Fraktionsbibliothek

# Dossier BD – Cyberresilienz, hybride Bedrohungen, KRITIS- und Bevölkerungsschutz

**Stand:** 24. August 2026  
**Register:** DE-1601 bis DE-1650  
**Abgrenzung:** Cyberkriminalität, staatliche Cyberoperationen, physischer KRITIS-Schutz, Warnung und zivile Vorsorge. Verwaltungsdigitalisierung, militärische Verteidigung und allgemeine Lieferkettenprobleme werden nur an Schnittstellen berücksichtigt.

**Korrektur zur Zwischenmeldung:** Der BSI-Lagebericht nennt für seinen Berichtszeitraum **726 KRITIS-Meldungen**; 490 waren der Vergleichswert des Vorjahres. Die folgende Auswertung verwendet den korrigierten Wert.

## 1. Kernbefund

Deutschland ist im normalen Betrieb kein infrastrukturell instabiles Land. Strom- und Gasnetze sind ausgesprochen zuverlässig, die bundesweite Warnarchitektur wurde verbessert, und mit NIS-2-Umsetzung und KRITIS-Dachgesetz existiert inzwischen ein breiterer Rechtsrahmen.

Das systemische Problem liegt woanders:

- Cyberangriffe sind industrialisiert und treffen zunehmend kommunale Verwaltungen, Mittelständler, Krankenhäuser, Logistik und Dienstleister.
- Die Zahl gemeldeter KRITIS-Störungen stieg im betrachteten BSI-Berichtszeitraum von 490 auf 726. Das kann sowohl mehr Vorfälle als auch bessere Meldung bedeuten.
- Physische und digitale Abhängigkeiten werden noch nicht überall gemeinsam geprüft.
- Warnkanäle funktionieren bundesweit besser, weisen aber regional erhebliche Unterschiede auf.
- Die Bevölkerung ist nur begrenzt vorbereitet.
- Die verbliebenen 579 öffentlichen Schutzräume mit rund 478.000 Plätzen sind derzeit nicht einsatzbereit.
- Neue Gesetze und Milliardenprogramme sind überwiegend Input-Größen. Ihre praktische Wirkung ist noch nicht belastbar nachgewiesen.
- Eine amtliche Gesamtrechnung der Cyber- und Resilienzschäden fehlt.

Der zentrale Staatsfehler ist daher weniger völlige Untätigkeit als eine lange zu langsame Anpassung an verkettete digitale, physische und hybride Risiken.

## 2. Definition, Reichweite und Evidenz

Unterschieden werden:

1. gewöhnliche Cyberkriminalität,
2. Ransomware und digitale Erpressung,
3. staatliche Spionage, Sabotage und hybride Einflussnahme,
4. IT-Sicherheit kritischer Betreiber,
5. physischer Schutz kritischer Anlagen,
6. Warnsysteme und Selbstschutz,
7. Schutzräume, Reserven und zivile Verteidigung,
8. föderale Krisenführung und Regulierung.

Evidenzklassen:

- **A:** amtliche Kennzahl oder geltendes Recht
- **B:** amtliche Lage- oder Gefährdungsbewertung
- **C:** Anhörung, Umfrage oder institutionelle Selbstauskunft
- **U:** derzeit nicht belastbar quantifizierbar

Gemeldete Vorfälle sind weder identisch mit Angriffen noch mit erfolgreichen Ausfällen. Polizeifälle enthalten ein großes Dunkelfeld; KRITIS-Meldungen hängen zusätzlich von Meldepflichten und Meldepraxis ab.

## 3. Zentrale Teilprobleme

### Cyberlage

- 131.391 Cybercrime-Fälle mit Tatort Deutschland im Jahr 2024.
- Weitere 201.877 Auslandstaten beziehungsweise Fälle mit unbekanntem Tatort und Wirkung in Deutschland.
- 950 angezeigte schwere Ransomware-Fälle.
- Großes Dunkelfeld bei nicht erkannten oder aus Reputationsgründen nicht gemeldeten Vorfällen.
- Professionalisierte „Cybercrime-as-a-Service“-Strukturen.
- DDoS- und Ransomware-Angriffe gegen Verwaltung, Logistik, Produktion und öffentliche Einrichtungen.
- Staatliche Spionage, Ausforschung und Sabotagevorbereitung.
- Schwierige technische und rechtssichere Attribution.
- Überforderung kleiner Unternehmen und Kommunen.
- Abhängigkeit von wenigen Cloud-, Software- und IT-Dienstleistern.
- Veraltete, nicht mehr unterstützte Systeme.
- Fehlende amtliche Gesamtschadensrechnung.

### Kritische Infrastruktur

- 726 Meldungen über relevante oder potenziell relevante KRITIS-Störungen.
- Besonders viele Meldungen aus Verkehr, Gesundheit, Energie, Finanzwesen und IT/Telekommunikation.
- Unterschiedliche Reife von Informationssicherheits- und Notfallmanagementsystemen.
- Noch nicht durchgängig integrierte physische und digitale Risikoanalyse.
- Schwellenwerte können lokal hochkritische Anlagen unterhalb der bundesweiten Erfassung lassen.
- Teilweise komplizierte Abgrenzung von Bund, Ländern, Aufsichtsbehörden und Betreibern.
- Zusätzliche Verordnungen und praktische Vollzugsstrukturen werden benötigt.
- Informationsbedarf der Öffentlichkeit steht in Spannung zum Schutz sensibler Standort- und Schwachstellendaten.
- Zu wenige öffentliche Kennzahlen über Wiederanlaufzeiten, Übungen und tatsächliche Widerstandsfähigkeit.

### Bevölkerungsschutz

- Warnung erreicht inzwischen einen sehr großen Teil der Bevölkerung.
- Erreichbarkeit über Sirenen, Cell Broadcast und Apps variiert regional.
- Nur ein begrenzter Bevölkerungsanteil beschäftigt sich praktisch mit Krisenvorsorge.
- Lediglich 26 % halten den Bevölkerungsschutz für gut vorbereitet.
- 579 öffentliche Schutzräume sind nicht einsatzbereit.
- Eine moderne Schutzraumkonzeption war im Mai 2026 noch nicht abgeschlossen.
- Neue Fahrzeuge, Notstromversorgung und THW-Ausbau müssen erst in messbare Einsatzfähigkeit übersetzt werden.
- Zivilschutz des Bundes, Katastrophenschutz der Länder und kommunaler Vollzug sind eng verflochten, aber nicht einheitlich organisiert.

## 4. Schlüsselkennzahlen

| Kennzahl | Wert | Einordnung |
|---|---:|---|
| Cybercrime mit Tatort Deutschland, 2024 | 131.391 Fälle | Polizeiliches Hellfeld |
| Ausland/Ort unbekannt mit Wirkung Deutschland | 201.877 Fälle | Nicht mit Inlandsfällen zu einer Angriffsquote verrechenbar |
| Angezeigte schwere Ransomware-Fälle | 950 | Rund zwei bis drei täglich |
| KRITIS-Meldungen im BSI-Berichtszeitraum | 726 | Vorjahr 490; Meldungen sind keine Schadenssumme |
| Verkehr | 185 Meldungen | Höchster Sektorwert |
| Gesundheit | 141 | Kritische medizinische Abhängigkeiten |
| Energie | 137 | Trotz sehr hoher normaler Versorgungssicherheit |
| Finanz- und Versicherungswesen | 120 | Einschließlich vorsorglicher Meldungen |
| IT und Telekommunikation | 107 | Hohe Kaskadenrelevanz |
| Stromausfallzeit, 2024 | 11,7 Minuten je Letztverbraucher | Sehr guter europäischer Wert; Extremereignisse teilweise nicht enthalten |
| Gasunterbrechung, 2024 | 1,55 Minuten | Langjährig sehr zuverlässig |
| Warnung am Warntag 2024 | 97 % der Befragten | Gewichtete Befragung, keine Vollerhebung |
| Bevölkerung hält Schutz für gut vorbereitet | 26 % | Wahrnehmungsindikator |
| Öffentliche Schutzräume | 579 | Nicht funktions- beziehungsweise einsatzbereit |
| Gewidmete Schutzplätze | rund 478.000 | Nur circa 0,6 % der Bevölkerung |
| Bevölkerungsschutzpakt | 10 Mrd. € bis 2029 angekündigt | Ausgabenrahmen, keine Wirkungskennzahl |

## 5. Historische Entwicklung

- **2007:** Der Bund beendet die flächendeckende Erhaltung und schrittweise Rückabwicklung öffentlicher Schutzräume. Das erklärt einen wesentlichen Teil des heutigen Zustands.
- **2015:** Erstes IT-Sicherheitsgesetz und Aufbau verbindlicher KRITIS-Anforderungen.
- **2021–2024:** Nach Flutkatastrophe und Warnproblemen Ausbau von Cell Broadcast, MoWaS, NINA und Sirenenförderung.
- **2023/24:** KRITIS-Meldungen steigen im BSI-Lagebericht von 490 auf 726.
- **Oktober 2024:** EU-Frist zur NIS-2-Umsetzung wird verfehlt.
- **6. Dezember 2025:** Deutsches NIS-2-Umsetzungsgesetz tritt in Kraft.
- **17. März 2026:** KRITIS-Dachgesetz tritt in Kraft; einzelne Vorschriften werden erst später wirksam.
- **2026:** Bund kündigt Bevölkerungsschutzpakt, THW-Ausbau und eine neue Schutzraumkonzeption an.

## 6. Regionale Unterschiede

Die Unterschiede verlaufen weniger zwischen Ost und West als zwischen unterschiedlichen kommunalen Ausgangslagen:

- Sirenendichte und Warnreichweite unterscheiden sich stark nach Postleitzahlregion.
- NINA-Reichweiten reichen laut BBK-Auswertungen regional von niedrigen Minderheitenanteilen bis zu deutlich über der Hälfte.
- Finanzstarke Städte können Cyberpersonal, Notstrom und Redundanzen eher finanzieren als kleine Kreise und Gemeinden.
- Länder verfügen über unterschiedliche CERT-, Krisenstabs- und Unterstützungsstrukturen.
- Ballungsräume besitzen hohe Redundanz, zugleich aber komplexe Abhängigkeiten.
- Ländliche Räume haben weniger Ausweichinfrastruktur, teilweise aber robustere lokale Hilfsnetzwerke.

Eine konsistente amtliche Rangliste der Länder nach tatsächlicher Krisenresilienz existiert nicht.

## 7. Internationaler Vergleich

- Deutschlands normale Stromversorgung gehört weiterhin zu den zuverlässigsten Europas.
- Cybercrime-Quoten sind international kaum seriös vergleichbar, weil Anzeigeverhalten, Straftatbestände und Erfassung voneinander abweichen.
- NIS 2 und der Cyber Resilience Act schaffen gemeinsame europäische Mindestanforderungen.
- Deutschlands verspätete NIS-2-Umsetzung war ein institutioneller Rückstand; dieser ist rechtlich inzwischen aufgeholt, praktisch aber noch nicht vollständig umgesetzt.
- Länder mit längerer Tradition der Gesamtverteidigung verfügen häufig über größere Schutzraumkapazitäten. Ein direkter Vergleich muss Bauweise, Bedrohungsbild und Nutzbarkeit berücksichtigen.

## 8. Ursachen

- Digitalisierung ohne gleichzeitige Modernisierung aller Altsysteme.
- Fachkräftemangel bei Kommunen, Mittelstand und Sicherheitsbehörden.
- Zersplitterte Anbieter- und Zuständigkeitslandschaft.
- Abhängigkeit von zentralen IT-Dienstleistern und Cloudplattformen.
- Unzureichende Inventarisierung von Geräten, Software und Lieferanten.
- Wirtschaftliche Anreize, Sicherheitsinvestitionen aufzuschieben.
- Jahrzehntelange Friedensdividende im Zivil- und Schutzraumbereich.
- Föderale Trennung von Zivil-, Katastrophen- und Gefahrenabwehr.
- Fehlende gemeinsame Wirkungskennzahlen.
- Technisch und politisch schwierige Attribution staatlicher Angriffe.
- Zu geringe individuelle Vorsorge und teilweise unrealistische Erwartungen an staatliche Soforthilfe.

## 9. Verantwortlichkeiten

| Akteur | Hauptverantwortung |
|---|---|
| EU | NIS 2, Cyber Resilience Act, sektorale Mindeststandards |
| Bundestag/Bundesregierung | Rechtsrahmen, Finanzierung, zivile Verteidigung, ressortübergreifende Koordination |
| BSI | Cyberlage, Aufsicht, Warnung, Beratung und Vorfallunterstützung |
| BBK | Zivilschutz, Warnsysteme, Schutzraum- und Vorsorgekonzepte |
| BKA | Strafverfolgung und internationale Cybercrime-Operationen |
| BfV | Spionage-, Sabotage- und hybride Gefahren |
| Bundesnetzagentur | Versorgungssicherheit und sektorale Sicherheitsanforderungen |
| Länder | Katastrophenschutz, Polizei, Landes-CERTs, Unterstützung der Kommunen |
| Kommunen | Örtliche Gefahrenabwehr, Warnmittel, Notunterkünfte und operative Krisenstäbe |
| Betreiber | Risikoanalyse, Redundanz, Business Continuity, Meldung und Wiederanlauf |
| Hersteller/IT-Dienstleister | Sichere Produkte, Updates, Schwachstellenmanagement |
| Bevölkerung | Realistische Eigenvorsorge; keine Übernahme staatlicher Schutzpflichten |

## 10. Politische Entscheidungen

Kritisch zu bewerten sind:

- die Schutzraum-Rückabwicklung ab 2007 ohne rasch aktivierbares Ersatzkonzept,
- die verspätete NIS-2-Umsetzung,
- lange getrennte Regulierung von Cyber- und physischer Resilienz,
- zu wenig gemeinsame Planung von Bund, Ländern und Kommunen,
- fehlende Transparenz über Ergebnisse von Übungen und Investitionen.

Positiv zu bewerten sind:

- Ausbau des Warnmixes,
- NIS-2-Ausweitung von zuvor ungefähr 4.500 auf voraussichtlich mehr als 30.000 regulierte Einrichtungen,
- Inkrafttreten des KRITIS-Dachgesetzes,
- internationale Zerschlagung krimineller Cyberinfrastruktur,
- angekündigter Bevölkerungsschutz- und THW-Ausbau.

## 11. Direkte Kosten

Eine amtliche Gesamtschadenssumme existiert nicht.

Das BKA zitiert eine Bitkom-Unternehmensbefragung mit **178,6 Milliarden Euro** Schäden durch Cyberangriffe. Das ist kein volkswirtschaftlicher Rechnungsabschluss: Hochrechnung, Stichprobe, Selbstauskunft und mögliche Überschneidungen begrenzen die Aussagekraft.

Öffentliche Inputs umfassen unter anderem:

- 10 Milliarden Euro angekündigter Bevölkerungsschutzpakt bis 2029,
- rund 3 Milliarden Euro für Aufbau und Modernisierung des THW,
- 22,5 Millionen Euro im Sirenenförderprogramm 2.0,
- weitere, derzeit nicht vollständig aggregierbare Ausgaben für IT-Sicherheit, Notstrom, Fahrzeuge und Reserven.

Diese Beträge dürfen weder untereinander noch mit privaten Schadensschätzungen zu einer „Gesamtsumme“ addiert werden.

## 12. Indirekte und langfristige Kosten

Nicht belastbar vollständig quantifizierbar sind:

- Produktions- und Verwaltungsausfälle,
- verzögerte medizinische Versorgung,
- Wiederherstellung und Datenbereinigung,
- Verlust geistigen Eigentums,
- höhere Versicherungs- und Finanzierungskosten,
- Vertrauensverlust in digitale Dienste,
- Fehlallokationen durch vorsorgliche Systemabschaltungen,
- Kaskaden zwischen Strom, Telekommunikation, Verkehr, Wasser und Gesundheit,
- Opportunitätskosten dauerhafter Notfallreserven,
- gesellschaftliche Folgen länger anhaltender Kommunikations- oder Versorgungsausfälle.

## 13. Gewinner, Verlierer und Anreizstrukturen

**Verlierer:** Patienten, Bürger kommunaler Dienstleistungen, kleine Unternehmen, Beschäftigte ausgefallener Betriebe, Betreiber mit unzureichender Redundanz und Steuerzahler.

**Profiteure:** Cyberkriminelle, staatliche Nachrichtendienste, Ransomware-Dienstleister und Geldwäschenetzwerke. Legitime Sicherheitsanbieter profitieren ebenfalls von steigender Nachfrage; daraus folgt aber nicht automatisch ein schädlicher Anreiz.

Problematische Anreize:

- Sicherheitskosten fallen heute an, verhinderte Schäden bleiben unsichtbar.
- Betreiber fürchten Reputationsverluste durch Meldungen.
- Kommunen sparen an Redundanz, solange Krisen selten erscheinen.
- Versicherungen und Lösegeldzahlungen können im Einzelfall den Erpressungsmarkt stabilisieren.
- Behörden messen Mittelabfluss leichter als Wiederanlauffähigkeit.

## 14. Gegenargumente und faire Einordnung

- **„Deutschland ist infrastrukturell marode.“** Zu pauschal: Strom und Gas funktionieren im Regelbetrieb äußerst zuverlässig.
- **„Mehr Meldungen beweisen mehr erfolgreiche Angriffe.“** Nein. Sie können auch aus besserer Erfassung und erweiterten Meldepflichten entstehen.
- **„Der Staat tut nichts.“** Falsch. Warnsysteme, Gesetze, Strafverfolgung und Investitionen wurden ausgebaut.
- **„Jeder braucht einen gehärteten Bunkerplatz.“** Nicht zwingend. Dezentrale Schutzräume, Tiefgaragen, kurzfristig ertüchtigbare Gebäude und Evakuierung können kosteneffektiver sein.
- **„Aktive Cyberabwehr löst das Problem.“** Nur begrenzt. Fehlattribution, Kollateralschäden und internationale Eskalation sprechen für enge rechtliche Grenzen.
- **„Die Bevölkerung ist allein verantwortlich.“** Nein. Eigenvorsorge ergänzt staatliche Schutz- und Informationspflichten, ersetzt sie aber nicht.
- **„Alle kritischen Anlagen sollten öffentlich bekannt sein.“** Vollständige Transparenz kann selbst Sicherheitsrisiken erzeugen.

## 15. Daten- und Forschungslücken

Es fehlen insbesondere:

- eine amtliche, methodisch stabile Cyber-Schadensrechnung,
- repräsentative Dunkelfeldstudien,
- gemeinsame Klassifikationen für Cyber- und physische Vorfälle,
- regionale Resilienzindikatoren,
- öffentliche Wiederanlauf- und Übungskennzahlen,
- Zustand und Notstromautonomie kommunaler Einrichtungen,
- belastbare Messung der NIS-2- und KRITIS-Dachgesetz-Wirkung,
- Inventar kurzfristig nutzbarer Schutzorte,
- transparente Kosten-Nutzen-Vergleiche verschiedener Schutzraumkonzepte,
- systematische, veröffentlichte Auswertung realer Krisen und Großübungen.

## 16. Reformoptionen

1. Verbindliche Mindeststandards: Mehrfaktorauthentifizierung, Segmentierung, Patchfristen, Offline-Backups, Protokollierung und Wiederanlauftests.
2. Gemeinsame Cyberdienste und Notfallteams für Kommunen und kleine Betreiber.
3. Einheitliches Meldeportal, das NIS 2, KRITIS, Datenschutz und sektorspezifische Meldungen zuordnet.
4. Gemeinsame physische und digitale Risikoanalysen.
5. Erfassung funktionaler Abhängigkeiten statt allein statischer Betreiberlisten.
6. Länderoptionen für lokal kritische Anlagen konsequent nutzen.
7. Herstellerhaftung und sichere Produktentwicklung über den Cyber Resilience Act durchsetzen.
8. Mindestanforderungen an Lieferanten, Fernwartung und privilegierte Zugänge.
9. Gemeinsame Bund-Länder-Kommandostrukturen regelmäßig praktisch testen.
10. Aktive Cybermaßnahmen nur mit klarer Rechtsgrundlage, Verhältnismäßigkeitsprüfung und Kontrolle.
11. Sirenen, Cell Broadcast, Radio und Apps dauerhaft als redundanten Warnmix erhalten.
12. Vorsorgeinformationen stärker in Schulen, Betrieben und kommunalen Angeboten verankern.
13. Schutzorte nach Schutzwirkung, Aktivierungszeit und Kapazität kartieren.
14. Notstrom-, Treibstoff-, Kommunikations- und Medizinreserven rotierend testen.
15. Bevölkerungsschutzpakt mit öffentlichen Ergebnisindikatoren versehen.
16. Nach großen Übungen und realen Lagen strukturierte, soweit möglich öffentliche Nachberichte erstellen.

## 17. Umsetzungsbarrieren

- Fachkräfte- und Beschaffungsmangel,
- konkurrierende kommunale Haushaltsprioritäten,
- Widerstand gegen zusätzliche Dokumentation,
- mehrere nicht vollständig deckungsgleiche Aufsichtsregime,
- Geheimschutz und sensible Betreiberinformationen,
- schnelle technische Alterung,
- uneinheitliche Ausgangslage der Länder,
- Abhängigkeit von privaten Dienstleistern,
- schwierige Erfolgsmessung verhinderter Schäden,
- Risiko politischer Symbolinvestitionen ohne dauerhafte Betriebsfinanzierung.

## 18. Zentrale Quellen

- [BKA: Bundeslagebild Cybercrime 2024](https://www.bka.de/DE/Presse/Listenseite_Pressemitteilungen/2025/Presse2025/250603_PM_BLB_Cybercrime.html)
- [BSI: Lage der IT-Sicherheit in Deutschland 2024](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2024.pdf?__blob=publicationFile&v=3)
- [BSI: Lagebericht 2023](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2023.pdf?__blob=publicationFile&v=8)
- [BSI: Beispiel aktiv ausgenutzter Ivanti-Schwachstellen](https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2025/2025-238620-1032.html)
- [BfV: Verfassungsschutzbericht 2024](https://www.verfassungsschutz.de/SharedDocs/publikationen/DE/verfassungsschutzberichte/2025-06-10-verfassungsschutzbericht-2024.pdf?__blob=publicationFile&v=4)
- [BSI: NIS-2-Registrierung](https://mip2.bsi.bund.de/de/info-nis2-registrierung/)
- [Bundestagsprotokoll zur NIS-2-Umsetzung](https://dserver.bundestag.de/btp/21/21021.pdf)
- [Bundesregierung: KRITIS-Dachgesetz](https://www.bundesregierung.de/breg-de/aktuelles/kritis-dachgesetz-2383682)
- [BSI: Cyber Resilience Act](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html)
- [Bundesnetzagentur: Strom-Versorgungsqualität 2024](https://www.bundesnetzagentur.de/SharedDocs/Pressemitteilungen/DE/2025/20251009_Saidi_Strom.html)
- [Bundesnetzagentur: Gas-Versorgungsqualität 2024](https://www.bundesnetzagentur.de/SharedDocs/Pressemitteilungen/DE/2025/20250915_SAIDI_gas.html)
- [BBK: Auswertung Warntag 2024](https://www.bbk.bund.de/SharedDocs/Downloads/DE/Mediathek/Publikationen/Warnung/warntag-umfrage-2024_download.pdf?__blob=publicationFile&v=2)
- [BBK: Bevölkerungsschutz und persönliche Vorsorge 2026](https://www.bbk.bund.de/SharedDocs/Downloads/DE/Mediathek/Publikationen/BSMAG/bsmag_26_1.pdf?__blob=publicationFile&v=3)
- [BBK: Schutzbauwerke](https://www.bbk.bund.de/DE/Themen/Risikomanagement/Baulicher-Bevoelkerungsschutz/Schutzbauwerke/schutzbauwerke_node.html)
- [Bundestag: Bestand öffentlicher Schutzräume](https://dserver.bundestag.de/btd/20/146/2014631.pdf)
- [BBK: Zuständigkeiten im Zivilschutz](https://www.bbk.bund.de/DE/Das-BBK/Zivile-Verteidigung/Zivilschutz/zivilschutz_node.html)
- [BBK: Pakt für Bevölkerungsschutz](https://www.bbk.bund.de/SharedDocs/Kurzmeldungen/DE/2026/05/om-22-pakt-bevoelkerungsschutz.html)
- [BSI: Bund-Länder-Zusammenarbeit](https://www.bsi.bund.de/DE/Das-BSI/Organisation-und-Aufb
… (Ansicht gekürzt; der gespeicherte Text ist vollständig)