StudieWenn knappe Budgets zur Gefahr werden

Hinter jedem digitalen Verwaltungsprozess steckt das Versprechen, dass Ausweisdokumente ausgestellt werden, Wasser läuft und Sozialleistungen pünktlich ankommen. Gleichzeitig bietet sich ein attraktives Ziel für kriminelle Hackergruppen. Cyber-Sicherheit in Kommunen ist deshalb keine technische Randnotiz, sondern die Grundlage staatlicher Handlungsfähigkeit. Für die Gewährleistung der Informationssicherheit und der städtischen Dienstleistungen braucht es aber Budget, Personal, Zeit und Fachwissen. Nur dann können die Verantwortlichen schnell auf Angriffsversuche reagieren und diese abwehren. Wie es aktuell um die IT-Sicherheit in deutschen Kommunen steht, zeigt die repräsentative Studie „Cybersicherheit in Kommunen“ von G DATA. In Zusammenarbeit mit Statista und brand eins hat das Bochumer IT-Sicherheitsunternehmen bereits zum zweiten Mal fast 700 Beschäftigte im öffentlichen Dienst befragt (wir berichteten).

Mehr Ausgaben einplanen

Wer sein IT-Sicherheitsniveau verbessern will, muss dafür Geld in die Hand nehmen, auch wenn die Kassen vieler Städte und Landkreise leer sind. Wirksame Cyber-Sicherheit lässt sich längst nicht mehr mit einer Firewall und einer Virenschutzlösung garantieren. Es braucht eine umfassende Überwachung aller Geräte, um frühzeitig Angriffsversuche zu erkennen und Gegenmaßnahmen einzuleiten. Dafür benötigt man ein Budget in ausreichender Höhe. Immerhin planen laut der Studie 43 Prozent der Befragten höhere Investitionen in IT-Sicherheit – eine deutliche Steigerung gegenüber dem Vorjahr (28 Prozent). Jeder Zehnte wartet auf staatliche Fördermittel, zum Beispiel das staatliche Sondervermögen.

Die Liste von Städten, Gemeinden oder kommunalen Dienstleistern, die bereits einer Cyber-Attacke zum Opfer gefallen sind, ist lang. Der aktuelle Angriff auf die Berliner Senatsverwaltung (wir berichteten hier und hier) ist nur ein weiterer Beleg dafür, wie anfällig das Gemeinwesen immer noch ist. Die Berichte führen aber bei vielen Verantwortlichen zu einem Umdenken bei der Cyber-Sicherheit. So sagen drei von fünf Befragten, die im öffentlichen Dienst in der IT-Security oder IT sowie in Behördenleitungen arbeiten, dass sie IT-Sicherheitsprozesse oder -richtlinien angepasst haben. Dazu zählen beispielsweise Vorgaben für Passwörter. Das ist kostengünstig und hat weitreichende Wirkung, wenn Angestellte statt einfacher Kennwörter wie „12345678“ oder „Passwort01“ komplexe Passwörter mit Klein- und Großbuchstaben sowie Ziffern und Sonderzeichen nutzen. 62 Prozent der Befragten nennen Schulungen für Mitarbeitende als weitere Maßnahme. Mit Security Awareness Trainings lässt sich das Bewusstsein der Belegschaft verbessern, um etwa gefährliche Phishing-Nachrichten zu erkennen. Weitere Möglichkeiten sind Investitionen in neue IT-Sicherheitslösungen, die Verbesserung von Notfall- und Reaktionsplänen sowie eine stärkere Priorisierung von IT-Sicherheit im Management.

Es braucht eine verständliche Sprache

Für viele Menschen ist und bleibt IT und insbesondere IT-Sicherheit ein Buch mit sieben Siegeln. Auch wenn sie tagtäglich am Computer sitzen, zählt für viele Angestellte nur, dass die Systeme verfügbar und nutzbar sind. Ein Grund dafür: Grundlegendes IT-Wissen ist für viele Menschen schwer verständlich und damit nicht nutzbar. Und so überrascht es nicht, dass zwei von fünf Befragten verständliche Sprache als wichtigen Aspekt nennen, um Empfehlungen zur IT-Sicherheit im Arbeitsalltag umzusetzen. 

37 Prozent der teilnehmenden Personen nennen eine schnelle und unkomplizierte Verfügbarkeit von Informationen als wichtig. Eine klare und übersichtliche Aufbereitung der Inhalte nennt ein Drittel als wichtigen Aspekt. Weitere Antworten auf die Frage sind die Zusammenarbeit mit anderen Behörden oder Einrichtungen sowie der Wunsch nach kompakten Formaten oder nach einer zentralen Anlaufstelle für Informationen.

Cyber-Sicherheit kennt keinen Feierabend

Cyber-Kriminalität ist ein 24/7-Geschäft. Die Kriminellen kennen keinen Feierabend, keine Mittagspause, kein Wochenende und keine Feiertage. Eine Attacke kann mitten in der Nacht starten. Eine lückenlose Cyber-Abwehr rund um die Uhr nimmt Angreifergruppen die Möglichkeit, unentdeckt in IT-Systemen zu agieren. Wie die Studie zeigt, ist das in der Praxis aber nur bei etwa zwei Dritteln (63 Prozent) der Befragten der Fall. Nur jede dritte Kommune hat Ressourcen, um die Überwachung auch außerhalb der regulären Arbeitszeiten durch ein Schichtsystem oder Bereitschaftsdienste zu gewährleisten. Für viele Verwaltungen ist aber eine 24/7-Abdeckung in Eigenregie nicht realisierbar. Daher ist es sinnvoll, externe Dienstleister hinzuzuziehen, die über die nötige Personalstärke und das erforderliche Fachwissen verfügen. So überwachen drei von zehn Organisationen ihre IT. 

Gefährlich ist es, wenn die IT unbewacht bleibt. Gerade die Rand- oder Nachtzeiten nutzen Tätergruppen, um etwa große Datenmengen an externe Server zu übertragen oder weitere Schadsoftware nachzuladen. Solche Aktivitäten werden häufig in Monitoring-Lösungen aufgezeichnet, aber vielfach fehlt das notwendige Wissen, um eine legitime Aktion von einer kriminellen Handlung zu unterscheiden. Gerade in solchen Fällen vergeht zu viel Zeit bis zur passenden Reaktion. Zeit, in der der wirtschaftliche Schaden immer größer wird.

Externe Partner als Antwort auf den Fachkräftemangel

Angesichts des bestehenden Fachkräftemangels ziehen viele Kommunen die Zusammenarbeit mit einem externen Dienstleister in Betracht. Auf diesem Weg erhalten sie nicht nur das dringend erforderliche Personal, sondern auch Zugang zu dem notwendigen Fachwissen, um auf aktuelle Angriffsszenarien vorbereitet zu sein. Diesen Punkt nennen auch 38 Prozent der im öffentlichen Dienst tätigen Menschen als Vorteil in der Zusammenarbeit mit externen Fachleuten. Nur die höhere Sicherheit durch professionelle Lösungen erhält mehr Zustimmung. Zwei von fünf Personen sehen darin einen Vorteil. Zeitersparnis für interne Teams sowie schnellerer Zugang zu neuer Technologie sind weitere Argumente, die für externe Dienstleister sprechen. Der Blick in die aktuelle Praxis verdeutlicht aber, dass die Anforderungen an die IT-Sicherheit mittlerweile so komplex sind, dass sie sich alleine auch kaum noch beherrschen lassen.

Der lange Weg zu mehr IT-Sicherheit

IT-Verantwortliche stehen somit nicht nur in der Verantwortung, die Digitalisierung der Verwaltungen voranzutreiben. Sie müssen auch sicherstellen, dass die Prozesse unterbrechungsfrei laufen und diese entsprechend absichern. Die Zahlen belegen, dass die Bemühungen der Kommunen aktuell noch nicht ausreichen, um im Ernstfall standzuhalten. Um den veränderten Anforderungen gerecht zu werden, müssen Rathäuser und Amtsstuben jetzt konsequent handeln. IT-Sicherheit ist kein Sprint, sondern ein kontinuierlicher Prozess, bei dem Verantwortliche immer wieder flexibel und dynamisch reagieren müssen, etwa auf eine veränderte Bedrohungslage.