Zusammenfassung

  • Das US-Gesundheitsministerium definierte zehn Bereiche für Cybersicherheitsmaßnahmen. Im Bundesvertrag für 2026 standen drei, in der Vereinbarung des Netzverwalters mit den örtlichen Stellen sieben.
  • Bei zwölf geprüften Stellen lag bis zur Frist kein vollständiges Paket aus drei geforderten Sicherheitsunterlagen vor. Fünf Pakete fehlten im März 2026 weiterhin teilweise.

Ein kurzer Notrufweg kann eine lange Verantwortungskette verdecken. Wer in den USA 988 wählt, erreicht einen Dienst, den eine Bundesbehörde beaufsichtigt, ein Netzverwalter organisiert und ungefähr 218 unabhängige Krisenstellen vor Ort erbringen. Zwischen diesen Ebenen liegen Verträge. Der Government Accountability Office hat geprüft, ob die Sicherheitsanforderungen auf dem Weg durch diese Verträge erhalten bleiben. Genau dort liegt das Problem.

Der Dienst hat einen Ausfall bereits erlebt. Im Dezember 2022 führte ein Ransomwareangriff auf zentrale 988-Infrastruktur zu einer landesweiten Unterbrechung von mehreren Stunden. Im Januar 2026 wurden 428.000 Anrufe bearbeitet. Hinzu kommen Textnachrichten und Chats. Fällt eine örtliche Stelle aus, können Kontakte zu anderen Stellen weitergeleitet werden. Wer diese Ausweichroute behauptet, muss auch zeigen, dass Systeme und Personal sie unter Störungsbedingungen tragen.

Das Gesundheitsministerium HHS hatte zehn relevante Kontrollbereiche festgelegt. Der Kooperationsvertrag des Haushaltsjahres 2026 mit dem Netzverwalter enthielt nur drei davon. Dessen Vereinbarung mit den Krisenstellen enthielt sieben. Die Zahlen beschreiben vertraglich festgeschriebene Anforderungen, keine Messung von zehn Sicherheitsfunktionen an jedem Arbeitsplatz. Gerade deshalb sind sie wichtig: Eine nicht vereinbarte Pflicht lässt sich schwerer terminieren, prüfen und bei einem Mangel durchsetzen.

Bundesbeamte erklärten den Prüfern, sie könnten nicht sämtliche Vorgaben unmittelbar für nichtbundeseigene Systeme verbindlich machen. Der Netzverwalter könne sie dagegen in die Teilnahmebedingungen der Stellen aufnehmen. Das Ministerium setzt also den Maßstab, doch ein anderer Akteur hält den entscheidenden Vertrag mit den örtlichen Betreibern. Das ist kein semantischer Unterschied. An diesem Übergang entscheidet sich, ob aus einem Standard eine überprüfbare Aufgabe wird.

Auch bestehende Nachweispflichten funktionierten nicht zuverlässig. Das GAO erhielt zwölf Compliance-Checklisten von Krisenstellen. Keine Stelle hatte alle drei verlangten Sicherheitsdokumente fristgerecht eingereicht. Sieben reichten verspätet ein; fünf hatten im März 2026 noch immer nicht alles vorgelegt. Die zwölf Akten sind keine Hochrechnung auf 218 Stellen. Sie belegen eine konkrete Schwäche der Aufsicht: Wer Unterlagen erst nach der Prüfung bekommt, kann die Einhaltung nicht rechtzeitig beurteilen.

Für ausgewählte technische Kontrollen betrachtete das GAO außerdem den Netzverwalter und zehn nicht repräsentativ ausgewählte Stellen. Die ausgewählte laufende Überwachung war vollständig umgesetzt. Der Verwalter hatte neuere Passwortvorgaben nicht eingeführt und ausgewählte Notfallplanungsmaßnahmen nur teilweise umgesetzt. Bei den Stellen waren ausgewählte Maßnahmen für Vorfallreaktion und Wiederanlauf teilweise umgesetzt. Erkennen, reagieren und den Beratungsbetrieb wiederherstellen sind drei verschiedene Vorgänge. Ein Alarmprotokoll ist kein gelungener Wiederanlauf.

Die Stellen betreiben unterschiedliche Technik. 104 nutzten im März 2026 die gemeinsame Plattform des Verwalters, andere eigene Systeme; alle tauschten Unterlagen über ein gemeinsames Portal aus. Die Personalausstattung reicht von kleinen Einrichtungen mit Teilzeitkräften bis zu großen Organisationen mit eigener IT. Ein einheitliches Formular macht aus dieser Vielfalt keine einheitliche Fähigkeit. Ein prüfbarer Standard muss die Umsetzung gerade dort sichtbar machen, wo wenig Personal für Tests vorhanden ist.

Der schärfste Befund betrifft das Mittel der Durchsetzung. Nach Angaben der Beamten ist die Teilnahme freiwillig; die wichtigste Reaktion auf Nichteinhaltung wäre der Ausschluss einer Stelle. Dieselben Beamten sagten, ein Ausschluss könne den Dienst und die Krisenversorgung der Bundesstaaten schwächen. Wer Sicherheit mit dem Verlust von Antwortkapazität durchsetzt, erzeugt einen Anreiz zum Wegsehen. Das GAO gab zehn Empfehlungen ab, von fehlenden Vertragsklauseln über Checklisten bis zu Passwortregeln und erprobten Reaktionsplänen. HHS stimmte zu.

Die nächste belastbare Aussage braucht unterschriebene Vertragsänderungen, fristgerechte Nachweise und dokumentierte Übungen. Aus der Stichprobe von zehn Stellen lässt sich nicht ableiten, wie viele der Dienst morgen bei einem Angriff weiterbetreiben könnte. Eine vollständige Kontroll- und Wiederanlaufspur könnte diese Frage beantworten. Bis dahin ist die Telefonnummer einheitlicher als die Verantwortung für ihre Erreichbarkeit.

Quellen