BZK zieht alle Register auf, um den Glockenläuter Van Oordt zu entlassen

Quelle: Rik Sanders / Computable

Pieter van Oordt, der wichtigste Datenschutzberater von Logius, muss bei diesem IT-Dienstleister des Staates ausscheiden, und zwar wegen seiner Rolle im „Kreuzzug“ gegen die Übernahme von Solvinity durch das US-amerikanische Unternehmen Kyndryl. Er war bereits suspendiert worden. Für den Antrag auf Kündigung hat das Ministerium für Inneres und Königreichsbeziehungen (BZK) dem Gericht insgesamt 770 Seiten Unterlagen übermittelt.

Das Ministerium für Inneres und Königreichsbeziehungen (BZK), dem Logius untersteht, fordert die Entlassung des Beamten, der monatelang intern und extern vor den Risiken gewarnt hat, falls DigiD und MijnOverheid unter den Einfluss der USA geraten. Logius verwaltet nämlich die Plattformen, auf denen diese Dienste laufen, während das Amsterdamer Unternehmen Solvinity sie technisch unterstützt.

Van Oordt dachte, mit seinen Handlungen dem Gemeinwohl zu dienen. Doch sein Arbeitgeber empfindet es als störend, dass er dabei seine Rolle als Beamter verlassen hat. Es wurden Maßnahmen ergriffen, um ihn zu isolieren. Logius-Direktor Bert Voorbraak untersagte ihm, mit der administrativen und politischen Spitze des Innenministeriums über diese Risiken zu kommunizieren.

Zermürbungskrieg

BZK und Logius haben sich nun für einen Zermürbungskrieg gegen Van Oordt entschieden, der angesichts der zahlreichen Reaktionen in den sozialen Medien viel moralische Unterstützung erhält, finanziell aber einen Preis zahlen muss. Juristisch entscheidet sich sein Arbeitgeber nämlich dafür, sämtliche Register zu ziehen. Um den Antrag auf Entlassung zusammenzubauen, lässt das Ministerium die Mühlen der Bürokratie auf Hochtouren laufen. Das Ergebnis ist ein 98 Seiten umfassender Antrag mit satten 186 Anlagen; insgesamt 770 Seiten Schriftsatz.

Ein Heer hoher Beamter und praktisch die gesamte Führungsspitze des Ministeriums wurden dafür eingesetzt, ebenso die Anwälte von Pels Rijcken. Obwohl das Ergebnis der DigiD-Affäre Van Oordt weitgehend recht gab und die Übernahme von Solvinity wurde untersagt, soll der Whistleblower nun büßen. Er muss sich nun mehr oder weniger allein gegen ein Ministerium behaupten, das weder Geld noch Mühe scheut, um sich eines kritischen Funktionärs zu entledigen. In einer ersten Reaktion sagt Van Oordt: „Der Kampf ist völlig unverhältnismäßig. Mit einer Übermacht an Anwälten und Beamten gegen mich versuchen sie, mich unter Papier zu begraben. 770 Seiten und ohne Anwalt.“ Er hat den Minister in einem Brief um ein faires Verfahren gebeten. „Das kann ich nicht ohne Anwälte vorbereiten.“

Öffentliche Aufmerksamkeit

Dem Whistleblower wird vor allem vorgeworfen, dass er öffentlich auf die Sicherheitsrisiken nach der Übernahme aufmerksam gemacht hat. Die US-Regierung könnte nicht nur Zugang zu den Daten niederländischer Bürger erhalten, sondern auch den Stecker ziehen – ein Horrorszenario, das in der Zweiten Kammer des niederländischen Parlaments großen Widerhall findet.

Vor allem wird ihm übelgenommen, dass der Chief Privacy Officer (CPO) mit internen Bedenken und Dokumenten an die Öffentlichkeit gegangen ist. Er sprach offen darüber, obwohl das Ministerium angewiesen hatte, Stillschweigen zu bewahren und die Angelegenheit intern zu behandeln. Wegen der großen gesellschaftlichen Bedeutung dieser Affäre hielt er kürzlich außerdem ein Keynote-Referat auf der Cybersec Netherlands im Jaarbeurs Utrecht. Auch diese Aktion hat ein juristisches Nachspiel.

Am meisten störte sich die Logius-Führung jedoch an seiner Kritik an der eigenen Organisation. Van Oordt warf der Spitze von Logius, darunter dem scheidenden Direktor Bert Voorbraak, und dem zuständigen Ministerium vor, Risiken in offiziellen Kammerbriefen unzureichend oder sogar absichtlich nicht berücksichtigt zu haben. Entscheidende Informationen wurden zurückgehalten. Van Oordt meinte außerdem, man hätte rechtzeitig nach Alternativen suchen müssen. 

Übernahme durchdrücken

Voorbraak, der schon lange von dem geplanten Deal mit Kyndryl wusste, hielt jedoch nichts von einer Migration zu einem anderen Hoster. Laut Van Oordt wurden Alternativen ausgeschaltet, bevor die Politik darüber entscheiden konnte. Sein Gegenspieler Voorbraak soll alles darangesetzt haben, die Übernahme durchzudrücken. Van Oordt sagte gegenüber der NRC: ‘Alles, was von dieser Linie abweicht, wird nicht an die Staatssekretäre oder die Tweede Kamer weitergeleitet. Wer sich dagegenstellt, wird darauf angesprochen.’

Nur ein Teil einer Sicherheitsfolgenabschätzung wurde an die Zweite Kammer geschickt. Diese Analyse kam zu dem Schluss, dass die Schutzmaßnahmen nicht ausreichen, um die Verfügbarkeit von DigiD und den Datenschutz zu gewährleisten. Der technisch relevanteste Teil der Empfehlung fehlte, und später zeigte sich, dass er die Übernahme erschweren könnte. Auch der Staatssekretär und der Minister wurden laut Van Oordt über Informationen im Unklaren gelassen. Der Hinweisgeber findet es zudem merkwürdig, dass die Risiken von Anfang an gemeinsam mit Solvinity und Kyndryl bestimmt wurden. Normalerweise geschieht dies intern, mit den eigenen Sicherheits- und Datenschutzexperten des Ministeriums und Logius als ausführender Dienststelle.

Die Hand über dem Kopf halten

Der Datenschutzbeauftragte meldete die Risiken zunächst intern der Geschäftsleitung, dem Generalsekretär und dessen Stellvertreter. Anschließend meldete er die Gefahren beim Haus der Whistleblower und schließlich öffentlich, unter anderem in Computable sowie in Interviews mit De Volkskrant, The New York Times, NRC und BNR. 

Van Oordt spürte dabei großen Druck von seinen Vorgesetzten. Von Besprechungen wurde er ausgeschlossen. Am 24. April 2026 kam es zu einer Suspendierung, danach wurde ihm die Kündigung angekündigt. Während Van Oordt sich für das öffentliche Interesse und das seiner Organisation einsetzte, wurde er selbst als Risiko für das „System“ abgestempelt. Seiner Ansicht nach ist im „Ambtelijke BZK“ und bei Logius ein Klima entstanden, in dem die Spitze sich gegenseitig deckt und Fehler vertuscht werden.