CyberGovSecure : Schützen kann der Bund nur, was er sieht

„Das bisherige Nebeneinander im digitalen Schutz unseres Staates können wir uns nicht mehr leisten“, sagte Digitalminister Karsten Wildberger, als das Bundeskabinett am 22. Juli das neue Programm CyberGovSecure für die Bundesverwaltung beschloss. Setzt das Programm dort an, wo das Risiko tatsächlich liegt, und passt es zur IT des Bundes überhaupt?

Beschlossen wurde im Bundeskabinett vor allem eine neue Steuerung: Ein Lenkungskreis auf Staatssekretärsebene unter Vorsitz des Bundesdigitalministeriums (BMDS) übernimmt die strategische Führung, die operative Umsetzung koordiniert die CISO Bund, BSI-Präsidentin Claudia Plattner, gemeinsam mit den Informationssicherheitsbeauftragten der Ressorts. Das BSI hat dafür neun Handlungsfelder identifiziert. Was fehlt, hat zwei Dimensionen.

Die politische: keine Frist mit Datum, keine bezifferten Zielwerte, keine Budgets, wie schon beim Programmstart am 4. Mai. Und die fachliche: Das Programm geht am tatsächlichen Zustand der Bundes-IT vorbei: am veralteten Assetmanagement und an den nachgeordneten Behörden, in denen der Großteil dieser IT liegt.

Wer die IT des Bundes steuern will, muss sie kennen

Kabinett und Lenkungskreis entscheiden auf Basis des Bildes und der Zuarbeit, die ihnen die Fachebene liefert: die CIO-Organisationen des Bundes und der Ressorts sowie das BSI. Diese Organisationen sind für das Management der Bundes-IT zuständig: für Inventarisierung, Assetmanagement, Sicherheitsvorgaben. Das setzt ein vollständiges Bild dieser IT voraus. Dieses Bild ist jedoch unvollständig – nicht als Versäumnis Einzelner, sondern als strukturelles Erkenntnisdefizit, das sich in den verfügbaren Lagebildern niederschlägt. Mit einem vollständigen Bild hätten Angriffsfläche, Dienstleister und nachgeordnete Behörden im Zentrum des Programms gestanden. Dort stehen sie aber nicht.

Woran man das erkennt? An dem, was der Lagebericht des BSI misst. Er vermisst die Angriffsfläche des Bundes entlang der „Weißen Liste“, also der IP-Bereiche, die als staatseigen bekannt und registriert sind: Offenbar erfasst wird, was Behörden selbst besitzen oder melden, ein Vorgehen aus einer Zeit, in der der Staat seine IT im Wesentlichen selbst betrieb. Heute zeigt es nur noch den historisch gewachsenen Kern der tatsächlichen Angriffsfläche. Das BSI selbst beansprucht dabei ausdrücklich, auch die nachgeordnete, mittelbare Bundesverwaltung abzubilden. Nicht der Anspruch ist zu eng, sondern das Verfahren, wie die Zahlen im nächsten Abschnitt zeigen. Wer auf dieser Grundlage plant, plant an einem Großteil des Risikos vorbei.

Erste Lücke: Sichtbarkeit

Wie groß der blinde Fleck ist, zeigt unsere aktuelle Athene-Studie „IT der Bundesministerien 2025“, für die wir Ende 2025 die von außen sichtbare IT aller 16 vermessenen Häuser erfasst haben. Im BSI-Monitoring stehen rund 3.800 aktive IP-Adressen der Bundesverwaltung; unsere Messung ordnet ihr rund 36.100 zu. Über 60 Prozent davon werden extern oder in der Cloud betrieben, bei Cloudflare, Hetzner, AWS oder Azure. Insgesamt liegen knapp 90 Prozent außerhalb der staatseigenen Adressbereiche und damit außerhalb des Lagebilds des BSI, auch jenseits der Cloud-Systeme. Es übersieht damit auch die mehr als 12.100 Sicherheitsbefunde, die wir genau dort gefunden haben. Zum Gesamtbild gehört: Kein einziges Ministerium ist vollständig konform mit den BSI-Mindeststandards: von abgelaufenen oder fehlerhaften Zertifikaten (32,5 Prozent) bis zu E-Mail-Domänen ohne wirksamen Schutz gegen gefälschte Absender (45 Prozent).

CyberGovSecure übernimmt diesen unvollständigen Blick: Es sind dieselben Organisationen, die das Assetmanagement verantworten, das Lagebild erstellen und nun das Programm mit Inhalt füllen. Das Handlungsfeld Assetmanagement zielt laut Programmtext auf die „Identifizierung von Risiken durch undokumentierte und veraltete Assets in der Bundesverwaltung“, gesucht wird also von innen, in der Logik des IT-Grundschutzes. Ein Inventar, das Undokumentiertes im eigenen Haus sucht, findet aber nicht, was außerhalb davon steht. Vergessene Kampagnendomänen, übernehmbare DNS-Einträge auf gelöschte Cloud-Ressourcen, die IT von Dienstleistern und Projektträgern, Lieferketten: all das taucht weder im Lagebild noch in einem solchen Inventar auf. Das Lagebild ist dabei nur das Symptom; die Ursache ist das unvollständige Bild, das die steuernden Organisationen von der eigenen IT haben. Schützen kann man aber nur, was man sieht.

Zweite Lücke: Die nachgeordneten Behörden

Die zweite Lücke entspringt demselben Defizit. Wer die IT des Bundes kennt, weiß: Die meisten Ministerien sind selbst relativ kleine IT-Organisationen; zwischen 30 und über 80 Prozent ihrer Infrastruktur entfallen auf nachgeordnete Behörden: Bundesämter, Bundesanstalten, Forschungsinstitute mit eigenem Auftrag, Budget und eigenen Dienstleistern. In drei der von uns im Detail vermessenen Ressorts, BMI, BMAS und BMF, gehören 88 bis 93 Prozent der extern sichtbaren Systeme zu nachgeordneten Behörden und Dienstleistern, nicht zum Ministerium selbst.

Formal reicht das Programm ein Stück weit dorthin. Es richtet sich an „Einrichtungen des Bundes gemäß § 29 BSIG“ und erfasst damit auch die nachgeordneten Bundesbehörden, aber von den Dienstleistern nur die öffentlich-rechtlich organisierten. Private Agenturen, Hoster und Cloud-Anbieter (Cloudflare, Hetzner, AWS, Azure) und die Web-Agenturen der Ressorts, bei denen ein erheblicher Teil der von uns gemessenen Systeme läuft: über 6.400 aktive IP-Adressen und über 5.500 Assets konnten wir konkreten Cloud-Dienstleistern zuordnen, sind keine „Einrichtungen des Bundes“ und damit außerhalb.

Und dort, wo das Programm gilt, nimmt es sich selbst die Mittel, etwas durchzusetzen. Die Umsetzung wird „kooperativ zwischen der jeweiligen obersten Bundesbehörde und dem BSI abgestimmt“, die Verantwortung „verbleibt bei der jeweiligen Einrichtungsleitung“. Und die Ausnahmen des NIS2-Umsetzungsgesetzes „bleiben unberührt“ – darunter § 29 Absatz 2 BSIG, der für die Bundesverwaltung die Geschäftsleitungspflichten, die Aufsicht und die Bußgeldvorschriften ausnimmt.

Das BSI will die Einbindung externer Dienstleister zwar zentral koordinieren und mitfinanzieren, Koordination ist aber keine Auflage, und zuständig bleibt laut BSI die Behörde. Auch hier wäre es Aufgabe der Fachebene gewesen, dem Lenkungskreis das vollständige Bild zu liefern. Ein Lagebild, das staatseigene Adressblöcke zählt, sieht keine Organisationsstruktur: nicht, welche Behörde, welcher Dienstleister, welche Lieferkette hinter einem System steht. Wer so misst, sieht vor allem die Ministerien – und genau diesen Zuschnitt übernimmt das Programm.

Gewiss steuern Ressorts ihren Geschäftsbereich mittelbar, über Aufsicht, Haushalt und Beschaffung. Aber es ist exakt diese mittelbare Steuerung, die den heutigen Zustand hervorgebracht hat, und an sie delegiert das Programm die Umsetzung erneut, über die Informationssicherheitsbeauftragten der Ressorts. Richtig eingerichtet ist dagegen, dass die CISO Bund im Lenkungskreis nur „ein nicht stimmberechtigter Teilnehmer“ ist, obwohl sie laut Programm „die Verantwortung für die Durchführung des Programms“ trägt: Wer kontrolliert wird, darf im kontrollierenden Gremium folgerichtig keine Stimme haben, alles andere wäre schlechte Governance.

Dritte Lücke: Verbindlichkeit

Das BSI nennt den Rahmen „verbindlich“. Im Programmtext findet sich dafür kein Instrument, siehe den Geltungsbereich oben.

Das Hauptproblem der Bundes-IT sind laut unserer Studie nicht Zero-Days, sondern alte, ungepatchte Schwachstellen: über 2.182 aktive kritische Schwachstellen (CVSS ≥ 9,0), am häufigsten rund zehn Jahre alt. PHP 5 läuft noch in elf Ministerien, obwohl der Hersteller-Support Ende 2018 endete. Solche Systeme verschwinden nicht durch Berichtspflichten, sondern vor allem durch Abschaltung, mit Termin und Zuständigkeit.

Genau hier bleibt das Programm weich: Beschaffung, Betreiberverträge und die Abschaltung von Altsystemen kommen in ihm nicht vor. Die Erfolgskontrolle soll über ein „transparentes und aufwandsarmes Berichtswesen“ laufen – transparent wird es aber nur, wenn jemand anderes als die berichtende Stelle hinsieht.

Damit schließt sich ein Teufelskreis, den die Bundes-IT seit Jahren kennt. Programme, die auf einem unvollständigen Verständnis der IT beruhen, adressieren die tatsächlichen Probleme nicht und verbessern die Sicherheit nicht messbar. Für die Behörden bedeuten sie Bürokratie ohne erkennbaren Nutzen – also investieren sie weder Zeit noch Personal. Schlimmer noch: Jedes Programm, das Aufwand erzeugt, aber keine messbare Verbesserung liefert, beschädigt die Bereitschaft der Behörden, auch das nächste ernst zu nehmen. Gescheiterte Strategien kosten ihr eigenes Budget und verteuern alle folgenden.

Die Dienstekonsolidierung ist der Beleg. Zwar sind 71 Prozent des geplanten technischen Rollouts abgeschlossen, die tatsächliche Nutzung liegt aber im Schnitt nur bei 27 Prozent. Das Tool für Lizenzmanagement nutzen acht Prozent der Behörden, den Bundesclient 14 Prozent. Die Kennzahl zur tatsächlichen Nutzung hatte die Bundesregierung unterwegs durch die Zahl der Rollouts ersetzt; wie viele Beschäftigte die Lösungen wirklich nutzen, weiß das Innenministerium nicht.

Von den 257 EfA-Onlinediensten wurden im Juni 2023 nur sieben flächendeckend nachgenutzt; im Folgebericht des Rechnungshofs waren es 14 von 306. Und erzwingen lässt sich die Umsetzung ebenso wenig: Auf ein Programm, das keinen nachweisbaren Sicherheitsgewinn dokumentiert, kann man Behörden schwer verpflichten. Verbindlichkeit setzt Messbarkeit voraus – CyberGovSecure bietet bislang keines von beiden.

Die Bundes-IT in fünf Jahren: ein Szenario

Viele der heute ausnutzbaren kritischen Schwachstellen sind zehn Jahre alt oder älter. Ohne Abschaltpflicht rücken in den nächsten drei bis fünf Jahren die Lücken der Jahre 2019 bis 2021 in diese Rolle nach, und Systeme der PHP-5-Klasse laufen dann seit mehr als einem Jahrzehnt ohne Herstellersupport. Der extern und in der Cloud betriebene Anteil der Bundes-IT, heute über 60 Prozent, dürfte mit jeder Ausschreibung weiter wachsen; ein Lagebild entlang staatseigener Adressbereiche erfasst dann noch weniger als die heutigen gut zehn Prozent.

Beim Geld liefert die Dienstekonsolidierung den Maßstab: zehn Jahre, Hunderte Millionen, laut Bundesrechnungshof „Doppel- und Mehrfachentwicklungen“, und am Ende weiß niemand, wie viele Beschäftigte die neuen Systeme wirklich nutzen. Für CyberGovSecure sind Mittel im Haushaltsaufstellungsverfahren 2027 angemeldet, ohne bezifferte Zielwerte wird auch hier niemand sagen können, was sie bewirkt haben. Nichts davon ist unvermeidlich. Es ist nur das, was passiert, wenn nichts anderes passiert.

Haya Schulmann ist Professorin für Cybersicherheit an der Goethe-Universität Frankfurt und Mitglied des Direktoriums des Nationalen Forschungszentrums für angewandte Cybersicherheit Athene. Michael Waidner ist Professor an der TU Darmstadt, Leiter des Fraunhofer-Instituts für Sichere Informationstechnologie SIT und CEO von Athene. Die Studie „IT der Bundesministerien 2025“ ist im Juli 2026 im Rahmen von Athene erschienen.

In unserer Reihe „Perspektiven“ kommentieren unsere Kolumnist:innen regelmäßig aktuelle Entwicklungen, Trends und Innovationen im Bereich Cybersicherheit.