Ein Cyberangriff ist auch eine Personalkrise

Wenn eine Behörde von einem Cyberangriff getroffen wird, richtet sich der Blick zuerst auf die Technik. Welche Systeme sind betroffen? Welche Daten wurden verschlüsselt? Welche Fachverfahren können wieder gestartet werden? Wer übernimmt die Forensik?

Diese Fragen sind notwendig. Sie sind aber nur ein Teil der Lage. Denn sobald ein Ausfall länger dauert, wird daraus auch eine Personalfrage. Manche Beschäftigte arbeiten plötzlich weit über ihre Belastungsgrenze hinaus. Andere können ihre eigentliche Arbeit kaum noch erledigen. Mitarbeitende im Bürgerkontakt bekommen Frust ab. Führungskräfte müssen Entscheidungen treffen, obwohl Informationen fehlen. Und während die Technik wieder aufgebaut wird, muss der normale Verwaltungsbetrieb irgendwie weitergehen.

Wie schnell sich diese zweite Ebene entwickelt, beschreibt Sabine Griebsch in unserem Podcast sehr konkret. Sie war 2021 als externe CDO beim Landkreis Anhalt-Bitterfeld tätig, als die Kreisverwaltung von einem Ransomware-Angriff getroffen wurde. Der technische Wiederaufbau dauerte Monate. Entsprechend lange mussten auch die Menschen in der Organisation mit den Folgen leben.

Ein Krisenteam kann nicht monatelang im Ausnahmezustand arbeiten

In den ersten Stunden und Tagen eines Cyberangriffs ist hohe Belastung kaum zu vermeiden. Systeme müssen gesichert, Dienstleister eingebunden, Entscheidungen vorbereitet und erste Notlösungen aufgebaut werden. Problematisch wird es, wenn aus dieser kurzfristigen Ausnahmesituation ein dauerhafter Arbeitsmodus wird.

Sabine berichtet von technischen Teams, die zeitweise rund 16 Stunden am Tag gearbeitet haben. Irgendwann stellen sich dann sehr einfache Fragen: Wer sorgt dafür, dass diese Menschen etwas essen? Wer löst sie ab? Wann schlafen sie? Was passiert, wenn sie nach Tagen voller Überstunden nicht mehr konzentriert arbeiten können? Und was bedeutet diese Belastung für das Leben außerhalb der Verwaltung?

Das sind keine Nebenthemen. Wenn ausgerechnet die wenigen Personen ausfallen, die Systeme kennen, Entscheidungen technisch bewerten können oder den Kontakt zu externen Spezialisten halten, verschärft sich die Krise.

Ein Krisenplan sollte deshalb nicht nur Rollen benennen. Er sollte auch beantworten, wie diese Rollen über längere Zeit besetzt werden können. Wer kann ablösen? Welche Kompetenzen müssen auf mehrere Personen verteilt sein? Welche externen Ressourcen stehen bereit? Und wer achtet darauf, dass aus einem hoch belasteten Team nicht nach einigen Wochen ein personeller Engpass wird?

Andere Beschäftigte erleben gleichzeitig das Gegenteil

Während ein Teil der Organisation kaum noch aus der Arbeit herauskommt, können andere Beschäftigte plötzlich kaum noch arbeiten. Fachverfahren fehlen, digitale Akten sind nicht erreichbar oder gewohnte Abläufe funktionieren nicht mehr.

Dieser Zustand kann ebenfalls über Wochen dauern. Gleichzeitig entstehen provisorische Prozesse, zusätzliche Abstimmungen und später die Rückkehr in neue oder wiederhergestellte Systeme. Das heißt: Auch dort, wo zunächst scheinbar weniger Arbeit möglich ist, entsteht Unsicherheit.

Wann kann ich wieder normal arbeiten? Welche Systeme darf ich benutzen? Welche Daten sind verfügbar? Was passiert mit liegengebliebenen Vorgängen? Welche neuen Sicherheitsregeln gelten? Was muss ich Bürgerinnen und Bürgern sagen?

Deshalb reicht es nicht, Mitarbeitende am ersten Tag über den Angriff zu informieren. Bei einem längeren Ausfall braucht es kontinuierliche interne Kommunikation. Sabine formuliert einen einfachen Grundsatz: Beschäftigte sollten nicht aus der Zeitung erfahren, was in ihrer eigenen Verwaltung passiert.

Vertrauen kann nach einem Angriff schnell verloren gehen

Nach einem größeren Sicherheitsvorfall werden häufig zusätzliche Schutzmaßnahmen eingeführt: Multi-Faktor-Authentifizierung, neue Zugänge, veränderte Geräte oder strengere Prozesse. Technisch kann das notwendig sein. Organisatorisch trifft es auf Beschäftigte, die möglicherweise bereits Wochen voller Einschränkungen hinter sich haben.

Sabine erzählt dazu ein anschauliches Beispiel. Nachdem Beschäftigten über längere Zeit gesagt worden war, dass ihre bisherigen Geräte kompromittiert sein könnten, sollten sie später eine Authenticator-App auf privaten Smartphones installieren. Ein Teil der Mitarbeitenden wollte das nicht. Das Vertrauen in die Technik war beschädigt. Stattdessen entstanden umständliche Lösungen, bei denen beispielsweise Anrufe zur Authentifizierung über Kolleginnen und Kollegen weitergegeben wurden.

Der Punkt dahinter ist größer als diese einzelne Lösung. Neue Sicherheitsmaßnahmen funktionieren nicht allein deshalb, weil sie technisch sinnvoll sind. Beschäftigte müssen verstehen, warum sie eingeführt werden, welche Daten dabei verarbeitet werden und was von ihnen erwartet wird.

Wer Menschen über Monate wenig erklärt und anschließend neue Regeln durchsetzt, darf sich nicht wundern, wenn Akzeptanz fehlt.

Schuldzuweisungen machen die Lage nicht besser

Gerade nach einem Cyberangriff entsteht schnell die Suche nach einer Ursache. Hat jemand auf eine Phishing-Mail geklickt? Wurde ein Update nicht eingespielt? Hat die IT etwas übersehen? Hätte ein Dienstleister früher reagieren müssen?

Sabine warnt ausdrücklich davor, Verantwortung für Cybersicherheit auf einzelne Beschäftigte abzuwälzen. Ihr Satz dazu ist deutlich: „Wenn nur ein Klick reicht, dann hat ganz viel Infrastruktur versagt.“

Natürlich sollten Mitarbeitende verdächtige Nachrichten erkennen und Auffälligkeiten melden können. Aber ein Sicherheitskonzept, das nur darauf baut, dass hunderte oder tausende Menschen niemals einen Fehler machen, ist kein besonders belastbares Sicherheitskonzept.

Dasselbe gilt während der Krisenbewältigung. Technisches Notfallteam und Krisenstab müssen Informationen austauschen können, ohne dass jede Abstimmung zur Frage wird, wer etwas falsch gemacht hat. In dieser Phase geht es zunächst darum, den Schaden zu begrenzen und die Verwaltung wieder arbeitsfähig zu bekommen.

Die Aufarbeitung kommt danach.

Besonders belastet sind die Menschen an der Schnittstelle zur Bevölkerung

Ein weiterer Teil der Personalkrise findet häufig außerhalb der IT statt. Wenn Leistungen nicht funktionieren, trifft der Ärger zuerst diejenigen, die erreichbar sind.

Mitarbeitende am Telefon, im Bürgerbüro oder in anderen publikumsintensiven Bereichen müssen erklären, warum etwas nicht funktioniert, obwohl sie selbst keinen Einfluss auf die Wiederherstellung haben. Sabine berichtet, dass Beschäftigte in längeren Ausfällen teilweise massiv beleidigt wurden. Je länger die Situation dauert, desto größer wird diese Belastung.

Deshalb gehört auch diese Frage in die Vorbereitung: Welche Informationen bekommen Mitarbeitende im Bürgerkontakt? Gibt es eine zentrale Hotline? Muss Personal verstärkt oder rotiert werden? Welche Situationen müssen Führungskräfte auffangen? Und welche Kommunikationswege entlasten einzelne Beschäftigte?

Wer Krisenkommunikation nur als Kommunikation mit Presse und Öffentlichkeit versteht, übersieht genau diese Ebene.

Personalplanung gehört in den Cyber-Notfallplan

Ein belastbarer Cyber-Notfallplan sollte deshalb nicht ausschließlich festlegen, welche Systeme gesichert und welche Dienstleister angerufen werden. Er sollte auch die personellen Folgen mitdenken.

Dazu gehören aus unserer Sicht Fragen wie: Welche Funktionen werden in den ersten Stunden besonders belastet? Wer kann sie ablösen? Welche Personen besitzen Wissen, das bisher nur an einer Stelle vorhanden ist? Wie werden Mitarbeitende informiert, wenn interne Systeme ausfallen? Wer kümmert sich um Beschäftigte im Bürgerkontakt? Welche Aufgaben können vorübergehend anders verteilt werden? Und wie verändert sich die Personalplanung, wenn der Notbetrieb nicht drei Tage, sondern drei Monate dauert?

Gerade dieser letzte Punkt wird leicht unterschätzt. Beim Landkreis Anhalt-Bitterfeld waren einzelne Leistungen relativ schnell wieder verfügbar, der vollständige Wiederaufbau dauerte aber deutlich länger. Während dieser gesamten Zeit lief Verwaltung in unterschiedlichen Zwischenzuständen weiter.

Das verlangt mehr als technische Kompetenz. Es verlangt Führung.

Resilienz betrifft auch die Belegschaft

Wenn über Resilienz gesprochen wird, geht es häufig um Backups, Redundanzen oder alternative IT-Infrastrukturen. Diese Ebene ist wichtig. Eine Behörde wird aber nur dann wirklich resilienter, wenn sie auch ihre personelle Belastbarkeit kennt.

Ein System lässt sich ersetzen. Fachwissen, Erfahrung und eingespielte Zusammenarbeit deutlich schlechter.

Deshalb gehört für uns zur Vorbereitung auf Cyberangriffe auch die Frage, wie eine Verwaltung ihre eigenen Beschäftigten durch einen längeren Krisenfall bringt. Wie werden sie informiert? Wie werden besonders belastete Teams geschützt? Wie verhindert man, dass Wissen an einzelnen Personen hängt? Wie führt man neue Sicherheitsmaßnahmen ein, ohne zusätzlich Vertrauen zu verlieren?

Ein Cyberangriff ist damit spätestens dann eine Personalkrise, wenn die Technik nicht nach wenigen Stunden wieder funktioniert.

Über diese organisatorische Seite eines Cyberangriffs sprechen wir ausführlich mit Sabine Griebsch in der aktuellen Folge von Kleinstadtniveau. Dort erzählt sie aus ihrer Erfahrung beim Landkreis Anhalt-Bitterfeld und zeigt sehr konkret, welche Fragen während eines langen Notbetriebs plötzlich relevant werden.

Solltest du Fragen oder Anmerkungen haben, schicke uns gerne eine E-Mail an hallo@amtshelden.de. Ihr kommt in eurer Stadt mit Social Media nicht wirklich voran? Dann haben wir vielleicht was für dich – schau dir mal unser Amtfluencer-Programm und unsere Webinare an.