Ein aktueller Cyberangriff auf die Berliner Senatsverwaltung offenbart einmal mehr die eklatanten Schwächen der dezentralen IT-Infrastruktur in Deutschland. Die Folgen des Vorfalls erweisen sich als weitreichender als zunächst angenommen und unterstreichen die Dringlichkeit einer starken, zentralen Koordination – doch genau diese wird nun von der Bundesregierung aufgegeben.
In einer überraschenden Kehrtwende hat die schwarz-rote Koalition ihre Pläne für eine Grundgesetzänderung zur Stärkung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) auf Eis gelegt. Dies geht aus der Antwort des Bundesinnenministeriums (BMI) auf eine Anfrage des Grünen-Fraktionsvize Konstantin von Notz hervor, die heise online vorliegt. Statt dem BSI per Verfassungsänderung die Rolle einer zentralen Koordinations- und Eingriffsbehörde zu verleihen, verweist das Ministerium lediglich auf den bestehenden rechtlichen Rahmen und die bereits geschlossenen Kooperationsvereinbarungen mit 14 Bundesländern.
Der geplatzte Umbau des BSI zur Zentralstelle
Die Ampel-Regierung hatte noch im Koalitionsvertrag das Ziel festgeschrieben, das BSI zu einer echten Zentralstelle für Cybersicherheit auszubauen. Dieser Plan, der eine Grundgesetzänderung erforderlich gemacht hätte, ist nun vom Tisch. Das BMI begründet den Schritt nicht explizit, sondern hebt in seiner Antwort die bereits erfolgte Ausweitung der BSI-Befugnisse durch das NIS2a-Umsetzungsgesetz sowie personelle und finanzielle Aufstockungen hervor. Die Behörde solle nun den bestehenden verfassungsrechtlichen Rahmen voll ausschöpfen, um die Zusammenarbeit mit den Ländern zu intensivieren.
Bislang darf das BSI den Ländern bei der Abwehr schwerer Cyberattacken nur auf deren ausdrückliche Anforderung hin helfen. Ohne eine Grundgesetzänderung bleibt es bei diesem bürokratischen Amtshilfeverfahren, das im Ernstfall wertvolle Zeit kostet. Dass der Prozess nicht mit allen 16 Bundesländern reibungslos funktioniert, zeigte sich bereits im Fall des Landkreises Anhalt-Bitterfeld, wo die Kooperation zwischen dem BSI und der betroffenen Kommune als äußerst herausfordernd beschrieben wurde.
Scharfe Kritik aus der Politik und von Verbänden
Die Reaktion auf den Verzicht des geplanten Gesetzesvorhabens fällt aus der Sicherheitspolitik erwartungsgemäß vernichtend aus. Der Grünen-Politiker von Notz bezeichnet die Entscheidung als „schlicht verheerend für die IT-Sicherheit Deutschlands“. Er wirft der Regierung vor, parteipolitische Taktik über die nationale Sicherheit zu stellen. Wer so agiere, könne „sich alle Sonntagsreden auf IT-Gipfeln zur dringend notwendigen Erhöhung der IT-Sicherheit sparen“. Auch IT-Sicherheits- und Verfassungsexperten zeigen sich bestürzt. Verbände wie der Bitkom kritisieren seit Langem, dass der föderale Flickenteppich bei der Cyberabwehr verheerende Schwachstellen schaffe.
Das Kernproblem bleibt bestehen: Wenn Kommunen oder Landesbehörden von Ransomware-Wellen oder staatlichen Hackergruppen attackiert werden, entscheidet oft jede IT-Abteilung isoliert. Das BSI als fachlich kompetenteste Behörde des Bundes muss tatenlos zusehen, bis der bürokratische Amtshilfeantrag gestellt ist. Zwar wird die Behörde technisch und personell aufgerüstet, doch ohne die verfassungsrechtliche Neuordnung droht das deutsche Gesamtsystem der Cybersicherheit im Ernstfall träge und zersplittert zu bleiben.
Der Status quo: Eine Behörde mit angezogener Handbremse
Die aktuelle Situation gleicht einem Irrgarten für die Cyberabwehr. Das BSI verfügt über hochqualifizierte Experten und modernste Technik, um Angriffe abzuwehren und Schadsoftware zu analysieren. Doch im konkreten Fall eines Angriffs auf eine Stadt oder ein Land kann es nur dann tätig werden, wenn die angegriffene Stelle zuvor einen Antrag auf Amtshilfe stellt und eine entsprechende Kooperationsvereinbarung besteht. Diese Vereinbarungen sind nicht mit allen Bundesländern abgeschlossen. Solche Hürden führen im Ernstfall zu wertvollem Zeitverlust, den Angreifer gezielt ausnutzen können.
Die Regierung scheint diesen Zustand mit dem Verweis auf die 14 bestehenden Kooperationsvereinbarungen und die erfolgte Aufstockung des BSI als akzeptabel zu betrachten. Fakt ist jedoch, dass das BSI auch weiterhin nicht präventiv oder eigeninitiativ in einem Land eingreifen kann, selbst wenn es von einem Angriff weiß, der auf die gesamte Republik abzielt. Der geplante Umbau hätte genau diese Hürde beseitigt und dem BSI die Befugnis gegeben, in akuten Notlagen sofort und flächendeckend zu handeln.
Die Entscheidung der Bundesregierung, auf die Grundgesetzänderung zu verzichten, hinterlässt ein Vakuum in der deutschen Cybersicherheitsarchitektur. Während andere Nationen ihre Abwehr zentralisieren und verstärken, verharrt Deutschland in einem Flickenteppich, der Angreifern weiterhin Einfallstore bietet. Die nächste schwere Cyberattacke wird zeigen, ob dieser Kurswechsel tatsächlich alternativlos war oder ein gefährlicher Fehler. Die Zeit, diese Frage zu beantworten, wird uns durch die zunehmende Professionalität der Angreifer wohl nicht mehr lange bleiben.
