Mitarbeiterin der Stadtverwaltung Remseck am Neckar beim digitalen Escape Game zur Cybersicherheit

Beim digitalen Escape Game der Stadtverwaltung Remseck am Neckar wird das Bewusstsein für Informationssicherheit realitätsnah gestärkt.

Cybersicherheit in Kommunen: Der Schutz beginnt und endet beim Menschen

Cybersicherheit in Kommunen lebt vom Bewusstsein der Mitarbeitenden. Die Stadtverwaltung Remseck am Neckar setzt dafür auf kreative Lernformate statt trockener Schulungen. Unsere Gastautorin Jiline Höfliger zeigt, wie aus einem Pflichtthema gelebte Sicherheit wird.

Informationssicherheit wird häufig zuerst mit Technik verbunden: Firewalls, Virenschutz oder Backups. Im Arbeitsalltag zeigt sich jedoch immer wieder, dass der Mensch eine entscheidende Rolle spielt. Phishing-Mails, unsichere Passwörter oder unbedachte Klicks lassen sich nicht allein technisch verhindern. Deshalb haben wir im Fachbereich Zentrale Steuerung der Stadtverwaltung Remseck am Neckar in den vergangenen Jahren verschiedene Maßnahmen entwickelt und umgesetzt, um das Sicherheitsbewusstsein unserer Mitarbeitenden nachhaltig zu stärken.

Dabei war uns von Anfang an wichtig, Informationssicherheit nicht als abstraktes IT-Thema zu vermitteln, sondern als selbstverständlichen Bestandteil des Arbeitsalltags. Eine einmalige Pflichtschulung reicht dafür nicht aus. Awareness lebt von regelmäßigen Impulsen, praxisnahen Beispielen und Formaten, die Interesse wecken und im Gedächtnis bleiben.

Digitales Escape Game vermittelt Cybersicherheit praxisnah

Ein digitales Escape Game ist ein besonderes Projekt, das auf große Resonanz gestoßen ist. Ursprünglich wurde das Spiel als Angebot für den Tag der offenen Tür vollständig selbst entwickelt. Danach kristallisierte sich heraus, dass das Spiel nach kleinen Anpassungen auch einen großen Mehrwert innerhalb der Verwaltung bieten kann. So entstand ein neues Format, um Informationssicherheit einmal anders zu vermitteln als in einer klassischen Schulung.

Die Geschichte des Spiels: Bei einem Cyberangriff wurden die Daten der Stadt verschlüsselt. Die Spielenden erhalten Zugriff auf einen alten Administrator-PC und müssen mehrere Rätsel lösen, um die Daten wiederherzustellen. Das Spiel dauert rund 15 Minuten und kann vollständig digital durchgeführt werden. Hinter den einzelnen Rätseln verbergen sich Themen wie Passwortsicherheit, Phishing, Netzwerkarchitektur und Verschlüsselung. Das Wissen wird dabei nicht nur vermittelt, sondern muss direkt angewendet werden. Besonders gefreut hat uns, dass die Mitarbeitenden das Escape Game nicht als klassische Schulung wahrgenommen haben, sondern als spannende Herausforderung. Die Rückmeldungen zeigten, dass Inhalte auf diese Weise deutlich besser im Gedächtnis bleiben als nach einer reinen Präsentation.

Phishing-Simulationen und Sicherheitstipps im Arbeitsalltag

Neben diesem besonderen Format setzen wir auf weitere Maßnahmen, die über das gesamte Jahr verteilt stattfinden. Dazu gehören regelmäßige Informationsbeiträge im Intranet mit kurzen Sicherheitstipps sowie Hinweise zu aktuellen Betrugsmaschen und Bedrohungslagen. Gerade wenn neue Phishing-Kampagnen oder Sicherheitsvorfälle bekannt werden, erhalten die Mitarbeitenden zeitnah praxisnahe Informationen mit konkreten Handlungsempfehlungen. Auch auf der Mitarbeiterversammlung informieren wir über Entwicklungen und Maßnahmen.

Ein weiterer Baustein sind Phishing-Simulationen, die wir selbst durchführen und dadurch kostenneutral umsetzen können. Sie ermöglichen es, verdächtige E-Mails unter realitätsnahen Bedingungen zu erkennen und richtig darauf zu reagieren. Dabei steht ausdrücklich nicht die Kontrolle einzelner Mitarbeitenden im Vordergrund. Die Simulationen bieten einen geschützten Rahmen, um Erfahrungen zu sammeln und anschließend gemeinsam daraus zu lernen. Die Ergebnisse helfen uns dabei, Themenschwerpunkte für zukünftige Schulungen zu identifizieren und unsere Awareness-Angebote kontinuierlich weiterzuentwickeln. Auffällig war außerdem, dass nach den ersten Simulationen deutlich häufiger verdächtige E-Mails gemeldet wurden.

Cybersicherheit als Gemeinschaftsaufgabe in der Verwaltung

Zudem gibt es speziell für die Auszubildenden einen Workshop zur Cybersicherheit. Dort werden Grundlagen gemeinsam erarbeitet und anhand konkreter Beispiele aus dem Verwaltungsalltag vertieft. Dabei geht es nicht nur um Phishing oder Passwortsicherheit, sondern auch darum, typische Angriffsszenarien zu erkennen und richtig darauf zu reagieren. Die Auszubildenden bearbeiten selbst kleinere Aufgaben und wenden das Gelernte direkt an. Da sie während ihrer Ausbildung viele verschiedene Bereiche kennenlernen, tragen sie das erworbene Wissen in unterschiedliche Organisationseinheiten. Gleichzeitig lernen sie von Beginn an, Informationssicherheit als festen Bestandteil ihres Arbeitsalltags zu verstehen.

Ergänzend gibt es für die Mitarbeitenden digitale Lernangebote. Auf unserer Lernplattform Moodle stehen bereits interaktive Trainings zu Themen wie Passwortsicherheit oder Phishing zur Verfügung. Weitere Module, etwa zum sicheren mobilen Arbeiten, befinden sich in der Entwicklung. Der große Vorteil dieser Form des Lernens besteht darin, dass die Mitarbeitenden die Inhalte zeit- und ortsunabhängig bearbeiten können und die Kurse jederzeit erneut zur Verfügung stehen. Moodle wird bei uns jedoch nicht nur für die Cybersicherheit genutzt. Auch Schulungen zu Künstlicher Intelligenz, zum Dokumentenmanagementsystem enaio oder zu Dienstvereinbarungen werden dort bereitgestellt.

Awareness ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Sicherheitsbewusstsein entsteht nicht durch einzelne Veranstaltungen, sondern durch kontinuierliche Kommunikation und regelmäßige Berührungspunkte im Arbeitsalltag. Genauso wichtig ist eine Kultur, in der Mitarbeitende verdächtige Situationen ohne Bedenken ansprechen und melden können. Eine offene Fehlerkultur trägt wesentlich dazu bei, Sicherheitsvorfälle frühzeitig zu erkennen und Schäden zu vermeiden.

Nicht jede Awareness-Maßnahme muss aufwendig oder teuer sein. Viele unserer Angebote sind mit überschaubarem Aufwand entstanden oder wurden vollständig selbst entwickelt. Bereits regelmäßige Sicherheitstipps, kurze Merkblätter oder kleine Mitmachaktionen können viel bewirken. Entscheidend ist aus unserer Sicht, Informationssicherheit immer wieder in den Arbeitsalltag einzubinden und als Gemeinschaftsaufgabe zu verstehen. Jede erkannte Phishing-Mail, jeder gemeldete Verdacht und jede sicherheitsbewusste Entscheidung im Arbeitsalltag trägt dazu bei, die Resilienz der gesamten Verwaltung zu stärken.