Cybersicherheit rückt ins Zentrum der Verwaltung
Ende April trafen sich Vertreterinnen und Vertreter aus Kommunen, Rechenzentren, Ministerien und Sicherheitsbehörden zum 12. Kommunalen IT-Sicherheitskongress der kommunalen Spitzenverbände in Berlin. Die Veranstaltung gilt als einer der wichtigsten Fachkongresse für kommunale Informationssicherheit in Deutschland. Es wurde erneut durch den IT-Planungsrat unterstützt, einem zentralen politischen Steuerungsgremium bei der Digitalisierung der öffentlichen Verwaltung in Deutschland.
Die Ausgangslage ist ernst. Laut dem BSI-Lagebericht 2025 befindet sich die IT-Sicherheitslage in Deutschland weiterhin in einem „angespannten“ und teilweise „besorgniserregenden“ Zustand. Gerade öffentliche Einrichtungen geraten zunehmend ins Visier professioneller Angreifer. Entsprechend groß war der Handlungsdruck, der sich durch viele Vorträge und Diskussionen des Kongresses zog.
Cybersicherheit als Gemeinschaftsaufgabe
Ein zentrales Leitmotiv der Veranstaltung war die interkommunale Zusammenarbeit. Janina Salden, stellvertretende Pressesprecherin des Deutschen Städte- und Gemeindebunds (DStGB), betont, dass Cybersicherheit längst nicht mehr isoliert innerhalb einzelner Verwaltungen gedacht werden könne.
„Kooperation ist kein Nice to have, sondern Voraussetzung für resiliente Strukturen“, sagt Salden. Einzelne Kommunen könnten die steigenden Anforderungen personell und organisatorisch kaum noch allein bewältigen.
Diskutiert wurden deshalb gemeinsame Sicherheits- und Monitoringstrukturen, abgestimmte Notfallprozesse sowie gemeinsame Incident-Response-Ressourcen. Ziel sei es, im Krisenfall auf eingespielte Partner zurückgreifen zu können.
Auch die Zusammenarbeit mit Ländern und Bund müsse weiter gestärkt werden. Nach Ansicht Saldens seien Bund und Länder gefordert, Informationen über Bedrohungen und Angriffe besser zu bündeln und schneller an die Kommunen weiterzugeben. Nur so könnten Schutzmaßnahmen gezielt angepasst werden.
Zero-Trust-Prinzip: Kein Nutzer, kein Gerät, kein System erhält automatisch Vertrauen. Jeder Zugriff wird konsequent geprüft, egal ob er von außen oder aus dem eigenen Netzwerk kommt.
Politisch motivierte Angriffe nehmen zu
Die Bedrohungslage für Kommunen bleibt hoch – unabhängig von ihrer Größe. Laut Salden stehen Städte und Gemeinden weiterhin im Fokus professioneller, global agierender Angreifer. Dabei gehe es längst nicht mehr nur um Geld. „Im aktuellen geopolitischen Umfeld geht es vielen Angreifern auch darum, staatliche Strukturen zu destabilisieren und Vertrauen in die Verwaltung zu untergraben“, erklärt sie.
Cybersicherheit ist keine reine IT-Frage, sondern Voraussetzung für funktionierendes staatliches Handeln.
Angriffe erfolgten häufig über schlecht abgesicherte Fachverfahren, Phishing-Kampagnen oder Ransomware. Gerade Verwaltungen mit knappen Ressourcen seien dabei besonders verwundbar. Der Kongress machte deshalb deutlich, dass Cybersicherheit zunehmend als Bestandteil staatlicher Resilienz verstanden wird – und nicht mehr nur als technisches Spezialthema der IT-Abteilungen.
Deepfakes und gezielte Desinformation gehören zum Arsenal moderner Cyberangriffe. Ihr Ziel ist nicht nur Erpressung und technische Sabotage, sondern auch das Vertrauen in staatliche Institutionen zu untergraben.
Zero Trust und BSI-Grundschutz++
Fachlich standen unter anderem moderne Sicherheitskonzepte wie „Zero Trust“ im Fokus. Dahinter steckt der Ansatz, keinem Zugriff innerhalb eines Netzwerks automatisch zu vertrauen. Stattdessen werden Nutzeridentitäten, Zugriffsrechte und Systeme konsequent überprüft.
Konkret ging es auf dem Kongress etwa um differenzierte Zugriffsrechte und konsequente Identitätsprüfungen auch auf kommunaler Ebene. Ein weiteres Thema war der sogenannte BSI-Grundschutz++. Außerdem diskutierten die Teilnehmenden den professionellen Umgang mit Schwachstellenmeldungen und neue Anforderungen an Sicherheitsmonitoring und Krisenreaktion.
Deutlich wurde dabei auch: Technische Maßnahmen allein reichen nicht aus. Seit Jahren gehört die Sensibilisierung von Mitarbeitenden zu den wichtigsten Themen des Kongresses – und auch 2026 spielte sie erneut eine zentrale Rolle. „Der Mensch und sein Verhalten bleiben weiterhin die größten Schwachstellen der IT-Sicherheit“, sagt Salden.
Deshalb setzen viele Kommunen inzwischen auf neue Formate, um Mitarbeitende stärker einzubinden. Genannt wurden etwa interaktive Schulungen, kreative Awareness-Konzepte oder Escape Games, mit denen typische Angriffsszenarien praxisnah vermittelt werden sollen. Viele erfolgreiche Angriffe funktionierten nicht trotz, sondern wegen menschlicher Fehler, so Salden. Regelmäßige Schulungen und Notfallübungen seien deshalb entscheidend.
KI soll Angriffe früher erkennen
Große Aufmerksamkeit erhielt auf dem Kongress auch das Thema Künstliche Intelligenz. Am zweiten Veranstaltungstag fand dazu ein eigener Workshop statt. Nach Einschätzung von Salden spielen KI-basierte Sicherheitslösungen bereits heute eine zunehmend wichtige Rolle. Viele kommunale Rechenzentren und IT-Dienstleister nutzten inzwischen KI-gestützte SIEM- und SOC-Systeme, also Systeme zur Sicherheitsüberwachung und Angriffserkennung.
Diese könnten beispielsweise verdächtige Muster in Echtzeit analysieren, kompromittierte Benutzerkonten erkennen oder Ransomware-Angriffe frühzeitig identifizieren. „Damit werden die oft knappen IT-Ressourcen spürbar entlastet und Sicherheitsvorfälle können im besten Fall gestoppt werden, bevor größerer Schaden entsteht“, erklärt Salden.
Gleichzeitig warnte sie davor, die Risiken zu unterschätzen. Gerade beim Umgang mit sensiblen Daten brauche es klare Governance-Strukturen und ein hohes Risikobewusstsein. KI müsse eng mit bestehenden Sicherheitsstrategien verzahnt werden.
Kommunen fordern klare Zuständigkeiten, verlässliche Unterstützung von Bund und Ländern und ausreichend Mittel, um sich gegen professionelle Angriffe zu wappnen.
Größter Handlungsbedarf bei Organisation und Ressourcen
Nach Einschätzung vieler Teilnehmender liegt die größte Herausforderung inzwischen weniger in einzelnen Technologien als vielmehr in der organisatorischen Verankerung von Cybersicherheit. Salden formuliert es deutlich: „Cybersicherheit ist keine reine IT-Frage, sondern Voraussetzung für funktionierendes staatliches Handeln.“ In vielen Kommunen fehle es weiterhin an klaren Verantwortlichkeiten, ausreichend starken ISB- und CISO-Rollen sowie an einer engen Verzahnung von IT-Sicherheit, Verwaltungssteuerung und Krisenmanagement.
Hinzu kämen klassische Defizite wie unzureichendes Patch-Management, fehlende Backups oder problematische Zugriffsrechte. Letztlich handele es sich dabei um ein strukturelles Problem, das weit über die Cybersicherheit hinausreiche: Fachkräftemangel, fehlende Kapazitäten und begrenzte finanzielle Ressourcen erschwerten vielerorts den Aufbau resilienter Strukturen.
Sicherheitsniveau realistisch bewerten
Für Städte und Gemeinden lautet die wichtigste Empfehlung deshalb, das eigene Sicherheitsniveau ehrlich zu bewerten und systematisch weiterzuentwickeln. Viele Bundesländer böten inzwischen Unterstützungsangebote an, mit denen Sicherheitsmängel identifiziert und Verbesserungen angestoßen werden könnten, so Salden.
„Diese Angebote zu nutzen, sich einen detaillierten Überblick über die eigene IT-Sicherheit zu verschaffen und darauf aufbauend ein IT-Sicherheitskonzept zu etablieren, sind wesentliche Schritte hin zu mehr Resilienz auf kommunaler Ebene.“ Der Kongress machte deutlich: Die Digitalisierung der Verwaltung wird nur funktionieren, wenn Kommunen gleichzeitig massiv in ihre Cybersicherheit investieren – technisch, organisatorisch und personell.
