Kommunale IT-Sicherheit: Herausforderungen und Lösungswege

Montagmorgen, das Telefon klingelt. Ein IT-Mitarbeiter ruft an – in der Nacht gab es einen Angriff und alle IT-Systeme mussten heruntergefahren werden. Alle Terminals sind schwarz, nichts geht mehr. Mitarbeitende im Rathaus hasten ratlos über die Flure. Vor dem Bürgercenter haben sich lange Reihen von Menschen gebildet, die ungeduldig bis energisch mit dem Personal diskutieren. Niemand scheint zu wissen, was gerade passiert, wo genau die Ursache für die aktuell verfahrene Situation liegt und wie es nun eigentlich weitergehen soll. Fest steht bislang nur: Sämtliche IT ist ausgefallen und lässt sich nicht mehr hochfahren – der vermeintlich unwahrscheinliche Angriff durch Hacker hat gänzlich unerwartet die eigene kleine Behörde getroffen.

Es gibt verschiedene Akteure hinter diesen Angriffen: Einige sind staatliche, andere sind international verstreute Kollektive, die Hacking als Geschäftsmodell verfolgen. Wieder andere sind Einzelpersonen, die Angriffe durchführen, einfach weil sie die Fähigkeiten dazu haben. Die Angriffe reichen von klassischen Ransomware-Attacken mit Erpressung über den Diebstahl sensibler Daten bis hin zur Sabotage von Hard- und Software, die den kompletten Verwaltungsbetrieb lahmlegen kann. Auch Datenschutzverletzungen stellen eine erhebliche Bedrohung dar. Hinzu kommen indirekte Risiken durch Naturkatastrophen und daraus resultierende Ausfälle von IT-Infrastruktur. 

Die Hauptgründe für die steigende Gefährdungslage sind fehlende Fachexpertise vor Ort, unzureichende finanzielle Mittel für IT-Sicherheit und eine mangelhafte Sensibilisierung der Entscheidungsträgerinnen und -träger. In smarten Städten und Regionen ist diese Gefährdungslage durch die Vielzahl der Systeme teilweise noch höher: Mit zunehmender Vernetzung – von intelligenter Ampelsteuerung und digitaler Parkraumbewirtschaftung bis hin zu Hochwasser- und Starkregensensoren – steigt die Anzahl der zu schützenden Systeme, während Personal und Budget oft nicht angepasst werden.

Auch wenn die Lage der IT-Sicherheit in den Kommunen aktuell nur grob zu überblicken ist, so wird aus dem vorigen Abschnitt doch deutlich, dass hier individuell enorme Risikopotenziale existieren und künftig mehr getan werden muss, um den absehbaren Bedrohungen angemessen zu begegnen. Zum gleichen Ergebnis kam bereits eine größer angelegte Studie der Stiftung Neue Verantwortung und des Deutschen Städtetags aus dem Jahr 2023: der Cybersicherheitskompass. Ausgangspunkt war auch dort die Erkenntnis, dass die Informationssicherheit von Städten auf breiter Basis verbessert werden müsse. Hier stellt sich zwangsläufig die Frage, welche konkreten Verbesserungen vorzunehmen sind beziehungsweise ganz allgemein, wie die Situation in Kommunen und kleinen Städten idealerweise beschaffen sein sollte, um ein angemessenes Informationssicherheitsniveau zu erzielen. 

Das Bundesamt für Sicherheit in der Informationstechnik bietet in diesem Zusammenhang mit dem allgemein anwendbaren IT-Grundschutzkompendium eine generelle, systematische und umfassende Antwort auf die Frage, wie der Aspekt Informationssicherheit idealerweise angegangen werden sollte. Der Ansatz, der auf den Aufbau eines ISO27000-kompatiblen Managementsystems zur Informationssicherheit (Information Security Management System-ISMS) abzielt, richtet sich jedoch in erster Linie an mittlere und große Unternehmen und hat sich für kleinere Organisationen oder Kommunen als eher unpraktikabel erwiesen. 

Daher wurden im Laufe der Zeit zunehmend schlankere Ansätze entwickelt, die für die Anwendenden einen akzeptablen Kompromiss zwischen Vollständigkeit und praktischer Umsetzung darstellen. Mittlerweile gibt es mit dem „Weg in die Basis-Absicherung (WiBA)“ und dem „IT-Grundschutz-Profil Basis-Absicherung Kommunalverwaltung“ speziell für Kommunen auch ein angepasstes Vorgehen, das einen elementaren Einstieg zur Verbesserung der Informationssicherheit bietet. 

Um die IT-Sicherheit nachhaltig zu stärken, ist es jedoch entscheidend, sich der zentralen Fragen stets bewusst zu sein und klare Verantwortlichkeiten sowie Strukturen zu schaffen. Die folgenden Fragen bieten eine Orientierung, welche Maßnahmen und Zuständigkeiten in einer Kommune etabliert und allen bekannt sein sollten:

Als Beispiel kann bereits eine kleinere Kommune mit begrenzten Ressourcen ihre IT-Sicherheit gezielt durch einfache, aber effektive Maßnahmen verbessern (sogenannter „Quick-Win“). Ein pragmatischer Ansatz ist der Start mit dem WiBA-Ansatz, die speziell auf die Bedürfnisse solcher Verwaltungen zugeschnitten sind. Sichere Cloud-Lösungen bieten eine praktische Alternative, wenn die eigene Infrastruktur nicht ausreichend geschützt werden kann, und reduzieren gleichzeitig den Aufwand für Wartung und Updates. 

Ergänzend dazu sollten Kommunen einen klar definierten Meldeprozess für Sicherheitsvorfälle etablieren, um bei Angriffen schnell und strukturiert reagieren zu können. Diese Schritte bauen auf den zuvor beschriebenen Best Practices auf und ermöglichen auch kleineren Städten, ein grundlegendes Niveau an IT-Sicherheit zu erreichen. Entscheidend bleibt jedoch, dass die Verwaltung Verantwortung übernimmt, die Risiken ernst nimmt und konsequent handelt, um ihre digitale Resilienz zu stärken.

Die Bedrohungslage für kommunale IT-Systeme ist ernst, aber mit den richtigen Maßnahmen beherrschbar. Eine effektive Cybersicherheit erfordert die Zusammenarbeit von Akteuren auf Bundes-, Landes- und kommunaler Ebene sowie die Nutzung der zahlreichen Unterstützungsangebote. 

Ein hilfreiches Instrument hierfür ist der bereits erwähnte Cybersicherheitskompass, der eine Übersicht über die Leistungen von Bund und Ländern zur Förderung der Informationssicherheit und Resilienz von Kommunen bietet. Ergänzend bietet das neu entwickelte Cyberresilience-Framework praxisorientierte Leitlinien, die es Kommunen ermöglichen sollen, schneller auf Cyberangriffe zu reagieren und dadurch Schäden für sich und die Gesellschaft zu minimieren. 

Das Bundesamt für Sicherheit in der Informationstechnik stellt mit IT-Grundschutz, Schulungen, Analysen und dem CERT-Bund wertvolle Hilfsmittel bereit, während Landes-CERTs und kommunale IT-Dienstleister regionale und praxisnahe Lösungen anbieten. Förderprogramme wie „Digitale Verwaltung 2020“ und Initiativen wie „Deutschland sicher im Netz“ oder „KMU-innovativ“ stärken IT-Sicherheit zudem durch finanzielle Unterstützung, Beratung und Weiterbildung.

Der erste Schritt liegt jedoch bei den Kommunen selbst: sich der Risiken bewusst zu werden und aktiv zu handeln. Mit einem systematischen Ansatz und den verfügbaren Ressourcen können auch kleinere Städte ihre IT-Sicherheit nachhaltig stärken und schützen, sodass der eingangs beschriebene Montagmorgen weiterhin nur ein ausgedachtes Szenario bleibt.

Namentlich gekennzeichnete Beiträge geben die Meinung der Autorin oder des Autors wieder. 

Bundesamt für Sicherheit in der Informationstechnik (BSI) (o.J.): WiBA - Weg in die Basis-Absicherung [zuletzt abgerufen am 7. Januar 2025].

Bundesamt für Sicherheit in der Informationstechnik (BSI) (o.J.): IT-Grundschutz [zuletzt abgerufen am 7. Januar 2025].

Bundesinstituts für Bau-, Stadt- und Raumforschung (BBSR) (o.J.): ForschungsprojektDigitale Resilienz in der kommunalen Verwaltung: Handlungsfelder zur Stärkung der IT-Sicherheit in Städten. Zugriff: https://www.bbsr.bund.de/BBSR/DE/forschung/programme/exwost/jahr/2023/digitale-resilienz/01-start.html [zuletzt abgerufen am 7. Januar 2025].

Dialog für Cybersicherheit (o.J.): Ergebnisbericht Cyberresilience-Framework. In IT-Krisen schneller agieren. (Kurz: RESI) Zugriff: https://www.dialog-cybersicherheit.de/storage/uploads/ws24-endprodukte/2024_Ergebnisbericht_RESI.pdf [zuletzt abgerufen am 7. Januar 2025].