Cyberattacken auf Kommunen: Bedrohung von IT-Strukturen der Behörden werden immer größer

Ein Vorfall im Jahr 2023 zeigte die ganze Dimension der Gefährdungslage für die deutschen Kommunen auf: Bei einem Hackerangriff auf den IT-Dienstleister Südwestfalen-IT, der insbesondere Kunden aus den Kommunalverwaltungen betreut, wurde damals eine „Erpressungssoftware“, eine sogenannte Ransomware, eingesetzt, um Lösegeldforderungen durchsetzen zu können. Die Folgen des Angriffs waren verheerend: Service und Betrieb von 72 kommunalen Verwaltungen in Nordrhein-Westfalen mit 20.000 Arbeitsplätzen funktionierten danach nur noch sehr eingeschränkt, insbesondere Bürgerbüros, Ausländerbehörden oder Kfz-Zulassungsstellen mussten wochenlang ganz oder teilweise geschlossen bleiben. Den betroffenen Kommunen blieb in der Zeit nur der (erneute) Umstieg auf Papierdokumente.

BSI-Lagebericht 2024

Seitdem hat sich die Lage kaum entschärft, im Gegenteil sogar. Im aktuellen Lagebericht zur IT-Sicherheit 2024 beschreibt das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine sich kontinuierlich verschlimmernde Bedrohungslage, insbesondere durch neue Schadsoftware-Varianten, Sicherheitslücken sowie die Weiterentwicklung „raffinierter Taktiken“ seitens der Cyberkriminellen. Im Berichtszeitraum 2024 wurden täglich durchschnittlich 309.000 neue Schadprogramm-Varianten identifiziert. Das waren rund 26 Prozent mehr als im Jahr zuvor. Vor allem kleine und mittlere Unternehmen sowie kommunale Behörden seien zunehmend Zielscheibe von Angriffen, was laut BSI vor allem auf die vergleichsweise schwächere Sicherheitsstruktur und geringere Ressourcen für IT-Sicherheitsmaßnahmen zurückzuführen ist.

Defizite von Kommunen beim Notfallmanagement

Eine große Stellschraube für einen wirksamen Schutz der IT-Prozesse ist ein funktionierendes Notfallmanagement. Das ist aber in vielen Kommunen immer noch nicht umgesetzt. So gab es in über 70 Prozent der 2023 von der Gemeindeprüfungsanstalt Nordrhein-Westfalen (gpa NRW) untersuchten kommunalen Körperschaften keine Notfallplanungen für realistische Schadensereignisse für die IT-Infrastruktur. Die festgestellten Defizite hingen vor allem mit den verfügbaren bzw. fehlenden Personalressourcen in den Kommunalverwaltungen zusammen. Ein gut durchdachtes IT-Notfall-Management ist dabei nicht nur für externe Bedrohungen wie Cyberangriffe dringend erforderlich. Auch bei anderen Notfällen (Brand des Serverraums, Hochwasser, Personalausfälle oder ein länger andauernder Stromausfall) hilft es den Kommunen, ihre sensiblen Daten zu sichern.

Bedrohung auch für Gesundheit

Bei einem IT-Notfallmanagement handelt es sich also nicht ausschließlich um einen reinen Abwehrmechanismus, denn auch andere technische und nicht-technische Herausforderungen müssen durch das Krisenmanagement angesprochen und bewältigt werden. Diese reichen von der Umsetzung eines Notbetriebs über die Wiederherstellung aller Prozesse bis hin zur Gesundheitsfürsorge für das Personal. Gerade dieser letzte Punkt ist nicht zu unterschätzen: Die Beschäftigten werden nämlich durch die IT-Bedrohungen und deren Auswirkungen auf den beruflichen Alltag in vielen Fällen zu extremer Mehrarbeit gezwungen, was bei ihnen wiederum zu vermehrtem Stress und damit assoziierten gesundheitlichen Belastungen und Beeinträchtigungen führen kann.

„CyberRisikoCheck“ des BSI für kleinere Behörden

Das BSI hat erkannt, dass die hohen Sicherheitsstandards in Bundes- und Landesbehörden und in Großunternehmen für viele kleinere Unternehmen und Behörden schlicht nicht umsetzbar sind. Es hat daher den „CyberRisikoCheck“ ins Leben gerufen. Dieser ermöglicht auch diesen eine genaue Positionsbestimmung des eigenen IT-Sicherheitsniveaus und zeigt auf, wo noch Defizite bestehen und welche konkreten Maßnahmen als Antwort darauf umgesetzt werden sollten. Dazu besucht ein vom BSI zertifizierter IT-Dienstleister das Unternehmen oder die Behörde, und bespricht mit den dort Verantwortlichen insgesamt 27 festgelegte Anforderungen aus sechs Themenbereichen der IT-Sicherheit. Als Ergebnis erhält das Unternehmen/Behörde einen Bericht, der Handlungsempfehlungen nach Dringlichkeit gegliedert enthält. Weiterhin gibt der Bericht Ratschläge, welche öffentlichen Fördermittel man auf Bundes-, Landes- und kommunaler Ebene wahrnehmen könnte.