Digitalisierungsstrategien für die öffentliche Hand, Teil 2 Wenn das Meldeamt offline geht

Anbieter zum Thema

noris network AG

G DATA CyberDefense AG

Ceyoniq Technology GmbH

IBYKUS AG für Informationstechnologie

Ransomware legt Landratsämter, Meldestellen und Sozialträger lahm. Unterdessen treten viele Verwaltungen einem hochgerüsteten Gegner mit stumpfen Waffen entgegen.

Öffentliche Einrichtungen befinden sich durch anhaltende Cyberangriffe im Belagerungszustand. Einen der bislang folgenschwersten Fall erlebte der Landkreis Anhalt-Bitterfeld, als er im Juli 2021 als erste deutsche Kommune wegen eines Ransomware-Angriffs den Katastrophenfall ausrufen musste. Im Oktober 2023 traf es dann den kommunalen Dienstleister Südwestfalen-IT: Mehr als 70 Kommunen mit zusammen rund 1,7 Millionen Einwohnern sahen ihre Bürgerservices teils vollständig eingefroren. Es folgten Potsdam, dann Schwerin und zuletzt Berlin – mit anderen, wenn auch nicht minder schweren Folgen.

„Daten-Super-GAU“

Update zum Cyberangriff in Berlin

Dass wir über das wahre Ausmaß der Online-Attacken nur spekulieren können, ist für sich betrachtet schon ein Sicherheitsproblem. Eine zentrale Erfassung fehlt. Das inoffizielle Lagebild der Initiative kommunaler-notbetrieb.de bildet nur die Spitze des Eisbergs ab. Und anders als in der Privatwirtschaft lässt sich auch der Schaden in der Verwaltung nicht in entgangenem Umsatz beziffern. Wenn Meldeämter stillstehen, Sozialhilfeanträge liegen bleiben oder zentrale Register verstummen, hat das unmittelbare gesellschaftliche Folgen.

Das Beispiel Anhalt-Bitterfeld zeigt abermals die Konsequenz: Über eine Woche lang konnten dort keine Sozial- und Unterhaltsleistungen ausgezahlt werden; zur Notkommunikation reaktivierte die Verwaltung sogar Faxgeräte – das digitale Äquivalent zur Kerze beim Stromausfall. Auch bei der Südwestfalen-IT zog sich die Rückkehr zum Normalbetrieb bei Personalausweisen, Ummeldungen und Kfz-Zulassungen über Monate hin. Kurzum: Die Verfügbarkeit von Verwaltungsleistungen ist zum Schutzgut, zur Kernaufgabe des staatlichen Auftrags geworden.

Altsysteme, knappe Budgets, dünne Teams

Doch dieser staatliche Auftrag ist steinig, die Realität in vielen Einrichtungen ernüchternd. Gewachsene IT-Strukturen, knappe Budgets und Teams, die – anders als die hochprofessionellen, teils staatlich instruierten Angreifer – für professionelle Cyberabwehr kaum gerüstet sind, prägen den Alltag der öffentlichen Hand. Hinter dem beschönigenden Euphemismus der „gewachsenen IT-Landschaft“ verbirgt sich in Wahrheit oft ein hochgradig fragiles, historisches Flickwerk. Es fehlt an Personal, Werkzeugen und einer durchgängigen Überwachung. Denn, wie schnell aus einer kleinen Lücke eine mittelschwere Katastrophe werden kann, zeigt das Beispiel Anhalt-Bitterfeld: Der Angriff wurde am 6. Juli 2021 entdeckt, hatte jedoch – wie die Forensik später bestätigte – bereits Anfang Juni begonnen. Wochenlang bewegten sich die Täter wie Geister unbemerkt im Netz.

Daueraufgabe NIS-2

In der Zwischenzeit verschärft die EU mit der NIS-2-Richtlinie die Anforderungen an die Cybersicherheit erheblich. Das deutsche Umsetzungsgesetz gilt seit dem 6. Dezember 2025 – ohne Übergangsfrist. Und dieses Gesetz wirft das regulatorische Schleppnetz drastisch weiter aus: Aus 4.500 beaufsichtigten Einrichtungen werden schlagartig 29.500. Gefordert sind nun nachweisbare Maßnahmen zur Angriffserkennung, ein dreistufiges Meldewesen sowie ein striktes Risikomanagement. NIS-2 macht Informationssicherheit ausdrücklich zur Chefsache: Während der Wirtschaft Bußgelder von bis zu zehn Millionen Euro drohen, greifen in der Bundesverwaltung scharfe disziplinarische Eigenregeln.

Das Bundesrecht erfasst die Bundesverwaltung und wirtschaftlich tätige Einrichtungen auch direkt. Die Länder müssen die Vorgaben in eigenes Landesrecht gießen – was in höchst unterschiedlichem Tempo geschieht. Außen vor bleibt vorerst die kommunale Kernverwaltung: Der IT-Planungsrat empfahl 2023 den Verzicht auf eine Einbeziehung. Kommunale Eigenbetriebe wie Stadtwerke, Kliniken oder IT-Dienstleister rutschen über Sektor- und Größenkriterien hingegen sehr wohl ins Raster.

Dass eine unmittelbare Pflicht fehlt, bedeutet jedoch keinen Freifahrtschein für Nachlässigkeit. NIS-2 ist längst zum faktischen Goldstandard avanciert; das BSI baut den Kommunen mit Profilen wie der ‚Basis-Absicherung‘ bereits Brücken. Wie schwer sich die Akteure jedoch selbst unter Zwang tun, offenbart das BSI-Melderegister: Zur Frist im März 2026 hatten sich erst rund 11.500 der 29.500 verpflichteten Institutionen registriert. Flankiert vom neuen KRITIS-Dachgesetz für den physischen Anlagenschutz wird klar, dass aus einer einmaligen Compliance-Übung eine operative Daueraufgabe entstanden ist.

Souveränität braucht Recht

Doch selbst die konsequenteste operative Abwehr verpufft, wenn die zugrundeliegende Infrastruktur ein rechtliches Einfallstor bietet. Behörden verarbeiten schließlich Daten, die unter keinen Umständen ausländischen Nachrichtendiensten oder Strafverfolgungsbehörden zugänglich werden dürfen. Der US CLOUD Act räumt amerikanischen Stellen im Ernstfall jedoch genau diesen Zugriff ein – selbst dann, wenn die Server physisch in Europa stehen. Wer Verwaltungsdaten effektiv schützen will, muss also zwingend auch die Hoheit über die Infrastruktur besitzen, auf der sie verarbeitet werden. Ein Hochsicherheitstresor nützt der Verwaltung gar nichts, wenn der Zweitschlüssel dafür in Delaware oder Seattle liegt.

Ein NIS-2-konformes Schutzniveau entsteht nicht durch einzelne Produkte, sondern durch das abgestimmte Zusammenspiel von Prävention, Erkennung und Reaktion. Dazu gehören durchgängige Überwachung, klar definierte Meldewege, eintrainierte Notfallprozesse und ein belastbares Wiederanlaufkonzept. Gerade der letzte Punkt entscheidet im Ernstfall: Eine wichtige Lehre aus Anhalt-Bitterfeld lautet, die Reihenfolge des Wiederanlaufs vorab verbindlich festzulegen, damit eine unterbesetzte IT im dichten Rauch der Krise nicht erst über den Grundriss diskutieren muss. Eine Sicherheitsarchitektur gleicht insofern weniger einem Werkzeugkasten als einem Immunsystem. Erst das Zusammenwirken seiner Teile macht es widerstandsfähig.

SOC: Schutz aus einer Hand

Doch Angriffserkennung rund um die Uhr, forensische Analyse und professionelle Incident Response lassen sich intern kaum dauerhaft vorhalten. Einige Länder haben darauf mit mobilen Incident-Response-Teams und Soforthilfen reagiert; für den Regelbetrieb braucht es jedoch eine ständige Instanz. Hier setzt ein Security Operations Center (SOC) an, wie es spezialisierte Dienstleister betreiben. Es führt Protokolldaten aus Netzen, Servern und Anwendungen zusammen, erkennt Anomalien früh und ordnet sie ein, bevor aus einem leisen Rauschen im Datenstrom ein digitaler Flächenbrand wird. Ein SOC überwacht dabei im Idealfall kontinuierlich und greift im Ernstfall strukturiert ein, von der aktiven Bekämpfung bis zur geordneten Wiederherstellung. So erhalten Behörden eine Abwehrfähigkeit, die sie allein nicht aufbauen könnten, und erfüllen zugleich die Nachweispflichten, die NIS-2 dem Grunde nach für alle zum Maßstab macht.

Am wirksamsten greifen Schutz und Datenhoheit dort ineinander, wo ein Dienstleister beides verantwortet: kontinuierliche Überwachung durch das SOC und den Betrieb souveräner Infrastrukturen in deutschen Rechenzentren, testiert nach BSI C5 Typ 2 und zertifiziert nach ISO 27001 auf Basis des BSI-Grundschutzes. Für Behörden verschiebt sich damit die Perspektive: NIS-2 mutiert dann vom lästigen Compliance-Korsett zum architektonischen Befreiungsschlag. Auf welchem Fundament aus souveräner Cloud und offenen Standards dieser Schutz aufsetzt, beschreibt der erste Teil dieser Serie zur Cloudstrategie in der Verwaltung.

Digitalisierungsstrategien für die öffentliche Hand, Teil 1

Souverän in die Cloud

(ID:50947519)