Cybersicherheit im Öffentlichen Sektor – Was kommt auf uns zu?

Das Jahr 2025 ist kaum einen Monat alt und doch schon in vollem Gange. Gerade politisch herrscht große Unruhe: Die Amtseinführung von Donald Trump als US-Präsident sorgt weltweit für Verunsicherung und in Deutschland geht ein Bundestagswahlkampf in die heiße Phase, der schon jetzt an bisherigen Gewissheiten rüttelt.

Gleichzeitig tobt der russische Angriffskrieg auf die Ukraine unvermindert weiter. Diese unsichere Lage wird sich auch auf den Cyberraum auswirken. Womit ist in diesem Jahr zu rechnen?

Leider werden der Öffentliche Sektor und Kritische Infrastrukturen auch weiterhin im Fokus von Cyberangriffen stehen. Und wir sind darauf noch immer nicht ausreichend vorbereitet: Die Verabschiedung des NIS2-Umsetzungs- und des KRITIS-Dachgesetzes wird in dieser Legislaturperiode nicht mehr erfolgen. Die Verhandlungen zur nationalen Umsetzung der beiden EU-Richtlinien sind gescheitert, sodass die Umsetzungsgesetze voraussichtlich erst nach der Bundestagswahl wieder auf die Tagesordnung kommen. Und auch dann wird es dauern: Es gilt das Diskontinuitätsprinzip – alles muss neu verhandelt werden!

Die Wahl ist sicher – was ist mit dem Land?

Stichwort Bundestagswahl: Der Wahlkampf ist das medial alles beherrschende Thema dieser Tage. Und das politische Klima ist aufgeheizt wie lange nicht. In Zeiten, in denen massenhaft Wahlplakate zerstört und Politiker auf offener Straße angepöbelt werden stellt sich vielen BürgerInnen die Frage, wie gut der Wahlprozess vor Cyberangriffen geschützt ist. Es gibt eine gute und eine schlechte Nachricht. Die Gute: Die Wahl selbst ist höchstwahrscheinlich sicher. Die Schlechte: Alles andere eher nicht.

Wie das BSI erläutert, ist mit einer direkten Einflussnahme auf das Wahlergebnis nicht zu rechnen. Zwar wird das vorläufige Wahlergebnis mit IT-Unterstützung ermittelt bzw. übermittelt. Dabei kann es durchaus zu Störungen oder Unterbrechungen in Folge von Cyberangriffen kommen. Für die Zusammensetzung des Parlaments entscheidend ist aber letztlich nur das amtliche Endergebnis. Dieses wird rein auf Basis physischer Dokumente ermittelt, die zudem zur Gewährleistung der Nachprüfbarkeit aufbewahrt werden müssen. Eine digitale Manipulation ist also ausgeschlossen – ein Hoch auf unsere analogen Prozesse!

Unsicherheit und Zweifel

Wesentlich beunruhigender ist die Sicherheitslage im Bereich der Meinungsbildung: Correctiv hat gerade eine große Zahl gefälschter Nachrichtenseiten entdeckt, die wohl für eine Neuauflage der russischen „Doppelgänger“-Desinformationskampagne vorbereitet wurden. Nicht nur dort kommen immer häufiger KI-generierte Inhalte wie Deepfakes zum Einsatz, mit denen sich solche Kampagnen gleichzeitig glaubwürdiger gestalten als auch einfacher skalieren lassen. Ein weiterer Baustein in diesen Kampagnen können vollständig gefälschte, teilweise gefälschte, oder auch authentische Informationen sein, die zuvor im Zuge von „Hack & Leak“-Operationen bei Cyberangriffen gestohlen wurden. Nach SPD und Grünen war zuletzt die Union Opfer eines solchen Angriffs.

Ob die veröffentlichen Inhalte manipuliert sind oder nicht, ist für die Wirkung dieser Kampagnen fast schon egal. Es reicht, dass sie echt sein könnten. Denn vor allem geht es um die Verbreitung von Unsicherheit und Zweifel – die Erosion des Vertrauens der BürgerInnen in die Integrität der Politik und die Leistungsfähigkeit des Staates.

Mit dieser Wirkung stehen sie in einer Reihe mit vielen anderen mutmaßlichen Attacken auf staatliche Einrichtungen und öffentliche Infrastruktur, sowohl physisch als auch digital. Dazu zählen etwa die jüngsten Sabotageakte gegen Pipelines und Datenkabel in der Ostsee, Brandsätze in DHL-Paketen auf den Flughäfen Leipzig und Birmingham, aber auch massenhafte Ransomware-Angriffe russischer Cyberkrimineller auf staatliche Stellen, Krankenhäuser und andere kritische Infrastrukturen hierzulande, die von den dortigen Sicherheitsbehörden zumindest toleriert werden. Das Ziel ist letztlich immer dasselbe: Unsicherheit und Zweifel säen.

Maßnahmen ergreifen

Was also ist zu tun? Der erste Schritt ist, die Lage anzuerkennen: Der öffentliche Sektor ist Angriffsziel Nummer eins. Dennoch wird die IT-Sicherheit dort häufig noch immer als nachrangiger Gedanke behandelt – als Alarmanlage, die anspringt, wenn etwas passiert. Doch können so keine Schäden verhindert werden. Vielmehr müssen wir eine echte Kultur der Widerstandsfähigkeit entwickeln und in konkrete Maßnahmen umsetzen. Die BSI-Präsidentin hat das in ihrer Vision der “Cybernation” umfassend dargelegt.

Neben technischen Schutzmaßnahmen zählt dazu auch eine umfassende Aufklärung der Bevölkerung – in allen Altersgruppen, Lebenssituationen und Milieus. Zwar sind digitale Medien und Geräte allgegenwärtig, die Medienkompetenz und digitalen Fähigkeiten der Bevölkerung sind jedoch häufig erschreckend wenig ausgeprägt – und nehmen weiter ab. Gleichzeitig werden Cyberangriffe immer vielfältiger und raffinierter, was sich durch generative KI noch massiv beschleunigen wird. Hier müssen wir ansetzen, um die Resilienz der gesamten Gesellschaft zu erhöhen.

Letzendlich geht es im öffentlichen Sektor immer um das Vertrauen der BürgerInnen in den Staat und seine Leistungsfähigkeit. Dieses Vertrauen und eine gelingende – und vor allem cybersichere – digitale Verwaltungstransformation bedingen sich gegenseitig. Das eine ist ohne das andere nicht möglich. Die große Aufgabe für die nächsten Jahre wird sein, den Weg zu einem digitalen Staat konsequent zu beschreiten.

Gehen wir es also an – beschreiten wir gemeinsam den Weg zur digitalisierten, technologiekompetenten und vor allem sicheren Cybernation!