Dieser Artikel ist für dich kostenlos
Du kannst diesen Beitrag lesen oder anhören, weil Wolfgang Rosenkranz JETZT-Mitglied ist und ihn mit dir geteilt hat.
Wenn eine Behörde in Österreich Ziel eines Hackerangriffs wird, springt ein Computer-Notfallteam ein. Man kann sich das wie die Feuerwehr bei einem Brand vorstellen. Ist die Firewall überwunden und brennt es im System, soll dieses Notfallteam löschen und verhindern, dass sich der Schaden weiter ausbreitet. Es geht dabei um Cyberangriffe auf die öffentliche Verwaltung, auf ein Ministerium, Länder, Städte oder Gemeinden. Seit April 2025 ist das Computer-Notfallteam im Innenministerium angesiedelt, davor war es im Bundeskanzleramt.
Zu schützen gilt es deine und meine wichtigsten persönlichen Daten: Einkommen, Wohnsitz, Steuerdaten, Grundbuch, Unternehmensregister, digitale Ausweise – all diese Informationen sind in staatlichen IT-Systemen gespeichert. Wenn die gehackt werden, wird es heikel.
Die digitalen Feuerwehrmänner sind nicht öffentliche Bedienstete, sondern Angestellte eines privaten Unternehmens. Das kritisierte der Rechnungshof schon 2022 und dann noch einmal 2024: Cybersicherheit sei eine staatliche Kernaufgabe, und diese sollten öffentliche Bedienstete erfüllen. Das Bundeskanzleramt setzte die Empfehlung nicht um, mit der Begründung, dass Fachpersonal schwer zu rekrutieren sei und man mit zugekauften Leistungen flexibler auf neue Bedrohungen reagieren könne. Wer hat also recht?
Die Diskussion um das Computer-Notfallteam ist mehr als eine technische Detailfrage. Sie steht exemplarisch für ein grundlegendes Dilemma: den Umgang des Staates mit eigener Expertise. Nicht nur in der IT, sondern in vielen Bereichen stellt sich die Frage, was öffentliche Verwaltung selbst können muss und was dauerhaft an externe Dienstleister ausgelagert werden kann. In der IT ist es vielleicht besonders heikel.
Feuerwehr bei Cyberattacken
Schauen wir uns diese Computer-Notfallteams genauer an. Eine gängige Abkürzung dafür ist CERT. Das steht für Computer Emergency Response Team. CERTs sollen Cyberangriffe oder ähnliche Vorfälle identifizieren, sammeln und an die notwendigen Stellen kommunizieren. Damit sollen sie sicherstellen, dass Einrichtungen, die von einem ähnlichen Vorfall betroffen sein könnten, rechtzeitig reagieren und Angriffe frühzeitig abwenden können.
Immer häufiger wird auch die Abkürzung CSIRT verwendet – Computer Security Incident Response Team. Wir bleiben in diesem Text der Einfachheit halber aber bei CERT.
Grundlage für diese Arbeit ist die EU-NIS-Richtlinie, die 2018 im österreichischen Netz- und Informationssicherheitsgesetz (NISG) umgesetzt wurde. Die Richtlinie schreibt vor, dass jedes EU-Land mindestens ein CERT benötigt. Die sind miteinander vernetzt. Einige EU-Länder haben auch noch weitere sektorspezifische CERTs, die sich um Cyberangriffe auf bestimmte Branchen kümmern. In Österreich gibt es zusätzlich zum allgemeinen Computer-Notfallteam eines für den Energiesektor und eines für den Gesundheitssektor. Und dann gibt es auch noch das GovCERT, Government CERT, das speziell für die Sicherheit der öffentlichen Verwaltung zuständig ist.
Aktiv wird das GovCERT dann, wenn Angriffe auf IT-Systeme der Verwaltung bekannt werden, etwa auf Identifikations- oder Datenbanksysteme, erklärt Reinhard Posch. Er war bis 2019 Professor für Angewandte Informatik an der Technischen Universität Graz und berät und koordiniert seit 2001 Ministerien, Länder, Städte und Gemeinden in IT-Fragen. Besonders kritisch sei es, wenn Angreifer nicht nur Daten auslesen, sondern Systeme mit Schadsoftware infizieren, die unbemerkt dort verbleibt und später alle Daten verschlüsselt. Laut Posch werde dann häufig Lösegeld verlangt, um wieder Zugriff auf die Daten zu erhalten.
Als allgemeines CERT der öffentlichen Verwaltung habe GovCERT auch Zugang zu Verwaltungsinformationen. „Ein privates CERT wird nicht Zugang zu vertraulichen Verwaltungsinformationen haben“, sagt Posch.
Wie oft kommt es zu Vorfällen, bei denen GovCERT aktiv wird? Exakte Zahlen über Cybervorfälle bei österreichischen Behörden sind im CERT-Jahresbericht nicht detailliert ausgewiesen. Der Teamleiter des technischen und operativen Teils von GovCERT, Wolfgang Rosenkranz, sagt dazu: „Die Anzahl der Cybervorfälle auf Behörden in Österreich ist im internationalen Vergleich nicht so hoch.“ Auch Rosenkranz kann mir keine genauen Zahlen nennen. Es zeige sich aber ein klarer Anstieg der Angriffsversuche. Oft handle es sich um automatisierte Angriffswellen. Statt einzelner Angreifer seien es heute oft Programme, die in kurzer Zeit eine große Zahl möglicher Ziele attackieren können, so Rosenkranz.
Ein Beispiel für einen gezielten Angriff auf eine Behörde ist noch gar nicht allzu lang her: Im Sommer 2025 wurde die IT-Infrastruktur des Innenministeriums (BMI) gehackt. Es kam damals zu unberechtigten Zugriffen auf Mailserver. Rund 600 der etwa 60.000 E-Mail-Accounts des BMI waren betroffen. Innenminister Gerhard Karner nannte den Angriff im August in einer Pressekonferenz „höchst gezielt und höchst professionell“. Ob und in welchem Umfang GovCERT in diesem konkreten Fall aktiv wurde, dazu darf sich Wolfgang Rosenkranz nicht äußern.
Wer steckt hinter diesen Angriffen? Das Spektrum reicht von kleinkriminellen Akteuren bis hin zu organisierter Cyberkriminalität, sagt Rosenkranz. Anders als noch vor zehn Jahren sei heute aber klar, dass auch staatliche Akteure eine zentrale Rolle spielen oder zumindest Gruppen, die staatliche Unterstützung erhalten. Das Thema hybride Kriegsführung ist mittlerweile „in aller Munde“, sagt Rosenkranz. Es werde heute allgemein akzeptiert, dass solche staatlichen Angriffe stattfinden.
2023 stand GovCERT ein Budget von mehr als 458.000 Euro zur Verfügung, 2024 waren es mehr als 482.000 Euro. Diese Zahlen stammen aus dem Bundeskanzleramt. Seit April 2025 ist GovCERT aber dem Innenministerium unterstellt. Ein aktuelles Budget kann das BMI nicht nennen. Es gebe keine gesonderte budgetäre Ausweisung für GovCERT, heißt es von der Pressestelle.
Ein Team, zwei Aufgaben – und eine österreichische Lösung
Während andere EU-Staaten wie Deutschland oder Frankreich auf rein staatliche Strukturen setzen, geht Österreich einen anderen Weg und lagert diesen Bereich der IT-Sicherheit an ein privates Unternehmen aus, wie der Rechnungshof kritisiert. Wie kommt es dazu?
Es war Anfang 2020. Da suchte das Bundeskanzleramt ein Unternehmen, das künftig die operativen Aufgaben von GovCERT übernehmen sollte. Es gab damals nur ein Angebot: von der CERT.at GmbH, einem privaten Tochterunternehmen der Firma nic.at. Das ist die Registrierungsstelle für österreichische Domains, also für alle Websites mit einer .at-Endung. Am 14. Dezember 2020 wird der Vertrag unterzeichnet – auf unbestimmte Zeit.
CERT.at ist auch jenes Unternehmen, das die Aufgaben des nationalen Computer-Notfallteams innehat, also des allgemeinen CERT. Und auch, wenn es vor 2020 noch nicht formell so war, hat das Team von CERT.at schon davor in der Praxis Aufgaben von GovCERT übernommen. Diese Zuständigkeit wollte man 2020 wohl formalisieren. Mit einer öffentlichen Ausschreibung.
Für Thomas Lohninger hört sich das „nach einer sehr österreichischen Ausschreibung an“. Er ist Geschäftsführer von epicenter.works, einer österreichischen NGO, die sich für die Stärkung der digitalen Grund- und Freiheitsrechte einsetzt. Ausgeschrieben worden sei eine Leistung, die zuvor schon von genau jenem Unternehmen erbracht worden sei, das schließlich auch den Zuschlag erhielt. „Das war ja dann auch nicht wirklich ein Wettbewerb“, sagt Lohninger.
Der Rechnungshof kritisiert seit 2022 unverändert, dass zentrale Aufgaben des GovCERT an einen privaten Dienstleister ausgelagert sind. Auch wenn er in seinem Bericht 2024 anerkennt, dass qualifiziertes Fachpersonal schwer zu rekrutieren ist, bleibt er bei seiner Einschätzung:
„Cybersicherheit ist eine staatliche Kernaufgabe, die von Bundesbediensteten wahrgenommen werden sollte."
Trotz der Kritik des Rechnungshofs findet Reinhard Posch die Begründung des Bundeskanzleramts – operative Aufgaben von GovCERT auszulagern, um besseres Personal zu bekommen – nachvollziehbar. Für ihn zieht das Argument, dass man in einem so innovativen und sich wandelnden Bereich möglichst gut ausgebildete Leute braucht. Wären diese als öffentliche Bedienstete angestellt, müsste man jedenfalls massive Nachausbildungsphasen garantieren können. Außerdem könne die Verwaltung den Bereich auch jederzeit wieder institutionalisieren, so Posch: „Ich glaube nur, dass damit nicht unbedingt eine besondere Dienstleistung an der Sache gemacht würde.“
Die späte Rechnung
Thomas Lohninger von epicenter.works widerspricht Posch und dem Bundeskanzleramt nicht in der Ansicht, dass es teuer und nicht leicht für den Bund sei, gute Leute zu bekommen. Doch für ihn steht fest, dass sich diese Investition lohnen würde und auf lange Sicht sogar Geld sparen könnte. Dabei geht es Lohninger nicht nur um die Aufgaben von GovCERT, sondern um den gesamten Bereich der staatlichen Cybersicherheit.
Lohninger erinnert an den großen Hackerangriff in Kärnten Ende Mai 2022, der die Landesverwaltung tagelang komplett lahmlegte und monatelange Einschränkungen mit sich brachte. Die Hacker gelangten damals über eine Phishing-Mail in das System und verschafften sich so vor allem Zugang zu Daten aus den Büros der Mitglieder der Kärntner Landesregierung. Betroffen waren rund 80.000 Stammdatenblätter von Niederlassungs- und Aufenthaltsbewilligungen, 4000 Kontaktdaten des Veranstaltungsmanagements und interner Schriftverkehr von Regierungsmitgliedern und Mitarbeitenden. Das Land Kärnten zahlte allein 500.000 Euro für die erste Schadensbehebung. Thomas Lohninger sagt: „Die öffentliche Hand spart sich auf lange Sicht auch nichts darin, wenn man diese Kompetenzen ständig nur von Externen zukauft oder abhängig ist von Konstruktionen, die dem Thema nicht gerecht werden. Das wäre wirklich etwas, wo es wirtschaftlich Sinn macht, in diese staatlichen Strukturen zu investieren und das eben nicht nur in gewachsenen Strukturen ausgelagert zu lassen.“
Doppelrolle
Was der Rechnungshof in seinem Bericht von 2022 auch festhält, ist, dass das nationale Computer-Notfallteam (CERT.at) und das der öffentlichen Verwaltung (GovCERT) weitgehend personenident sind.
Wie anfangs erwähnt, hat Reinhard Posch ja angemerkt, dass das GovCERT Zugang zu vertraulichen Verwaltungsinformationen hat, die anderen Computer-Notfallteams nicht offenstehen.
Doch was, wenn dasselbe Unternehmen sowohl das allgemeine CERT betreibt als auch die operativen Tätigkeiten von GovCERT? Und wenn dann auch noch dieselben Personen in beiden Bereichen arbeiten?
Diese personellen Überschneidungen gibt es, bestätigt Wolfgang Rosenkranz von CERT.at. Für bestimmte Aufgaben mache es wenig Sinn, dafür eigene Strukturen aufzubauen. Grundsätzlich sei aber eigenes Personal extra für Aufgaben, die GovCERT betreffen, abgestellt. Dass Mitarbeitende, die ausschließlich für CERT.at arbeiten, Zugriff auf Daten hätten, die Personen, die für GovCERT arbeiten, vorbehalten sind, schließt Rosenkranz aus.
Thomas Lohninger von epicenter.works zweifelt allerdings daran, dass diese Trennung in der Praxis immer so gut funktioniert. Er glaubt nicht an solche internen Firewalls: „Menschen gehen gemeinsam auf Mittagspause und unterhalten sich. Ich glaube nicht, dass da ein Informationsfluss wirklich verhindert werden kann oder dass diese Rollenverteilung auch immer in allen Fällen so klar ist.“ Lohninger sieht in der Doppelrolle von CERT.at aber noch ein weiteres Problem. CERT.at sei ursprünglich als unabhängige Kompetenzstelle entstanden, die das Thema Cybersicherheit für die Wirtschaft und die öffentliche Debatte aufbereitet habe. Dieser Anspruch sei aus seiner Sicht ein Wert, den es zu erhalten gelte. Er lasse sich aber immer schwerer mit den staatlichen Aufgaben des GovCERT vereinbaren.
An dieser Stelle ist wichtig zu betonen: Weder der Rechnungshof noch epicenter.works oder andere Fachleute aus dem IT-Sicherheitsbereich üben Kritik an der fachlichen Kompetenz von CERT.at oder den dort arbeitenden Personen. Im Gegenteil: Alle finden lobende Worte für die Expertise im Unternehmen. Lohninger sagt: „Es gibt bei CERT.at sehr gute Leute, die sich verdient gemacht haben und ein hohes Maß an Vertrauen in der Community genießen.“
Doch es geht eben nicht um das Unternehmen an sich oder einzelne Personen, sondern vielmehr um die Frage: Können wir Cybersicherheit wirklich auslagern, oder wäre es nicht besser, stattdessen mehr eigene Expertise in der öffentlichen Verwaltung aufzubauen?
Neue Regeln und offene Fragen durch NIS-2
Ein Schritt in diese Richtung ist die im Dezember beschlossene Umsetzung der EU-Richtlinie NIS-2 – gewissermaßen eine Nachschärfung des Netz- und Informationssicherheitsgesetzes. Das Gesetz verpflichtet systemrelevante Institutionen und Unternehmen, etwa Energieversorger oder den Lebensmittelhandel, zu umfassenden Sicherheitsmaßnahmen. Eigentlich hätte die Richtlinie bereits bis Oktober 2024 in nationales Recht umgesetzt werden müssen. Das hat die Regierung verabsäumt. Nun drohen Österreich Strafzahlungen, sollte das Gesetz bis 2026 nicht beschlossen sein.
Auch für die CERTs bringt NIS-2 Veränderungen. Wie diese konkret aussehen werden, weiß selbst Wolfgang Rosenkranz noch nicht genau. Es seien noch Gespräche mit dem Innenministerium ausständig. Zunächst werde man dort wohl „dieses Amt, das hier entstehen soll, einrichten“ und sich erst danach genauer mit der Rolle der CERTs befassen, sagt Rosenkranz.
Mit diesem Amt meint Rosenkranz die wohl größte Neuerung des Gesetzes: die Schaffung einer zentralen Cybersicherheitsbehörde. Könnte das auch eine passende Antwort auf die Kritik des Rechnungshofs sein?
Thomas Lohninger sieht in der Umsetzung von NIS-2 zumindest „erste Schritte in diese Richtung“. Gleichzeitig betont er aber, dass „die Unabhängigkeit von politischer Einflussnahme aus dem Innenministerium hier weiterhin nicht gewahrt bleibt“.
Fest steht bisher, so der Gesetzesbeschluss: Die CERTs werden künftig unter Aufsicht der neuen Cybersicherheitsbehörde stehen. Diese wird im Innenministerium angesiedelt sein und damit auch weisungsgebunden. Die Sorge um mangelnde Unabhängigkeit beseitigt das Gesetz also nicht. Gleichzeitig eröffnet es aber die Möglichkeit, eigene IT-Expertise in der öffentlichen Verwaltung zu stärken – vier Jahre nach der ersten Kritik des Rechnungshofs.
Sounddesign und Audioproduktion: Katharina Darya Ressl
Mixing und Mastering: Patrik Haas