Die Klatsche vom Bundesrechnungshof: Warum der Staat bei der Cybersicherheit hinterherhinkt
Der Bundesrechnungshof stellt der Informationssicherheit vieler Bundesbehörden ein vernichtendes Zeugnis aus. Das ist mehr als ein Behördenproblem — es ist eine Warnung für jede Organisation, die IT-Sicherheit als Nebensache behandelt.
Über Jahre prüfte der Bundesrechnungshof die Informationssicherheit in zahlreichen Bundesbehörden — und stellte wiederholt teils gravierende technische und organisatorische Mängel fest, dazu eine unzureichende Personalausstattung. Als nachgefragt wurde, ob die Mängel behoben seien, hatte ein erheblicher Teil der Behörden nicht einmal die gravierendsten beseitigt. Rund drei Viertel begründeten das mit fehlendem IT-Personal.
Fehlendes Personal ist ein Symptom, nicht die Ursache
Der Fachkräftemangel ist real. Aber er verdeckt ein tieferes Problem: Cybersicherheit wird zu oft als Kostenstelle behandelt, nicht als Kernaufgabe. Wenn Sicherheit nur „mitläuft“, fehlt am Ende genau das Personal, das man für sie eingeplant hätte — im Staat wie im Unternehmen.
Was Unternehmen mitnehmen sollten
Die öffentliche Hand ist kein Sonderfall. Dieselben Muster finden sich im Mittelstand: dokumentierte Sicherheitskonzepte, die niemand umsetzt; Verantwortlichkeiten, die niemand wahrnimmt; Prüfberichte, die in der Schublade verschwinden. Drei Lehren:
- Sicherheit braucht ein Mandat: klare Verantwortung auf Leitungsebene, nicht „nebenbei“ in der IT.
- Umsetzung schlägt Papier: Ein gelebtes Basis-Sicherheitsniveau ist mehr wert als das perfekte, ungenutzte Konzept.
- Ressourcen realistisch planen: Wer Sicherheit will, muss Menschen und Budget dafür vorsehen — dauerhaft.
Die gute Nachricht: Man muss nicht alles auf einmal lösen. Aber man muss anfangen — bevor der eigene „Prüfbericht“ ein Angreifer schreibt.