Kurzdefinition: § 15 BSIG erlaubt dem Bundesamt, öffentlich erreichbare Systeme aktiv auf bekannte Schwachstellen zu prüfen, um Angriffsmethoden und Sicherheitsrisiken zu erkennen. [N-BSIG-15]
Der Normwortlaut
§ 15 Abs. 1 BSIG bestimmt, dass das Bundesamt im Rahmen seiner Aufgaben „zur Detektion von bekannten Schwachstellen und anderen Sicherheitsrisiken Abfragen an den Schnittstellen öffentlich erreichbarer informationstechnischer Systeme zu öffentlichen Telekommunikationsnetzen durchführen“ kann. [N-BSIG-15]
Darf das BSI fremde Systeme scannen?
Ja, im gesetzlich gesteckten Rahmen. § 15 BSIG gibt dem Bundesamt die Befugnis, öffentlich erreichbare IT-Systeme an ihren Schnittstellen zu öffentlichen Telekommunikationsnetzen abzufragen, um bekannte Schwachstellen und Sicherheitsrisiken zu erkennen. Ziel ist die Verbesserung der nationalen Cybersicherheitslage, nicht der Eingriff in interne Systeme. [N-BSIG-15]
Was darf das BSI konkret abfragen?
Öffentlich erreichbare Schnittstellen auf bekannte Schwachstellen. Die Befugnis bezieht sich auf die von außen erreichbaren Schnittstellen zu öffentlichen Netzen und auf die Erkennung bekannter Schwachstellen und Sicherheitsrisiken. Das Gesetz umgrenzt damit, was zulässig ist, und bindet die Detektion an den Zweck der Gefahrenerkennung. [N-BSIG-15]
Was bedeutet das für Unternehmen?
Von außen sichtbare Schwachstellen können auffallen. Da das Bundesamt öffentlich erreichbare Systeme prüfen darf, sollten Unternehmen davon ausgehen, dass exponierte, ungepatchte Dienste erkennbar sind. Das ist ein weiterer Grund, die eigene Angriffsfläche zu minimieren, bekannte Schwachstellen zügig zu schließen und auf entsprechende Hinweise zu reagieren. [N-BSIG-15]
Wie hängt das mit Warnungen und Rückmeldungen zusammen?
Detektion speist die Warn- und Informationsarbeit. Erkennt das Bundesamt bei der Detektion Schwachstellen, kann daraus eine Warnung oder eine gezielte Information an Betroffene folgen. § 15 BSIG ist damit ein Baustein einer Kette aus Erkennen, Warnen und Beheben, die die allgemeine Cybersicherheit stärken soll. [N-BSIG-15]
Werden Betreiber über gefundene Schwachstellen informiert?
Ja. Detektiert das Bundesamt bei einer Abfrage eine Schwachstelle oder ein anderes Sicherheitsrisiko, informiert es die Verantwortlichen unverzüglich und soll auf bestehende Möglichkeiten zur Abhilfe hinweisen. Die Detektion dient der Warnung, nicht der Bloßstellung. [N-BSIG-15]
Darf das Bundesamt Täuschungssysteme einsetzen?
Ja. Es darf Systeme und Verfahren einsetzen, die einem Angreifer einen erfolgreichen Angriff vortäuschen (Honeypots), um Angriffsmethoden zu erheben und auszuwerten. So gewinnt es Erkenntnisse über aktuelle Vorgehensweisen, ohne reale Systeme zu gefährden. [N-BSIG-15]
Häufige Fehlannahmen
- „Das BSI darf beliebig in interne Systeme eindringen.“ Nein. § 15 BSIG betrifft öffentlich erreichbare Schnittstellen. [N-BSIG-15]
- „Von außen sichtbare Schwachstellen bleiben unbemerkt.“ Nicht sicher; das Bundesamt darf sie detektieren. [N-BSIG-15]
- „Die Detektion dient dem Zugriff auf Unternehmensdaten.“ Nein. Sie dient der Erkennung von Sicherheitsrisiken. [N-BSIG-15]
- „Wird eine Schwachstelle gefunden, erfährt der Betreiber davon nichts.“ Nein. Das Bundesamt informiert die Verantwortlichen unverzüglich und soll auf bestehende Möglichkeiten zur Abhilfe hinweisen. [N-BSIG-15]
- „Das Bundesamt darf keine Täuschungssysteme einsetzen.“ Doch. Es darf Systeme einsetzen, die einem Angreifer einen erfolgreichen Angriff vortäuschen (Honeypots), um Angriffsmethoden zu erheben und auszuwerten. [N-BSIG-15]
Was die Geschäftsleitung tun sollte
- Angriffsfläche minimieren. Exponierte Dienste reduzieren und absichern.
- Schnell patchen. Bekannte Schwachstellen zügig schließen.
- Hinweise ernst nehmen. Auf Warnungen und Rückmeldungen reagieren.
- Extern testen. Eigene Angriffsfläche regelmäßig überprüfen.
Für die Geschäftsleitung
§ 15 BSIG erlaubt dem Bundesamt, öffentlich erreichbare Systeme auf bekannte Schwachstellen zu prüfen. Für Unternehmen ist das ein klarer Anstoß, die von außen sichtbare Angriffsfläche klein zu halten und bekannte Lücken schnell zu schließen.
Quellen
- [N-BSIG-15] § 15 BSIG (Detektion von Angriffsmethoden und von Sicherheitsrisiken), Abs. 1. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__15.html
