BundesrechnungshofMangelnder Schutz der Bundes-IT

Die IT des Bundes ist nur unzureichend gegen aktuelle Bedrohungen geschützt. Das geht aus einem aktuellen vertraulichen Bericht des Bundesrechnungshofes an den Haushaltsausschuss hervor, über den das Nachrichtenmagazin Der Spiegel informiert. Die Rechenzentren und Netze des Bundes weisen demnach „eklatante Sicherheitslücken“ auf. So sollen weniger als zehn Prozent der über 100 Rechenzentren des Bundes den Mindeststandard erfüllen, vielfach sei selbst die Notstromversorgung nicht krisensicher. Bei vielen wichtigen IT-Diensten fehle zudem die Georedundanz. Damit seien im Falle des Falles wichtige staatliche Kernfunktionen wie etwa Sozialleistungen nicht aufrechtzuerhalten, so der Bundesrechnungshof laut Spiegel.

In der Vergangenheit seien wichtige politische Weichen falsch gestellt worden. So kritisieren die Prüfer des Rechnungshofs etwa die Cybersicherheitsstrategie des Bundes, die 2021 vorgestellt und seither mehrfach ergänzt wurde. „Inwieweit die aktuelle Cybersicherheitsstrategie dazu beigetragen hat, die Cybersicherheit Deutschlands zu verbessern, ist unklar“, zitiert der Spiegel den Bericht. Auch ob das 2011 gegründete Nationale Cyber-Abwehrzentrum, das acht Kernbehörden und mehrere Partner zusammenfasst, den durch seinen Namen geweckten Erwartungen tatsächlich nachkommen könne, stehe in Frage.

Sicherheitsstrukturen verschlanken, effizienter werden

Eine Untersuchung bestehender Defizite, des Personalbedarfs und der erforderlichen Mittel sei bei der Erarbeitung der Cybersicherheitsstrategie offenbar nicht erfolgt. Um bei gravierenden Cybersicherheitsvorfällen schnell reagieren zu können, solle die neue Bundesregierung die bestehende Sicherheitsarchitektur nun erst einmal analysieren, so eine Empfehlung des Bundesrechnungshofes. Maßnahmen sollten zudem künftig zentral gesteuert und der „Dschungel von Institutionen und Zuständigkeiten“ reformiert und effizienter gestaltet werden. Auch ein besseres Controlling der Ausgaben sei nötig – mehr Geld führe nicht automatisch zu mehr IT-Sicherheit.

Laut Spiegel haben das Bundesinnenministerium (BMI) und das Digitalministerium (BMDS) in einer Vorab-Stellungnahme zum Bericht der konstatierten mangelnden Krisenresilienz „im Wesentlichen zugestimmt“ – die verteilten Zuständigkeiten gingen jedoch teilweise auf EU-Vorschriften zurück. Dennoch wolle man das Cyber-Abwehrzentrum nun weiterentwickeln und Doppelstrukturen vermeiden.