IT-Sicherheit in Kommunen
Nach dem Hack in Berlin: Wie sich Kommunen schützen können
Die Ransomware-Gruppe Rhysida hat am 4. September rund 1,44 Millionen Dateien mit einem Volumen von 5,79 Terabyte aus zwei Berliner Senatsverwaltungen im Darknet veröffentlicht, darunter Personalunterlagen, Angaben zu Disziplinarverfahren, Finanzunterlagen und Details zur Kritischen Infrastruktur des Landes. Für Kommunalverwaltungen ist der Fall mehr als ein Hauptstadt-Krimi. Das Fehlermuster gleicht dem der Angriffe auf die Südwestfalen-IT und den Landkreis Anhalt-Bitterfeld.
Betroffen sind die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Das Landesnetz verbindet rund 600 Standorte, darunter Gerichte, die Charité, Polizei und Feuerwehr. Die Auszahlung von Wohngeld an über 50.000 Haushalte geriet in Gefahr, Briefwahlanträge waren nur noch per Post möglich. Berlin zahlte kein Lösegeld. Rhysida hatte 30 Bitcoin gefordert, nach dem Kurs zu dem Zeitpunkt etwas mehr als zwei Millionen Euro.
Was in Berlin schiefgelaufen ist
Drei Punkte sind belastbar dokumentiert. Erstens die Erkennung: Die Angreifer hatten vom 7. bis 14. August unbemerkt Zugriff auf die Netze der beiden Senatsverwaltungen. Eine Woche Datenabfluss, ohne Alarm.
Zweitens die Zugangsdaten: In einer Datei namens „Passwort.docx“ und weiteren Dokumenten lagen persönliche Zugangsdaten unverschlüsselt vor. Einzelne der aufgelisteten Passwörter entsprechen zudem nicht den Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik. Die Senatssprecherin bestätigte, dass Passwörter für einige Fachverfahren bekannt geworden sind. Der Zugriff aus dem Homeoffice wurde daraufhin gesperrt, alle 12.000 digitalen Systeme des Landes werden überprüft.
Drittens die Kommunikation: Zunächst hieß es, es seien lediglich öffentlich zugängliche Geodaten betroffen. Joachim Selzer vom Chaos Computer Club sagte der dpa dazu, Sicherheitssysteme müssten stets aktuell sein. Sorglosigkeit sei kein Berliner Sonderphänomen.
Der Einfallweg ist offen. Nach rbb-Informationen lässt sich der landeseigene IT-Dienstleister ITDZ ausschließen. Der Informatiker Manuel Atug von der Arbeitsgruppe Kritische Infrastrukturen (AG KRITIS) hält die Frage nach der einen Lücke für falsch gestellt: Angreifer müssten „schon fast überlegen, welche der 42 vorhandenen Lücken sie zuerst nutzen“. Warnungen lagen vor. Die Vorstandsvorsitzende des ITDZ, Maria Borelli, hatte laut Tagesspiegel bereits im Dezember 2024 im Digitalisierungsausschuss auf verschobene Sicherheitsmaßnahmen und veraltete Programme hingewiesen. Ihr Fazit damals: „So lange nichts passiert, ist alles gut.“
Südwestfalen und Anhalt-Bitterfeld: Das Muster wiederholt sich
Der Vergleich mit den kommunalen Großschadensfällen ist ernüchternd. Beim Angriff auf die Südwestfalen-IT im Oktober 2023 wirkten ein schwaches Passwort, fehlende Mehrfaktor-Authentifizierung und ein schlecht gepflegter VPN-Zugang zusammen. Die Täter probierten Zugangsdaten aus, erbeuteten eine VPN-Kennung und begannen elf Tage später mit der Verschlüsselung.
Betroffen waren über 70 Kommunen mit rund 1,7 Millionen Einwohnerinnen und Einwohnern. Erst neun Monate nach der Attacke waren die Folgen weitgehend behoben, die Mehrkosten lagen bei mindestens 2,8 Millionen Euro. In Anhalt-Bitterfeld summierten sich die Aufwendungen nach Angaben des Landkreises auf rund 2,5 Millionen Euro, bei mehr als einem Jahr Wiederaufbau und ohne den Personalaufwand.
Wo kleine Kommunen bei der IT-Sicherheit wirklich stehen
Wie groß die Sicherheitslücke ist, zeigt die Gemeindeprüfungsanstalt Nordrhein-Westfalen (gpaNRW), die die kommunale IT seit 2008 prüft. Rund 500 IT-Prüfungen vor Ort belegen einen positiven Trend, aber auch massiven Handlungsbedarf. Häufig fehlen die Grundlagen für ein systematisches Vorgehen. Der Umsetzungsgrad reicht von 38 bis 100 Prozent. Technisch sind die Kommunen meist gut aufgestellt. Nachholbedarf besteht beim Notfallmanagement (Median 46 Prozent), beim IT-Sicherheitsmanagement (56 Prozent) und bei der Personalsensibilisierung (68 Prozent).
Wie sich auch kleine Kommunen hier bestmöglich absichern können, zeigen diese sieben Praxistipps.
Sieben Schritte zu mehr IT-Sicherheit ohne eigene IT-Abteilung
1. Eine Person für Informationssicherheit benennen
Das IT-Grundschutz-Profil „Basis-Absicherung Kommunalverwaltung“ der kommunalen Spitzenverbände nennt das den zentralen Punkt: Es muss eine Verantwortliche oder einen Verantwortlichen für Informationssicherheit geben. Das Profil erlaubt ausdrücklich, dass eine Person mehrere Rollen übernimmt und dass die Ansprechperson für komplexe technische Fragen ein externer Dienstleister ist. Kleine Gemeinden lösen das über Zweckverbände oder interkommunal.
2. Mit WiBA anfangen, nicht mit dem Kompendium
Das BSI hat für kleine Kommunen mit dem „Weg in die Basis-Absicherung“ eine eigene Einstiegsebene geschaffen: 18 Checklisten mit einfachen Prüffragen und Hilfsmitteln, mit denen Kommunen die dringlichsten Maßnahmen selbst erkennen und umsetzen. Aufwendige Dokumentationspflichten fallen bewusst weg, der Übergang in das kommunale Grundschutz-Profil ist nahtlos möglich. Aktuell stehen die WiBA-Dokumente in Version 2.0 zum Download bereit.
3. Fernzugänge härten
Mehrfaktor-Authentifizierung für jeden Zugang von außen, für Homeoffice, Fernwartung und VPN. Standardpasswörter ändern. Passwortlisten in Word-Dateien löschen und durch einen Passwortmanager ersetzen. Diese drei Punkte hätten sowohl Südwestfalen als auch Berlin geholfen.
4. Netze trennen
Das kommunale Profil verlangt, die Administration über ein vom normalen Betrieb getrenntes Netz zu führen. Ebenso wichtig und oft übersehen: Anschlüsse in Bürgerbüros, Besprechungs- und Kopierräumen. Wer ins Rathaus kommt, darf nicht ins Verwaltungsnetz kommen.
5. Backups offline halten und die Rücksicherung üben
Bei der Südwestfalen-IT waren Backups der entscheidende Grund, dass der Wiederaufbau überhaupt gelang. Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung, kein Notfallkonzept.
6. Protokollieren und die Protokolle auch ansehen
Detektion sicherheitsrelevanter Ereignisse ist Bestandteil der Basis-Absicherung. Ohne sie bleibt jede Exfiltration unentdeckt, bis die Erpresser sich melden.
7. Den Notfall proben
Meldewege festlegen, Notfallkontakte hinterlegen, Vorsorge für die IT-Forensik treffen. Dazu gehört die unbequeme Frage, welche Leistungen die Verwaltung zwei Wochen ohne IT erbringen kann. Und ein Kommunikationsplan, der am ersten Tag Zahlen nennt statt Beruhigungsformeln.
Wer Leistungen ausgelagert hat, muss den Dienstleister vertraglich auf mindestens dieselben Anforderungen verpflichten. Die Verantwortung für die Informationssicherheit bleibt nach dem Grundschutz-Profil immer bei der Verwaltung. Und die Basis-Absicherung ist ausdrücklich nur die Startlinie: Ziel ist die Standard-Absicherung.
Beim Faktor Mensch geht es günstiger als gedacht. Die Cybersicherheitsagentur Baden-Württemberg vermittelt Grundlagen zu Passwörtern, Phishing und Homeoffice über das „CyberSicherheitsGame BW“, ein Lernspiel in 14 Leveln. Wer alles durchspielt, braucht drei bis sechs Stunden. Susanne Krieg von der CSBW nennt als Zielgruppe ausdrücklich jene, „die sich in einer klassischen Schulungssituation nicht wohl fühlen“. Erreichbar ist das Spiel nur über das Landes- und Kommunalverwaltungsnetz Baden-Württembergs. Der Ansatz ist übertragbar: Sensibilisierung kostet vor allem Zeit, nicht Geld.
Zuständig ist niemand: NIS2 lässt die Kommunen außen vor
Der Rahmen bleibt das Kernproblem. Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 ohne Übergangsfristen in Kraft getreten und erweitert den Anwendungsbereich des BSI-Gesetzes erheblich. Die kommunale Kernverwaltung bleibt außen vor, weil der IT-Planungsrat 2023 auf die Länderoption verzichtet hat. Rechtlich selbstständige Kommunalbetriebe fallen dagegen unter das BSI-Gesetz. Für das Stadtwerk gelten also Meldepflichten und Bußgelder bis zehn Millionen Euro, für das Bürgeramt dagegen nicht.
Christian Stuffrein, Referent für Digitalisierung beim Deutschen Landkreistag, hatte gegenüber KOMMUNAL für verbindliche Standards plädiert, etwa bei Meldewegen und bei der Benennung von Informationssicherheitsbeauftragten. Zu den Einstiegshilfen sagte er: „Der WiBA ist nur ein Anfang.“ Sein Argument: Ohne Verpflichtung bleibt IT-Sicherheit eine freiwillige Aufgabe, die im Haushalt als Erste gestrichen wird.
Vorreiter Sachsen und Mecklenburg-Vorpommern
Zwei Länder sind weiter. Sachsen verpflichtet seine Kommunen seit 2019, als ersten Schritt eine Beauftragte oder einen Beauftragten für Informationssicherheit zu ernennen und beim Landesbeauftragten zu melden. Damit wird die Kommune Teil des IT-Sicherheitsnetzwerks und erhält Warnmeldungen des Computer Emergency Response Teams des Landes, SAX.CERT.
Mecklenburg-Vorpommern geht weiter. Das Informationssicherheitsgesetz verpflichtet alle öffentlichen Einrichtungen: Die Behördenleitungen tragen die Gesamtverantwortung, jede Einrichtung muss eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten benennen und ein Managementsystem aufbauen.
Bleibt die Finanzierung. Die Gemeinde Sehmatal in Sachsen hat Informationssicherheit, Datenschutz und Datensicherheit an einen kommunalen Zweckverband übertragen und zahlt dafür jährlich einen niedrigen fünfstelligen Betrag. Bürgermeister Sebastian Nestler sagte KOMMUNAL: „Da bleibt für die schönen Dinge des Lebens, denn das sind oft die freiwilligen Aufgaben, immer weniger übrig.“ Marcus Kurth vom betreuenden Zweckverband hält die Aufgabenverteilung für falsch: „Die Kommunen sollten gar nicht zuständig sein.“ Jörg Naumann, Beauftragter für Informationssicherheit der Stadt Chemnitz, wirbt für einheitliche Standards: „Es ist deutlich kostengünstiger, wenn nicht jeder sein eigenes Süppchen kocht.“
Was jetzt in Berlin passiert
In Berlin richtete das Land in dieser Woche eine Steuerungseinheit ein, Betroffene sollen per E-Mail und Brief kontaktiert werden. Das BSI hatte zuvor vor einer erhöhten Bedrohungslage gewarnt. Das Abgeordnetenhaus befasst sich nun mit dem Vorfall. Was die Nachrüstung kostet, hat bislang niemand beziffert.
