Der Bundesrechnungshof warnt vor eklatanten Sicherheitslücken in den Rechenzentren und Netzen des Bundes. »Die IT des Bundes ist nicht auf die aktuellen Bedrohungen vorbereitet«, mahnen die Prüfer in einem aktuellen vertraulichen Bericht an den Haushaltsausschuss. Die Bundesregierung müsse die gesamte »Cybersicherheitsstrategie neu ausrichten« und künftig effektiver steuern.

Das aktuelle Sicherheitsniveau der mehr als 100 Rechenzentren des Bundes sei »unzureichend«. Weniger als zehn Prozent erfüllten den Mindeststandard, selbst die Notstromversorgung sei für Krisenlagen nicht gerüstet.

Häufig seien auch kritische IT-Dienste nicht georedundant verfügbar, also an mehr als einem Ort gespeichert und abrufbar. Ohne resiliente Rechenzentren ließen sich staatliche Kernfunktionen wie Sozialleistungen im Falle des Falles nicht aufrechterhalten, warnen die Prüfer.

Fehlende und unzureichende Zusammenarbeit

Kritisch bewerten sie auch die große Zahl der für Cybersicherheit zuständigen staatlichen Behörden und Institutionen – aktuell seien es 77, seit Jahren wachse dieses Akteursfeld weiter an, heißt es in ihrem Bericht.

Der Rechnungshof habe bei seinen Prüfungen bei ihnen »eine fehlende oder unzureichende Zusammenarbeit« festgestellt. Namentlich erwähnen die Prüfer das 2011 gegründete Nationale Cyber-Abwehrzentrum. Ob es einen Mehrwert erbringe, sei nicht nachgewiesen. Der durch die Bezeichnung geweckten Erwartung werde es »bisher nicht gerecht«.

Scharf gehen die Prüfer mit der noch vom damaligen Bundesinnenminister Horst Seehofer (CSU) 2021 vorgestellten »Cybersicherheitsstrategie« ins Gericht, die mittlerweile mehrfach aktualisiert wurde, zuletzt von Nancy Faeser (SPD). Die Bundesregierung habe im Vorfeld die bestehenden Defizite nicht analysiert, weder der Personal- noch der Ausgabenbedarf seien ermittelt worden. »Inwieweit die aktuelle Cybersicherheitsstrategie dazu beigetragen hat, die Cybersicherheit Deutschlands zu verbessern, ist unklar«, schreiben die Prüfer.

»Mehr Geld« heißt nicht »mehr Sicherheit«

Die neue Bundesregierung solle die bestehende Sicherheitsarchitektur nun analysieren, verschlanken und effizienter gestalten, um auch bei gravierenden Cyber-Ereignissen schnell und wirksam reagieren zu können, empfiehlt der Rechnungshof. Sie müsse ihre Maßnahmen künftig »zentral steuern« und den »Dschungel von Institutionen und Zuständigkeiten« reformieren. Er verweist dabei auf die aktuelle Bedrohungslage und die beschlossenen Ausnahmen von der Schuldenbremse, die auch Maßnahmen zur IT-Sicherheit umfassen, mahnt aber ein besseres Controlling der Ausgaben an: Die Prüfungen zeigten, dass »Mehr an Geld« nicht automatisch zu einem »Mehr an Cybersicherheit« führe.