IT-Sicherheit in Kommunen: der Notbetrieb

Das Angriffsrisiko und die Folgen für die kommunale IT werden subjektiv jedoch oft anders wahrgenommen. Längst nicht alle Fälle erzeugen ein mediales Aufsehen, wie dies etwa bei der Südwestfalen-IT oder dem Landkreis Anhalt-Bitterfeld der Fall war. Im März 2025 standen beispielsweise bei der Stadt Schwerte einige Dienste nicht zur Verfügung, nachdem wegen einer Cyberattacke bei den Stadtwerken Verbindungen gekappt werden mussten.

Wie häufig Cyberangriffe Teile der oder die gesamte Verwaltung betreffen, ist auch deswegen nicht hinreichend präsent, weil die Fälle nicht zentral erfasst werden. Die Seite kommunaler-notbetrieb.de listet bundesweit Fälle gehackter Gemeinde-, Stadt- und Kreisverwaltungen auf. Sie zeigt ein inoffizielles und unvollständiges Lagebild von IT-Sicherheitsvorfällen in der kommunalen Kernverwaltung (somit ohne Eigenbetriebe, separate Schulsysteme etc.). Betreiber ist Jens Lange, IT-Sicherheitsbeauftragter der Stadt Kassel und Sprecher des Arbeitskreises Informationssicherheit (AKIS) beim Deutschen Städtetag.

Ziel der Seite ist es, das Ausmaß der kommunalen IT-Sicherheitsvorfälle nicht nur hinsichtlich zeitlicher und räumlicher Verteilung, sondern auch mit Blick auf ihren Auswirkungsgrad nachvollziehbar zu machen. Nicht die einzige, aber die nach wie vor größte Gefahr sind demnach Ransomware-Attacken.

Diese Einschätzung teilen neben dem eingangs erwähnten ENISA-Bericht auch der Deutsche Städte- und Gemeindebund (DStGB) unter Bezugnahme auf einen Bericht des Bundesamts für Sicherheit in der Informationstechnik (BSI). Das BSI hat für Kommunalverwaltungen ein IT-Grundschutz-Profil erstellt. Dieses zu erfüllen, ist jedoch äußerst anspruchsvoll. Denn IT-Sicherheit wird nicht einmalig erreicht, sondern ist beständig mit personellem und finanziellem Aufwand verbunden, der besonders durch finanzschwache Städte und Gemeinden inhouse meist nicht zu bewerkstelligen ist.

Außerdem hat es die kommunale Ebene gar nicht allein in der Hand, für eine effektive Cybersicherheit zu sorgen. Der DStGB verweist darauf, dass Bund und Länder nicht zuletzt vor dem Hintergrund der zunehmenden Anzahl ebenenübergreifender Verfahren in der Verantwortung stehen, für ein möglichst hohes Maß an Sicherheit auf der kommunalen Ebene zu sorgen. Wie die Webseite Kommunaler Notbetrieb zeigt, sind zudem der Informationsfluss, der Austausch und die Unterstützung im Krisenfall im Zusammenspiel von Bund, Ländern und Kommunen ausbaufähig.

Dies bedeutet keineswegs, dass einer Stadt oder Gemeinde völlig die Hände gebunden wären. Maßnahmen, die jede Kommune jenseits der technischen Vorkehrungen (auch unabhängig von der Finanzlage) in Angriff nehmen sollte, sind zum Beispiel:

• Cybersicherheit in der Leitungsebene verankern: Nach einer aktuellen Umfrage der Bundes-Arbeitsgemeinschaft der kommunalen IT-Dienstleister (VITKAO) unterschätzen fast zwei Drittel der Entscheiderinnen und Entscheider in den Kommunalverwaltungen die Cyber-Gefährdungslage, sind aber (mit)zuständig für den Ressourceneinsatz.

• Mitarbeitende schulen: Laut VITAKO handelt es sich hierbei um die effektivste Maßnahme zur Verbesserung der Cybersicherheit – interföderale Maßnahmen sind die zweiteffektivsten (s.o.), auf sie hat eine Stadt oder Gemeinde allein aber keinen Einfluss.

• Notfallpläne aufstellen: erste Schritte für die Mitarbeitenden und Verantwortlichkeiten festlegen, analoge Listen mit Kontaktnummern, separate Kommunikationswege vordenken, mit Nachbarkommunen vorab klären, welche Leistungen bei einem IT-Ausfall von dort übergangsweise angeboten werden können.

• Vorab über Hilfsangebote wie Mobile Incident Response Teams (MIRT) informieren: Mit dem Digi-SOS bietet das Land NRW den Städten und Gemeinden schnelle und professionelle Hilfe bei IT-Sicherheitsvorfällen an. Wichtig: die Notfallkarte, die das MHKBD bereitstellt, ausdrucken, da ein Zugriff auf die Notfallkarte in digitaler Form möglicherweise nach einem Cyberangriff nicht mehr möglich sein könnte (Mitgliedsstädte und -gemeinden erhalten den passwortgeschützten über die Geschäftsstelle).

Einschätzung des Städte- und Gemeindebundes NRW

Cybersicherheit ist eine herausfordernde Aufgabe für die Kommunen. Eine 100-prozentige Sicherheitsgarantie gibt es selbst bei Einhaltung der strengsten Standards nicht. Kommunen müssen aber zumindest die Risiken ernst nehmen, sich soweit wie möglich wappnen und sollten für den Notfall planen. Derweil sind Bund und Länder gefordert, IT-Sicherheit weiter strukturell zu verbessern und die kommunale Ebene zu unterstützen. Dies gilt spätestens bei der Bewältigung von Sicherheitsvorfällen. So wie im Katastrophenfall auch niemand erwarten kann, dass die Gemeinde diesem allein mit ihrer örtlichen Feuerwehr gewachsen ist, muss auch bei einem Totalausfall der IT eine Unterstützung von außen kommen. Dass es in NRW eine MIRT-Lösung über das Digi-SOS gibt, ist daher zu begrüßen.