idw – Informationsdienst Wissenschaft
Nachrichten, Termine, Experten
Nachrichten, Termine, Experten
idw - Informationsdienst
Wissenschaft
Externe Messung aller Bundesministerien und des Kanzleramts: Kein Ministerium erfüllt durchgängig die einschlägigen Vorgaben des BSI. Das Hauptproblem sind alte ungepatchte Schwachstellen.
31. August 2026. Eine neue Studie des Nationalen Forschungszentrums für angewandte Cybersicherheit ATHENE hat die IT der 15 Bundesministerien und des Bundeskanzleramts von außen vermessen: so, wie sie aus dem Internet erreichbar ist. Erfasst wurde sie unabhängig davon, ob ein Dienst im eigenen Rechenzentrum, bei einem Dienstleister oder in der Cloud läuft. Erstellt wurde die Studie von einem Team unter Leitung von Prof. Dr. Haya Schulmann, Professorin für Cybersicherheit an der Goethe-Universität Frankfurt und Mitglied im ATHENE-Direktorium.
Das offizielle Lagebild des BSI ist unvollständig. Die Studie ordnet der Bundesverwaltung rund 36.100 aktive IP-Adressen zu; der BSI-Lagebericht führt dagegen nur rund 3.800 im Monitoring. Knapp neun von zehn aktiven Adressen entgehen damit der amtlichen Erhebung. Der Grund: Das BSI misst entlang der „Weißen Liste“, also der als staatseigen registrierten IP-Bereiche – ein Verfahren aus einer Zeit, in der der Staat seine IT selbst betrieb. Heute laufen über 60 Prozent der erfassten Adressen extern oder in der Cloud. In den nicht erfassten Bereichen fand die Studie mehr als 12.100 Sicherheitsbefunde.
Kein Ministerium erfüllt durchgängig die Vorgaben. 32,5 Prozent der Zertifikate sind fehlerhaft oder abgelaufen, 45 Prozent der Mail-Domänen schützen nicht wirksam vor gefälschten Absendern, Basisdienste wie SSH und FTP stehen offen im Netz. Ein zweiter Befund erklärt, warum das amtliche Verfahren so wenig sieht: Zwischen 30 und über 80 Prozent der Infrastruktur eines Ministeriums entfallen auf nachgeordnete Behörden mit eigenem Budget und eigenen Dienstleistern. In den Beispielen BMI, BMAS und BMF gehören 88 bis 93 Prozent der extern sichtbaren Hosts nicht dem Ministerium, sondern seinem Geschäftsbereich und dessen Dienstleistern.
Alte Lücken, nicht neue. Über alle Häuser summiert zählt die Studie 15.290 aktive CVE-Fundstellen mit einem Durchschnittsalter von 7,6 Jahren. Von den über 2.182 aktiven kritischen Schwachstellen (CVSS ≥ 9,0) stammen 1.050 aus den Jahren 2015 bis 2017. Für Angreifer sind lange bekannte Lücken besonders attraktiv, weil es dafür meist zuverlässig funktionierende Exploits gibt: Bis eine kritische Lücke geschlossen wird, vergehen im Schnitt zehn Jahre – eine neue Schwachstelle wird nach rund fünf Tagen erstmals ausgenutzt. PHP 5 läuft noch in elf Ministerien, obwohl der Hersteller-Support Ende 2018 endete.
Eine einheitliche Plattform löst das nicht. Die 16 Häuser folgen sieben grundverschiedenen Architekturen – eine Folge des Ressortprinzips und sehr unterschiedlicher Fachaufgaben von Diplomatie über Verteidigung bis Wettervorhersage. Je mehr Technologien ein Haus parallel betreibt, desto mehr Schwachstellen weist es auf – beides wächst allerdings auch mit der Größe des Hauses. Das am 22. Juli beschlossene Programm CyberGovSecure benennt neun Handlungsfelder und richtet einen Lenkungskreis auf Staatssekretärsebene ein. Eine Frist mit Datum und eine Budgetzahl enthält der Programmtext nicht; Zielwerte sieht er vor, festgelegt werden sie aber erst später. Sicherheitsauflagen in Beschaffungs- und Betreiberverträgen und die Abschaltung von Altsystemen fehlen.
"Sicherheit entscheidet sich nicht an neuen Plattformen, sondern an Grundhygiene, an verbindlichen Vorgaben in Betreiberverträgen und an der Bereitschaft, Altsysteme tatsächlich abzuschalten", sagt Schulmann. "Ohne ein vollständiges, extern validiertes Bild der Bundes-IT schreiben auch CyberGovSecure und der Deutschland-Stack genau die Lücken fort, die sie schließen sollen."
Die Studie empfiehlt vier Schritte: ein extern validiertes Asset-Register über alle Top-Level-Domains, Betriebsmodelle und Geschäftsbereiche samt Dienstleistern; prüfbare Mindestanforderungen in jedem Beschaffungs- und Betreibervertrag; die Abschaltung von Altsystemen mit Datum und benannter Zuständigkeit; und neben der Selbstauskunft gemessene Kennzahlen.
Zur Studie. Erhoben wurden IT Ressourcen, Sicherheitsmechanismen sowie öffentlich bekannte Schwachstellen der 15 Bundesministerien und des Bundeskanzleramts. Gemessen wurde der Ressortzuschnitt vor der Neuordnung vom 6. Mai 2025; die Datenerhebung erfolgte Ende 2025. Die Studie „IT der Bundesministerien 2025 – Kernergebnisse und Handlungsempfehlungen“ steht kostenlos zum Download bereit: https://www.athene-center.de/aktuelles/news/studie-die-externe-angriffsflaeche-d...
Sie ist Teil einer Reihe von ATHENE-Lagebildern zur externen Angriffsfläche der öffentlichen IT; die Untersuchungen der 16 Bundesländer (Januar 2026) und der 92 Universitäten der Hochschulrektorenkonferenz (Dezember 2025) stehen dort ebenfalls bereit: https://www.athene-center.de/think-tank/lagebilder
Über ATHENE
Das Nationale Forschungszentrum für angewandte Cybersicherheit ATHENE ist das größte Forschungszentrum für Cybersicherheit in Europa. ATHENE ist ein Forschungszentrum der Fraunhofer-Gesellschaft unter Mitwirkung der Fraunhofer-Institute SIT und IGD sowie der TU Darmstadt, der Goethe-Universität Frankfurt und der Hochschule Darmstadt. Das Zentrum hat seinen Hauptsitz in der Wissenschaftsstadt Darmstadt und wird gefördert vom Bundesministerium für Forschung, Technologie und Raumfahrt (BMFTR) und vom Hessischen Ministerium für Wissenschaft und Forschung, Kunst und Kultur (HMWK).
Mehr über ATHENE unter www.athene-center.de
Prof. Dr. Haya Schulmann
ATHENE Lagebild-Bericht zur IT der Bundesministerien
Copyright: Fraunhofer SIT
Criteria of this press release:
Journalists
Information technology
transregional, national
Scientific Publications, Transfer of Science or Research
German
You can combine search terms with and, or and/or not, e.g. Philo not logy.
You can use brackets to separate combinations from each other, e.g. (Philo not logy) or (Psycho and logy).
Coherent groups of words will be located as complete phrases if you put them into quotation marks, e.g. “Federal Republic of Germany”.
You can also use the advanced search without entering search terms. It will then follow the criteria you have selected (e.g. country or subject area).
If you have not selected any criteria in a given category, the entire category will be searched (e.g. all subject areas or all countries).
