Die Analyse zeigt erhebliche Cyberrisiken in der Bundesverwaltung. Rund 90 Prozent der aktiven IP-Adressen fehlen im BSI-Lagebild und kein Ministerium erfüllt die relevanten Vorgaben durchgängig. Besonders kritisch sind aber veraltete, ungepatchte Systeme.
Eine neue Studie des Nationalen Forschungszentrums für angewandte Cybersicherheit ATHENE hat die IT der 15 Bundesministerien und des Bundeskanzleramts von außen vermessen: so, wie sie aus dem Internet erreichbar ist. Erfasst wurde sie unabhängig davon, ob ein Dienst im eigenen Rechenzentrum, bei einem Dienstleister oder in der Cloud läuft. Erstellt wurde die Studie von einem Team unter Leitung von Prof. Dr. Haya Schulmann, Professorin für Cybersicherheit an der Goethe-Universität Frankfurt und Mitglied im ATHENE-Direktorium.
BSI-Lagebild unvollständig
Das offizielle Lagebild des BSI ist unvollständig. Die Studie ordnet der Bundesverwaltung rund 36.100 aktive IP-Adressen zu; der BSI-Lagebericht führt dagegen nur rund 3.800 im Monitoring. Knapp neun von zehn aktiven Adressen entgehen damit der amtlichen Erhebung.
Der Grund: Das BSI misst entlang der „Weißen Liste“, also der als staatseigen registrierten IP-Bereiche – ein Verfahren aus einer Zeit, in der der Staat seine IT selbst betrieb. Heute laufen über 60 Prozent der erfassten Adressen extern oder in der Cloud. In den nicht erfassten Bereichen fand die Studie mehr als 12.100 Sicherheitsbefunde.
Kein Ministerium erfüllt die Vorgaben durchgängig
Kein Ministerium erfüllt durchgängig die Vorgaben. 32,5 Prozent der Zertifikate sind fehlerhaft oder abgelaufen, 45 Prozent der Mail-Domänen schützen nicht wirksam vor gefälschten Absendern, Basisdienste wie SSH und FTP stehen offen im Netz. Ein zweiter Befund erklärt, warum das amtliche Verfahren so wenig sieht: Zwischen 30 und über 80 Prozent der Infrastruktur eines Ministeriums entfallen auf nachgeordnete Behörden mit eigenem Budget und eigenen Dienstleistern. In den Beispielen BMI, BMAS und BMF gehören 88 bis 93 Prozent der extern sichtbaren Hosts nicht dem Ministerium, sondern seinem Geschäftsbereich und dessen Dienstleistern.
Alte und bekannte Schwachstellen prägen die Angriffsfläche
Alte Lücken, nicht neue. Über alle Häuser summiert zählt die Studie 15.290 aktive CVE-Fundstellen mit einem Durchschnittsalter von 7,6 Jahren. Von den über 2.182 aktiven kritischen Schwachstellen (CVSS ≥ 9,0) stammen 1.050 aus den Jahren 2015 bis 2017. Für Angreifer sind lange bekannte Lücken besonders attraktiv, weil es dafür meist zuverlässig funktionierende Exploits gibt: Bis eine kritische Lücke geschlossen wird, vergehen im Schnitt zehn Jahre – eine neue Schwachstelle wird nach rund fünf Tagen erstmals ausgenutzt. PHP 5 läuft noch in elf Ministerien, obwohl der Hersteller-Support Ende 2018 endete.
CyberGovSecure setzt Leitplanken – doch konkrete Fristen, Budgets und Abschaltvorgaben fehlen.
Eine einheitliche Plattform löst das nicht. Die 16 Häuser folgen sieben grundverschiedenen Architekturen – eine Folge des Ressortprinzips und sehr unterschiedlicher Fachaufgaben von Diplomatie über Verteidigung bis Wettervorhersage. Je mehr Technologien ein Haus parallel betreibt, desto mehr Schwachstellen weist es auf – beides wächst allerdings auch mit der Größe des Hauses.
Das am 22. Juli beschlossene Programm CyberGovSecure benennt neun Handlungsfelder und richtet einen Lenkungskreis auf Staatssekretärsebene ein. Eine Frist mit Datum und eine Budgetzahl enthält der Programmtext nicht; Zielwerte sieht er vor, festgelegt werden sie aber erst später. Sicherheitsauflagen in Beschaffungs- und Betreiberverträgen und die Abschaltung von Altsystemen fehlen.
„Sicherheit entscheidet sich nicht an neuen Plattformen, sondern an Grundhygiene, an verbindlichen Vorgaben in Betreiberverträgen und an der Bereitschaft, Altsysteme tatsächlich abzuschalten“, sagt Schulmann. „Ohne ein vollständiges, extern validiertes Bild der Bundes-IT schreiben auch CyberGovSecure und der Deutschland-Stack genau die Lücken fort, die sie schließen sollen.“
Die Studie empfiehlt vier Schritte
- Ein extern validiertes Asset-Register über alle Top-Level-Domains, Betriebsmodelle und Geschäftsbereiche samt Dienstleistern
- Prüfbare Mindestanforderungen in jedem Beschaffungs- und Betreibervertrag
- Die Abschaltung von Altsystemen mit Datum und benannter Zuständigkeit und
- Neben der Selbstauskunft gemessene Kennzahlen
Zur Studie: Erhoben wurden IT Ressourcen, Sicherheitsmechanismen sowie öffentlich bekannte Schwachstellen der 15 Bundesministerien und des Bundeskanzleramts. Gemessen wurde der Ressortzuschnitt vor der Neuordnung vom 6. Mai 2025; die Datenerhebung erfolgte Ende 2025.
Fazit
Die Bundes-IT hat ein strukturelles Sicherheitsproblem: Das BSI-Lagebild erfasst große Teile der externen Angriffsfläche nicht, während alte, ungepatchte Schwachstellen über Jahre bestehen bleiben. Entscheidend sind daher nicht neue Plattformen, sondern vollständige Transparenz, verbindliche Sicherheitsvorgaben und die konsequente Abschaltung von Altsystemen.
Weitere Informationen
ATHENE
Studie „IT der Bundesministerien 2025 – Kernergebnisse und Handlungsempfehlungen“
ATHENE
Lagebilder zur IT-Sicherheit
DATENSICHERHEIT.DE, 16.05.2026
HarfangLab: Europas KMU laut Bundeslagebild Cyberkriminalität 2025 stärker gefährdet als je zuvor
DATENSICHERHEIT.DE, 14.05.2026
Bundeslagebild Cybercrime 2025: Deutlicher Anstieg bei DDoS-Angriffen
