• Der Resilienzmonitor zeigt, wie anfällig viele Verwaltungen in Deutschland für IT-Ausfälle sind.
  • Kommunen fehlen Notfallpläne und Strukturen, um auf Cyberangriffe vorbereitet zu sein.
  • Cyber-Experten fordern mehr Zusammenarbeit zwischen Städten und Landkreisen, um widerstandsfähiger zu werden.

Dirk Kunze ist 52 Jahre alt und seit mehr als 30 Jahren Polizeibeamter. Er ist Kriminaldirektor beim LKA Nordrhein-Westfalen und hat in den vergangenen Jahren in vielen Cyberkriminalfällen ermittelt. So hat er auch mitgeholfen, die Hackergruppe zu enttarnen, die den Landkreis Anhalt-Bitterfeld 2021 lahmgelegt hatte. In den vergangenen Monaten wollte Dirk Kunze in seiner Freizeit etwas anderes herausfinden: Können Kommunen, Städte und Landkreise bei einem IT-Vorfall eigentlich weiter arbeiten? Die Antwort lautet wohl: eher nicht.

Resilienzmonitor offenbart große Lücken

Kunze sagt, kommunale Verwaltungen in Deutschland würden sich zu wenig auf Cybervorfälle vorbereiten – auch in Mitteldeutschland: "In Sachsen, Sachsen-Anhalt und Thüringen gibt es eigentlich keine großartigen Unterschiede zur Gesamtverteilung. Es gibt kaum eine Kommune, die in den letzten fünf Jahren keine Störung zu verzeichnen hatte – egal, welche Ursache die hatte. Was ich auch gesehen habe, ist, dass es keine oder nur unzureichende Vorbereitung auf solche Vorfälle gibt." Insbesondere Krisenstäbe seien für IT-Notfälle nicht vorbereitet.

An Kunzes Umfrage haben knapp 100 Städte und Landkreise teilgenommen. Ein Drittel gab an, dass eine IT-Störung mehrere Monate dauerte. Kunzes Resilienzmonitor zeigt auch: Kommunale Verwaltungen haben kaum Notfallpläne, meist keine Rund-um-die Uhr-Bereitschaft für IT-Notfälle und keinen Überblick über ihre Software. Überrascht hat Kunze, dass IT-Störungen zu selten als Problem der ganzen Kommune gesehen werden. Denn: Wie können bei einem IT-Ausfall zum Beispiel Ausweise ausgestellt und Fahrzeuge zugelassen werden? Diese Fragen können keine Computerexperten beantworten. Das sei eine oberste Führungsaufgabe in einer Kommune, meint Kunze.

Ehemaliger OB: Kommunen brauchen Koordinierungsstellen für Krisen

Das sieht Mike Schubert, der ehemalige Oberbürgermeister von Potsdam, ähnlich. Bauprojekte oder der kommunale Haushalt seien oft dringender, als sich auf IT-Ausfälle oder andere Krisen vorzubereiten. Schubert ist überzeugt, dass Städte ein bis zwei Mitarbeiter bräuchten, die permanent das Funktionieren der Verwaltung im Blick haben. "So eine Stelle, die dauerhaft arbeitet, die Abläufe vorbereitet, die Übungen organisiert. Eine Koordinierungsstelle schaut eben am Ende des Tages nicht nur auf Einzelthemen, sondern auf das Ganze, was passiert. Ich habe selbst erlebt, dass eine IT-Lage und die Corona-Pandemie parallel auf uns in Potsdam zukamen und dann muss man schnell handeln und muss gut vorbereitet sein. Und deswegen ist es gut, wenn jemand dann Gesamtperspektiven im Blick behält, weil dann kann die Verwaltung auch in Ruhe weiterarbeiten." Denn darum geht es: nach einem IT-Vorfall weiterarbeiten – selbst ohne Computer.

Große Unterschiede zwischen den Kommunen

Sachsen-Anhalts Digitalministerium weist darauf hin, dass Kommunen unterschiedlich auf solche Vorfälle vorbereitet seien: Vor allem bei vielen kleinen Kommunen bestehe sehr großer Verbesserungsbedarf, teilt es auf MDR AKTUELL-Anfrage mit. Sachsens Staatsregierung kritisiert in einem Bericht, dass selbst in Landkreisen und kreisfreien Städte nicht alle IT-Sicherheitsbeauftragten Vollzeitstellen haben. In seiner Cybersicherheitsstrategie hat Sachsen im Mai festgeschrieben, alle zwei Jahre IT-Notfallszenarien zu üben und dabei Kommunen einzubinden.

Cyber-Experte Dirk Kunze wünscht sich, dass Kommunen und Landkreise vor einem IT-Vorfall oder einer anderen Krise klären, wie sie sich gegenseitig helfen können. "Sie können auf der einen Seite überlegen, wie sie ihre Leistungen für Bürgerinnen und Bürger trotz einer IT-Störung weiter erbringen. Und auf der anderen Seite können sie auch schauen: Wer kann mich unterstützen, wenn ich einen solchen Ausfall habe, welche andere Kommune hat das gleiche Fachverfahren, kann für mich Leistungen übernehmen, sozusagen eine kooperative Resilienz aufbauen."

Ob das gelingt, kann Dirk Kunze die Kommunen für seine nächste Erhebung fragen.

Haftungsausschluss: Das Urheberrecht dieses Artikels liegt bei seinem ursprünglichen Autor. Der Zweck dieses Artikels besteht in der erneuten Veröffentlichung zu ausschließlich Informationszwecken und stellt keine Anlageberatung dar. Sollten dennoch Verstöße vorliegen, nehmen Sie bitte umgehend Kontakt mit uns auf. Korrektur Oder wir werden Maßnahmen zur Löschung ergreifen. Danke