Cybersicherheit in Behörden – warum Vorbereitung der beste Schutz ist

Cyberangriffe sind längst Teil des Verwaltungsalltags. Fast jede zweite Kommune in Deutschland war laut Bitkom in den vergangenen Jahren betroffen – und die Zahl steigt weiter. Die Folgen sind gravierend: wochenlange Ausfälle, lahmgelegte Fachverfahren, verlorene Daten. Aber der vielleicht größte Schaden ist ein anderer – Vertrauensverlust. Deshalb ist Cybersicherheit in Behörden ein nicht zu vernachlässigendes Thema!

Wenn Bürger:innen ihre Verwaltung nicht mehr erreichen, Termine ausfallen, Zahlungen nicht bearbeitet werden können, steht plötzlich die Funktionsfähigkeit des Staates selbst im Raum. Und genau hier beginnt das Thema Cybersicherheit – nicht als technisches Spezialgebiet, sondern als Frage der Organisation, Kommunikation und Führung.

Claudia Brandes

Claudia Brandes steht für eine moderne, offene und lösungsorientierte Kommunalpolitik. Als Bürgermeisterin der Gemeinde Petersberg im Landkreis Fulda übernahm sie ihr Amt unter außergewöhnlichen Bedingungen – nur drei Wochen nach einem Cyberangriff, der die Verwaltung nahezu lahmlegte. Aus dieser Krise entwickelte sie ein tiefes Verständnis dafür, wie entscheidend Kommunikation, Zusammenhalt und Transparenz für das Vertrauen in Verwaltung sind. Ihr Antrieb: Behörden krisenfest, digital handlungsfähig und menschlich zugleich zu machen. Mit Pragmatismus, Empathie und klarer Sprache zeigt sie, dass Führung in der öffentlichen Verwaltung mehr bedeutet als Verwaltung – nämlich Orientierung geben, wenn Systeme versagen.

Ein Angriff, der alles verändert

Als wir mit Claudia Brandes, Bürgermeisterin der Gemeinde Petersberg, gesprochen haben, wurde uns klar, wie schnell aus Theorie Realität wird.
Ihr erster Arbeitstag begann mitten in einem Cyberangriff. Kein Zugriff auf Server, keine Fachverfahren, keine E-Mails. Und plötzlich war sie in der Verantwortung, eine Verwaltung zu führen, die offline war.

Anstatt hektisch zu reagieren, setzte sie auf klare Kommunikation:
Mitarbeitende wurden regelmäßig informiert, Entscheidungen transparent gemacht, Aufgaben priorisiert.
Parallel arbeiteten IT-Forensiker daran, den Angriff zu analysieren und Systeme wiederherzustellen.

Diese Erfahrung war der Ausgangspunkt für unsere Auseinandersetzung mit der Frage:
Wie können Verwaltungen sich auf solche Situationen vorbereiten – organisatorisch, technisch und menschlich?

Was Verwaltungen jetzt brauchen

Viele Kommunen wissen um das Risiko. Doch sie stehen vor denselben Herausforderungen:
zu wenig Personal, zu viele Alt-Systeme, unklare Zuständigkeiten.
Und oft der Gedanke: „Uns wird das schon nicht passieren.“

Das Problem: Wenn der Angriff erst da ist, ist es zu spät für Vorbereitung.
Dann zählt, was vorher aufgebaut wurde – Strukturen, Abläufe, Wissen.

Deshalb haben wir eine Checkliste für Cybersicherheit in Behörden entwickelt.
Sie soll Verwaltungen helfen, ihre aktuelle Lage zu bewerten, Prioritäten zu setzen und Lücken zu schließen.
Keine technische Anleitung, sondern eine praxisnahe Orientierung.

🔐 Die 10 wichtigsten Punkte für Cybersicherheit in Behörden

1. Verantwortlichkeiten klären

Cybersicherheit funktioniert nicht „nebenbei“. Es braucht eine benannte Person oder ein kleines Team, das Verantwortung trägt – mit klarer Stellvertretung. So wird aus diffusem Risiko ein steuerbares Thema.

2. Notfallplan aufstellen

Ein einfacher, klarer Ablaufplan für den Ernstfall: Wer informiert wen, welche Systeme werden zuerst gesichert, welche Kommunikationskanäle funktionieren auch offline?
Solche Pläne müssen regelmäßig geübt werden – wie eine Feuerwehrübung.

3. Risiken regelmäßig prüfen

Jede Verwaltung hat kritische Systeme – oft mehr, als sie denkt. Mindestens einmal jährlich sollten diese identifiziert und bewertet werden.
Risikoanalyse ist kein Selbstzweck, sondern Grundlage jeder Priorisierung.

4. Sicherheitsrichtlinie für alle

Klare Regeln sind besser als Verbote.
Eine verständliche Sicherheitsrichtlinie – mit Beispielen statt Paragrafen – schafft Orientierung im Alltag: Wie gehe ich mit E-Mails um? Was ist erlaubt auf mobilen Geräten? Was tue ich bei Verdacht auf Malware?

5. Cyberversicherung abschließen

Eine Cyberversicherung kann keine Angriffe verhindern, aber sie kann helfen, den Schaden zu begrenzen.
Wichtig ist, dass sie regelmäßig überprüft und an die tatsächliche IT-Struktur angepasst wird.

6. Systeme aktuell halten

Klingt banal, ist aber entscheidend. Viele erfolgreiche Angriffe nutzen bekannte Sicherheitslücken in veralteter Software.
Automatische Updates und feste Patch-Zyklen sind das digitale Äquivalent zum TÜV.

7. Phishing trainieren

Die meisten Angriffe beginnen mit einer Mail.
Deshalb sind Awareness-Trainings und simulierte Phishing-Tests unverzichtbar.
Es gibt spezialisierte Anbieter, die solche Tests anonym durchführen – das sensibilisiert, ohne Druck aufzubauen.

8. Backups testen

Viele Verwaltungen sichern Daten – aber prüfen nie, ob die Wiederherstellung funktioniert.
Ein Backup ist nur so gut wie seine Testphase. Deshalb: regelmäßig proben, auch unter realen Bedingungen.

9. Dienstleister prüfen

IT-Sicherheit endet nicht an der Rathaustür.
Wer mit externen Dienstleistern arbeitet, sollte deren Sicherheitsstandards vertraglich festschreiben und regelmäßig überprüfen.

10. Meldekultur stärken

Der menschliche Faktor ist der wichtigste.
Mitarbeitende müssen Fehler melden können, ohne Angst vor Schuldzuweisung.
Eine offene Meldekultur macht aus kleinen Problemen keine großen Krisen.

Cybersicherheit ist Kulturarbeit

All diese Punkte zeigen: Cybersicherheit ist kein IT-Thema – sie ist ein Thema der Verwaltungskultur.
Sie beginnt nicht bei Firewalls, sondern bei Menschen, Prozessen und Verantwortungsbewusstsein.

Die beste Technik hilft wenig, wenn niemand weiß, was im Ernstfall zu tun ist.
Und die beste Strategie scheitert, wenn sie nicht erklärt wird.

Deshalb geht es bei Cybersicherheit immer auch um Kommunikation:
Wie reden wir über Risiken? Wie schaffen wir Vertrauen?
Wie halten wir Bürger:innen und Mitarbeitende informiert, wenn nichts mehr funktioniert?

Was wir aus Petersberg lernen können

Claudia Brandes hat gezeigt, wie Führung in der Krise aussieht.
Mit Ruhe, Offenheit und Entscheidungsfreude hat sie verhindert, dass Unsicherheit zum Kontrollverlust wird.
Sie hat das Vertrauen ihrer Verwaltung nicht trotz des Angriffs gewonnen – sondern durch ihn.

In unserer Podcast-Folge spricht sie darüber, wie sie diese Ausnahmesituation erlebt hat, warum sie heute ganz anders über Digitalisierung denkt und wieso Cybersicherheit Chefsache ist.

🎧 Podcast anhören: „Wenn dein erster Tag als Bürgermeisterin mitten in einem Cyberangriff beginnt“ → überall, wo es Podcasts gibt.

Fazit: Handlungsfähig bleiben – auch offline

Cybersicherheit ist kein Ziel, das man erreicht und abhakt.
Sie ist ein Prozess – laufend, lernend, menschlich.

Und sie ist ein Kulturthema: Eine Verwaltung, die vorbereitet ist, die Zuständigkeiten kennt, die offen kommuniziert – bleibt auch in der Krise handlungsfähig.

Das ist kein IT-Erfolg. Das ist Führung.

Solltest du Fragen oder Anmerkungen haben, schicke uns gerne eine E-Mail an hallo@amtshelden.de. Ihr kommt in eurer Stadt mit Social Media nicht wirklich voran? Dann haben wir vielleicht was für dich – schau dir mal unser Amtfluencer-Programm an.