Digitalbonus Bayern: was die Richtlinie für IT-Sicherheit wirklich zahlt

/01Begriff und Abgrenzung: Was der Digitalbonus ist und was nicht

Der Digitalbonus ist ein Zuschuss des Freistaats Bayern für kleine Unternehmen, die in Digitalisierung oder in IT-Sicherheit investieren, etwa in Managed Services oder in Schutz vor Ransomware. Rechtsgrundlage ist die Richtlinie BayVV 7071-W, die seit dem 1. Juli 2024 gilt und zum 31. Dezember 2027 endet. Rechtlich handelt es sich um eine Anteilfinanzierung in Form einer Projektförderung: Das Unternehmen trägt die Ausgaben zuerst selbst, der Staat erstattet im Nachhinein einen Teil. Ein Darlehen ist das nicht, es wird nichts zurückgezahlt, solange die Bedingungen eingehalten werden. Die Richtlinie unterscheidet zwei Stufen. Der Digitalbonus Standard deckt die normale Digitalisierung und die IT-Sicherheit ab, der Digitalbonus Plus ist für Vorhaben mit besonderem Innovationsgehalt gedacht, die Richtlinie nennt Künstliche Intelligenz, intelligente Robotik, Simulation und digitale Zwillinge.

Wichtig ist die Abgrenzung nach zwei Seiten. Der Digitalbonus ist keine Pflicht und kein Gütesiegel: Er zahlt keine Mitgliedschaft in einem Sicherheitsprogramm, und er bescheinigt nicht, dass eine IT sicher ist. Er bescheinigt auch keine Konformität mit BSI-Grundschutz oder ISO 27001. Er ist außerdem kein Anspruch. Die Richtlinie formuliert die Förderung als freiwillige Leistung, die „ohne Rechtsanspruch im Rahmen der verfügbaren Haushaltsmittel“ erfolgt. Bei Überzeichnung kann ein Antrag abgelehnt werden. Wer die Förderung in eine Kalkulation einplant, sollte sie deshalb als möglichen Zuschuss behandeln und nicht als sichere Einnahme.

Für diesen Artikel wurde die Richtlinie im Volltext auf gesetze-bayern.de gelesen (abgerufen am 05.11.2026). Alle Beträge und Fristen stammen von dort. Viele Webseiten nennen noch Standard 10.000 Euro und Plus 50.000 Euro; das sind Werte älterer Fassungen und gelten für Anträge ab Juli 2024 nicht mehr. Wer eine Zahl weitergibt, sollte sie vorher am Richtlinientext oder bei der zuständigen Regierung gegenprüfen.

/02Wer antragsberechtigt ist: die 50-Mitarbeiter-Grenze und ihre Nachbarn

Antragsberechtigt sind kleine gewerbliche Unternehmen mit einer Betriebsstätte in Bayern, in der die geförderte Maßnahme eingesetzt wird. Als klein gilt ein gewerbesteuerpflichtiges Unternehmen mit weniger als 50 Vollzeitäquivalenten und höchstens 10 Millionen Euro Jahresumsatz oder Jahresbilanzsumme. Maßgeblich ist der letzte Jahresabschluss. Die Zahl der Vollzeitäquivalente ist dabei nicht die Zahl der Köpfe: Zwei Halbtagskräfte zählen als eine Stelle. Wer 55 Personen beschäftigt, davon viele in Teilzeit, kann deshalb unter der Grenze liegen, und wer 48 Vollzeitkräfte hat, liegt knapp darunter. Die Grenze verschiebt sich außerdem mit jedem Jahresabschluss, ein wachsender Betrieb sollte den Antrag nicht auf das nächste Jahr schieben.

Auffällig ist die Liste der Ausschlüsse. Freie Berufe zählen nicht zu den Antragstellern, eine Steuerkanzlei oder eine Arztpraxis kann den Digitalbonus also nicht beantragen, obwohl beide hohe Anforderungen an Datenschutz und an die technischen und organisatorischen Maßnahmen haben. Auch Unternehmen mit öffentlicher Beteiligung und gewerbesteuerbefreite Organisationen sind weitgehend ausgeschlossen. Ob ein konkreter Betrieb darunterfällt, lässt sich aus dem Richtlinientext nicht immer sicher ablesen; im Zweifel entscheidet die Bewilligungsstelle.

/03IT-Sicherheit im Sinne der Richtlinie: Firewall ja, Server nein

Die Richtlinie nennt in Nr. 2.2 die „Einführung oder Verbesserung der IT-Sicherheit im Unternehmen“ als Fördergegenstand. Zuwendungsfähig sind Leistungen externer Anbieter, notwendige Software sowie anteilige Beratungs- und Schulungskosten für die einzuführende Lösung. Bei Maßnahmen der IT-Sicherheit gehört die dazu notwendige IKT-Hardware ausdrücklich dazu, die Richtlinie nennt Firewalls und Datensicherungskomponenten als Beispiele. Das ist für kleine Betriebe die entscheidende Stelle, denn bei der Digitalisierung im engeren Sinn ist Hardware ausgeschlossen, bei der Sicherheit nicht.

Zugleich zieht die Richtlinie klare Grenzen. Nicht zuwendungsfähig ist Standard-IKT-Hardware, die Richtlinie führt Server, PCs, Monitore, Laptops, Tablets, Smartphones, Drucker und Telefone auf. Ebenso ausgeschlossen sind Standardsoftware wie Bürosoftware und Betriebssysteme, Ersatzbeschaffungen sowie Beratung und Schulung ohne Implementierung einer Lösung. Die Folge ist eine Trennlinie, die quer durch typische Projekte läuft: Eine neue Firewall (etwa auf Basis von OPNsense) mit Regelwerk, Intrusion-Prevention und Protokollierung kann förderfähig sein, der Server, auf dem die Fachanwendung läuft, nicht.

Die Einordnung ist eine Lesart des Richtlinientextes, kein Bescheid. Die letzte Zeile verdient Aufmerksamkeit: Die Richtlinie spricht von Leistungen externer Anbieter, sagt aber nicht, ob laufende Betriebsentgelte über Monate oder Jahre ebenso zählen wie eine einmalige Einrichtung. Wer eine Firewall nicht kauft, sondern als betriebene Leistung bezieht, sollte genau diese Frage vor dem Antrag klären. Eine ausführliche Prüfung der eigenen Ausgangslage, etwa mit dem MFA-Stand oder den Backup-Zielen, liefert die Grundlage für das Konzept im Antrag; als Einstieg eignet sich die Liste der zehn Prüffragen für KMU.

/04Was herauskommt: Fördersatz, Höchstbeträge und Mindestausgabe durchgerechnet

Der Fördersatz beträgt bis zu 50 Prozent der zuwendungsfähigen Ausgaben. „Bis zu“ ist wörtlich gemeint: Die Bewilligungsstelle kann weniger bewilligen. Eine Förderung ist ab zuwendungsfähigen Ausgaben von 4.000 Euro möglich, darunter wird nichts bewilligt. Die Standardstufe deckelt den Zuschuss auf 7.500 Euro bei höchstens 150.000 Euro zuwendungsfähigen Ausgaben, die Plus-Stufe auf 30.000 Euro bei höchstens 600.000 Euro. Rechnerisch ist der Deckel der Standardstufe bei 15.000 Euro Ausgaben erreicht, weil die Hälfte davon 7.500 Euro ergibt. Alles darüber hinaus zahlt der Betrieb vollständig selbst.

Die folgenden Beträge sind angenommen und dienen nur der Rechnung. Sie sind keine Preise von HostSpezial und keine Aussage über übliche Projektkosten.

Ein durchgerechnetes Projekt zeigt, wie die Trennlinie wirkt. Angenommen, ein Betrieb mit 30 Vollzeitäquivalenten plant eine neue Firewall für 6.000 Euro, deren Einrichtung durch einen Dienstleister für 2.500 Euro, Datensicherungskomponenten für 5.500 Euro und zusätzlich einen neuen Server für 9.000 Euro. Der Server ist Standard-IKT-Hardware und fällt heraus. Zuwendungsfähig bleiben 14.000 Euro, die Hälfte davon sind 7.000 Euro und liegen unter dem Deckel von 7.500 Euro. Der Betrieb zahlt insgesamt 23.000 Euro, bekommt höchstens 7.000 Euro erstattet und trägt 16.000 Euro selbst, also rund 70 Prozent, obwohl das Programm mit 50 Prozent beworben wird. Wer die Förderquote auf die Gesamtsumme bezieht, rechnet sich das Projekt zu günstig.

Zwei Dinge fallen auf. Erstens lohnt sich der Zuschuss relativ am stärksten bei kleinen und mittleren Projekten bis etwa 15.000 Euro, darüber sinkt der prozentuale Anteil. Zweitens ist die Mindestausgabe eine harte Schwelle: Ein Projekt, das auf 3.900 Euro kommt, fällt vollständig heraus, während ein Projekt knapp über 4.000 Euro 2.000 Euro Zuschuss bringen kann. Es ist deshalb unseriös, Posten künstlich aufzublasen; zudem bleibt die Förderung an die tatsächlich angefallenen Ausgaben gebunden.

Der Digitalbonus Plus dürfte für klassische IT-Sicherheit selten greifen. Die Richtlinie knüpft ihn an besonderen Innovationsgehalt und führt als Beispiele Künstliche Intelligenz, intelligente Robotik, Simulation und digitale Zwillinge an. Eine klassische Firewall-Erneuerung gehört nicht zu diesen Beispielen. Plus und Standard lassen sich nicht für dasselbe Projekt kombinieren, und jeder Empfänger kann während der Laufzeit nur einmal gefördert werden. Wer also einen kleinen Posten jetzt über den Standard abrechnet, verbraucht damit die Förderung für ein späteres, größeres Vorhaben. Das gehört in die Planung, bevor der erste Antrag gestellt wird.

/05Die Reihenfolge entscheidet: Antrag vor Auftrag

Der häufigste Grund für eine Ablehnung steht in Nr. 4 der Richtlinie: Vorhaben, die vor der Antragstellung begonnen wurden, sind nicht förderfähig. Als Beginn gilt eine verbindliche Bestellung oder ein erteilter Dienstleistungsauftrag. Mit der Umsetzung darf erst nach der Bestätigung des Antragseingangs begonnen werden. Das ist keine Formsache: Ein unterschriebenes Angebot mit Auftragsbestätigung kann bereits als Vorhabenbeginn gelten. Wer einen Dienstleister beauftragt, bevor die Eingangsbestätigung vorliegt, hat das Vorhaben begonnen.

Der Antrag wird online gestellt, die Identifizierung läuft über das ELSTER-Unternehmenskonto. Wer das Konto noch nicht hat, sollte die Registrierung vor der Angebotsphase erledigen, weil der Antrag ohne Konto nicht gestellt werden kann. Bewilligungsstellen sind die örtlichen Regierungen. Die folgende Reihenfolge fasst die Richtlinie zusammen:

1. Ausgangslage klären. Welche Schutzmaßnahme soll eingeführt werden, welche Hardware ist dafür notwendig, welche Ausgaben sind Standard-Hardware und fallen heraus?
2. Angebot einholen. Ein Angebot ist noch kein Auftrag, solange es nicht verbindlich angenommen wird; ein Dienstleistervertrag mit Auftragsverarbeitung wird erst mit dem Auftrag geschlossen. Wichtig ist, dass im Angebot die förderfähigen und die nicht förderfähigen Posten getrennt ausgewiesen sind.
3. Antrag online stellen über das ELSTER-Unternehmenskonto, mit De-minimis-Erklärung.
4. Eingangsbestätigung abwarten. Erst danach darf der Auftrag erteilt oder bestellt werden.
5. Umsetzen innerhalb von 18 Monaten nach dem Förderbescheid; in begründeten Fällen ist eine Verlängerung möglich.
6. Projektmitteilung und Auszahlung. Die Auszahlung erfolgt nach einer Projektmitteilung des Empfängers.
7. Zweckbindung beachten. Die geförderten Wirtschaftsgüter sind drei Jahre ab Inbetriebnahme zweckgebunden. Bei zweckwidriger Nutzung kann die Förderung zurückgefordert werden.

Für den Schritt „Angebot einholen“ lohnt sich ein Raster, das in der Praxis Rückfragen spart. Das Angebot sollte die Maßnahme in einem Satz beschreiben, die Hardware- und die Dienstleistungsposten getrennt führen und bei jedem Hardwareposten festhalten, wofür er notwendig ist. Die Firewall ist notwendig, weil sie das Netz zum Internet abschottet; der Server daneben ist es nicht, auch wenn er im selben Rack steht. Außerdem gehört in das Angebot, ob es sich um eine Neueinführung oder um eine Verbesserung handelt, denn von dieser Unterscheidung hängt ab, ob der Posten als Ersatzbeschaffung gelesen werden kann. Wer mehrere Angebote vergleicht, vergleicht am besten die förderfähige Summe und nicht den Gesamtpreis, weil zwei Angebote mit gleichem Endpreis sehr unterschiedliche Zuschüsse auslösen können.

Die De-minimis-Erklärung hat einen Hintergrund: Die Förderung ist eine De-minimis-Beihilfe nach der Verordnung (EU) 2023/2831. Der Betrieb darf in einem Zeitraum von mehreren Jahren nur Beihilfen bis zu einer Obergrenze erhalten, und der Betrieb muss die Bescheinigung zehn Jahre aufbewahren. Wer bereits andere Zuschüsse bezogen hat, sollte sie bei der Antragstellung vollständig angeben; die Obergrenze selbst nennt die Richtlinie nicht, sie ergibt sich aus der EU-Verordnung.

Andere öffentliche Mittel für dieselbe Maßnahme sind nicht zulässig, mit Ausnahme öffentlicher Darlehen und Bürgschaften. Das betrifft vor allem Betriebe, die für dieselbe Firewall zusätzlich einen Bundeszuschuss beantragen wollen. Die Richtlinie verbietet diese Kombination für dieselbe Maßnahme, nicht aber für verschiedene Maßnahmen im selben Unternehmen.

/06Fallstricke: Ersatzbeschaffung, veraltete Zahlen und offene Fragen

Der Ausschluss von Ersatzbeschaffungen ist der Punkt, an dem Anträge am häufigsten an der Wirklichkeit vorbeigehen. Die meisten kleinen Betriebe haben bereits eine Firewall, ein Backup, einen Virenschutz; sie ersetzen diese Systeme, wenn sie veraltet sind. Eine reine Ersetzung desselben Typs ohne Verbesserung ist nach dem Richtlinientext ausgeschlossen. Förderfähig ist die Einführung oder Verbesserung. Wer also nicht nur ein altes Gerät tauscht, sondern erstmals Intrusion-Prevention, getrennte Netzsegmente (VLANs), ein VPN für Außendienst und Homeoffice oder ein unveränderliches Backup mit definiertem RPO und RTO einführt, kann das als Verbesserung beschreiben. Das muss der Antrag nachvollziehbar darlegen, die Bewertung liegt bei der Bewilligungsstelle.

Ein zweiter Fallstrick ist die Doppelförderung durch kommerzielle Lösungen. Ausgeschlossen sind IKT-Lösungen, die gegen Entgelt auch anderen Unternehmen als förderfähige Maßnahme dienen. Das betrifft vor allem Dienstleister, die geförderte Technik weiterverkaufen, kaum den Anwender. Für den Anwender entscheidend bleibt, dass die Technik in der eigenen Betriebsstätte in Bayern eingesetzt wird.

Drittens die Zahlen. Viele Beiträge nennen für den Digitalbonus Standard 10.000 Euro und für Plus 50.000 Euro. Diese Werte stammen aus einer älteren Fassung der Richtlinie; für Anträge seit dem 1. Juli 2024 gelten 7.500 und 30.000 Euro. Anträge, die bis zum 30. Juni 2024 eingegangen waren, richten sich nach der früheren Fassung. Wer eine Förderzahl in ein Angebot oder in eine Budgetplanung schreibt, sollte sie mit dem Bescheid belegen, nicht mit einer Webseite.

Viertens die offenen Fragen. Wie viele Mittel im laufenden Haushaltsjahr zur Verfügung stehen und wie lange die Bearbeitung dauert, steht nicht in der Richtlinie. Sekundärquellen nennen ein monatliches Antragskontingent; in der Richtlinie selbst findet sich dazu nichts, und wir haben es nicht belegt. Deshalb gilt: Aussagen zu Kontingenten und Wartezeiten bei der zuständigen Regierung erfragen. Wer in ein knappes Zeitfenster plant, etwa weil eine Cyberversicherung zum Jahreswechsel Nachweise verlangt, sollte den Zuschuss nicht als Voraussetzung einplanen. Welche Maßnahmen Versicherer üblicherweise erwarten, fasst der Artikel Cyber-Versicherung: Anforderungen und Best Practices zusammen.

Zuletzt die Steuer und die Rechtsfragen. Ob die Förderung steuerlich als Ertrag zu behandeln ist, wie sie bilanziert wird und ob ein Betrieb unter die De-minimis-Obergrenze fällt, sind Fragen für die Steuerberatung beziehungsweise die Bewilligungsstelle. HostSpezial gibt dazu keine Rechts- oder Steuerberatung; dieser Artikel gibt den Richtlinientext wieder und ersetzt weder die Antragsprüfung der Regierung noch eine individuelle Beratung.

/07Wann der Digitalbonus die richtige Planungsgrundlage ist — und wann nicht

Der Digitalbonus lohnt sich, wenn drei Bedingungen zusammentreffen. Das Vorhaben ist neu oder eine echte Verbesserung, nicht bloß ein Gerätetausch. Die Ausgaben liegen zwischen etwa 4.000 und 15.000 Euro im förderfähigen Teil, dort ist das Verhältnis von Aufwand und Zuschuss am günstigsten. Und es gibt Zeit: Wer den Antrag stellt, wartet auf die Eingangsbestätigung und beginnt erst danach, kann den Zuschuss realistisch einplanen.

Er ist die falsche Planungsgrundlage in vier Fällen. Erstens bei einem akuten Vorfall oder einer unmittelbar auslaufenden Frist: Wer nach einem Angriff schnell wiederherstellen muss (Incident Response) oder wessen Cyberversicherung zum Monatsende neue Nachweise verlangt, kann nicht auf die Eingangsbestätigung warten, ohne die Förderfähigkeit zu verlieren. Zweitens bei Betrieben, die über der Größengrenze liegen oder zu den ausgeschlossenen Gruppen zählen, etwa freie Berufe. Drittens bei Projekten, die überwiegend aus Standard-Hardware bestehen: Wenn 80 Prozent des Budgets auf Server und Notebooks entfallen, bleibt für den förderfähigen Teil zu wenig. Viertens bei Betrieben, die den Zuschuss bereits für eine andere Maßnahme genutzt haben, denn jeder Empfänger wird nur einmal gefördert.

Für Betriebe, die ihre IT ohnehin an einen Dienstleister übergeben wollen, bietet sich eine Reihenfolge an. Zuerst der Bestand: Welche Sicherheitsmaßnahmen laufen, welche fehlen, welche Posten wären förderfähig? Dann das Angebot mit getrennten Posten, dann der Antrag, dann der Auftrag. Das IT-Komplettpaket von HostSpezial wird ab 59 Euro je Arbeitsplatz und Monat angeboten, die Paketstufe legt ein IT-Audit fest; Backup, Netzwerk und Betrieb sind darin enthalten (Stand der Hausseite, abgerufen 05.11.2026), mit Patch-Management und Überwachung. Ob einzelne Bestandteile oder ein Betriebsentgelt im Digitalbonus zuwendungsfähig sind, kann HostSpezial nicht zusagen. Das entscheidet die Bewilligungsstelle auf Grundlage des Antrags.

Eine letzte Entscheidungshilfe, die in keiner Richtlinie steht: Die Maßnahme muss auch ohne Förderung sinnvoll sein. Wenn ein Projekt nur mit Zuschuss wirtschaftlich erscheint, ist es meist zu groß oder zu unwichtig dimensioniert. Sicherheitsmaßnahmen, die das Unternehmen wirklich braucht, etwa ein getestetes Backup nach dem 3-2-1-Prinzip, sollten nicht davon abhängen, ob ein Antrag bewilligt wird.

/08Häufige Fragen