Bund plant 900 Millionen für eigenen Hackerschutz
Das Bundesinnenministerium übernahm ungeprüft die Wünsche der Ministerien für 1.276 neue IT-Sicherheitsstellen, gut 700.000 Euro je Stelle
Was ist passiert?
Ende 2022 verabschiedete die Europäische Union die NIS-2-Richtlinie. Sie soll in allen Mitgliedstaaten ein hohes gemeinsames Niveau der Cybersicherheit sichern. Deutschland hätte sie bis Oktober 2024 umsetzen müssen. Das gelang nicht, und die EU leitete ein Vertragsverletzungsverfahren ein. Im Juli 2025 beschloss das Bundeskabinett einen neuen Gesetzentwurf. Er soll rund 29.500 Unternehmen in die Pflicht nehmen und zugleich regeln, wie die Bundesverwaltung ihre eigene IT schützt.
Für die eigenen Behörden setzt die Bundesregierung in den Jahren 2026 bis 2029 Mehrausgaben von über 900 Mio. Euro an, vor allem für 1.276 zusätzliche Stellen. Teilt man die Gesamtsumme durch die Zahl der Stellen, entfallen rechnerisch gut 700.000 Euro auf jede neue Stelle. Die Zahlen beruhen auf Meldungen der einzelnen Ministerien, und diese fielen teils sehr unterschiedlich aus. Der Bundesrechnungshof bezweifelt, dass die Ressorts nur die wenigen neuen Aufgaben eingerechnet haben. Den IT-Grundschutz etwa müssen Bundesbehörden schon seit 2017 umsetzen. Ihn ins Gesetz zu schreiben, begründet keinen zusätzlichen Bedarf.
Das federführende Bundesinnenministerium (BMI) hat die Meldungen nicht abgeglichen. Wegen des Ressortprinzips habe es keine Hoheit über die Angaben der anderen Häuser, teilte es mit. Die Zweifel des Rechnungshofs teile es allerdings. Die Kritik des Rechnungshofs fügte das BMI der Kabinettvorlage nicht bei.
Bemerkenswert ist auch, was der Staat für das Geld von sich selbst verlangt. Unternehmen können schon ab 50 Beschäftigten unter die strengen Pflichten zum Risikomanagement fallen und müssen alle drei Jahre externe Prüfungen nachweisen. Nachgeordnete Behörden wie die Zollverwaltung mit mehreren Tausend Beschäftigten sind von diesen Pflichten ausgenommen. Bundesbehörden sollen erst nach fünf Jahren eine standardisierte Erklärung abgeben, danach ohne festen Turnus. Das Auswärtige Amt soll zudem eigene Strukturen neben dem Bundesamt für Sicherheit in der Informationstechnik aufbauen dürfen.
Kritik
Wer über 900 Mio. Euro in einen Gesetzentwurf schreibt, muss wissen, wofür das Geld gebraucht wird. Die Bedarfsmeldungen der Ministerien ungeprüft zu übernehmen und die Zweifel daran erst im Nachhinein zu teilen, ist kein sorgfältiger Umgang mit Steuergeld. Das Innenministerium hätte die Angaben vor dem Kabinettsbeschluss nach einem einheitlichen Maßstab abgleichen müssen. Dass die Bundesverwaltung mehr Personal erhalten und zugleich laxere Pflichten erfüllen soll als jeder mittelgroße Betrieb, passt nicht zusammen.
Entwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung, Bundesrechnungshof, 15. September 2025. Zahlen gegen das Dokument geprüft, gerechnete Werte nachgerechnet. Maßgeblich ist der Stand des Dokuments; spätere Beschlüsse sind nicht berücksichtigt.