Sensible Daten gefährdet Bundesbehörden verstoßen gegen Geheimschutzvorgaben

Anbieter zum Thema

cidaas by Widas ID GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Der Bundesrechnungshof wirft dem Bundesinnenministerium vor, vertraulicher Daten in Bundesbehörden nicht ausreichend zu schützen. Auch das Bundesamt für Sicherheit in der Informationstechnik kommt dem Bericht zufolge seinen Pflichten nicht nach.

Man benötige in Deutschland schnell in höchstmögliches Schutzniveau, erklärte Bundesinnenministerin Nancy Faeser noch im Sommer in Bezug auf ihre neue Cybersicherheitsagenda. Wie die Prüfer des Bundesrechnungshofes feststellten, nimmt man im Ministerium selbst den Schutz vertraulicher Dokumente jedoch nicht so ernst.

In den „Bemerkungen 2022“ spricht der Bundesrechnungshof von gravierenden Defiziten in der Informationssicherheit der Bundesbehörden. Viele Bundesbehörden hätten ihre Behördennetze nicht ausreichend abgesichert und nicht für sensible, geheimhaltungsbedürftige Daten freigegeben, so die Prüfer. „Gleichwohl sind sie an die ressortübergreifende Kommunikationsinfrastruktur‚Netze des Bundes’ angebunden, über die sie auch solche Daten austauschen.“ Die Prüfer und Prüferinnen des Bundesrechnungshof sehen dadurch „die Vertraulichkeit der Daten und die Sicherheit aller an den Netzen des Bundes teilnehmenden Bundesbehörden“ gefährdet. „80 Prozent der Bundesbehörden missachten wesentliche Pflichten, die sie erfüllen müssen, wenn sie die Netze des Bundes nutzen. Auch verstoßen sie gegen Vorgaben für die Verarbeitung von Verschlusssachen“, heißt es in dem Bericht.

Die Prüfer mahnen daher: „Solange die IT-Sicherheitsmängel in den Bundesbehörden nicht abgestellt sind, verbleiben erhebliche Risiken für den Schutz der Verschlusssachen: Das schwächste Glied in der Kette der an den Netzen des Bundes teilnehmenden Bundesbehörden bestimmt die Sicherheit im gesamten Kommunikationsverbund.“

Strengere Vorgaben für „Dienststellen mit besonderem Geheimschutzbedarf“

Dabei war es das Bundesinnenministerium selbst, das die Vorgaben für „Dienststellen mit besonderem Geheimschutzbedarf“ bereits 2018 novellierte. Diese Vorgaben gelten für insgesamt 18 Bundesbehörden, darunter acht aus dem Geschäftsbereich des BMI, da ihre Verschlusssachen „in besonderem Maße Ziel von Angriffen“ sind und regeln unter anderem wie Verschlusssachen elektronisch zu verarbeiten sind. Gleichzeitig ist vorgesehen, dass sich die betroffenen Behörden alle vier Jahre vom BSI „umfassend beraten und prüfen lassen“.

Dies ist jedoch anscheinend oftmals nicht geschehen: „Einige Bundesbehörden gaben an, dass sie infolge mangelnder Ressourcen beim BSI keine oder keine zeitnahe Geheimschutzberatung erhalten hätten", heißt es in dem Bericht. Entsprechend können diese Behörden auch nicht einschätzen, ob sie ausreichend geschützt sind.

Das bestätigt der BMI auch in der Stellungnahme. Dort heißt es, das BSI habe bei der Geheimschutzberatung und -kontrolle seine Belastungsgrenze überschritten. Beträchtliche Ressourcen seien für Geheimschutzaspekte in verschiedensten Projekten gebunden, daher habe das BSI bereits seit längerer Zeit nicht mehr alle Bundesbehörden beraten können. Jedoch sei von den „Dienststellen mit besonderem Geheimschutzbedarf“ auch lediglich eine einzige an das Bundesamt für Sicherheit in der Informationstechnik herangetreten.

Umsetzungsdefizite beim BMI und BSI

Gleichzeitig kündigte das BMI an, dass BSI künftig in die Lage zu versetzen, seinen gesetzlichen Aufgaben besser nachzukommen – etwa durch eine umfassende Aufgabenkritik und -priorisierung. Darüber hinaus sollen die Freigabeverfahren für Verschlusssachen-IT überprüft und angepasst werden.

Für die Prüfer und Prüferinnen des Bundesrechnungshofes ist daher klar: „Die Mängel bei der Absicherung und der Verschlusssachen-Freigabe der Behördennetze sind nicht Folge eines Erkenntnis-, sondern eines Umsetzungsdefizits. BMI und BSI hatten alle erforderlichen Informationen schon seit längerer Zeit. Sie traten den Verstößen der Bundesbehörden gegen die Geheimschutzvorgaben jedoch nicht wirksam entgegen.“ Und trotz der Ankündigungen des Bundesinnenministeriums bleiben sie der Auffassung, dass die Bundesbehörden ihre Informationssicherheit deutlich steigern müssen. „Nur so lassen sich die Verschlusssachen, die Behördennetze und die Netze des Bundes auch in Zeiten stetig zunehmender Bedrohungen wirksam schützen.“

Die gesamte Bemerkung zum Verstoß der Bundesbehörden gegen Geheimschutzvorgaben können Sie hier lesen:

(ID:48974275)