Oder – Staatliche IT in Gefahr – warum Deutschland endlich aktiv werden muss

Die digitale Sicherheit Deutschlands steht am Scheideweg: Das BSI warnt im Lagebericht 2024 vor einer weiterhin hohen Bedrohungslage, der Bundesrechnungshof kritisiert eklatante Sicherheitsdefizite in der Bundes-IT, und jüngste DDoS-Angriffe auf Webseiten großer Städte zeigen: Auch öffentliche Stellen sind längst im Visier professioneller Cyberangreifer. Erschwerend kommt hinzu: Deutschland verschleppt die Umsetzung der NIS-2-Richtlinie, die europaweit einheitliche Mindeststandards für Cybersicherheit schaffen soll.

1. Bedrohung trifft auf strukturelle Schwächen

Der BSI-Lagebericht 2024 beschreibt die IT-Bedrohungslage in Deutschland als angespannt. Angriffe mit Ransomware, Phishing und Zero-Day-Exploits treffen auf eine Verwaltung, die technisch und organisatorisch nicht ausreichend gewappnet ist. Staatlich gesteuerte APT-Gruppen sowie automatisierte Schadsoftware gefährden zunehmend auch kritische Infrastrukturen.

Der Bundesrechnungshof belegt mit klaren Worten:

• Weniger als 10 % der Rechenzentren des Bundes erfüllen die eigenen Sicherheitsanforderungen.
• Es fehlt eine durchsetzbare IT-Governance.
• Zuständigkeiten zwischen Ministerien, BSI und Bundeskanzleramt sind unklar.
• IT-Sicherheit ist im Förder- und Haushaltsrecht weder verpflichtend verankert noch kontrollierbar.

2. Die Angriffe kommen längst an

Nicht erst seit den DDoS-Attacken auf die Webseiten mehrerer Großstädte – u. a. Nürnberg, Bielefeld und mutmaßlich Stuttgart – ist klar: Öffentliche Stellen und Kommunen sind verwundbar. Störungen in der digitalen Erreichbarkeit von Verwaltung und Bürgerdiensten gefährden Vertrauen, Sicherheit und Handlungsfähigkeit. Solche Angriffe zeigen deutlich: Die Bedrohung ist längst im Alltag angekommen.

Aber nicht nur Kriminelle richten erhebliche Schäden an, auch die Geopolitischen Spannungen nehmen beträchtlich zu und Deutschland ist schon seit Längerem Ziel hybrider Angriffe.

3. NIS-2: Verspätung mit Risiko

Die NIS-2-Richtlinie (EU 2022/2555) hätte bis zum 17. Oktober 2024 in deutsches Recht umgesetzt werden müssen. Doch die Bundesregierung hinkt seit Monaten hinterher. Das ist nicht nur ein Verstoß gegen EU-Vorgaben – es ist eine vertane Chance.

Was bringt NIS-2 für den Staat?

• Klare Pflichten für Behörden und Betreiber kritischer Einrichtungen
• Verbindliche IT-Sicherheitsstandards und Meldepflichten bei Vorfällen
• Bessere Verzahnung zwischen öffentlicher Hand und Wirtschaft
• Verankerung von Risikomanagement, Cybersicherheitsmaßnahmen und Business Continuity

Was droht bei weiterer Verzögerung?

• Vertragsverletzungsverfahren und hohe EU-Bußgelder gegen Deutschland
• Verlust von Vertrauen in die Handlungsfähigkeit staatlicher Stellen
• Wachsende Sicherheitslücken in Behörden und öffentlichen IT-Diensten
• Verzögerungen bei der verpflichtenden Absicherung kommunaler und föderaler Strukturen

4. Jetzt handeln – nicht später

Die Verschleppung der NIS-2-Umsetzung, kombiniert mit einem akuten Bedrohungsszenario und strukturellen Schwächen, bringt Deutschland in eine gefährliche Lage.

Der Staat muss:

• Eine nationale Cybersicherheitsstrategie mit klaren Zuständigkeiten erarbeiten
• Das BSI mit Durchsetzungsbefugnissen und Kontrolle ausstatten
• IT-Governance im Haushalts- und Förderrecht verankern
• Die NIS-2-Richtlinie schnell und ambitioniert umsetzen – nicht als Pflicht, sondern als Chance
• Die digitale Souveränität sichern, durch eigene sichere Rechenzentren und gezielte Förderung von IT-Sicherheit in Kommunen und Behörden

5. Fazit: Cybersicherheit ist Staatssicherheit

Deutschland steht unter Druck. Cyberangriffe treffen nicht nur Unternehmen, sondern zunehmend die öffentliche Verwaltung, Städte, Parlamente und IT-Dienste für Bürger. Wer jetzt nicht handelt, riskiert Reputationsverluste, Funktionsstörungen und hohe Bußgelder durch Brüssel.

NIS-2 ist nicht nur eine Richtlinie – sie ist eine Gelegenheit, die vernetzte Verwaltung sicher, widerstandsfähig und zukunftsfähig zu machen.

Wenn Sie als Behörde, Kommune oder Organisation Unterstützung bei der Umsetzung von IT-Sicherheitsanforderungen benötigen – einschließlich der NIS-2-Pflichten –, stehen wir Ihnen gern beratend zur Seite.