IT-Sicherheit Kommunale IT-Resilienz erfordert neue Strategien

Anbieter zum Thema

Dataport AöR

G DATA CyberDefense AG

PROSOZ Herten GmbH

Mein Videotermin Suite | Voigtmann GmbH

Kommunen sind immer häufiger Ziel von Cyberangriffen. Jede neue Schnittstelle, jeder neue Onlinedienst ist ein potenzielles Einfallstor und erhöht das Risiko, attackiert zu werden. Doch viele Verwaltungen können die Resilienz ihrer IT nicht mehr allein gewährleisten.

Ein Montagmorgen im Rathaus. Mitarbeitende schalten ihre Rechner ein – und sehen nur noch schwarze Bildschirme. Keine Fachverfahren, keine E-Mails, kein Zugriff auf Akten. Ein Albtraum für jede Kommune; denn wenn die Technik ausfällt, sind Verwaltungen handlungsunfähig.

ENISA warnt

Cyber-Bedrohungslage in der EU verschärft sich

IT-Systeme sind die Lebensadern der Verwaltung. Der Anspruch ist klar: Alle Abläufe müssen zuverlässig funktionieren. Doch die Gewährleistung dieses Anspruchs ist in Gefahr. Cyberangriffe, Spionage und gezielte Desinformation gehören inzwischen zur Tagesordnung. Wer glaubt, dass die eigene Verwaltung nicht ins Visier geraten könne, unterschätzt die Lage.

Vielmehr gilt der alte norddeutsche Rechtssatz: „Wer nicht will deichen, der muss weichen („Keen nich will dieken, de mutt wieken!“). Oder anders gesagt: Vorsorge ist besser als (teure) Nachsorge. Deshalb gehört IT-Sicherheit auf die Schreibtische von Bürgermeistern, Landräten und Hauptverwaltungsbeamten. IT ist Chefsache.

Kosten und die Rolle der IT

Zu hoch ist der Schaden, der im Ernstfall entsteht. Laut einer Bitkom-Studie beliefen sich die Kosten durch Cyberkriminalität in Deutschland 2024 auf 178,6 Milliarden Euro. Das sind rund 30 Milliarden Euro mehr als im Vorjahr. Darin enthalten sind Kosten durch Datendiebstahl, Sabotage und Industriespionage. Nicht berücksichtigt sind Reputationsverluste und das enttäuschte Vertrauen der Menschen – ein Schaden, der schwerer wiegt als jede Zahl.

Bei Cyberangriffen auf Kommunen wird die Zivilbevölkerung an einer empfindlichen Stelle getroffen: bei der Versorgung mit staatlichen Leistungen. Die komplette Sachbearbeitung basiert auf digitalen Fachverfahren. Ohne funktionierende Systeme steht der Betrieb still.

Zudem sind kommunale IT-Systeme hochkomplex. Sie bestehen aus einer Vielzahl von Hard- und Softwarekomponenten, die ein reibungsloses Zusammenspiel erfordern. Homeoffice und Anbindungen an Verwaltungsnetze sowie das Internet erhöhen die Komplexität zusätzlich. Alle Verwaltungen sehen sich einer großen und vielschichtigen Angriffsfläche ausgesetzt.

Daraus folgen zwei Konsequenzen. Erstens müssen Kommunen IT als unverzichtbare Infrastruktur begreifen, die mit Straßen, Schulen oder Feuerwehr gleichrangig ist. Zweitens ist Sicherheit keine Option, sondern Pflicht. Denn schon kleine Störungen einzelner Komponenten können den gesamten Betrieb einer Verwaltung lahmlegen.

Typische Einfallstore in der kommunalen IT

Die Liste der Schwachstellen ist lang:

• Menschliche Fehler: Phishing-Mails, kompromittierte Links oder infizierte Datenträger

• Technische Lücken: veraltete oder ungepatchte Systeme, fehlende Netzsegmentierung, Schwächen in Hard- und Software

• Betrug: gefälschte Rechnungen oder manipulierte Anweisungen

Hinzu kommt die Dauerbelastung der IT-Abteilungen. Sie sind oft mit dem Tagesgeschäft ausgelastet. Damit steigt aber auch das Risiko, dass „unsichtbare“ Aufgaben wie Patches, Dokumentationen oder Prävention unterbleiben oder verschoben werden. Spätestens im Ernstfall rächt sich das.

Aufgaben im Sicherheitsmanagement

Ein erfolgreicher Angriff kann eine Kommune innerhalb weniger Stunden lahmlegen. Bürgerdienste kommen zum Stillstand, Zahlungen können nicht erfolgen, Dokumente nicht ausgestellt werden. Noch gravierender sind die Folgen, wenn Versorgungsbetriebe betroffen sind. Strom, Wasser und Abwasser gehören zur kritischen Infrastruktur. Ihr Ausfall betrifft die Bevölkerung unmittelbar.

Um diese Risiken zu beherrschen, benötigen Kommunen ein strukturiertes Sicherheitsmanagement. Vier Kernbereiche sind entscheidend:

• Prävention: Angriffe so weit wie möglich verhindern.

• Detektion: Vorfälle frühzeitig erkennen.

• Reaktion: Schnell und entschlossen handeln.

• Resilienz: Die Widerstandskraft kontinuierlich stärken.

Im IT-Bereich gilt: Wer keine Dämme baut, wird überschwemmt. Sicherheit erfordert kontinuierliche Investitionen.

Gerade kleine Kommunen benötigen jetzt einen Strategiewechsel. Eine Mauer um das eigene IT-System mag Schutz bieten, doch sie hält einem Bulldozer nicht stand. Erforderlich sind größere und mächtigere Schutzmaßnahmen, die eine Kommune allein nicht aufbauen, dauerhaft unterhalten und finanzieren kann. Die Deiche, die Kommunen heute bauen müssen, sind komplexer, höher und stärker als früher. Die IT-Sicherheit ist allein nicht mehr zu stemmen. Es braucht Verbünde und professionelle Partnerschaften, um der wachsenden Bedrohung durch Cyberangriffe zu begegnen. Nur so lässt sich Resilienz aufbauen und dauerhaft sichern. Keiner kann es mehr allein.

Besonders kleinere Kommunen sehen sich dabei mit großen Herausforderungen konfrontiert. Oft müssen wenige IT-Fachkräfte das gesamte Spektrum abdecken. Hier bieten Kooperationen einen Ausweg: Der gemeinsame IT-Betrieb, geteilte Sicherheitsbeauftragte und standardisierte Fachverfahren entlasten die Mitarbeitenden und erhöhen die Ausfallsicherheit.

Prävention und professioneller Betrieb reichen allein nicht

Denn selbst die beste Prävention schützt nicht vor allen Angriffen. Tritt der Ernstfall ein, hat sich ein klares Krisenmanagement aller Beteiligten bewährt. Dazu gehören sechs Schritte: Systeme schnell isolieren, Schäden begrenzen, Prioritäten für die Wiederherstellung setzen, nach Plan hochfahren, die Kommunikationsfähigkeit sicherstellen und aus jedem Vorfall lernen. Wer diese Schritte trainiert und institutionalisiert, bleibt auch unter Druck handlungsfähig.

Fazit: Digitale Resilienz ist Daseinsvorsorge

Fest steht, dass die Bedrohungslage weiter zunehmen wird. Wer heute nicht investiert, zahlt morgen den Preis. Kommunen brauchen deshalb einen klaren Kurs:

• IT-Sicherheit als Chefaufgabe anerkennen.

• Strategie überprüfen und gegebenenfalls anpassen.

• Notfallpläne müssen erstellt und regelmäßig trainiert werden.

• Investitionen in Sicherheit priorisieren.

• Kooperationen ausbauen.

Digitale Resilienz ist kein reines Technikthema, sondern eine Frage kommunaler Daseinsvorsorge. Sie entscheidet über die Handlungsfähigkeit der Verwaltung und somit auch über das Vertrauen der Bürger in den Staat.

IT-Sicherheit

Cybersecurity in Kommunen: Zwischen Gefahrenlage und Realität

Erneuter Cyberangriff auf Stadtverwaltung

Internetseite von Landkreis Schmalkalden-Meiningen abgeschaltet

(ID:50583591)