„Social Engineering“ als Einfallstor für Cyberkriminelle

Ein vermeintlicher Kollege bittet per WhatsApp um das Passwort fürs Intranet. Die Mail sieht echt aus, der Name bekannt – und dennoch steckt ein Hacker dahinter. Was nach einem Film klingt, passiert inzwischen regelmäßig. Besonders perfide sind sogenannte Social-Engineering-Attacken, bei denen Angreifer versuchen, gezielt Vertrauen zu erschleichen, um in interne Systeme einzudringen. Das Problem: Viele dieser Angriffe beginnen mit öffentlich zugänglichen Informationen – etwa dem Impressum einer Rathaus-Website oder einem harmlosen Urlaubsfoto auf Instagram.

Laut dem nordrhein-westfälischen Verfassungsschutz durchforsten russische Akteure systematisch kommunale Webseiten nach Klarnamen und Fotos von Verwaltungsmitarbeitenden. „Werden dort Namen und Bilder gefunden, folgen oft gezielte Angriffe über soziale Medien“, warnt Jürgen Kayser, Präsident des NRW-Verfassungsschutzes, gegenüber dem WDR. Kommunen verwalten nicht nur Melde- und Sozialdaten, sondern auch kritische Infrastruktur wie Wasser, Strom oder Katastrophenschutz – und sind damit ein lohnendes Ziel. Der Verfassungsschutz in NRW legt Kommunen daher dringend nahe, die Klarnamen ihrer Mitarbeitenden von der Website zu nehmen. Die Logik dahinter ist einfach: Je mehr Infos über Mitarbeiter online stehen, desto größer ist die Angriffsfläche für Kriminelle.

Realität in Zahlen: Cyberangriffe längst Alltag

Die Angriffe sind keine bloße Theorie: Eine repräsentative Studie von G DATA, Statista und brand eins zeigt, dass fast 45 Prozent der Verwaltungsmitarbeitenden bereits direkt oder indirekt mit Cyberangriffen konfrontiert waren. Besonders häufig betroffen: kleine und mittlere Kommunen, bei denen Schutzmechanismen und IT-Ressourcen oft begrenzt sind.

Dabei sind es nicht nur klassische Viren oder Spam-Mails, die Probleme bereiten. 41 Prozent der gemeldeten Angriffe auf die öffentliche Verwaltung im Jahr 2022 waren Ransomware-Attacken, bei denen Daten verschlüsselt und gegen Lösegeld „freigekauft“ werden müssen. Solche Angriffe führten teils zu monatelangen Ausfällen, in denen beispielsweise Wohngeldzuschüsse nicht ausgezahlt werden konnten. Die IT-Sicherheitslage bleibt laut Bundesamt für Sicherheit in der Informationstechnik (BSI) angespannt.

Neue Gefahr: Doxing im kommunalen Umfeld

Eine besonders beunruhigende Entwicklung ist das sogenannte Doxing – das gezielte Veröffentlichen oder Sammeln persönlicher Informationen wie Telefonnummern, Adressen oder Familienfotos. Im kommunalen Kontext kann dies fatale Folgen haben. Wenn Verwaltungsmitarbeitende im Netz leicht identifizierbar sind, drohen nicht nur Angriffe auf IT-Systeme, sondern auch persönliche Bedrohungen. Die Verknüpfung von beruflicher Sichtbarkeit und privater Verwundbarkeit wird zunehmend zur Herausforderung – insbesondere im Bereich Ordnung, Bauverwaltung oder Sozialhilfe, wo es häufiger zu Konflikten mit Bürgern kommt.

IT-Resilienzmonitor: Alarmierende Ergebnisse

Viele Kommunen wissen um die Bedrohung – doch der Handlungsdruck ist hoch. Die größten Hürden: Fachkräftemangel (22 Prozent), veraltete Technik (18 Prozent) und knappe Budgets (15 Prozent). Die IT-Abteilungen sind oft unterbesetzt, gleichzeitig müssen sie immer komplexere Systeme absichern. Die Studie zeigt auch: Für vier von fünf Beschäftigten im öffentlichen Dienst ist IT-Sicherheit zwar ein Top-Thema – sie empfinden deren Umsetzung jedoch als große Herausforderung.

Besonders alarmierend sind die Ergebnisse des sogenannten IT-Resilienzmonitors, der im Oktober 2025 vorgestellt wurde. Er zeigt: Viele Kommunen haben keine funktionierenden Notfallpläne und sind nicht in der Lage, bei einem größeren IT-Ausfall den Verwaltungsbetrieb aufrechtzuerhalten. In einer Umfrage unter rund 100 Städten und Landkreisen gaben ein Drittel der Befragten an, dass eine IT-Störung bei ihnen mehrere Monate dauerte.

Krisenstäbe seien oft nicht für Cybernotfälle vorbereitet, heißt es. Die IT-Sicherheit werde noch zu selten als Führungsaufgabe verstanden – mit gefährlichen Folgen. „Wie können Ausweise ausgestellt oder Fahrzeuge zugelassen werden, wenn die IT streikt?“, fragt Dirk Kunze, Cyberermittler beim LKA NRW und Initiator des Resilienzmonitors. Seine Antwort: Nur mit Vorbereitung. Doch genau daran hapert es vielerorts.

Was Baden-Württemberg tut – und tun muss

Wie real die Bedrohung auch im Südwesten ist, zeigt das Programm des 7. Cybersicherheitsforums Baden-Württemberg, das am 27. November 2025 in der IHK Stuttgart stattfindet. Unter dem Motto „Think global, act local“ diskutieren unter anderem Innenminister Thomas Strobl, Brigadegeneral Dr. Volker Pötzsch, die Präsidentin der Cybersicherheitsagentur BW Nicole Matthöfer sowie Vertreter von Telekom Security und Schwarz IT über Strategien zur Abwehr.

Neben geopolitischen Einschätzungen geht es vor allem um praxisnahe Hilfe: IT-Notfallübungen, Awareness-Trainings, Zero-Trust-Modelle und kommunale Schutzkonzepte stehen im Fokus. Besonders wertvoll für Kommunen dürften konkrete Panel-Angebote sein, wie etwa „Cyberbedrohungen erkennen, bevor sie anklopfen“ oder „Wenn Hacker Ihre Kommunikation kapern – ein realer Fall“.

Was Kommunen jetzt tun können

In Fachkreisen sind sich die Experten einig: Die größte Schwachstelle ist oft nicht die Technik – sondern der Mensch. Deshalb setzen viele Empfehlungen bei der Organisation und Kommunikation an:

• Klarnamen reduzieren: Kommunen sollten überlegen, ob Namen von Mitarbeitenden auf Webseiten tatsächlich nötig sind. Funktionspostfächer und zentrale Rufnummern sind datenschutzfreundlicher.
• Krisenkommunikation vorbereiten: Sollte es zu einem Vorfall kommen, braucht es klare Zuständigkeiten und einen vorbereiteten Plan für interne und externe Kommunikation.
• Mitarbeitende sensibilisieren: Phishing-Trainings, klare Regeln im Umgang mit E-Mails und Messenger-Nachrichten sowie regelmäßige interne Schulungen sind essenziell.
• Technische Maßnahmen umsetzen: Zwei-Faktor-Authentifizierung, regelmäßige Sicherheitsupdates und ein gutes Rechtemanagement sind Pflicht – nicht Kür.
• Notfallhandbuch bereithalten: Meldeketten, Kontaktpersonen, Backup-Strategien – all das sollte nicht erst im Krisenfall erstellt werden.

Digitalisierung braucht Sicherheit

Auch Innenminister Strobl betont im Vorfeld: „Sichere digitale Infrastrukturen sind keine Kür, sondern Voraussetzung für die Zukunftsfähigkeit unserer Kommunen. Der Schutz beginnt vor Ort – mit klaren Regeln, technischem Know-how und wachsamem Personal.“ Das Cybersicherheitsforum will dafür Impulse und Vernetzung bieten – nicht nur für IT-Profis, sondern für Verwaltungsspitzen, Bürgermeisterinnen und Bürgermeister sowie kommunale Entscheidungsträgerinnen und Entscheidungsträger.