Das BSI darf die Sicherheit der Kommunikationstechnik des Bundes seit Dezember 2021 kontrollieren. In den Jahren 2024 und 2025 hat es 15 Einrichtungen des Bundes vor Ort geprüft. So steht es in einem Bericht des Bundesrechnungshofs an den Haushaltsausschuss vom 12. August 2026, den netzpolitik.org am 8. Oktober 2026 veröffentlicht hat. Bei unverändertem Vorgehen, schreiben die Prüfer, braucht das BSI mehr als 20 Jahre, um alle Einrichtungen des Bundes einmal zu kontrollieren. Für den Überblick will die Regierung vor allem auf eine jährliche Selbstauskunft setzen. Meiner Einschätzung nach misst so eine Selbstauskunft den Papierstand, und wie weit der vom Netz entfernt ist, sieht man im Firewall-Regelwerk.
Ich arbeite als freiberuflicher Firewall- und Netzwerksicherheitsspezialist in großen deutschen Organisationen. Zu dem Job gehört, neben Leuten zu sitzen, die Sicherheitsfragebögen ausfüllen, und danach das Regelwerk zu öffnen, das der Fragebogen beschreibt. Der Bericht des Rechnungshofs liest sich für mich wie genau diese Lücke, nur für die gesamte Bundesverwaltung.
Wie oft prüft das BSI Bundesbehörden vor Ort?
Das BSI hat 2024 und 2025 zusammen 15 Einrichtungen des Bundes vor Ort geprüft und für 2026 zehn weitere Kontrollen vor Ort eingeplant. Das steht in Abschnitt 3.1 des Rechnungshofberichts. Die Befugnis steht heute in § 7 BSIG, der seit der Reform im Dezember 2025 den alten § 4a ersetzt; der war am 1. Dezember 2021 in Kraft getreten. Das BSI darf danach Unterlagen verlangen und die Räume der Bundes-IT betreten.
Der Bericht zeichnet die Vorgeschichte nach. Im September 2021 plante das BSI eine Standardrevision vor Ort bei allen Einrichtungen im Drei-Jahres-Rhythmus. Ab Januar 2024 pilotierte es das Verfahren und passte es danach zweimal erheblich an. 2023 ging es von 400 bis 500 zu kontrollierenden Einrichtungen aus, im März 2025 senkte es die Zahl auf etwa 200. Eine Fußnote ergänzt, dass ein Teil der 15 Kontrollen als freiwillige Pilotprüfung lief. Bei mindestens 200 Einrichtungen kommt der Rechnungshof im Berichtstext auf „rund 20 Jahre“ für einen Durchgang, in der Zusammenfassung auf „mehr als 20 Jahre“. Seit Dezember 2025 umfasst der Kreis alle Einrichtungen der Bundesverwaltung, beide Zahlen sind also eher zu optimistisch.
Über den Bericht haben Esther Menhard bei netzpolitik.org und Christian Grams im grams-it-Blog am 9. Oktober 2026 geschrieben. Grams rechnet selbst nach: Beim bisherigen Tempo von 7,5 Kontrollen pro Jahr wären es knapp 27 Jahre. Das ist seine Rechnung, nicht die des Rechnungshofs.
Zehn Kontrollen gegen über 200 Selbstauskünfte
Wer selbst Audits gemacht hat, bleibt an einem Satz des Berichts hängen: „Denn zehn Kontrollen stehen nun weit über 200 Selbstauskünften gegenüber.“ Die zehn sind die für 2026 geplanten Prüfungen vor Ort. Die über 200 sind die jährliche Basisdatenerhebung, eine formular- und toolbasierte Abfrage, mit der sich das BSI trotz knapper Prüfer einen Gesamtüberblick verschaffen will. Fallen dabei Unstimmigkeiten auf, können BSI und Einrichtung den Fragebogen laut Bericht gemeinsam ausfüllen.
Der Rechnungshof urteilt deutlich. Die Forderung nach mehr Prüfungen vor Ort sollte den „oft wenig kritischen Selbsteinschätzungen der Einrichtungen“ entgegenwirken. Selbstauskünfte lieferten keine nach einheitlichen Maßstäben ermittelten objektiven Ergebnisse. Und weil das BSI über 1.700 Stellen verfügt, nennt der Rechnungshof den wiederholten Verweis auf fehlende Ressourcen „weder zielführend noch sachgerecht“.
Die Bundesregierung sieht das anders. Das Digitalministerium (BMDS) antwortete, dem BSI fehle für mehr Kontrollen das Personal, und die dreistufige Prüfmethodik erlaube eine optimale Balance von Datenqualität und Aufwand. Zu den Nachweisen, die Bundeseinrichtungen nach dem neuen Gesetz erbringen müssen, gibt der Bericht die Position des BSI so wieder: „Im Kern handele es sich bei einem solchen Nachweis immer nur um eine Selbstauskunft.“ Das ist die Beschreibung des eigenen Plans durch die Behörde selbst. Den wesentlichen Empfehlungen des Rechnungshofs will das BMDS laut Bericht nicht folgen.
Was müssen Unternehmen unter NIS2 nachweisen, und was weist der Bund nach?
Seit das deutsche NIS2-Umsetzungsgesetz im Dezember 2025 gilt, müssen Betreiber kritischer Anlagen ihre Maßnahmen nach § 39 BSIG alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen. Für Einrichtungen der Bundesverwaltung setzt § 43 Abs. 1 BSIG die erste Nachweisfrist auf fünf Jahre nach Inkrafttreten, laut Rechnungshof der 6. Dezember 2030. Derselbe Bericht zählt rund 29.500 Unternehmen und Organisationen in Deutschland, die jetzt zu verbindlichen Sicherheitsmaßnahmen verpflichtet sind.
| Frage | Betreiber kritischer Anlagen und große Unternehmen | Bundesverwaltung |
|---|---|---|
| Form des Nachweises | Sicherheitsaudits, Prüfungen oder Zertifizierungen (§ 39, kritische Anlagen) | Geplant als jährliche Selbstauskunft, so die im Bericht wiedergegebene Position des BSI |
| Wer prüft | Sicherheitsaudits, Prüfungen oder Zertifizierungen; bei besonders wichtigen Einrichtungen kann das BSI Audits anordnen (§ 61) | Das BSI vor Ort, bei 15 Einrichtungen in zwei Jahren |
| Rhythmus | Alle drei Jahre bei kritischen Anlagen | Ein Durchgang in rund 20 Jahren beim jetzigen Tempo |
| Erste harte Frist | Vom BSI festgelegt, frühestens drei Jahre nach erstmaliger Einstufung (§ 39) | 6. Dezember 2030 (§ 43) |
Quellen: die verlinkten Paragrafen des BSIG auf gesetze-im-internet.de sowie die Abschnitte 3.1 und 3.2 des Rechnungshofberichts vom 12. August 2026.
Meiner Einschätzung nach ist das der Teil, den ein Mittelstandsvorstand am schwersten schluckt. Von Betreibern kritischer Anlagen will der Staat die Unterschrift eines Prüfers, und nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen umsetzen, überwachen und haftet der eigenen Einrichtung bei schuldhaften Verstößen. Im eigenen Haus plant er einen Fragebogen und eine Frist in gut vier Jahren. Wie unvorbereitet viele Mittelständler sind, habe ich in Mittelstand und NIS2: warum der Mittelstand unvorbereitet ist beschrieben. Nach diesem Bericht steht die Bundesverwaltung kaum besser da. Sie benotet sich nur selbst.
Was übersieht eine Selbstauskunft im Firewall-Regelwerk?
Eine Selbstauskunft übersieht alles, was die ausfüllende Person nicht anschaut, und bei Firewalls ist das meistens das Regelwerk selbst. Der Fragebogen fragt, ob es einen Prozess gibt. Die Prüfung vor Ort öffnet die Konfiguration und fragt, ob der Prozess das Ergebnis geliefert hat. Nach meiner Erfahrung weichen die beiden Antworten öfter voneinander ab, als sie übereinstimmen, und gelogen hat dabei meistens niemand.
| Kontrolle | Was die Selbstauskunft festhält | Was eine Prüfung vor Ort findet (meine Erfahrung) |
|---|---|---|
| Rezertifizierung der Regeln | „Ja, jährlicher Review-Prozess vorhanden“ | Regeln ohne Owner, seit Jahren unverändert, per Sammelfreigabe rezertifiziert |
| Least Privilege | „Regeln nach Need-to-know“ | Breite Any-Any-Serviceobjekte, während einer Störung angelegt und nie entfernt |
| Logging | „Logging aktiv“ | Logging nur auf der Default-Regel, oder Logs, die niemand liest |
| Change-Prozess | „Alle Änderungen per Ticket“ | Notfalländerungen nachts, Ticket hinterher oder gar nicht |
| Management-Zugang | „Admin-Zugriff eingeschränkt“ | Managementoberflächen aus großen internen Netzen erreichbar, geteilte Admin-Konten |
Nichts davon taucht im Formular als „Nein“ auf. Wer antwortet, weiß, dass der Prozess existiert, denn er hat ihn geschrieben. Die Konfiguration erzählt etwas anderes. Dieses Muster habe ich in Sicherheitskontrollen: Audit bestanden, nichts bewirkt beschrieben: Eine Kontrolle kann auf dem Papier bestehen und in der Praxis nichts aufhalten, und das merkt nur, wer sie testet.
Deshalb teile ich das Vertrauen des Ministeriums in die unterstützte Selbstauskunft nicht. Wenn ein Prüfer mit einer Behörde zusammen den Fragebogen ausfüllt, entsteht ein besserer Fragebogen. Einen Blick ins Regelwerk ersetzt das nicht. Der Rechnungshof sagt es in seinen Worten ähnlich: Eine jährliche Selbstauskunft liefere nur dann belastbare Daten, wenn sie auf standardisierten, automatisiert erhobenen und rein objektiv messbaren Eingaben beruht. Für Firewalls heißt das: Konfiguration exportieren und auswerten. Das ist näher am Audit als an der Umfrage.
Wohin sind die 1,2 Milliarden Euro geflossen?
Die zweite Hälfte des Berichts handelt vom Geld. Das Grundgesetz erlaubt dem Bund, Ausgaben zum Schutz informationstechnischer Systeme aus der Schuldenregel herauszurechnen, die sogenannte Bereichsausnahme. In den Haushalten 2025 und 2026 sind dieser Kategorie insgesamt 4,5 Milliarden Euro zugeordnet. Der Rechnungshof stellt fest, dass die Bundesregierung mindestens 1,2 Milliarden Euro dorthin verlagert hat, die nicht dem Schutz informationstechnischer Systeme dienen. Das Geld steckt in fünf Titeln der Forschungsförderung des BMFTR, und keine der zugehörigen Förderrichtlinien nennt IT-Schutz als vorrangigen Förderzweck. 2025 flossen aus diesen Titeln mehr als 600 Millionen Euro ab. Gefördert wurde unter anderem eine App, die Vogelstimmen erkennt.
Die Bundesregierung hält laut Bericht dagegen, auch die 1,2 Milliarden Euro dienten unmittelbar dem Schutz informationstechnischer Systeme, denn Schutz sei nur möglich, wenn man die gesamte Architektur im Sinne technologischer Souveränität beherrsche. Der Rechnungshof lässt das nicht gelten: Ausgaben zur technologischen Souveränität pauschal der Bereichsausnahme zuzuordnen, „wird dem Ausnahmecharakter der Bereichsausnahme dagegen nicht gerecht“. Über die Souveränitätsdebatte habe ich in Cloud-Exit: Alle wollen ihn, niemand hat ihn getestet geschrieben. Meine Lesart: „Souveränität“ ist inzwischen ein Etikett, das auf fast jedes IT-Budget passt, und der Rechnungshof hat dem jetzt für den Bundeshaushalt widersprochen.
Man muss beide Befunde nebeneinanderlegen. Die Regierung begründet die fehlenden Prüfungen vor Ort mit fehlendem Personal beim BSI. Gleichzeitig hat Geld, das unter der Bereichsausnahme für IT-Schutz verbucht wurde, Forschung finanziert, deren Förderrichtlinien IT-Schutz nicht als vorrangigen Förderzweck nennen. Der Bericht behandelt beides in getrennten Kapiteln. Ich lese sie zusammen.
Wie sähe eine ehrliche Prüfung der Bundes-IT aus?
Der Rechnungshof empfiehlt, dass das BSI jede Einrichtung alle drei Jahre vor Ort kontrolliert, dazu anlassbezogen, wenn die jährliche Erhebung eine ungünstige Entwicklung zeigt, und dass es Selbstauskünfte zeitnah validiert. Aus Sicht des Freelancers würde ich zwei Dinge ergänzen, die weniger kosten als zusätzliche Prüfer.
- Konfigurationen einsammeln statt Antworten. Firewall- und Gateway-Konfigurationen lassen sich exportieren und zentral auswerten. Ein jährlicher Konfigurationsexport jeder Bundeseinrichtung würde dem BSI über Segmentierung und offene Managementzugänge mehr verraten als jeder Fragebogen.
- Eine Zufallsstichprobe prüfen und die Trefferquote veröffentlichen. Wenn zehn Prüfungen vor Ort im Jahr die Kapazität sind, dann einige davon per Los auswählen und berichten, wie oft die Selbstauskunft zum Befund gepasst hat. An dieser Zahl ließe sich ablesen, ob sich das Lesen der über 200 Formulare lohnt.
Das Muster ist kein reines Behördenproblem. Zwei der Lektionen aus was mich 17 Jahre Security-Compliance gelehrt haben passen direkt: Compliance ist die Untergrenze, und laufende Kontrolle schlägt die jährliche. Dasselbe Muster zeigt sich bei KI-Laboren, die ihre Sicherheitsschwellen selbst festlegen, siehe was eine selbst erklärte Sicherheitsschwelle wert ist. Jedes Mal ist die Organisation, die sich selbst benotet, auch die, die bei einer schlechten Note verliert.
Die Bundesverwaltung ist eine große deutsche Organisation wie die, in denen ich arbeite. Ihre Netze betreiben dieselbe Sorte Leute, auf derselben Sorte Firewalls, mit demselben Rückstau an Regeln, die niemand löschen will. Meiner Einschätzung nach erfährt der Bund erst, wie seine Regelwerke aussehen, wenn jemand sie öffnet. Ein pünktlich zurückgeschickter Fragebogen leistet das nicht.