Cyber-Nation

Cyber-Sicherheit darf im Deutschland-Stack nicht als nachgelagerter Baustein oder als Sammlung einzelner Sicherheitsprodukte verstanden werden. Vielleicht besser: Sie ist ein durchgängiges Struktur- und Betriebsprinzip des gesamten Stacks und muss in Governance, Architektur, Standards, Zugriffsmodell, Betriebsmodell und Resilienz verbindlich verankert werden. Der Deutschland-Stack ist nur dann ein belastbares Fundament staatlicher Digitalisierung, wenn Informations- und Cyber-Sicherheit als durchgängige Führungs-, Architektur- und Betriebsaufgabe verankert werden. Ein auf Einzeltechnologien oder stark fragmentierte Strukturen verkürzter Ansatz greift zu kurz. Er erhöht Komplexität, schafft neue Abhängigkeiten und gefährdet Souveränität, Skalierbarkeit und Krisenfestigkeit. Für den Deutschland-Stack braucht es deshalb ein verbindliches Sicherheitszielbild, das föderal tragfähig ist und sich über den gesamten Lebenszyklus erstreckt - von Spezifikation und Beschaffung über Implementierung und Betrieb bis zu Audit, Migration und Außerbetriebnahme und Wiederherstellung.

• Sicherheit ist kein Add-on, sondern ein Architekturprinzip.
• Cloud und Managed Services sind Betriebsformen, keine Sicherheitskonzepte.
• Souveränität entsteht durch Kontrolle über Daten, Zugriffe, Schlüssel, Betriebsprozesse, Schnittstellen und Wechselpfade.
• Resilienz bedeutet nicht nur Prävention, sondern nachweisbare Wiederherstellungsfähigkeit.
• Zero Trust, Defense in Depth, Kryptoagilität und Security by Design müssen verbindliche Leitprinzipien des Deutschland-Stacks werden.
• Relevante Vorgaben des BSI, etablierte Normen und regulatorische Anforderungen müssen konsistent referenziert und operationalisiert werden.

Das vorliegende Positionspapier verdichtet diese Anforderungen zu einem eigenständigen cyber-politischen und architektonischen Zielbild für den Deutschland-Stack.

Der Deutschland-Stack ist aus Sicht des Bundesverbandes IT-Sicherheit e.V. (TeleTrusT) eine strategisch richtige und notwendige Initiative, um die digitale Handlungsfähigkeit des Staates langfristig zu sichern. Auch das gewählte Vorgehensmodell eines Konsultationsverfahrens wird ausdrücklich begrüßt. Gleichzeitig zeigt die TeleTrusT-Analyse: In der aktuellen Ausprägung ist der Deutschland-Stack noch zu stark als technische Bausteinliste gedacht. Für belastbare Wirkung im öffentlichen Sektor ist ein klar geführtes Gesamtbetriebsmodell aus Architektur, Governance, Sicherheit und Verantwortung erforderlich.

Aus Sicht von TeleTrusT stellt der Deutschland-Stack eine wesentliche Initiative dar, um die digitale Infrastruktur insbesondere im Public Sector resilient, skalierbar und zukunftsfähig aufzustellen. Insofern begrüßt TeleTrusT sowohl das Vorhaben selbst als auch den gewählten Weg der Konsultation mit einer breiten Einbeziehung aller relevanten Stakeholder ausdrücklich. In einem aktuellen TeleTrusT-Positionspapier wird neben zahlreichen inhaltlichen Kommentierungen, Ergänzungen und Anmerkungen dargestellt, dass der Deutschland-Stack mehr sein muss als eine reine "Ansammlung" technischer Standards, Module und Services.

TeleTrusT ist überzeugt, dass die gewünschten Anforderungen an den Deutschland-Stack nur dann erfüllt werden können, wenn neben den erforderlichen technischen Festlegungen auch ein Betriebs-, Governance- und Infrastrukturmodell entwickelt wird, das die unterschiedlichen technischen Elemente verbindet. Dies gilt insbesondere für den Bereich der Informations- und Cyber-Sicherheit, genauso aber auch für notwendige Elemente wie Skalierbarkeit, Verfügbarkeit und Resilienz. All dies sind Eigenschaften, die sich nicht allein durch das Zusammenfügen geeigneter Technologien und Standards ergeben, sondern sie erfordern ein geeignetes Zusammenspiel und Zusammenwirken von Technologie, Infrastruktur und Governance. Dies kann nur erreicht werden, wenn all das bereits von Anfang an konsequent in den Architekturzielen und -prinzipien mitgedacht wird. Eine konsequente Ende-zu-Ende-Betrachtung unterstützt dies.

Die Ausrichtung von Standards und Technologien passt grundsätzlich zu den strategischen Zielen (Souveränität, Sicherheit, Interoperabilität, Zukunftsfähigkeit, Resilienz), wenn sie nicht als reine Tool-/Bausteinliste verstanden wird, sondern als verbindlich gesteuertes Gesamtmodell.

Es gibt jedoch Lücken in der aktuellen Konzeption:

1. Zu starke Technologiekatalog-Logik
   Es fehlt ein verbindliches Target Operating Model aus Architektur, Governance, Betrieb und Verantwortung.
2. Sicherheitsrahmen nicht durchgängig genug
   Einzelstandards (z.B. AES/RSA, OAuth/OIDC/JWT) reichen nicht; nötig ist ein lifecycle-basiertes Sicherheitsmanagement mit Risiko-, Audit- und Verbesserungszyklus.
3. Teilweise unklare/inkonsistente Standardreferenzen
   Insbesondere bei Kryptografie wird auf bessere Anbindung an aktuelle BSI-Vorgaben (TR-02102) hingewiesen.
4. Komplexitätsrisiko
   Ohne ganzheitliche Infrastruktur droht ein "Flickenteppich", der Sicherheit, Betrieb und Skalierung verschlechtert.
5. Cloud/Managed Services missverstanden
   TeleTrusT betont: Das sind Betriebsmodelle, keine Sicherheitsgarantie. Sicherheit entsteht durch Architektur und technische Kontrollpunkte.

Die priorisierten Technologiefelder sind in Teilen mit relevanten Technologien und Standards unterlegt (vor allem Infrastruktur, Betriebsmodelle, Sicherheitsprinzipien), aber noch nicht vollständig. Es fehlen zentrale Security- und Betriebsbausteine, eine konsolidierte Standardreferenz (insbesondere Kryptografie nach BSI) und eine durchgängige, verbindliche Methodik statt punktueller Nennungen.

TeleTrusT empfiehlt eine Klärung der Umsetzungsverbindlichkeit der Vorgaben des Deutschland-Stack für die verschiedenen Stakeholder (insbesondere Bund, Länder und Kommunen). Dabei ist aus Sicht von TeleTrusT die Verbindlichkeit der Vorgaben des Deutschland-Stack zur Informations- und Cyber-Sicherheit von besonderer Relevanz und Bedeutung. 

Für das weitere Verfahren bietet TeleTrusT dem BMDS aktive Unterstützung und Mitwirkung an.

TeleTrusT ist davon überzeugt, dass die Vision der Cyber-Nation Deutschland nur durch ein zielgerichtetes und langfristiges Vorgehen erfolgreich umgesetzt werden kann. Derzeit existieren im Kontext der Cyber-Sicherheit zu viele Einzelinitiativen, die kaum oder nur zu geringe Wirkung zeigen. Es bedarf daher dringend einer Umsetzungsstrategie, wie sie durch die Vision der Cyber-Nation gefordert wird, die strategische Ziele definiert, Maßnahmen priorisiert und festlegt sowie eine Aufgabenverteilung zwischen Politik, Verwaltung, Wirtschaft, Hersteller- und Anwendungsunternehmen, Gesellschaft und Forschung vornimmt. Damit ist klar, dass die Aufgabe des Aufbaus der Cyber-Nation Deutschland eine ganzheitliche ist. Die Politik ist allerdings - gerade im Hinblick auf die aktuellen Entwicklungen aus den USA ) aufgerufen, den Startimpuls für die Umsetzungsstrategie zu setzen und sie langfristig zu unterstützen. Gleichwohl kann die Umsetzung der Cyber-Nation nur im erfolgreichen Zusammenspiel von Wirtschaft, Wissenschaft/Forschung, Anwendern, Politik und (Sicherheits-)Behörden gelingen. Auch weitere Stakeholder wie etwa Zivilgesellschaft, Juristen, Kunst/Kultur, Militär und Medien spielen natürlich eine wesentliche Rolle.

In diesem Sinne formuliert die TeleTrusT-AG "Cyber-Nation" die folgenden zentralen Forderungen insbesondere an die politischen Stakeholder:

Cyber-Sicherheit auf die Agenda heben heißt:

Bei allen Stakeholdern muss das Bewusstsein für die Bedeutung der Cyber-Sicherheit geschaffen werden. Politisch heißt das insbesondere:

1. Klares Bekenntnis zu (unbeschränkter) IT-Sicherheit und zu einem ganzheitlichen Blick auf IT-Sicherheitsarchitekturen

2. Europäische IT-Sicherheitsgesetze für eine erhöhte Rechts- und Investitionssicherheit - klar, konsolidiert und praxisorientiert

3. Verbot der Kompromittierung von IT-Sicherheit, keine Backdoors oder geschwächte Verschlüsselung 


Cyber-Resilienz signifikant erhöhen heißt:

4. Auf- und Ausbau von IT-Sicherheitsinfrastrukturen (sowohl technisch als auch organisatorisch) für Bürgerinnen und Bürger, Unternehmen und Verwaltung fordern und fördern

Technologiekompetenz gezielt nutzen und einen florierenden Cyber-Markt Deutschland aufbauen (bzw. weiter ausbauen und stärken) heißt:

5. Mehr und integral wirkende IT-Sicherheitstechnologie "Made in Germany/EU" in der Praxis

6. Digitale Souveränität im Bereich IT-Sicherheit schaffen - für eine werteorientierte, sichere und vertrauenswürdige digitale Zukunft

Cyber-Sicherheit pragmatisch gestalten heißt:

7. Cyber-Sicherheit muss konsequent bereits beim Design neuer Dienste und Architekturen mitgedacht werden und selbst digital werden. Gleichzeitig ist immer wieder die richtige Balance aus Sicherheit, Nutzerfreundlichkeit und möglichst nahtloser Integration zu finden.