IT-Sicherheit für Behörden und öffentliche Einrichtungen

Eine Verwaltung kann ihre Dienstleistung nicht einstellen. Fällt die IT aus, stehen Bürgerbüro, Standesamt, Sozialleistungen und Zahlungsverkehr – und der Ausfall steht am selben Tag in der Zeitung. Gleichzeitig ist die IT gewachsen: verteilt über Zweckverbände und Rechenzentren, mit langen Beschaffungswegen und knappem Personal.

IT-Grundschutz – der Maßstab des BSI, an dem sich die öffentliche Verwaltung messen lässt
Bund – NIS2 erfasst die Bundesverwaltung; für Länder und Kommunen gilt Landesrecht
24/7 – Erreichbarkeit unserer Notfallnummer – auch nachts, am Wochenende und an Feiertagen

Was in dieser Branche bereits passiert ist

Drei dokumentierte Fälle aus der deutschen Verwaltung. Sie zeigen, was der Unterschied zwischen einem Unternehmen und einer Behörde im Ernstfall bedeutet: Die Leistung kann nicht ausgesetzt werden.

September 2019: Kammergericht Berlin (Emotet)

Die Schadsoftware Emotet konnte sich über Tage weitgehend ungehindert im Netz des höchsten Berliner Gerichts bewegen. Nach dem späteren Gutachten ist davon auszugehen, dass der gesamte Datenbestand abgeflossen ist – einschließlich hochsensibler Verfahrensdaten. Über 500 Rechner waren betroffen, die IT musste vollständig neu aufgebaut werden. Der Wiederaufbau dauerte mehr als ein Jahr; Richterinnen und Richter arbeiteten zeitweise mit Schreibmaschinen. Quelle: zm-online.

Juli 2021: Landkreis Anhalt-Bitterfeld (Ransomware)

Nach der Verschlüsselung mehrerer Server rief der Landkreis als erste Gebietskörperschaft in Deutschland den Cyber-Katastrophenfall aus. Rund 1.000 Beschäftigte arbeiteten nur noch mit Telefon und Fax. Der Katastrophenfall galt 207 Tage; Bürgerdienste standen über Monate nur eingeschränkt zur Verfügung. Quelle: KommunalWiki.

Oktober 2023: Südwestfalen IT (Ransomware beim Dienstleister)

Der kommunale IT-Dienstleister wurde in der Nacht zum 30. Oktober angegriffen, mutmaßlich durch die Gruppe Akira. Betroffen waren 72 Mitgliedskommunen mit zusammen rund 1,7 Millionen Einwohnern. Sozialleistungen, Wohngeldanträge, Kfz-Zulassungen sowie Geburts-, Ehe- und Sterbefallverfahren waren teils vollständig lahmgelegt. Die Kommunen wichen auf Notfall-Websites, Papier und Telefon aus. Quelle: heise online.

Vorgaben, an denen Sie gemessen werden

IT-Grundschutz

Das IT-Grundschutz-Kompendium des BSI ist der übliche Prüfmaßstab in der Verwaltung. Es lässt sich stufenweise umsetzen: Basis-Absicherung zuerst, Standard-Absicherung dort, wo der Schutzbedarf es verlangt.

NIS2 und Landesrecht

Das NIS2-Umsetzungsgesetz erfasst Einrichtungen der Bundesverwaltung unmittelbar. Ob und wie Länder und Kommunen einbezogen werden, regelt das jeweilige Landesrecht – fachlich laufen die Anforderungen auf dasselbe hinaus.

DSGVO

Verwaltungen verarbeiten besonders sensible Daten: Melde-, Sozial-, Gesundheits- und Steuerdaten. Eine Datenpanne ist binnen 72 Stunden an die Aufsichtsbehörde zu melden.

Vergabe

Leistungen werden regelmäßig ausgeschrieben. Wir liefern, was dafür gebraucht wird: eine klar abgegrenzte Leistungsbeschreibung, eine nachvollziehbare Kalkulation und prüffähige Berichte.

Wo Verwaltungs-IT typischerweise nachgibt

Die Befunde ähneln sich über Häuser hinweg – nicht wegen mangelnder Sorgfalt, sondern weil Verwaltungs-IT über Jahrzehnte gewachsen ist und selten in einem Zug neu gebaut wird. Wer weiß, wo die üblichen Stellen liegen, kommt schneller zu einer belastbaren Prioritätenliste.

Ratsinformations- und Fachverfahren, die aus dem Internet erreichbar sind
Fern- und Heimarbeitszugänge, die unter Zeitdruck entstanden und nie überarbeitet wurden
Active Directory mit historisch gewachsenen Rechten und alten Dienstkonten
Zugänge externer Dienstleister und Fachverfahrenshersteller
Schulen, Bibliotheken und Eigenbetriebe im selben Netz wie die Kernverwaltung

Verfügbarkeit ist der eigentliche Auftrag

Ein Unternehmen kann eine Woche später liefern. Eine Verwaltung muss Leistungen erbringen, an denen Fristen und Existenzen hängen – Sozialleistungen, Beurkundungen, Zahlungen. Der Notbetrieb ist deshalb kein Anhang zum Sicherheitskonzept, sondern sein Kern.

Notbetrieb je Fachbereich, schriftlich festgelegt und geübt
Wiederanlaufreihenfolge über Fachverfahren, Fachanwendungen und Zahlungswege hinweg
Sicherungen getrennt vom Produktivnetz, mit belegtem Rückspielen
Kommunikation gegenüber Bürgerschaft, Rat, Aufsicht und Presse – vorbereitet statt improvisiert

So kommt jemand in dieser Branche herein

Die Mail, die geöffnet werden muss

Anträge, Beschwerden, Bewerbungen, Rechnungen – eine Verwaltung darf Post von Unbekannten nicht ignorieren. Sensibilisierung allein löst das nicht; die Technik dahinter muss es abfangen.

Der Weg über den Eigenbetrieb

Schule, Bibliothek, Bäder oder Stadtwerke hängen häufig am selben Netz wie die Kernverwaltung, werden aber nicht gleich betreut. Der Einstieg erfolgt dort, der Schaden entsteht hier.

Rechte, die niemand zurücknimmt

Nach Jahren von Umsetzungen, Vertretungen und Projekten haben viele Konten mehr Rechte, als ihre Aufgabe erfordert. Ein einziges übernommenes Konto genügt dann.

Passende Leistungen

Security Assessments

Systematische Überprüfung Ihrer IT-Umgebung – ohne Betriebsunterbrechung, mit klaren Handlungsempfehlungen.

Penetration Testing

Manuelle Pentests für Web-Apps, Netzwerke, Active Directory & Cloud – inkl. CVSS-Bewertung.

Incident Response

24/7 Reaktion auf Cyberangriffe: Triage, digitale Forensik, Bereinigung und Wiederaufbau.

Managed SOC

24/7 Security Operations Center – SIEM-Integration, MDR, Incident Response, NIS2-konform.

Security Awareness

Mitarbeiterschulungen, Phishing-Simulationen und Sicherheitskampagnen für eine starke Sicherheitskultur.

Häufige Fragen

Gilt NIS2 für Kommunen?

Das NIS2-Umsetzungsgesetz erfasst Einrichtungen der Bundesverwaltung unmittelbar. Für Länder und Kommunen kommt es auf das jeweilige Landesrecht an; unabhängig davon fallen kommunale Betriebe wie Stadtwerke, Wasserversorger oder Verkehrsbetriebe häufig über ihren Sektor unter das Gesetz. Wir klären die Betroffenheit je Einrichtung und Eigenbetrieb einzeln, statt sie pauschal anzunehmen.

Arbeiten Sie nach IT-Grundschutz?

Ja, das IT-Grundschutz-Kompendium ist in der Verwaltung unser Standardmaßstab. Wir prüfen dagegen, dokumentieren die Abweichungen und priorisieren die Maßnahmen. Wo ein vollständiges Grundschutz-Vorgehen unrealistisch ist, beginnen wir mit der Basis-Absicherung – eine umgesetzte Basis ist mehr wert als eine unvollendete Standard-Absicherung.

Wie läuft die Beauftragung im Vergabeverfahren?

Wir unterstützen bei der Leistungsbeschreibung, damit die Ausschreibung technisch trägt und vergleichbare Angebote erzeugt, und geben auf Wunsch vorab eine unverbindliche Kostenschätzung für die Planung. Angebote legen wir mit klar abgegrenztem Leistungsumfang, Aufwandsangabe und Festpreis vor, wo der Umfang das zulässt.

Können Sie testen, ohne den Publikumsverkehr zu stören?

Ja. Prüfungen der von außen erreichbaren Systeme laufen ohne Betriebsunterbrechung. Interne Tests legen wir in Randzeiten oder in ein abgestimmtes Fenster; Schritte, die die Verfügbarkeit von Fachverfahren berühren könnten, führen wir nur nach ausdrücklicher Freigabe durch.

Wir haben kaum IT-Personal. Geht das trotzdem?

Ja – dafür gibt es die Managed Services. Überwachung, Schwachstellenmanagement und Reaktion übernehmen wir als Dienstleistung, sodass in Ihrem Haus die Entscheidungen bleiben und nicht der Bereitschaftsdienst. Wichtig ist nur, dass jemand bei Ihnen benannt ist, der im Ernstfall freigeben kann.

Quellen und weiterführende Informationen

Zuletzt aktualisiert am 1. September 2026 · Inhaltlich verantwortlich: Christian Renkes, Geschäftsführer der Nica Systems GmbH.

Kontakt

Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr

Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.