Die Cybersicherheit im Bund hat seit dem 12. August 2026 ein amtliches Zeugnis, und es liest sich wie die Beurteilung eines Auszubildenden, den man leider nicht kündigen kann. Der Bundesrechnungshof hat dem Haushaltsausschuss auf 31 Seiten aufgeschrieben, wie die Bundesregierung ihre eigene IT schützt. Kurzfassung: Sie weiß es nicht. Dafür weiß sie jetzt, wie ein Pirol klingt.

Auf dem Bericht steht, eine Veröffentlichung sei nicht zulässig. netzpolitik.org hat ihn trotzdem veröffentlicht, und man versteht nach der Lektüre, warum der Bund ihn lieber im Schrank gelassen hätte.

Ich betreue die IT einer Gemeinde. Ich lese solche Berichte mit einer Mischung aus Schadenfreude und Sodbrennen, weil ich weiß, wer am Ende die Formulare ausfüllt.

Was die Bereichsausnahme der Schuldenbremse mit IT-Sicherheit zu tun haben sollte

Erst die Fakten. Artikel 115 Absatz 2 Grundgesetz erlaubt dem Bund, bestimmte Ausgaben an der Schuldenregel vorbei über Kredite zu finanzieren, soweit sie zusammen ein Prozent des Bruttoinlandsprodukts übersteigen. Dazu gehören Verteidigung, Zivilschutz, Nachrichtendienste, Hilfe für angegriffene Staaten und der Schutz informationstechnischer Systeme. Der Haushaltsausschuss hat im November 2025 verlangt, dass der Bund damit seine IT-Sicherheit stärkt, zentral gesteuert vom Bundesministerium für Digitales und Staatsmodernisierung (BMDS).

In den Haushalten 2025 und 2026 stehen laut Bericht 4,5 Milliarden Euro in dieser Kategorie. Jede Titelgruppe trägt einen Vermerk, dass daraus nur Ausgaben für den Schutz informationstechnischer Systeme bezahlt werden dürfen. Für 2027 soll der Betrag von 2,8 auf 3,9 Milliarden Euro steigen.

Kriterien dafür, was „Schutz informationstechnischer Systeme” eigentlich ist, gibt es nicht. Das Finanzministerium hat das Risiko erkannt, es schriftlich festgehalten und dann beschlossen, lieber nichts zu definieren, weil jede Definition anfechtbar wäre. Das muss man sich als Admin einmal gönnen: eine Firewall-Regel nicht schreiben, weil sie falsch sein könnte.

1,2 Milliarden Euro, und die Vogelstimmen-App ist kein Ausrutscher

Der Rechnungshof hat fünf Titel der Forschungsförderung geprüft, zusammen mehr als 1,2 Milliarden Euro in zwei Jahren. Ergebnis: Keine der 68 zugehörigen Förderrichtlinien nennt den Schutz informationstechnischer Systeme als vorrangigen Zweck. Fünf davon schließen IT-Sicherheit als Forschungsgegenstand ausdrücklich aus. Das ist gut ein Viertel der gesamten Kategorie (eigene Rechnung: 1,2 von 4,5 Milliarden sind 26,7 Prozent).

Allein 2025 flossen aus diesen Titeln mehr als 600 Millionen Euro ab. Gefördert wurden Rechenzeit, KI-Methoden und Robotik. Einzelne Projekte entwickelten eine App zur Erkennung von Vogelstimmen, Verfahren zur Füllstandsmessung von Wertstoffcontainern und Röntgenstrahlquellen.

Ich habe nichts gegen Vögel. Ich habe auch nichts gegen volle Altglascontainer, die sich rechtzeitig melden. Nur schützt beides keinen Domänencontroller. Der Rechnungshof betont, dass die Beispiele keine herausgepickten Einzelfälle sind, sondern das Muster. Er spricht von verfassungs- und haushaltsrechtlichen Verstößen und einer höheren Nettokreditaufnahme, als die Schuldenregel erlaubt.

Dass kreditfinanzierte Sondertöpfe in Berlin ein Eigenleben entwickeln, kennen Leser dieses Blogs schon vom Sondervermögen, von dem bei den Kommunen rund 12 Prozent ankommen.

Die andere Hälfte des Befunds ist fast noch schöner. Von 105 Haushaltskapiteln mit IT-Ausgaben haben 64 keinen einzigen Euro für IT-Sicherheit in der Bereichsausnahme veranschlagt. Die einen buchen also Vogelkunde als Cyberabwehr, die anderen betreiben IT und melden für deren Schutz nichts an.

Die Gegenposition: Souveränität ist auch irgendwie Sicherheit

Fairerweise: Die Bundesregierung sieht das anders, und ihr Argument ist nicht völlig abwegig. Das Forschungsministerium erklärt, Schutz dürfe nicht auf operative Sicherheitsmaßnahmen verengt werden. Wer IT schützen wolle, müsse die gesamte Architektur im Sinne technologischer Souveränität beherrschen, von der Physik bis zur Anwendung. Die Gesetzesmaterialien zur Grundgesetzänderung definierten den Begriff zudem nicht näher.

Der Rechnungshof gibt ihr sogar ein Stück recht: Forschung kann dem Schutz dienen. Dann muss es aber im Förderzweck stehen. Wer alles, was einen Stecker hat, pauschal zur Cybersicherheit erklärt, hat keine Ausnahme mehr, sondern einen zweiten Haushalt. Der Linken-Haushälter Sascha H. Wagner nennt das gegenüber netzpolitik.org „neue Tricks, um alle möglichen IT-Ausgaben an der Schuldenbremse vorbeizuschmuggeln”. Ich hätte es unfreundlicher formuliert.

BSI-Kontrollen in der Bundesverwaltung: einmal pro Generation

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) darf seit Dezember 2021 die Sicherheit der Kommunikationstechnik des Bundes kontrollieren. Geplant war eine Standardrevision vor Ort bei allen Einrichtungen im Drei-Jahres-Rhythmus. Tatsächlich hat das BSI in den Jahren 2024 und 2025 zusammen 15 Einrichtungen geprüft. Für 2026 sind zehn weitere vorgesehen.

Bei mindestens 200 zu prüfenden Einrichtungen kommt der Rechnungshof auf rund 20 Jahre für einen Durchgang. Das ist noch freundlich gerechnet: Mit dem bisherigen Tempo von 7,5 Kontrollen pro Jahr wären es knapp 27 Jahre (eigene Rechnung: 200 geteilt durch 7,5). Und seit Dezember 2025 gilt die Kontrollbefugnis für alle Einrichtungen der Bundesverwaltung, die Liste ist also länger geworden.

Das BMDS antwortet, dem BSI fehle das Personal. Der Rechnungshof erinnert daran, dass das BSI über mehr als 1.700 Stellen verfügt und selbst entscheidet, wo es sie einsetzt. Ich kenne Gemeinden, die mit einer halben Stelle mehr Server anfassen.

Selbstauskunft statt Audit: das IS-Controlling, das seit 2022 kommt

Ein Informationssicherheitscontrolling, kurz IS-Controlling, soll dem Bund mit Kennzahlen zeigen, wie sicher seine IT tatsächlich ist. Der Haushaltsausschuss hat es im November 2022 gefordert. Zugesagt war es zuerst bis 2025. Jetzt soll bis Ende 2026 eine Grundversion stehen und 2027 ein erster belastbarer Bericht. Immerhin gibt es schon 18 Kennzahlen. Daten dazu gibt es nicht.

Woher sollen sie kommen? Aus einer jährlichen Basisdatenerhebung, also einem Fragebogen, den jede Behörde über sich selbst ausfüllt. Das BMDS nennt das eine „optimale Balance von Datenqualität und Aufwand”. Der Rechnungshof nennt es ein verzerrtes Bild: zehn Kontrollen vor Ort stehen weit über 200 Selbstauskünften gegenüber. Er empfiehlt unabhängige Auditoren. Das BMDS will den wesentlichen Empfehlungen nicht folgen.

Verbindliche Nachweise müssen die Einrichtungen des Bundes dem BSI übrigens erst zum 6. Dezember 2030 vorlegen. Auch die sollen als Selbstauskunft kommen. Ein Verfahren dafür hat das BSI laut Bericht bisher weder konzipiert noch erprobt.

Wer hier regelmäßig mitliest, erkennt das Muster. Der Bund weiß nicht, welche Software er überhaupt einsetzt, er weiß nicht, was seine Deutschland-App kostet, und jetzt weiß er auch nicht, wie sicher das Ganze ist. Aber er fragt nach. Bei sich selbst.

Was das für die IT-Sicherheit in Kommunen bedeutet

Hier endet der Bericht und beginnt meine Bewertung.

Derselbe Staat verpflichtet seit dem 5. Dezember 2025 rund 29.500 Unternehmen und Organisationen zu verbindlichen Sicherheitsmaßnahmen, mit Meldepflichten und Sanktionen. Für sich selbst plant er Fragebögen und eine Frist bis 2030. Die Kommunen hat er gleich ganz ausgenommen, was ich in Null von 421 für Hessen aufgeschrieben habe: 421 Gemeinden, kein gesetzlicher Mindeststandard.

Wohin das führt, war im August in Berlin zu besichtigen, als Angreifer 5,79 Terabyte aus zwei Senatsverwaltungen zogen und die Daten anschließend im Darknet landeten. Ich wüsste gern, was in der Selbstauskunft dieser Häuser gestanden hätte. Vermutlich „weitgehend umgesetzt”.

Und während oben Milliarden für Sicherheit in Robotik und Vogelkunde fließen, erklären Verbände und Ministerien den Rathäusern, wie wichtig Resilienz sei, verbindlich bitte nur für die anderen. In Hessen sitzt die Zuständigkeit dafür in drei Häusern gleichzeitig. Die Debatte der Saison dreht sich derweil um Hackbacks. Zurückschlagen will man also. Nachsehen, ob die eigene Tür zu ist, dauert noch bis 2030.

Für Admins und Verwaltungsleitungen steckt trotzdem etwas Brauchbares im Bericht, nämlich seine Methode. Der Rechnungshof hat nicht gefragt, ob die Ressorts sich für sicher halten. Er hat in Förderrichtlinien und Haushaltstitel geschaut. Das können Sie im Kleinen auch:

• Nehmen Sie Ihren letzten Sicherheits-Fragebogen, egal von wem, und lassen Sie drei Antworten von jemandem prüfen, der sie nicht selbst gegeben hat.
• Sehen Sie nach, was in Ihrem Haushalt unter IT-Sicherheit verbucht ist und was davon tatsächlich ein System schützt.
• Fragen Sie Ihren Dienstleister nicht, ob die Datensicherung läuft. Lassen Sie eine Datei zurückspielen.

Fazit

Der Bund hat sich eine Ausnahme von der Schuldenbremse ins Grundgesetz geschrieben, um seine IT zu schützen, und dann nicht festgelegt, was Schutz ist. Er hat eine Kontrollbehörde mit über 1.700 Stellen, die 15 Einrichtungen in zwei Jahren schafft. Und er will die Lücke mit Fragebögen schließen, deren Verfahren noch niemand entworfen hat. Das alles steht nicht in einem Oppositionspapier, sondern in einem Bericht seines eigenen Rechnungshofs, dessen Empfehlungen das zuständige Ministerium überwiegend ablehnt.

Der Haushalt 2027 wird gerade beraten. Wenn Sie einen Abgeordneten im Haushaltsausschuss kennen oder in dessen Wahlkreis wohnen, schicken Sie ihm die Seiten 13 und 24 des Berichts und fragen Sie, wofür die 3,9 Milliarden diesmal gedacht sind. Und prüfen Sie diese Woche eine einzige Ihrer eigenen Selbstauskünfte nach.

Der Pirol ist übrigens zuverlässig zu erkennen. Immerhin etwas.

Quellen:

• Bundesrechnungshof, Bericht nach § 88 Abs. 2 BHO „Cybersicherheit – Effektiver Ressourceneinsatz durch bessere Steuerung”, Gz. VII 4 – 0000583-5 (12.08.2026), veröffentlicht von netzpolitik.org;
• netzpolitik.org, Esther Menhard: „Digitalminister macht IT-Sicherheit per Vogelstimmen-App” (08.10.2026)

Diese Woche ist Resilienzwoche in Hessen. Innenminister Poseck nennt Resilienz einen unverzichtbaren Baustein der Sicherheitsarchitektur, und die Lage erfordere „von uns allen konsequente Vorbereitung“ auf Krisenereignisse.

Von uns allen.

Drei Wochen zuvor hatte Innenstaatssekretär Rößler beim Cybersicherheitsgipfel den Ton gesetzt: „Cybersicherheit ist ein unverzichtbarer Teil staatlicher Daseinsvorsorge geworden.“

Zwei Mal „unverzichtbar„, ein Mal „Daseinsvorsorge„, einmal „von uns allen„. Man könnte den Eindruck gewinnen, hier werde etwas ernst genommen.

Sehen wir nach.

Die Zahl

Hessen hat 421 Gemeinden. Von diesen 421 unterliegt exakt keine einzige einer gesetzlichen Mindestanforderung an die Informationssicherheit ihrer Verwaltung. Nicht eine.

Das ist kein Versäumnis und keine Regelungslücke, die man noch schließen wollte. Es ist eine Entscheidung, sie ist dokumentiert, und dokumentiert hat sie das Innenministerium selbst. Auf innen.hessen.de, Rubrik Cyber- und IT-Sicherheit, Unterseite „Hessische Kommunen“, steht der Vorgang in erfrischender Klarheit:

Der europäische Gesetzgeber hatte es den Mitgliedstaaten freigestellt, die Kommunalverwaltung in den Anwendungsbereich der NIS-2-Richtlinie einzubeziehen. Die Länder haben sich unisono dagegen ausgesprochen. Der IT-Planungsrat hat sie mit Beschluss 2023/39 ausdrücklich gebeten, von der Option keinen Gebrauch zu machen. Hessen ist dieser Bitte gefolgt.

„Unisono“ ist übrigens die Formulierung des Ministeriums, nicht meine. Man ist ein bisschen stolz darauf.

Rechnen wir das in Menschen um. In Hessen leben rund 6,4 Millionen Einwohnerinnen und Einwohner, und sie alle wohnen in einer dieser 421 Gemeinden. Das Verhältnis lautet also:

6,4 Millionen zu null.

Hundert Prozent der hessischen Bevölkerung leben in einer Kommune, deren Verwaltung keiner verbindlichen Anforderung an ihre IT-Sicherheit unterliegt. Nicht „einer niedrigeren als anderswo“. Keiner.

Was dort liegt: die Melderegister sämtlicher hessischer Einwohner. Die Standesämter. Die Sozial- und Jugendhilfeakten, also die sensibelsten personenbezogenen Daten, die ein Staat überhaupt führt. Bauakten, Gewerberegister, Kita- und Schulverwaltung. Die Durchführung von Wahlen. Dazu sämtliche Fachverfahren und die Schnittstellen, über die sie an Landes- und Bundesregister hängen — künftig noch erheblich mehr davon, wenn NOOTS als „zentrale Datenautobahn der föderalen Verwaltung“ ans Netz geht.

Ein Handwerksbetrieb mit 50 Beschäftigten in einem geregelten Sektor braucht ein Informationssicherheitsmanagementsystem, Meldewege und eine haftende Geschäftsleitung. Das Rathaus, das die Daten sämtlicher Mitarbeiter dieses Betriebs führt, braucht nichts davon.

„Aber die Stadtwerke sind doch erfasst“

Kommt der Einwand. Er stimmt sogar. Nur hilft er nicht.

Erfasst werden kommunale Einrichtungen über zwei Wege. Erstens als Betreiber kritischer Anlagen — das ist die alte KRITIS-Logik nach Versorgungsgrad, bei Trinkwasser rund 500.000 versorgte Personen. Zweitens über den Size-Cap: Sektor plus Größe, ab etwa 50 Beschäftigten oder 10 Millionen Euro Umsatz.

Wer daraufhin an Frankfurt, Wiesbaden und Kassel denkt, denkt schon falsch. Wiesbaden hat rund 283.000 Einwohner, Kassel rund 205.000. Beide liegen mit ihrer Wasserversorgung deutlich unter der KRITIS-Schwelle. Erfasst sind sie über den zweiten Weg — und erfasst ist dann die ESWE beziehungsweise die Städtische Werke. Nicht die Stadt. Nicht das Rathaus. Nicht das Melderegister.

Und jetzt die typische hessische Gemeinde, also der Normalfall. Sie betreibt ihre Wasserversorgung, wenn sie sie selbst betreibt, als Regie- oder Eigenbetrieb mit fünf bis acht Personen. Fällt sie unter den Size-Cap?

Nein. § 28 Abs. 3 Satz 1 Nr. 2 BSIG ordnet die Anwendung der KMU-Empfehlung — und damit die Zurechnung von Personal- und Umsatzzahlen — ausdrücklich nur für Einrichtungen an, die keine rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft sind. Ein Eigenbetrieb ist genau das. Die Beschäftigten der Verwaltung dürfen also nicht mitgezählt werden.

Was auch schwer ginge, denn die Verwaltung ist ja gar nicht erfasst.

Sechs Leute bleiben sechs Leute. Die Schwelle liegt bei fünfzig. Ergebnis: nichts.

Bundesweit haben 93 Prozent aller Gemeinden weniger als 20.000 Einwohner, rund 72 Prozent weniger als 5.000. Hessens Gemeinden sind nach der Gebietsreform der Siebziger größer als der Bundesschnitt — aus über 2.700 wurden 421, die durchschnittliche hessische Gemeinde hat rund 14.000 Einwohner gegenüber gut 7.500 im Bund. Am Prinzip ändert das nichts: In der ganz überwiegenden Zahl der Fälle ist weder die Verwaltung noch der eigene Versorgungsbetrieb reguliert.

Die Größenlogik läuft dabei exakt verkehrt herum. Reguliert wird, wer viel Personal hat. Nicht reguliert wird, wer wenig hat. Also stellt der Gesetzgeber ausgerechnet dort keine Mindestanforderung, wo am wenigsten Fachpersonal, Budget und Vertretungsfähigkeit vorhanden ist — und wo ein Ausfall die Verwaltung nicht verlangsamt, sondern anhält.

Die Frage, die daraus folgt

Wer in Frankfurt wohnt, bekommt sein Trinkwasser von einem regulierten Betreiber. Wer in einer Gemeinde mit 3.000 Einwohnern wohnt, nicht. Gleiches Wasser, gleiche Abhängigkeit, andere Rechtslage.

Also die Frage, direkt: Sind die Einwohnerinnen und Einwohner von Frankfurt, Wiesbaden und Darmstadt bei der Wasserversorgung schützenswerter als alle anderen?

Die Antwort der Landesregierung ist absehbar und lautet sinngemäß: Es gehe nicht um den Wert von Menschen, sondern um die Zahl der Betroffenen je Ereignis. Konzentriertes Risiko, konzentrierte Pflichten. Das ist die Standardlogik von Infrastrukturregulierung, und sie ist nicht von vornherein falsch.

Nur trägt sie hier an drei Stellen nicht.

Erstens ist eine Kante keine Risikoabstufung. Risikobasiert wäre, unterhalb der Schwelle geringere Anforderungen zu stellen. Gewählt wurde stattdessen ein Sprung von allem auf nichts. Wer knapp unter fünfzig Beschäftigten liegt, schuldet nicht weniger — er schuldet gar nichts. Kein Mindeststandard, kein Meldeweg, kein Notfallkonzept. Für ein Risikomodell ist das eine bemerkenswert grobe Kurve.

Zweitens hat das Land nur die halbe Rechnung aufgemacht. Risiko ist Eintrittswahrscheinlichkeit mal Schadenshöhe. Betrachtet wurde ausschließlich die Schadenshöhe. Die Wahrscheinlichkeit fällt aber in die andere Richtung: Ein Betrieb mit sechs Beschäftigten, ohne Informationssicherheitsbeauftragten, ohne Monitoring, ohne Rufbereitschaft und ohne Vertretungsregelung ist leichter zu treffen als ein Verbundversorger mit eigener Sicherheitsabteilung. Wer nur die Folgen gewichtet und die Anfälligkeit ignoriert, hat kein Risikomodell, sondern eine Einwohnerzahl.

Drittens fällt der Ausfall für Betroffene nicht anteilig aus. Wenn in einer Gemeinde mit 3.000 Einwohnern die Wasserversorgung steht, steht sie für diese 3.000 zu hundert Prozent. Grundversorgung ist ein individueller Anspruch, kein statistischer. Und in der Summe reden wir nicht über Randfälle: Bundesweit haben rund 93 Prozent aller Gemeinden weniger als 20.000 Einwohner. Die Menschen, die von nicht regulierten Betreibern versorgt werden, sind keine Minderheit.

Und jetzt der Teil, an dem die Konzentrationslogik vollständig zusammenbricht.

Bei der Verwaltung gibt es überhaupt keine Schwelle. Frankfurts Melderegister mit rund 775.000 Datensätzen unterliegt exakt derselben Regulierung wie das einer 3.000-Einwohner-Gemeinde, nämlich keiner. Hier kann sich das Land nicht einmal auf ein Risikomodell berufen, weil keines angewandt wurde. Die größte Datensammlung im Land ist genauso ungeregelt wie die kleinste.

Damit ergibt sich ein Muster. Wo eine Größenlogik angelegt wurde, führte sie zur Freistellung der Kleinen. Wo keine angelegt wurde, führte das zur Freistellung aller. In beide Richtungen lautet das Ergebnis: weniger Pflicht. Das ist kein Zufall und keine Risikoabwägung. Das ist eine Haushaltsentscheidung, die sich als Regulierungskonzept verkleidet.

Warum eigentlich?

Es gab Argumente, und der Ordnung halber seien sie genannt: Doppelregulierung vermeiden, Zuständigkeiten sauber trennen, den Ländern Zeit geben, eigene, auf die jeweilige Verwaltungsstruktur zugeschnittene Regelungen zu schaffen.

Das war allerdings die halbe Empfehlung. Der zweite Teil lautete, die Länder mögen dann eben eigene Regelungen im Landesrecht schaffen. Dieser Teil wird seit November 2023 mit bemerkenswerter Ausdauer überhört. Der Beschluss ist knapp drei Jahre alt. Das Bundesgesetz ist seit dem 6. Dezember 2025 in Kraft. Ein hessisches Landesrecht zur kommunalen Informationssicherheit: existiert nicht.

Der ehrlichere Grund ist in den Fachdebatten offen benannt worden und heißt Konnexität. Hätte man die Kommunen verpflichtet, hätte das Land zahlen müssen. Wer bestellt, bezahlt. Wer nicht bestellt, spart.

Man hat also nicht entschieden, dass kommunale IT-Sicherheit unwichtig sei. Man hat entschieden, dass sie nicht in den Landeshaushalt passt. Das ist etwas völlig anderes. Es macht sich nur in einer Pressemitteilung zur Resilienzwoche schlechter.

Wie viele sind es denn nun?

Gute Frage. Niemand weiß es.

Das BSI-Register ist nicht öffentlich. Die Einstufung erfolgt als Selbsteinschätzung, ohne behördlichen Bescheid — jede Einrichtung muss selbst prüfen, ob sie betroffen ist. Und das Land ist für die kommunale Ebene nicht zuständig, weil es sich die Zuständigkeit ja gerade erspart hat.

Es gibt also keine Stelle in Hessen, die beziffern kann, wie viele kommunale Einrichtungen einer gesetzlichen Mindestanforderung unterliegen und wie viele davon sie erfüllen. Die Registrierungsfrist beim BSI ist im März 2026 abgelaufen; Schätzungen aus der Beraterbranche gehen davon aus, dass ein erheblicher Teil der Pflichtigen sie versäumt hat. Ob das für Hessen zutrifft, kann man nicht sagen, weil niemand nachsieht.

Beim Trinkwasser wird es noch unübersichtlicher. Hessenwasser versorgt nach eigenen Angaben rund 2,4 Millionen Menschen im Rhein-Main-Gebiet; Frankfurt, Wiesbaden, Darmstadt und über fünfzig weitere Kommunen beziehen direkt oder mittelbar. Mit 2,4 Millionen liegt das Unternehmen weit über jeder Schwelle und ist zweifelsfrei erfasst.

Nur verantwortet Hessenwasser die Beschaffung — Gewinnung, Aufbereitung, Transport, Speicherung. Die Belieferung der Endkunden und die örtlichen Verteilnetze bleiben bei den Gesellschaftern und den lokalen Versorgern. Wer in einer kleinen Gemeinde wohnt, bezieht sein Wasser also unter Umständen aus einer regulierten Beschaffung über ein unreguliertes Verteilnetz. „Versorgt von einem KRITIS-Betreiber“ ist eben nicht dasselbe wie „geschützte Versorgungskette“.

Welcher Anteil der 6,4 Millionen Hessinnen und Hessen an einer durchgehend regulierten Trinkwasserversorgung hängt, kann deshalb niemand beziffern. Auch das ist keine Wissenslücke, sondern eine Folge der Zuständigkeitsverteilung.

Daraus werden zwei hübsche Landtagsanfragen. Erstens: Wie viele kommunale Einrichtungen in Hessen fallen nach Kenntnis der Landesregierung unter das BSIG, und wie viele haben sich fristgerecht registriert? Zweitens: Wie viele Einwohnerinnen und Einwohner Hessens werden von Wasserversorgungsunternehmen versorgt, die dem BSIG unterliegen — und wie viele nicht?

Die wahrscheinliche Antwort auf beide — es liegen keine Erkenntnisse vor — ist die eigentliche Nachricht.

Und wofür genau leisten wir uns zwei Ministerien?

Hessen hat ein Digitalministerium. Nicht jedes Land hat das. Man ist stolz darauf, und es liefert: ein KI-Anwendungszentrum in Frankfurt, ein Drohnenkompetenzzentrum in Calden mit acht Millionen Euro Förderung, eine Datentreuhandstelle in Gießen, Spatenstiche bei Rechenzentren, ein Förderprogramm für digitale Basistechnologien in den Rathäusern, den Verwaltungsschub und, als Krönung, den ersten Platz unter den Flächenländern im Digitalranking.

Cyber- und IT-Sicherheit sitzt derweil im Innenministerium. Dort fand der Cybersicherheitsgipfel statt, dort steht die NIS-2-Seite, dort wurde entschieden, die Kommunen nicht einzubeziehen, und dort läuft die Resilienzwoche.

Zwei Häuser, viel Digitalpolitik, ein gemeinsames Ergebnis: null verbindliche Mindestanforderung an die IT-Sicherheit von 421 Kommunalverwaltungen.

Hessen leistet sich damit mehr Ressorts für Digitalisierung als verbindliche Standards für kommunale Informationssicherheit. Eins zu null.

Was besser wäre

Landesrechtliche Mindeststandards, mit Konnexitätsausgleich. Pflicht und Finanzierung im selben Gesetz. Alles andere ist entweder eine unbezahlte Zumutung oder gar nichts — und bisher ist es gar nichts.

Verbindliche Meldewege. Ohne Meldepflicht kein Lagebild, ohne Lagebild ist jede Aussage zur kommunalen Sicherheitslage geraten. Auch die beruhigenden.

Informationssicherheitsbeauftragte im interkommunalen Verbund, vom Land kofinanziert. Eine Person für zwanzig Gemeinden ist dünn. Sie ist trotzdem zwanzig Mal mehr als der Status quo.

Ein Landes-SOC mit kommunalem Mandat und ein einsatzfähiges Incident-Response-Team. Wenn ein Rathaus verschlüsselt wird, entscheidet sich in den ersten 48 Stunden, ob die Verwaltung in einer Woche oder in einem halben Jahr wieder arbeitet. Diese Kapazität hält man vor oder man hat sie nicht.

Und, am wenigsten charmant: eine Zahl. Wie viele hessische Kommunen betreiben heute ein funktionierendes ISMS? Das Land weiß es nicht, muss es nicht wissen und hat sich das Fragen selbst erspart.

Zurück zur Resilienzwoche

Die Kampagne wirbt bei der Bevölkerung für Vorsorge und Selbstschutz. Wasservorrat, Kurbelradio, Notfallkontakte, ein Plan für 72 Stunden. Das ist richtig und viel zu wenig verbreitet, und ich meine das ohne Häme.

Nur hilft der beste Wasservorrat nicht, wenn nach einem Ransomware-Angriff das Bürgerbüro schließt, keine Personalausweise ausgegeben, keine Wohngeldzahlungen angewiesen und keine Sozialleistungen bewilligt werden. Genau das ist deutschen Kommunen in den vergangenen Jahren wiederholt passiert, teils über Monate.

Resilienz der Bevölkerung ersetzt keine handlungsfähige Verwaltung. Sie setzt sie voraus.

„Konsequente Vorbereitung von uns allen.“ Von uns allen — mit Ausnahme der 421 Stellen, bei denen im Krisenfall die Bürgerinnen und Bürger anrufen.

Null von 421. Nachzulesen auf der Website desselben Ministeriums, das zur Resilienz aufruft. Zwei Klicks von der Pressemitteilung entfernt.

Quellen:

• Pressemitteilung des Hessischen Innenministeriums zur Resilienzwoche, 03.09.2026 — https://hessen.de/node/23127
• Pressemitteilung zum Cybersicherheitsgipfel, 13.08.2026 — https://hessen.de/node/22984
• Hessisches Ministerium des Innern: NIS-2 in Hessen, „Hessische Kommunen“ — https://innen.hessen.de/sicherheit/cyber-und-it-sicherheit/nis-2-in-hessen/hessische-kommunen
• Beschluss 2023/39 des IT-Planungsrats vom 03.11.2023
• Gesetz zur Umsetzung der NIS-2-Richtlinie, in Kraft seit 06.12.2025 — https://www.recht.bund.de/bgbl/1/2025/301/VO.html
• BSI, FAQ zu NIS-2 (zur Betroffenheit kommunaler Eigen- und Regiebetriebe) — https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-FAQ/NIS-2-FAQ-allgemein/FAQ-zu-NIS-2_node.html
• § 28 Abs. 3 S. 1 Nr. 2 BSIG zur Schwellenwertberechnung bei rechtlich unselbstständigen Organisationseinheiten
• Hessisches Ministerium des Innern: Gemeinden und Landkreise (421 Gemeinden) — https://innen.hessen.de/Kommunales/Kommunen/Gemeinden-und-Landkreise
• Statistisches Bundesamt, Gemeinden nach Einwohnergrößenklassen
• Hessenwasser GmbH & Co. KG, Angaben zur versorgten Bevölkerung im Rhein-Main-Gebiet — https://www.hessenwasser.de/

Stand: 4. September 2026. Die Auktion im Darknet läuft heute aus. Sollte sich bis zum Abend noch etwas ändern, wird dieser Beitrag aktualisiert. Falls das Berliner Landesnetz das erlaubt.

Es gibt Nachrichten, die überraschen. Und es gibt Nachrichten, bei denen man nur den Kalender aufschlägt und nachsieht, ob die Prognose von 2019 wirklich sieben Jahre gebraucht hat, um sich zu erfüllen. Der Cyberangriff auf das Berliner Landesnetz gehört in die zweite Kategorie. Der Tagesspiegel hat es in seinem Kommentar vom 19. August schön auf den Punkt gebracht: Überraschend sei am erfolgreichen Angriff nur eines, nämlich dass er erst jetzt gelungen ist.

Ich bin IT-Dienstleister für eine Gemeinde mit ein paar tausend Einwohnern. Wenn ich mir ansehe, was in Berlin passiert ist, dann sehe ich keinen hochkomplexen Nation-State-Angriff mit Zero-Days, den man beim besten Willen nicht hätte verhindern können. Ich sehe eine Verwaltung, die mit einem Haushalt jenseits der 40 Milliarden Euro Dinge falsch macht, für die ich in einer Gemeinde mit einem Bruchteil davon zu Recht rausgeworfen würde.

Aber der Reihe nach. Erst die Fakten, dann die Wut.

Was passiert ist (der nüchterne Teil)

7. bis 12. August 2026: Angreifer ziehen über rund eine Woche hinweg nach eigenen Angaben 5,79 Terabyte Daten aus zwei Berliner Senatsverwaltungen ab: der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Fünf Tage. Ohne dass jemandem etwas auffällt.

14. August 2026: Das IT-Dienstleistungszentrum Berlin (ITDZ) stellt im Rahmen forensischer Untersuchungen eine „Inkriminierung des Landesnetzes“ fest. Beide Häuser werden vom Landesnetz getrennt. Die Mitarbeiter arbeiten fortan mit Telefon und Papierakte. Wohngeld kann weder beantragt noch ausgezahlt werden.

19. August 2026: Der Regierende Bürgermeister Kai Wegner erklärt, der Vorfall „war ernst und ist ernst“. Nach aktuellem Kenntnisstand seien aber keine sensiblen Daten abgeflossen. Senatssprecherin Christine Richter präzisiert: Es handle sich um Daten, die über Open Data ohnehin frei zugänglich gewesen seien.

Ende August 2026: Der Kenntnisstand ändert sich. Es könne nicht ausgeschlossen werden, dass personenbezogene oder andere nicht öffentliche Daten abgeflossen sind.

28. August 2026: Die Ransomware-Gruppe Rhysida bekennt sich zur Tat und stellt die Daten auf ihrer Leak-Seite zur Auktion. Mindestgebot: 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Frist: Freitag, 4. September. Nach Darstellung der Gruppe enthält der Datensatz unter anderem 46.500 Verträge, 80.000 Verfahren zu Ordnungswidrigkeiten, rund 6.000 Dateien mit Login-Daten sowie Unterlagen zu Kritischer Infrastruktur, Notfallplänen und Justizangelegenheiten. Berlin erklärt, es lasse sich nicht erpressen. Das ist übrigens die einzige Entscheidung in dieser Geschichte, die ich uneingeschränkt richtig finde.

31. August 2026: Der Tagesspiegel veröffentlicht eine Auswertung der bereits einsehbaren Datenfragmente. Darunter befindet sich eine Datei mit dem Namen „Passwort.docx“. Sie ist eine von mehreren Office-Dateien, in denen Zugangsdaten von Mitarbeitern im Klartext abgelegt waren. Eines der Passwörter: „Sonnenschein13“.

1. September 2026: Der Senat bestätigt auf einer Pressekonferenz erstmals, dass Passwörter für Fachverfahren abgeflossen sind. Alle 12.000 Systeme des Landes würden nun „rund um die Uhr“ überprüft. Der Homeoffice-Zugang für beide Verwaltungen wird zum zweiten Mal gekappt, nachdem er eine Woche zuvor wieder freigegeben worden war. Alle Landesbehörden erhalten die Anweisung, Passwörter zu ändern und „vorsorglich verschärfte Passwortregeln“ anzuwenden.

Der genaue Angriffsvektor ist offiziell nicht bestätigt. Der rbb berichtet, Ausgangspunkt sei eine Schwachstelle in der IT der Senatsbauverwaltung gewesen, also in Infrastruktur, die das Land seit 2018 zum ITDZ migrieren will. Ob Phishing, eine ungepatchte Appliance oder etwas anderes am Anfang stand, ist Stand heute Spekulation. Ich lasse das so stehen.

Die Kommunikation: von „Open Data“ zu „Passwort.docx“ in zwölf Tagen

Man muss sich den Ablauf noch einmal langsam vorsagen. Erst: Es sind nur frei verfügbare Geodaten weg. Dann: Naja, personenbezogene Daten können wir nicht ausschließen. Dann: Okay, Passwörter. Im Klartext. In Word.

Ich möchte niemandem Böswilligkeit unterstellen. Vermutlich wusste der Senat am 19. August tatsächlich nicht, was abgeflossen war. Aber genau das ist das Problem. Wenn eine Verwaltung nach fünf Tagen Datenabfluss und weiteren fünf Tagen Forensik nicht sagen kann, welche Daten überhaupt auf den betroffenen Systemen lagen, dann fehlt nicht nur die Sicherheit. Dann fehlt das Inventar. Dann weiß niemand, was wo liegt. Und wer nicht weiß, was er hat, kann es auch nicht schützen.

Dass die Erpresser dem Senat den Inhalt seines eigenen Datenbestands erklären mussten, ist die vermutlich treffendste Zusammenfassung des Berliner IT-Zustands, die man sich ausdenken kann.

Das Einmaleins, das offenbar niemand gelesen hat

Ich unterrichte keine Informatik. Ich betreue Windows-Domänen, Server und Netzwerke für eine Gemeinde. Was ich dabei gelernt habe, passt auf einen Bierdeckel, und es ist nichts, was man nicht auch in jedem BSI-Grundschutz-Baustein nachlesen könnte.

1. Zentralisieren (mit Ausfallsicherheit)

Berlin hat ein zentrales IT-Dienstleistungszentrum. Das ITDZ ist BSI-zertifiziert, betreibt seit 2022 ein Security Operations Center und hat den aktuellen Angriff überhaupt erst entdeckt. Man hat also das Werkzeug. Man hat es nur nicht benutzt.

Denn die beiden betroffenen Senatsverwaltungen wurden nie zum ITDZ migriert. Sie betrieben ihre IT in eigener Verantwortung, in einer Sicherheitsarchitektur, die sie selbst nicht überblickten. Laut Tagesspiegel sind nach wie vor rund zwei Drittel aller Senatsverwaltungen und Landesbehörden selbst für ihre IT-Sicherheit zuständig. Auf parlamentarische Anfragen hat der Senat wiederholt darauf verwiesen, dass es Aufgabe der jeweiligen Senats- oder Bezirksverwaltung sei, Hard- und Software in eigener Zuständigkeit aktuell zu halten. Ein zentrales Controlling darüber ist nicht vorgesehen. Die eigene IT-Landschaft beschreibt der Senat in einer Antwort auf eine Schriftliche Anfrage als „eher heterogen“.

„Eher heterogen“ ist die verwaltungsdeutsche Übersetzung von „jeder macht, was er will, und keiner weiß, was der andere macht“.

Man stelle sich einen Konzern mit 100.000 Mitarbeitern vor, in dem zwei Drittel der Abteilungen ihre eigenen Server unter dem Schreibtisch betreiben und der zentrale IT-Betrieb per Anfrage erfahren muss, ob dort eigentlich gepatcht wird. Kein Vorstand würde das eine Woche überleben. In Berlin ist es seit 2018 der offizielle Migrationsplan, mit Zielhorizont in den 2030er Jahren.

Und damit mich niemand falsch versteht: Zentralisierung ohne Redundanz ist nur ein größerer Single Point of Failure. Georedundanz, getestete Wiederanlaufpläne, offline gelagerte Backups. Das gehört dazu. Aber es ist kein Argument gegen Zentralisierung. Es ist ein Argument dafür, sie richtig zu machen.

2. Standardisieren

Wenn jede Behörde ihre eigene IT betreibt, dann hat jede Behörde ihre eigene Passwortrichtlinie. Oder keine. Der Senat hat am 1. September „vorsorglich verschärfte Passwortregeln“ angeordnet. Für alle Behörden. Landesweit. Per Anweisung des Chief Digital Officers.

Das klingt nach einer Maßnahme. Es ist aber ein Eingeständnis: Bis zum 1. September 2026 gab es offenbar keine landesweit verbindliche und technisch durchgesetzte Passwortrichtlinie, die „Sonnenschein13“ verhindert hätte. In einer Active-Directory-Umgebung ist das eine Gruppenrichtlinie. Eine. Man klickt sie an, und sie gilt für alle. Dazu Multi-Faktor-Authentifizierung für jeden externen Zugang, ein Passwortmanager als Standardwerkzeug und die schlichte Regel, dass Zugangsdaten nicht in Office-Dateien gehören. Das ist keine Raketenwissenschaft. Das ist der erste Tag der Ausbildung.

Ich habe in Fuldatal keinen Chief Digital Officer. Ich habe eine Gruppenrichtlinie.

3. Automatisieren

5,79 Terabyte. Über fünf Tage. Das sind im Schnitt rund 13 Gigabyte pro Stunde, die das Haus verlassen haben, rund um die Uhr, auch nachts, auch am Wochenende. Wer auf ausgehenden Verkehr auch nur rudimentär schaut, sieht das. Nicht, weil er ein KI-gestütztes Anomalie-Erkennungssystem für Millionen betreibt, sondern weil ein Graph plötzlich eine Wand ist.

Dass es keinen Alarm gab, bedeutet: Es gab nichts, was hätte alarmieren können. Kein Egress-Monitoring, keine Volumenschwellen, keine automatisierte Reaktion. Das ITDZ-SOC erkennt nach eigenen Angaben jährlich Millionen unautorisierter Zugriffsversuche auf das Landesnetz. Nur die Häuser, die nicht am ITDZ hängen, sieht es eben nicht. Das SOC überwachte die Haustür des Rathauses, während im Nebengebäude fünf Tage lang ein Umzugswagen beladen wurde.

Die Chronik der Ankündigung

Das alles wäre halb so ärgerlich, wenn es das erste Mal wäre. Es ist nicht das erste Mal.

2019, Kammergericht. Ein Emotet-Trojaner legt das höchste Berliner Gericht lahm. Totalschaden, monatelang provisorischer Betrieb, 500 Rechner werden ausgetauscht. Der anschließende Forensikbericht liest sich, freundlich formuliert, wie eine Anleitung, was man alles nicht tun sollte. Berlin hatte damit sieben Jahre Vorwarnung.

Juli 2025, Justizverwaltung. Der Senatsverwaltung für Justiz fallen Unstimmigkeiten in einer E-Mail-Korrespondenz auf. Angreifer, die der Spiegel unter Berufung auf Sicherheitskreise der iranischen Gruppe Charming Kitten zuordnet, hatten Zugriff auf Kalender und weitere Daten der Justizsenatorin Felor Badenberg.

August 2026. Siehe oben.

Dazwischen: jedes Jahr ein IT-Sicherheitsbericht des Senats, in dem die Defizite aufgelistet werden. Der Bericht ist unter Verschluss. Man braucht ihn auch nicht. Die taz hat es treffend formuliert: Es gibt ohnehin immer wieder größere und kleinere Pannen, an denen man den Zustand ablesen kann.

Und was hat die Politik daraus gemacht? Im Doppelhaushalt 2026/2027 kürzte die Koalition aus CDU und SPD mehr als 50 Millionen Euro im Digitalisierungsetat. So drastisch, dass die damalige Digitalisierungs-Staatssekretärin öffentlich protestierte, bevor sie nach Potsdam wechselte. Das ITDZ selbst ist derart unterfinanziert, dass laut Berichten Ende 2025 ohne zwei Notkredite weder Gehälter noch Lieferanten hätten bezahlt werden können.

Man hat also den einen Dienstleister, der den Angriff erkannt hat, an den Rand der Zahlungsunfähigkeit gespart, während zwei Drittel der Behörden weiter ihre eigenen Server pflegen. Man nennt das in der Betriebswirtschaft „Fehlallokation“. Ich nenne es etwas anderes, aber das gehört nicht in einen Blog.

Der Blick aus der Provinz

Und jetzt zu dem Teil, der mich wirklich beschäftigt.

Berlin hat einen Landeshaushalt, von dem 98 Prozent der deutschen Kommunen nicht einmal zu träumen wagen. Berlin hat einen eigenen IT-Dienstleister mit BSI-Zertifikat und SOC. Berlin hat einen Chief Digital Officer, einen Landesbevollmächtigten für Informationssicherheit, ein E-Government-Gesetz und einen Digitalisierungsausschuss im Abgeordnetenhaus. Berlin hat Personal, Budget, Strukturen und seit 2019 den handfesten Beweis, was passiert, wenn man sie nicht nutzt.

Und Berlin schafft es trotzdem nicht.

Was heißt das für eine Gemeinde mit 12.000 Einwohnern, einem IT-Budget im fünfstelligen Bereich und einem externen Dienstleister, der einen Nachmittag pro Woche vorbeikommt? Was heißt das für die Verwaltungsgemeinschaft, in der der Kämmerer nebenbei die Firewall administriert, weil er „sich mit Computern auskennt“? Was heißt das für die tausenden Kommunen, in denen der Domänencontroller noch auf Windows Server 2012 läuft, weil das Fachverfahren angeblich nichts anderes unterstützt?

Die ehrliche Antwort: In vielen kleinen Kommunen sieht es nicht schlechter aus als in Berlin. Es sieht genauso aus. Nur mit weniger Terabyte.

Der Unterschied ist: Die kleine Kommune hat eine Ausrede. Sie hat wirklich kein Geld, wirklich kein Personal und wirklich keinen eigenen Dienstleister. Berlin hat all das und hat sich trotzdem entschieden, es nicht zu benutzen. Das ist nicht Unvermögen. Das ist eine Entscheidung. Jedes Jahr aufs Neue, in jedem Haushalt, in jeder verschobenen Migration.

Nur gut, dass NIS-2 nicht für Kommunen gilt

Da fällt mir ein: Die NIS-2-Richtlinie, die in Deutschland mit einiger Verspätung umgesetzt wurde, verpflichtet Betreiber wichtiger und besonders wichtiger Einrichtungen zu Risikomanagement, Meldepflichten, Lieferkettensicherheit und persönlicher Haftung der Geschäftsleitung. Die Kommunalverwaltung wurde vom Bund bewusst ausgeklammert. Ob die Länder ihre Kommunen einbeziehen, bleibt ihnen überlassen. Die meisten haben es bislang nicht getan.

Was für ein Glück. Man stelle sich vor, ein Bürgermeister müsste persönlich dafür geradestehen, dass sein Rathaus Zugangsdaten in einer Datei namens „Passwort.docx“ ablegt. Man stelle sich vor, eine Verwaltung müsste binnen 24 Stunden eine Erstmeldung abgeben, statt fünf Tage lang gar nichts zu bemerken und dann zwölf Tage lang „Open Data“ zu sagen. Man stelle sich vor, jemand müsste nachweisen, dass er ein Konzept zur Aufrechterhaltung des Betriebs hat, bevor 50.000 Haushalte drei Wochen auf ihr Wohngeld warten.

Nein, das wäre für die Verwaltungen wirklich zu viel Bürokratie. Also lieber keine Regeln, keine Pflichten, keine Haftung. Dann kann auch nichts schiefgehen. Fragen Sie in Berlin.

Der eigentliche Punkt ist ernst: Die Angreifer interessiert es nicht, ob eine Verwaltung unter NIS-2 fällt. Rhysida hat in diesem Jahr Stuttgart angegriffen, davor die British Library, davor Krankenhäuser und die Stadt Columbus in Ohio. Die Gruppe sucht sich keine Ziele nach Rechtsrahmen aus, sondern nach Erreichbarkeit. Und eine deutsche Kommunalverwaltung, die ihre Sicherheit selbst in die Hand nimmt, ist erreichbar. Sehr.

Was jetzt eigentlich passieren müsste

Ich mache es kurz, weil es so kurz ist:

1. Betriebsverantwortung für alle sicherheitskritischen Systeme zum ITDZ. Nicht in den 2030er Jahren. Jetzt. Mit einem Fahrplan, der in Monaten und nicht in Legislaturperioden gemessen wird. Und mit einer Finanzierung, die den Dienstleister nicht in die Notkredite treibt.
2. Ein landesweites Identity-Konzept: MFA für jeden Fernzugriff, zentrale Passwortrichtlinien per Gruppenrichtlinie, Passwortmanager als Pflichtwerkzeug, technisch durchgesetzt, nicht per Rundschreiben empfohlen.
3. Egress-Monitoring und Netzsegmentierung. Wer 5,79 Terabyte nicht bemerkt, bemerkt auch 50 Terabyte nicht.
4. Ein Inventar. Welche Daten liegen wo, wer ist verantwortlich, wie kritisch sind sie. Wer das nicht weiß, kann weder schützen noch nach einem Vorfall ehrlich kommunizieren.
5. Den IT-Sicherheitsbericht veröffentlichen. Zumindest in Teilen. Die Angreifer kennen die Schwachstellen ohnehin. Die einzigen, die sie nicht kennen, sind die Bürger, die den Laden bezahlen.

Nichts davon ist neu. Alles davon stand sinngemäß bereits 2019 im Bericht zum Kammergericht. Berlin hat es sieben Jahre lang nicht gelesen.

Schluss

Heute Abend läuft die Auktion aus. Vielleicht veröffentlicht Rhysida die Daten, vielleicht verlängert die Gruppe die Frist, vielleicht findet sich ein Käufer, und wir erfahren nie, was genau in den 5,79 Terabyte steckt. Für die Betroffenen, die Mitarbeiter, deren Passwörter im Netz stehen, die Bürger, deren Bußgeldverfahren und Bauakten möglicherweise bald frei verfügbar sind, macht das keinen Unterschied mehr.

Für alle anderen Verwaltungen in Deutschland ist der Fall eine Vorlage. Nicht, weil Berlin besonders schlecht wäre. Sondern weil Berlin mit allen Mitteln, die man sich wünschen kann, exakt die Fehler gemacht hat, die überall gemacht werden. Der Unterschied zwischen Berlin und der Gemeinde nebenan ist nicht die Qualität der IT-Sicherheit. Es ist die Größe der Datei, die am Ende im Darknet landet.

Wer in seiner Kommune heute eine Datei namens „Passwort.docx“ findet, hat noch die Chance, sie zu löschen, bevor es jemand anderes tut.

Quelle: ec.europa.eu

Die digitale Welt von 2026 ist nicht mehr die von 2019. Wo früher einfache Malware dominierte, stehen heute staatlich gesteuerte Ransomware-Gruppen, KI-gestützte Angriffe und die Bedrohung durch Quantencomputer im Vordergrund. Als Reaktion darauf hat die Europäische Kommission am 20. Januar 2026 den Vorschlag für den Cybersecurity Act 2 (CSA 2) vorgelegt.

Wie es im Vorschlag (COM(2026) 11) heißt:

„The cybersecurity threat landscape has significantly evolved in an increasingly complex geopolitical reality. Cyberattacks have surged and became more sophisticated, targeting critical infrastructure.“ > (Die Bedrohungslandschaft der Cybersicherheit hat sich in einer zunehmend komplexen geopolitischen Realität erheblich weiterentwickelt. Cyberangriffe haben zugenommen und sind anspruchsvoller geworden…)

Dieser Artikel analysiert, warum der CSA 2 weit mehr ist als nur ein Update – er ist das Fundament für die digitale Souveränität Europas.

Die 4 Säulen des Cybersecurity Act 2

Der neue Entwurf zielt darauf ab, die Schwachstellen der ersten Verordnung zu beheben und gleichzeitig neue Schutzwälle hochzuziehen.

1. Ein erweitertes Mandat für die ENISA

Die ENISA (EU-Agentur für Cybersicherheit) wird von einer beratenden Rolle stärker in die operative Verantwortung gerückt. Sie soll nicht mehr nur koordinieren, sondern aktiv bei der Identifizierung kritischer Abhängigkeiten helfen.

2. Reform des Zertifizierungsrahmens (ECCF)

Die bisherige Zertifizierung galt oft als zu träge. Der CSA 2 verspricht eine Straffung. Das Ziel ist klar: Sicherheit „by Design“ muss schneller marktfähig sein, ohne die Qualität zu vernachlässigen. Ein wesentlicher Bestandteil ist hier die Einführung von Peer-Reviews zwischen nationalen Behörden.

3. Sicherheit der IKT-Lieferkette: Kampf gegen Hochrisiko-Anbieter

Dies ist das wohl politischste Element des CSA 2. Der Gesetzgeber erkennt an, dass technische Sicherheit allein nicht ausreicht, wenn die Hardware oder Software aus unsicheren Quellen stammt. Der Text betont:

„There is a need to establish a framework to identify and manage ICT supply chain risks related to high-risk suppliers.“ (Es besteht die Notwendigkeit, einen Rahmen zur Identifizierung und Bewältigung von Risiken in der IKT-Lieferkette im Zusammenhang mit Hochrisiko-Anbietern zu schaffen.)

Unternehmen müssen sich darauf einstellen, dass Anbieter, die unter der Kontrolle von Drittstaaten mit Sicherheitsbedenken stehen, in kritischen Sektoren verboten werden könnten.

4. Harmonisierung und „One-in, One-out“

Um den administrativen Aufwand zu begrenzen, wird der CSA 2 eng mit der NIS2-Richtlinie verzahnt. Zertifizierungen unter dem CSA 2 sollen künftig als direkter Nachweis für die Compliance-Anforderungen der NIS2 dienen.

Vergleich: Was ändert sich konkret?

Warum der CSA 2 für Unternehmen entscheidend ist

Besonders für Betreiber kritischer Anlagen und große IKT-Anbieter bedeutet der CSA 2 einen erhöhten Prüfaufwand. Der Impact Assessment Report (SWD(2026) 11) hebt hervor, dass insbesondere die De-Risking-Strategie von entscheidender Bedeutung ist:

„De-risk critical ICT supply chains from entities established in or controlled by entities from third countries posing cybersecurity concerns.“ (Kritische IKT-Lieferketten von Unternehmen entkoppeln, die in Drittländern mit Sicherheitsbedenken ansässig sind oder von dort kontrolliert werden.)

Erleichterungen für KMU

Gleichzeitig gibt es gute Nachrichten für den Mittelstand. Durch vereinfachte Selbstbewertungen für niedrigere Vertrauensstufen sollen die Kosten für Zertifizierungen gesenkt werden. Die Kommission verfolgt hier den „Digital by Default“-Ansatz, um Prozesse schlanker zu gestalten.

Fazit: Ein notwendiger Schritt für Europa

Der Cybersecurity Act 2 ist die Antwort auf eine Welt, in der Technologie zunehmend als geopolitische Waffe eingesetzt wird. Während der alte CSA den Binnenmarkt ordnete, soll der neue CSA die Union verteidigen. Für Unternehmen bedeutet dies: Die Auswahl der Partner in der IKT-Lieferkette wird künftig genauso wichtig wie die technische Firewall.

Die Stabilität der Energieversorgung bildet das Rückgrat moderner Industriegesellschaften und ist die fundamentale Voraussetzung für das Funktionieren urbaner Agglomerationen. In Deutschland wurde diese Stabilität traditionell auf einem weltweit führenden Niveau gewahrt, wobei Berlin mit einer durchschnittlichen Ausfallzeit von etwa 13 Minuten pro Jahr bisher im stabilen Mittelfeld rangierte. Der massive Stromausfall im Südwesten Berlins im Januar 2026 markiert jedoch eine dramatische Zäsur in der Bewertung der nationalen Infrastrukturresilienz. Es handelte sich nicht um ein zufälliges technisches Versagen oder eine atmosphärische Einwirkung, sondern um einen vorsätzlichen Akt der Sabotage, der die Verwundbarkeit hochgradig zentralisierter Versorgungsknoten offenlegte. Mit einer Dauer von rund einhundert Stunden und Auswirkungen auf über 100.000 Menschen stellt dieses Ereignis den schwersten und am längsten andauernden Stromausfall in der deutschen Hauptstadt seit dem Ende des Zweiten Weltkriegs dar.   

Die vorliegende Analyse untersucht die multidimensionalen Aspekte dieses Blackouts. Sie rekonstruiert die Chronologie der Ereignisse, analysiert die technischen Mechanismen des Systemversagens, beleuchtet die ideologischen Hintergründe der Täterschaft und evaluiert die Wirksamkeit der staatlichen Krisenreaktion. Abschließend werden strategische Empfehlungen zur Härtung kritischer Infrastrukturen (KRITIS) abgeleitet, die im Kontext der aktuellen gesetzgeberischen Initiativen wie dem KRITIS-Dachgesetz stehen.   

Chronologie und Phänomenologie des Systemausfalls

Der initiale Störungsfall ereignete sich in den frühen Morgenstunden des 3. Januar 2026. Um 05:44 Uhr verzeichnete die Netzleitstelle der Stromnetz Berlin GmbH einen massiven Spannungsabfall in mehreren 110-kV-Hochspannungssystemen sowie in untergeordneten Mittelspannungsleitungen. Das betroffene Gebiet umfasste primär die Ortsteile Nikolassee, Zehlendorf, Wannsee und Lichterfelde im Bezirk Steglitz-Zehlendorf. Zu diesem Zeitpunkt herrschten in Berlin winterliche Temperaturen um den Gefrierpunkt bei leichtem Schneefall, was die unmittelbaren Folgen des Stromausfalls – insbesondere den Ausfall von Heizungssystemen – massiv verschärfte.   

Der erste Einsatztag: 3. Januar 2026

Kurz nach der Alarmierung durch das interne Überwachungssystem gegen 05:44 Uhr meldete die Berliner Feuerwehr um 06:12 Uhr einen Brand an einer Kabelbrücke über den Teltowkanal in unmittelbarer Nähe des Heizkraftwerks Lichterfelde. Diese Brücke fungierte als neuralgischer Punkt, an dem mehrere Versorgungsstränge verschiedener Spannungsebenen gebündelt verliefen. Das Feuer, das vorsätzlich gelegt wurde, zerstörte die Isolierung und die Leiterstruktur der Kabel vollständig, was zu einem unmittelbaren Zusammenbruch der Versorgung für rund 45.400 Haushalte und 2.200 Gewerbebetriebe führte.   

Gegen 12:20 Uhr am selben Tag gelang es den Technikern durch komplexe Umschaltmaßnahmen in der Mittelspannungsebene (10 kV), die ersten 10.000 Haushalte in Lichterfelde wieder an das Netz zu bringen. Dennoch blieb die Lage in Zehlendorf und Wannsee prekär. Da das 110-kV-Netz an dieser Stelle massiv geschädigt war, reichten einfache Umschaltungen nicht aus, um die Last für das gesamte Gebiet zu übernehmen.   

Die Eskalationsphase: 4. bis 6. Januar 2026

In den darauffolgenden Tagen wurde das Ausmaß des Schadens deutlich. Während am 4. Januar weitere 7.000 Haushalte durch provisorische Verbindungen versorgt werden konnten, verharrten am Abend des 5. Januar immer noch rund 27.200 Haushalte und 1.425 Gewerbebetriebe in der Dunkelheit. Die Kälte führte dazu, dass öffentliche Einrichtungen wie das Cole-Sport-Center in Zehlendorf und das Rathaus Zehlendorf als Notunterkünfte eingerichtet wurden.   

Die Berliner Innenverwaltung reagierte in der Nacht zum 5. Januar mit der Ausrufung einer Großschadenslage nach dem Berliner Katastrophenschutzgesetz. Dies ermöglichte die Anforderung von Amtshilfe bei der Bundeswehr, die ab dem 6. Januar logistische Unterstützung leistete, Truppenküchen zur Verfügung stellte und Unterkünfte für zivile Helfer in der General-Steinhoff-Kaserne bereitstellte.   

Die Wiederherstellung: 7. bis 10. Januar 2026

Die entscheidende Wende trat am Mittwoch, dem 7. Januar, ein. Nach intensiven Arbeiten an zwei provisorischen Hochspannungsleitungen konnte ab 11:00 Uhr mit der schrittweisen Wiederzuschaltung begonnen werden. Zuvor war per Cell Broadcast eine Warnung an alle Berliner Haushalte geschickt worden, private Notstromaggregate vom Netz zu trennen und stromintensive Geräte zu meiden, um die Stabilität des Netzes beim Hochfahren nicht zu gefährden. Bis 20:30 Uhr war die Wiederversorgung aller Kunden offiziell abgeschlossen. Am 9. und 10. Januar wurden zusätzliche Sicherungsmaßnahmen durchgeführt, indem eine zweite provisorische Leitung in Betrieb genommen wurde, um die Redundanz während der monatelangen finalen Reparaturarbeiten zu gewährleisten.   

Technische Ursachenanalyse und systemische Schwachstellen

Der Vorfall im Januar 2026 offenbart eine kritische Diskrepanz zwischen dem theoretischen Sicherheitskonzept des Stromnetzes und der praktischen Anfälligkeit gegenüber gezielter Sabotage. Das Berliner Stromnetz ist nach dem sogenannten N−1-Prinzip aufgebaut. Dieses besagt, dass beim Ausfall einer beliebigen Komponente – etwa eines Transformators oder einer Leitung – die verbleibenden Komponenten die Last ohne Unterbrechung übernehmen können müssen.   

Das Versagen des N-1-Prinzips

Im Fall der Kabelbrücke am Teltowkanal wurde dieses Prinzip durch die räumliche Bündelung mehrerer Systeme ausgehebelt. Wenn zwei oder mehr voneinander unabhängige Leitungssysteme auf derselben Trasse geführt werden, führt ein Brand an diesem Punkt zum gleichzeitigen Ausfall beider Pfade. Technisch betrachtet liegt hier ein „Common Mode Failure“ vor. Da die Sabotage gezielt die Zuleitungen für mehrere Umspannwerke zerstörte, war der gesamte Südwesten faktisch vom 110-kV-Übertragungsnetz abgetrennt.   

Die Reparaturarbeiten gestalteten sich deshalb so langwierig, weil Hochspannungskabel eine komplexe Struktur aufweisen. Ein bloßes „Zusammenflicken“ ist bei 110.000 Volt nicht möglich. Es müssen spezielle Verbindungselemente, sogenannte Muffen, in Handarbeit und unter absolut schmutzfreien Bedingungen installiert werden. In Lichterfelde handelte es sich zudem um eine beträchtliche Anzahl von Kabeln: Das Bekennerschreiben erwähnte spezifisch 64 Rohre unter der Brücke, von denen ein Großteil mit Starkstromkabeln belegt war.   

Infrastruktur-Mapping und Zugänglichkeit

Ein wesentlicher Faktor für den Erfolg des Anschlags war die leichte Identifizierbarkeit des Ziels. Experten wiesen darauf hin, dass die betroffene Kabelbrücke auf öffentlich zugänglichen Satellitenbildern deutlich erkennbar und in einer relativ entlegenen Lage situiert war, was eine unbemerkte Tatausführung begünstigte. Hier kollidieren die Anforderungen an Transparenz im Energiemarkt mit den Erfordernissen des Sabotageschutzes. Kritiker bemängeln, dass sensible Netzdaten oft „auf dem Silbertablett“ präsentiert werden.   

Die ideologische Dimension: Analyse der „Vulkangruppe“

Am 4. Januar 2026 wurde ein Bekennerschreiben einer Gruppe veröffentlicht, die sich als „Vulkangruppe“ identifizierte. Diese Bezeichnung wird seit 2011 von verschiedenen, teils lose assoziierten linksextremistischen Gruppierungen verwendet, die durch Sabotageakte gegen Infrastruktureinrichtungen wie die Bahn, Stromnetze oder Industrieanlagen (etwa Tesla) in Erscheinung getreten sind.   

Motive und Zielsetzung

Das Bekennerschreiben zum Anschlag in Lichterfelde zeichnete sich durch eine ausgeprägte Systemkritik aus. Die Täter rechtfertigten den Angriff als Schlag gegen die „klimazerstörende Normalität“ und die „fossil-kapitalistische Infrastruktur“. Ein bemerkenswerter neuer Aspekt in der Argumentation war der Bezug auf Rechenzentren für Künstliche Intelligenz (KI). Die Gruppe kritisierte den enormen Energiehunger dieser Zentren und deren Rolle bei der „Massenüberwachung“.   

Die Wahl des Zeitpunkts – mitten im Winter bei Frosttemperaturen – wurde im Schreiben mit einer gewissen Ambivalenz kommentiert. Während man sich bei den „weniger wohlhabenden Menschen“ für die Unannehmlichkeiten entschuldigte, hielt sich das Mitleid für die „Besitzer von Villen“ in Steglitz-Zehlendorf laut Text in Grenzen. Diese soziale Komponente unterstreicht die klassenkämpferische Ausrichtung der Gruppierung.   

Forensische Linguistik und die „False Flag“-Debatte

Aufgrund der Schwere des Anschlags und der geopolitischen Lage kursierten unmittelbar Spekulationen über eine Beteiligung ausländischer Akteure, insbesondere Russlands. Es wurde vermutet, dass es sich um eine Operation unter falscher Flagge handeln könnte, um die soziale Instabilität in Deutschland zu befeuern.   

Die forensische Linguistin Müller analysierte das erste Schreiben jedoch als authentisch für das linksextremistische Spektrum. Sie verwies auf den „akademischen, kosmopolitischen Hintergrund“ der Verfasser, die Verwendung von spezifischen Gendering-Mustern (positive Konnotation weiblicher Formen, negative Konnotation männlicher Formen) und den Bezug auf internationale Themen wie die Situation der Uiguren. Zwar gab es Hinweise auf potenziell maschinell übersetzte Passagen oder untypische Satzstrukturen, doch die Berliner Sicherheitsbehörden und der Verfassungsschutz stuften die Urheberschaft der Vulkangruppe als „sehr deutlich“ ein.   

Interessanterweise kam es innerhalb der Szene zu Spaltungen. Ein drittes Schreiben am 7. Januar distanzierte sich von dem Anschlag und behauptete, die ursprüngliche Vulkangruppe habe einen „defensiven“ Ansatz verfolgt, der auf Störung statt auf Zerstörung ausgelegt war. Dies deutet auf eine Radikalisierung neuerer Zellen hin, die bereit sind, die Gefährdung von Menschenleben (etwa durch den Ausfall von Medizintechnik) billigend in Kauf zu nehmen.   

Auswirkungen auf das Gesundheitswesen und die Zivilgesellschaft

Der Stromausfall traf das Gesundheitswesen in einer Phase hoher Belastung. In dem betroffenen Gebiet liegen nicht nur fünf große Kliniken, darunter das Krankenhaus Waldfriede und das Theodor-Wenzel-Werk, sondern auch über 200 Arztpraxen und zahlreiche Pflegeheime.   

Klinische Versorgung unter Notstrombedingungen

Krankenhäuser sind gesetzlich verpflichtet, Notstromaggregate vorzuhalten. Diese sichern jedoch oft nur die überlebenswichtigen Funktionen (Intensivstation, OP-Säle) ab. Ein regulärer Vollbetrieb über mehrere Tage ist damit kaum möglich. Die Deutsche Krankenhausgesellschaft (DKG) wies darauf hin, dass der Schutz vor Sabotage und Cyberangriffen Investitionen in Milliardenhöhe erfordert, um die Resilienz langfristig zu sichern. Während des Blackouts mussten einige Pflegebedürftige evakuiert und in Krankenhäuser außerhalb des betroffenen Gebiets verlegt werden.   

Die Rolle der „Katastrophenschutz-Leuchttürme“

Ein Erfolg im Krisenmanagement war die Aktivierung der sogenannten Katastrophenschutz-Leuchttürme. Dabei handelt es sich um Anlaufstellen bei der Feuerwehr oder in öffentlichen Gebäuden, an denen Bürger Notrufe absetzen können, Informationen erhalten oder Mobiltelefone laden können. Da das Mobilfunknetz aufgrund erschöpfter Pufferbatterien an vielen Standorten nach wenigen Stunden ausfiel, bildeten diese Leuchttürme die einzige verbliebene Kommunikationsbrücke zum Staat.   

Politische Aufarbeitung und Krisenkommunikation

Die politische Reaktion auf den Blackout wurde von heftigen Kontroversen begleitet. Der Regierende Bürgermeister Kai Wegner (CDU) geriet in die Kritik, weil er am Tag des Anschlags nicht unmittelbar vor Ort präsent war. Berichte über seine Abwesenheit wurden von der Opposition instrumentalisiert, um ein „politisches Versagen“ zu konstatieren. Wegner betonte hingegen, er habe die Lage koordiniert und bewusst die Experten der Feuerwehr und des Netzbetreibers agieren lassen.   

Rechtliche Einordnung: Sabotage oder Terrorismus?

Die Generalbundesanwaltschaft übernahm am 6. Januar 2026 die Ermittlungen. Der Vorwurf lautet unter anderem auf Mitgliedschaft in einer terroristischen Vereinigung (§ 129a StGB) sowie verfassungsfeindliche Sabotage. Diese Einstufung markiert eine Eskalation in der juristischen Bewertung solcher Taten. Während frühere Anschläge oft als „Sachbeschädigung“ oder „Störung öffentlicher Betriebe“ gewertet wurden, erkennt der Staat nun die strategische Absicht an, die Funktionsfähigkeit des Gemeinwesens zu untergraben.   

Die „Tennis-Kontroverse“ und das Vertrauensmanagement

Ein spezifisches Problem der Krisenkommunikation war die Nachricht, dass Wegner wenige Stunden nach Beginn des Stromausfalls Tennis gespielt habe. Auch wenn dies die operative Arbeit der Techniker nicht beeinflusste, war der symbolische Schaden immens. In einer Krise dieses Ausmaßes wird von der politischen Führung eine „Allgegenwärtigkeit“ erwartet. Die Unzufriedenheit der Bürger entlud sich später bei Besuchen von Wegner und Innensenatorin Spranger in Notunterkünften. Um den sozialen Frieden zu wahren, entschied der Senat schließlich, Hotelkosten für Betroffene zu erstatten – ein Schritt, der finanziell und organisatorisch beispiellos war.   

Präventionsstrategien und die Zukunft der KRITIS-Sicherheit

Um künftige Vorfälle dieser Art zu vermeiden, ist ein Paradigmenwechsel in der Infrastrukturplanung erforderlich. Die bisherige Optimierung auf Kosteneffizienz muss einer Optimierung auf Resilienz weichen.

Das KRITIS-Dachgesetz (KRITIS-DachG)

Das im September 2025 vom Bundeskabinett beschlossene Gesetz soll ab 2026 verbindliche Mindeststandards für den physischen Schutz kritischer Anlagen festlegen. Es setzt die EU-Richtlinie 2022/2557 (CER) um und definiert Sektoren wie Energie, Transport, Gesundheit und Wasser als besonders schützenswert.   

Die zentralen Säulen des Gesetzes sind:

1. Risikoanalysen: Betreiber müssen alle vier Jahre eine Bewertung ihrer Schwachstellen vorlegen.   
2. Physische Härtung: Dazu gehören Zäune, Videoüberwachung, Zugangskontrollen und Drohnenabwehr.   
3. Redundanz-Vorgaben: Die Vermeidung von „Single Points of Failure“ durch geografisch getrennte Trassenführung.   
4. Resilienzpläne: Dokumentation von Maßnahmen zur schnellen Wiederherstellung nach einem Vorfall.   

Ein Kritikpunkt bleibt die Erheblichkeitsschwelle. Das Gesetz gilt primär für Anlagen, die mehr als 500.000 Menschen versorgen. Sabotageexperten warnen, dass auch Angriffe auf kleinere Knotenpunkte – wie die Brücke in Lichterfelde – massive Kaskadeneffekte auslösen können.   

Technische Innovationen im Sabotageschutz

Neben gesetzlichen Vorgaben bietet die Technik neue Möglichkeiten zur Überwachung weitläufiger Netze.

• LiDAR und Drohnen: Automatisierte Patrouillen entlang von Stromtrassen können Unregelmäßigkeiten oder Vorbereitungen für Anschläge erkennen.   
• DAS (Distributed Acoustic Sensing): Glasfaserkabel, die parallel zu Stromleitungen verlaufen, können als „Mikrofone“ fungieren und Erschütterungen oder Grabungsarbeiten in Echtzeit melden.   
• Intelligente Netzsteuerung: Durch Digitalisierung der Umspannwerke können Lasten schneller und flexibler umverteilt werden, was die Dauer eines Ausfalls verkürzt.   

Dezentralisierung und „Inselbildung“

Ein langfristiger Schutz besteht in der Dezentralisierung der Erzeugung. Wenn Stadtquartiere über eigene Energiequellen (Photovoltaik, KWK-Anlagen) und Speicher verfügen, können sie im Falle eines Blackouts im Hauptnetz vorübergehend in einen „Inselbetrieb“ gehen. Dies würde die Last für die Rettungskräfte massiv reduzieren, da die Grundversorgung (Licht, Kochen, Kommunikation) lokal gesichert wäre.   

Vergleichsanalyse: Johannisthal vs. Lichterfelde

Die Wiederholung eines massiven Stromausfalls innerhalb weniger Monate (September 2025 in Johannisthal und Januar 2026 in Lichterfelde) verdeutlicht ein Muster. In beiden Fällen war die Ursache Brandstiftung an exponierten Stellen der Hochspannungsinfrastruktur (Masten bzw. Brücken).   

In Johannisthal traf es zwei 110-kV-Leitungen an Endmasten. Der Ausfall dauerte 60 Stunden. In Lichterfelde war die Komplexität höher, da auch Mittelspannungskabel betroffen waren und die Witterung die Reparatur erschwerte, was zu einer Ausfalldauer von 100 Stunden führte. Die Erkenntnis aus beiden Vorfällen ist identisch: Das Berliner Netz ist zwar N−1-sicher gegen zufällige Fehler, aber nicht gegen gezielte, simultane Angriffe auf gebündelte Infrastruktur.   

Zusammenfassung und strategische Schlussfolgerungen

Der Stromausfall in Berlin im Januar 2026 war ein Weckruf für die deutsche Sicherheitsarchitektur. Er hat gezeigt, dass eine hochtechnisierte Metropole innerhalb weniger Stunden an den Rand eines katastrophalen Zustands geraten kann, wenn die Lebensadern der Energieversorgung durchtrennt werden.

Zentrale Erkenntnisse

1. Physische Schwachstellen: Die räumliche Bündelung von Versorgungsleitungen an Engpässen wie Brücken stellt ein inakzeptables Risiko dar. Die Netzplanung muss Diversität vor Kostenersparnis stellen.   
2. Neue Täterschaft: Die Radikalisierung linksextremistischer Gruppen wie der Vulkangruppe hat eine Qualität erreicht, die vor massiven Beeinträchtigungen der Zivilbevölkerung nicht mehr zurückschreckt. Die Einstufung als Terrorismus ist die logische rechtliche Konsequenz.   
3. Abhängigkeiten im Gesundheitswesen: Die Resilienz von Krankenhäusern und Arztpraxen ist unzureichend. Notstromkonzepte müssen den Ausfall der gesamten umgebenden Infrastruktur (Kommunikation, Logistik) stärker einbeziehen.   
4. Krisenkommunikation: Die Bevölkerung ist auf staatliche Informationen angewiesen. Der Ausfall des Mobilfunks muss durch robuste, stromunabhängige Kommunikationswege (Sirenen, Leuchttürme, Analogfunk) kompensiert werden.   

Empfehlungen für Politik und Wirtschaft

Der Staat muss die Resilienzstrategie als Daueraufgabe begreifen. Dies bedeutet eine verlässliche Finanzierung für den Bevölkerungsschutz und eine klare Priorisierung von Härtungsmaßnahmen. Die Netzbetreiber müssen verpflichtet werden, ihre Investitionen (in Berlin geplant: 2,9 Milliarden Euro bis 2030) gezielt in die Erhöhung der Redundanz und den Sabotageschutz zu lenken.   

Abschließend lässt sich festhalten, dass absolute Sicherheit in einer offenen Gesellschaft nicht möglich ist. Aber eine resiliente Gesellschaft zeichnet sich dadurch aus, dass sie Störungen antizipiert, ihre Folgen begrenzt und schnell zum Normalzustand zurückkehrt. Der Berliner Blackout 2026 liefert das notwendige Datenmaterial, um diese Widerstandsfähigkeit für die Zukunft auf ein neues Niveau zu heben. Die Umsetzung des KRITIS-Dachgesetzes und die Transformation des Stromnetzes sind hierbei keine technischen Randthemen, sondern Kernfragen der nationalen Sicherheit.

Die Stabilisierung der Versorgung im Südwesten Berlins durch provisorische Leitungen ist nur ein vorübergehender Erfolg. Die eigentliche Arbeit – der Umbau der Netze und die Anpassung der Sicherheitskonzepte an eine neue Bedrohungslage – hat gerade erst begonnen. Der Fall Lichterfelde wird in die Lehrbücher des Katastrophenmanagements eingehen, als das Ereignis, das die Verwundbarkeit der Moderne im 21. Jahrhundert definierte.   

Stellen Sie sich vor, Sie stellen einen Asylantrag, reichen Ihre Gehaltsnachweise ein oder korrespondieren vertraulich mit Ihrer Gemeindeverwaltung – und Monate später tauchen genau diese Daten auf einer gebrauchten Festplatte auf, die jeder auf eBay kaufen kann, oder liegen jahrelang ungesichert im Heizungskeller eines Wohnhauses herum. Ein Szenario wie aus einem Albtraum, das jedoch für die Bürger der bayerischen Gemeinde Kipfenberg Realität wurde.

Die aktuellen Fälle, bei denen ungelöschte Festplatten aus dem Rathaus in den freien Handel gelangten oder in unverschlossenen Kellern „vergessen“ wurden, sind weit mehr als bedauerliche Einzelfälle. Sie sind Symptome für ein tiefgreifendes, strukturelles Problem in der deutschen Verwaltungslandschaft. Während wir über Digitalisierung sprechen, scheitern viele Kommunen bereits an den analogen Grundlagen der IT-Sicherheit.

In diesem Artikel analysieren wir, warum gerade kleine Gemeinden mit dem Datenschutz in der Verwaltung überfordert sind, welche Rolle fehlendes Fachpersonal spielt und warum ein Kulturwandel unumgänglich ist. Zudem erfahren Sie, wie Sie selbst proaktiv werden können, um zumindest Ihre digitalen Spuren im Netz zu verwischen.

Der Fall Kipfenberg: Ein Weckruf für den Datenschutz

Wie das Magazin heise online berichtete, gelangten interne Festplatten der Gemeinde Kipfenberg über einen Umweg in den Verkauf auf eBay. Der Käufer, ein IT-Fachmann, traute seinen Augen kaum: Die Datenträger waren nicht etwa professionell bereinigt, sondern enthielten noch sensible Betriebssystemdaten, E-Mail-Archive und Dokumente.

„Ein IT-Dienstleister hatte die Hardware ausgemustert, aber offenbar nicht sicher gelöscht. So landeten die Datenträger samt sensibler Inhalte auf dem freien Markt.“ > (Vgl. heise.de: Wie Festplattenfunde Datenschutzprobleme in einer Gemeinde offenbaren)

Der zweite Skandal: Das Archiv im Heizungskeller

Doch der eBay-Verkauf war nur die Spitze des Eisbergs. Fast zeitgleich wurde ein weiterer, fast noch gravierenderer Vorfall bekannt: Im Heizungskeller eines gemeindeeigenen Wohnhauses lagerten kistenweise ungesicherte Datenträger. Ein Mieter entdeckte bereits 2023 rund 30 bis 40 Festplatten und Sicherungsbänder, die offenbar aus einer Rathaus-Sanierung stammten und dort zwischengelagert wurden.

Das Erschreckende: Trotz Meldung an den Bürgermeister wurden die Datenträger offenbar nicht fachgerecht gesichert oder entsorgt. Berichten zufolge tauchten sie 2025 erneut in einem unverschlossenen Kellerraum auf – zugänglich für jedermann. Brisant ist dabei der Inhalt: Die Bänder trugen Beschriftungen wie „EWO“ (Einwohnermeldeamt) und enthielten Ordnerstrukturen zu „Personalwesen“, „Standesamt“ sowie Protokolle nicht-öffentlicher Sitzungen über einen Zeitraum von mehr als 20 Jahren.

Das Brisante an diesen Vorfällen ist nicht nur das technische Versagen beim Löschen der Daten („wiping“) oder noch besser die Datenträger durch spezialisiert Entsorgungsunternehmen entsorgen lassen („schreddern“), sondern die Kette der Verantwortlichkeiten. Wenn eine Behörde Hardware ausmustert, bleibt sie bis zur vernichtenden Löschung für die Daten verantwortlich – eine Pflicht, die hier eklatant verletzt wurde.

Die Strukturkrise: IT-Sicherheit vs. Gemeindegröße

Um zu verstehen, warum solche Fehler passieren, müssen wir einen Blick auf die Struktur der deutschen Kommunen werfen. Datenschutz ist oft eine Frage der Ressourcen, und genau hier liegt das Problem.

Statistische Analyse: Deutschland, das Land der kleinen Gemeinden

Eine Analyse der Gemeindestrukturen in Deutschland (basierend auf Daten zum Gemeindeverzeichnis des Statistischen Bundesamtes Stand Ende 2024) zeichnet ein eindeutiges Bild:

• Gesamtzahl der Gemeinden: Deutschland hat über 10.700 Gemeinden.
• Gemeinden unter 20.000 Einwohner: Dies betrifft die überwältigende Mehrheit, nämlich über 93 % aller Kommunen in Deutschland.
• Gemeinden über 20.000 Einwohner: Nur ein kleiner Bruchteil (weniger als 7 %) erreicht eine Größe, die in der Regel eigene, professionelle IT-Abteilungen rechtfertigt.

Das bedeutet im Umkehrschluss: In über 90 % der deutschen Rathäuser wird IT-Sicherheit nicht von studierten Informatikern oder zertifizierten CISOs (Chief Information Security Officers) gemanagt, sondern „nebenbei“ erledigt.

Der „Zufalls-Admin“: Wenn Verwaltungskräfte IT machen

Kipfenberg selbst ist ein klassisches Beispiel. Mit 6.239 Einwohnern fällt die Gemeinde genau in das Raster jener Kommunen, die zu klein für eine eigene IT-Abteilung, aber komplexe Datenverarbeitung betreibt, wie alle Kommunen egal welche Größe Sie sind.

Ein Blick auf die Webseite der Gemeinde zeigt ca. 30 Mitarbeitende in der Kernverwaltung. Auffällig dabei: Für eine Gemeinde dieser Größe ist das eine ungewöhnlich hohe Personaldecke. In vergleichbaren Kommunen liegt der Schnitt eher bei 15 bis 20 Verwaltungsmitarbeitenden (ohne Außenbetriebe wie Bauhof oder Kita).

Trotz dieser Personalstärke fehlt oft eines: Gelerntes IT-Personal. In Gemeinden unter 20.000 Einwohnern wird die IT-Administration häufig einem Verwaltungsfachangestellten übertragen, der „eine Affinität zu Computern“ hat. Die Aufgaben werden on top zum Tagesgeschäft erledigt. Die Folgen sind fatal:

1. Fehlendes Fachwissen: Es fehlt an Kenntnissen über forensisch sicheres Löschen von Datenträgern, Netzwerksegmentierung oder Intrusion Detection.
2. Überlastung: Zwischen Bauanträgen und Passwesen bleibt keine Zeit für Sicherheitsupdates oder Log-Analysen.
3. Mangelnde Sensibilisierung: IT-Sicherheit wird als lästiges Hindernis gesehen, nicht als Kernaufgabe.

Der Faktor Mensch: Sicherheitskultur als Fremdwort

Das Problem ist jedoch nicht rein technischer Natur. Es ist ein kulturelles Versagen, das tief in den Strukturen des öffentlichen Dienstes verankert ist.

Der „Gläserne Bürger“ im Bürgerbüro

Jeder kennt die Situation: Sie sitzen im Bürgerbüro, ein großer Raum, mehrere Schreibtische. Während Sie Ihr Anliegen vortragen, können Sie problemlos mithören, warum der Herr am Nachbartisch eine Gewerbeuntersagung erhält. Schlimmer noch ist die physische IT-Sicherheit:

• Bildschirme sind oft so ausgerichtet, dass Wartende den Inhalt mitlesen können.
• Verlassen Mitarbeitende den Platz, wird der PC nicht gesperrt (Windows-Taste + L ist vielen unbekannt).
• Bürotüren stehen offen, während sensible Akten auf den Tischen liegen.

Datenschutzbelehrungen finden zwar statt, werden aber oft als bürokratische Pflichtübung wahrgenommen. Es fehlt das Verständnis, dass Datenschutz kein Formular ist, das man abheftet, sondern eine tägliche Praxis. Eine Ausrede die auch gerne genutzt wird ist, dass die Mitarbeitenden ja alle zur Verschwiegenheit verpflichtet sind.

Zitate und Expertenmeinungen zur Verwaltungskultur

Die Defizite in der digitalen Kompetenz und der Kultur der öffentlichen Verwaltung sind bekannt. In meinem Artikel „Wir brauchen einen Kulturwandel in der Verwaltung“ habe ich bereits darauf hingewiesen, dass Technik allein keine Probleme löst, wenn das Mindset fehlt:

„Es reicht nicht, analoge Prozesse einfach nur digital abzubilden. Wir müssen verstehen, dass Digitalisierung eine Änderung der Arbeitsweise erfordert.“ > (Vgl. Blog Grams-IT: Kulturwandel in der Verwaltung)

Auch die starre Haltung, Veränderungen abzuwehren, trägt zur Unsicherheit bei. Der Satz „Das haben wir schon immer so gemacht“ ist der größte Feind der IT-Sicherheit. Veraltete Prozesse werden beibehalten, weil man sie kennt – auch wenn sie unsicher sind.

„Der Digitalisierungskiller Nr. 1 ist die Weigerung, alte Zöpfe abzuschneiden. Fortschritt wird aktiv ausgebremst.“ > (Vgl. Blog Grams-IT: Der Digitalisierungskiller)

Eine tickende Zeitbombe

Die Kombination aus veralteter Technik, ungeschultem Personal und einer Kultur der Sorglosigkeit macht kleine Kommunen zum idealen Ziel für Cyberangriffe. Wir stehen hier an einem Scheideweg. Ohne massive Investitionen in Schulung und Professionalisierung (z.B. durch interkommunale Zusammenarbeit bei der IT) steuern wir auf den Kollaps der digitalen Daseinsvorsorge zu.

„Der öffentliche Dienst steht am Scheideweg. Es ist eine tickende Zeitbombe, wenn wir Personal und Sicherheit nicht endlich priorisieren.“ > (Vgl. Blog Grams-IT: Die tickende Zeitbombe)

Weitere Hintergründe zur schleppenden Digitalisierung finden Sie auch in meiner Analyse: Die öffentliche Verwaltung – ein Schlusslicht in der Digitalisierung.

Fazit: Es muss sich etwas ändern

Der Vorfall in Kipfenberg ist peinlich für die Gemeinde, aber er ist symptomatisch für ganz Deutschland. Solange wir in über 90 % der Kommunen Verwaltungsfachangestellte dazu zwingen, nebenbei IT-Admin zu spielen, werden wir solche Schlagzeilen immer wieder lesen.

Was muss passieren?

1. Professionalisierung: IT gehört in die Hände von Fachpersonal, notfalls durch Zusammenschluss mehrerer kleiner Gemeinden zu IT-Zweckverbänden.
2. Schulung: Datenschutzschulungen dürfen keine Alibi-Veranstaltungen sein.
3. Mentalitätswandel: IT-Sicherheit muss Chefsache werden und darf nicht als Kostenfaktor, sondern als Daseinsvorsorge begriffen werden.

Nachdem letzte Referentenentwurf vom 26.05.2025 war, ist nun eine neue Version an die Öffentlichkeit gelangt und wieder bei der AG KRITIS zur Verfügung gestellt worden.

Nach sorgfältiger Prüfung der Dokumente

• „20250526-RefE-NIS2.pdf“ (im Folgenden „Dokument 1“) und
• „20250602-RefE-NIS2.pdf“ (im Folgenden „Dokument 2“), wobei Dokument 2 die neuere Version darstellt, sowie der Formulierungshilfe
• „241202-FH-NIS2UmsuCG-mit-Aend.BT-Druck.pdf“ (im Folgenden „Dokument 3“) als Kontext für legislative Überarbeitungen, lassen sich mehrere wichtige Änderungen in Dokument 2 im Vergleich zu Dokument 1 feststellen.

Im Folgenden finden Sie eine detaillierte Auswertung der Änderungen, die im neueren Dokument 2 zu finden sind:

I. Allgemeine und Strukturelle Änderungen

• Änderung im Titel des Referentenentwurfs:
  • Dokument 1 trägt im Titel die Bezeichnung „Referentenentwurf des Bundesministeriums des Innern und für Heimat„.
  • Dokument 2 hingegen verwendet die Bezeichnung „Referentenentwurf des Bundesministeriums des Innern“.
  • Änderung: Der Zusatz „und für Heimat“ wurde aus dem Titel des Referentenentwurfs entfernt. Diese Anpassung ist auch konsistent in den Texten beider Dokumente zu finden, wo „Bundesministerium des Innern und für Heimat“ durch „Bundesministerium des Innern“ ersetzt wird, z.B. in Verordnungsermächtigungen und Berichtspflichten.
• Streichung eines gesamten Änderungsartikels und kaskadierende Neunummerierung:
  • Dokument 1 enthielt als Artikel 4 die „Änderung der Besonderen Gebührenverordnung des Bundesministeriums des Innern, für Bau und Heimat…“.
  • Dokument 2 enthält diesen spezifischen Artikel 4 nicht mehr in seiner Auflistung der Änderungsartikel. Stattdessen wird der ursprüngliche Artikel 5 in Dokument 1 zu Artikel 4 in Dokument 2.
  • Änderung: Dieser Artikel wurde vollständig aus dem Entwurf entfernt. Dies führt zu einer kaskadierenden Neunummerierung aller nachfolgenden Artikel im gesamten Gesetzestext von Dokument 2 im Vergleich zu Dokument 1 (z.B. wird Artikel 5 in Dokument 1 zu Artikel 4 in Dokument 2, Artikel 6 zu Artikel 5, und so weiter). Dokument 3 bestätigt die Aufhebung von Artikel 4 in der neueren Version.
• Umfassende Streichung von Schlussartikeln zur KRITIS-Umsetzung:
  • Dokument 1 listete am Ende der Änderungsartikel zusätzliche Bestimmungen wie „Artikel 30 Weitere Änderung des Telekommunikationsgesetzes“, „Artikel 31 Weitere Änderung der Außenwirtschaftsverordnung“ und „Artikel 32 Weitere Änderung des BSI-Gesetzes“ auf, gefolgt von „Artikel 33 Inkrafttreten, Außerkrafttreten“.
  • Dokument 2 streicht diese Artikel vollständig. Der Artikel „Inkrafttreten, Außerkrafttreten“ wird zum neuen und einzigen Artikel 30 am Ende des Gesetzes.
  • Änderung: Diese signifikante Änderung bedeutet, dass die Implementierung des KRITIS-Dachgesetzes und die damit verbundenen Anpassungen nicht mehr innerhalb dieses spezifischen Entwurfs des NIS-2-Umsetzungsgesetzes erfolgen. Die Begründung in Dokument 3 bestätigt, dass frühere Vorschriften zur Bestimmung von Betreibern kritischer Anlagen entfallen sind, da sie nun über Verweise in das KRITIS-Dachgesetz geregelt werden.

II. Spezifische Inhaltsänderungen

• Erweiterung der Anordnungsbefugnis in § 10 BSI-Gesetz (Artikel 1):
  • Obwohl § 10 „Anordnungen von Maßnahmen zur Abwendung oder Behebung von Sicherheitsvorfällen“ in den bereitgestellten Inhaltsübersichten der Dokumente 1 und 2 nicht explizit aufgeführt ist, deutet die Begründung in Dokument 3 auf seine Existenz und eine wesentliche Änderung hin.
  • Dokument 3 beschreibt eine Ausweitung der Anordnungsbefugnis des Bundesamtes auf Sicherheitsvorfälle allgemein, statt der Begrenzung auf „gegenwärtige“ Sicherheitsvorfälle in § 10 BSI-Gesetz. Diese Ausweitung entspricht den Vorgaben von Artikel 32 Absatz 4 Buchstabe b der NIS-2-Richtlinie.
  • Änderung: Die Befugnisse des Bundesamtes, Anordnungen zur Abwehr oder Behebung von Sicherheitsvorfällen zu erlassen, wurden in ihrer Reichweite deutlich vergrößert, von „gegenwärtigen“ auf „allgemeine“ Sicherheitsvorfälle.
• Erweiterung der IT-Sicherheitsanforderungen in § 44 Absatz 1 (BSI-Gesetz):
  • Dokument 1 forderte in § 44 Absatz 1, dass „Die Einrichtungen der Bundesverwaltung Mindestanforderungen… erfüllen. Die Mindestanforderungen ergeben sich aus den BSI-Standards und dem IT-Grundschutz Kompendium… sowie die jeweils geltenden Fassungen aus denr Mindeststandards für die Sicherheit in der Informationstechnik des Bundes…“. Zudem enthielt § 44 Absatz 2 eine spezifische Verpflichtung für „Das Bundeskanzleramt und die Bundesministerien“, die BSI-Standards und das IT-Grundschutz-Kompendium einzuhalten. Für Gerichte und Verfassungsorgane hatten die Vorschriften empfehlenden Charakter.
  • Dokument 2 strafft in § 44 Absatz 1 die Formulierung und legt fest, dass „Die Einrichtungen der Bundesverwaltung Mindestanforderungen… erfüllen. Die Mindestanforderungen ergeben sich aus den BSI-Standards und dem IT-Grundschutz Kompendium (IT-Grundschutz) sowie aus den Mindeststandards für die Sicherheit in der Informationstechnik des Bundes (Mindeststandards).“. Der Absatz 2, der spezifische Anforderungen für das Bundeskanzleramt und die Bundesministerien enthielt, ist in Dokument 2 nicht mehr vorhanden. Die Begründung in Dokument 2 stellt klar, dass der IT-Grundschutz nun für „die Einrichtungen der Bundesverwaltung mittelbar Gesetzesrang“ erhält, wohingegen in Dokument 1 dies noch auf „die Bundesministerien und das Bundeskanzleramt“ begrenzt war. Zudem wird der Satz, der Gerichten und Verfassungsorganen einen empfehlenden Charakter einräumte, in Dokument 2 gestrichen.
  • Änderung: Dies stellt eine wesentliche Ausweitung der verbindlichen IT-Sicherheitsvorgaben auf die gesamte Bundesverwaltung dar, nicht nur auf die höchsten Behörden. Die Mindeststandards und der IT-Grundschutz erhalten für alle Einrichtungen der Bundesverwaltung mittelbar Gesetzesrang. Auch die vorherige Ausnahmeregelung für Gerichte und Verfassungsorgane entfällt, was ihre Position bezüglich der Verbindlichkeit dieser Vorgaben ändert.
• Einführung eines neuen Absatzes zur Meldebestätigung und Unterstützung in § 168 Telekommunikationsgesetz (TKG) (Artikel 26):
  • Dokument 1 enthält detaillierte Regelungen zur Meldung von Sicherheitsvorfällen in § 168 Absatz 1 bis 3 TKG, einschließlich Fristen für Erst- und Abschlussmeldungen. Es fehlt jedoch eine explizite Regelung zur Bestätigung des Meldungseingangs oder zur Unterstützung durch das BSI.
  • Dokument 2 fügt einen neuen Absatz 5 in § 168 TKG ein: Dieser verpflichtet die Bundesnetzagentur, den Meldepflichtigen unverzüglich und nach Möglichkeit innerhalb von 24 Stunden nach der frühen Erstmeldung eine Bestätigung über den Eingang der Meldung zu übermitteln. Zudem kann das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf Ersuchen der Verpflichteten zusätzliche technische Unterstützung, Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen leisten.
  • Änderung: Diese Ergänzung stellt eine Verbesserung des Meldeverfahrens dar, indem sie die Bestätigung des Meldungseingangs standardisiert und die Möglichkeit der technischen Unterstützung durch das BSI bei der Bewältigung von Sicherheitsvorfällen formalisiert.
• Erweiterung der Bußgeldtatbestände in § 65 Absatz 2 (BSI-Gesetz):
  • Dokument 1 listet in § 65 Absatz 2 verschiedene Ordnungswidrigkeiten auf.
  • Dokument 2 erweitert und präzisiert mehrere Bußgeldtatbestände:
    • Erweiterung von Nummer 1: Die Liste der Verweise auf Vorschriften, deren Zuwiderhandlung eine Ordnungswidrigkeit darstellt, wird in Dokument 2 unter Nummer 1 erheblich ausgedehnt, um Verstöße gegen Anweisungen zur Umsetzung von Risikomanagementmaßnahmen oder Berichtspflichten gemäß NIS-2-Richtlinie zu ahnden.
    • Strukturelle Änderung bei der Meldung von Registrierungsdaten: Der eigenständige Bußgeldtatbestand aus Dokument 1, Nummer 8 („entgegen § 34 Absatz 2 das Bundesamt nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig unterrichtet“), wird in Dokument 2 entfernt. Die Pflicht zur Übermittlung von Änderungen der Registrierungsdaten gemäß § 34 Absatz 1 ist nun explizit in Nummer 6 enthalten, die bereits die Registrierungspflichten abdeckt. Dies ist eine Konsolidierung der Tatbestände.
    • Einführung eines neuen Tatbestands zur Zertifikatsnutzung: Dokument 2 führt die neue Nummer 14 in § 65 Absatz 2 ein. Diese sanktioniert die Verwendung von Zertifikaten, Erklärungen oder Kennzeichen entgegen den Vorschriften, z.B. widerrufenen Cybersicherheitszertifikaten oder ungültig erklärten EU-Konformitätserklärungen gemäß § 52 Absatz 2 Satz 4, § 53 Absatz 1 Satz 4, § 54 Absatz 6 Satz 2 oder § 55 Absatz 4 Satz 1 BSI-Gesetz. Die Begründung bestätigt, dass dies ein neuer Bußgeldtatbestand ist, der das Missbrauchspotenzial ahnden soll.
  • Änderung: Diese Erweiterungen der Bußgeldvorschriften zielen darauf ab, die Durchsetzung der neuen und präzisierten Cybersicherheitsanforderungen, Anweisungsbefugnisse und Meldepflichten sowie die korrekte Nutzung von Zertifizierungen zu stärken.

III. Änderungen, die im Vergleich zu späteren Entwürfen/Dokument 3 relevant wären, aber nicht zwischen Dokument 1 und 2 sichtbar sind (da Dokument 2 noch zu früh datiert ist)

Es ist wichtig zu betonen, dass die in Dokument 3 sichtbaren, teils weitreichenden Änderungen (z.B. im Detail von § 41 (Prüfung des Einsatzes kritischer Komponenten) oder der Vorrangigkeit des Atomgesetzes) nicht in Dokument 2 enthalten sind. Dokument 2 ist ein früherer Referentenentwurf als der „Entwurf“ im Vergleich von Dokument 3. Daher reflektiert Dokument 2 noch nicht alle späteren legislativen Anpassungen, die in Dokument 3 als „Beschlüsse des 4. Ausschusses“ dargestellt werden.

Zusammenfassend zeigen die Änderungen in Dokument 2 im Vergleich zu Dokument 1 eine Konsolidierung und Präzisierung der Zuständigkeiten und Pflichten, eine deutliche Ausweitung der IT-Sicherheitsvorgaben innerhalb der Bundesverwaltung und eine Verschärfung der Sanktionen bei Nichteinhaltung, während größere strukturelle Verschiebungen im Zusammenhang mit dem KRITIS-Dachgesetz aus diesem spezifischen Entwurf herausgenommen wurden.