Summary

  • GAO prüfte je zwei Cloud-Systeme bei Außenministerium, Verkehrsministerium, Veteranenministerium und Small Business Administration. Drei von acht erfüllten die laufende Überwachung vollständig, drei die dokumentierte Reaktion und Wiederherstellung nach Vorfällen; in beiden Bereichen blieben fünf nur teilweise umgesetzt.
  • Die Lücken sind überprüfbar: Das Außenministerium belegte die Prüfung von Anbieterberichten für sein ausgewähltes PaaS nicht; das Veteranenministerium legte für beide ausgewählten Systeme keinen Nachweis für Sammlung und Sichtung der Anbieterprotokolle vor. Die Stichprobe ist nicht auf alle Bundes-Clouds übertragbar.

Die Berechtigung ist unterschrieben, der Bericht bleibt liegen

Der GAO-Bericht vom 25. Juni 2026 untersucht vier nach der Zahl ihrer Cloud-Freigaben ausgewählte Behörden mit jeweils zwei Plattform- oder Softwarediensten. Die Systeme werden aus Sicherheitsgründen nicht namentlich genannt. Die acht Fälle bilden eine nicht repräsentative Stichprobe. Sie zeigen konkrete Schwächen im Übergang zwischen Auftraggeber und Anbieter, keine landesweite Quote für sämtliche Cloud-Dienste.

GAO bewertete drei Arbeitsfelder. Laufende Überwachung verlangt von der Behörde, ihre Kontrollen und die Lieferungen des Anbieters regelmäßig zu prüfen. Vorfallreaktion und Wiederherstellung benötigen festgelegte Melde-, Koordinations- und Testverfahren. Die Leistungsvereinbarung muss Kennzahlen, Messverfahren und Durchsetzung benennen. Die Zulassung eines Dienstes ermöglicht dessen Einsatz. Sie öffnet nicht automatisch jeden Monat den Bericht, der über seinen Zustand Auskunft gibt.

Nur drei der acht Systeme erfüllten die Anforderungen an laufende Überwachung vollständig. Das Außenministerium hatte Unterlagen seines ausgewählten SaaS-Anbieters geprüft, konnte eine entsprechende Prüfung für sein PaaS aber nicht belegen. Das Veteranenministerium verfügte über Pläne und Regeln für Auditprotokolle, legte jedoch bei keinem seiner beiden Systeme Beweise vor, dass es Protokolle des Anbieters sammelte und auswertete. Die Small Business Administration zeigte diesen Schritt für SaaS, nicht für PaaS. Zwischen einer geschriebenen Routine und ihrer nachweisbaren Wiederholung liegt die eigentliche Sicherheitsarbeit.

Eine Alarmkette braucht mehr als zwei Organigramme

Die Anforderungen an Reaktion und Wiederherstellung nach Vorfällen waren bei drei Systemen vollständig erfüllt, bei fünf nur teilweise. Das Verkehrsministerium erfüllte die geprüfte Praxis für beide Systeme. Beim ausgewählten PaaS des Außenministeriums fehlten Verfahren für die Zusammenarbeit mit dem Anbieter. Das Veteranenministerium hatte für sein PaaS kein Verfahren zur Messung der Reaktionszeit und für sein SaaS kein dokumentiertes Testverfahren. Nach Angaben der Behörde hatte der Anbieter im Oktober 2025 getestet; einen Nachweis oder Ablauf dieses Tests erhielt GAO nicht.

Die Small Business Administration hatte einen nicht unterschriebenen Vorfallplan und Lücken bei schnellen Anbietermeldungen und der Abstimmung mit dem Anbieter. Im Ernstfall muss eine Meldung den zuständigen Menschen in der Behörde erreichen. Dafür zählen Uhrzeit, Empfänger und ein geübter Ablauf. GAO dokumentierte fehlende Verfahren und Nachweise, keinen konkreten erfolgreichen Angriff oder misslungenen Einsatz in einem benannten System.

Fünf Systeme hatten vollständige Leistungsvereinbarungen zu den erforderlichen Kennzahlen, eines eine teilweise, zwei keine Sicherheitskennzahlen. Die SaaS-Vereinbarung des Veteranenministeriums enthielt Kennzahlen ohne Mess- oder Durchsetzungsweg. Für sein PaaS verwies es auf allgemeine Internetseiten statt auf eine Vereinbarung mit dem Anbieter über Kennzahl, Messung und Folge bei Nichterfüllung. Die Small Business Administration hatte eine vollständige Vereinbarung für PaaS, aber keine entsprechende für SaaS. Ein Zielwert ohne Messung ist kein Hebel gegenüber einem Auftragnehmer.

Der amtliche Bericht in voller Länge enthält zwölf Empfehlungen: zwei für das Außenministerium, fünf für das Veteranenministerium, fünf für die Small Business Administration. Das Verkehrsministerium erhielt in der Endfassung keine, nachdem zusätzliche Dokumente einen vorläufigen Befund ausräumten. Belege können die Bewertung also ändern. Datiertes Lesen der Anbieterberichte, geprüfte Logs, gemeinsame Übungen und durchsetzbare Vertragsregeln wären die nächsten Belege.

Heng Lus Gedanke, institutionelle Aussagen an tatsächlicher Praxis zu messen, ist der analytische Blickwinkel, nicht die Quelle der Bundesbefunde. Der Server mag dem Anbieter gehören. Die Behörde muss wissen, was darauf geschah und wann sie davon erfuhr.

Sources