CyberGovSecure : Schützen kann der Bund nur, was er sieht

„Das bisherige Nebeneinander im digitalen Schutz unseres Staates können wir uns nicht mehr leisten“, sagte Digitalminister Karsten Wildberger (CDU), als das Bundeskabinett am 22. Juli das neue Programm „Cybergovsecure“ für die Bundesverwaltung beschloss. Darin geht es vor allem um eine neue Steuerung für die IT des Bundes: Ein Lenkungskreis auf Staatssekretärsebene unter Vorsitz des Bundesdigitalministeriums (BMDS) übernimmt die strategische Führung, die operative Umsetzung koordiniert die Ciso Bund, Claudia Plattner, mit den Informationssicherheitsbeauftragten der Ressorts.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dafür neun Handlungsfelder identifiziert. Was fehlt, hat zwei Dimensionen. Zum einen die politische: keine Frist mit Datum, keine Zielwerte, keine Budgets – wie schon beim Programmstart am 4. Mai. Und die fachliche: Das Programm geht am Ist-Zustand der Bundes-IT vorbei: am veralteten Asset-Management und an den nachgeordneten Behörden, in denen der Großteil dieser IT liegt.

Wer die IT des Bundes steuern will, muss sie kennen

Kabinett und Lenkungskreis entscheiden auf Basis des Bildes, das ihnen die Fachebene liefert, also CIO-Organisationen des Bundes und der Ressorts sowie BSI. Diese Organisationen sind für das Management der Bundes-IT zuständig: für Inventarisierung, Asset-Management, Sicherheitsvorgaben. Das setzt ein vollständiges Bild dieser IT voraus. Dieses Bild ist jedoch unvollständig, da ein strukturelles Erkenntnisdefizit besteht. Angriffsfläche, Dienstleister und nachgeordnete Behörden müssten im Zentrum des Programms stehen, das tun sie aber nicht. Auch weil der Lagebericht des BSI die Angriffsfläche des Bundes entlang der „Weißen Liste“, also der IP-Bereiche, die als staatseigen, bekannt und registriert sind, vermisst. Erfasst wird, was Behörden selbst besitzen oder melden, ein Vorgehen aus einer Zeit, in der der Staat seine IT im Wesentlichen selbst betrieb. Doch wer auf dieser Grundlage plant, plant an einem Großteil des Risikos vorbei.

Erste Lücke: Sichtbarkeit

Wie groß der blinde Fleck ist, zeigt unsere aktuelle Athene-Studie „IT der Bundesministerien 2025“. Im BSI-Monitoring stehen rund 3800 aktive IP-Adressen der Bundesverwaltung; unsere Messung ordnet ihr hingegen rund 36.100 zu. Insgesamt liegen knapp 90 Prozent außerhalb der staatseigenen Adressbereiche und damit außerhalb des Lagebilds. Ein Inventar, das Undokumentiertes im eigenen Haus sucht, findet aber nicht, was außerhalb davon steht. Zum Gesamtbild gehört auch, dass kein einziges Ministerium vollständig konform mit den BSI-Mindeststandards arbeitet. Cybergovsecure übernimmt eben diesen unvollständigen Blick. Schützen kann man aber nur, was man sieht.

Zweite Lücke: Die nachgeordneten Behörden

Die zweite Lücke entspringt demselben Defizit. Wer die IT des Bundes kennt, weiß: Die meisten Ministerien sind relativ kleine IT-Organisationen; zwischen 30 und über 80 Prozent ihrer Infrastruktur entfallen auf nachgeordnete Behörden, wie Bundesämter oder Bundesanstalten. In drei der von uns vermessenen Ressorts – BMI, BMAS und BMF – gehören 88 bis 93 Prozent der extern sichtbaren Systeme zu nachgeordneten Behörden und Dienstleistern, nicht zum Ministerium selbst. Formal reicht das Programm ein Stück weit dorthin. Es richtet sich an „Einrichtungen des Bundes gemäß § 29 BSIG“ und erfasst damit auch die nachgeordneten Behörden, aber von den Dienstleistern nur die öffentlich-rechtlich organisierten. Dabei läuft bei den Privaten ein erheblicher Teil der von uns gemessenen Systeme: Über 6400 aktive IP-Adressen und über 5500 Assets konnten wir Cloud-Dienstleistern zuordnen, die keine „Einrichtungen des Bundes“ sind. Und dort, wo das Programm gilt, nimmt es sich die Hebel, etwas durchzusetzen. Die Umsetzung wird „kooperativ (…) abgestimmt“, die Verantwortung „verbleibt bei der jeweiligen Einrichtungsleitung“.

Und die Ausnahmen des NIS-2-Gesetzes „bleiben unberührt“, so ist die Bundesverwaltung von Geschäftsleitungspflichten und Bußgeldvorschriften ausgenommen. Gewiss steuern Ressorts ihren Geschäftsbereich mittelbar, über Aufsicht, Haushalt und Beschaffung. Aber es ist exakt diese mittelbare Steuerung, die den heutigen Zustand hervorgebracht hat. Für die Umsetzung sind die Informationssicherheitsbeauftragten der Ressorts zuständig.

Dritte Lücke: Verbindlichkeit

Das BSI nennt den Rahmen „verbindlich“. Im Programmtext findet sich dafür jedoch kein Instrument. Das Hauptproblem der Bundes-IT sind laut unserer Studie alte, ungepatchte Schwachstellen: über 2182 aktive, kritische Schwachstellen, häufig zehn Jahre alt. PHP 5 läuft noch in elf Ministerien, obwohl der Hersteller-Support bereits 2018 endete. Solche Systeme verschwinden nur durch Abschaltung, mit Termin und klarer Zuständigkeit.

Genau hier bleibt das Programm weich: Beschaffung, Betreiberverträge und die Abschaltung von Altsystemen kommen in ihm nicht vor. Die Erfolgskontrolle soll über ein „transparentes und aufwandarmes Berichtswesen“ laufen – transparent wird es aber nur, wenn jemand anderes als die berichtende Stelle hinsieht. Damit schließt sich ein Teufelskreis, den die Bundes-IT seit Jahren kennt. Auf ein Programm, das keinen nachweisbaren Sicherheitsgewinn dokumentiert, kann man Behörden schwer verpflichten. Für die Behörden bedeuten sie Bürokratie ohne erkennbaren Nutzen – also investieren sie weder Zeit noch Personal.

Gescheiterte Strategien kosten ihr eigenes Budget und verteuern alle folgenden. Die Dienstekonsolidierung ist dafür der Beleg. Hier liegt die tatsächliche Nutzung im Schnitt nur bei 27 Prozent; wie viele Beschäftigte die Lösungen wirklich nutzen, weiß das Innenministerium nicht. Auch Cybergovsecure liefert weder Verbindlichkeit noch Messbarkeit.

Die Bundes-IT in fünf Jahren: ein Szenario

Viele der heute ausnutzbaren kritischen Schwachstellen sind zehn Jahre oder älter. Ohne Abschaltpflicht rücken in den nächsten drei bis fünf Jahren die Lücken der Jahre 2019 bis 2021 nach. Systeme der PHP-5-Klasse laufen dann seit mehr als einem Jahrzehnt ohne Herstellersupport. Der extern und in der Cloud betriebene Anteil der Bundes-IT dürfte mit jeder Ausschreibung weiter wachsen; das Lagebild erfasst dann noch weniger als die heutigen gut zehn Prozent.

Beim Geld liefert die Dienstekonsolidierung die Messlatte: zehn Jahre, Hunderte Millionen, laut Bundesrechnungshof „Doppel- und Mehrfachentwicklungen“. Für Cybergovsecure sind Mittel im Haushalt 2027 angemeldet. Ohne bezifferte Zielwerte wird auch hier niemand sagen können, was sie bewirkt haben.

Haya Schulmann ist Professorin für Cybersicherheit an der Goethe-Universität Frankfurt und Mitglied des Direktoriums des Nationalen Forschungszentrums für angewandte Cybersicherheit Athene. Michael Waidner ist Professor an der TU Darmstadt, Leiter des Fraunhofer-Instituts für Sichere Informationstechnologie SIT und CEO von Athene. Die Studie „IT der Bundesministerien 2025“ ist im Juli 2026 im Rahmen von Athene erschienen.

In unserer Reihe „Perspektiven“ kommentieren unsere Kolumnist:innen regelmäßig aktuelle Entwicklungen, Trends und Innovationen im Bereich Cybersicherheit.