IT-Sicherheit für Kommunen: Maßnahmen und Notfallvorsorge

Städte, Gemeinden und Landkreise sind heute in hohem Maße auf funktionierende IT-Systeme angewiesen. Ob Meldewesen, Sozialleistungen, Zahlungsverkehr oder interne Kommunikation: Zahlreiche kommunale Aufgaben können ohne digitale Anwendungen nur eingeschränkt oder überhaupt nicht erbracht werden. Gleichzeitig wächst die Gefahr durch Ransomware, Phishing, gestohlene Zugangsdaten und Schwachstellen in veralteten Systemen.

Ein erfolgreicher Cyberangriff betrifft deshalb nicht ausschließlich die IT-Abteilung. Im schlimmsten Fall können Bürgerdienste über Wochen ausfallen, sensible Daten offengelegt und wichtige Verwaltungsprozesse unterbrochen werden. Nach Angaben des Städte- und Gemeindebundes NRW gehört die öffentliche Verwaltung in der Europäischen Union zu den besonders häufig angegriffenen Bereichen. Bekannte Vorfälle zeigen zudem, dass sowohl Großstädte als auch kleine Gemeinden betroffen sein können.

Absolute Sicherheit lässt sich dennoch nicht erreichen. Das Ziel einer wirksamen IT-Sicherheit für Kommunen besteht vielmehr darin, relevante Risiken zu erkennen, erfolgreiche Angriffe möglichst zu verhindern und die Auswirkungen eines Sicherheitsvorfalls zu begrenzen. Gleichzeitig muss die Kommune in der Lage sein, besonders wichtige Leistungen auch während eines IT-Ausfalls weiterzuführen und ihre Systeme anschließend kontrolliert wiederherzustellen.Dieser Beitrag zeigt, wie Kommunen ihre Informationssicherheit schrittweise verbessern können. Er behandelt die wichtigsten Cyberrisiken, organisatorische und technische Schutzmaßnahmen sowie den Aufbau eines funktionierenden IT-Notfallplans. Dabei stehen Lösungen im Mittelpunkt, die auch für kleinere Verwaltungen mit begrenztem Personal und Budget realistisch umsetzbar sind.

Warum IT-Sicherheit für Kommunen unverzichtbar ist

Kommunen verarbeiten täglich große Mengen schützenswerter Informationen. Dazu gehören personenbezogene Daten, Melderegisterdaten, Sozialdaten, Steuerinformationen, Personalakten und Unterlagen aus Jugend-, Gesundheits- oder Ausländerbehörden. Viele dieser Daten sind nicht nur vertraulich, sondern auch für die Erbringung öffentlicher Leistungen erforderlich.

Informationssicherheit soll deshalb drei grundlegende Schutzziele gewährleisten:

• Vertraulichkeit: Informationen dürfen nur von berechtigten Personen eingesehen werden.
• Integrität: Daten und Systeme müssen vollständig, korrekt und vor unbemerkten Veränderungen geschützt sein.
• Verfügbarkeit: Informationen, Anwendungen und Verwaltungsleistungen müssen bei Bedarf nutzbar sein.

Für eine Kommune ist insbesondere die Verfügbarkeit von hoher Bedeutung. Werden zentrale Systeme durch einen Cyberangriff verschlüsselt oder vorsorglich abgeschaltet, können Bürgerinnen und Bürger unter Umständen keine Ausweisdokumente beantragen, Fahrzeuge anmelden oder bestimmte Sozialleistungen erhalten. Auch interne Abläufe wie Zahlungen, Personalverwaltung und Kommunikation können erheblich beeinträchtigt werden.

Kommunale IT-Sicherheit schützt somit nicht nur technische Systeme. Sie trägt dazu bei, die Arbeitsfähigkeit der Verwaltung, die Erbringung öffentlicher Leistungen und das Vertrauen der Bevölkerung zu erhalten. Mit der zunehmenden Digitalisierung wächst diese Bedeutung weiter: Jeder neue Onlinedienst, jede zusätzliche Schnittstelle und jedes vernetzte System erweitert zugleich die potenzielle Angriffsfläche.

Welche kommunalen Leistungen von einer funktionierenden IT abhängen

Nahezu sämtliche Bereiche einer modernen Kommunalverwaltung greifen auf digitale Fachverfahren, Datenbanken und Kommunikationssysteme zurück. Selbst Leistungen, die für Bürgerinnen und Bürger auf den ersten Blick analog erscheinen, werden im Hintergrund häufig digital bearbeitet.

Besonders abhängig von einer funktionierenden kommunalen IT sind unter anderem:

• Melde-, Pass- und Ausweiswesen
• Kfz-Zulassung und Führerscheinstelle
• Sozial-, Jugend- und Ausländerbehörden
• Finanzverwaltung, Kasse und kommunaler Zahlungsverkehr
• Personalverwaltung und Gehaltsabrechnung
• Ordnungsamt und Einsatzplanung
• Bauverwaltung und Liegenschaftsmanagement
• Schulen und weitere kommunale Einrichtungen
• E-Mail, Telefonie und interne Kommunikation
• digitale Bürgerportale und Terminvereinbarungen

Zusätzlich bestehen zahlreiche Verbindungen zu externen Stellen. Kommunale Systeme tauschen Daten mit Landes- und Bundesbehörden, Rechenzentren, IT-Dienstleistern und anderen öffentlichen Einrichtungen aus. Wird eine dieser Verbindungen unterbrochen oder kompromittiert, kann sich der Sicherheitsvorfall auf mehrere Organisationen auswirken.

Besonders kritisch sind Verwaltungsprozesse, deren Ausfall unmittelbar Menschen, öffentliche Sicherheit oder finanzielle Leistungen betrifft. Kommunen sollten daher nicht alle Anwendungen gleich behandeln. Stattdessen müssen sie frühzeitig feststellen, welche Dienstleistungen auch in einer Krisensituation zuerst benötigt werden.

Dafür sind drei Fragen besonders wichtig:

1. Welche kommunalen Leistungen dürfen nur wenige Stunden oder Tage ausfallen?
2. Welche Systeme, Daten und Dienstleister werden für diese Leistungen benötigt?
3. Welche analogen oder alternativen Verfahren stehen bei einem IT-Ausfall zur Verfügung?

Diese Bestandsaufnahme bildet die Grundlage für eine risikoorientierte Sicherheitsstrategie. Erst wenn eine Kommune ihre wichtigsten Prozesse, Abhängigkeiten und Systeme kennt, kann sie Schutzmaßnahmen sinnvoll priorisieren.

Welche Folgen Cyberangriffe für Verwaltung und Bevölkerung haben

Ein Cyberangriff kann weit über den Ausfall einzelner Computer hinausgehen. Bei einem Ransomware-Angriff werden häufig zentrale Server, Fachverfahren und Datensicherungen verschlüsselt. Um eine weitere Ausbreitung zu verhindern, müssen möglicherweise zusätzliche Systeme vom Netzwerk getrennt werden. Dadurch können auch technisch nicht unmittelbar betroffene Verwaltungsbereiche ihre Arbeit vorübergehend nicht fortsetzen.

Für die Verwaltung können daraus erhebliche Folgen entstehen:

• Ausfall wichtiger Fachverfahren und Kommunikationssysteme
• Verlust oder Veröffentlichung sensibler Daten
• zusätzliche Kosten für IT-Forensik und Wiederherstellung
• Verzögerung gesetzlicher und verwaltungsinterner Fristen
• hoher organisatorischer Aufwand im Notbetrieb
• mögliche Melde- und Informationspflichten
• langfristige Einschränkungen bei digitalen Dienstleistungen

Die Folgen treffen jedoch nicht nur die Verwaltung selbst. Bürgerinnen und Bürger sind auf viele kommunale Leistungen angewiesen. Können Anträge nicht bearbeitet, Dokumente nicht ausgestellt oder Zahlungen nicht angewiesen werden, entstehen schnell konkrete Belastungen. Unternehmen können ebenfalls betroffen sein, wenn Genehmigungen, Ausschreibungen oder andere Verwaltungsverfahren ins Stocken geraten.

Hinzu kommt ein möglicher Vertrauensverlust. Werden personenbezogene Daten veröffentlicht oder bleibt die Verwaltung über längere Zeit nicht erreichbar, kann dies Zweifel an ihrer Handlungsfähigkeit wecken. Eine vorbereitete Krisenkommunikation ist deshalb ebenso wichtig wie die technische Wiederherstellung.

Kommunen sollten bei ihrer Sicherheitsplanung daher nicht nur fragen, wie wahrscheinlich ein Angriff ist. Entscheidend ist ebenso, welche Auswirkungen ein Ausfall hätte. Auch eine kleinere Gemeinde kann ein attraktives Angriffsziel sein und erhebliche Schäden erleiden. Begrenzte Ressourcen sind deshalb kein Argument gegen systematische IT-Sicherheit, sondern ein Grund dafür, die wichtigsten Risiken besonders konsequent zu priorisieren.

Die größten Cyberrisiken für kommunale Verwaltungen

Die IT-Infrastruktur von Kommunen ist unterschiedlichen Bedrohungen ausgesetzt. Angriffe erfolgen nicht immer gezielt gegen eine bestimmte Stadt oder Gemeinde. Häufig suchen Cyberkriminelle automatisiert nach öffentlich erreichbaren Systemen mit bekannten Schwachstellen, unzureichend geschützten Zugängen oder veralteter Software. Dadurch können auch kleine Verwaltungen zum Opfer eines professionell organisierten Angriffs werden.

Neben externen Angreifern müssen Kommunen interne Risiken berücksichtigen. Falsch konfigurierte Systeme, zu weitreichende Berechtigungen, fehlende Sicherheitsupdates oder versehentlich geöffnete Schadprogramme können ähnliche Auswirkungen haben wie ein gezielter Angriff. IT-Sicherheit muss daher technische, organisatorische und menschliche Risiken gemeinsam betrachten.

Ransomware, Phishing und gestohlene Zugangsdaten

Ransomware zählt zu den gefährlichsten Cyberbedrohungen für kommunale Verwaltungen. Dabei verschlüsseln Angreifer Daten und Systeme, um anschließend Lösegeld zu fordern. Moderne Ransomware-Gruppen beschränken sich häufig nicht auf die Verschlüsselung. Sie kopieren zuvor sensible Daten und drohen zusätzlich mit deren Veröffentlichung. Dieses Vorgehen wird als doppelte Erpressung bezeichnet.

Für Kommunen kann ein solcher Angriff besonders schwerwiegend sein. Werden zentrale Server, Fachverfahren oder Benutzerkonten kompromittiert, können große Teile der Verwaltung gleichzeitig ausfallen. Sind auch die Datensicherungen erreichbar und werden mitverschlüsselt oder gelöscht, verlängert sich die Wiederherstellung erheblich. Selbst nach einer erfolgreichen technischen Bereinigung kann es Wochen oder Monate dauern, bis alle Verwaltungsleistungen wieder regulär verfügbar sind.

Ransomware gelangt auf unterschiedlichen Wegen in ein Netzwerk. Häufig beginnt der Angriff mit einer Phishing-Nachricht. Sie soll Beschäftigte dazu bewegen, einen schädlichen Anhang zu öffnen, einem manipulierten Link zu folgen oder Zugangsdaten auf einer gefälschten Anmeldeseite einzugeben. Die Nachrichten wirken zunehmend glaubwürdig und können beispielsweise als vermeintliche Rechnung, Bewerbung, Terminabstimmung oder Mitteilung eines bekannten Dienstleisters gestaltet sein.

Gestohlene Zugangsdaten stellen auch unabhängig von Phishing ein erhebliches Risiko dar. Werden Passwörter mehrfach verwendet oder gelangen sie durch einen Datenabfluss in die Hände Krimineller, können Angreifer versuchen, sich an E-Mail-Konten, Cloud-Diensten oder Fernzugängen anzumelden. Besonders gefährlich sind kompromittierte Konten mit administrativen Berechtigungen.

Kommunen sollten daher mehrere Schutzmaßnahmen miteinander kombinieren:

• Mehrfaktor-Authentifizierung für E-Mail, Cloud-Dienste, Fernzugänge und administrative Konten
• technische Filter gegen schädliche Anhänge und Links
• regelmäßige Schulungen und praxisnahe Phishing-Simulationen
• schnelle interne Meldewege für verdächtige Nachrichten
• getrennte und besonders geschützte Administratorkonten
• Überwachung ungewöhnlicher Anmeldungen und Kontobewegungen
• getestete Backups, die nicht dauerhaft aus dem Produktivnetz erreichbar sind

Keine einzelne Maßnahme kann Ransomware vollständig verhindern. Das Zusammenspiel aus Prävention, Angriffserkennung, Netzwerksegmentierung und Wiederherstellungsfähigkeit reduziert jedoch die Wahrscheinlichkeit, dass ein einzelner Fehler zu einem vollständigen Ausfall der Verwaltung führt.

Veraltete Systeme, Sicherheitslücken und menschliche Fehler

Kommunale IT-Landschaften sind häufig über viele Jahre gewachsen. Unterschiedliche Fachämter nutzen spezialisierte Anwendungen, die teilweise nur mit älteren Betriebssystemen oder bestimmten Softwareversionen funktionieren. Ein kurzfristiger Austausch ist nicht immer möglich, weil Daten migriert, Schnittstellen angepasst, Mitarbeitende geschult oder neue Leistungen ausgeschrieben werden müssen.

Veraltete Systeme sind besonders riskant, wenn Hersteller keine Sicherheitsupdates mehr bereitstellen. Neu entdeckte Schwachstellen bleiben dann dauerhaft bestehen. Ist ein solches System aus dem Internet erreichbar oder mit weiteren Teilen des Verwaltungsnetzes verbunden, kann es Angreifern als Einstiegspunkt dienen. Doch auch weiterhin unterstützte Software wird zum Risiko, wenn Updates verspätet oder gar nicht installiert werden.

Ein wirksames Patch- und Schwachstellenmanagement setzt zunächst Transparenz voraus. Die Verantwortlichen müssen wissen, welche Geräte, Anwendungen und Versionen eingesetzt werden. Dazu zählen nicht nur Server und Arbeitsplatzrechner, sondern auch Netzwerkkomponenten, mobile Geräte, Drucker, Telefonanlagen und technische Systeme in kommunalen Einrichtungen.

Für jedes erfasste System sollten mindestens folgende Informationen vorliegen:

• zuständige Organisationseinheit
• technischer oder fachlicher Verantwortlicher
• verwendete Software und aktuelle Version
• Bedeutung für den Verwaltungsbetrieb
• bestehende Verbindungen zu anderen Systemen
• Support- und Wartungsstatus
• vorgesehener Aktualisierungs- oder Austauschzeitpunkt

Nicht jede Schwachstelle kann sofort geschlossen werden. Kommunen sollten Sicherheitslücken deshalb nach Risiko priorisieren. Besonders dringlich sind Schwachstellen, die aktiv ausgenutzt werden, öffentlich erreichbare Systeme betreffen oder Zugriffe auf sensible Daten ermöglichen. Kann ein Update nicht zeitnah installiert werden, sind Übergangsmaßnahmen erforderlich. Dazu gehören beispielsweise eine stärkere Netzwerkabschottung, eingeschränkte Zugriffsrechte oder die Deaktivierung nicht benötigter Funktionen.

Neben technischen Schwachstellen spielen menschliche Fehler eine wichtige Rolle. Eine falsch adressierte E-Mail, ein zu weit gefasster Freigabelink oder eine fehlerhafte Systemeinstellung kann sensible Informationen offenlegen. Solche Fehler lassen sich nicht allein durch Schulungen verhindern. Prozesse und technische Systeme sollten so gestaltet werden, dass einzelne Fehlentscheidungen möglichst nicht zu einem schwerwiegenden Sicherheitsvorfall führen.

Dazu gehören eindeutige Arbeitsanweisungen, kontrollierte Freigabeprozesse, eingeschränkte Benutzerrechte und das Vier-Augen-Prinzip bei besonders sensiblen Änderungen. Ziel ist nicht, Beschäftigten die Schuld an Sicherheitsvorfällen zuzuweisen. Vielmehr muss eine Umgebung entstehen, in der Fehler früh erkannt, ohne unnötige Hürden gemeldet und wirksam begrenzt werden.

Risiken durch IT-Dienstleister und vernetzte kommunale Systeme

Kommunen arbeiten regelmäßig mit Rechenzentren, Softwareherstellern, Cloud-Anbietern, Wartungsunternehmen und spezialisierten IT-Dienstleistern zusammen. Diese Zusammenarbeit ist notwendig, weil sich nicht jede technische Aufgabe mit eigenem Personal abdecken lässt. Gleichzeitig entstehen neue Abhängigkeiten und zusätzliche Angriffswege.

Besitzt ein externer Dienstleister weitreichende Zugriffsrechte, kann ein kompromittiertes Dienstleisterkonto Auswirkungen auf mehrere kommunale Systeme haben. Auch ein Sicherheitsvorfall beim Anbieter selbst kann dazu führen, dass Fachverfahren nicht erreichbar sind oder sensible Daten offengelegt werden. Kommunen dürfen daher nicht davon ausgehen, dass die Auslagerung eines Dienstes automatisch auch die Sicherheitsverantwortung vollständig überträgt.

Vor der Beauftragung sollten nachvollziehbare Sicherheitsanforderungen definiert werden. Dazu zählen unter anderem:

• Mehrfaktor-Authentifizierung für externe Zugänge
• persönliche statt gemeinsam genutzter Benutzerkonten
• Protokollierung administrativer Tätigkeiten
• zeitliche Begrenzung nicht dauerhaft benötigter Fernzugänge
• festgelegte Meldewege bei Sicherheitsvorfällen
• nachgewiesene Backup- und Wiederherstellungsverfahren
• Regelungen zu Unterauftragnehmern und Datenstandorten
• Unterstützung bei Untersuchungen und Notfällen
• sichere Rückgabe oder Löschung von Daten nach Vertragsende

Weitere Risiken entstehen durch die zunehmende Vernetzung kommunaler Systeme. Smart-City-Anwendungen, digitale Verkehrstechnik, Sensoren, Gebäudesteuerungen, Parkraumbewirtschaftung oder kommunale Energie- und Wasserversorgung können mit Verwaltungsnetzen und externen Plattformen verbunden sein. Jedes zusätzliche System erweitert die Angriffsfläche und muss während seines gesamten Lebenszyklus sicher betrieben werden.

Besonders problematisch wird es, wenn vernetzte Geräte nicht zentral erfasst werden, voreingestellte Passwörter verwenden oder nur unregelmäßig Sicherheitsupdates erhalten. Deshalb sollten Verwaltungs-IT, Schulen, kommunale Betriebe und technische Infrastrukturen nicht unkontrolliert in einem gemeinsamen Netzwerk betrieben werden. Eine angemessene Segmentierung kann verhindern, dass sich ein erfolgreicher Angriff ungehindert zwischen unterschiedlichen Bereichen ausbreitet.

Kommunen benötigen somit nicht nur einen Überblick über ihre eigenen Systeme, sondern auch über externe Zugänge, digitale Abhängigkeiten und verbundene Einrichtungen. Erst diese Gesamtsicht ermöglicht eine realistische Bewertung der kommunalen Angriffsfläche.

Warum kommunale IT-Sicherheit besonders anspruchsvoll ist

Kommunen stehen bei der Absicherung ihrer IT vor anderen Voraussetzungen als viele privatwirtschaftliche Unternehmen. Sie müssen eine große Bandbreite gesetzlich vorgeschriebener Leistungen erbringen, sensible Informationen schützen und zahlreiche Fachverfahren dauerhaft verfügbar halten. Gleichzeitig können notwendige Veränderungen nicht immer kurzfristig umgesetzt werden.

Viele kommunale IT-Infrastrukturen sind über Jahre oder Jahrzehnte entstanden. Neue digitale Anwendungen wurden schrittweise ergänzt, während ältere Systeme weiterbetrieben werden mussten. Dadurch bestehen häufig komplexe Abhängigkeiten zwischen Fachverfahren, Datenbanken, Netzwerken und externen Anbietern. Eine Sicherheitsmaßnahme an einer Stelle kann deshalb Auswirkungen auf mehrere Verwaltungsbereiche haben.

Hinzu kommt, dass Kommunen ihre Leistungen nicht einfach vorübergehend einstellen können. Selbst während eines Sicherheitsvorfalls müssen wichtige Aufgaben möglichst weitergeführt werden. IT-Sicherheit bedeutet daher nicht nur, Angriffe zu verhindern. Ebenso wichtig ist es, die Verwaltung auf Ausfälle vorzubereiten und kritische Leistungen unter eingeschränkten Bedingungen aufrechtzuerhalten.

Fachkräftemangel, begrenzte Budgets und gewachsene IT-Strukturen

Der Mangel an qualifiziertem IT-Personal betrifft viele Kommunen. Besonders kleinere Städte und Gemeinden verfügen häufig nur über kleine IT-Teams, die gleichzeitig den täglichen Betrieb, den Anwendersupport, technische Projekte und die Informationssicherheit betreuen. Für strategische Aufgaben wie Risikomanagement, Sicherheitskonzepte oder Notfallübungen bleiben dadurch oft nur begrenzte Kapazitäten.

Gleichzeitig konkurriert die IT-Sicherheit mit zahlreichen anderen kommunalen Aufgaben um finanzielle Mittel. Sicherheitsinvestitionen haben dabei eine Besonderheit: Ihr unmittelbarer Nutzen ist häufig schwer sichtbar. Solange kein Vorfall eintritt, entsteht schnell der Eindruck, dass bestehende Maßnahmen ausreichend seien. Tatsächlich kann das Ausbleiben eines erkennbaren Angriffs jedoch nicht belegen, dass Systeme wirksam geschützt sind.

Kommunen sollten ihre verfügbaren Mittel deshalb risikoorientiert einsetzen. Nicht jedes System benötigt sofort das höchstmögliche Sicherheitsniveau. Vorrang sollten Anwendungen und Infrastrukturen erhalten, deren Ausfall besonders schwerwiegende Folgen hätte. Dazu können beispielsweise zentrale Identitätsdienste, E-Mail-Systeme, Finanzverfahren, Melderegister, Sozialverfahren oder die technische Infrastruktur für kommunale Versorgungsleistungen gehören.

Eine sinnvolle Priorisierung beginnt mit vier Schritten:

1. Kritische Verwaltungsleistungen bestimmen.
2. Abhängige Systeme, Daten und Dienstleister erfassen.
3. Mögliche Ausfallfolgen und vorhandene Schwachstellen bewerten.
4. Schutzmaßnahmen nach Dringlichkeit und Wirksamkeit ordnen.

Auf diese Weise lassen sich auch mit begrenztem Budget zunächst die größten Risiken reduzieren. Häufig erzielen bereits grundlegende Maßnahmen eine erhebliche Wirkung. Dazu zählen Mehrfaktor-Authentifizierung, konsequente Sicherheitsupdates, getrennte Administratorkonten, sichere Backups und ein funktionierender IT-Notfallplan.

Erschwert wird die Absicherung durch gewachsene IT-Strukturen. Manche Fachverfahren sind technisch veraltet, lassen sich aber wegen fehlender Alternativen oder komplexer Schnittstellen nicht kurzfristig ablösen. Andere Anwendungen werden nur von wenigen Beschäftigten genutzt, sind aber für einen gesetzlich vorgeschriebenen Verwaltungsprozess unverzichtbar. Solche Systeme dürfen in einer Sicherheitsstrategie nicht übersehen werden.

Ist ein Austausch nicht sofort möglich, sollten Kommunen kompensierende Schutzmaßnahmen einsetzen. Ein veraltetes System kann beispielsweise von anderen Netzbereichen getrennt, nur für einen kleinen Benutzerkreis freigegeben und besonders eng überwacht werden. Gleichzeitig sollte ein verbindlicher Zeitplan für Modernisierung oder Ablösung entstehen. Dauerhafte Übergangslösungen ohne klare Verantwortlichkeit führen dagegen dazu, dass Sicherheitsrisiken über Jahre bestehen bleiben.

Auch die Zusammenarbeit mit kommunalen IT-Dienstleistern kann fehlendes Fachwissen ausgleichen. Dabei sollte jedoch eindeutig festgelegt werden, welche Aufgaben intern bleiben und welche Leistungen extern übernommen werden. Die Verantwortung für die Bewertung kommunaler Risiken und die Priorisierung kritischer Verwaltungsleistungen kann nicht vollständig ausgelagert werden.

Dezentrale Zuständigkeiten und Abhängigkeit von Dienstleistern

Kommunale Verwaltungen bestehen aus zahlreichen Ämtern, Fachbereichen, Eigenbetrieben und Einrichtungen. Diese nutzen unterschiedliche Anwendungen und arbeiten teilweise mit eigenen Dienstleistern. Ohne zentrale Vorgaben kann dadurch eine unübersichtliche IT-Landschaft entstehen, in der Sicherheitsanforderungen nicht einheitlich umgesetzt werden.

Ein Fachamt entscheidet beispielsweise über die Einführung einer neuen Anwendung, während die zentrale IT erst spät eingebunden wird. In solchen Fällen bleiben wichtige Fragen möglicherweise unbeantwortet:

• Welche Daten werden in der Anwendung verarbeitet?
• Wo werden diese Daten gespeichert?
• Wer besitzt administrative Zugriffsrechte?
• Wie werden Sicherheitsupdates eingespielt?
• Welche Schnittstellen bestehen zu anderen Systemen?
• Wie lassen sich Daten sichern und wiederherstellen?
• Was passiert, wenn der Anbieter seine Leistung nicht mehr erbringen kann?

IT-Sicherheit sollte deshalb bereits bei der Planung und Beschaffung neuer Lösungen berücksichtigt werden. Die zentrale IT, der Informationssicherheitsbeauftragte und bei personenbezogenen Daten auch der Datenschutzbeauftragte sollten frühzeitig beteiligt sein. Das verhindert, dass Sicherheitsanforderungen erst nach Vertragsabschluss oder Inbetriebnahme geprüft werden.

Besondere Aufmerksamkeit verdienen kommunale Eigenbetriebe, Schulen, Stadtwerke, Krankenhäuser und weitere Beteiligungen. Je nach Organisationsstruktur können sie eigene IT-Systeme betreiben und unterschiedlichen gesetzlichen Anforderungen unterliegen. Gleichzeitig bestehen oft technische oder organisatorische Verbindungen zur Kernverwaltung. Ein Sicherheitsvorfall in einer verbundenen Einrichtung kann daher mittelbar auch die Kommune beeinträchtigen.

Abhängigkeiten entstehen ebenfalls durch externe Rechenzentren, Cloud-Anbieter und Hersteller kommunaler Fachverfahren. Fällt ein zentraler Anbieter aus, können mehrere Verwaltungsleistungen gleichzeitig betroffen sein. Die Kommune sollte deshalb nicht nur ihre eigenen technischen Risiken kennen, sondern auch die Ausfallsicherheit ihrer wichtigsten Partner bewerten.

In Verträgen müssen zumindest Zuständigkeiten, Reaktionszeiten, Sicherheitsanforderungen und Meldewege nachvollziehbar festgelegt werden. Darüber hinaus sollte bekannt sein, welche Unterauftragnehmer eingesetzt werden und wie die Kommune bei einem Sicherheitsvorfall unterstützt wird. Zertifikate oder Prüfberichte können Hinweise auf das Sicherheitsniveau geben, ersetzen jedoch keine auf den konkreten Dienst zugeschnittene Risikobewertung.

Damit dezentrale Strukturen nicht zu Sicherheitslücken führen, benötigt die Kommune verbindliche Regeln. Dazu gehören einheitliche Vorgaben für Beschaffung, Benutzerkonten, externe Zugänge, Sicherheitsupdates, Datensicherung und die Meldung von Vorfällen. Verantwortlichkeiten müssen so dokumentiert sein, dass im Alltag und während einer Krise eindeutig feststeht, wer entscheiden und handeln darf.

Eine funktionierende kommunale IT-Sicherheit entsteht somit nicht allein durch technische Werkzeuge. Entscheidend ist das koordinierte Zusammenspiel zwischen Verwaltungsleitung, Fachämtern, interner IT, Informationssicherheit, Datenschutz und externen Dienstleistern.

Verantwortung und rechtliche Anforderungen in Kommunen

IT-Sicherheit ist keine Aufgabe, die ausschließlich der technischen Abteilung übertragen werden kann. Welche Verwaltungsleistungen besonders geschützt werden müssen, welche Risiken akzeptabel sind und welche finanziellen Mittel bereitstehen, sind strategische Entscheidungen. Sie betreffen die gesamte Organisation und liegen damit auch in der Verantwortung der Verwaltungsleitung.

Gleichzeitig müssen Kommunen unterschiedliche rechtliche Vorgaben berücksichtigen. Welche Anforderungen im Einzelfall gelten, hängt unter anderem vom Bundesland, der Verwaltungsstruktur und den betriebenen Einrichtungen ab. Für die kommunale Kernverwaltung können andere Regelungen gelten als für Stadtwerke, Krankenhäuser, Verkehrsbetriebe oder andere kommunale Unternehmen.

Warum IT-Sicherheit eine Aufgabe der Verwaltungsleitung ist

Die Verwaltungsleitung trägt die Verantwortung dafür, dass die Kommune dauerhaft handlungsfähig bleibt. Da nahezu alle wesentlichen Verwaltungsprozesse von digitalen Anwendungen abhängen, gehört auch der angemessene Schutz dieser Systeme zu den Aufgaben der Leitungsebene.

Die operative Umsetzung kann an Fachverantwortliche delegiert werden. Grundlegende Entscheidungen lassen sich jedoch nicht vollständig auf die IT-Abteilung übertragen. Dazu gehören beispielsweise:

• Festlegung der kommunalen Sicherheitsziele
• Bestimmung besonders kritischer Verwaltungsleistungen
• Bereitstellung von Personal und finanziellen Mitteln
• Benennung klarer Verantwortlichkeiten
• Entscheidung über wesentliche Restrisiken
• Vorbereitung eines kommunalen Krisenstabs
• regelmäßige Kontrolle des erreichten Sicherheitsniveaus

Die Verwaltungsleitung muss dafür keine technischen Einzelheiten beherrschen. Sie benötigt jedoch ein verständliches Lagebild. Statt langer Listen technischer Schwachstellen sollte regelmäßig dargestellt werden, welche kommunalen Leistungen gefährdet sind, welche Auswirkungen ein Ausfall hätte und welche Maßnahmen besonders dringend umgesetzt werden müssen.

Geeignete Berichte können beispielsweise folgende Fragen beantworten:

• Welche kritischen Sicherheitslücken sind noch offen?
• Für welche wichtigen Systeme besteht keine getestete Wiederherstellung?
• Wo wird noch keine Mehrfaktor-Authentifizierung eingesetzt?
• Welche veralteten Anwendungen müssen ersetzt werden?
• Wann fand die letzte IT-Notfallübung statt?
• Welche Risiken bestehen bei zentralen Dienstleistern?

Auf dieser Grundlage kann die Verwaltungsleitung Prioritäten setzen und Entscheidungen nachvollziehbar dokumentieren. Das ist besonders wichtig, wenn nicht alle Maßnahmen gleichzeitig finanziert oder umgesetzt werden können.

IT-Sicherheit sollte außerdem regelmäßig in Leitungssitzungen behandelt werden. Ein einmal beschlossenes Sicherheitskonzept genügt nicht, da sich Systeme, Bedrohungen und rechtliche Anforderungen fortlaufend verändern. Die Verantwortung der Leitung endet daher nicht mit der Freigabe eines Projekts. Sie umfasst auch die kontinuierliche Überprüfung und Verbesserung der kommunalen Sicherheitsorganisation.

Aufgaben von IT, Informationssicherheitsbeauftragten und Datenschutz

In einer Kommune arbeiten mehrere Funktionen am Schutz von Systemen und Informationen. Ihre Aufgaben überschneiden sich teilweise, verfolgen jedoch unterschiedliche Schwerpunkte. Eine klare Abgrenzung verhindert, dass wichtige Tätigkeiten doppelt oder überhaupt nicht erledigt werden.

Die IT-Abteilung ist in erster Linie für den sicheren und zuverlässigen technischen Betrieb zuständig. Dazu gehören beispielsweise die Administration von Netzwerken und Servern, das Einspielen von Sicherheitsupdates, die Verwaltung von Benutzerkonten, die Datensicherung sowie die technische Unterstützung bei Sicherheitsvorfällen.

Der oder die Informationssicherheitsbeauftragte, häufig als ISB bezeichnet, betrachtet die Sicherheit übergreifend und organisatorisch. Typische Aufgaben sind:

• Sicherheitsleitlinien und Konzepte entwickeln
• Risiken erfassen und bewerten
• Umsetzung vereinbarter Maßnahmen begleiten
• Sicherheitsvorfälle auswerten
• Awareness-Maßnahmen koordinieren
• Notfallvorsorge und Übungen unterstützen
• die Verwaltungsleitung regelmäßig informieren

Damit diese Rolle wirksam ausgeübt werden kann, benötigt der ISB ausreichende Zeit, fachliche Qualifikation und einen direkten Zugang zur Leitungsebene. Problematisch ist es, wenn die Funktion lediglich formal vergeben wird, ohne die erforderlichen Ressourcen oder Befugnisse bereitzustellen.

Der oder die Datenschutzbeauftragte überwacht den Schutz personenbezogener Daten und berät zur Einhaltung datenschutzrechtlicher Anforderungen. Datenschutz und Informationssicherheit sind eng miteinander verbunden, aber nicht identisch. Ein IT-Ausfall ohne Verletzung personenbezogener Daten kann ein erheblicher Sicherheitsvorfall sein. Umgekehrt kann eine unzulässige Datenweitergabe einen Datenschutzverstoß darstellen, obwohl die technischen Systeme weiterhin funktionieren.

Bei neuen Anwendungen und Projekten sollten IT, Informationssicherheit und Datenschutz deshalb frühzeitig zusammenarbeiten. Dabei bleiben ihre jeweiligen Verantwortlichkeiten erhalten. Der Datenschutz beurteilt insbesondere die rechtmäßige Verarbeitung personenbezogener Daten, während die Informationssicherheit sämtliche relevanten Informationen, Systeme und Prozesse betrachtet.

Zusätzlich müssen die Fachämter Verantwortung übernehmen. Sie können am besten einschätzen, welche Prozesse für ihre Aufgaben kritisch sind, wie lange ein Ausfall verkraftbar wäre und welche fachlichen Folgen fehlerhafte oder nicht verfügbare Daten hätten. Kommunale IT-Sicherheit funktioniert daher nur als gemeinsame Aufgabe von Leitung, Fachbereichen und spezialisierten Funktionen.

DSGVO, NIS-2 und weitere regulatorische Anforderungen

Kommunen müssen beim Schutz ihrer Informationen unterschiedliche Rechtsgrundlagen beachten. Besonders relevant ist die Datenschutz-Grundverordnung. Sie verlangt geeignete technische und organisatorische Maßnahmen, wenn personenbezogene Daten verarbeitet werden. Das erforderliche Sicherheitsniveau muss sich am jeweiligen Risiko orientieren.

Zu den dabei relevanten Aspekten gehören unter anderem:

• Vertraulichkeit, Integrität und Verfügbarkeit der Systeme
• dauerhafte Belastbarkeit der eingesetzten Verfahren
• Fähigkeit zur zeitnahen Wiederherstellung
• regelmäßige Überprüfung der Schutzmaßnahmen
• angemessene Absicherung von Dienstleistern
• dokumentierter Umgang mit Datenschutzverletzungen

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, muss geprüft werden, ob eine Meldung an die zuständige Datenschutzaufsichtsbehörde erforderlich ist. Nach Artikel 33 DSGVO muss diese grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden erfolgen, sofern der Vorfall voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt. Bei einem voraussichtlich hohen Risiko kann zusätzlich eine Information der betroffenen Personen notwendig sein.

Daneben können das BSI-Gesetz, landesrechtliche Regelungen, kommunale Sicherheitsvorgaben und branchenspezifische Gesetze relevant sein. Die Vorgaben aus NIS-2 und dem nationalen BSI-Recht dürfen dabei nicht pauschal auf jede Kommune übertragen werden. Ob und in welchem Umfang eine kommunale Organisation erfasst wird, hängt von ihrer konkreten rechtlichen Einordnung und Tätigkeit ab.

Eine gesonderte Prüfung kann insbesondere erforderlich sein bei:

• kommunalen Energie- und Wasserversorgern
• Krankenhäusern und Gesundheitseinrichtungen
• Verkehrs- und Entsorgungsbetrieben
• Rechenzentren und IT-Dienstleistern
• weiteren kommunalen Unternehmen in regulierten Sektoren

Auch wenn eine Kommune oder Einrichtung nicht unmittelbar unter sämtliche spezialgesetzlichen Pflichten fällt, bieten die darin formulierten Sicherheitsmaßnahmen eine sinnvolle Orientierung. Dazu gehören Risikomanagement, Vorfallbewältigung, Business Continuity, Lieferkettensicherheit, Zugriffskontrollen, Verschlüsselung und Mehrfaktor-Authentifizierung.

Da die rechtliche Einordnung von Organisationsform, Bundesland und Aufgabenbereich abhängt, sollten Kommunen ihre konkreten Pflichten fachkundig prüfen lassen. Wichtig ist vor allem, Zuständigkeiten und Meldewege bereits vor einem Sicherheitsvorfall festzulegen. Während einer akuten Krise bleibt kaum Zeit, erst die zuständigen Behörden, Fristen und internen Ansprechpartner zu ermitteln.

IT-Grundschutz und ISMS für Kommunen

Einzelne Sicherheitsmaßnahmen können kommunale Risiken deutlich reduzieren. Dauerhaft wirksam wird IT-Sicherheit jedoch erst, wenn Maßnahmen geplant, dokumentiert, überprüft und regelmäßig verbessert werden. Kommunen benötigen deshalb eine strukturierte Vorgehensweise, die technische und organisatorische Anforderungen miteinander verbindet.

Der BSI-IT-Grundschutz bietet hierfür einen anerkannten Rahmen. Kommunen müssen nicht sofort sämtliche Anforderungen vollständig umsetzen oder eine Zertifizierung anstreben. Gerade kleinere Verwaltungen können mit einer Basisabsicherung beginnen und das erreichte Sicherheitsniveau schrittweise weiterentwickeln.

Was der BSI-IT-Grundschutz Kommunen bietet

Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik unterstützt Organisationen beim systematischen Aufbau ihrer Informationssicherheit. Er beschränkt sich nicht auf einzelne Produkte oder technische Schutzmaßnahmen. Stattdessen betrachtet er die gesamte Organisation mit ihren Prozessen, Räumen, Beschäftigten, Anwendungen, IT-Systemen und Dienstleistern.

Das Vorgehen hilft Kommunen unter anderem dabei,

• relevante Geschäfts- und Verwaltungsprozesse zu erfassen,
• die dafür erforderlichen Systeme und Informationen zu identifizieren,
• bestehende Abhängigkeiten sichtbar zu machen,
• typische Gefährdungen zu berücksichtigen,
• passende Sicherheitsmaßnahmen auszuwählen,
• Zuständigkeiten nachvollziehbar zu dokumentieren und
• die Umsetzung regelmäßig zu kontrollieren.

Der BSI-Standard 200-2 unterscheidet verschiedene Vorgehensweisen. Bei der Basis-Absicherung werden zunächst grundlegende Maßnahmen in einer möglichst breiten Abdeckung umgesetzt. Die Kern-Absicherung konzentriert sich dagegen auf besonders schützenswerte Prozesse und Systeme. Die Standard-Absicherung verfolgt ein umfassenderes Vorgehen für den gesamten betrachteten Informationsverbund.

Welche Variante geeignet ist, hängt von der Ausgangssituation der Kommune ab. Eine kleine Gemeinde mit begrenztem Personal benötigt möglicherweise zunächst einen pragmatischen Einstieg. Eine größere Stadt mit eigener IT-Abteilung und zahlreichen kritischen Fachverfahren kann umfangreichere Strukturen benötigen. Entscheidend ist, dass der gewählte Ansatz zu den vorhandenen Ressourcen und tatsächlichen Risiken passt.

Besonders hilfreich ist die strukturierte Erfassung der kommunalen IT-Landschaft. Viele Sicherheitsprobleme entstehen, weil unbekannt ist, welche Systeme vorhanden sind, wer sie betreut und welche anderen Verfahren von ihnen abhängen. Der IT-Grundschutz schafft hierfür eine nachvollziehbare Systematik.

Eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz kann langfristig sinnvoll sein, ist aber nicht für jede Kommune das erste Ziel. Zunächst sollte ein wirksames Sicherheitsniveau erreicht werden. Ein formal vollständiges Konzept bietet wenig Schutz, wenn zentrale Maßnahmen im Verwaltungsalltag nicht umgesetzt oder regelmäßig überprüft werden.

WiBA als Einstieg in die kommunale Basisabsicherung

Mit dem „Weg in die Basis-Absicherung“, kurz WiBA, bietet das BSI einen vereinfachten Einstieg in den IT-Grundschutz. Das Vorgehen basiert auf dem speziell für Kommunalverwaltungen entwickelten IT-Grundschutz-Profil zur Basisabsicherung. Es richtet sich insbesondere an Kommunen, die ihre Informationssicherheit systematisch verbessern möchten, aber noch nicht über ein umfassendes ISMS verfügen.

WiBA arbeitet mit strukturierten Prüffragen. Dadurch können Kommunen feststellen, welche grundlegenden Sicherheitsmaßnahmen bereits vorhanden sind und in welchen Bereichen Handlungsbedarf besteht. Behandelt werden nicht nur technische Themen, sondern auch Organisation, Personal, Notfallvorsorge, Zugriffsregelungen und der Umgang mit externen Dienstleistern.

Der Einstieg kann in mehreren Schritten erfolgen:

1. Verantwortliche Personen und beteiligte Fachbereiche bestimmen.
2. Den aktuellen Stand anhand der WiBA-Prüffragen erfassen.
3. Festgestellte Defizite nach Risiko und Dringlichkeit bewerten.
4. Konkrete Maßnahmen, Zuständigkeiten und Termine festlegen.
5. Die Umsetzung dokumentieren und regelmäßig überprüfen.

Der Nutzen liegt vor allem in der praktischen Orientierung. Eine Kommune muss nicht bei null beginnen oder unmittelbar das gesamte IT-Grundschutz-Kompendium bearbeiten. Stattdessen erhält sie eine strukturierte Grundlage, mit der wichtige Mindestmaßnahmen geprüft und priorisiert werden können.

Damit aus dem Check eine tatsächliche Verbesserung entsteht, sollten offene Punkte nicht nur dokumentiert werden. Für jede priorisierte Maßnahme müssen eine verantwortliche Stelle, ein realistischer Termin und die erforderlichen Ressourcen festgelegt werden. Besonders dringende Risiken sollten zuerst bearbeitet werden. Dazu gehören beispielsweise ungeschützte Fernzugänge, fehlende Datensicherungen oder Systeme mit bekannten kritischen Schwachstellen.

WiBA ist allerdings kein einmaliges Prüfverfahren, nach dessen Abschluss die Kommune dauerhaft als sicher gelten kann. Neue Anwendungen, Personalwechsel und veränderte Bedrohungen führen zu neuen Risiken. Die Prüffragen sollten deshalb regelmäßig sowie nach wesentlichen Veränderungen erneut betrachtet werden.

Für kleinere Kommunen ist außerdem eine gemeinsame Umsetzung denkbar. Mehrere Gemeinden können Erfahrungen austauschen, Schulungen gemeinsam organisieren oder spezialisierte Leistungen über einen kommunalen IT-Dienstleister beziehen. Dadurch lassen sich knappe personelle und finanzielle Ressourcen effizienter einsetzen.

Wie Kommunen schrittweise ein ISMS aufbauen

Ein Informationssicherheitsmanagementsystem, kurz ISMS, bezeichnet die Gesamtheit aus Regeln, Verantwortlichkeiten und wiederkehrenden Abläufen, mit denen eine Organisation ihre Informationssicherheit steuert. Es handelt sich nicht nur um ein Dokument und auch nicht um eine einzelne technische Lösung. Ein ISMS sorgt dafür, dass Sicherheitsrisiken dauerhaft erfasst, bewertet und behandelt werden.

Der Aufbau beginnt mit einem klar festgelegten Geltungsbereich. Kommunen sollten entscheiden, ob zunächst die gesamte Verwaltung oder ein besonders kritischer Bereich betrachtet wird. Bei begrenzten Ressourcen kann es sinnvoll sein, mit zentralen Verwaltungsleistungen zu beginnen und das ISMS anschließend schrittweise zu erweitern.

Anschließend müssen die relevanten Prozesse, Informationen, Anwendungen, Systeme, Räume und Dienstleister erfasst werden. Dabei geht es nicht darum, jede technische Einzelheit sofort vollständig zu dokumentieren. Zunächst muss erkennbar sein, welche Leistungen besonders wichtig sind und wovon ihre Funktionsfähigkeit abhängt.

Ein praktikabler Aufbau umfasst folgende Schritte:

• Sicherheitsziele und Geltungsbereich festlegen
• Informationssicherheitsbeauftragten und weitere Verantwortliche benennen
• kritische Verwaltungsleistungen und Abhängigkeiten erfassen
• Risiken systematisch bewerten
• Sicherheitsmaßnahmen priorisieren und umsetzen
• Richtlinien und Notfallverfahren dokumentieren
• Beschäftigte informieren und schulen
• Wirksamkeit anhand von Prüfungen und Kennzahlen kontrollieren
• festgestellte Abweichungen bearbeiten
• das ISMS regelmäßig weiterentwickeln

Die Sicherheitsleitlinie bildet dabei den übergeordneten Rahmen. Sie sollte von der Verwaltungsleitung verabschiedet werden und deutlich machen, welchen Stellenwert die Informationssicherheit besitzt. Konkrete Richtlinien können anschließend beispielsweise den Umgang mit Passwörtern, mobilen Geräten, externen Zugängen, Datensicherungen oder Sicherheitsvorfällen regeln.

Entscheidend ist die kontinuierliche Verbesserung. Sicherheitsmaßnahmen können technisch vorhanden sein, aber im Alltag nicht zuverlässig funktionieren. Ein Backup schützt beispielsweise nur dann, wenn die enthaltenen Daten vollständig sind und sich innerhalb der benötigten Zeit wiederherstellen lassen. Deshalb gehören Tests, interne Kontrollen und regelmäßige Berichte fest zum ISMS.Kommunen sollten den Aufbau nicht als einmaliges Großprojekt behandeln. Sinnvoller ist ein stufenweises Vorgehen mit erreichbaren Zwischenzielen. So entsteht nach und nach eine belastbare Sicherheitsorganisation, die auch bei begrenzten Ressourcen dauerhaft handlungsfähig bleibt.

Die wichtigsten Maßnahmen für mehr kommunale IT-Sicherheit

Kommunen müssen nicht jede denkbare Sicherheitsmaßnahme gleichzeitig umsetzen. Entscheidend ist, zuerst die Bereiche abzusichern, deren Ausfall oder Kompromittierung besonders schwerwiegende Folgen hätte. Dafür benötigen die Verantwortlichen einen vollständigen Überblick über ihre Systeme, klar geregelte Zugriffsrechte und einen verlässlichen Umgang mit bekannten Schwachstellen.

Die folgenden Maßnahmen gehören zu den wichtigsten Grundlagen einer kommunalen IT-Sicherheitsstrategie. Sie schützen nicht nur vor gezielten Cyberangriffen, sondern reduzieren auch Risiken durch Fehlkonfigurationen, veraltete Software und unbeabsichtigte Handlungen.

Systeme, Daten und kritische Verwaltungsprozesse erfassen

Eine Kommune kann nur schützen, was ihr bekannt ist. In gewachsenen IT-Umgebungen fehlt jedoch häufig eine vollständige und aktuelle Übersicht über alle Geräte, Anwendungen, Fachverfahren, Schnittstellen und extern betriebenen Dienste. Einzelne Lösungen wurden möglicherweise von Fachämtern beschafft, ohne sie in ein zentrales Verzeichnis aufzunehmen. Andere Systeme befinden sich noch im Netzwerk, obwohl sie kaum oder gar nicht mehr genutzt werden.

Am Anfang steht deshalb eine strukturierte Bestandsaufnahme. Dabei sollten nicht nur klassische IT-Komponenten erfasst werden. Zur kommunalen Infrastruktur können unter anderem gehören:

• Server und virtuelle Systeme
• Arbeitsplatzrechner und mobile Endgeräte
• Netzwerkkomponenten und WLAN-Infrastruktur
• Fachverfahren und Datenbanken
• E-Mail-, Telefonie- und Kommunikationssysteme
• Cloud-Dienste und externe Plattformen
• Drucker, Scanner und Multifunktionsgeräte
• Gebäude-, Verkehrs- und Sensortechnik
• Systeme kommunaler Einrichtungen und Schulen
• externe Schnittstellen und Fernwartungszugänge

Für jedes relevante System sollte festgehalten werden, welche Aufgabe es erfüllt, wer dafür verantwortlich ist und welche Informationen darin verarbeitet werden. Zusätzlich muss erkennbar sein, ob das System aus dem Internet erreichbar ist, mit anderen Anwendungen kommuniziert oder durch einen externen Dienstleister betreut wird.

Eine reine Inventarliste reicht allerdings nicht aus. Kommunen müssen ihre technische Infrastruktur mit den Verwaltungsprozessen verbinden. Erst dadurch wird sichtbar, welche Folgen ein Ausfall tatsächlich hätte. Ein einzelner Server kann beispielsweise mehrere Fachverfahren bereitstellen. Umgekehrt kann ein Verwaltungsprozess von unterschiedlichen Anwendungen, Netzwerkverbindungen und externen Anbietern abhängig sein.

Besonders kritische Prozesse sollten anhand nachvollziehbarer Kriterien bestimmt werden:

• Welche gesetzlichen oder öffentlichen Aufgaben werden damit erfüllt?
• Wie lange kann die Leistung maximal ausfallen?
• Welche Auswirkungen hätte eine fehlerhafte Datenverarbeitung?
• Sind besonders sensible Informationen betroffen?
• Gibt es ein analoges oder alternatives Ersatzverfahren?
• Welche weiteren Einrichtungen sind von der Leistung abhängig?

Auf dieser Grundlage lassen sich Schutzbedarf und Prioritäten festlegen. Ein öffentlich erreichbares Terminportal benötigt andere Schutzmaßnahmen als ein internes System für besonders vertrauliche Sozialdaten. Gleichzeitig kann ein technisch unscheinbarer Verzeichnisdienst besonders kritisch sein, wenn ohne ihn keine Beschäftigten auf ihre Arbeitsplätze und Anwendungen zugreifen können.

Die Bestandsaufnahme muss regelmäßig aktualisiert werden. Neue Anwendungen, technische Änderungen und die Außerbetriebnahme alter Systeme sollten verbindlich gemeldet und dokumentiert werden. So verhindert die Kommune, dass unerkannte Systeme und Zugänge zu dauerhaften Sicherheitslücken werden.

Zugänge, Berechtigungen und Endgeräte absichern

Viele Cyberangriffe beginnen mit einem kompromittierten Benutzerkonto. Gelangen Angreifer an gültige Zugangsdaten, können sie sich zunächst wie berechtigte Beschäftigte im Netzwerk bewegen. Zu weitreichende Rechte erleichtern es ihnen anschließend, zusätzliche Systeme zu erreichen, Daten auszulesen oder Schadsoftware zu verbreiten.

Kommunen sollten deshalb nach dem Prinzip der minimalen Berechtigung arbeiten. Beschäftigte erhalten nur die Zugriffe, die sie für ihre jeweiligen Aufgaben tatsächlich benötigen. Berechtigungen dürfen nicht vorsorglich oder dauerhaft vergeben werden, wenn kein nachvollziehbarer fachlicher Bedarf besteht.

Besonders zu schützen sind Konten mit administrativen Rechten. Für normale Büroarbeit, Internetnutzung und E-Mail-Kommunikation sollten keine Administratorkonten verwendet werden. Stattdessen benötigen Administratorinnen und Administratoren getrennte Benutzerkonten für alltägliche und privilegierte Tätigkeiten.

Zu einem wirksamen Berechtigungsmanagement gehören insbesondere:

• persönliche und eindeutig zuordenbare Benutzerkonten
• rollenbasierte Vergabe von Zugriffsrechten
• getrennte Konten für administrative Aufgaben
• Mehrfaktor-Authentifizierung für besonders wichtige Zugänge
• regelmäßige Überprüfung bestehender Berechtigungen
• sofortige Sperrung nicht mehr benötigter Konten
• kontrollierte Vergabe zeitlich begrenzter Sonderrechte
• Protokollierung sicherheitsrelevanter Zugriffe

Ein kritischer Zeitpunkt ist der Wechsel von Aufgaben oder das Ausscheiden von Beschäftigten. Werden Berechtigungen nicht angepasst, bleiben möglicherweise Zugänge bestehen, die nicht mehr benötigt werden. Personalverwaltung, Fachbereiche und IT sollten deshalb einen verbindlichen Prozess für Eintritt, Wechsel und Austritt etablieren.

Auch externe Konten müssen berücksichtigt werden. Fernwartungszugänge von Dienstleistern sollten nur aktiviert sein, wenn sie tatsächlich benötigt werden. Gemeinsam genutzte Konten erschweren die Nachvollziehbarkeit und sollten vermieden werden. Jede administrative Tätigkeit sollte einer konkreten Person und einem festgelegten Zeitraum zugeordnet werden können.

Neben den Konten müssen die verwendeten Endgeräte geschützt werden. Dazu gehören Arbeitsplatzrechner, Notebooks, Smartphones und Tablets. Ein angemessenes Schutzkonzept umfasst beispielsweise:

• zentral verwaltete Sicherheitskonfigurationen
• automatische Sperrung bei Inaktivität
• Festplattenverschlüsselung auf mobilen Geräten
• Schutz vor Schadsoftware
• zentrale Verteilung von Sicherheitsupdates
• Einschränkung nicht benötigter Funktionen
• kontrollierte Nutzung externer Speichermedien
• Möglichkeit zur Fernsperrung oder Löschung mobiler Geräte

Mehrfaktor-Authentifizierung ist besonders für E-Mail-Konten, Cloud-Anwendungen, VPN-Verbindungen und administrative Zugänge wichtig. Ein gestohlenes Passwort reicht dann allein nicht mehr für eine Anmeldung aus. Dabei sollten möglichst sichere Verfahren eingesetzt werden. Einfache SMS-Codes bieten zwar zusätzlichen Schutz, spezielle Authenticator-Apps oder hardwarebasierte Sicherheitsschlüssel sind für besonders kritische Zugänge jedoch robuster.

Sicherheitsupdates und Schwachstellen systematisch verwalten

Sicherheitslücken in Betriebssystemen, Anwendungen und Netzwerkkomponenten werden regelmäßig entdeckt. Hersteller stellen in vielen Fällen Updates bereit, mit denen diese Schwachstellen geschlossen werden. Bleiben sie zu lange ungepatcht, können Angreifer bekannte und teilweise bereits automatisiert ausnutzbare Sicherheitslücken verwenden.

Ein wirksames Patchmanagement darf daher nicht vom Zufall oder der Aufmerksamkeit einzelner Administratoren abhängen. Die Kommune benötigt einen verbindlichen Prozess, der festlegt:

• welche Systeme regelmäßig geprüft werden
• wer für die Aktualisierung verantwortlich ist
• wie neue Schwachstellen bewertet werden
• innerhalb welcher Fristen Updates installiert werden
• wie Änderungen vorab getestet werden
• wie Ausnahmen dokumentiert und genehmigt werden
• welche Übergangsmaßnahmen bei Verzögerungen gelten

Nicht jedes Update besitzt die gleiche Dringlichkeit. Priorität haben Schwachstellen, die bereits aktiv ausgenutzt werden oder Systeme mit direkter Verbindung zum Internet betreffen. Dazu zählen beispielsweise VPN-Zugänge, Firewalls, E-Mail-Server, Webanwendungen und Fernwartungssysteme. Ebenfalls besonders kritisch sind Sicherheitslücken, durch die Angreifer administrative Rechte oder Zugang zu sensiblen Daten erhalten könnten.

Regelmäßige Schwachstellenscans können dabei helfen, fehlende Updates und unsichere Konfigurationen zu erkennen. Ihre Ergebnisse müssen jedoch fachlich bewertet werden. Eine lange Liste technischer Befunde allein verbessert die Sicherheit nicht. Für jeden relevanten Fund sollte festgelegt werden, welche Auswirkung möglich ist, wie dringend die Behebung ist und wer die Maßnahme umsetzt.

Problematisch sind Systeme, für die keine Sicherheitsupdates mehr angeboten werden. Solche Anwendungen und Geräte sollten möglichst ersetzt werden. Ist eine kurzfristige Ablösung nicht möglich, benötigt die Kommune zusätzliche Schutzmaßnahmen. Dazu können gehören:

• Trennung vom Internet und anderen Netzbereichen
• Beschränkung auf wenige berechtigte Personen
• stärkere Überwachung von Zugriffen
• Deaktivierung nicht benötigter Dienste
• Nutzung eines gesicherten Administrationszugangs
• verbindlicher Plan für die spätere Ablösung

Auch Fachverfahren externer Anbieter müssen in das Patchmanagement einbezogen werden. Verträge sollten eindeutig regeln, wer Sicherheitsupdates bereitstellt, wie schnell kritische Schwachstellen behandelt werden und wie die Kommune über bestehende Risiken informiert wird.

Ziel ist nicht, jedes Update ohne Prüfung sofort zu installieren. Ungetestete Änderungen können den Verwaltungsbetrieb beeinträchtigen. Kommunen benötigen deshalb ein ausgewogenes Verfahren, das sowohl die Sicherheit als auch die Stabilität der Fachverfahren berücksichtigt. Kritische Lücken dürfen jedoch nicht über längere Zeit offenbleiben, nur weil Zuständigkeiten oder Wartungsabläufe ungeklärt sind.

Netzwerke und besonders kritische Systeme voneinander trennen

Befinden sich sämtliche Systeme in einem gemeinsamen, weitgehend offenen Netzwerk, kann sich ein erfolgreicher Angriff schnell innerhalb der gesamten Verwaltung ausbreiten. Schadsoftware, die zunächst nur einen einzelnen Arbeitsplatzrechner betrifft, könnte anschließend Server, Fachverfahren, Datensicherungen oder technische Anlagen erreichen. Eine geeignete Netzwerksegmentierung soll genau das verhindern.

Dabei wird das kommunale Netzwerk in voneinander getrennte Sicherheitsbereiche aufgeteilt. Die Kommunikation zwischen diesen Bereichen ist nur über ausdrücklich freigegebene Verbindungen möglich. Ein kompromittiertes Gerät führt dadurch nicht automatisch dazu, dass Angreifer auf sämtliche kommunalen Systeme zugreifen können.

Getrennt betrachtet werden sollten beispielsweise:

• normale Büroarbeitsplätze
• Server und zentrale Verwaltungsdienste
• besonders schützenswerte Fachverfahren
• Administrationssysteme
• Datensicherungsinfrastruktur
• Gäste- und öffentliche WLAN-Netze
• Schulen und weitere kommunale Einrichtungen
• Drucker und andere vernetzte Geräte
• Gebäude-, Verkehrs- und Sensortechnik
• externe Dienstleister- und Fernwartungszugänge

Die Aufteilung muss sich am tatsächlichen Risiko orientieren. Ein öffentlich zugängliches WLAN darf beispielsweise keinen direkten Zugriff auf interne Verwaltungsnetze ermöglichen. Ebenso sollten vernetzte Drucker, Kameras oder Gebäudesteuerungen nicht unkontrolliert mit Systemen verbunden sein, in denen sensible Daten verarbeitet werden.

Besonders wichtig ist die Trennung der administrativen Zugänge. Kritische Systeme sollten möglichst nur über speziell abgesicherte Administrationsgeräte oder definierte Management-Netze verwaltet werden. Wird ein gewöhnlicher Arbeitsplatz durch Phishing kompromittiert, darf der Angreifer nicht ohne Weiteres auf die zentrale Serververwaltung zugreifen können.

Auch Datensicherungen benötigen einen gesonderten Schutzbereich. Sind Backup-Systeme dauerhaft und mit denselben Zugangsdaten wie das Produktivnetz erreichbar, können Angreifer die Sicherungskopien gezielt löschen oder verschlüsseln. Dadurch verliert die Kommune möglicherweise ihre wichtigste Möglichkeit zur Wiederherstellung.

Netzwerksegmentierung bedeutet nicht, möglichst viele technische Barrieren ohne klare Planung einzurichten. Zu komplexe Strukturen können den Betrieb erschweren und zu Fehlkonfigurationen führen. Kommunen sollten zunächst besonders kritische Systeme und offensichtliche Risikobereiche voneinander trennen. Anschließend kann die Segmentierung schrittweise erweitert und regelmäßig überprüft werden.

Backups erstellen und die Wiederherstellung regelmäßig testen

Datensicherungen gehören zu den wichtigsten Maßnahmen gegen Ransomware, technische Defekte und versehentlich gelöschte Informationen. Ein vorhandenes Backup garantiert jedoch noch keine erfolgreiche Wiederherstellung. Sicherungen können unvollständig, beschädigt, veraltet oder ebenfalls vom Cyberangriff betroffen sein.

Kommunen benötigen deshalb ein dokumentiertes Backup-Konzept. Es sollte festlegen, welche Daten und Systeme gesichert werden, wie häufig die Sicherung erfolgt und wie lange verschiedene Versionen aufbewahrt werden. Die Sicherungsintervalle müssen sich an der Bedeutung des jeweiligen Verwaltungsprozesses orientieren.

Für besonders kritische Systeme sollten unter anderem folgende Fragen beantwortet werden:

• Welche Datenmenge darf höchstens verloren gehen?
• Innerhalb welcher Zeit muss das System wieder verfügbar sein?
• Welche anderen Systeme werden für die Wiederherstellung benötigt?
• Wer darf auf die Datensicherungen zugreifen?
• Wo werden die Sicherungskopien aufbewahrt?
• Wie wird geprüft, ob die Backups vollständig und lesbar sind?
• In welcher Reihenfolge müssen die Systeme wiederhergestellt werden?

Mindestens eine Sicherungskopie sollte so gespeichert werden, dass sie nicht dauerhaft aus dem normalen Verwaltungsnetz erreichbar und nachträglich nicht ohne Weiteres veränderbar ist. Dazu eignen sich je nach Umgebung Offline-Backups, getrennte Sicherungssysteme oder unveränderbare Speicherlösungen. Zusätzlich sollte eine Kopie an einem anderen Standort liegen, damit auch Schäden durch Feuer, Wasser oder einen lokalen technischen Ausfall berücksichtigt werden.

Besondere Aufmerksamkeit benötigen die Zugangsdaten der Backup-Administratoren. Angreifer versuchen häufig gezielt, diese Konten zu kompromittieren. Für die Verwaltung der Sicherungssysteme sollten daher getrennte Konten, Mehrfaktor-Authentifizierung und eine nachvollziehbare Protokollierung verwendet werden.

Entscheidend sind regelmäßige Wiederherstellungstests. Dabei sollte nicht nur eine einzelne Datei zurückgespielt werden. Für kritische Fachverfahren muss geprüft werden, ob Anwendungen, Datenbanken, Benutzerverwaltung und notwendige Schnittstellen innerhalb der benötigten Zeit wieder funktionsfähig hergestellt werden können.

Ein realistischer Test kann beispielsweise zeigen, dass zwar sämtliche Daten vorhanden sind, aber Installationsmedien, technische Dokumentationen oder Zugangsdaten fehlen. Solche Probleme sollten erkannt werden, bevor die Kommune tatsächlich auf ihre Sicherungen angewiesen ist.

Die Testergebnisse müssen dokumentiert und bestehende Mängel anschließend behoben werden. Erst ein erfolgreich durchgeführter Wiederherstellungstest liefert einen belastbaren Hinweis darauf, dass das Backup-Konzept im Ernstfall funktionieren kann.

Beschäftigte schulen und Sicherheitsvorfälle frühzeitig erkennen

Beschäftigte sind ein wichtiger Teil der kommunalen Sicherheitsorganisation. Sie arbeiten täglich mit E-Mails, Fachverfahren und sensiblen Informationen und können verdächtige Vorgänge häufig als Erste bemerken. Gleichzeitig versuchen Angreifer gezielt, Zeitdruck, Hilfsbereitschaft oder fehlende Informationen auszunutzen.

Allgemeine Schulungen in großen Zeitabständen reichen dafür nicht aus. Sicherheitswissen sollte regelmäßig, verständlich und mit Bezug zum kommunalen Arbeitsalltag vermittelt werden. Statt ausschließlich technische Begriffe zu erklären, sollten konkrete Situationen behandelt werden, beispielsweise:

• verdächtige E-Mails und unerwartete Anhänge
• gefälschte Anmeldeseiten
• angebliche Anweisungen von Vorgesetzten
• ungewöhnliche Zahlungsaufforderungen
• unerwartete Mehrfaktor-Anfragen
• Anrufe vermeintlicher IT-Dienstleister
• unsichere Weitergabe personenbezogener Daten
• Verlust eines dienstlichen Geräts

Die Inhalte sollten an die jeweilige Tätigkeit angepasst werden. Mitarbeitende in der Finanzverwaltung sind anderen Angriffsszenarien ausgesetzt als Beschäftigte im Bürgerbüro oder in der technischen Administration. Personen mit privilegierten Zugängen benötigen deshalb vertiefte Schulungen.

Phishing-Simulationen können dabei helfen, typische Angriffsmethoden erlebbar zu machen und den Schulungsbedarf zu ermitteln. Sie sollten jedoch nicht dazu dienen, einzelne Beschäftigte bloßzustellen. Ziel ist es, sichere Verhaltensweisen zu fördern und organisatorische Schwächen zu erkennen.

Besonders wichtig ist ein einfacher und bekannter Meldeweg. Beschäftigte müssen wissen, an wen sie sich bei einer verdächtigen Nachricht, einer ungewöhnlichen Systemreaktion oder einem möglichen Fehlversand wenden können. Die Meldung sollte möglichst schnell und ohne Angst vor persönlicher Schuldzuweisung erfolgen.

Eine frühzeitige Meldung kann verhindern, dass aus einem einzelnen Vorfall ein umfassender Schaden entsteht. Hat jemand beispielsweise Zugangsdaten auf einer gefälschten Seite eingegeben, können das Konto gesperrt, aktive Sitzungen beendet und verdächtige Zugriffe überprüft werden. Bleibt der Vorfall aus Unsicherheit oder Sorge vor Konsequenzen ungemeldet, gewinnen Angreifer wertvolle Zeit.

Technische Angriffserkennung ergänzt die Aufmerksamkeit der Mitarbeitenden. Dazu gehören die zentrale Auswertung von Protokolldaten, Warnungen bei ungewöhnlichen Anmeldungen und die Überwachung auffälliger Netzwerkaktivitäten. Da kleinere Kommunen solche Systeme häufig nicht rund um die Uhr selbst betreiben können, kann die Zusammenarbeit mit einem spezialisierten Dienstleister sinnvoll sein.

Schulungen und technische Überwachung verfolgen dasselbe Ziel: Sicherheitsvorfälle möglichst früh zu erkennen und schnell zu begrenzen. Eine offene Sicherheitskultur, klare Meldewege und regelmäßige Übungen sind dafür ebenso wichtig wie moderne Schutzsoftware.

IT-Dienstleister und kommunale Lieferketten absichern

Kommunen sind für den Betrieb ihrer digitalen Verwaltung auf zahlreiche externe Anbieter angewiesen. Dazu gehören kommunale Rechenzentren, Softwarehersteller, Cloud-Anbieter, Wartungsunternehmen und spezialisierte IT-Sicherheitsdienstleister. Diese Zusammenarbeit kann fehlende interne Ressourcen ausgleichen, schafft aber gleichzeitig zusätzliche Abhängigkeiten.

Ein Sicherheitsvorfall bei einem zentralen Anbieter kann mehrere Fachverfahren und Kommunen gleichzeitig betreffen. Deshalb muss die Informationssicherheit entlang der gesamten Lieferkette betrachtet werden. Die Auslagerung einer technischen Leistung entbindet die Kommune nicht von ihrer Verantwortung, Risiken zu bewerten und angemessene Schutzmaßnahmen einzufordern.

Sicherheitsanforderungen in Ausschreibungen und Verträgen festlegen

Sicherheitsanforderungen sollten bereits vor der Auswahl eines Dienstleisters definiert werden. Werden sie erst nach Vertragsabschluss angesprochen, lassen sie sich häufig nur mit zusätzlichem Aufwand oder höheren Kosten umsetzen. IT, Informationssicherheit, Datenschutz, Vergabestelle und zuständiges Fachamt sollten deshalb frühzeitig zusammenarbeiten.

Welche Anforderungen erforderlich sind, hängt von der Bedeutung des Dienstes und den verarbeiteten Informationen ab. Bei einem zentralen Fachverfahren mit sensiblen personenbezogenen Daten sind strengere Vorgaben notwendig als bei einem Dienst ohne Zugriff auf schützenswerte Informationen.

In Ausschreibungen und Verträgen sollten unter anderem geregelt werden:

• konkrete technische und organisatorische Schutzmaßnahmen
• Einsatz von Mehrfaktor-Authentifizierung
• Verschlüsselung gespeicherter und übertragener Daten
• Fristen zur Behebung kritischer Schwachstellen
• Protokollierung administrativer Zugriffe
• sichere Backup- und Wiederherstellungsverfahren
• Meldepflichten bei Sicherheitsvorfällen
• Reaktions- und Wiederherstellungszeiten
• Einsatz und Kontrolle von Unterauftragnehmern
• Datenstandorte und zulässige Verarbeitungsorte
• Unterstützung bei Prüfungen und forensischen Untersuchungen
• sichere Rückgabe oder Löschung der Daten nach Vertragsende

Zertifizierungen und Prüfberichte können bei der Auswahl eines Anbieters hilfreich sein. Sie zeigen jedoch nicht automatisch, dass der konkrete Dienst sämtliche kommunalen Anforderungen erfüllt. Entscheidend bleibt, welche Systeme, Standorte und Prozesse tatsächlich vom jeweiligen Nachweis abgedeckt werden.

Auch die Verfügbarkeit muss vertraglich berücksichtigt werden. Kommunen sollten festlegen, wie schnell ein Anbieter bei einem Ausfall reagieren muss und innerhalb welcher Zeit eine besonders wichtige Anwendung wiederhergestellt werden soll. Diese Vereinbarungen müssen zu den eigenen Notfallzielen passen. Ein Dienstleister kann keine Wiederherstellungszeit garantieren, die im Vertrag nicht vereinbart oder technisch vorbereitet wurde.

Ebenso wichtig ist eine Exit-Strategie. Bereits vor Vertragsbeginn sollte geklärt werden, in welchem Format die Kommune ihre Daten zurückerhält, wie ein Wechsel des Anbieters erfolgen kann und welche Unterstützung dafür bereitgestellt wird. Ohne entsprechende Regelungen kann eine starke Abhängigkeit entstehen, die spätere Sicherheits- oder Anbieterwechsel erschwert.

Zugriffsrechte, Meldewege und Verantwortlichkeiten kontrollieren

Externe Dienstleister benötigen häufig Zugriff auf kommunale Systeme, um Wartungen, Updates oder Fehlerbehebungen durchzuführen. Solche Zugänge sind attraktiv für Angreifer, weil sie unter Umständen weitreichende Berechtigungen besitzen und außerhalb der normalen Verwaltungsabläufe genutzt werden.

Fernzugänge sollten deshalb nach denselben oder strengeren Maßstäben abgesichert werden wie interne administrative Konten. Dauerhaft geöffnete Zugänge ohne Überwachung sind zu vermeiden. Stattdessen sollten Zugriffe zeitlich begrenzt, ausdrücklich freigegeben und protokolliert werden.

Zu den wichtigsten Schutzmaßnahmen gehören:

• persönliche Konten für externe Administratoren
• Mehrfaktor-Authentifizierung
• zeitlich begrenzte Freischaltung
• Beschränkung auf benötigte Systeme
• getrennte administrative Zugänge
• Protokollierung und regelmäßige Auswertung
• sofortige Sperrung nach Vertrags- oder Aufgabenende

Gemeinsam genutzte Konten sollten möglichst nicht eingesetzt werden, da sich Tätigkeiten dadurch keiner einzelnen Person zuordnen lassen. Die Kommune muss nachvollziehen können, wer wann auf welches System zugegriffen und welche Änderungen vorgenommen hat.

Für Sicherheitsvorfälle braucht es außerdem eindeutige Meldewege. Der Vertrag sollte festlegen, welche Ereignisse gemeldet werden müssen, an welche Stelle die Meldung erfolgt und innerhalb welcher Frist erste Informationen bereitstehen. Dabei muss nicht nur die endgültige Bestätigung eines Angriffs berücksichtigt werden. Auch ein begründeter Verdacht kann für die Kommune relevant sein, damit sie eigene Schutzmaßnahmen einleiten kann.

Die Aufgabenverteilung sollte unter anderem folgende Fragen beantworten:

• Wer untersucht den Vorfall technisch?
• Wer sichert Protokolle und weitere Beweismittel?
• Wer entscheidet über die Trennung betroffener Systeme?
• Wer stellt Anwendungen und Daten wieder her?
• Wer unterstützt bei gesetzlichen Meldungen?
• Wer informiert weitere betroffene Dienstleister?
• Wer trägt die Verantwortung für die Krisenkommunikation?

Diese Regelungen dürfen nicht nur auf dem Papier bestehen. Ansprechpartner und Kontaktdaten müssen regelmäßig aktualisiert werden. Bei besonders wichtigen Anbietern sollten gemeinsame Notfallübungen oder zumindest abgestimmte Tests stattfinden. Dadurch lässt sich feststellen, ob die vereinbarten Abläufe auch unter realistischen Bedingungen funktionieren.

IT-Notfallplan und Notbetrieb für Kommunen

Auch mit umfangreichen Schutzmaßnahmen können Kommunen einen Cyberangriff oder schwerwiegenden IT-Ausfall nicht vollständig ausschließen. Deshalb müssen sie bereits vor einem Vorfall festlegen, wie Entscheidungen getroffen, wichtige Leistungen aufrechterhalten und ausgefallene Systeme wiederhergestellt werden.

Ein IT-Notfallplan sollte so gestaltet sein, dass er auch ohne Zugriff auf das normale Verwaltungsnetz verfügbar ist. Wird das Dokument ausschließlich digital auf einem betroffenen Server gespeichert, kann es im entscheidenden Moment nicht genutzt werden. Zentrale Bestandteile müssen deshalb zusätzlich offline oder ausgedruckt und an geschützten Orten hinterlegt werden.

Kritische Verwaltungsleistungen und Wiederanlaufzeiten bestimmen

Im Notfall können nicht alle Fachverfahren gleichzeitig wiederhergestellt werden. Kommunen müssen deshalb schon im Vorfeld entscheiden, welche Leistungen besonders wichtig sind und in welcher Reihenfolge sie wieder anlaufen sollen. Diese Priorisierung darf nicht allein anhand technischer Kriterien erfolgen. Die Fachämter müssen einbezogen werden, weil sie die Auswirkungen eines Ausfalls am besten beurteilen können.

Für jede wichtige Verwaltungsleistung sollten zwei grundlegende Ziele bestimmt werden:

• Maximal tolerierbare Ausfallzeit: Wie lange darf die Leistung unterbrochen sein?
• Maximal tolerierbarer Datenverlust: Auf welchen Datenstand muss mindestens zurückgegriffen werden können?

Bei der Bewertung sind unter anderem gesetzliche Fristen, Auswirkungen auf Bürgerinnen und Bürger, finanzielle Folgen sowie mögliche Gefahren für die öffentliche Sicherheit zu berücksichtigen. Ein internes Archivsystem kann möglicherweise länger ausfallen als ein Verfahren, über das dringende Sozialleistungen bearbeitet werden.

Anschließend müssen sämtliche Abhängigkeiten erfasst werden. Ein Fachverfahren funktioniert häufig nur, wenn weitere Komponenten verfügbar sind, beispielsweise:

• Benutzer- und Berechtigungsverwaltung
• Netzwerk und Internetverbindung
• Datenbankserver
• E-Mail oder Telefonie
• externe Register und Schnittstellen
• Rechenzentren und Softwareanbieter
• bestimmte Arbeitsplätze oder Räume
• besonders qualifizierte Beschäftigte

Ohne diese Betrachtung können unrealistische Wiederanlaufpläne entstehen. Es reicht beispielsweise nicht, eine Anwendung technisch wiederherzustellen, wenn die benötigte Datenbank, Authentifizierung oder Verbindung zu einem externen Register weiterhin fehlt.

Aus den Ergebnissen sollte eine verbindliche Wiederanlaufreihenfolge abgeleitet werden. Diese muss mit dem Backup-Konzept und den Zusagen der beteiligten Dienstleister übereinstimmen. Verspricht der Anbieter eine Wiederherstellung erst nach mehreren Tagen, kann die Kommune für denselben Dienst keine kurzfristige Verfügbarkeit einplanen.

Die festgelegten Zeiten sollten regelmäßig überprüft werden. Neue Fachverfahren, geänderte gesetzliche Aufgaben oder zusätzliche Abhängigkeiten können die Prioritäten verändern. Ein aktueller Wiederanlaufplan schafft im Ernstfall Orientierung und verhindert, dass unter Zeitdruck ausschließlich nach spontaner Einschätzung entschieden werden muss.

Verantwortlichkeiten und alternative Kommunikationswege festlegen

Während eines Cyberangriffs müssen Entscheidungen häufig unter erheblichem Zeitdruck getroffen werden. Unklare Zuständigkeiten können die Reaktion verzögern und den Schaden vergrößern. Ein IT-Notfallplan sollte deshalb eindeutig festlegen, wer einen Vorfall bewertet, Schutzmaßnahmen anordnet und die interne sowie externe Kommunikation koordiniert.

Abhängig von der Größe und Struktur der Kommune können unter anderem folgende Stellen beteiligt sein:

• Verwaltungsleitung
• Leitung der IT
• Informationssicherheitsbeauftragter
• Datenschutzbeauftragter
• betroffene Fachämter
• Personal- und Rechtsabteilung
• Pressestelle
• kommunale IT-Dienstleister
• externe Incident-Response-Experten
• Polizei, Datenschutzaufsicht und weitere zuständige Behörden

Für jede Funktion sollte eine Vertretung benannt werden. Ein Notfall kann außerhalb der regulären Arbeitszeit, an Wochenenden oder während einer Abwesenheit eintreten. Die Reaktionsfähigkeit darf daher nicht von einer einzelnen Person abhängen.

Der IT-Notfallplan muss außerdem Entscheidungsbefugnisse regeln. Dazu gehören beispielsweise die Trennung von Systemen, das Abschalten zentraler Dienste, die Beauftragung externer Spezialisten und die Information der Öffentlichkeit. Beschäftigte müssen wissen, wer solche Entscheidungen treffen darf und wie die verantwortlichen Personen erreichbar sind.

Besonders problematisch ist, dass bei einem Cyberangriff die gewohnten Kommunikationskanäle nicht mehr vertrauenswürdig oder verfügbar sein können. Wurde das E-Mail-System kompromittiert, dürfen vertrauliche Informationen zum Vorfall nicht unkontrolliert über dieses System ausgetauscht werden. Auch interne Telefonie oder digitale Adressbücher können ausfallen.

Deshalb sollten alternative Kommunikationswege vorbereitet werden. Abhängig vom Schutzbedarf kommen beispielsweise infrage:

• separate dienstliche Mobiltelefone
• ein unabhängiges Kommunikationssystem
• zuvor festgelegte Telefonkonferenzen
• geschützte externe Plattformen
• persönliche Melde- und Treffpunkte
• ausgedruckte Telefon- und Kontaktlisten

Private Messenger oder persönliche E-Mail-Konten sollten nicht spontan eingesetzt werden, wenn keine datenschutz- und sicherheitsgerechte Regelung besteht. Der alternative Kommunikationsweg muss vorab geprüft, freigegeben und den beteiligten Personen bekannt sein.

Auch die Erreichbarkeit externer Stellen sollte vorbereitet werden. Kontaktdaten von IT-Dienstleistern, Cyber-Ersthilfe, Landes-CERT, Polizei, Versicherer und Datenschutzaufsicht müssen offline verfügbar sein. Zusätzlich ist zu dokumentieren, welche Vertrags- oder Vorgangsnummern bei einer Kontaktaufnahme benötigt werden.

Die festgelegten Kommunikationswege sollten regelmäßig getestet werden. Dabei zeigt sich häufig, dass Telefonnummern veraltet, Vertretungen nicht informiert oder externe Hotlines außerhalb bestimmter Zeiten nicht erreichbar sind. Solche Lücken lassen sich vor einem Ernstfall vergleichsweise einfach schließen.

Analoge Notfallunterlagen und Ersatzverfahren vorbereiten

Ein IT-Notfallplan ist nur hilfreich, wenn die Verantwortlichen während des Ausfalls darauf zugreifen können. Zentrale Dokumente dürfen daher nicht ausschließlich im kommunalen Netzwerk oder in einem gewöhnlichen Cloud-Speicher hinterlegt sein. Mindestens eine aktuelle Kopie sollte offline und geschützt verfügbar sein.

Zu den wichtigsten analogen oder offline gespeicherten Unterlagen gehören:

• Alarmierungs- und Eskalationsplan
• Kontaktlisten mit internen und externen Ansprechpartnern
• Zuständigkeiten und Vertretungsregelungen
• Übersicht kritischer Verwaltungsleistungen
• Wiederanlaufreihenfolge der Systeme
• technische Übersichten und wesentliche Abhängigkeiten
• Meldewege zu Behörden und Datenschutzaufsicht
• Vorlagen für interne und öffentliche Kommunikation
• Checklisten für die ersten Reaktionsschritte
• Zugangsinformationen zu gesondert geschützten Notfallsystemen

Vertrauliche Notfallunterlagen müssen vor unbefugtem Zugriff geschützt werden. Sie können sensible Informationen über Netzwerke, Ansprechpartner oder Wiederherstellungsverfahren enthalten. Deshalb sollte klar geregelt sein, wer die Dokumente aufbewahrt, einsehen und aktualisieren darf.

Neben den Unterlagen benötigen Kommunen Ersatzverfahren für besonders wichtige Leistungen. Dabei muss nicht jeder digitale Prozess vollständig analog nachgebildet werden. Entscheidend ist, dass priorisierte Aufgaben in einem eingeschränkten Umfang weitergeführt werden können.

Mögliche Ersatzverfahren sind beispielsweise:

• vorbereitete Papierformulare
• manuelle Erfassung dringender Anträge
• Ausgabe vorab festgelegter Notfallinformationen
• alternative Räumlichkeiten oder Arbeitsplätze
• Unterstützung durch eine Nachbarkommune
• telefonische Abstimmung mit übergeordneten Behörden
• nachträgliche Übertragung analoger Vorgänge in das Fachverfahren

Bei analogen Verfahren müssen Datenschutz und Nachvollziehbarkeit weiterhin beachtet werden. Papierunterlagen mit personenbezogenen Daten dürfen nicht offen zugänglich sein. Außerdem muss dokumentiert werden, welche Vorgänge während des Notbetriebs bearbeitet wurden, damit sie später vollständig und korrekt in die digitalen Systeme übernommen werden können.

Die Kommune sollte ebenfalls prüfen, welche Leistungen sich nicht sinnvoll analog fortführen lassen. In diesen Fällen braucht es eine verständliche Kommunikation gegenüber Bürgerinnen und Bürgern sowie klare Hinweise zu Fristen, alternativen Anlaufstellen und voraussichtlichen Einschränkungen.

Ein Notbetrieb kann den regulären Verwaltungsbetrieb nicht vollständig ersetzen. Er soll die wichtigsten Aufgaben übergangsweise aufrechterhalten und unkoordinierte Einzelentscheidungen vermeiden. Je konkreter die Ersatzverfahren vorbereitet sind, desto schneller kann die Kommune nach einem IT-Ausfall handlungsfähig werden.

Notfallpläne durch regelmäßige Übungen überprüfen

Ein schriftlicher Notfallplan zeigt nicht automatisch, ob die vorgesehenen Abläufe in einer realen Krise funktionieren. Erst durch regelmäßige Übungen wird sichtbar, ob Zuständigkeiten verstanden werden, Kommunikationswege erreichbar sind und getroffene Entscheidungen praktisch umgesetzt werden können.

Für den Einstieg eignet sich eine sogenannte Tabletop-Übung. Dabei wird ein fiktiver Sicherheitsvorfall schrittweise durchgespielt. Die Beteiligten müssen auf neue Informationen reagieren und erklären, welche Entscheidungen und Maßnahmen sie einleiten würden. Technische Systeme werden dabei üblicherweise nicht tatsächlich abgeschaltet.

Ein mögliches Szenario könnte so beginnen:

Am Montagmorgen können mehrere Beschäftigte keine Dateien mehr öffnen. Kurz darauf fällt das zentrale Fachverfahren aus. Auf einzelnen Geräten erscheint eine Lösegeldforderung. Das E-Mail-System verhält sich auffällig und ein externer Dienstleister ist zunächst nicht erreichbar.

Im Verlauf der Übung können weitere Ereignisse ergänzt werden:

• sensible kommunale Daten werden im Internet angeboten
• Bürgerinnen und Bürger melden ausgefallene Onlinedienste
• eine Journalistin bittet um Stellungnahme
• die Datensicherung ist nicht sofort erreichbar
• ein kritischer Dienstleister meldet ebenfalls einen Vorfall
• die Datenschutzaufsicht verlangt erste Informationen

An der Übung sollten nicht nur IT-Fachkräfte teilnehmen. Ein schwerer Cyberangriff betrifft die gesamte Verwaltung. Deshalb sollten auch Verwaltungsleitung, Informationssicherheit, Datenschutz, Pressestelle, Rechtsabteilung und ausgewählte Fachämter beteiligt werden. Je nach Szenario können außerdem externe Dienstleister, kommunale Unternehmen oder Sicherheitsbehörden einbezogen werden.

Nach der Übung müssen die Ergebnisse strukturiert ausgewertet werden. Dabei geht es nicht darum, einzelne Personen für falsche Entscheidungen zu kritisieren. Gesucht werden organisatorische und technische Lücken, beispielsweise:

• unklare Entscheidungsbefugnisse
• fehlende oder veraltete Kontaktdaten
• nicht erreichbare Dienstleister
• widersprüchliche Kommunikationswege
• fehlende Informationen über Systemabhängigkeiten
• unrealistische Wiederanlaufzeiten
• unzureichend vorbereitete Ersatzverfahren

Für jeden festgestellten Mangel sollten eine verantwortliche Stelle und ein Umsetzungstermin festgelegt werden. Ohne diese Nachbereitung bleibt die Übung ohne nachhaltige Wirkung.

Zusätzlich zu Tabletop-Übungen sind technische Wiederherstellungstests erforderlich. Dabei wird geprüft, ob ausgewählte Systeme tatsächlich aus den Backups wiederhergestellt werden können. Organisatorische und technische Übungen ergänzen sich: Die eine überprüft Entscheidungen und Zusammenarbeit, die andere die praktische Wiederherstellungsfähigkeit.

Notfallpläne sollten mindestens in regelmäßigen Abständen sowie nach wesentlichen technischen oder organisatorischen Veränderungen getestet werden. Auch nach einem realen Sicherheitsvorfall müssen die gewonnenen Erkenntnisse in die Notfallvorsorge einfließen. So entwickelt sich der Plan von einem statischen Dokument zu einem praxistauglichen Instrument für den kommunalen Krisenfall.

Was Kommunen bei einem Cyberangriff tun sollten

Bei einem Cyberangriff sind die ersten Stunden entscheidend. Unkoordinierte Maßnahmen können dazu führen, dass sich Schadsoftware weiter ausbreitet, wichtige Spuren verloren gehen oder betroffene Systeme zu früh wieder in Betrieb genommen werden. Kommunen benötigen deshalb einen vorbereiteten Ablauf, der technische Sofortmaßnahmen, organisatorische Entscheidungen und rechtliche Prüfungen miteinander verbindet.

Die konkrete Reaktion hängt von Art und Umfang des Vorfalls ab. Ein kompromittiertes Benutzerkonto erfordert andere Maßnahmen als ein flächendeckender Ransomware-Angriff. Trotzdem sollten grundlegende Zuständigkeiten und Schritte bereits vor einem Sicherheitsvorfall festgelegt sein.

Systeme eindämmen und den kommunalen Krisenstab aktivieren

Das erste Ziel besteht darin, den Vorfall zu erkennen und seine weitere Ausbreitung zu begrenzen. Verdächtige Systeme sollten möglichst kontrolliert vom Netzwerk getrennt werden. Abhängig vom Vorfall kann es notwendig sein, einzelne Endgeräte, Server, Netzwerkbereiche oder externe Verbindungen zu isolieren.

Beschäftigte sollten verdächtige Geräte nicht eigenständig zurücksetzen, neu installieren oder vollständig untersuchen. Dadurch könnten wichtige Spuren verändert oder gelöscht werden. Stattdessen müssen sie den festgelegten internen Meldeweg nutzen und den Anweisungen der IT-Verantwortlichen folgen.

Mögliche Hinweise auf einen Sicherheitsvorfall sind:

• plötzlich verschlüsselte oder nicht mehr lesbare Dateien
• unerwartete Lösegeldforderungen
• ungewöhnliche Anmeldungen
• nicht autorisierte Änderungen an Benutzerkonten
• auffällige Netzwerkverbindungen
• unerklärliche Systemausfälle
• deaktivierte Sicherheitssoftware
• verdächtige E-Mails aus internen Konten
• Hinweise auf veröffentlichte kommunale Daten

Nach der ersten Meldung muss der Vorfall bewertet werden. Dabei ist zu klären, welche Systeme betroffen sind, ob sich der Angriff noch ausbreitet und welche Verwaltungsleistungen gefährdet sind. Bei einem schwerwiegenden Vorfall sollte der vorbereitete Krisenstab aktiviert werden.

Dieser übernimmt die übergeordnete Koordination. Die technische Analyse bleibt Aufgabe der IT beziehungsweise spezialisierter Fachleute. Der Krisenstab entscheidet dagegen über organisatorische Maßnahmen, Prioritäten, externe Unterstützung und Kommunikation.

Zu den ersten Aufgaben gehören:

1. Vorfall dokumentieren und erste Erkenntnisse sichern.
2. Betroffene Systeme und Netzwerkbereiche eingrenzen.
3. Kritische Verwaltungsleistungen bewerten.
4. Interne und externe Verantwortliche alarmieren.
5. Alternative Kommunikationswege aktivieren.
6. Zuständige Behörden und Meldepflichten prüfen.
7. Vorgehen zur Eindämmung und Wiederherstellung abstimmen.

Dabei muss ein Gleichgewicht zwischen schneller Reaktion und Beweissicherung gefunden werden. Das sofortige Abschalten eines Systems kann die Ausbreitung stoppen, aber unter bestimmten Umständen flüchtige Spuren vernichten. Solche Entscheidungen sollten deshalb möglichst mit erfahrenen Incident-Response- oder Forensik-Fachleuten abgestimmt werden.

Wichtig ist außerdem ein zentrales Ereignisprotokoll. Darin werden Zeitpunkte, Beobachtungen, Entscheidungen und durchgeführte Maßnahmen festgehalten. Diese Dokumentation unterstützt die technische Untersuchung, gesetzliche Meldungen und die spätere Aufarbeitung.

Behörden, Datenschutzaufsicht und externe IT-Experten einbeziehen

Nur wenige Kommunen können einen schweren Cyberangriff vollständig mit eigenen Ressourcen bewältigen. Externe Unterstützung sollte daher nicht erst gesucht werden, wenn bereits große Teile der Verwaltung ausgefallen sind. Ansprechpartner, Verträge und Erreichbarkeiten müssen vorab geklärt sein.

Je nach Art des Vorfalls können verschiedene Stellen einbezogen werden:

• zuständiges Landes-CERT oder kommunales CERT
• Cyber-Ersthilfe beziehungsweise Incident-Response-Team
• kommunales Rechenzentrum
• betroffene Software- und IT-Dienstleister
• Polizei oder zuständige Strafverfolgungsbehörden
• Datenschutzaufsichtsbehörde
• Cyberversicherung
• spezialisierte IT-Forensiker
• übergeordnete kommunale oder staatliche Stellen

Externe Incident-Response-Spezialisten unterstützen bei der Eindämmung, technischen Untersuchung und Beweissicherung. Sie können feststellen, auf welchem Weg die Angreifer eingedrungen sind, welche Systeme betroffen sind und ob Daten abgeflossen sind. Diese Erkenntnisse sind notwendig, um die Umgebung sicher wiederherzustellen und erneute Zugriffe zu verhindern.

Besteht die Möglichkeit, dass personenbezogene Daten betroffen sind, muss der Datenschutzbeauftragte frühzeitig einbezogen werden. Anschließend ist zu prüfen, ob eine Datenschutzverletzung vorliegt und eine Meldung nach Artikel 33 DSGVO erforderlich ist. Die Meldung an die zuständige Aufsichtsbehörde muss grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden erfolgen, wenn ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht.

Sind zu Beginn noch nicht alle Einzelheiten bekannt, darf die Meldung nicht allein deshalb unnötig verzögert werden. Fehlende Informationen können gegebenenfalls nachgereicht werden. Wichtig ist, den Entscheidungsweg nachvollziehbar zu dokumentieren.

Darüber hinaus können je nach betroffener Organisation und geltender Regulierung weitere Meldepflichten bestehen. Kommunale Eigenbetriebe oder Unternehmen in regulierten Sektoren können anderen Anforderungen unterliegen als die Kernverwaltung. Die Zuständigkeiten sollten deshalb für jede relevante kommunale Einrichtung vorab geprüft werden.

Auch eine Strafanzeige kann sinnvoll oder erforderlich sein. Die Abstimmung mit Strafverfolgungsbehörden sollte jedoch nicht dazu führen, dass dringende technische Schutzmaßnahmen verzögert werden. Eindämmung, Beweissicherung und gesetzliche Meldungen müssen möglichst parallel koordiniert werden.

Für die Zusammenarbeit mit externen Fachleuten sollten sichere Zugriffs- und Kommunikationswege bestehen. Unkontrollierte Fernzugänge oder der Versand sensibler Informationen über möglicherweise kompromittierte E-Mail-Konten können zusätzliche Risiken schaffen. Deshalb müssen auch externe Hilfsmaßnahmen in den Notfallplan integriert sein.

Verwaltungsleistungen kontrolliert wiederherstellen

Nach der Eindämmung beginnt die Wiederherstellung. Dabei besteht häufig großer Druck, betroffene Systeme möglichst schnell wieder freizugeben. Ein zu früher Wiederanlauf kann jedoch dazu führen, dass verbliebene Schadsoftware erneut aktiv wird oder Angreifer weiterhin Zugriff besitzen.

Vor der Wiederherstellung muss deshalb möglichst geklärt werden:

• Auf welchem Weg gelangten die Angreifer in die Umgebung?
• Welche Benutzerkonten und Zugangsdaten sind betroffen?
• Welche Systeme wurden manipuliert?
• Haben Angreifer weitere Zugänge eingerichtet?
• Wurden Daten kopiert, verändert oder gelöscht?
• Sind die vorhandenen Backups vertrauenswürdig?
• Welche Schwachstellen müssen vor dem Wiederanlauf geschlossen werden?

Betroffene Systeme sollten nach Möglichkeit aus überprüften und sauberen Quellen neu aufgebaut werden. Eine einfache Rückkehr zu einem älteren Zustand reicht nicht aus, wenn die ursprüngliche Sicherheitslücke weiterhin besteht. Vor der Freigabe müssen daher Updates installiert, kompromittierte Zugangsdaten geändert und nicht autorisierte Zugänge entfernt werden.

Die Wiederherstellung sollte entsprechend der vorbereiteten Prioritäten erfolgen. Zunächst werden die grundlegenden Infrastrukturdienste benötigt, auf denen weitere Anwendungen aufbauen. Danach folgen besonders wichtige Fachverfahren und erst anschließend weniger zeitkritische Systeme.

Ein möglicher Ablauf ist:

1. vertrauenswürdige Administrationsumgebung bereitstellen,
2. grundlegende Netzwerk- und Sicherheitsfunktionen herstellen,
3. Identitäts- und Berechtigungsdienste absichern,
4. kritische Server und Datenbanken wiederherstellen,
5. priorisierte Fachverfahren testen,
6. Schnittstellen kontrolliert aktivieren,
7. Arbeitsplätze schrittweise freigeben,
8. Systeme verstärkt überwachen.

Jeder wiederhergestellte Bereich sollte vor der Freigabe technisch und fachlich getestet werden. Bei Fachverfahren muss nicht nur die Anwendung starten. Es ist auch zu prüfen, ob Daten vollständig, Berechtigungen korrekt und notwendige Schnittstellen funktionsfähig sind.

Während dieser Phase sollte die Kommune besonders aufmerksam auf ungewöhnliche Aktivitäten achten. Eine verstärkte Überwachung hilft, verbliebene Zugänge oder erneute Angriffsversuche frühzeitig zu erkennen.

Parallel müssen die im Notbetrieb erfassten Vorgänge nachgearbeitet werden. Papierformulare und manuell dokumentierte Entscheidungen sind kontrolliert in die digitalen Systeme zu übertragen. Dabei ist sicherzustellen, dass keine Vorgänge doppelt bearbeitet oder Informationen verloren gehen.

Die Rückkehr zum Normalbetrieb sollte ausdrücklich freigegeben und dokumentiert werden. Anschließend folgt eine strukturierte Nachbereitung. Die Kommune muss untersuchen, welche Schutzmaßnahmen versagt haben, welche Abläufe funktioniert haben und welche Verbesserungen erforderlich sind. Erst durch diese Aufarbeitung wird aus dem Sicherheitsvorfall eine belastbare Grundlage für höhere digitale Resilienz.

Da der Beitrag bereits deutlich über 7.500 Wörter liegt, formuliere ich die restlichen Punkte stark gekürzt und vermeide Wiederholungen.

Bürgerinnen, Bürger und Medien angemessen informieren

Ein länger andauernder IT-Ausfall betrifft häufig auch Bürgerinnen, Bürger und Unternehmen. Die Kommune sollte deshalb frühzeitig, sachlich und regelmäßig über Einschränkungen, verfügbare Ersatzangebote und alternative Kontaktmöglichkeiten informieren.

Dabei dürfen keine unbestätigten Ursachen oder technischen Details veröffentlicht werden, die laufende Untersuchungen gefährden. Die Kommunikation sollte zentral über die Pressestelle erfolgen und insbesondere folgende Fragen beantworten:

• Welche Leistungen sind aktuell eingeschränkt?
• Welche alternativen Anlaufstellen gibt es?
• Sind persönliche Daten möglicherweise betroffen?
• Wann folgt die nächste Aktualisierung?

Auch wenn noch nicht alle Informationen vorliegen, ist eine kurze bestätigte Mitteilung meist besser als vollständige Stille. Transparente Krisenkommunikation begrenzt Spekulationen und trägt dazu bei, das Vertrauen in die Verwaltung zu erhalten.

Praxisbeispiel – kommunale IT-Sicherheit schrittweise verbessern

Eine kleinere Kommune verfügt über ein begrenztes IT-Team, mehrere ältere Fachverfahren und keinen vollständig getesteten Notfallplan. Statt sofort ein umfangreiches Sicherheitsprojekt zu beginnen, priorisiert sie Maßnahmen nach Risiko und Bedeutung für den Verwaltungsbetrieb.

Sofortmaßnahmen in den ersten 30 Tagen

In der ersten Phase schafft die Kommune Transparenz und schließt besonders kritische Sicherheitslücken:

• Verantwortliche und Vertretungen benennen
• kritische Verwaltungsleistungen identifizieren
• öffentlich erreichbare Systeme überprüfen
• Mehrfaktor-Authentifizierung für wichtige Zugänge aktivieren
• kritische Sicherheitsupdates installieren
• administrative Konten kontrollieren
• Backup-Status und Wiederherstellbarkeit prüfen
• Notfallkontakte ausdrucken
• internen Meldeweg für Sicherheitsvorfälle bekannt geben

Diese Maßnahmen schaffen noch kein vollständiges ISMS, reduzieren jedoch kurzfristig wesentliche Risiken.

Basisabsicherung innerhalb von sechs Monaten

In den folgenden Monaten führt die Kommune einen WiBA-Check durch und erstellt einen priorisierten Maßnahmenplan. Gleichzeitig werden Berechtigungen bereinigt, Netzbereiche getrennt und externe Zugänge besser abgesichert.

Ergänzend entwickelt die Kommune einen IT-Notfallplan, definiert Ersatzverfahren und führt eine erste Tabletop-Übung durch. Verträge mit wichtigen IT-Dienstleistern werden auf Sicherheitsanforderungen, Meldewege und Wiederherstellungszeiten geprüft.

Langfristig werden diese Maßnahmen in ein ISMS überführt. Regelmäßige Schwachstellenprüfungen, Wiederherstellungstests, Schulungen und Berichte an die Verwaltungsleitung sorgen dafür, dass die kommunale IT-Sicherheit kontinuierlich verbessert wird.

Checkliste für die IT-Sicherheit in Kommunen

Mit diesen Fragen können Kommunen ihren aktuellen Handlungsbedarf grob einschätzen:

• Sind Verantwortlichkeiten und Vertretungen eindeutig geregelt?
• Sind kritische Verwaltungsleistungen und die benötigten Systeme bekannt?
• Ist für wichtige Zugänge eine Mehrfaktor-Authentifizierung eingerichtet?
• Werden kritische Sicherheitsupdates zeitnah installiert?
• Sind administrative Konten besonders geschützt?
• Bestehen getrennte Netzbereiche für kritische Systeme?
• Sind Backups gegen Verschlüsselung und Löschung geschützt?
• Wurde die Wiederherstellung wichtiger Fachverfahren getestet?
• Werden Beschäftigte regelmäßig sensibilisiert?
• Sind externe Dienstleister und deren Zugänge erfasst?
• Existiert ein offline verfügbarer IT-Notfallplan?
• Werden Notfallverfahren regelmäßig geübt?

Mehrere mit „Nein“ beantwortete Fragen zeigen einen konkreten Handlungsbedarf. Die offenen Punkte sollten nach Risiko priorisiert, Verantwortlichen zugewiesen und mit realistischen Fristen versehen werden.

Häufige Fragen zur IT-Sicherheit für Kommunen

Die wichtigsten Fragen zur kommunalen IT-Sicherheit betreffen häufig ähnliche Themen: Warum sind Verwaltungen attraktive Angriffsziele, welche Schutzmaßnahmen sind besonders wichtig und wie sollten Kommunen auf einen Sicherheitsvorfall vorbereitet sein? Die folgenden Antworten fassen zentrale Punkte kompakt zusammen und geben eine erste Orientierung für die Praxis.

Warum sind Kommunen häufig Ziel von Cyberangriffen?

Kommunen verarbeiten sensible Daten und sind stark von digitalen Fachverfahren abhängig. Gleichzeitig erleichtern veraltete Systeme, knappe Ressourcen und komplexe IT-Strukturen mögliche Angriffe. Viele Attacken erfolgen zudem automatisiert und richten sich nicht gezielt gegen eine bestimmte Gemeinde.

Wer trägt die Verantwortung für die kommunale IT-Sicherheit?

IT-Sicherheit ist eine Führungsaufgabe. Die Verwaltungsleitung setzt Ziele und stellt Ressourcen bereit. IT, Informationssicherheitsbeauftragte, Datenschutz, Fachämter und externe Dienstleister übernehmen jeweils klar definierte Aufgaben bei der Umsetzung.

Ist der BSI-IT-Grundschutz für Kommunen verpflichtend?

Das hängt von den geltenden bundes- und landesrechtlichen Vorgaben sowie von der jeweiligen Einrichtung ab. Unabhängig von einer Verpflichtung bietet der IT-Grundschutz einen anerkannten Rahmen für den systematischen Aufbau der Informationssicherheit.

Was ist WiBA?

WiBA steht für „Weg in die Basis-Absicherung“. Die BSI-Prüffragen ermöglichen insbesondere kleineren Kommunen einen praxisnahen Einstieg in die kommunale Informationssicherheit.

Welche Sicherheitsmaßnahmen sollten Kommunen zuerst umsetzen?

Zu den wichtigsten ersten Maßnahmen gehören eine Bestandsaufnahme, Mehrfaktor-Authentifizierung, zeitnahe Sicherheitsupdates, geschützte Administratorkonten, getrennte Backups und ein einsatzfähiger IT-Notfallplan.

Wie häufig sollte ein IT-Notfallplan getestet werden?

Ein Notfallplan sollte regelmäßig sowie nach wesentlichen technischen oder organisatorischen Veränderungen überprüft werden. Zusätzlich sind Übungen und praktische Wiederherstellungstests erforderlich.

Fazit – IT-Sicherheit in Kommunen nachhaltig verbessern

Wirksame IT-Sicherheit für Kommunen entsteht nicht durch einzelne Produkte, sondern durch klare Verantwortlichkeiten, priorisierte Schutzmaßnahmen und eine belastbare Notfallvorsorge. Besonders wichtig sind der Überblick über kritische Prozesse, sichere Zugänge, aktuelle Systeme, geschützte Backups und geschulte Beschäftigte.

Kommunen müssen nicht sofort sämtliche Anforderungen vollständig umsetzen. Mit WiBA und dem BSI-IT-Grundschutz können sie eine realistische Basisabsicherung schaffen und diese schrittweise zu einem ISMS weiterentwickeln. Entscheidend ist, bekannte Risiken nicht dauerhaft aufzuschieben und Notfallverfahren praktisch zu testen.
Sie möchten den Sicherheitsstand Ihrer Verwaltung überprüfen und konkrete Maßnahmen priorisieren? Eine strukturierte Bestandsaufnahme zeigt, wo die größten Risiken bestehen und welche Schritte Ihre Kommune zuerst umsetzen sollte.