Finanzkontrolle sieht Handlungsbedarf für Bundes-RZ in Frauenfeld

In Frauenfeld betreibt die Bundesverwaltung ein Rechenzentrum mit dem Namen Campus. Sie nahm es 2020 in Betrieb unter anderem mit dem Ziel, zivile Fachanwendungen des Bundes redundant betreiben zu können, nämlich parallel zum Rechenzentrum Primus in Bern. Campus sollte auch der Nachfolger werden zu Titanic II, einem ebenfalls in Bern angesiedelten Rechenzentrum, welches den Betrieb inzwischen einstellte.

Doch dieser "echte georedundante Betrieb", wie ihn der Bund beschreibt, lässt zumindest teilweise auf sich warten. Dies geht aus einem Bericht der Eidgenössischen Finanzkontrolle (EFK) hervor, in der sie den Stand der Migration ins Frauenfelder Rechenzentrum beurteilt. Das entsprechende Schlüsselprojekt mit einem Volumen von 31 Millionen Franken sollte Mitte 2025 abgeschlossen werden.

Für Fachanwendungen fehlen Container

Auf den ersten Blick scheint vieles gut zu laufen bei der Migration: Die benötigten Services seien im RZ Campus aufgebaut, schreibt die EFK. Dem Rechenzentrum selbst attestiert sie, es sei "von der Ausstattung und den Sicherheitsmassnahmen her ein modernes und sicheres Rechenzentrum".

Die Finanzkontrolle stellt aber auch fest, dass "die überwiegende Menge" der bislang im Rechenzentrum Titanic II gehosteten Fachanwendungen nicht nach Frauenfeld, sondern an den Standort Primus in Bern verschoben worden sei. Damit verbleibt am Standort Primus ein grösseres Klumpenrisiko.

Dass viele Bundesstellen ihre Anwendungen nicht nach Frauenfeld migrieren, hat laut der EFK mit dem damit verbundenen Aufwand zu tun. So sei der Standort Campus mit Netzwerkzonen gemäss Vorgaben des neuen IT-Grundschutzes ausgerüstet. Jede Fachanwendung, die noch in den alten Netzwerkzonen gemäss früherer vorgaben läuft, müsste für den Betrieb in Frauenfeld angepasst werden - zu bezahlen vom jeweiligen Leistungsbeziehenden.

Noch grösser scheint der Aufwand bezüglich der Container-Plattform. Die aktuellste solche Plattform die das Bundesamt für Informatik und Technologie (BIT) anbietet, basiert auf dem Produkt Red Hat OpenShift (RHOS). Diese stehe am Standort Campus bisher nicht in der Kundenzone zur Verfügung. Sie aufzubauen, sei auch nicht Teil des Migrationsprojektes gewesen, erklärt die EFK.

Somit müsste der erste Leistungsbeziehende, der die RHOS-Plattform benötigt, auch für deren Aufbau bezahlen. "Zum Zeitpunkt der Prüfung bestand, insbesondere angesichts des Spardrucks im Bund, noch keine Bereitschaft diese Kosten zu übernehmen", schreibt die EFK.

Prüfprozesse fehlen

Ausserhalb des Migrationsprojekts habe das BIT zwar die ältere Cloud-Plattform Atlantica aufgebaut, heisst es weiter. Doch auch zu deren Nutzung seien Anpassungen an bestehenden Fachanwendungen aufgrund der neuen Netzwerkzonen notwendig. Atlantica könne daher "nicht prioritär als Zielplattform genutzt werden, vielmehr erfolgen Migrationen vorrangig weiterhin innerhalb des RZ Primus", schreibt die Prüfstelle und schlussfolgert: Eine Verschiebung wesentlicher Produktionslast des Berner RZ Primus an den Standort Campus in Frauenfeld sei kurzfristig nicht zu erreichen.

In ihrer Untersuchung entdeckte die EFK des Weiteren eine Unklarheit bezüglich der Standortrisiken. Zwar seien im Bauprojekt die mit dem Standort verbundenen Risiken analysiert und auf ein akzeptables Niveau gesenkt worden - entweder durch bauliche oder betriebliche Massnahmen. Doch zum Zeitpunkt der EFK-Prüfung war unklar, wer nach dem Bauprojekt diese Standortrisiken bewirtschaftet und regelmässig überprüft. Laut der Finanzkontrolle waren die entsprechenden Verantwortlichkeiten nicht definiert. Zudem fehlte "ein regelmässiger Prozess, der überprüft, ob die umgesetzten Massnahmen noch zur Eintrittswahrscheinlichkeit und dem geschätzten Auswirkungsgrad allfälliger Ereignisse passen". Die EFK empfiehlt darum der als Bauherrin fungierenden Armasuisse Immobilien, dafür zu sorgen, dass den Nutzenden des Rechenzentrums regelmässig eine aktuelle Einschätzung der Standortrisiken zur Verfügung gestellt wird.

Anfang 2025 veröffentlichte die EFK einen ersten Prüfbericht zum E-Health-Programm Digisanté. Darin warnt sie vor begrenzten Einflussmöglichkeiten des Bundes und fordert mehr Kompetenzen, wie Sie hier lesen können.