Wenn der Staat offline geht: Berlin zeigt, warum deutschland eine Cybernation werden muss
Hackerangriff auf Berliner Senatsverwaltungen legt zentrale Schwachstellen offen – Wirtschaftsrat der CDU fordert verbindliche Sicherheitsstandards, klare Verantwortlichkeiten und ein föderales Krisenmanagement
Berlin erlebt derzeit einen Vorgeschmack auf das, was in einer vollständig digitalisierten Verwaltung zur staatspolitischen Krise werden kann: Ein Cyberangriff trifft Teile des Berliner Landesnetzes, zwei Senatsverwaltungen werden vorsorglich vom Netz genommen, ein Krisenstab wird eingerichtet. Mitarbeitende berichten von fehlendem Internet und fehlender Mailkommunikation nach außen. Nach aktuellen Medienberichten sind auch Daten abgeflossen. Das genaue Ausmaß des Angriffs ist noch Gegenstand der Ermittlungen.
Was auf den ersten Blick wie ein weiterer Cybervorfall aussieht, reicht deshalb weit über die Berliner Landesverwaltung hinaus. Denn wenn eine digitale Verwaltung nicht mehr kommunizieren, arbeiten oder auf zentrale Systeme zugreifen kann, ist Cybersicherheit längst keine reine IT-Frage mehr. Sie wird zur Frage staatlicher Handlungsfähigkeit.
Genau vor diesem Szenario warnt die Bundesfachkommission Cybersicherheit des Wirtschaftsrates der CDU.
In ihrer umfassenden Strategie „Wir bauen die Cybernation – Eine Strategie für eine sichere, souveräne und prosperierende Zukunft“ beschreibt die Bundesfachkommission Cybersicherheit gemeinsam mit Experten aus Wirtschaft, Wissenschaft und Sicherheitsbereich ein grundlegendes Problem: Deutschlands Cyberarchitektur ist zu fragmentiert, Verantwortlichkeiten sind nicht überall eindeutig und Sicherheitsstandards unterscheiden sich zwischen staatlichen Ebenen. Die Strategie fordert deshalb einen grundlegenden Perspektivwechsel – weg von der reinen Schadensbegrenzung, hin zu einer resilienten, handlungsfähigen und technologisch souveränen Cybernation.
Der Angriff zeigt: Der schwächste Teil der Kette entscheidet
Besonders relevant ist eine der zentralen Forderungen der Bundesfachkommission: Länder und Kommunen brauchen verbindliche Cybersecurity-Baselines.
Denn die digitale Sicherheit eines Staates kann nicht stärker sein als die schwächste Stelle seiner digitalen Infrastruktur. Genau darauf weist die Strategie ausdrücklich hin: Das Sicherheitsniveau öffentlicher IT-Systeme unterscheidet sich heute erheblich zwischen Ländern und Kommunen. Freiwilligkeit schafft dadurch strukturelle Schutzlücken. Cyberangreifer müssen nicht das am besten geschützte System überwinden – sie suchen sich das schwächste Glied.
Der Wirtschaftsrat fordert deshalb bundesweit verbindliche Mindeststandards für die öffentliche IT. Diese sollen sich insbesondere an den strategisch wichtigen Kontrollpunkten orientieren: Identitäten, Endpunkte, Daten sowie zentrale Steuerungs- und Betriebsebenen. Das BSI soll dabei stärker als Referenzgeber und Prüfinstanz wirken. Bis 2030 soll die Cyber-Baseline in allen Ländern und einem sehr großen Teil der Kommunen umgesetzt sein.
Der Berliner Angriff macht deutlich, warum dieser Ansatz dringend ist.
Denn moderne Verwaltungen bestehen nicht aus voneinander isolierten Computern. Sie sind über zentrale Netze, Rechenzentren, Identitätsdienste, Cloud- und Fachverfahren miteinander verbunden. Wird ein zentraler Zugang kompromittiert, kann sich aus einem lokalen IT-Problem innerhalb kürzester Zeit ein organisationsübergreifender Krisenfall entwickeln.
Das Berliner Landesnetz verbindet nach Angaben des rbb rund 600 behördliche und öffentliche Standorte, darunter auch Polizei, Feuerwehr und Krankenhäuser.
Das ist der entscheidende Punkt: Je stärker der Staat digital vernetzt ist, desto größer wird die mögliche Wirkung eines einzelnen erfolgreichen Angriffs.
Schluss mit dem föderalen Zuständigkeits-Pingpong
Die zweite Lehre aus dem aktuellen Vorfall betrifft die Organisation.
Deutschland verfügt über zahlreiche leistungsfähige Sicherheitsbehörden, IT-Dienstleister und Experten. Das Problem liegt weniger darin, dass niemand zuständig wäre. Das Problem ist, dass Zuständigkeiten, Entscheidungswege und Unterstützungsmechanismen im föderalen System nicht immer schnell genug ineinandergreifen.
Die Bundesfachkommission formuliert es deshalb bewusst deutlich: Cybersicherheit braucht eine verbindliche Bund-Länder-Kommunen-Governance. Der Bund soll für Strategie, Standards und Lagebild Verantwortung tragen, die Länder für Betrieb und Unterstützung und die Kommunen für die Umsetzung. Entscheidend ist dabei: Abstimmung und Eskalation dürfen im Ernstfall nicht erst ausgehandelt werden.
Der Wirtschaftsrat fordert daher ein System, in dem bereits vor dem Angriff feststeht, wer wann wen informiert, wer Unterstützung anfordert, wer koordinierend eingreift und wer im Krisenfall entscheidet.
Denn im Cyberraum ist Zeit kein Verwaltungsdetail. Zeit ist eine Sicherheitsressource.
Die Strategie fordert deshalb einheitliche Melde-, Unterstützungs- und Eingriffsmechanismen sowie klar definierte Eskalationsprozesse zwischen Kommunen, Ländern und Bund. Bis 2028 sollen solche Prozesse flächendeckend etabliert und regelmäßig unter realistischen Bedingungen geübt werden.
Cybersicherheit darf kein freiwilliges Zusatzprojekt sein
Ein weiterer Punkt ist mindestens ebenso entscheidend: Cybersicherheit muss finanziell und organisatorisch als Daueraufgabe verstanden werden.
Viele Kommunen verfügen weder über ausreichend Fachpersonal noch über die finanziellen Mittel, um moderne Sicherheitsarchitekturen eigenständig aufzubauen und dauerhaft zu betreiben. Die Strategie des Wirtschaftsrates schlägt deshalb unter anderem landesweite oder länderübergreifende Security Shared Services vor – etwa Security Operations Center, CERT-Strukturen und zentrale Identity Services.
Gleichzeitig fordert der Wirtschaftsrat, Cybersicherheit als dauerhafte Pflichtaufgabe von Ländern und Kommunen anzuerkennen und die dafür notwendigen Mittel nachhaltig zu finanzieren. Einmalige Förderprogramme reichen nicht aus, wenn Sicherheitsstrukturen anschließend nicht betrieben, aktualisiert und weiterentwickelt werden können.
Das ist eine entscheidende politische Konsequenz: Wer die Digitalisierung der Verwaltung vorantreibt, muss auch ihre Absicherung finanzieren.
Aus dem Cyberangriff muss ein politischer Weckruf werden
Der Berliner Fall zeigt damit nicht, dass Digitalisierung gescheitert ist. Er zeigt vielmehr, dass Digitalisierung ohne Resilienz zum Risiko werden kann.
Deutschland braucht deshalb keinen weiteren Flickenteppich einzelner Cybermaßnahmen. Es braucht einen strategischen Rahmen, verbindliche Ziele und klare Verantwortlichkeiten.
Genau diesen Ansatz verfolgt die Strategie „Wir bauen die Cybernation“. Ihr Grundgedanke ist bewusst größer als reine Gefahrenabwehr: Cybersicherheit soll nicht länger ausschließlich als Kosten- und Risikofaktor betrachtet werden, sondern als Voraussetzung für Sicherheit, wirtschaftliche Wettbewerbsfähigkeit, Innovation und digitale Souveränität. Die Vision ist, dass Deutschland bis 2035 zu einer der führenden Nationen in allen Aspekten der Cybersicherheit wird und seine Cybersecurity-Industrie gleichzeitig zu einem bedeutenden wirtschaftlichen Wachstumsfeld entwickelt.
Wolfgang Steiger, Generalsekretär des Wirtschaftsrates der CDU, erklärt dazu:
„Der Cyberangriff auf Berliner Senatsverwaltungen zeigt eindringlich: Cybersicherheit ist keine technische Nebenaufgabe, sondern eine Voraussetzung für die Handlungsfähigkeit unseres Staates. Wir können es uns nicht länger leisten, dass Sicherheitsstandards, Verantwortlichkeiten und Krisenmechanismen davon abhängen, in welchem Bundesland oder in welcher Kommune ein digitales System betrieben wird. Deutschland braucht verbindliche Cybersecurity-Baselines, klare Eskalationswege und ein föderales Krisenmanagement, das im Ernstfall funktioniert. Aus einzelnen Sicherheitsinseln muss endlich ein belastbares Sicherheitsnetz werden.“
Die Cybernation beginnt nicht im Rechenzentrum – sondern bei der Handlungsfähigkeit des Staates
Die eigentliche Frage lautet deshalb nicht, ob Deutschland künftig weitere Cyberangriffe erleben wird. Das wird der Fall sein.
Die entscheidende Frage lautet: Wie schnell kann Deutschland einen Angriff erkennen, eindämmen, daraus lernen und seine staatliche Handlungsfähigkeit aufrechterhalten?
Die Bundesfachkommission schlägt hierfür unter anderem ein Nationales Cyber Defense Center mit einem gemeinsamen Lagebild, messbaren Reaktionszeiten und einer strukturierten Einbindung staatlicher Akteure und der Wirtschaft vor. Bis 2028 sollen die relevanten staatlichen Akteure vollständig integriert und bis 2030 ein großer Teil der Kritischen Infrastrukturen an das nationale Lagebild angebunden sein.
Das Ziel ist damit klar: Nicht verhindern, dass jemals wieder ein System angegriffen wird. Sondern dafür sorgen, dass ein Angriff nicht darüber entscheidet, ob der Staat noch handlungsfähig ist.
Berlin ist deshalb mehr als ein weiterer Eintrag in der langen Liste deutscher Cybervorfälle.
Der Angriff ist ein Stresstest.
Und er liefert einen aktuellen Anlass, die seit Langem bekannten Schwachstellen endlich strukturell zu beheben.
Deutschland braucht keine Cyberpolitik, die erst nach dem Angriff reagiert. Deutschland braucht eine Cybernation, die vorbereitet ist, bevor der Angriff kommt.