Was passiert, wenn das Rathaus offline ist? Ein Cyberangriff und seine Folgen

Was passiert eigentlich, wenn eine Verwaltung von einem Moment auf den anderen nicht mehr auf ihre Systeme zugreifen kann? Wenn Dateien verschlüsselt sind, Fachverfahren ausfallen und niemand genau sagen kann, wann der normale Betrieb wieder möglich sein wird?

Beim Landkreis Anhalt-Bitterfeld wurde diese Frage im Sommer 2021 sehr konkret. Der Landkreis wurde Opfer eines Ransomware-Angriffs (Cyberangriff). Sabine Griebsch war damals als externe CDO für die Kreisverwaltung tätig und hat die Bewältigung des Angriffs unmittelbar miterlebt. In unserem Podcast Kleinstadtniveau beschreibt sie nicht nur den technischen Vorfall. Vor allem erzählt sie, was danach innerhalb einer Verwaltung passiert.

Morgens zur Arbeit – und plötzlich sind die Dateien verschlüsselt

Der Angriff wurde früh am Morgen sichtbar. Mitarbeitende fanden auf ihren Rechnern Dateien mit ungewöhnlichen Endungen wie „I want to survive“. Dateien ließen sich nicht mehr öffnen. Die IT erkannte schnell, dass es sich um eine Verschlüsselung handelte. Über die Haussprechanlage wurden Mitarbeitende aufgefordert, Rechner nicht einzuschalten beziehungsweise sie herunterzufahren. Später wurde die Verwaltung vom Internet getrennt.

Das klingt rückblickend nach einem klaren Ablauf. Tatsächlich musste an vielen Stellen improvisiert werden. Einen ausgearbeiteten Cyber-Krisenplan mit Checklisten für genau diesen Fall gab es nicht. Es gab IT-Fachwissen, Erfahrung aus dem Katastrophenschutz und Menschen, die wussten, welche Meldungen beispielsweise an Datenschutz, Polizei oder andere Stellen notwendig waren. Aber viele Entscheidungen mussten in der Situation getroffen werden.

Und schon die scheinbar einfache Frage „Wie erreichen wir jetzt alle Beschäftigten?“ wird kompliziert, wenn eine Verwaltung mehrere Standorte hat, Menschen im Homeoffice sitzen und die digitalen Kommunikationswege gerade abgeschaltet werden. Im Landkreis funktionierte die Telefonanlage noch. Führungskräfte informierten ihre Bereiche telefonisch. An Rechnern wurden schließlich Zettel angebracht, teilweise wurden Stecker gezogen, damit Geräte nicht versehentlich wieder eingeschaltet wurden.

Auch daran zeigt sich, wie schnell ein Cyberangriff aus der technischen Ebene herauswächst. Die IT kann Systeme abschalten. Die Organisation muss anschließend dafür sorgen, dass mehrere hundert Menschen wissen, was sie tun sollen.

Wenn „geht heute nicht“ bei einer Behörde keine ausreichende Antwort ist

Zu Beginn wurden viele Beschäftigte nach Hause geschickt. Das löste allerdings nur einen kleinen Teil des Problems. Manche Tätigkeiten konnten über webbasierte Anwendungen weiterlaufen, andere waren vollständig von den ausgefallenen Systemen abhängig. Gleichzeitig gab es Leistungen, bei denen ein längerer Stillstand erhebliche Folgen hatte.

Betroffen waren unter anderem Sozialamt, Kfz-Zulassung und Gesundheitsamt. Der Angriff fand mitten in der Corona-Pandemie statt. Andere Bereiche, darunter die Leitstelle, waren technisch getrennt und nicht betroffen. Aber spätestens hier wurde sichtbar, was ein großflächiger IT-Ausfall für eine Kommune bedeutet: Bürgerinnen und Bürger brauchen Leistungen weiter – unabhängig davon, ob die Server funktionieren.

Bei einem Unternehmen kann ein IT-Ausfall bedeuten, dass Bestellungen später bearbeitet werden. Bei einer Verwaltung kann er bedeuten, dass Sozialleistungen nicht ausgezahlt, gesundheitliche Aufgaben nicht erledigt oder gesetzliche Fristen nicht eingehalten werden können. Manche Menschen können warten. Andere können es nicht.

Genau deshalb wurde in Anhalt-Bitterfeld später priorisiert, welche Leistungen zuerst wiederhergestellt werden mussten. Leib und Leben spielen dabei eine andere Rolle als ein Kursangebot der Volkshochschule. Sozialhilfe, Jugendhilfe, Hygiene oder zeitkritische Verfahren haben andere Folgen als Leistungen, die einige Wochen später wieder anlaufen können. Die Priorisierung klingt selbstverständlich, bis unterschiedliche Fachbereiche unter Zeitdruck entscheiden müssen, was tatsächlich zuerst kommt.

Notbetrieb heißt nicht: Alles ist wieder da

Der vollständige Wiederaufbau dauerte nach Sabines Schilderung offiziell rund elf Monate. Das bedeutet allerdings nicht, dass die Verwaltung elf Monate lang gar nicht arbeiten konnte. Ein Notnetz stand bereits nach ungefähr zwei Wochen zur Verfügung. Einzelne webbasierte Leistungen konnten teilweise schon deutlich früher wieder genutzt werden, andere Fachverfahren kamen Schritt für Schritt zurück.

Genau dieser Zwischenzustand wird schnell unterschätzt. Eine Verwaltung ist nach einem großen Cyberangriff nicht entweder „offline“ oder „wieder online“. Dazwischen liegen Wochen oder Monate, in denen einzelne Verfahren funktionieren, andere noch fehlen und provisorische Lösungen genutzt werden. Daten entstehen in Zwischenlösungen und müssen später wieder mit den endgültigen Systemen zusammengeführt werden. Beschäftigte arbeiten mit Einschränkungen, während die IT parallel die neue Infrastruktur aufbaut.

In dieser Phase werden auch Lösungen relevant, die normalerweise eher altmodisch wirken. Sabine nennt im Gespräch das Fax. Es funktionierte noch und konnte während der Pandemie dazu genutzt werden, notwendige Daten weiterzugeben. Der Punkt dabei ist nicht, das Fax zu retten. Es geht um Redundanz: Welche Möglichkeit bleibt, wenn der normale digitale Weg wegfällt?

Das kann eine andere Verwaltung sein, die ein Fachverfahren vorübergehend übernimmt. Es können Rechner in einer getrennten Infrastruktur sein. Es kann Papier sein. Entscheidend ist, dass diese Alternativen im Ernstfall tatsächlich nutzbar sind.

Aus einem IT-Angriff wird eine Krise der ganzen Organisation

Mit jedem Tag kommen weitere Fragen hinzu. Wer informiert die Beschäftigten? Wie lange können Mitarbeitende überhaupt nicht arbeiten? Wer übernimmt welche Aufgabe im Krisenstab? Wie werden externe Fachleute beauftragt? Wie wird die Verwaltungsspitze informiert, ohne dieselben wenigen IT-Spezialisten immer wieder aus der eigentlichen Arbeit zu holen?

Hinzu kommt der Druck von außen. Bürgerinnen und Bürger stehen vor verschlossenen oder nur eingeschränkt arbeitsfähigen Stellen. Medien fragen nach. Gerüchte entstehen. Die Verwaltung muss erklären, was funktioniert, was nicht funktioniert und wann mit Verbesserungen gerechnet werden kann – obwohl sie selbst vieles noch nicht weiß.

In Anhalt-Bitterfeld kamen teilweise sehr konkrete Folgeprobleme hinzu. Wenn digitale Kassensysteme und dazugehörige Sicherungen ausfallen, kann auch der Umgang mit Bargeld plötzlich zum Sicherheitsproblem werden. Während technisches Personal über viele Stunden täglich an der Wiederherstellung arbeitet, muss sich irgendwann jemand darum kümmern, wie diese Menschen versorgt und abgelöst werden. Mitarbeitende im Bürgerkontakt bekommen gleichzeitig den Frust der Bevölkerung ab.

Damit verändert sich auch die Rollenverteilung. Ein Cyberangriff kann in der IT beginnen. Bewältigt werden muss er von der gesamten Organisation.

Die unangenehmen Fragen besser vorher stellen

Der Fall Anhalt-Bitterfeld ist inzwischen einige Jahre her. Die konkrete Technik verändert sich, Angriffsmethoden entwickeln sich weiter. Viele organisatorische Fragen sind geblieben.

Wie alarmieren wir unsere Beschäftigten, wenn E-Mail nicht funktioniert? Welche Leistungen müssen innerhalb von 24 Stunden wieder verfügbar sein? Welche können mehrere Wochen warten? Können Nachbarkommunen einzelne Aufgaben übernehmen? Welche Verträge und Zugänge brauchen wir dafür? Wer spricht mit der Öffentlichkeit? Wie greifen Pressestelle und Verwaltungsspitze auf ihre Kanäle zu, wenn ihre normalen Rechner nicht verfügbar sind? Und wer entscheidet, wann welche Systeme wieder in Betrieb genommen werden?

Man kann nicht jeden Verlauf eines Cyberangriffs vorhersehen. Viele dieser Fragen lassen sich trotzdem vorher beantworten.

Einen guten Überblick über dokumentierte IT-Ausfälle und Cybervorfälle in deutschen Kommunen bietet Kommunaler Notbetrieb. Die dort gesammelten Fälle zeigen auch, dass Anhalt-Bitterfeld kein einmaliges Ereignis geblieben ist. Kommunaler Notbetrieb

Wer sich grundsätzlicher mit der Frage beschäftigt, warum Cybersecurity für uns inzwischen zur Daseinsvorsorge gehört, findet dazu auch unseren Beitrag „Cybersecurity ist Daseinsvorsorge: Warum Behörden auf Ausfälle vorbereitet sein müssen“.

Kommunikation lässt sich ebenfalls vorbereiten

Ein Teil der Vorbereitung betrifft die Technik. Ein anderer die Frage, wie eine Behörde unter diesen Bedingungen kommuniziert. Dafür braucht es Zuständigkeiten, alternative Zugänge, vorbereitete Informationswege und ein gemeinsames Verständnis davon, wer im Ernstfall welche Informationen benötigt.

Bei Amtshelden bieten wir dazu gemeinsam mit Michael Ehresmann das Webinar Krisenkommunikation für Behörden an. Dort geht es um Vorbereitung, Rollen, Kanäle und den eigenen Kommunikationsplan für Krisenlagen. Zum Webinar Krisenkommunikation für Behörden

Für Behörden, die ihre eigenen Abläufe, Risiken und Zuständigkeiten konkret durchgehen möchten, gibt es außerdem unsere Inhouse-Schulung Krisenkommunikation. Zur Inhouse-Schulung Krisenkommunikation

Zum Webinar

Zur Inhouse-Schulung

Solltest du Fragen oder Anmerkungen haben, schicke uns gerne eine E-Mail an hallo@amtshelden.de. Ihr kommt in eurer Stadt mit Social Media nicht wirklich voran? Dann haben wir vielleicht was für dich – schau dir mal unser Amtfluencer-Programm und unsere Webinare an.