Eine aktuelle ATHENE-Studie hat die IT der Bundesministerien von außen vermessen. Das dabei entstandene Lagebild unterscheidet sich deutlich von dem des Bundesamts für Sicherheit in der Informationstechnik (BSI). Ein erheblicher Teil der Angriffsfläche liegt außerhalb des staatlichen Kernnetzes – in extern betriebenen Systemen sowie bei nachgeordneten Behörden und Dienstleistern. Statt einer einheitlichen Bundes-IT zeigt die Studie 16 sehr unterschiedliche IT-Realitäten.

Das Hauptproblem sind dabei nicht neuartige Zero-Day-Schwachstellen, sondern alte, ungepatchte Sicherheitslücken und längst bekannte Probleme.

Die Studie zeigt auch, warum das Lagebild des BSI einen großen Teil dieser Angriffsfläche nicht erfasst: Es basiert auf dem staatseigenen Adressraum und .de-Domänen – ein Ansatz aus der On-Premise-Ära, der die in den vergangenen zwei Jahrzehnten zunehmend ausgelagerte und Cloud-gehostete IT nur unzureichend abbildet. Wer seine Sicherheitsmaßnahmen auf ein unvollständiges Lagebild stützt, läuft Gefahr, am größten und zugleich am schlechtesten kontrollierten Teil der Angriffsfläche vorbeizusteuern.

Auf dieser Grundlage ordnet die Studie auch aktuelle politische Strategien ein. Das am 22. Juli 2026 beschlossene Programm „CyberGovSecure“ ist demnach ein wichtiger Schritt. Allerdings fehlen verbindliche Fristen, messbare Ziele und ein Budget. Zudem berücksichtigt das zugrunde liegende Asset-Verständnis die externe Angriffsfläche nicht ausreichend. Auch der Deutschland-Stack setzt auf Wiederverwendung und neue Plattformen, ohne zugleich die verbindliche Abschaltung von Altsystemen und die fachlich begründete Heterogenität der Ressorts ausreichend zu berücksichtigen.

Die zentrale Botschaft der Studie: Die Sicherheit der Bundes-IT entscheidet sich nicht allein an neuen Plattformen, sondern vor allem an konsequenter Grundhygiene, verbindlichen Sicherheitsvorgaben in Betreiberverträgen und der Bereitschaft, veraltete Systeme abzuschalten.

Zum Lagebild-Bericht Cybersicherheit der Bundesministerien