FachgesprächIT-Sicherheit betrifft Kommunen jeder Größe

Die Fraktion der Grünen im bayerischen Landtag hat ein Online-Fachgespräch zum Thema IT-Sicherheit aus Sicht der kommunalen Praxis veranstaltet. Die Anstalt für Kommunale Datenverarbeitung in Bayern (AKDB) – die mit Heike Leise als Mitglied der Geschäftsleitung auch auf dem virtuellen Podium vertreten war –, berichtet nun über die Veranstaltung. Weitere Referentinnen und Referenten waren unter anderem Benjamin Adjei, Sprecher der Grünen für Digitalpolitik im bayerischen Landtag; Daniel Kleffel, Präsident des Landesamts für Sicherheit in der Informationstechnik (LSI) sowie Manuel Atug von der AG KRITIS. Zielgruppe des Fachgesprächs waren kommunale Entscheider und Mitarbeiter der Kommunalverwaltungen. Rund hundert Teilnehmer hörten zu und tauschten sich darüber aus, wie sich Kommunen in Bayern gegen Cyber-Attacken wappnen können.
Manuel Atug, Gründer und Sprecher der AG KRITIS, die sich der Versorgungssicherheit der Bevölkerung verschrieben hat, berichtete über die Vorfälle im Landkreis Anhalt-Bitterfeld in Sachsen-Anhalt. Dort musste infolge des Cyber-Angriffs auf die Kreisverwaltung im Juli 2021 der Katastrophenfall ausgerufen werden. Mehrere Server des Landkreises waren mit so genannter Ransomware infiziert worden, nach Zahlung eines Lösegelds sollten diese wieder freigegeben werden, der Landkreis lehnte die Geldzahlung aber ab. Daraufhin konnte der Landkreis viele Dienstleistungen nicht mehr erbringen. Erst mit neu aufgebauten IT-Strukturen und BSI-Unterstützung stellte die Behörde nach über einem halben Jahr die Arbeitsfähigkeit der Verwaltung wieder her.

Awareness ist wichtig, fehlt aber oft in kleinen Kommunen

Bei den Referenten herrschte Einigkeit darüber, dass Cyber-Kriminelle auch in kleineren Kommunen jederzeit zuschlagen könnten, so der AKDB-Bericht. Umso wichtiger seien die organisatorische und technische Security Awareness der Mitarbeiter, die entsprechend sensibilisiert werden müssten. Zielgruppen von Awareness-Maßnahmen müssten alle Ebenen sein, von den Sachbearbeitern bis hin zur Amtsleitung. Entscheidend sei, so war man sich einig, dass alle bayerischen Kommunen unabhängig von ihrer Größe über ein gewisses Maß an Basissicherheit im IT-Bereich verfügen müssten. Kommunale Netze könne man Stress- oder Penetrationstests unterziehen, um gerade Nicht-Fachleuten die Notwendigkeit einer wirksamen Informationssicherheit zu verdeutlichen. Viele Kommunen hätten aber noch erhebliche Schwierigkeiten, die erforderlichen Maßnahmen umzusetzen.
Regina Reitenhardt, Geschäftsführerin der Gesellschaft für kommunalen Datenschutz (GKDS), berichtete, dass in kleineren Kommunen vielen Gemeinderatsmitglieder das LSI ebenso unbekannt sei wie das Thema IT-Sicherheit. Dabei könne man schon mit der Erstellung eines Informationssicherheitskonzepts vielen Gefahren präventiv entgegenwirken, neben der Sensibilisierung der Mitarbeiter seien das ein funktionierendes Notfall-Management sowie der Schutz vor Schad-Software.

AKDB bietet pragmatische Hilfe

Auf die zahlreichen Möglichkeiten, die Kommunen zusätzlich zur Verfügung stünden, verwies Heike Leise von der AKDB. Der von den bayerischen kommunalen Spitzenverbänden getragene IT-Dienstleister unterstütze Kommunen beim Thema IT-Sicherheit mit pragmatischen Angeboten, welche die gesetzlichen Mindestanforderungen erfüllen, beim Erlangen einer Sicherheitszertifizierung durch das LSI, mit individuellen Beratungsangeboten sowie mit umfassenden Outsourcing-Konzepten. Auch das Komplett-Outsourcing des IT-Betriebs einer Kommune, wo nicht nur die Fachverfahren, sondern auch ganze IT-Komponenten in das BSI-zertifizierte Rechenzentrum der AKDB ausgelagert werden, sei möglich. Perspektivisch sollten Kommunen ihre IT-Lösungen flexibel und sicher aus der Cloud beziehen können.
Der Sprecher der bayerischen Landtagsgrünen für kommunale Fragen, Johannes Becher, appellierte als Gastgeber an die Vertreter der Kommunen, dass es gelte, Prävention zu betreiben – gerade in Zeiten der erhöhten abstrakten Gefährdungslage seit Beginn des Ukraine-Krieges. Zudem sollten Kommunen jetzt tätig werden in puncto Informationssicherheit: Prävention sei besser und günstiger als Schadensbewältigung.