Deichen statt Weichen Warum sich Kommunen vor „Cyberfluten“ schützen sollten

Anbieter zum Thema

G DATA CyberDefense AG

Ceyoniq Technology GmbH

PROSOZ Herten GmbH

Wer nicht will deichen, der muss weichen („Keen nich will dieken, de mutt wieken“)! Was hat dieser alte Rechtssatz aus dem norddeutschen Spaten­recht mit aktueller kommunaler Cybersicherheit zu tun? Eine ganze Menge. Denn Vorsorge ist besser als (teure) Nachsorge. Auch bei Schadens­ereig­nissen in der IT einer Kommunalverwaltung.

Sicherheitsvorfälle sind nicht plan- und berechenbar. Sie halten sich nicht an Öffnungszeiten und nehmen keine Rücksicht auf Stellenbesetzungen oder Ausfall- und Krankheitszeiten in einer Verwaltung.

Aber sie verfügen über ein hohes Schadenspotenzial. Ohne IT in der Verwaltung geht buchstäblich nichts mehr. Großräumige und/oder lang andauernde IT-Ausfälle führen häufig zur vollständigen Handlungsunfähigkeit von Kommunen.

Nahezu alle Verwaltungstätigkeiten werden mit sogenannten Fachverfahren digital bearbeitet. Auch die Kommunikation erfolgt fast ausschließlich elektronisch, und die digitale Akte ist weitgehend Realität oder mindestens in der Umsetzung. Bei einem IT-Ausfall in einer Kommune können die Folgen deshalb sehr gravierend für die Bevölkerung sein, beispielsweise:

• Fehlende Auszahlungen von Sozialleistungen treffen Menschen, die in der Regel keine Reserven haben und auf pünktliche Zahlung angewiesen sind.

• Mit abgelaufenen Ausweis- und Reisedokumenten, die nicht verlängert werden können, sind Auslandsreisen nicht möglich.

• Ein funktionierendes Kfz-Wesen ist sowohl für Bürgerinnen und Bürger als auch für die Wirtschaft relevant – Pkw und Lkw dürfen nur mit eine Anmeldung in der Kfz-Behörde gefahren werden.

Die Beispiele zeigen: Das Funktionieren kommunaler IT ist die Voraussetzung für das Funktionieren der Gesellschaft. Laut Bitkom betrugen die Schäden im Jahr 2023 durch Cyberkriminalität in Deutschland ca. 148,2 Mrd. Euro. Diese Zahl umfasst sowohl die Kosten für Wiederherstellung und Arbeitsausfall als auch für entstandene Image- und Folgeschäden. Diese Zahlen basieren auf Hochrechnungen freiwilliger Angaben. Es ist anzunehmen, dass die Dunkelziffer noch deutlich höher ist, weil nicht alle Unternehmen und Organisationen sie betreffende Vorfälle offen kommunizieren.

Erfolgreiche Cyberattacken haben massive Auswirkungen

Die Erfahrungen bei großflächig erfolgreichen Cyberattacken aus betroffenen Kommunen zeigen, dass die Konsequenzen mitunter dramatisch sein können.

• Keine oder nur sehr eingeschränkte Kommunikationsfähigkeit nach innen und nach außen – über Tage bis hin zu Wochen.

• Beschaffung neuer und unbelasteter Systeme, weil verseuchte Hardware oft nicht sicher oder nur mit sehr hohem Risiko wieder aufgesetzt werden kann.

• Einkauf teurer Spezialisten für die Schadensanalyse und die Wiederherstellung korrumpierter oder beschädigter Daten – soweit es denn überhaupt noch möglich ist.

• Schlimmstenfalls kann sogar die Ausrufung des Katastrophenfalls erforderlich werden.

Der vermeintlich einfache Weg, Lösegeld zu zahlen, um verschlüsselte Daten wieder zu erhalten, sollte nicht gewählt werden. Dieser Weg ist nämlich ebenfalls teuer und auch nicht immer gangbar.

Cybersicherheit

Mehr als 5.200 Cyber-Attacken auf Bayerns Behördennetz

Die Digitalisierung und die damit verbundenen Cyber-Risiken sind real. Man muss kein Prophet sein, um festzustellen: Ein Rückgang ist nicht zu erwarten – im Gegenteil. Die Gefahr eines erfolgreichen, umfangreichen und somit teuren Angriffs steigt auch für Kommunen.

Ein weiterer Aspekt: Im Rahmen zunehmender Digitalisierung entstehen neue umfangreiche Risiken. Online-Dienste etwa öffnen neue potenzielle Einfallstore für Cyberkriminelle von außen. Mehr und integrierte Prozesse führen obendrein zu mehr Komplexität. Die Digitalisierung bewirkt, dass verwaltungs­übergreifende Vorgänge zunehmen, die rein elektronisch abgewickelt werden. Damit steigt insgesamt das Gefahrenpotenzial sowohl für die einzelne Verwaltung als auch für verbundene Verwaltungen aller staatlicher Ebenen.

Im Notfall sind aktuelle Schutz- und Sicherheitsmaßnahmen nicht ausreichend

Als großer öffentlicher und kommunaler IT-Dienstleister in Deutschland wissen wir aus der Praxis und aus vielen Gesprächen mit Kommunen: Allen Verantwortlichen in den Kommunen ist das Risiko abstrakt bekannt. Der Tagesbetrieb der Verwaltung läuft in der Regel – die Rathäuser sind geöffnet, die Dienstleistungen werden angeboten. Allerdings sind für den Notfall die aktuellen Schutz- und Sicherheitsmaßnahmen oft nicht ausreichend. Das wiederum wird allerdings erst bemerkt, wenn es bereits zu spät ist. Fazit: Eine erforderliche Nachsorge ist teurer als Vorsorge.

Ja, ein sicherer und professioneller IT-Betrieb kostet Zeit und Geld und ist eine stetig wachsende und aufwändige Daueraufgabe. In Zeiten spürbarer Haushaltsnöte auf allen Ebenen darf jedoch sicherer und verfügbarer IT-Betrieb nicht gegenüber anderen tagesaktuellen und vermeintlich dringenderen Fragestellungen in den Hintergrund treten.

Das norddeutsche Spatenrecht mit der Deichpflicht gilt nicht bei „Cyberfluten“. Noch kann keine Kommune zu bestimmten Maßnahmen zum Schutz vor Cyberangriffen gezwungen werden. Dennoch ist es offensichtlich, dass diejenigen, die nicht deichen wollen – also ein angemessenes IT-Sicherheits- und -Betriebsniveau vorhalten – möglicherweise weichen müssen – irgendwann selbst Opfer eines großen Schadens werden. Zukünftige Zwangsmaßnahmen sind bei Untätigkeit zumindest nicht ausgeschlossen.

Über den Autor: Uwe Störmer ist Abteilungsleiter für Kommunale Infrastrukturen beim öffentlichen IT-Dienstleister dataport.kommunal.

Dieser Artikel erschien ursprünglich bei unserem Schwesterportal Security-Insider.

(ID:50263752)