.

Ein erster DevSecOps-Baustein ersetzt kein vollständiges Sicherheitskonzept. Er schafft aber die Entwicklungsgrundlage, auf der alle weiteren Maßnahmen aufbauen können. Bitkom fordert in seinem Positionspapier zum Deutschland-Stack genau das: „standardisierte Entwicklungs- und Testumgebungen, API-Kataloge, Referenzarchitekturen und automatisierte Prozesse“ als Voraussetzung für eine einheitliche Developer Experience.

Wenn Sie wissen möchten, wie ein erster DevSecOps-Baustein in Ihrer Behörde konkret aussehen kann, sprechen Sie gerne mit unserem Gov-IT-Team. Wir begleiten Sie von der Konzeption bis zur Umsetzung: vergabekonform und mit nachweisbarer Qualitätssicherung.