Loading AI tools
zivile obere Bundesbehörde Aus Wikipedia, der freien Enzyklopädie
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist eine deutsche Bundesoberbehörde im Geschäftsbereich des Bundesministerium des Innern und für Heimat mit Sitz in Bonn, die für Fragen der IT-Sicherheit zuständig ist. Der Leitsatz des BSI lautet: „Das BSI als die Cyber-Sicherheitsbehörde des Bundes gestaltet Informationssicherheit in der Digitalisierung durch Prävention, Detektion und Reaktion für Staat, Wirtschaft und Gesellschaft.“[3] Die Stellenzahl des BSI hat sich zwischen 2016 und 2019 auf knapp 1.290 Stellen verdoppelt.[4] Für das Jahr 2024 gibt das BSI die Anzahl seiner Stellen mit 1.733 an.[1]
Bundesamt für Sicherheit in der Informationstechnik | |
---|---|
![]() | |
Staatliche Ebene | Bund |
Stellung | Bundesoberbehörde |
Geschäftsbereich | Bundesministerium des Innern und für Heimat |
Gründung | 1. Januar 1991 |
Vorgänger | Zentralstelle für das Chiffrierwesen (ab 1. Juni 1989 Zentralstelle für Sicherheit in der Informationstechnik) |
Hauptsitz | Bonn, ![]() |
Präsidentin | Claudia Plattner |
Vizepräsident | Gerhard Schabhüser |
Bedienstete | 1.733 (Stand 2024)[1] |
Haushaltsvolumen | 237,852 Mio. EUR (Soll 2024)[2] |
Netzauftritt | www.bsi.bund.de |
Das BSI wurde 1991 mit dem Gesetz über die Errichtung des Bundesamtes für Sicherheit in der Informationstechnik (BSI-Errichtungsgesetz) gegründet.[5] Das BSI ging aus der Zentralstelle für Sicherheit in der Informationstechnik (ZSI) hervor, die bis 30. Mai 1989 als Zentralstelle für das Chiffrierwesen (ZfCh) firmierte. Bei dieser Vorgängerdienststelle handelte es sich um eine Organisationseinheit des Bundesnachrichtendienstes (BND). Der Mathematiker Otto Leiberich, seit 1957 beim Bundesnachrichtendienst und dort zuletzt Leiter der ZfCh bzw. ZSI, war erster Präsident des BSI.[6][7]
Nach dem Ausscheiden von Otto Leiberich wurde Dirk Henze mit Wirkung zum 1. Januar 1993 zum neuen BSI-Präsidenten bestellt. Ihm folgte im März 2003 Udo Helmbrecht. Danach trat Michael Hange am 16. Oktober 2009 sein Amt als Präsident an und wurde am 11. Dezember 2015 in den Ruhestand entlassen.[8][9]
Vom 18. Februar 2016 bis zum 18. Oktober 2022 führte der vormalige Präsident der russland-nahen Lobbyorganisation Cyber-Sicherheitsrat Deutschland e. V. Arne Schönbohm die Behörde. Das Amt ist in Besoldungsgruppe B 8 der Bundesbesoldungsordnung B eingruppiert. Er führt die Amtsbezeichnung Präsident.[10][11] Im Vorfeld seiner Ernennung wurde Kritik an seiner Berufung laut.[12][13] Seit 1. Juli 2023 ist Claudia Plattner Präsidentin des BSI.[14]
Mitte 2017 hat das BSI ein Kompetenzzentrum eingerichtet, um die Aktivitäten des BSI im Bereich der Künstlichen Intelligenz und des maschinellen Lernens zu bündeln.[15]
Nach dem Koalitionsvertrag der Parteien der Bundesregierung von Februar 2018 wurde der Aufgabenbereich des Bundesamtes erweitert. Es übernahm die Beratung für kleine und mittlere Unternehmen und wurde als nationale Cybersicherheitsbehörde ausgebaut. Darin eingeschlossen ist die zentrale Zertifizierung und Standardisierung für IT- und Cyber-Sicherheit. Zudem erhält das BSI zusätzliche Aufgaben im Bereich des digitalen Verbraucherschutzes.[16]
Für die Kooperation mit den Ländern hat das BSI ein nationales Verbindungswesen mit Ansprechpartnern in den Städten Hamburg, Wiesbaden, Bonn, Stuttgart, Berlin und Dresden etabliert. 2017 hat das BSI ein Verbindungsbüro in Wiesbaden eingerichtet.[17] Am 5. Februar 2019 hat das BSI ein Verbindungsbüro für die Region Nord in Hamburg eröffnet. Durch die Präsenz am Standort Hamburg weitet die Cyber-Sicherheitsbehörde ihr Informations- und Unterstützungsangebot für Unternehmen, Behörden, Kommunen und andere Institutionen in Norddeutschland aus. Das Verbindungsbüro dient Behörden, Unternehmen und anderen Institutionen in den Bundesländern Bremen, Hamburg, Mecklenburg-Vorpommern, Niedersachsen, Sachsen-Anhalt und Schleswig-Holstein als Ansprechstelle für Fragen rund um das BSI und das Thema Cyber-Sicherheit.[18]
Seit Dezember 2019 gibt es den zweiten Dienstsitz für 200 Mitarbeiter in Freital bei Dresden. Dies soll die Erreichbarkeit des BSI verbessern. Im selben Jahr beschloss der Haushaltsausschuss des Deutschen Bundestages auch eine weitere Außenstelle in Saarbrücken mit 30 Stellen einzurichten.[19]
Im September 2022 gab das BSI die Einführung eines IT-Sicherheitskennzeichens für die meisten IoT- und Smart-Home-Produkte bekannt. Dieses kann seitdem von Unternehmen beim BSI beantragt werden und stelle Sicherheitseigenschaften von Produkten einfach verständlich für Verbraucher dar.[20]
Der Aufgabenbereich des BSI wird durch das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz) festgelegt. Ziel des BSI ist die präventive Förderung der Informations- und Cyber-Sicherheit, um den sicheren Einsatz von Informations- und Kommunikationstechnik in Staat, Wirtschaft und Gesellschaft zu ermöglichen und voranzutreiben. So erarbeitet das BSI beispielsweise praxisorientierte Mindeststandards und zielgruppengerechte Handlungsempfehlungen zur IT- und Internet-Sicherheit, um Anwender bei der Vermeidung von Risiken zu unterstützen.
Das BSI ist auch für den Schutz der IT-Systeme des Bundes verantwortlich. Hierbei geht es um die Abwehr von Cyber-Angriffen und anderen technischen Bedrohungen gegen die IT-Systeme und Netze der Bundesverwaltung. Das BSI berichtet dem Innenausschuss des Deutschen Bundestages hierzu einmal jährlich.
Zu den Aufgaben des BSI gehören weiterhin:[21]
Zum 15. April 2019 ist eine neue Organisationsstruktur des BSI in Kraft getreten, die den neuen Anforderungen und dem personellen Aufwuchs des BSI Rechnung trägt. Durch Aufgaben im Bereich des digitalen Verbraucherschutzes oder der Zertifizierung und Standardisierung sowie bei der Gestaltung der sicheren Digitalisierung in der Energiewende, im Gesundheitswesen oder beim neuen Mobilfunkstandard 5G füllt das BSI eine wichtige Querschnittsfunktion als zentrales Kompetenzzentrum für Cyber-Sicherheit aus. Mit der neuen Organisationsstruktur gliedert sich das BSI in acht Abteilungen, davon sieben Fachabteilungen und eine Abteilung für Verwaltungsaufgaben. Die Fachabteilungen sind jeweils in bis zu drei Fachbereiche unterteilt.[22] Eine Besonderheit stellt die Abteilung TK dar, in der die Technik-Kompetenzzentren des BSI zusammengeführt werden. Die Referate dieser Abteilung befassen sich unter anderem mit Themen wie Künstlicher Intelligenz, der Sicherheit von industriellen Steuerungssystemen, Cloud Computing, sicheren 5G-Infrastrukturen, Abstrahlsicherheit oder der Analyse von Hardware- und Softwareprodukten. Zusätzlich gibt es einen in drei Stabsbereiche aufgeteilten Leitungsstab.
Das BSI gab bis 2017 die IT-Grundschutz-Kataloge heraus, die Empfehlungen für Standardschutzmaßnahmen für typische IT-Systeme enthielten. Die früheren IT-Grundschutz-Kataloge wurden im Zuge der Modernisierung des IT-Grundschutzes auf das neue IT-Grundschutz-Kompendium umgestellt. Die Modernisierung des IT-Grundschutzes ist seit Oktober 2017 abgeschlossen. Nach der grundlegenden Überarbeitung der gesamten Methodik bietet der neue IT-Grundschutz Einsteigern und Fortgeschrittenen eine modulare und flexible Methode zur Erhöhung der Informationssicherheit in Behörden und Unternehmen. Neue Angebote adressieren speziell kleine und mittelständische Unternehmen und Behörden.[23] Der IT-Grundschutz ist Methode, Handlungsanweisung, Empfehlung und Standard in einem. Er ist anwendbar für alle Institutionen, die in Zeiten der Digitalisierung ihre IT-Systeme und Datennetze und damit ihre Geschäfts- oder Verwaltungsprozesse nach dem Stand der Technik absichern wollen. 1994 hat das BSI erstmals IT-Sicherheitsempfehlungen unter dem Namen IT-Grundschutz veröffentlicht.
Das BSI ist die zentrale Zertifizierungsstelle für die Sicherheit von IT-Systemen in Deutschland (Computer- und Datensicherheit, Datenschutz). Prüfung und Zertifizierung ist möglich in Bezug auf die Standards des IT-Grundschutzhandbuch, dem Grünbuch, ITSEC und den Common Criteria. Die Gebühren des BSI nach BSI-Gesetz – zum Beispiel für die Zertifizierung nach Common Criteria sind in der Besonderen Gebührenverordnung des BMI[24] festgelegt. Die Berechnung der Gebühren erfolgt durch das Statistische Bundesamt.[25]
Das BSI ist nationaler Kompetenzträger auf dem Gebiet der Kryptografie, der Empfehlungen und technische Richtlinien zu kryptografischen Verfahren erstellt und an der Entwicklung internationaler Kryptostandards beteiligt ist.
Die IT-Strategie des Bundes sieht vor, die Vielfalt von Software zu erhöhen und so Software-Monokulturen zu reduzieren und damit das Angriffspotenzial zu verringern. Innerhalb des BSI wird FLOSS (Free/Libre Open Source Software) an verschiedensten Stellen eingesetzt, zum Beispiel im Bereich der Verarbeitung von Protokollierungsdaten, im Computer Emergency Response Team (CERT) und bei Penetrationstests.[26]
Nach dem BSI-Gesetz speichert die Behörde als zentrale Meldestelle für IT-Sicherheit alle Protokolldaten, die bei der Online-Kommunikation zwischen Bürgern und Verwaltungseinrichtungen des Bundes anfallen.[27]
Mit Inkrafttreten des Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) im Juli 2015 wurden die Aufgaben und Befugnisse des BSI ausgeweitet (BGBl. I S. 1324). Nach § 8 BSI-Gesetz müssen Betreiber Kritischer Infrastrukturen IT-Sicherheit nach dem „Stand der Technik“ umsetzen und deren Einhaltung regelmäßig gegenüber dem BSI nachweisen. Sofern Sicherheitsmängel aufgedeckt werden, darf das BSI im Einvernehmen mit den Aufsichtsbehörden deren Beseitigung anordnen. Zudem wird das BSI nach § 8b BSIG die zentrale Meldestelle für die IT-Sicherheit Kritischer Infrastrukturen. Die Betreiber müssen dem BSI erhebliche Störungen ihrer IT melden, sofern sie Auswirkungen auf die Verfügbarkeit kritischer Dienstleistungen haben können. Sofern bei einem KRITIS-Betreiber meldepflichtige Störungen der IT auftreten, darf das BSI, falls erforderlich, auch die Hersteller der entsprechenden IT-Produkte und -Systeme zur Mitwirkung verpflichten. Dem BSI wird darüber hinaus nach § 7a die Befugnis eingeräumt, zur Wahrnehmung seiner Aufgaben IT-Produkte auf ihre Sicherheit hin zu untersuchen.[28]
Zur Unterstützung der Länder und Kommunen, Bundes- und EU-Behörden sowie Unternehmen, ThinkTanks und Entscheidungsträger in der Gesellschaft baut das BSI seit Anfang 2017 in einem Pilotverfahren das Verbindungswesen mit Verbindungspersonen an den Standorten Wiesbaden, Berlin, Stuttgart, Hamburg und Brüssel auf. Die Verbindungspersonen geben vor Ort einen Überblick über die Angebote des BSI und vermitteln bei Bedarf Beratung und Unterstützung.[17]
Das Bundesamt nutzt derzeit in Bonn fünf Gebäude. Wegen der zusätzlichen Stellen plant man einen Neubau in den Bonner Rheinauen, wo dann bis zu 1.050 Mitarbeiter arbeiten können.[29][30]
Beamte und Tarifbeschäftigte erhalten, wenn sie bei dem Bundesamt für Sicherheit in der Informationstechnik verwendet werden, gemäß Anlage I (zu § 20 Abs. 2 Satz 1) Bundesbesoldungsgesetz eine Stellenzulage von aktuell (Stand: 2019) 96,63 bis 193,27 Euro abhängig von ihrer Besoldungs- bzw. Entgeltgruppe.
Beim federführenden BSI angesiedelt ist das zum 1. April 2011 gestartete Nationale Cyber-Abwehrzentrum (Cyber-AZ), eine Kooperationseinrichtung deutscher Behörden auf Bundesebene zur Abwehr elektronischer Angriffe auf IT-Infrastrukturen der Bundesrepublik Deutschland und ihrer Wirtschaft. Das Cyber-Abwehrzentrum (Cyber-AZ) ist ein Kernelement der 2011 von der Bundesregierung verabschiedeten Cyber-Sicherheitsstrategie. Das Cyber-AZ soll die operative Zusammenarbeit optimieren und Schutz- und Abwehrmaßnahmen koordinieren. Dies geschieht auf Basis eines ganzheitlichen Ansatzes, der die verschiedenen Gefährdungen im Cyberraum zusammenführt: Cyber-Spionage, Cyber-Ausspähung, Cyber-Terrorismus und Cyber-Crime. Das Ziel: Schneller Informationsaustausch, schnelle Bewertungen und daraus abgeleitete konkrete Handlungsempfehlungen. So wie die Gefährdungslage sich seit 2011 verändert hat, hat sich auch das Cyber-AZ gewandelt. Es entwickelte sich von einer reinen Informationsdrehscheibe hin zur zentralen Kooperationsplattform der IT-Sicherheitsbehörden.[31] Vom Bundesrechnungshof gab es Kritik an dem Zentrum, der Rechnungshof meint, das Cyber-AZ sei „nicht geeignet, die über die Behördenlandschaft verteilten Zuständigkeiten und Fähigkeiten bei der Abwehr von Angriffen aus dem Cyberraum zu bündeln.“[32] Auf den Bericht des Bundesrechnungshofs haben die zuständigen Stellen reagiert und im Cyber-AZ einen Evaluierungs- und Weiterentwicklungsprozess initiiert. Die Ergebnisse dieses Prozesses hat das BSI im Juli und September 2016 als Antwort auf eine IFG-Anfrage des Blogs Netzpolitik.org an den Fragesteller übermittelt, der sie auf der Plattform fragdenstaat.de öffentlich zugänglich gemacht hat.[33]
Mit der Verabschiedung einer neuen Geschäftsordnung des Cyber-AZ zum 1. September 2019, wurden wesentliche Änderungen wirksam. Erstmals haben sich alle beteiligten Behörden dazu verpflichtet, Verbindungspersonen vor Ort ins Cyber-AZ zu entsenden. Nunmehr orientiert sich das Cyber-AZ am Modell des Gemeinsamen Terrorismusabwehrzentrums (GTAZ). Die Funktion des Leiters des Cyber-AZ wurde durch die eines Koordinators ersetzt. Diese Aufgabe nahm ab dem 16. Dezember 2019 für die nächsten zwei Jahre das BKA wahr. Unterstützt wurde das BKA dabei durch stellvertretende Koordinatoren des BfV und der Bundeswehr bzw. dem KdoCIR. Seit Anfang 2022 wird der Koordinator vom BND gestellt. Unterstützt wird der Koordinator in der zweijährigen Periode durch zwei Stellvertreter, derzeit aus dem BSI und dem KdoCIR. Räumlich bleibt das Cyber-AZ weiterhin im BSI und damit auch in unmittelbarer Nähe des Nationalen IT-Lagezentrums/IT-Krisenreaktionszentrums und des CERT-Bund. Das BSI stellt darüber hinaus wie bisher die IT-Infrastruktur und zwei Mitarbeiter für die Geschäftsstelle des Cyber-AZ zur Verfügung.[34]
Die Allianz für Cyber-Sicherheit (ACS) ist eine Initiative des Bundesamtes für Sicherheit in der Informationstechnik (BSI), die 2012 in Zusammenarbeit mit dem Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e. V. (Bitkom) gegründet wurde.[35] Die ACS ist ein Zusammenschluss von Unternehmen, Verbänden, Behörden und Organisationen im Bereich der Cyber-Sicherheit in Deutschland. Unternehmen werden unter anderem mit Präventions-Angeboten unterstützt, Resilienz gegen Cyber-Angriffe aufzubauen.[36] Über die Kommunikationskanäle der ACS werden aktuelle und valide Informationen zu Gefährdungen im Cyber-Raum für die Zielgruppe Wirtschaft bereitgestellt. Im Besonderen unterstützt die ACS den Informations- und Erfahrungsaustausch zwischen den Teilnehmenden mit dem Motto „Netzwerke schützen Netzwerke“.
Zu den Formaten gehören:
Der Allianz für Cyber-Sicherheit gehören rund 7.000 Institutionen an, davon sind 183 Partner-Unternehmen und 111 Multiplikatoren.[40] Die kostenlose Teilnahme kann von jeder Institution beantragt werden.[41]
Der UP KRITIS ist eine öffentlich-private Kooperation zwischen Betreibern Kritischer Infrastrukturen (KRITIS), deren Verbänden und den zuständigen staatlichen Stellen wie dem BSI. Er adressiert neun der zehn Sektoren Kritischer Infrastrukturen. Der Sektor „Staat und Verwaltung“ wird durch den UP BUND und Aktivitäten auf Länder- und Kommunalebene abgedeckt. Ziel der Kooperation UP KRITIS ist es, die Versorgung mit Dienstleistungen Kritischer Infrastrukturen in Deutschland aufrechtzuerhalten. Am UP KRITIS teilnehmen können auf Antrag alle Organisationen mit Sitz in Deutschland, die Kritische Infrastrukturen in Deutschland betreiben, nationale Fach- und Branchenverbände aus den KRITIS-Sektoren sowie die zuständigen Behörden.[42]
Mit dem Inkrafttreten des IT-Sicherheitsgesetzes 2.0[43] wurden dem BSI die Aufgabe des Digitalen Verbraucherschutzes (DVS) und der Verbraucherinformation im Bereich der Sicherheit in der Informationstechnik übertragen. Als herstellerunabhängige und kompetente technische Stelle schützt das BSI die Verbraucherinnen und Verbraucher in der Digitalisierung.
Das BSI unterstützt im Rahmen des Digitalen Verbraucherschutzes die Verbraucherinnen und Verbraucher u. a. in der Risikobewertung von Technologien, Produkten, Dienstleistungen und Medienangeboten. Neben einem besseren Schutz des Einzelnen soll gleichzeitig die gesellschaftliche Widerstandsfähigkeit gegen Cyber-Gefahrenerhöht werden.[44] Für ein Fachpublikum veröffentlicht der Digitale Verbraucherschutz den jährlich erscheinenden Bericht zum Digitalen Verbraucherschutz,[45] und die im Rahmen der Marktbeobachtung umgesetzten Analysen zur IT-Sicherheit auf dem digitalen Verbrauchermarkt.[46]
Immer wieder wurde kritisiert, dass das BSI eigentlich für IT-Sicherheit zuständig sein soll, jedoch gleichzeitig aus einer ehemaligen BND-Dienststelle hervorging und dem Innenministerium nachgeordnet ist, das seinerseits für Polizei und Geheimdienste zuständig ist.[47] Recherchen von netzpolitik.org zufolge beteiligte sich das BSI von 2007 bis 2009 an der Entwicklung des Staatstrojaners des Bundes.[47] Weiter kaufte das BSI über Jahre Informationen über IT-Sicherheitslücken und Exploits, wie sie sonst von Geheimdiensten und Strafverfolgungsbehörden beschafft werden.[48]
Im April 2022 veröffentlichte die Frankfurter Allgemeine Zeitung einen Artikel zu zahlreichen Änderungen von Wikipedia-Artikeln von IP-Adressen aus, die auf das BSI zurückgeführt wurden, allerdings von mehreren Behörden verwendet werden.[49] Editiert wurden unter anderem Artikel zum Thema illegaler Einwanderung und zu den Personen Jamila Schäfer, Ricarda Lang und Robert Habeck.[49]
Im Oktober 2022 berichtete das ZDF Magazin Royale über indirekte Russlandverbindungen von BSI-Präsident Arne Schönbohm.[50] Daraufhin wurde Schönbohm auf Anordnung von Innenministerin Nancy Faeser die Führung der Amtsgeschäfte für drei Monate verboten.[51][52] Zum Jahreswechsel 2023 übernahm er die Leitung der Bundesakademie für öffentliche Verwaltung und wurde Sonderbeauftragter für die Modernisierung der Fortbildungslandschaft des Bundes.[53] Laut dem Business Insider kam das Innenministerium nach sechsmonatigen behördeninternen Voruntersuchungen zum Schluss, die Vorwürfe gegen Schönbohm seien unbegründet. Es habe den Fehler Ende April in einem Schreiben an Schönbohms Anwälte eingeräumt, ein Disziplinarverfahren werde daher nicht eingeleitet.[54]
Clouddienste im Gesundheitsbereich müssen seit Juli 2024 den Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue)[55] des BSI erfüllen. Im Gegensatz zu anderen Richtlinien darf dieser nur von Wirtschaftsprüfern abgenommen werden. Dies kritisierte Golem.de mit der Beobachtung, dass mit PricewaterhouseCoopers ein Wirtschaftsprüfungsunternehmen am Anforderungskatalog mitgearbeitet hat.[56][57]
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.