Wenn das Rathaus offline geht – Cybersicherheit als Führungsaufgabe in Kommunen und kommunalen Unternehmen

Was wie ein Drehbuch klingt, ist für zahlreiche deutsche Kommunen bereits Realität geworden: Ein Landkreis musste wegen eines Cyberangriffs bereits den Katastrophenfall ausrufen, und der Angriff auf einen kommunalen IT-Dienstleister legte die Verwaltungen von über 70 Kommunen über Monate lahm. Auch Stadtwerke, Verkehrsbetriebe, Krankenhäuser und Entsorger stehen regelmäßig im Fokus von Angreifern.

Die Botschaft ist eindeutig. Es geht nicht mehr um die Frage, ob eine Kommune oder ein kommunales Unternehmen angegriffen wird, sondern wann und wie gut sie darauf vorbereitet ist und wie gut sie davor geschützt ist.

Als PDF lesen:

Jetzt hier
herunterladen  »

Warum gerade Kommunen im Visier stehen

Kommunen und ihre Unternehmen vereinen mehrere Eigenschaften, die sie für Angreifer attraktiv machen. Sie verarbeiten große Mengen sensibler personenbezogener Daten, sie betreiben kritische Versorgungsleistungen (KRITIS-Dienstleistung), deren Ausfall unmittelbar spürbar ist, und sie stehen unter hohem öffentlichen Druck, den Betrieb schnell wiederherzustellen. Gleichzeitig treffen historisch gewachsene IT-Landschaften, knappe Haushaltsmittel und Fachkräftemangel auf eine zunehmende Vernetzung durch die Digitalisierung der Verwaltung, das Onlinezugangsgesetz und smarte Infrastrukturen.

Hinzu kommt, dass Verantwortung oft diffus verteilt ist. Zwischen Kernverwaltung, Eigenbetrieben, Zweckverbänden, kommunalen Rechenzentren und externen Dienstleistern ist häufig nicht eindeutig geregelt, wer für welche Anwendungen, Systeme und Schnittstellen sowie die entsprechend erforderlichen Cybersicherheits- und Notfallmaßnahmen zuständig ist.

Genau in diese Lücken bewegen sich Angreifer hinein.

Der regulatorische Rahmen zieht an

Mit dem NIS-2-Umsetzungsgesetz, das im Dezember 2025 in Kraft getreten ist, hat der Bund die europäischen Vorgaben zur Netz- und Informationssicherheit ohne Übergangsfrist in nationales Recht überführt. Betroffen sind neben Betreibern kritischer Anlagen nun deutlich mehr Einrichtungen in 18 Sektoren, darunter Energie, Wasser, Abwasser, Abfallwirtschaft, Verkehr, Gesundheit und digitale Infrastruktur. Viele Stadtwerke, Versorger, Entsorgungsbetriebe und Verkehrsunternehmen fallen damit als „wichtige“ oder „besonders wichtige Einrichtungen“ unter das Gesetz, teilweise auch als rechtlich unselbständige Organisationseinheiten einer Gebietskörperschaft.

Die Pflichten sind konkret. Dazu zählen die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI), ein risikobasiertes Informationssicherheitsmanagement mit Maßnahmen unter anderem zu Risikoanalyse, Backup, Lieferkettensicherheit und Multifaktor-Authentifizierung, gestufte Meldepflichten bei erheblichen Sicherheitsvorfällen (24 Stunden Frühwarnung, 72 Stunden Bericht, Abschlussbericht nach einem Monat) sowie eine ausdrückliche Verantwortung der Geschäftsleitung, die Maßnahmen zu billigen, zu überwachen und sich selbst regelmäßig zu schulen. Verstöße können mit empfindlichen Bußgeldern belegt werden.

Die kommunale Kernverwaltung ist auf Bundesebene zwar weitgehend ausgenommen. Doch die Länder ziehen mit eigenen Regelungen nach, das BSI hat im Frühjahr 2026 erstmals konkrete Orientierung für Kommunen veröffentlicht, und das KRITIS-Dachgesetz ergänzt die IT-Sicherheit um Anforderungen an die physische Resilienz. Unabhängig von der formalen Betroffenheit definieren die gesetzlichen Vorgaben einen „Stand der Technik“, an dem sich Aufsicht, Prüfer, Versicherer und im Schadensfall auch Gerichte orientieren werden.

Vom Papier in die Praxis: Wo es typischerweise hakt

In unserer Prüfungs- und Beratungspraxis begegnen uns immer wieder ähnliche Befunde:

• Fehlende Transparenz über die eigene Betroffenheit. Viele kommunale Unternehmen haben noch nicht belastbar geprüft, ob und in welcher Kategorie sie unter NIS-2 fallen und welche Beteiligungen oder Betriebsteile mit betroffen sind. Achtung: Auch die evtl. Feststellung einer „Nicht-Betroffenheit“ muss nachweisbar dokumentiert werden.
• Informationssicherheit als reines IT-Thema. Solange Cybersicherheit im Serverraum verortet wird, fehlen Steuerung, Budget, Rückhalt und nicht zuletzt auch die verpflichtende Kontrolle durch Verwaltungsspitze, Geschäftsführung, Aufsichtsrat und Gemeinderat.
• Notfallpläne, die im Ernstfall nicht greifen. Business-Continuity- und Wiederanlaufpläne existieren häufig nur auf dem Papier, wurden nie geübt oder berücksichtigen nicht, dass im Angriffsfall E-Mail, Telefonie und Aktenzugriff gleichzeitig ausfallen.
• Blinde Flecken bei Dienstleistern und Lieferketten. Kommunale Rechenzentren, Softwareanbieter und Fernwartungszugänge sind zentrale Einfallstore, wenn vertragliche Regelungen, Kontrollrechte und regelmäßige Überprüfungen fehlen oder nicht ausreichend ernst genommen werden.
• Unklare Verantwortlichkeiten und Haftungsrisiken. Wer die Sicherheitsstrategie nicht dokumentiert, freigibt und überwacht, setzt sich persönlich Vorwürfen aus. Dieser Aspekt gewinnt auch für die Prüfung der Ordnungsmäßigkeit der Geschäftsführung an Bedeutung.

Was Verantwortliche jetzt tun sollten

Cyberresilienz entsteht nicht durch ein einzelnes Produkt, sondern durch ein strukturiertes Vorgehen. Bewährt hat sich ein Dreiklang aus Standortbestimmung, Priorisierung und Verankerung in der Organisation.

1. Betroffenheit und Ausgangslage klären. Welche Einheiten der kommunalen Familie fallen unter NIS-2, KRITIS-Dachgesetz oder landesrechtliche Vorgaben? Wo steht das Informationssicherheitsmanagement heute, gemessen an BSI IT-Grundschutz, ISO 27001 oder dem für Kommunen entwickelten Standard ISIS12 / CISIS12?
2. Risiken bewerten und Maßnahmen priorisieren. Nicht alles ist gleich dringend. Eine risikobasierte Analyse zeigt, welche Prozesse und Systeme geschäftskritisch sind, wo die größten Lücken bestehen und welche Maßnahmen den größten Sicherheitsgewinn pro eingesetztem Euro bringen.
3. Governance schaffen und den Ernstfall üben. Klare Rollen, ein Berichtsweg bis zur Leitungsebene, definierte Meldeprozesse und regelmäßige Krisenübungen machen den Unterschied zwischen einem beherrschbaren Vorfall und einem wochenlangen Stillstand.
4. Dienstleister und Beteiligungen einbinden. Sicherheitsanforderungen gehören in Verträge, Beteiligungsberichte und die Berichterstattung an Aufsichtsgremien. Aber – Papier ist geduldig. Es versteht sich von selbst, dass (risikoorientiert) auch direkte Prüfungen u.a. bei Dienstleistern durchgeführt werden müssen.
5. Nachweisbarkeit sicherstellen. Aufsichtsbehörden, Rechnungsprüfung, Versicherer und Abschlussprüfer erwarten dokumentierte, überprüfbare Prozesse. Ein prüfungsfähiges Sicherheitsmanagement schützt nicht nur die Systeme, sondern auch die handelnden Personen.

Unser Angebot: Cybersicherheit interdisziplinär gedacht

Cybersicherheit im öffentlichen Sektor ist eine Querschnittsaufgabe aus Recht, Organisation, Technik und Prüfung. Genau hier setzt unser interdisziplinärer Ansatz an.

Wir unterstützen Kommunen und kommunale Unternehmen unter anderem bei

• der Prüfung der Betroffenheit nach NIS-2, KRITIS-Dachgesetz und Landesrecht sowie der Registrierung beim BSI,
• der Standortbestimmung und Reifegradanalyse Ihres Informationssicherheitsmanagements,
• dem Aufbau oder der Weiterentwicklung eines Information Security Management System (ISMS) nach BSI IT-Grundschutz, ISO 27001 oder ISIS12 / CISIS12,
• der Entwicklung und Erprobung von Notfall- und Krisenmanagementkonzepten,
• IT-Prüfungen und Prüfungen nach IDW PS 330 / IDW PS 951 im Rahmen der Jahresabschlussprüfung sowie
• der Beratung von Verwaltungsspitze, Geschäftsführung und Aufsichtsgremien zu Verantwortlichkeiten, Berichtspflichten und Haftungsfragen.

Ob Sie am Anfang stehen oder ein bestehendes Sicherheitskonzept auf den Prüfstand stellen möchten, sprechen Sie uns gerne an. In einem unverbindlichen Erstgespräch klären wir gemeinsam, wo Ihre Organisation steht und welche nächsten Schritte für Sie sinnvoll sind.

Aus dem Newsletter
„Fokus Public Sector“ Hier Newsletter
abonnieren