Cybersicherheit in Kommunen Hackback statt Hausaufgaben

Anbieter zum Thema

Ceyoniq Technology GmbH

mgm technology partners GmbH

regisafe GmbH

Nach dem Datenabfluss in Berlin debattiert der Bund über aktive Cyberabwehr. Aus Sicht eines kommunalen IT-Dienstleisters fehlt dabei die Ebene, auf der die meisten Vorfälle entstehen: die Kommunalverwaltung. Eine Replik.

Zwischen dem 7. und 12. August 2026 flossen aus zwei Berliner Senatsverwaltungen nach Angaben der Täter 5,79 Terabyte Daten ab. Das sind im Schnitt rund 13 Gigabyte pro Stunde, auch nachts und am Wochenende. Ein Alarm löste nicht aus. Unter den später veröffentlichten Dateien fand der Tagesspiegel Office-Dokumente mit Zugangsdaten im Klartext. Eine davon hieß „Passwort.docx“.

Die politische Debatte, die der Fall befeuert, dreht sich um etwas anderes. Der Bundestag berät seit Juni das Gesetz zur Stärkung der Cybersicherheit. BKA und Bundespolizei sollen Daten in fremden IT-Systemen auslesen, verändern und löschen dürfen. Die Bundesregierung nennt das aktive Cyberabwehr, die Kritiker sprechen von Hackbacks.

Ich betreue als IT-Dienstleister die Verwaltung einer nordhessischen Gemeinde. Aus dieser Perspektive ist die Debatte nicht falsch. Sie beginnt aber an der falschen Stelle.

Ein Gegenschlag setzt Erkennung voraus

Die Befürworter haben ein ernst zu nehmendes Argument. Gegen gezielte staatliche Operationen reicht Prävention in den eigenen Systemen nicht immer aus. Und es ist schwer zu vermitteln, dass Behörden zusehen müssen, wie Täter gestohlene Daten abtransportieren. Hätte jemand die Berliner Daten auf den Servern der Gruppe Rhysida gelöscht, bevor sie am 4. September öffentlich wurden, wäre vielen Betroffenen einiges erspart geblieben.

Nur: Die Ursachen des Vorfalls lagen woanders. Nach Berichten von Tagesspiegel und rbb waren die beiden betroffenen Häuser nie zum zentralen Dienstleister ITDZ migriert worden. Dessen Security Operations Center überwacht das Landesnetz, sah diese Systeme aber nicht. Verschärfte Passwortregeln für alle Behörden ordnete der Senat erst am 1. September an. Im Doppelhaushalt 2026/2027 hatte die Koalition zuvor mehr als 50 Millionen Euro im Digitalisierungsetat gestrichen.

Keine dieser Ursachen ändert sich durch eine neue Befugnis des Bundes. Ein Gegenschlag setzt voraus, dass jemand den Angriff bemerkt, und zwar rechtzeitig. Berlin bemerkte ihn nach fünf Tagen Abfluss. Dazu kommt das Problem der Zuschreibung. Der Angreifer muss zweifelsfrei feststehen, bevor der Staat in dessen Infrastruktur eingreift. Im Bundestag fragte der Abgeordnete Marcel Emmerich, wer die Verantwortung trägt, wenn eine fehlerhafte Zuschreibung den Server einer eigenen KRITIS-Anlage trifft. Der Entwurf beantwortet das nicht.

Das spricht nicht gegen jede neue Befugnis. Es spricht für eine Reihenfolge: erst die eigenen Systeme, dann die fremden.

Resilienz braucht Pflicht, Personal und Geld

Dass Cyberresilienz mehr ist als Technik, gilt inzwischen als Konsens. Führung, Organisation und geübte Abläufe entscheiden darüber, ob eine Verwaltung im Ernstfall handlungsfähig bleibt. Dem stimme ich zu. Die Frage ist, wer diesen Anspruch einlösen soll.

Rund 93 Prozent der deutschen Gemeinden haben weniger als 20.000 Einwohner. In vielen dieser Verwaltungen gibt es keine ausgebildete IT-Fachkraft. Die IT betreut ein Verwaltungsmitarbeiter nebenbei oder ein externer Dienstleister, der stundenweise kommt. Wer dort Wiederanlaufzeiten festlegen, Entscheidungswege definieren und Krisenkommunikation üben soll, bleibt offen.

Hinzu kommt die Rechtslage. Die NIS-2-Richtlinie stellte es den Mitgliedstaaten frei, die Kommunalverwaltung einzubeziehen. Der IT-Planungsrat bat die Länder mit Beschluss 2023/39, von dieser Option keinen Gebrauch zu machen, und empfahl stattdessen eigene Regelungen im Landesrecht. Der erste Teil wurde umgesetzt. In Hessen unterliegt heute keine der 421 Gemeinden einer gesetzlichen Mindestanforderung an die Informationssicherheit ihrer Verwaltung. Ein Landesgesetz dazu gibt es nicht.

Der Grund ist nachvollziehbar und heißt Konnexität. Wer die Kommunen verpflichtet, muss die Kosten tragen. Das Ergebnis ist trotzdem schwer zu erklären. Ein Unternehmen mit 50 Beschäftigten in einem regulierten Sektor braucht Risikomanagement, Meldewege und eine haftende Geschäftsleitung. Das Rathaus, das Melderegister, Standesamt und Sozialakten führt, braucht nichts davon. Verantwortung ohne Pflicht und ohne Finanzierung bleibt ein Appell.

Die Meldekette endet vor dem Rathaus

Der Europäische Rechnungshof kommt in seinem Sonderbericht 19/2026 zu dem Schluss, dass der Kooperationsrahmen der EU nur bedingt wirksam ist. Als größte Schwachstelle nennen die Prüfer den Informationsaustausch zwischen den Mitgliedstaaten. Das europäische Warnsystem war zum Zeitpunkt der Prüfung nicht einsatzbereit.

Der Bericht prüft die Zusammenarbeit zwischen Staaten. Was national gar nicht erhoben wird, kann er nicht prüfen. Die deutsche Kommunalverwaltung ist von den Meldepflichten des BSI-Gesetzes ausgenommen. Mir ist keine Stelle bekannt, die beziffern könnte, wie viele hessische Kommunen ein funktionierendes Informationssicherheitsmanagement betreiben oder wie viele Vorfälle es dort im vergangenen Jahr gab. Wo unten nicht gemeldet werden muss, kommt oben kein Lagebild an.

Was Kommunen tatsächlich hilft

Aus der Praxis ergeben sich vier Forderungen, die weniger spektakulär sind als ein Gegenschlag.

• Landesrechtliche Mindeststandards mit Konnexitätsausgleich. Pflicht und Finanzierung gehören in dasselbe Gesetz. Alles andere ist entweder eine unbezahlte Zumutung oder wirkungslos.

• Verbindliche Meldewege für Kommunen. Ohne Meldepflicht gibt es kein Lagebild, und ohne Lagebild ist jede Aussage zur kommunalen Sicherheitslage geschätzt.

• Informationssicherheitsbeauftragte im Verbund, vom Land kofinanziert. Eine Person für zwanzig Gemeinden ist wenig. Heute ist es in vielen Fällen niemand.

• Ein Landes-SOC mit kommunalem Mandat und ein einsatzfähiges Incident-Response-Team. Wird ein Rathaus verschlüsselt, entscheiden die ersten 48 Stunden darüber, ob die Verwaltung nach einer Woche oder nach einem halben Jahr wieder arbeitet.

Mittelfristig halte ich eine vom Landkreis geführte gemeinsame IT für den tragfähigsten Weg. Landkreise haben Fachpersonal und Rechenzentrumsbetrieb, die Gemeinden behalten Ansprechpartner vor Ort. Standardisierung und zentrale Beschaffung senken die Kosten, die eine einzelne Gemeinde nie stemmen könnte.

Bis dahin bleiben die Hausaufgaben, die kein Gesetz brauchen. Den Dateiserver nach abgelegten Zugangsdaten durchsuchen. Die Passwortrichtlinie technisch erzwingen, statt sie in einer Dienstanweisung zu empfehlen. Mehr-Faktor-Authentifizierung für jeden Fernzugriff. Den ausgehenden Datenverkehr beobachten. Ein Inventar führen, das sagt, welche Daten wo liegen. Das kostet Tage und kein Budget.

Die erste Frage

Ransomware-Gruppen wählen ihre Ziele nach Erreichbarkeit aus. Der Rechtsrahmen ihrer Opfer interessiert sie nicht. Eine Kommunalverwaltung ohne Mindeststandard, ohne Meldepflicht und ohne Fachpersonal ist erreichbar.

Der Bund kann darüber streiten, ob er Angreifer in ihrer Infrastruktur stören darf. Für die 421 hessischen Rathäuser und die vielen tausend anderen im Land ändert das Ergebnis dieser Debatte wenig. Dort entscheidet sich Sicherheit an Gruppenrichtlinien, Backups und der Frage, ob jemand zuständig ist. Diese Frage sollte der Gesetzgeber zuerst beantworten.

(ID:50973243)