Ein kritischer Blick auf die IT‑Sicherheitsstrategie der Bundesregierung
Der Bundesrechnungshof hat in einem aktuellen Bericht ein alarmierendes Bild der digitalen Verteidigung des Staates gezeichnet. Während die Angriffe auf die IT‑Infrastruktur öffentlicher Verwaltungen zunehmen, scheint das Geld aus dem Haushalt für echte Sicherheitsmaßnahmen zu verschwinden. Stattdessen fließen Milliarden in Projekte, die wenig mit dem Schutz von Netz‑ und Informationssystemen zu tun haben – etwa in die Entwicklung einer Vogelstimmen‑App.
Die finanzielle Spielwiese: Bereichsausnahme und Schuldenbremse
Seit 2025 nutzt die Bundesregierung die sogenannte Bereichsausnahme, um die strengen Vorgaben der Schuldenbremse zu umgehen. Diese Regelung erlaubt es, zusätzliche Mittel für bestimmte Vorhaben bereitzustellen, ohne die Gesamtverschuldung zu erhöhen. Das Digitalministerium für Digitales und Staatsmodernisierung (BMDS) unter Karsten Wildberger ist beauftragt, diese Mittel zu verteilen. Der Rechnungshof kritisiert jedoch, dass die Kriterien für die Mittelvergabe unklar bleiben und keine verbindlichen Vorgaben für IT‑Sicherheitsprojekte existieren.
Fehlgeleitete Investitionen
Zwischen Dezember 2025 und August 2026 hat das Bundesministerium mindestens 1,2 Milliarden Euro in die Bereichsausnahme verlagert – Geld, das laut BRH nicht dem Schutz informationstechnischer Systeme dient. Ein Teil dieser Summe wurde in die Robotikforschung und sogar in eine App investiert, die Vogelstimmen erkennt. Während solche Innovationen grundsätzlich interessant sein können, stehen sie in keinem Verhältnis zu den drängenden Bedarfen der öffentlichen Verwaltung, die wiederholt von Datenlecks und Cyberangriffen betroffen ist.
Die Rolle des BSI und das IS‑Controlling
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) soll das Digitalministerium bei der Entscheidungsfindung unterstützen. Durch das Informationssicherheits‑Controlling (IS‑Controlling) sollen Daten zum Sicherheitsstatus gesammelt und die Mittelverwendung überwacht werden. Der Bericht des Rechnungshofs zeigt jedoch, dass das IS‑Controlling bislang nicht die gewünschten Ergebnisse liefert, weil klare Vorgaben fehlen.
Folgen für die öffentliche Verwaltung
Die Folgen der Fehlallokation sind bereits spürbar: In Berlin kam es zu einem massiven Datenverlust, bei dem personenbezogene Informationen im Darknet landeten. Solche Vorfälle unterstreichen, dass ein adäquates Informationssicherheitsniveau in der öffentlichen Verwaltung kaum erreichbar ist, solange die finanziellen Ressourcen nicht gezielt und transparent eingesetzt werden.
Forderungen des Bundesrechnungshofs
Der BRH fordert die Bundesregierung auf, die vorhandenen Haushaltsmittel effektiver für Personal und Sachmittel einzusetzen, klare Kriterien für IT‑Sicherheitsmaßnahmen zu definieren und die Kontrolle durch das BSI zu stärken. Nur so könne das Vertrauen in die digitale Infrastruktur des Staates wiederhergestellt werden.