Die Digitalisierung kommunaler Leistungen schreitet schnell voran – und mit ihr wächst die Angriffsfläche. Was früher „nur“ ein IT-Problem gewesen wäre, entwickelt sich heute zur operativen Krise: Fällt die IT aus, stehen Melde- und Bürgerdienste, Sozialleistungen, Kassen- und Finanzprozesse oder interne Kommunikation still. Die betriebliche Handlungsfähigkeit einer Kommune hängt damit zunehmend an der Verfügbarkeit und Integrität ihrer IT-Systeme – und in Teilen auch an der Sicherheit der technischen Anlagen, die kommunale Leistungen überhaupt erst ermöglichen.
Warum Kommunen besonders verwundbar sind
Kommunen sind attraktiv, weil sie „hohe Wirkung bei vergleichsweise geringem Aufwand“ versprechen: Wer ein Rathaus, ein Landratsamt oder einen kommunalen IT-Dienstleister lahmlegt, trifft unmittelbar Verwaltungsabläufe und damit Bürgerinnen und Bürger. Erschwerend kommen strukturelle Faktoren hinzu, die in vielen Verwaltungen wiederkehren: heterogene Systemlandschaften, historisch gewachsene Zuständigkeiten, begrenzte Standardisierung, externe Abhängigkeiten und ein hoher Anteil an Fachverfahren, die schwer modernisierbar sind.
Hinzu kommt ein zentraler Engpass: qualifiziertes Personal ist knapp, die Gewinnung von IT-Security-Spezialisten im öffentlichen Dienst bleibt schwierig, und Sicherheit konkurriert im Tagesgeschäft gegen Projekte, die politisch sichtbarer sind. Genau diese Kombination sorgt dafür, dass grundlegende Maßnahmen – etwa konsequentes Patch-Management, Protokollauswertung, Awareness-Programme oder ein belastbarer Incident-Response-Prozess – in der Priorisierung zu oft nach hinten rutschen.
Ransomware dominiert – und der Einstieg ist oft banal
Viele schwerwiegende Vorfälle im kommunalen Umfeld folgen einem wiederkehrenden Muster: Angreifer verschaffen sich Zugang, bewegen sich im Netz seitlich, ziehen Daten ab und verschlüsseln Systeme – verbunden mit Erpressung (Lösegeldforderung und zunehmend die Drohung, Daten zu veröffentlichen). Kommunen werden dabei häufig nicht „nach Name und Adresse“ ausgesucht, sondern über automatisierte Scans und opportunistische Angriffe getroffen – mit besonders hoher Wirkung dort, wo Basisabsicherung nicht konsequent umgesetzt ist.
Die Einfallstore sind selten exotisch: unsichere oder falsch konfigurierte Fernzugänge, schwache Passwörter, fehlende Mehrfaktorauthentifizierung, E-Mail-Phishing, kompromittierte Konten oder ungepatchte Komponenten am Netzrand. Gerade in der Fläche zeigt sich: Ein erheblicher Teil des Risikos entsteht nicht durch hochkomplexe Zero-Days, sondern durch Standardfehler in Konfiguration, Betrieb und Identitätsmanagement.
Outsourcing und Verbundnetze: Klumpenrisiken statt Risikotransfer
Viele Kommunen betreiben ihre IT nicht vollständig selbst, sondern beziehen Fachverfahren, Betrieb und teilweise auch Sicherheitsleistungen von externen Providern oder kommunalen IT-Dienstleistern. Das ist wirtschaftlich sinnvoll und in der Praxis oft alternativlos – erzeugt aber Klumpenrisiken: Fällt ein Dienstleister aus, kann das nicht eine Kommune, sondern eine ganze Region treffen.
Ein weiteres, häufig unterschätztes Risiko liegt im Vendor-Management: Sicherheitslücken bei Dienstleistern, unklare Verantwortlichkeiten, unzureichende Meldewege oder nicht gelebte vertragliche Pflichten können dazu führen, dass Kommunen Sicherheitsrisiken erst dann sehen, wenn es zu spät ist. Aus Security-Sicht ist Outsourcing damit kein automatischer Risikotransfer, sondern ein Governance-Thema: Verträge, Kontrollen, Auditrechte, Nachweise, Incident-Kommunikation und technische Mindeststandards müssen so gestaltet werden, dass Risiken tatsächlich reduziert werden – und nicht nur organisatorisch „verschoben“ erscheinen.
OT-Systeme: Wenn Kläranlage und Schulheizung Teil der Angriffsfläche werden
Neben klassischer Verwaltungs-IT rücken OT-Systeme (Operational Technology) in den Fokus: Anlagen- und Betriebstechnik, die reale Prozesse steuert – etwa Kläranlagen, Wasserversorgung oder Heizungssteuerungen in Schulen. OT-Sicherheit ist anspruchsvoll, weil sie andere Prioritäten hat als Büro-IT: Verfügbarkeit und Prozesssicherheit stehen im Vordergrund, Patches sind oft schwieriger einspielbar, und Fernwartung ist verbreitet. Der praktische Knackpunkt: Fernwartung benötigt Zugänge – und Zugänge sind potenzielle Einfallstore.
Für Kommunen und kommunale Betriebe bedeutet das: Segmentierung zwischen IT/OT, strikt kontrollierte Remote-Access-Wege (idealerweise über Jump-Hosts), starke Authentifizierung, enges Monitoring und klare Notfallprozesse sind nicht „nice to have“, sondern Grundvoraussetzung für sichere Daseinsvorsorge.
Wenn es passiert: Notbetrieb, Datenabfluss und Millionenaufwand
Die Folgen kommunaler Cyberangriffe sind im Alltag sehr konkret: eingeschränkte Erreichbarkeit, Ausfall digitaler Dienste, Rückstau in Bürger- und Sozialleistungen, Medienbruch zurück zu Papierprozessen – und oft ein langer, teurer Wiederaufbau. Besonders kritisch sind Fälle, in denen neben der Verschlüsselung auch ein Datenabfluss stattfindet und sensible Informationen veröffentlicht oder zur Erpressung genutzt werden.
Ein wiederkehrendes Muster ist dabei der „lange Schatten“ eines Vorfalls: Wiederherstellung, Härtung, forensische Aufarbeitung, Neuaufbau von Infrastrukturen und die Rückkehr zu stabilen Betriebsprozessen binden über Monate Ressourcen. Hinzu kommen Reputationsschäden, erhöhte politische Aufmerksamkeit und – je nach Betroffenheit – aufsichtsrechtliche bzw. datenschutzrechtliche Folgen.
Finanzdruck, Priorisierung und Reifegrad: Warum Prävention zu oft verliert
Kommunen investieren in der Praxis häufig zu wenig und zu spät in Cybersicherheit. Angesichts rekordhoher Defizite und konkurrierender Pflichtausgaben werden Security-Budgets vielerorts nicht risikoadäquat dotiert; Investitionen erfolgen häufig ereignisgetrieben (nach Angriffen) statt planvoll (präventiv). Zusätzlich verstärken Fachkräftemangel und fehlendes Know-how die Wirkung knapper Mittel.
Diese Dynamik führt zu einem Sicherheitsparadox: Gerade weil kommunale Systeme zunehmend kritisch sind, wäre planvolle Prävention wirtschaftlich und organisatorisch sinnvoll – sie ist aber im Haushalt oft schwer durchsetzbar, solange der „konkrete Schaden“ nicht sichtbar geworden ist. Das Ergebnis sind Sicherheitsprogramme, die zu stark von Einzelereignissen abhängen, statt auf einem dauerhaft verankerten Managementsystem aufzubauen.
Standards und Regulierung: IT-Grundschutz trifft NIS2
Für Kommunen stellt sich die Frage nicht nur „Was ist technisch sinnvoll?“, sondern auch „Was wird künftig erwartet – und was ist prüfbar umsetzbar?“. Ein pragmatischer Ankerpunkt ist der BSI-IT-Grundschutz, der mit Profilen und Bausteinen einen strukturierten Weg bietet, Basisschutz organisatorisch und technisch umzusetzen. Entscheidend ist dabei weniger das „Papierkonzept“ als die Etablierung eines wiederkehrenden Prozesses: Risikoanalyse, Maßnahmenplanung, Umsetzung, Wirksamkeitskontrolle, Verbesserung.
Parallel steigen die Anforderungen durch europäische und nationale Cyberregulierung (NIS2-Umsetzung, Meldepflichten, Governance-Anforderungen, Lieferkettenthemen). Kommunale Betriebe der Daseinsvorsorge sowie kommunalnahe Organisationen in regulierten Sektoren müssen dabei mit erhöhten Anforderungen an Nachweisfähigkeit, Incident-Handling und Risikomanagement rechnen. Auch dort, wo Kommunen nicht unmittelbar Adressat sind, wirkt die Regulierung über Dienstleister, Betreiber und Partner in die kommunale Realität hinein.
Ein pragmatisches Zielbild: Cyberresilienz als Managementsystem – nicht als Einzelprojekt
Wirksame kommunale Cyberresilienz ist weniger ein Tool-Problem als ein Organisationsproblem. Entscheidend sind klare Verantwortung, eine realistische Risikoakzeptanz, durchsetzbare Mindeststandards sowie eine Krisenorganisation, die den IT-Ernstfall als Verwaltungs- und Führungsaufgabe versteht.
Ein belastbarer Ansatz lässt sich in drei Ebenen strukturieren:
- Führung und Governance: Zuständigkeiten, Budgethoheit, Risikoentscheidungen und Prioritäten müssen auf Leitungsebene verankert werden. Ohne diesen Rückhalt bleiben Security-Programme fragmentiert und reaktiv.
- Basisschutz und Betriebshygiene: MFA überall, Härtung der Fernzugänge, Patch- und Schwachstellenmanagement, Segmentierung, Least Privilege, E-Mail-Security, Logging und Detektion – mit klaren Betriebsprozessen.
- Resilienz und Wiederanlauf: Getrennte, getestete Backups (inkl. Offline/immutable), Notfallhandbuch, definierte Wiederanlaufpläne, regelmäßige Übungen und externe Unterstützungswege (Forensik, IR-Partner, Krisenkommunikation).
Kommunen als hochwirksame Angriffspunkte
Kommunen sind im Cyberraum keine Randziele mehr, sondern hochwirksame Angriffspunkte – weil sie unmittelbare Wirkung auf das öffentliche Leben haben. Die wesentlichen Treiber sind eine wachsende digitale Angriffsfläche, Abhängigkeiten in Liefer- und Betriebsstrukturen, OT-Nähe sowie knappe Ressourcen. Entscheidend ist daher ein Perspektivwechsel: Cybersicherheit darf nicht als „IT-Kostenstelle“ verstanden werden, sondern als Voraussetzung kommunaler Handlungsfähigkeit. Wer präventiv in Governance, Basisschutz und Resilienz investiert, reduziert nicht nur das Risiko erfolgreicher Angriffe, sondern vor allem die Dauer und Schwere der Auswirkungen im Ernstfall.