Die öffentliche Verwaltung wird immer häufiger von Cyberkriminellen attackiert. Gerhard Schabhüser vom Bundesamt für IT-Sicherheit sieht bei Kommunen viel Nachholbedarf und empfiehlt zentrale Lösungen.

Videobeitrag

Video

Bild © hessenschau.de

Ende des Videobeitrags

Vor wenigen Monaten legte ein Hackerangriff die Stadtverwaltung von Rodgau (Offenbach) lahm. Noch jetzt haben die Beschäftigten dort mit den Auswirkungen zu kämpfen. Zu derartigen Attacken haben sich am Mittwoch in Wiesbaden IT-Experten aus Wissenschaft, Wirtschaft und den Kommunen zum Cybersicherheitsgipfel getroffen.

Im Interview spricht der stellvertretende Präsident des Bundesamts für Sicherheit in der Informationstechnik (BSI), Gerhard Schabhüser, über die Herausforderungen und Lösungsansätze für Kommunen in IT-Sicherheitsfragen.

hessenschau.de: Wie sieht's denn bei Ihnen zu Hause aus? Wann haben Sie das letzte Mal den Virenscanner aktualisiert, Herr Schabhüser?

Gerhard Schabhüser: Das mache ich niemals selbst. Ich habe den Rechner auf automatisiertes Aktualisieren gestellt, und deswegen brauche ich das nicht mehr zu tun. Und das kann ich wirklich allen nur empfehlen.

hessenschau.de: Viele Kommunen haben Probleme mit ihrer IT-Sicherheit. Von welcher Dimension spricht man dort?

Schabhüser: Wir haben über 10.000 Kommunen und Kreise in Deutschland. Typischerweise ist die IT dort nicht so reif ausgestattet, wie es sein soll. Dann leidet die Informationssicherheit erst recht. Das kann man vermeiden, indem man zentralisiert und standardisiert. Das bringt Synergien und gibt einen hohen Grad an Professionalität.

hessenschau.de: Warum sind gerade die Kommunen so ein attraktives Ziel für Hacker?

Schabhüser: Das ist noch ungeklärt. Anders als in Amerika zahlen Kommunen in Deutschland kein Lösegeld. Es kann sein, dass es sich im weltweiten Cybercrime-Bereich lohnt, öffentliche Verwaltungen zu erpressen. Wir aber empfehlen hierzulande, nicht zu zahlen.

Dennoch haben Attacken eine sehr starke Außenwirkung. Damit wächst die Sensitivität von Unternehmen - nach dem Motto: "Ich wurde gehackt. Vielleicht muss ich doch zahlen."

hessenschau.de: Wie sind die Kommunen in Sachen Cybersicherheit aufgestellt?

Schabhüser: Ich vergleiche da immer zwischen Bund, Länder und Kommunen. Und da sehe ich eine abfallende Tendenz im Bereich der Cybersicherheit. Das liegt auch daran, dass Geld fehlt.

Wir müssen auf der einen Seite mehr investieren, auf der anderen Seite gerne zentralisieren. Es fehlen Fachkräfte. Das kann man durch Zentralisierung stark optimieren.

hessenschau.de: Könnte dann in Hessen ein zentraler Landesbetrieb sinnvoll sein, der als Dienstleister die IT der Kommunen komplett an sich zieht und übernimmt?

Schabhüser: Das ist ein sehr vernünftiger Ansatz! Die Nordländer haben das mit Dataport in Teilen schon so umgesetzt. Die kümmern sich teils um den Bereich IT und die Cybersicherheit. Aber die Gesamtverantwortung bleibt in den Kommunen. Dort muss man immer wissen, wie man mit einer IT-Krise umgeht.

hessenschau.de: Wie kann eine Kommune schon jetzt ihre Cybersicherheit erhöhen?

Schabhüser: Wir haben drei Dimensionen: Die eine ist die Qualität unserer IT-Produkte durch die Hersteller. Die zweite ist die Steuerung von Dienstleistern durch die Kommunen. Sie müssen die Informationssicherheit in ihren Aufträgen fest verankern, also als Lieferleistung sicherstellen. Die dritte Dimension ist Business Continuity Management, also Krisenübungen und Krisenpläne, die auch wirklich gelebt und umgesetzt werden.

hessenschau.de: Wo hapert es da?

Schabhüser: Bezüglich der Aufgaben in den Kommunen sehe ich große Herausforderungen und auch Nachholbedarf: Wir müssen Krisenszenarien planen und auch dringend üben. Und da können wir noch eine große Schippe drauflegen. Da sind wir nicht auf dem Stand der Technik.