Digitaler Staat im Visier

Digitaler Staat im Visier: Warum der Cyberangriff auf die Berliner Verwaltung ein Weckruf für Regulierung, Risiko-Märkte und Führungskräfte ist.

Sicherheit ist in einer vernetzten Welt ein flüchtiger Zustand – und die Frage nach dem nächsten Sicherheitsvorfall längst keine Hypothese mehr. Hätte der Angriff auf die Berliner Verwaltung also verhindert werden können? Die Antwort lautet schlicht: Nein – klar und eindeutig.

In der modernen Cybersicherheit gilt die Prämisse: Not if, but when. Wer glaubt, eine komplexe IT-Infrastruktur dauerhaft zu 100 Prozent abschirmen zu können, erliegt einer gefährlichen Illusion. Selbst hochmoderne Abwehrsysteme stoßen an Grenzen, wenn menschliches Versagen, Phishing oder unbekannte Sicherheitslücken von Angreifern ausgenutzt werden. Die entscheidende Frage lautet daher nicht, ob ein Angriff gelingt, sondern wie widerstandsfähig ein System im Ernstfall reagiert und wie schnell die Kontrolle zurückgewonnen wird.

Genau an diesem Punkt offenbart der Vorfall in der Berliner Senatsverwaltung jedoch eine gravierende ordnungspolitische Schieflage: Während die Privatwirtschaft – von der Bank bis zum Mittelständler – im Rahmen des NIS-2-Umsetzungsgesetzes zu Recht unter strenge Nachweis- und Haftungspflichten gestellt wird, hat der Bund sich und die Landesverwaltungen weitgehend aus diesen Vorgaben ausgenommen. Der Bund hätte die Länder nicht einfach per Bundesgesetz direkt verpflichten und durch das BSI durchregieren können, da dies gegen die föderale Kompetenzordnung verstoßen hätte. Die Bundesregierung hätte jedoch im Vorfeld oder begleitend über den Bundesrat einen wesentlich stärkeren verfassungspolitischen Druck aufbauen oder Musterregelungen für Staatsverträge bzw. Landesgesetze forcieren können, um die von Kritikern monierte „Zweiklassengesellschaft“ zwischen Bundes- und Landesbehörden zu verhindern.

Diese gesetzliche Sonderrolle ist ein hochgefährliches Signal. Wenn in Behördenakten sensible Risikoanalysen kritischer Infrastrukturen, Personaldaten oder strategische Planungen liegen, unterscheidet sich das Bedrohungsszenario einer öffentlichen Verwaltung in keiner Weise von dem eines Großkonzerns. Ein digitaler Staat darf im Bereich IT-Sicherheit keine Zweiklassengesellschaft schaffen. Er muss sich mit der gleichen Konsequenz schützen, die er von der Wirtschaft einfordert. Cyberangriffe auf die Verwaltung sind längst keine bloßen Kriminalfälle mehr – sie sind Instrumente hybrider Bedrohungen, die darauf abzielen, das Vertrauen in staatliche Institutionen zu untergraben und gesellschaftliche wie wirtschaftliche Abläufe zu stören.

Für den Finanz- und Versicherungssektor hat diese Schutzlücke direkte Konsequenzen:

• Mittelbare Lieferketten- und Reputationsrisiken: Datenabflüsse in staatlichen Stellen betreffen unmittelbar Schnittstellen zur Wirtschaft. Vertrauliche Unternehmensdaten, Verträge oder Ausschreibungen im Darknet erzeugen Sekundärrisiken, die Versicherer und Finanzdienstleister in ihren Risikomodellen neu bewerten müssen.
• Druck auf den Cyber-Versicherungsmarkt: Wenn die öffentliche Hand bei der verbindlichen Prävention hinterherhinkt, steigt das Gesamtrisiko im digitalen Ökosystem. Für Unternehmen wird Risikotransfer über Cyber-Versicherungen damit teurer und anspruchsvoller in der Deckung.

Diese Risiken müssen dort adressiert werden, wo sie entstehen – an der Spitze der Verwaltung. Was bedeutet das nun konkret für die Praxis?

• Schließung der Kluft zwischen Staat und Wirtschaft: Politische Entscheider und Führungskräfte in den Verwaltungen müssen genauso in die Verantwortung genommen werden wie Vorstände und Geschäftsführer der Privatwirtschaft.
• Einführung verpflichtender Schulungen: Es braucht gesetzlich verankerte Schulungen zur Risikokompetenz für die Leitungs- und Führungsebene – analog zur gesetzlichen Schulungspflicht für Leitungen nach § 38 BSIG.
• Verankerung der IT-Sicherheit als Chefsache: Abgeordnete, Staatssekretäre und Behördenleiter müssen IT-Risiken als Chefsache verstehen lernen.
• Systematische Vermittlung von Pflichten: Die Abwägungs- und Überwachungspflichten im Bereich der Cybersicherheit müssen für die Führungskräfte im staatlichen Sektor systematisch geschult werden, um den digitalen Staat dauerhaft gegen hybride Bedrohungen widerstandsfähig zu machen.

Ein Staat, der von seinen Unternehmen Resilienz verlangt, muss sie selbst vorleben können. Denn sonst verspielt er Vertrauen und genau das wollen Angreifer zerstören. Cybersicherheit ist am Ende kein rein technisches Problem, sondern der ultimative Härtetest für staatliche Handlungsfähigkeit im 21. Jahrhundert.

Autor: Peter Vahrenhorst, Kriminalhauptkommissar a. D., Experte bei der Deutschen Akademie für Informationssicherheit (DAFI)