Cybersecurity ist Daseinsvorsorge: Warum Behörden auf Ausfälle vorbereitet sein müssen

Wenn in einer Verwaltung die IT ausfällt, dauert es nicht lange, bis daraus sehr konkrete Probleme werden. Sozialleistungen können nicht bearbeitet werden, die Kfz-Zulassung steht still, das Gesundheitsamt kann auf Daten nicht zugreifen, Anträge bleiben liegen. Gleichzeitig müssen Mitarbeitende wissen, ob und wie sie weiterarbeiten können. Bürgerinnen und Bürger wollen erfahren, welche Leistungen noch verfügbar sind und wann sich die Situation verbessert.

Cybersecurity entscheidet damit unmittelbar darüber, ob eine Verwaltung ihre Aufgaben erfüllen kann. Das zeigt der Ransomware-Angriff auf den Landkreis Anhalt-Bitterfeld aus dem Jahr 2021 besonders deutlich. Nach dem Angriff waren unter anderem Sozialamt, Kfz-Zulassung und Gesundheitsamt betroffen. Der Landkreis rief den Katastrophenfall aus. In unserem Podcast beschreibt Cyber- und IT-Krisenmanagerin Sabine Griebsch, die damals als externe CDO für den Landkreis tätig war, wie schnell aus einem technischen Sicherheitsvorfall eine Lage für die gesamte Verwaltung wurde.

Dass solche Fälle kein historisches Randthema sind, zeigt ein Blick auf Kommunaler Notbetrieb, wo IT-Ausfälle und Cyberangriffe auf Kommunalverwaltungen dokumentiert werden. Allein im Sommer 2026 finden sich dort unter anderem Vorfälle in Berlin, Wriezen, Rhein-Nahe, Döbeln sowie bei kommunalen IT-Dienstleistern. In Berlin waren nach einem Angriff beispielsweise auch Wohngeld und Leistungen für Bildung und Teilhabe betroffen.
Kommunaler Notbetrieb – Lagebild zu IT-Ausfällen in Kommunen

Die entscheidende Frage beginnt beim Ausfall

Viele Diskussionen über Cybersecurity drehen sich verständlicherweise darum, einen Angriff zu verhindern: Systeme aktuell halten, Sicherheitslücken schließen, Backups schützen, Zugänge absichern und verdächtiges Verhalten erkennen. Das BSI stellt dafür unter anderem seinen Leitfaden zur Basis-Absicherung zur Verfügung.

Für eine Behörde gehört aber eine zweite Frage zwingend dazu: Was passiert, wenn die Systeme trotzdem ausfallen?

Sabine Griebsch bringt diesen Gedanken im Podcast auf einen einfachen Satz: „Die Antwort ist immer Resilienz.“ Sie bezieht das ausdrücklich nicht ausschließlich auf Cyberangriffe. Ein Serverraum kann durch Hochwasser ausfallen. Ein Blackout kann Systeme lahmlegen. Personal kann in einer anderen Krisenlage plötzlich fehlen. Das Ergebnis ist ähnlich: Bestimmte Verwaltungsleistungen stehen nicht mehr wie gewohnt zur Verfügung.

Resilienz heißt deshalb zunächst, sich mit dem Ausfall zu beschäftigen, bevor er eintritt. Welche Leistungen müssen unbedingt weiterlaufen? Welche können für einige Tage warten? Wo gibt es Ausweichmöglichkeiten? Welche Nachbarkommune arbeitet mit denselben Fachverfahren? Können Leistungen vorübergehend dort erbracht werden? Welche Vereinbarungen wären dafür nötig? Und welche Technik muss im Ernstfall unabhängig von der regulären Infrastruktur funktionieren?

Nicht jede Verwaltungsleistung kann gleichzeitig zurückkommen

Der Wiederanlauf nach einem großen Cyberangriff ist keine Frage von „System wieder einschalten“. Im Landkreis Anhalt-Bitterfeld dauerte die vollständige Wiederherstellung nach Sabines Schilderung offiziell rund elf Monate. Ein Notnetz stand bereits nach etwa zwei Wochen. Bestimmte webbasierte Leistungen konnten teilweise schon nach wenigen Tagen wieder angeboten werden, andere Fachverfahren kamen erst deutlich später zurück.

Damit entsteht eine Aufgabe, die Verwaltungen möglichst vor einer Krise klären sollten: Welche Leistungen haben im Notbetrieb Priorität?

Leib und Leben stehen weit oben. Gesundheitsversorgung und Hygiene können zeitkritisch sein. Sozialhilfe, Jugendhilfe oder andere existenzielle Leistungen treffen Menschen, die kaum auf eine spätere Bearbeitung ausweichen können. An anderer Stelle laufen gesetzliche Fristen oder Fördermittelverfahren weiter. Auch scheinbar weniger dringende Leistungen müssen irgendwann wiederhergestellt werden.

Wer diese Reihenfolge erst im Krisenstab diskutiert, diskutiert sie unter maximalem Druck. Und spätestens dann wird deutlich, dass eine Prioritätenliste keine technische Angelegenheit der IT-Abteilung ist. Fachbereiche, Verwaltungsspitze, Krisenmanagement und IT müssen gemeinsam beantworten, welche Folgen der Ausfall einzelner Leistungen hat.

Ein IT-Dienstleister übernimmt nicht die Verantwortung der Kommune

Viele Verwaltungen arbeiten bei IT und IT-Sicherheit mit externen Dienstleistern. Das ist bei fehlenden Spezialistinnen und Spezialisten oft notwendig. Sabine weist im Gespräch aber auf einen wichtigen Unterschied hin: Eine Kommune kann Aufgaben vergeben, ihre Verantwortung für die Leistungsfähigkeit der Verwaltung bleibt bestehen. Im Krisenfall stehen Bürgerinnen und Bürger vor dem Rathaus und nicht vor dem Büro des IT-Dienstleisters.

Deshalb braucht auch eine Verwaltung, die große Teile ihrer IT extern betreiben lässt, genügend eigenes Wissen, um Dienstleister auszuwählen und zu steuern. Sie muss wissen, wen sie im Ernstfall anruft, wie schnell Unterstützung verfügbar ist und welche Leistungen zuerst wiederhergestellt werden sollen. Gerade spezialisierte Hilfe wie Incident Response lässt sich vorbereiten. Wenn der passende Dienstleister erst nach dem Angriff gesucht und beauftragt werden muss, verstreichen genau die Stunden, in denen belastbare Informationen besonders knapp sind.

Im Zweifel wird Verwaltung wieder analog

Ein Detail aus Anhalt-Bitterfeld wirkt zunächst fast kurios: Das Fax funktionierte noch. In der damaligen Pandemiesituation konnten dadurch weiterhin Daten an das Robert Koch-Institut übermittelt werden. Sabine nennt genau solche Wege als Beispiel für Redundanz.

Das ist ein guter Prüfstein für Digitalisierung. Ein digitaler Prozess kann hervorragend funktionieren, solange die Infrastruktur verfügbar ist. Für einen Notbetrieb braucht es zusätzlich die Antwort auf die Frage, was ohne diese Infrastruktur übrig bleibt. Manchmal bedeutet das einen anderen Rechner an einem anderen Standort. Manchmal eine Kooperation mit einer anderen Behörde. Und manchmal tatsächlich Papier oder Fax.

Der entscheidende Punkt ist nicht, ob eine Ersatzlösung besonders modern wirkt. Sie muss die notwendige Leistung in der konkreten Lage ermöglichen.

Daseinsvorsorge braucht Vorbereitung auf den schlechten Tag

Cybersecurity lässt sich deshalb schwer auf Budgets der IT-Abteilung, Firewalls oder Awareness-Schulungen reduzieren. Sobald eine Verwaltung wesentliche Leistungen nicht mehr erbringen kann, sind Behördenleitung, Fachbereiche, Personal, Krisenstab und Kommunikation betroffen. Genau dort sollte die Vorbereitung ebenfalls stattfinden.

Für uns ist das einer der wichtigsten Gedanken aus unserem Gespräch mit Sabine Griebsch: Eine Behörde sollte ihren Erfolg bei Cybersecurity nicht ausschließlich daran messen, ob sie einen Angriff verhindern konnte. Sie sollte beantworten können, was sie tut, wenn ein Angriff erfolgreich ist.

Welche Leistungen laufen weiter? Wer wird alarmiert? Wer entscheidet über Prioritäten? Welche Partner können unterstützen? Wie erreicht die Verwaltung ihre eigenen Mitarbeitenden? Und wie informiert sie Bürgerinnen und Bürger, wenn die gewohnten Kanäle ausgefallen sind?

Viele dieser Fragen gelten übrigens genauso bei anderen Krisenlagen. Genau deshalb lohnt sich die Vorbereitung auch dann, wenn der konkrete Cyberangriff nie kommt.

Wer tiefer in die technische Basisabsicherung einsteigen möchte, findet beim BSI einen ausführlichen Einstieg. BSI: Leitfaden zur Basis-Absicherung Einen laufenden Überblick über bekannte Ausfälle und Cybervorfälle in Kommunalverwaltungen bietet Kommunaler Notbetrieb.

Krisenkommunikation vorbereiten

Ein Cyberangriff zeigt außerdem sehr schnell, ob eine Behörde auch unter schwierigen Bedingungen auskunftsfähig bleibt. Wer kommuniziert, wenn Website, E-Mail oder interne Systeme ausfallen? Welche Informationen müssen vorliegen? Welche Kanäle funktionieren noch?

Genau solche Fragen bearbeiten wir bei Amtshelden gemeinsam mit Michael Ehresmann im Webinar Krisenkommunikation für Behörden und in unserer Inhouse-Schulung Krisenkommunikation, bei der die konkreten Risiken, Kanäle und Abläufe der jeweiligen Behörde im Mittelpunkt stehen.

Zum Webinar

Zur Inhouse-Schulung

Solltest du Fragen oder Anmerkungen haben, schicke uns gerne eine E-Mail an hallo@amtshelden.de. Ihr kommt in eurer Stadt mit Social Media nicht wirklich voran? Dann haben wir vielleicht was für dich – schau dir mal unser Amtfluencer-Programm und unsere Webinare an.