G DATA: Cybersicherheit in Zahlen 2025/2026

Frau Seckelmann, wann waren Sie zuletzt online in einer Behörde?

Ich musste, wie viele in meiner Generation, kürzlich den Führerschein umschreiben lassen. Dafür brauchte ich einen Registerauszug von der Kommune, in der ich den Führerschein ursprünglich erworben hatte. Der wurde dann nach Hannover übertragen.

Und hat alles reibungslos geklappt?

 Ja, es hat gut funktioniert, auch recht schnell – wenn man sich denn erst mal eingearbeitet hat. Was meinen Sie mit einarbeiten? Wäre das auch für im Digitalen unerfahrene Menschen machbar gewesen? Ja, ich denke schon. Die Abläufe waren weitgehend selbsterklärend. Ich musste mich nur überwinden, das endlich zu erledigen.

Auf der Website des neuen Bundesministeriums für Digitales und Staatsmodernisierung (BMDS) wird uns allen große Hoffnung gemacht: „Alles soll digital möglich sein, einfach, papierlos und aus einer Hand.“ Sind die Voraussetzungen für diese schöne neue Welt denn gegeben?

Weitgehend ja. Das 2017 eingeführte und 2024 reformierte Onlinezugangsgesetz verpflichtet Bund, Länder und Kommunen zur Digitalisierung ihrer Verwaltungsvorgänge. Umgesetzt ist es aber bisher nur in Teilen. Der Wille ist da, doch das Projekt war schlicht zu groß, um es in der vorgesehenen Zeit zu realisieren.

Offenbar viel zu groß: Im ersten Onlinezugangsgesetz (OZG) von 2017 stand, dass bis spätestens Ende 2022 initial 575 Verwaltungsleistungen auch über digitale Portale angeboten werden müssen. Die Daten und Vorgänge sollten zudem in einem übergeordneten Verbund bundesweit online verknüpft werden. Bisher sind aber nur 115 komplett online. Und der Verbund existiert überhaupt nicht. Was funktioniert denn schon?

So einiges, das viele betrifft. Das Elterngeld zu beantragen, ist etwa eine Anwendung, die gut läuft. Das Projekt heißt ELFE und wurde ursprünglich in Bremen entwickelt. In Krankenhäusern mit Geburtenstationen können die Anträge oft sogar direkt von dort übermittelt werden. Auch beim Wohngeld gibt es durchaus Fortschritte.

Aber als der Staat während der Pandemie Hilfsgelder wie die Energiepreispauschale ausschütten wollte – unkompliziert und ohne Antrag – gingen ganze Bevölkerungsgruppen, etwa Studierende, zunächst leer aus, weil die Kontonummern der Berechtigten fehlten und auch niemand an sie rankam. Schafft das OZG hier Abhilfe?

Dafür ist ja die BundID gedacht, eine bundeseinheitliche geschützte Online-Identität, die Einwohner im Netz beantragen. Doch da wird es schon kompliziert: Um die volle Funktionalität der BundID zu erhalten, braucht man seine eID samt Ausweis-App, also die digitale Personalausweisfunktion mit der aktuellen Anwendung auf dem Smartphone. Es gibt aber auch schon leichtere Anwendungen mit Zwei-Faktor-Authentifizierung.

Wie viele Menschen nutzen die eID?

Die eID ist mittlerweile standardisiert aktiviert und damit eine sogenannte Opting-Out-Funktion. Man hat sie, es sei denn, man wählt sie ab. Früher war sie noch eine Opting-in-Funktion. Man musste sie also bewusst aktivieren – was aber selten geschah.

Dass sie automatisch aktiviert ist bei Vergabe, gilt aber nur für neu erstellte Personalausweise, nicht wahr?

Ja, aber man kann die eID auch nachträglich aktivieren lassen. Wie viele das tun, weiß ich allerdings nicht.

Die BundID, mit der man von BAföG über Arbeitslosengeld bis zu Fördermitteln mittlerweile einiges online beantragen oder melden kann, hatte laut BMDS im Mai 2025 nur 4,4 Millionen registrierte Nutzer in Deutschland. Was sagt das über den Stand der Digitalisierung in der deutschen Verwaltung?

 Rund 800.000 Nutzer kamen seit Anfang 2024 hinzu, es ist jedoch ein Auf und Ab. Ein durchschlagender Erfolg ist das nicht, es fehlt die Akzeptanz. Das Onlinezugangsgesetz war insofern ein Weckruf. Es hat erstmals eine Bestandsaufnahme ermöglicht, die zeigte, wie groß die Defizite sind. Der Schock war heilsam, denn inzwischen sieht man Fortschritte. Besonders in der Pandemie wurde viel investiert, vor allem vom Bund.

Aber es fehlen selbst in verfügbaren Verfahren noch die Durchlässigkeit sowie digitale Rückkopplungskanäle. Beispiel BAföG: Das können Studierende zwar seit 2022 online beantragen, aber die etwa 70.000 Neuanträge werden in den zuständigen Ämtern ausgedruckt und die Daten manuell ins jeweilige System eingegeben. Ist der bundesdeutsche Föderalismus ein Hindernis?

 Befürworter sehen im Föderalismus einen Wettbewerb um die besten Lösungen. Ich sehe es kritischer und plädiere für smarten Föderalismus: Es gibt einfach Aufgaben, die besser auf Bundesals auf Landesebene koordiniert werden sollten, etwa die Definition von Standards und die Sicherstellung der Interoperabilität von Software, Clouds und Systemen. Hier braucht es ganz klare Zuordnungen und Zuständigkeiten.

Welche Aufgaben meinen Sie konkret?

Ich meine zum Beispiel, die Moderation sämtlicher Standardisierungsprozesse und die Zusammenarbeit technischer Systeme sicherzustellen. Die Behörden der Kommunen und Städte nutzen momentan mehr als 400 verschiedene Softwarelösungen, dazu Tausende Rechenzentren und diverse Clouds. Das zu harmonisieren, kann nur der Bund leisten. Der IT-Planungsrat von Bund und Ländern spielt hier eine zentrale Rolle. Er wird unterstützt von der Föderalen IT-Kooperation (FITKO), einer vom Rat 2020 selbst eingerichteten Anstalt des öffentlichen Rechts. Sie soll die Digitalisierung der öffentlichen Verwaltung koordinieren und vorantreiben. Diese Strukturen sind jedoch, man ahnt es, komplex und könnten vereinfacht werden.

Der IT-Planungsrat, ein 17-köpfiges politisches Steuerungsgremium von Bund und Ländern auf Staatssekretärsebene, besteht seit 2009 und wurde inzwischen reformiert. Jedoch hat der Bund dabei offenbar nicht die von Ihnen geforderten Kompetenzen erhalten. Warum nicht?

Es geht um Zuständigkeiten, Einflusssphären und auch um Geld. Bayern etwa hat mit der BayernID ein eigenes funktionierendes System aufgesetzt und sieht für sich keinen Grund, warum der Bund ein neues entwickeln sollte, dem man sich anschließen müsste. Kleine oder ärmere Bundesländer wie Bremen oder Sachsen-Anhalt begrüßen hingegen eine zentrale Lösung, da sie weniger Ressourcen haben. Eine geplante Grundgesetzänderung soll dem Bund aber mehr Kompetenzen geben, um zentrale Aufgaben wie die Moderation technischer Standards zu übernehmen, so steht es im Koalitionsvertrag der Bundesregierung.

Was soll sich ändern?

Der Paragraf 91c Absatz 4, in dem seit 2009 steht: „Der Bund errichtet zur Verbindung der informationstechnischen Netze des Bundes und der Länder ein Verbindungsnetz“, Details seien in einem Bundesgesetz mit Zustimmung des Bundesrats zu regeln. Rechtssystematisch ist dieser Wortlaut unbefriedigend. Juristen und Gesetzgeber streiten seit jeher, wie die Passage auszulegen sei, denn die Gesetzgebungskompetenzen sind den Verwaltungskompetenzen nachgeordnet. Das bringt Verfassungsrechtler ziemlich ins Schwitzen und klärt keine Zuständigkeiten. Denn wir wissen einfach nicht, ob das Errichten eines Netzes auch einschließt, es zu betreiben.

Was soll stattdessen bald im Grundgesetz stehen?

 In Zukunft soll der Bund „digitale Verwaltungsverfahren und Standards regeln und IT-Systeme errichten, betreiben und zur Mitnutzung zur Verfügung stellen“ können. So steht es im Koalitionsvertrag der Bundesregierung. Wenn alle drei Faktoren ausdrücklich genannt werden, wäre das ein Fortschritt.

Weil das die Grundlage für die angestrebte Digitalisierung aller Verwaltungsvorgänge ist?

 Ja. Und die muss schnell her, denn ohne Änderung kann das angestrebte National-Once-Only-Technical-System (NOOTS) nicht vollständig aufgebaut werden. Wie der Name sagt, bedeutet es, dass Nutzer, egal ob privat, als Unternehmen oder als Institution, ihre Daten nur ein einziges Mal bei einer Behörde angeben müssen und die sie dann untereinander austauschen dürfen und können. Das soll wiederum transparent für den Nutzer geschehen. Und natürlich sicher und geschützt.

 Ist das denn überhaupt realistisch – bei den Hunderten von Systemen und Speicherorten, die die öffentlichen Verwaltungen im Moment nutzen?

Die deutsche Verwaltungscloud aufzubauen, ist da der Schritt in die richtige Richtung. Sie könnte die übergeordnete technologische Verbindung sein, um die Verständigung zwischen den Ebenen und den Datenfluss zwischen den Systemen zu ermöglichen. Aber die Cloud müssen alle wollen, weil auch alle sie finanzieren müssen.

Zudem erschwert das Vergaberecht die Einführung einheitlicher Lösungen, da der Staat keine Anbieter bevorzugen darf – genau hier setzt aber die Verwaltungscloud an.

Was ist genau die Verwaltungscloud?

Sie ist ein Produkt des IT-Planungsrats. Sie soll der Zusammenarbeit in der öffentlichen Verwaltung dienen, auf allen Ebenen. Man kann sie sich als digitalen Marktplatz für die Behörden von Bund, Ländern und Kommunen vorstellen, auf dem diese Cloud-Services von diversen IT-Dienstleistern der öffentlichen Verwaltung beziehen können. In Zukunft sollen dort alle Lösungen, die die Verwaltung in Deutschland benötigt, angeboten und verwaltet werden. Auf inländischen Servern. Mit der Cloud würde ein rechtlicher, organisatorischer und technischer Rahmen geschaffen, um IT-Dienstleistungen gemeinsam standardisiert zu entwickeln, zu betreiben und allen Behörden zur Nutzung zur Verfügung zu stellen. Sie soll die digitale Souveränität stärken und die Abhängigkeit von internationalen Anbietern verringern. Sie muss daher auch gut gesichert sein.

Sehr viele sehr gute Absichten. Was wird denn schon in die Tat umgesetzt?

Dataport zeigt, wie es gehen kann. Das ist der Informationsund Kommunikationsdienstleister der Verwaltung für die vier Bundesländer Hamburg, Schleswig-Holstein, Bremen und Sachsen-Anhalt sowie für die Steuerverwaltungen in Mecklenburg- Vorpommern und Niedersachsen. Das ist ein Fortschritt, auch wenn es weiterhin Kritiker gibt, die eigene Lösungen bevorzugen.

Steht dem erwähnten Once-Only-Prinzip, dem einmaligen Anmelden, nicht der Datenschutz entgegen?

Es kommt hier auf die konkrete Gestaltung an. Manche plädieren für verschiedene sektorspezifische Identifikationsnummern, andere – wie ich – halten die gefundene Lösung mit einer einheitlichen Identifikationsnummer für gerade noch datenschutzkonform. Einer meiner Doktoranden hat dazu gerade geforscht und zeigt in seiner Promotionsarbeit, dass es Wege gibt.

Die Ausgaben des Bundes für Digitalisierung haben sich zwischen 2019 und 2024 mehr als verdoppelt. Die SPDPolitikerin Verena Hubertz, seit Mai Bundesbauministerin, hat jedoch Anfang des Jahres beklagt, dass von den zuletzt 20 Milliarden Euro, die dabei allein für die Digitalisierung der Verwaltung ausgegeben werden, ein großer Teil auf Lizenzgebühren für ausländische IT-Dienstleister entfällt.

Das sind in der Regel US-amerikanische Hyperscaler wie Cisco, Oracle, Amazon, Google oder Microsoft. Das ist problematisch. Denn wir wissen nicht, inwiefern sensible Daten in den Rechenzentren oder Clouds der Daten-Konzerne vor einem Zugriff geschützt bleiben. Die Entwicklungen in den USA zeigen, wie schnell sich das politische Mindset und damit Rechtslagen ändern. Deshalb will Deutschland eigene Lösungen entwickeln, auf europäischer und nationaler Ebene. Mit Donald Trumps europafeindlicher Politik wird das noch dringlicher.

Funktioniert NOOTS in anderen EU-Ländern, von denen wir lernen könnten?

Vorbild für uns kann Österreich sein. Obwohl wie wir ein Bundesstaat, ist unser Nachbarland schon sehr viel weiter in der Digitalisierung, weil der Bund dort mehr Verwaltungsaufgaben übernimmt. Das erleichtert die Umsetzung. Dort werden übrigens sektorspezifische Identifikationsnummern benutzt, was man sich näher ansehen sollte. 

Bei uns gelingt es nach jahrelangem Anlauf nicht einmal, die elektronische Patientenakte störungsfrei einzuführen. Ihre Verschlüsselung ist sofort gehackt worden. 

Zum Glück vom Chaos Computer Club. Denn der will Sicherheitslücken aufdecken und nicht illegal mit erbeuteten Daten handeln. Kriminelle Cyberattacken, bei denen über Ransom- Software sensible Datensätze gehackt worden sind, etwa um Lösegeld zu erpressen, gab es aber in Australien und Dänemark. Und ausgerechnet in Estland, das oft als Vorbild genannt wird, wenn es um den digitalen Staat geht, waren kürzlich bestimmte Gesundheitsdaten betroffen. Solche Vorfälle erhöhen nicht eben die Akzeptanz der Bürgerinnen und Bürger. 

Reicht das deutsche Strafrecht denn aus, um Cyberkriminalität zu ahnden? 

Ja. Die Sicherheitsdebatte dreht sich eher darum, wie die NIS-2-Richtlinie eingehalten wird und ob und in welcher Form die Kommunen einbezogen werden sollen. 

Diese Richtlinie hat die EU-Mitgliedsstaaten verpflichtet, bis Oktober 2024 nationale Cybersicherheitsstrategien zu beschließen. Deutschland hat den Termin nicht eingehalten und muss noch handeln. Was bringt NIS-2?

Sie verpflichtet Bund, Länder und zu einem gewissen Grad auch die Kommunen zu IT-Sicherheitskonzepten, dem Einsatz geschulter Beauftragter und zu regelmäßigen Prüfungen der Systeme. Das kostet Geld und braucht qualifiziertes Personal, weshalb manche Bundesländer zögern, NIS-2 auszugestalten. Es muss ausgehandelt werden, ab welcher Größe Kommunen und etwa deren Stadtwerke als gefährdete kritische Infrastruktur einbezogen werden sollten. 

Besteht da ein Wissens- oder ein Kommunikationsproblem?

Beides. Kommunen fungieren zwar einerseits wie Start-ups für die digitale Verwaltung. Sie gehen voran und sind oft viel weiter als Bund und Länder. Dafür unterschätzen sie aber zu oft die Bedeutung der Cybersicherheit. In einem Vortrag habe ich das am Ruhrgebiet deutlich gemacht. Dort pumpen 200 Anlagen ununterbrochen Grubenwasser aus den 60.000 Stollen und Schächten ab, die beim Steinkohleabbau entstanden sind, und leiten es vorgereinigt in Flüsse. Ohne das würden die Gebiete um die stillgelegten Zechen zu riesigen Seenlandschaften werden und das Grundwasser zudem verunreinigt. Würden diese Pumpen angegriffen, könnten Teile des Ruhrgebiets absaufen. Das ist allerdings in Nordrhein-Westfalen immer noch viel zu wenigen Menschen bewusst.

Es gibt noch mehr Vorgaben aus Brüssel: Bis 2027 soll ein EU-Wallet entstehen, in dem Bürgerinnen und Bürger ihre Behördendienste bündeln können. Auch hier hinkt Deutschland jedoch bereits hinterher. Warum?

Deutschland strebt immer nach rechtssicheren, perfekten Lösungen, die alle Interessen berücksichtigen: Datenschutz, Föderalismus, Nachhaltigkeit. Das kann dauern, aber wenn es funktioniert, dann langfristig. 

Zur EUDI, die hinter dem für 2026 geplanten Wallet steht und die seit 2024 in Kraft ist, gibt es ein großes Versprechen von der EU-Kommission: „Die Verordnung über die europäische digitale Identität (EUDI) wird die digitale Identität in der EU revolutionieren, indem sie die Schaffung einer universellen, vertrauenswürdigen und sicheren europäischen Brieftasche für die digitale Identität ermöglicht.“ Bisher gab es damit eher Probleme, oder?

Die Pflicht, eine amtliche elektronische Identifizierung EU-weit anzuerkennen, besteht schon seit 2018. Jedoch lag es noch in der Entscheidungskompetenz der Mitgliedstaaten, ob sie selbst eine nationale ID einführen wollen.

Die oftmals rudimentäre Interoperabilität zwischen den Staaten wurde lediglich dadurch hergestellt, dass man einen technologischen Überbau aufgesetzt hat, der die verschiedenen nationalen Systeme miteinander verbinden sollte. Hört sich so problematisch an, wie es war.

Und es hat die Ausweitung der eIDAS – eine Verordnung, die den Rahmen für elektronische Identifizierung und Vertrauensdienste in der EU regelt – auch auf private digitale Dienste verhindert. Diese Verordnung gilt längst, theoretisch: Nutzer loggen sich ein, werden erkannt und können Dienstleistungen abrufen, ohne sich um Zuständigkeiten von Bund, Ländern oder Kommunen zu kümmern. Wird die eIDAS mit dem Wallet wahr gemacht? 

Das ist der Plan. Denn die Mitgliedstaaten sind jetzt verpflichtet, diese digitale Brieftasche anzubieten. In dem EU-Wallet, als Pendant zur deutschen BundID, sollen die Nutzer ihre nationalen digitalen Identitäten mit dem Nachweis anderer persönlicher Dokumente und Urkunden wie etwa Führerscheine, Geburtsurkunden, Diplome und Bankkonten, verknüpfen können. 

Schöne neue Welt. Ist sie papierlos? 

Zumindest in der Theorie, ja. --

Dieser Text stammt aus unserer Redaktion Corporate Publishing.