Cyberdome und CyberGovSecure sollen Früherkennung, Zuständigkeit und Umsetzung miteinander verbinden. Der Erfolg entscheidet sich auf dem Weg zwischen Warnmeldung und behobener Schwachstelle.
Ein Sensor erkennt eine Auffälligkeit innerhalb von Sekunden. Ein Analyseprogramm vergleicht sie mit bekannten Angriffsmustern. Ein IT-Dienstleister verschickt eine Warnung. Damit beginnt erst der schwierige Teil: Wer bewertet den Befund? Wer entscheidet über die Reaktion? Welche Behörde setzt die Maßnahme um? Und wer kontrolliert, ob die Gefahr tatsächlich beseitigt wurde?
Der Bund versucht, diese Fragen mit zwei Vorhaben zu beantworten. Der Cyberdome soll Angriffe früher sichtbar machen und Informationen aus verschiedenen Bereichen zusammenführen. CyberGovSecure soll innerhalb der Bundesverwaltung dafür sorgen, dass Warnungen auf festgelegte Zuständigkeiten, Zielwerte und Verfahren treffen. Auf dem Papier entsteht daraus eine staatliche Cyber-Vollzugskette.
Der Cyberdome wird zum Frühwarnsystem
Der Cyberdome ist als nationale Schutz- und Früherkennungsstruktur angelegt. Gemeint ist kein einzelner großer Kontrollraum, in dem alle Fäden zusammenlaufen. Vorgesehen ist ein vernetztes System aus Sensoren, Analysekapazitäten, IT-Dienstleistern und angeschlossenen Organisationen.
Die Sensorik soll Angriffe, Schwachstellen und ungewöhnliche Muster früher erkennen. Ein Analyseverbund soll die eingehenden Informationen vergleichen, bewerten und in verwertbare Lageinformationen übersetzen. Einheitliche technische Schnittstellen sollen es öffentlichen Stellen, Unternehmen, Forschungseinrichtungen und Betreibern Kritischer Infrastrukturen ermöglichen, eigene Sicherheitslösungen anzuschließen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Bundesinnenministerium arbeiten an einem Realisierungskonzept. Bis Ende 2026 sollen unter anderem die technische Architektur, die Datenflüsse, der Teilnehmerkreis und die Rollen der beteiligten Stellen geklärt werden. Der Cyberdome wäre damit das digitale Frühwarnsystem. Er soll erkennen, welche Angriffsmuster mehrere Behörden, einen gemeinsamen IT-Dienstleister oder ein häufig genutztes Fachverfahren betreffen. Eine einzelne Warnung an eine einzelne Behörde reicht in solchen Lagen kaum aus. Der Angriff kann längst durch gemeinsam genutzte Netze und Dienste wandern.
CyberGovSecure ordnet den Vollzug
CyberGovSecure setzt an einer anderen Stelle an. Das Programm soll die Bundesverwaltung von innen widerstandsfähiger machen. Dafür werden bisher verteilte Vorgaben, Ressortzuständigkeiten und Sicherheitsmaßnahmen in einen gemeinsamen Rahmen überführt. Die strategische Steuerung übernimmt ein Lenkungskreis auf ministerieller Leitungsebene. Die obersten Bundesbehörden entsenden die für Informationssicherheit zuständigen Staatssekretäre oder eine stimmberechtigte Vertretung. Das Gremium soll Maßnahmen beauftragen, Zielwerte beschließen und Ergebnisse abnehmen.
Die operative Koordination liegt beim CISO Bund und beim BSI. Gemeinsam mit den Informationssicherheitsbeauftragten der Ressorts soll ein Programmausschuss die fachliche Arbeit vorantreiben. Zu Beginn eines Jahres ist ein Bericht an das Bundeskabinett vorgesehen. Er soll den Umsetzungsstand des Vorjahres, bestehende Defizite und neue Handlungsbedarfe zusammenführen.
Damit verändert sich die Logik der Cybersicherheit. Ressorts sollen künftig belegen, welche Vorgaben umgesetzt wurden, welche Ausnahmen bestehen und welche Risiken fortdauern. Informationssicherheitssteuerung bedeutet dann mehr als die Produktion weiterer Berichte. Sie muss zeigen, welche Behörde an welcher Stelle steht und wie weit eine angeordnete Maßnahme gekommen ist.
Neun Felder, drei erste Baustellen
CyberGovSecure umfasst zunächst neun Handlungsfelder. Dazu gehören die sichere Konfiguration und Härtung von Systemen, die Erfassung der vorhandenen IT, das Schwachstellenmanagement, die Protokollierung und Angriffserkennung, die Netzwerksicherheit, der Schutz von Daten und Zugriffsrechten sowie der widerstandsfähige Aufbau zentraler Dienste. Hinzu kommen die Steuerung der Informationssicherheit anhand von Nachweisen und Kennzahlen sowie das Mobile Device Management, also die zentrale Absicherung und Verwaltung von Smartphones, Tablets und anderen mobilen Arbeitsgeräten.
Drei Felder erhalten zunächst Vorrang: die sichere Konfiguration und Härtung von Systemen, das Schwachstellenmanagement sowie Protokollierung und Detektion. Damit beginnt das Programm bei Problemen, die sich messen und mit konkreten Arbeitsaufträgen verbinden lassen. Die Ressorts behalten ihre Umsetzungsverantwortung. Zugleich sollen sie sich an gemeinsam beschlossenen Zielwerten messen lassen. Diese Konstruktion wahrt die Ressortzuständigkeiten und schafft dennoch eine gemeinsame Steuerung. Genau an dieser Verbindung wird sich zeigen, ob das Programm trägt.
Die Verkettungslücke entscheidet
In der September Ausgabe des Behörden Spiegel wird eine Abfolge genannt, die den gesamten Ansatz zusammenfasst: Sensorbefund, Lagebewertung, technische Empfehlung, Ressortzuständigkeit, Maßnahme und Rückmeldung zum Umsetzungsstand. Jede dieser sechs Stationen kann zur Bruchstelle werden. Ein Sensorbefund ohne Bewertung erzeugt Daten. Eine Lagebewertung ohne zuständige Stelle erzeugt ein Papier. Eine technische Empfehlung ohne verbindlichen Auftrag erzeugt eine E-Mail. Eine Maßnahme ohne Rückmeldung lässt offen, ob die Gefahr beseitigt wurde.
Für die Arbeit am Gesamtstaatlichen Sicherheitsökosystem 2030 ist diese Kette besonders aufschlussreich. Sie beschreibt die Verkettungslücke zwischen Erkennen und Handeln. Viele Sicherheitsorganisationen verfügen über Lagezentren, Meldesysteme, Fachleute und technische Sensoren. Handlungsfähigkeit entsteht erst durch die geregelte Übergabe von einer Station zur nächsten. Ein integriertes Lagebild darf daher nicht am Bildschirm enden. Es braucht Verantwortliche, Befugnisse, Prioritäten, Fristen und eine Rückmeldung über den Vollzug. Erst dann lässt sich erkennen, ob aus einer Warnung eine wirksame Reaktion geworden ist.
Neue Namen allein lösen das alte Problem nicht
Die Konstruktion enthält weiterhin Risiken. Der CISO Bund soll die operative Koordination übernehmen, verfügt im strategischen Lenkungskreis laut Darstellung jedoch über kein Stimmrecht. Die Umsetzung verbleibt bei den Ressorts. Zusätzliche Personal- und Sachmittel müssen im Bundeshaushalt 2027 erst geklärt werden.
Damit bleibt die Frage, wie verbindlich gemeinsame Zielwerte in einer Verwaltung wirken, deren einzelne Teile ihre eigenen Prioritäten, Haushalte und technischen Altlasten behalten. Ein Programmausschuss kann koordinieren. Er benötigt zugleich einen belastbaren Eskalationsweg für Fälle, in denen Maßnahmen ausbleiben, Fristen verstreichen oder Risiken von einem Ressort auf andere Behörden übergreifen.
Auch beim Cyberdome sind grundlegende Fragen offen. Wer darf welche Daten liefern? Wer erhält welche Lageinformationen? Wie werden Warnungen eingestuft? Welche Mindeststandards gelten für angeschlossene IT-Dienstleister? Wie schnell müssen Länder, Kommunen oder Betreiber Kritischer Infrastrukturen reagieren? Das Realisierungskonzept wird diese Fragen beantworten müssen.
Der Cyberdome und CyberGovSecure können sich sinnvoll ergänzen. Der Cyberdome liefert Sensorik, Analyse und Frühwarnsignale. CyberGovSecure schafft innerhalb der Bundesverwaltung Ansprechpartner, Berichtswege und Umsetzungsverfahren. Der Erfolg lässt sich an einer Zeitspanne messen: Wie lange dauert es vom ersten Sensorbefund bis zur bestätigten Beseitigung der Schwachstelle? Diese Strecke zeigt, ob der Staat einen Angriff lediglich erkennt oder tatsächlich bewältigt. Sie verbindet technische Leistungsfähigkeit mit administrativer Verantwortung. Genau dort entscheidet sich die Cyber-Handlungsfähigkeit des Bundes.
Vom Cyberdome zum Sicherheitsökosystem
Genau diese Frage reicht weit über die Cybersicherheit hinaus. Deutschland hat die Fähigkeiten – was fehlt, ist ihre Verkettung. Wie aus einzelnen Zuständigkeiten, Ressourcen und Lageinformationen ein handlungsfähiges Sicherheitsökosystem werden kann, steht deshalb am 7. und 8. Oktober 2026 im Maritim Hotel Bonn im Zentrum des Bonner IT-Dialogs der AFCEA unter dem Titel „Die Resilienz Deutschlands auf dem Prüfstand – Aufbrechen von Grenzen im Sicherheitsökosystem einer gesamtgesellschaftlichen Verantwortung“. Streitkräfte, Politik und Verwaltung, BOS und Zivilschutz, Kritische Infrastrukturen, Wirtschaft, Technologieanbieter und Zivilgesellschaft treffen dort bewusst aufeinander.
Vorgestellt wird zugleich erstmals die AFCEA-Studie „Gesamtstaatliches Sicherheitsökosystem 2030“, die aus 50 Interviews und internationalen Vergleichen 30 konkrete Maßnahmen für mehr Handlungsfähigkeit entwickelt. Der Cyberdome liefert dafür einen hochaktuellen Anwendungsfall: Entscheidend ist am Ende nicht, wie viele Sensoren, Lagezentren und zuständige Stellen vorhanden sind, sondern ob Sensorbefund, Lagebewertung, Entscheidung, Maßnahme und Rückmeldung tatsächlich zu einer belastbaren Handlungskette werden. Genau diese Verkettung entscheidet darüber, wie resilient Deutschland im Ernstfall ist.
Informationen und Anmeldung: Anmeldung für Besucher · Programm des Bonner IT-Dialogs
