Bedrohungslage

Veränderung in 20 bis 30 Jahren

Die Bedrohungslage hat sich in den letzten 20 bis 30 Jahren grundlegend verändert. Sie ist deutlich größer geworden – sowohl in der Häufigkeit als auch in der Schwere möglicher Schäden. Die entscheidende Frage heute nicht mehr lautet, ob eine Verwaltung angegriffen wird, sondern wann und wie groß der daraus resultierende Schaden ausfällt.

Regulierung: NIS2, IT-Sicherheitsgesetz, BSI

Die Regulierung zieht an. Auf europäischer Ebene wurde NIS-2 verabschiedet und in Deutschland in das BSI-Gesetz überführt. Das BSI stellt umfangreiche Vorgaben und Handreichungen bereit. Trotz dieser Regulierung ist die Sensibilität noch nicht auf dem Stand, den die Bedrohungslage erfordert. Cyberangriffe rücken zwar zunehmend in den Fokus von Berichterstattung und Verwaltungspraxis, doch die Maßnahmen halten nicht überall Schritt.

Faktor Mensch

Neben der Technik ist der Mensch ein zentrales Element der Absicherung. Umso wichtiger ist es, das Bewusstsein der Mitarbeitenden bzgl. der wachsenden Bedrohungslage zu schärfen.

Risiken und Zielkonflikte

Vertrauensverlust gegenüber Bürger

Eines der größten Risiken ist der Vertrauensverlust. Wenn Bürgerdaten abgezogen werden oder Verwaltungsdienste nicht zur Verfügung stehen, beispielsweise wenn eine Bürgerin keinen Reisepass beantragen und deshalb nicht in den Urlaub fahren kann, beschädigt das die Beziehung zur öffentlichen Hand nachhaltig.

Cybersicherheit als Betriebshindernis

Schutzmaßnahmen können den laufenden Betrieb stellenweise behindern. Das gemeinsame Nutzen von Daten über mehrere Stellen hinweg birgt Angriffsflächen. Wird der Austausch zugleich blockiert, leidet die Nutzung. Beide Aspekte müssen miteinander in Einklang gebracht werden. Dieser und weitere Zielkonflikte sind real – der Nutzen überwiegt jedoch deutlich und Lösungen sind möglich.

Organisatorische Voraussetzungen

Dedizierte Verantwortlichkeit schaffen

Erfolgsentscheidend ist eine dedizierte Verantwortlichkeit für das Thema Cybersicherheit. Diese Stelle muss nicht zwingend in Vollzeit besetzt sein – die Anforderungen hängen von der Größe der Kommune ab.

Größenabhängige Personalausstattung

Große Kommunen benötigen mehrere Personen oder eine ganze Organisationseinheit; in kleineren Kommunen genügen mitunter 30-50 Prozent einer Stelle.

Schnittstelle zum Datenschutz

Informationssicherheit und Datenschutz weisen erhebliche Überschneidungen auf. Eine enge Kooperation mit den Datenschutzbeauftragten und -koordinatorinnen ist daher unerlässlich.

Mandatsmodell nach Vorbild des Datenschutzes

Sinnvoll ist es, Kooperationen zu nutzen: Analog zu mandatsführenden Datenschutzbeauftragten kann ein Informationssicherheitsbeauftragter mehrere Kommunen betreuen, etwa innerhalb eines Landkreises. So lassen sich Wissen und Aufwand sinnvoll teilen.

Strategische Chancen

Die „Nullvariante” – Warum Nichtstun keine Option ist

Wer in Cybersicherheit gar nichts investiert, erkennt Angriffe häufig erst, wenn sie zu Schäden führen – etwa durch Sabotage oder Ausfall. Systeme zur Angriffserkennung identifizieren laufende Angriffe bereits, bevor ein Schaden entsteht. Eine Nullinvestition ist daher keine Option.

Kostenvermeidung

Schutzmaßnahmen kosten Geld, aber ein erfolgreicher Angriff kostet deutlich mehr. Stillstand, Vertrauensverlust und der Abfluss von Know-how schlagen sowohl in der freien Wirtschaft als auch in der öffentlichen Verwaltung erheblich zu Buche. Aus der Wirtschaft sind Produktionsausfälle und Nachbau von Produkten durch Unternehmen aus anderen Staaten als Folgen bekannt.

Risikoorientierter Ansatz

Wirkungsvoll ist ein risikoorientierter Ansatz. Welche Anwendungen sind aus dem Internet erreichbar? Diese müssen regelmäßig auf Schwachstellen geprüft werden, etwa durch Pen-Tests (simulierte Cyberattacke auf IT-Systeme).

„Kronjuwelen” identifizieren

Verwaltungen müssen ihre Kronjuwelen kennen: Wo liegen die schützenswerten Daten der Bürgerinnen und Bürger, die durch DSGVO oder Bundesdatenschutzgesetz besonders geschützt sind? Insbesondere für diese Daten müssen entsprechende Schutzmaßnahmen erhoben werden.

Krisenorganisation und Notfallpläne: Bedrohungen gesteuert in den Griff kriegen

Verwaltungen brauchen eine etablierte Krisenorganisation mit Notfall- und Wiederanlaufplänen. Im Idealfall muss diese Organisation nie zusammentreten. Die Praxis zeigt jedoch, dass dies öfter geschieht, als ursprünglich erhofft.

Sensibilisierung auf allen Ebenen

Sensibilisierung muss auf allen Ebenen erfolgen – Mitarbeitende, Führungskräfte, politische Entscheider eingeschlossen. Schon das eigene Verhalten beeinflusst real die Bedrohungslage. Die Führungskräfte müssen das gewünschte Verhalten vorleben. Wer als Führungskraft nicht sensibel handelt, kann es auch von den Mitarbeitenden nicht erwarten.

Workshop-Leiter „Cybersicherheit“

Michael Silvan