Nachrichten über zahlreiche IT-Vorfälle mit und ohne Datenabfluss, Ransomware-Angriffe und kritische Sicherheitslücken sind mittlerweile Alltag. Im Fokus der Berichterstattung stehen dabei meist folgenschwere IT-Sicherheitsvorfälle, etwa bei großen Unternehmen oder Bundesbehörden.

Diesmal soll sich der Blick aber auf die Kommunen richten. Das Projekt „Kommunaler Notbetrieb“ erfasst öffentlich zugängliche Informationen und Nachrichten über IT-Sicherheitsvorfälle in Kommunalverwaltungen und macht sie übersichtlich und strukturiert zugänglich. Es ist ein privater Vorstoß, um ein kommunales Lagebild zu erstellen.

Aber warum gibt es denn von Bund und Ländern keine strukturierte staatliche Erfassung solcher IT-Vorfälle? Das fragen wir Jens Lange, der „Kommunaler Notbetrieb“ betreibt. Wir wollen außerdem wissen, wie man bei seinem Projekt mitmachen kann.

Jens Lange arbeitet als Informationssicherheitsbeauftragter bei der Stadtverwaltung Kassel. Er ist Gründungsmitglied des Arbeitskreises Informationssicherheit des Deutschen Städtetages und Leiter der Arbeitsgruppe kommunale Basis-Absicherung, die 2022 das gleichlautende IT-Grundschutz-Profil erstellt und weiterentwickelt hat.

Kommunale IT-Vorfälle

netzpolitik.org: Wie bist du auf die Idee gekommen, das Projekt „Kommunaler Notbetrieb“ über Vorfälle im Bereich der IT-Sicherheit zu starten?

Jens Lange: Entstanden ist es aus einer Community-Initiative: Kommunale Informationssicherheitsbeauftragte sind deutschlandweit ziemlich gut vernetzt. Wir tauschen Erfahrungen und Wissen aus, es gibt Veranstaltungen und Arbeitsgruppen. Aus dieser sehr aktiven Community heraus entstand der Gedanke, dass mit der Wahrnehmung, dass es auf der kommunalen Ebene zu IT-Sicherheitsvorfällen kommt, etwas nicht stimmt. Denn das sind keine Einzelfälle, sondern dahinter steht ein strukturelles Problem.

Wir haben angefangen, die IT-Vorfälle zu sammeln, erst in einer internen Liste. Aber das bringt wenig, wenn es niemand mitbekommt. Ich habe dann eine Webpräsenz angefangen, um diese Vorfälle öffentlich darzustellen, auch als geographische Karte. Auf dieser Basis habe ich begonnen, die ersten Fälle zu dokumentieren. Später kamen kurze Abrisse dazu: Was ist bei dem IT-Vorfall eigentlich passiert, mit Verlinkung zur öffentlichen Berichterstattung, die in den Medien stattfindet.

netzpolitik.org: Seit wann werden die Vorfälle öffentlich dokumentiert?

Jens Lange: Das Projekt ist Anfang 2023 gestartet und nach und nach gewachsen in Qualität und Umfang. Es gibt jetzt mehr Menschen, die mir zuarbeiten und mich informieren, und mehr Recherchen für aktuelle Fälle, die in der deutschlandweiten Medienwelt vielleicht nur in einer Lokalzeitung auftauchen.

netzpolitik.org: Was dokumentierst du bei einem IT-Vorfall?

Jens Lange: Ich versuche, die Fälle einzufangen, zu dokumentieren und auch nachzuhalten. Ich betrachte die IT-Vorfälle nicht nur im Schlaglicht des Entstehens, sondern soweit verfügbar auch im weiteren Verlauf. Deswegen ist es ein wachsendes Projekt.

Es kamen auch neue Parameter dazu: die Größenklassen der Kommunen oder der Auswirkungsgrad, den ich definiert habe und der den Vorfall einordnen soll. Es ist ein Community-Projekt und ich glaube, es kommt auch jenseits unserer Nische gut an.

Öffentliche Informationsquelle

netzpolitik.org: Zu jedem IT-Sicherheitsvorfall gibt es also eine kurze Beschreibung und es sind Links angegeben, um die Berichterstattung nachvollziehen zu können. Dann gibt es aber auch den von dir eben erwähnten Auswirkungsgrad. Du sortierst die Vorfälle dadurch nach ihrer Schwere ein. Welche Kategorien des Auswirkungsgrads gibt es?

Jens Lange: Es gibt vier Kategorien: gering, mittel, hoch, sehr hoch. Ganz selten sind Fälle mit der Einstufung gering. Das hat natürlich viel damit zu tun, dass diese Vorfälle wenig in den öffentlichen Medien auftauchen. Denn je höher der Grad der Auswirkung ist, umso umfangreicher wird natürlich auch die Berichterstattung. Die zwei Beispiele Südwestfalen-IT und Landkreis Anhalt-Bitterfeld zeigen, dass bei einem sehr hohen Auswirkungsgrad die Medienberichterstattung entsprechend nach oben schnellt. Deswegen ist der Auswirkungsgrad auch ein Zerrbild. Aber es ist das, was an Informationen öffentlich verfügbar ist.

netzpolitik.org: Gibt es denn andere öffentliche Informationsquellen für kommunale Informationssicherheit?

Jens Lange: Das war ja die Ausgangslage: Es gibt eben kein kommunales Lagebild zur Informationssicherheit. Was viele kritisieren: Die Kommunen sind in der Zuständigkeit der Länder, da backt jedes Land sozusagen seine eigenen Brötchen. Es gibt keine strukturierte Erfassung von Meldevorgängen auf der Kommunal-Ebene und auch keine übergreifenden Meldepflichten für Kommunen. Doch wenn man nicht weiß, was eigentlich passiert, dann sind natürlich auch die Möglichkeiten eingeschränkter, dagegen zu agieren.

Das BSI als übergeordnete Zentralstelle

netzpolitik.org: Eine Community hilft, damit man weniger Vorfälle verpasst. Was denkst du, wie viel dir trotzdem entfleucht, vielleicht weil die IT-Vorfälle übersehen oder gar nicht berichtet werden?

Jens Lange: Das ist natürlich schwer zu ermitteln. Aber es gibt einen Anhaltspunkt: Anfang 2025 gab es eine Kurzmeldung, dass im Jahr 2024 in Hessens „CyberCompetenceCenter“ 21 Kommunen eine Cyberattacke gemeldet hätten. Ich habe das verglichen mit dem, was ich erfasst hatte: Ich hatte in diesem Zeitraum in Hessen drei Vorfälle, die öffentlich auch berichtet wurden. Ob man diese Zahl auf die gesamten erfassten Vorfälle abstrahieren kann, weiß ich nicht, aber es ist zumindest ein Anhaltspunkt. Klar ist, dass nicht alles bei mir aufläuft.

netzpolitik.org: Du hast eben schon angesprochen, dass kein bundesweites kommunales Lagebild erhoben wird. Es gibt aber mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Behörde, die durchaus Lagebilder erstellt, nur eben keine auf den kommunalen Bereich bezogen. Würdest du fordern, dass ein solches Lagebild vom BSI erhoben werden sollte, um zum Beispiel bestimmte Erkenntnisse daraus abzuleiten? Oder wäre es auch okay, wenn die Länder das für sich ordentlich erstellen würden?

Jens Lange: Ich vertrete konsequent die Position von BSI-Chefin Claudia Plattner, die das BSI als übergeordnete Zentralstelle sieht. Es ergibt ja keinen Sinn, dass sechzehn Bundesländer für sich einen Lagebericht oder eine Analyse machen. Denn wir wissen ja alle, dass IT-Vorfälle eben nicht länderspezifisch sind. Daher sollte das Wissen zusammenfließen und zentral übergreifend ausgewertet werden. Es gibt zwar das BSI-Referat „Sicherheitsberatung für Länder und Kommunen“, die auch engagiert unterwegs sind und die Kommunen unterstützen. Aber sie haben nur einen begrenzten Handlungsspielraum, weil die Länder eben für die Kommunen zuständig sind.

Was für mich noch ganz wichtig ist: Es müsste auch einen Rückkanal geben. Es ergibt keinen Sinn, dass die Kommunen nur Fälle melden, aber keine Informationen als Rückmeldung bekommen, was denn die Erkenntnisse daraus sind.

netzpolitik.org: Es sollte also auch Handlungsempfehlungen geben?

Jens Lange: Ja, es gilt vor allem zu überwinden, dass jedes Bundesland im Bereich der Informationssicherheit anders unterwegs ist. Es gibt in kaum einem Bundesland eine Meldepflicht für die Kommunen. Das gibt es zwar bei Datenschutzverstößen, aber das ist eine andere Kategorie und umfasst nicht alle Aspekte in der Informationssicherheit.

Endlich Meldepflichten

netzpolitik.org: Eine Meldepflicht oder jedenfalls eine Form von strukturierter Erfassung wäre eine Forderung von dir?

Jens Lange: Ja, seit mindestens 2013 wurde das versäumt. Mit der Leitlinie Informationssicherheit für die öffentliche Verwaltung des IT-Planungsrates wurde seitdem den Kommunen Informationssicherheit immer nur empfohlen. Das ist bis heute eigentlich immer noch der Fall. Denn man scheut sich einfach, Mindeststandards und verpflichtende Vorgaben zu machen.

netzpolitik.org: Was sind Trends, die du aus den Daten erkennst, die du schon eine längere Zeit erhoben hast? Nehmen IT-Sicherheitsvorfälle in Kommunen eher zu, sind sie gleichbleibend oder nehmen sie ab? Und wie ändert sich die Art der Vorfälle?

Jens Lange: Die Betrachtung der letzten zehn Jahre ist nur ein Teilausschnitt der gesamten Realität: eben die Fälle, über die berichtet wurde und die ich wahrgenommen habe. In den letzten zehn Jahren habe ich 183 IT-Sicherheitsvorfälle mit 693 betroffenen Kommunen ermittelt. Wenn man jetzt darauf blickt, was passiert ist, dann gibt es einen ziemlich starken Ausschlag seit 2023. Bis 2020 hatten wir zehn oder weniger Vorfälle pro Jahr und in gleicher Größenordnung auch betroffene Kommunen. Im Jahr 2021 waren es schon 32 Vorfälle mit 47 Kommunen. Im Jahr 2022 gingen die Zahlen etwas zurück. Dann hatten wir 2023 39 Vorfälle mit 192 betroffenen Kommunen.

netzpolitik.org: Was ist aus deiner Sicht der Grund für diese steigenden Zahlen?

Jens Lange: Dass die Anzahl der betroffenen Kommunen stark nach oben gegangen ist und sich eine Schere zwischen der Anzahl der Vorfälle und den betroffenen Kommunen geöffnet hat, dürfte viel damit zu tun haben, dass die kommunalen Zweckverbände und die IT-Dienstleister der Kommunen mehrfach betroffen waren. Das hat sich im Jahr 2024 fortgesetzt, mit 200 betroffenen Kommunen und 34 Vorfällen.

Jetzt im Jahr 2025 haben wir Anfang August bereits 200 betroffene Kommunen mit 25 Vorfällen. Es ist also zu erwarten, dass wir dieses Jahr einen neuen Spitzenwert erreichen, zumindest in Hinblick auf die Anzahl der betroffenen Kommunen.

netzpolitik.org: In der kommerziellen Welt der Unternehmen gibt es eine Zunahme von Ransomware-Angriffen, also Versuche, etwas zu erpressen. Ist diese Zunahme in den Kommunen genauso sichtbar?

Jens Lange: Ich denke schon. Die Kommunen stehen aber nicht in einem engeren Fokus, sondern sie sind betroffen, weil mit der Schrotflinte ins Internet geschossen wird, um zu gucken, wo Treffer sind. In den letzten Jahren hatten wir es aber auch gezielter mit Vorfällen im Bereich DDoS-Angriffe auf kommunaler Ebene zu tun, auch auf Länderebene. Aber das ist eine eigene Kategorie, weil diese Angriffe oft politisch motivierte Aktivitäten sind, die darauf zielen, eine Einrichtung der öffentlichen Verwaltung anzugreifen. Bei den Ransomware-Angriffen sind die Kommunen eher Zufallstreffer.

netzpolitik.org: Gibt es noch weitere Störungen und Angriffe, die spezifisch kommunal sind und sonst nicht so häufig vorkommen, sich aber besonders gegen Kommunen richten?

Jens Lange: Nach meiner Wahrnehmung nicht, denn wir reden ja über Standardsysteme und -anwendungen, die Schwachstellen haben und die Kommunen besonders empfindlich machen. Denn Kommunen müssen eine große Anzahl von Anwendungen abdecken. Bei Fachanwendungen kommt man auf 150 bis 250 oder auch 300 solcher Anwendungen, die in einer Kommunalverwaltung betrieben werden müssen, natürlich mit einer finanziell und personell schwierigen Ausstattung.

netzpolitik.org: Was lässt sich aus den Daten über die IT-Vorfälle noch ablesen?

Jens Lange: 2023 gab es wie erwähnt mit 192 eine hohe Zahl von betroffenen Kommunen. Davon waren 166 mit externen Angriffen konfrontiert. Der Rest waren Störungen bei Software oder Hardware, in lediglich 20 Fällen. Im Jahr 2024 hat eine Umkehrung stattgefunden: Es ist zu verzeichnen, dass wir bei Störungen von Software oder Hardware nun 176 Fälle haben, und nur noch zwölf Fälle, die externen Angriffen zuzuordnen waren. Dieser Trend verstetigt sich auch im Jahr 2025: Im Moment haben wir 127 Störungen bei Software oder Hardware und 58 externe Angriffe. Ein ausschlaggebender Faktor dafür könnte sein, dass wir im Rahmen der Digitalisierung auch mehr IT-Abhängigkeit haben. Wenn Hardware oder Software ausfällt, hat das entsprechend größere Wirkung.

Wer müsste handeln?

netzpolitik.org: Wer trägt aus deiner Sicht für Angriffe und IT-Störungen die Verantwortung und welche strukturellen Fehler stehen dahinter? Wer müsste handeln, um die Situation zu verbessern?

Jens Lange: Ich sehe es als einen wesentlichen Punkt an, dass wir Regelungen und gesetzliche Mindeststandards für die Kommunen definieren müssen, um sie auf den Weg zu bringen. Man kann zwar nicht per Gesetz IT-Sicherheit erzeugen. Aber wir reden über die öffentliche Verwaltung, die nach Recht und Gesetz handelt. IT-Sicherheit darf nicht nur „nice to have“ sein.

Ein Beispiel: Wenn es etwa darum geht, ob die Turnhalle in der Kommune einen neuen Boden bekommt oder die Verwaltung eine neue Firewall, dann entscheiden sich Politiker natürlich oftmals für die Turnhalle, weil sie sich damit anders nach außen darstellen können als mit einer neuen Firewall, von der erstmal keiner was mitbekommt.

netzpolitik.org: Die Firewall ist nicht griffig, kann sich kaum einer vorstellen, während man auf dem neuen Boden stehen kann.

Jens Lange: Genau. Doch es geht eigentlich um digitale Dienstleistungen, die Bürgerinnen und Bürger in Anspruch nehmen müssen, wo sie bei IT-Vorfällen unter Umständen Tage oder Wochen darauf warten müssten – bis hin zu Sozialleistungen oder Gesundheitsvorsorge, um nur zwei Bereiche zu nennen. Dann werden die Auswirkungen greifbarer. Deswegen denke ich, dass ein Schlüssel Mindeststandards sind, die für die Kommunen gelten sollten. Idealerweise sollte es kein Flickenteppich mit sechzehn verschiedenen Regelungen und Varianten sein, sondern gemeinsame Mindeststandards.

netzpolitik.org: Gibt es weitere Ideen, um eine Verbesserung herbeizuführen?

Jens Lange: Den Aspekt der Meldepflichten hatte ich schon erwähnt. Das muss nicht jede kleine Störung sein, sondern größere Vorfälle und Störungen. Wünschenswert wäre es auch, wenn die Kommunen verpflichtet wären, zumindest einen Ansprechpartner für das Thema zu benennen. Das muss noch nicht ein Informationssicherheitsbeauftragter sein, aber ein Mensch, der ansprechbar für das Thema wäre. In einer Stellungnahme an den Schleswig-Holsteinischen Landtag zu dessen „Bericht über die Cybersicherheit unserer Infrastruktur“ habe ich auch noch weitere Aspekte benannt.

netzpolitik.org: Nun hat sich die Bundesregierung im Koalitionsvertrag die „digitale Souveränität“ auf die Fahnen geschrieben. Wenn man diese Idee runterbricht auf die einzelne Kommune, mit ihren Möglichkeiten, mit ihrem Personal. Kommt einem diese Debatte um die digitale Souveränität nicht manchmal ein bisschen hohl vor?

Jens Lange: Sie ist ein stückweit wirkungslos. Ich hatte es vorhin schon mal erwähnt: Die Kommunen sind mit einer Vielzahl von Fachanwendungen aus ganz unterschiedlichen Bereichen konfrontiert. Die größten Probleme in der digitalen Souveränität sind die Abhängigkeiten, die es auf der kommunalen Ebene bei Fachverfahren und entsprechenden Anbietern gibt. Das ist nicht nur bezogen auf die großen Konzerne dieser Welt, also etwa das Betriebssystem Windows oder die Textverarbeitung mit Microsoft Office. Es ist auch im Kleinen das Fachverfahren, was deutschlandweit vielleicht nur marktführend von einem Anbieter angeboten wird. Auch dort haben wir strukturell dieselben Probleme, auch wenn das eine andere Dimension hat. Aber auch dort wird deutlich, dass Kommunen in Abhängigkeiten geraten, weil sie kaum andere Handlungsspielräume haben. Denn was nützt die Funktionalität eines alternativen Office-Systems, wenn Fachverfahrenshersteller nicht gewillt sind oder nicht die Möglichkeit haben, Anbindungen an diese alternativen Office-Systeme zu realisieren.

Was der Praktiker empfiehlt

netzpolitik.org: Was würde der Praktiker in dir hier empfehlen?

Jens Lange: Es wäre unterstützend, wenn es Verfahren gäbe, die der Bund deutschlandweit für die Kommunen anbietet. Die Kommunen erledigen für den Bund ja eine Reihe von Verfahren, sei es im Meldewesen, sei es im Bereich Führerscheinwesen. Entlastung entsteht, wenn Bund und Länder gemeinsame Standard-Bausteine bereitstellen und „Einer für Alle“-Leistungen zentral betreiben: ein Login, ein Postfach, einheitliche Schnittstellen und wiederverwendbare Fachverfahren. Kommunen schließen an, statt alles selbst zu bauen.

netzpolitik.org: Hinter deinem Projekt steckt eine Menge Engagement. Wirst du die Dokumentation in absehbarer Zeit weiter betreiben?

Jens Lange: Ziel des Projekts ist es ja, dass es abzuschalten wäre.

netzpolitik.org: Okay, aber vielleicht nicht gleich dieses Jahr? lacht

Jens Lange: Nein, dieses Jahr glaube ich nicht daran. Aber im Ernst: Ich verfolge das Ziel, dass damit Transparenz und Offenheit und eine andere Wahrnehmung erzeugt wird. Ein kommunales Lagebild soll dazu beitragen. Natürlich wünsche ich mir das in Zukunft in einer viel besseren Qualität und Tiefe, als ich das leisten kann, und zwar damit sich die Gesamtsituation für die kommunale Ebene verbessert.

netzpolitik.org: Gibt es eine Art, wie man sich an deinem Projekt beteiligen könnte? Kann man mithelfen?

Jens Lange: Ja, natürlich gibt es Unterstützungsmöglichkeiten. Ich finanziere das Projekt selber, das ist kein großer Aufwand und ich erhebe nicht den Anspruch einer Refinanzierung. Aber es gibt natürlich Unterstützungsmöglichkeiten im Hinblick zum Beispiel auf das Melden von Vorfällen. Es hilft auch, Erkenntnisse und Darstellungen weiter zu verbreiten. Die meistgenutzte Seite ist ja die Übersichtskarte, die immer wieder in Vorträgen oder in anderen Medien auftaucht. Dafür soll sie auch genutzt werden, denn die Verbreitung ist ja ein Ziel.

Diese Übersichtskarte bietet durch ein kleines Plus-Symbol oben rechts auch die Möglichkeit, Vorfälle zu melden. Mit einem Link auf eine öffentliche Berichterstattung und einem Hinweis, wo das stattgefunden hat, kann jeder unterstützen. Das hilft, um weitere Vorfälle aufzunehmen und natürlich auch zu dokumentieren, dass die Sicherheitsvorfälle in Kommunen keine Einzelfälle, sondern Strukturprobleme sind.

netzpolitik.org: Vielen Dank für deine Zeit und die Beantwortung der Fragen!