Die Zuständigkeit, die wir uns nicht leisten können
Mitte August 2026 konnte rund 50.000 Berliner Haushalten kein Wohngeld überwiesen werden. Nicht, weil das Geld fehlte, sondern weil die Leitung dorthin gekappt war. Zwischen dem 7. und 12. August hatten sich Angreifer unbemerkt durch Teile des Landesnetzes bewegt und Daten abgezogen; bemerkt wurde es am 14., öffentlich gemacht drei Tage später.[1] Die Erpressergruppe Rhysida behauptet, 5,8 Terabyte erbeutet zu haben, forderte rund zwei Millionen Euro und stellte die Daten am 4. September ins Darknet, nachdem Berlin nicht gezahlt hatte.[2]
So weit die Schlagzeile. Sie erzählt von einem Angriff, einer Erpressung, einem Leak – vom sichtbaren Schaden. Der eigentliche Schaden aber war da schon lange angerichtet. Er entstand nicht in diesen fünf Augusttagen. Er läuft im Hintergrund, jeden Tag, in fast jeder Behörde des Landes, und er hat mit dem Angriff nur insofern zu tun, als der Angriff ihn sichtbar macht.
Um ihn zu verstehen, muss man den Blick vom Trojaner weg und auf die Struktur richten, in die er eindrang.
Der Schaden vor dem Schaden
Deutschland leistet sich bei der Verwaltungs-IT eine Ordnung, die klingt wie ein Prinzip, aber wirkt wie ein Flickenteppich. Es gibt wenige zentrale Vorgaben. Bund, 16 Länder und Tausende Kommunen bauen, kaufen und pflegen ihre Systeme in weiten Teilen selbst – jeder für sich, oft nebeneinander her. Man kocht, wie es so schön heißt, jeder seine eigene Suppe.
Das ist teuer, bevor überhaupt etwas passiert. Jede Stelle beschafft eigene Lösungen, schließt eigene Wartungsverträge, baut eigenes Know-how auf oder eben nicht. Was zwanzigmal einzeln eingekauft wird, kostet zwanzigmal Verhandlung, Einführung, Pflege – und selten den Preis, den eine gebündelte Beschaffung erzielen würde. Der Aufwand vervielfacht sich, ohne dass die Sicherheit mitwächst.
Im Gegenteil. Sicherheit braucht Tiefe, und Tiefe braucht Spezialisierung. Eine kleine Kommune hat einen Administrator, vielleicht zwei. Diese Menschen halten die Systeme am Laufen, spielen ein, was eingespielt werden muss, helfen, wenn der Drucker streikt. Und nebenbei sollen sie noch beurteilen, welche der 119 Sicherheitslücken, die täglich neu bekannt werden,[3] gerade die eine ist, die ihr System betrifft und sofort geschlossen werden muss. Das ist keine Frage des guten Willens. Es ist eine Frage der Kapazität, die in einer kleinen Einheit schlicht nicht aufzubauen ist.
Der Befund der Fachleute ist eindeutig, und er zeigt in eine Richtung: Länder und Kommunen werden häufiger gezielt angegriffen und sind zugleich oft schlechter geschützt als der Bund.[4] Die kleinsten Einheiten tragen die dünnste Decke – und liegen am weitesten außen.
Wofür der Föderalismus taugt – und wofür nicht
Man könnte das für den Preis der Freiheit halten. Föderalismus hat schließlich einen Sinn, und einen guten: Wo Kultur, regionale Wirtschaft, Schule oder Ordnungsrecht betroffen sind, weiß die Ebene vor Ort mehr als die Zentrale. Ein bayerisches Gymnasium und eine Bremer Gesamtschule sollen sich unterscheiden dürfen. Vielfalt dort, wo Vielfalt einen Wert hat – das ist der Kern der Idee, und er ist nicht verhandelbar.
Nur trägt diese Begründung bei der IT-Sicherheit nicht. Eine Firewall kennt keine Landeskultur. Ein Erpressungstrojaner fragt nicht, ob er in ein sächsisches oder ein schleswig-holsteinisches Netz eindringt. Es gibt keine schützenswerte regionale Eigenheit in der Frage, wie man ein Serversystem gegen Ransomware härtet – es gibt nur richtig und falsch, aktuell und veraltet. Die Angreifer arbeiten überregional, hochprofessionell, teils mit staatlicher Rückendeckung. Ihnen gegenüber eine Verteidigung aufzustellen, die sich freiwillig an Landesgrenzen aufteilt, ist keine gelebte Vielfalt. Es ist eine selbst gewählte Schwäche.
Föderalismus ist ein Werkzeug. Bei Schule und Polizei ist es das richtige. Bei der IT-Sicherheit greift man zum falschen.
Warum Einheitlichkeit schützt
Was wäre die Alternative? Nicht, dass irgendwer aus Bonn den Kommunen vorschreibt, wie sie zu arbeiten haben. Sondern etwas Nüchterneres: einheitliche Lösungen dort, wo Einheitlichkeit möglich ist.
Der Gewinn liegt in der Arbeitsteilung. Wenn viele Stellen dieselben Systeme nutzen, kann eine Handvoll Spezialisten zentral beurteilen, was der Tag verlangt – welches Update jetzt kritisch ist, welche Lücke sofort geschlossen werden muss, welche Meldung Panik und welche Routine ist. Diese Einschätzung wird einmal getroffen und gilt für alle. Der Administrator vor Ort muss sie nicht mehr allein und nebenbei fällen. Er bekommt sie geliefert und tut, was er kann: sie umsetzen.
Das macht ihn nicht überflüssig – im Gegenteil, es macht ihn erst zu dem, was er sein sollte. Er bleibt Administrator und wird nicht länger im Vorbeigehen zum Sicherheitsexperten erklärt, eine Rolle, für die ihm in einer kleinen Verwaltung jede Voraussetzung fehlt. Was von außen wie Bevormundung aussieht – der Bund mischt sich ein –, ist bei Licht besehen das Gegenteil: eine Entlastung. Die Aufgabe, die niemand vor Ort stemmen kann, wandert dorthin, wo sie zu stemmen ist.
Hier zeigt sich das eigentliche Muster des ganzen Konflikts. Was verteidigt wird, wenn Länder und Kommunen den zentralen Zugriff abwehren, ist nicht die Qualität ihrer Arbeit. Es ist die Zuständigkeit als solche – das Recht, eine Aufgabe zu behalten, auch wenn eine gemeinsame Stelle sie nachweislich besser erledigte. Sichtbare Zuständigkeit schlägt wirksamen Schutz.
Und sie schlägt nicht nur ihn. Die lokale Variante ist auf jedem denkbaren Weg auch die teurere: teurer in der Beschaffung, weil vielfach eingekauft wird, was gebündelt günstiger zu haben wäre; teurer in der Betreuung, weil jede Stelle eigenes Personal für dieselbe Aufgabe vorhält; und teurer im Schadensfall, weil die dünn geschützten Einheiten häufiger getroffen werden und der Wiederaufbau jedes Mal von vorn beginnt. Das Festhalten an der eigenen Zuständigkeit erkauft man sich mit Geld, das der Staat ohnehin nicht hat – und das an anderer Stelle fehlt.
Das ist kein Vorwurf böser Absicht. Es ist die normale Logik eines Systems, in dem jede Ebene für sich rational handelt: Wer eine Kompetenz hat, gibt sie ungern ab, denn an ihr hängen Personal, Budget und Bedeutung. Nur ergibt die Summe dieser für sich vernünftigen Entscheidungen ein Ganzes, das teurer und verwundbarer ist als nötig – und beides tragen am Ende wir, sobald das Wohngeld ausbleibt oder die eigene Ausweiskopie im Darknet auftaucht.
Was ein Angriff wirklich kostet
Der Einwand liegt nahe: Einheitliche Systeme kosten auch Geld, und der Staat ist hoch verschuldet. Stimmt beides. Nur rechnet dieser Einwand falsch, weil er nur eine Seite bucht.
Was ein gelungener Angriff kostet, lässt sich an einem Fall zeigen, der dem Berliner ähnelt. Der Landkreis Anhalt-Bitterfeld wurde 2021 verschlüsselt, weigerte sich zu zahlen und rief den ersten Cyber-„Katastrophenfall“ der Bundesrepublik aus. Der Wiederaufbau des Verwaltungsnetzes nach verschärften Vorgaben dauerte länger als ein Jahr und kostete – den personellen Aufwand nicht eingerechnet – über 2,5 Millionen Euro.[5] Das ist die Rechnung für eine einzelne mittlere Kreisverwaltung, für einen einzigen Vorfall.
Diese Summe ist noch die gnädige Variante. Sie misst Geld und Zeit. Es gibt Schäden, die sich so nicht messen lassen. Als 2020 das Universitätsklinikum Düsseldorf durch Ransomware lahmgelegt wurde, musste die Notaufnahme abgemeldet werden; eine lebensbedrohlich erkrankte Patientin wurde in ein anderes Krankenhaus verlegt und verstarb kurz darauf. Die Staatsanwaltschaft ermittelte wegen fahrlässiger Tötung und stellte das Verfahren wieder ein: Nach Obduktion und medizinischer Prüfung war die Grunderkrankung so schwer, dass sich kein ursächlicher Zusammenhang mit dem Ausfall herstellen ließ.[6] Der Fall bleibt dennoch die Mahnung, an der die ganze Debatte hängt: Wenn die betroffene Stelle kein Bauamt ist, sondern ein Klinikum, eine Feuerwehr, eine Leitstelle, dann steht mehr auf dem Spiel als Geld und Zeit.
Dazu kommt ein Schaden, der sich über das ganze Land verteilt und keiner einzelnen Behörde zuzurechnen ist: Vertrauen. Jeder Leak, bei dem Ausweiskopien und Personaldaten im Darknet landen, beschädigt das Zutrauen der Bürger in die Fähigkeit des Staates, ihre Daten zu schützen – und zwar bundesweit, nicht nur dort, wo es passiert ist. Dieses Vertrauen ist die Geschäftsgrundlage jeder Digitalisierung. Ist es einmal beschädigt, lässt es sich nicht mit einem Wiederaufbauprogramm zurückkaufen.
Vor diesem Hintergrund kehrt sich die Sparlogik um. Angesichts der hohen Staatsverschuldung wird zu Recht nach Ausgaben gesucht, die sich kürzen lassen. Eine gebündelte, professionell betreute IT-Sicherheit gehört nicht dazu – sie ist eine der seltenen Stellen, an denen sich sinnvoll sparen und die Leistung zugleich verbessern ließe. Die Zersplitterung ist der eigentliche Kostentreiber. Sie zu überwinden, ist kein Ausgabenposten, sondern eine Sparquelle. Man muss nur beide Seiten der Rechnung aufschlagen.
Diese Umkehrung fällt umso mehr auf, wenn man sie neben das hält, was den Bürgern derzeit an anderer Stelle abverlangt wird. In der Krankenversicherung, bei der Einkommensteuer, an vielen Rändern des Sozialstaats wird über höhere Zuzahlungen und spürbare Belastungen des Einzelnen gesprochen – Sparen, das direkt im Portemonnaie ankommt. Eine Ersparnis dagegen, die niemandem etwas wegnähme und obendrein die Sicherheit erhöhte, bleibt liegen. Nicht aus Böswilligkeit, sondern weil sie an einer Zuständigkeit hängt, die schwerer anzutasten ist als der einzelne Beitragszahler. Es ist leichter, von vielen ein wenig zu verlangen, als von wenigen die Abgabe einer Kompetenz.
Die verpasste Weiche
Warum greift dann nicht ein, wer könnte? Weil er, streng genommen, nicht darf.
Die Zusammenarbeit von Bund und Ländern in der Informationstechnik steht in Artikel 91c des Grundgesetzes, und der Artikel lässt sich in einem Wort zusammenfassen: freiwillig. Bund und Länder können zusammenwirken, sie können gemeinsame Standards vereinbaren – und das Recht, solche Vereinbarungen zu kündigen, darf ihnen ausdrücklich nicht genommen werden.[7] Der Bund hat also kein Kommando, sondern ein Angebot.
Man sieht die Folge dieser Konstruktion meist erst im Ernstfall: Das Bundesamt für Sicherheit in der Informationstechnik darf einem angegriffenen Land bei einem schweren Vorfall erst dann operativ helfen, wenn dieses Land förmlich Amtshilfe anfordert.[8] Wer aber erst ein Verfahren durchlaufen muss, während die Daten schon abfließen, verliert die Zeit, die im Angriff über alles entscheidet. Doch die Reaktion im Ernstfall ist nur das sichtbare, späte Ende des Problems. Der eigentliche Zweck einer gemeinsamen Stelle liegt davor: zu verhindern, dass es überhaupt so weit kommt. Der Sicherheitsgewinn, um den es geht, entsteht nicht in der Abwehr des laufenden Angriffs, sondern in den Wochen davor – im rechtzeitig eingespielten Update, in der früh geschlossenen Lücke, in der Warnung, die ankommt, bevor sie jemand ausnutzt. Eine Struktur, die schon die Vorbeugung nur als Angebot organisiert, das man annehmen kann oder nicht, verschenkt genau dort, wo am meisten zu gewinnen wäre.
Genau hier hätte eine Weiche gestellt werden können. CDU, CSU und SPD hatten im Koalitionsvertrag versprochen, das BSI zu einer echten „Zentralstelle“ auszubauen[8] – einer Stelle, die nicht nur berät, sondern im Ernstfall schnell und verlässlich handeln kann. Für den operativen Durchgriff wäre eine Änderung des Grundgesetzes nötig gewesen. Und die hat die Bundesregierung, fast zeitgleich mit dem Berliner Leak, kassiert. Sie verweist auf den bestehenden Rahmen: 14 Kooperationsvereinbarungen mit den Ländern, erweiterte Befugnisse durch die Umsetzung der europäischen NIS2-Richtlinie, mehr Personal und Geld für die Behörde.[9]
Man kann das verteidigen, und der Fairness halber gehört die Verteidigung genannt: Zusammenarbeit braucht keine Verfassungsänderung, sie braucht Willen. Doch eine Kooperation, die jederzeit gekündigt werden kann und nur auf Anforderung greift, ist im entscheidenden Moment genau das nicht, worauf es ankommt – verlässlich und schnell. Der Widerstand kommt aus den Ländern, die im Durchgriff eine Bevormundung sehen. Es ist derselbe Reflex wie zuvor, nur auf der höchsten Ebene: die Zuständigkeit wiegt schwerer als die Wirkung.
Derselbe Hebel, zwei Gewinne
Bleibt eine Aussicht, die den Aufwand in ein anderes Licht rückt. Denn einheitliche, sichere Systeme lösen nicht nur ein Sicherheitsproblem. Sie schaffen nebenbei die Voraussetzung für etwas, über das seit Jahren geklagt wird, ohne dass es sich bessert: dass Daten zwischen Behörden nicht fließen.
Warum muss man dieselbe Unterlage bei einem Vorgang fünffach in Papier vorlegen? Weil die Systeme nicht miteinander sprechen. Sie sprechen nicht miteinander, weil jedes für sich gebaut wurde, nach eigenen Formaten, ohne gemeinsame Standards. Wer die IT-Sicherheit vereinheitlicht, legt zugleich das Fundament, auf dem Daten sich später zusammenführen lassen – sicher, nachvollziehbar, ohne den Bürger als Boten zwischen Ämtern zu missbrauchen. Der Sicherheitsgewinn und der Abschied von der fünffachen Papiervorlage haben dieselbe Wurzel. Man muss sie nur graben.
Der Berliner Fall wird abklingen. Die rund 12.000 Systeme des Landes werden geprüft, Passwörter getauscht, Verfahren überarbeitet.[10] Der nächste Fall kommt trotzdem – die Reihe von Anhalt-Bitterfeld über Düsseldorf bis Südwestfalen zeigt, dass es keine Frage des Ob ist, sondern des Wo und Wann.
Bleibt ein Gedanke, der die Sache in ein größeres Verhältnis rückt. In Europa arbeiten wir seit Jahren daran, 27 Staaten mit eigenen Sprachen, Rechtsordnungen und Interessen zu gemeinsamen Regeln und gebündelten Fähigkeiten zu bewegen – mühsam, stockend, aber im Grundsatz gewollt. Die NIS2-Richtlinie, an der sich der Bund bei seiner Zurückhaltung ausdrücklich festhält, ist selbst ein Stück dieses europäischen Bündelns. Und während wir das nach außen versuchen, bringen wir es im Inneren nicht fertig, ein einzelnes Zukunftsthema – die Sicherheit unserer digitalen Verwaltung – aus dem Ringen um Zuständigkeit zu lösen. Die Aufgabe, an der wir national hängen bleiben, ist um Klassen kleiner als die, die wir uns europäisch zumuten.
Was fehlt, ist also nicht die Erkenntnis, und es ist nicht die Fähigkeit. Es ist die Bereitschaft, eine Zuständigkeit dort abzugeben, wo das Festhalten an ihr uns teurer zu stehen kommt als jedes Lösegeld. Solange die Verteidigung an Grenzen endet, die der Angreifer längst ignoriert, verteidigen wir eine Ordnung – und nicht das Netz, auf das wir alle angewiesen sind.
[1] Zeitleiste des Angriffs und Ausfall der Wohngeld-Auszahlung an rund 50.000 Haushalte: heise online, „Cyberangriff Berlin“-Berichterstattung, August 2026 [journalistisch]. https://www.heise.de/news/Berlin-Passwoerter-abgeflossen-12-000-Systeme-werden-gescannt-11436809.html ↩
[2] Datenmenge (5,79/5,8 TB), Lösegeldforderung (30 Bitcoin) und Veröffentlichung im Darknet am 4. September 2026. Die Angaben zu Datenmenge und Forderungshöhe stammen von der Tätergruppe selbst und sind amtlich nicht unabhängig bestätigt [Täterangabe, journalistisch eingeordnet]. borncity, 4. September 2026. https://borncity.com/blog/2026/09/04/rhysida-hat-sensible-daten-aus-hack-in-berlin-offen-gelegt/ ↩
[3] 119 neue Sicherheitslücken pro Tag (Berichtszeitraum Juli 2024 bis Juni 2025): BSI, „Die Lage der IT-Sicherheit in Deutschland 2025“ [amtlich]. https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2025_Achtseiter.pdf ↩
[4] Einschätzung, dass Länder und Kommunen häufiger angegriffen und schlechter geschützt sind als der Bund: Äußerungen des Grünen-Fraktionsvize Konstantin von Notz, via dpa/heise, September 2026 [journalistisch; Aussage eines Oppositionspolitikers, deckt sich mit dem BSI-Lagebild]. https://www.heise.de/news/Kehrtwende-bei-Cybersicherheit-Bund-gibt-Plan-fuer-BSI-Grundgesetzaenderung-auf-11440646.html ↩
[5] Wiederaufbaudauer (über ein Jahr) und Kosten (über 2,5 Mio. Euro, ohne Personalaufwand) nach dem Angriff 2021: Darstellung des Landkreises Anhalt-Bitterfeld selbst [amtlich/Primärquelle der betroffenen Stelle, wiedergegeben im KommunalWiki der Heinrich-Böll-Stiftung]. https://kommunalwiki.boell.de/index.php/Cyberangriffe ↩
[6] Universitätsklinikum Düsseldorf, September 2020: Ransomware-Befall über eine Citrix-Schwachstelle, Abmeldung der Notaufnahme, Verlegung und Tod einer Patientin. Die Staatsanwaltschaft stellte das Verfahren wegen fahrlässiger Tötung im November 2020 ein, da nach Obduktion und medizinischer Prüfung kein ursächlicher Zusammenhang zwischen IT-Ausfall und Tod nachweisbar war [journalistisch; Kausalität ausdrücklich nicht festgestellt]. heise online, September 2020; borncity, 18. November 2020. https://www.heise.de/news/Hackerangriff-auf-Uniklinik-Duesseldorf-Ermittlungen-wegen-fahrlaessiger-Toetung-4904134.html ↩
[7] Freiwilligkeit des Zusammenwirkens und nicht ausschließbares Kündigungsrecht: Artikel 91c Grundgesetz, insbesondere Abs. 1 und 2 [amtlich]. https://dejure.org/gesetze/GG/91c.html ↩
[8] Erfordernis förmlicher Amtshilfe für operative BSI-Unterstützung sowie die im Koalitionsvertrag von CDU, CSU und SPD vereinbarte Ausgestaltung des BSI zur „Zentralstelle“: dpa, 3. September 2026; heise online [journalistisch]. https://www.ad-hoc-news.de/boerse/news/ueberblick/die-bundesregierung-will-die-verfassungsrechtliche-grundlage-fuer-das/70046750 ↩
[9] Verzicht auf die Grundgesetzänderung und Verweis auf den bestehenden Rahmen (14 Kooperationsvereinbarungen, NIS2-Umsetzung, personelle und finanzielle Aufstockung): Antwort des Bundesinnenministeriums auf eine Anfrage von Konstantin von Notz, heise online / dpa, September 2026 [journalistisch; Stand September 2026]. https://www.heise.de/news/Kehrtwende-bei-Cybersicherheit-Bund-gibt-Plan-fuer-BSI-Grundgesetzaenderung-auf-11440646.html ↩
[10] Überprüfung aller rund 12.000 Systeme des Landes und Abfluss von Passwörtern: heise online, August/September 2026 [journalistisch]. https://www.heise.de/news/Berlin-Passwoerter-abgeflossen-12-000-Systeme-werden-gescannt-11436809.html ↩
Vision Deutschland
„Nicht über die nächste Wahl, sondern über die nächsten zwanzig Jahre.“
Frei lesbar · Lesezeit gut eine Stunde · Weitergabe erwünscht
Jetzt lesen📱 Bleiben Sie informiert: Mein WhatsApp-Kanal