Cyberbedrohungen Gutes Krisenmanagement schafft Vertrauen

Anbieter zum Thema

G DATA CyberDefense AG

GISA GmbH

Governikus GmbH & Co. KG

Kommunen werden immer häufiger von Cyberkriminellen angegriffen. Neben dem präventiven Schutz digitaler Daten ist die Vorbereitung einer klaren Krisenkommunikation unverzichtbar, um die Folgen eines Cybervorfalls so gering wie möglich zu halten.

Wenn ein DDoS-Angriff die Webseiten eines ganzen Landkreises lahmlegt oder ein Schadprogramm eine komplette Stadtverwaltung verschlüsselt, dann ist Krise! In dieser Situation ist es für Bürgerbüros, Sozialämter und andere öffentliche Stellen kaum noch möglich, ihre zentrale Dienstleistungen zu erbringen. Wie gravierend die Auswirkungen sein können, zeigte sich beim Angriff auf einen kommunalen IT-Dienstleister im Oktober 2023. 72 Kommunen, 20.000 Arbeitsplätze und 1,7 Millionen Bürgerinnen und Bürger waren betroffen. So abstrakt die Gefahr aus dem Cyberraum erscheint, so konkret sind die Folgen im Alltag, wenn keine Reisepässe ausgestellt, keine Eheschließungen beurkundet und keine Sozialleistungen mehr ausgezahlt werden können.

Cybersicherheit

„Akira“ legt über 70 Kommunen lahm – Experten warnen

Ohne funktionierende IT stehen die Prozesse der Daseinsvorsorge still – und bis zur Wiederherstellung kann es Monaten dauern. Insbesondere Ransomware-Angriffe sind laut Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) ein hohes Risiko für Kommunen, da diese häufig unzureichend geschützt und somit leicht zu hacken sind. Je weiter die Digitalisierung voranschreitet, desto größer wird die Menge an digitalen Daten, die kommunale Behörden verarbeiten. Umso wichtiger wird es, Cybergefahren frühzeitig mitzudenken und sich darauf vorzubereiten.

Um die Informations- und Kommunikationstechnik sicher einzusetzen, empfiehlt sich ein ganzheitlicher Ansatz, wie ihn ein Informationssicherheitsmanagementsystem (ISMS) vorsieht. Der IT-Grundschutz des BSI bietet Behörden eine Hilfestellung, um die Standards der ISO-27001 – einer international anerkannte Norm zur Einführung eines ISMS – zu erfüllen. Dazu gehört unter anderem ein Business-Continuity-Management (BCM) das darauf abzielt, zeitkritische Prozesse, Fachaufgaben und Infrastrukturen gegen Ausfälle abzusichern und im Notfall einen strukturierten Wiederanlaufplan zur Hand zu haben.

Bevölkerung erwartet Aufklärung

Cyberresilienz wird häufig als alleinige Aufgabe des IT-Teams betrachtet. Diese Sicht greift viel zu kurz. Um im Fall des Falles handlungsfähig zu bleiben, braucht es ein Krisenmanagement, das neben technischen und organisatorischen Maßnahmen auch Krisenkommunikation umfasst. Warum? Weil jeder größere IT-Vorfall in einer Kommunalverwaltung intern wie extern spürbar ist. Handelt es sich gar um einen Ransomware-Angriff, ist das Lokaljournalisten immer eine Meldung wert und die Bevölkerung erwartet Aufklärung. Besteht die Gefahr, dass Angreifer Namen, Steueridentifikationsnummern, Bankverbindungen oder ähnliches erbeutet haben, ist die Sorge groß, dass die Daten missbraucht werden für einen Identitätsdiebstahl, für typische Social-Engineering-Methoden wie Pishing-Mails oder für den Verkauf im Darknet.

Spätestens dann werden der betroffenen Kommune viele Fragen gestellt. Statt nur zu reagieren, ist es besser, eine offensive Kommunikationsstrategie vorzubereiten. Denn Bürgerinnen und Bürger erwarten zu recht, das Behörden sorgsam mit den ihnen anvertrauten Daten umgehen. Zeichnet sich ab, dass der Schutz nicht ausreichend gelungen ist, kann innerhalb kürzester Zeit viel Vertrauen verloren gehen und die Glaubwürdigkeit staatlicher Stellen beschädigt werden. Schnelle, ehrliche und verständliche Krisenkommunikation trägt dazu bei, zu verhindern, dass sich Unmut ausbreitet, Gerüchte entstehen und die Reputation beschädigt wird.

Ohne Vorbereitung geht das allerdings nicht. Gerade zu Beginn einer Cyberkrise ist die Unsicherheit groß. Keiner weiß, was genau passiert ist und wie lange der Zustand anhält. Sind die Systeme verschlüsselt, ist die Handlungsfähigkeit enorm eingeschränkt, zugleich gibt es viel zu entscheiden und Ausweichverfahren zu prüfen. Ad hoc ist interne wie externe Kommunikation gefordert. Mitarbeiterinnen und Mitarbeiter, die Bevölkerung, andere Behörden, Dienstleister, in der Kommune ansässige Wirtschaftsunternehmen und etliche weitere Zielgruppen sind zu informieren – und dass, ohne die gewohnten Arbeitsmittel.

Ein in „ruhigen“ Zeiten vorbereiteter Krisenkommunikationsplan erleichtert es, die zahlreichen, teils unter hohem Zeitdruck anfallenden Kommunikationsaufgaben zu erledigen. Das beginnt mit der Festlegung, wer überhaupt für die Krisenkommunikation zuständig ist. Der oder die Verantwortliche muss zwingend an allen Sitzungen des Krisenstabs teilnehmen, um relevante Daten und Fakten zu erhalten. Nur Kommunikatoren, die umfassend Bescheid wissen und den komplexen Sachverhalt des Cybervorfalls verstehen, können Informationen korrekt und verständlich weitergeben.

Umgekehrt ist es Aufgabe der Kommunikationsverantwortlichen, dem Krisenstab ein aktuelles Lagebild zu liefern, dass Veröffentlichungen in Medien und auf Social Media sowie die direkten Anfragen aus der Bevölkerung abbildet und analysiert. Sollte die Kapazität der internen Pressestelle dafür nicht ausreichen, kann zeitlich begrenzt externe Expertise hinzugezogen werden. Kommunen und Organisationen sollten zudem prüfen, ob sie im Fall einer Cyberattacke nach der Datenschutz-Grundverordnung (DSGVO), dem BSI-Gesetz oder verschiedenen Landesgesetzen Meldepflichten unterliegen und sich dazu mit juristischen Experten abstimmen.

Kommunikationsfähig bleiben

Ein gut strukturierter Kommunikationsleitfaden beinhaltet auch eine Zielgruppenanalyse. Wer ist intern und extern direkt oder indirekt betroffen? Wer hat welchen Informationsbedarf und welche Erwartung? Und wie können die Stakeholder erreicht werden? Das lenkt den Blick auf die Kanäle. Fallen intern Mail und Intranet weg, können browserbasierte Tools, die eine Chatfunktion und das Teilen von Dokumenten erlauben, eine Ersatzlösung sein. Ist die eigene Website nicht mehr verfügbar, sind soziale Medien wie Facebook, X oder Instagram ein Ersatz, falls sie bereits zuvor genutzt wurden.

Vorbereiten lässt sich auch eine Notfall-Webseite, die sogenannte „Darksite“, die unabhängig vom Hauptserver bei einem externen Webhoster betrieben nur in der Krise online geschaltet wird. Informationen lassen sich auch über Webseiten von Nachbarkommunen teilen oder – ganz analog – als öffentlicher Aushang. Eine kurzfristig geschaltete Hotline erlaubt Bürgern, Kontakt aufzunehmen, so dass Behörden erreichbar bleiben. Zur Vorbereitung gehören auch szenarienspezifische Textpassagen für Presse- und Mitarbeiterinformationen, zitierfähige Statements und ein Frequently Asked Questions (FAQ), also eine Zusammenstellung häufig gestellter Fragen sowie der dazugehörigen Antworten. Vom Bürgerservice bis zur Verwaltungsspitze liefert ein FAQ allen Mitarbeitenden Detailinformationen und stellt damit auch sicher, dass einheitlich kommuniziert wird. Wurden Behelfslösungen durchdacht und eingerichtet, Ersatzprozesse etabliert und Texte vorbereitet, kann Krisenkommunikativ effektiv starten.

Im Akutfall stellt sich die Frage, wann und was kommuniziert wird. Das hängt stark von den Erkenntnisse der IT-Experten und dem Verlauf der Cyberkrise ab. Nie hilfreich ist ein alarmistisches „Wir wurden gehackt!“. Das verunsichert zusätzlich. Allerdings neigen Menschen in Stresssituationen dazu, unüberlegt vorzupreschen. Erfolgreiche Krisenkommunikation ermöglicht es, ohne Aktionismus, zeitnah und angemessen zu reagieren.

Das Krisenhandbuch ist dafür ein erster wichtiger Baustein. Danach heißt es: Üben! So wie Polizei und Feuerwehr sich auf Einsätze vorbereiten, müssen auch Kommunikationsteams wissen, wie sie sich in Sondersituationen verhalten und Prozesse ausprobieren, um im Fall des Falles bestens vorbereitet zu sein.

Krisenmanagement

IT-Notfälle und Cyberattacken – was ist zu tun?

Die Lage der IT-Sicherheit 2024

BSI sieht Bedrohungslage als „besorgniserregend“

(ID:50270737)