Business Continuity im öffentlichen Sektor: Daseinsvorsorge braucht einen Plan B

Cyberangriffe und IT-Ausfälle sind Alltag geworden

2025 wurden in Deutschland 1.041 Ransomware-Angriffe angezeigt, das sind 10 % mehr als im Jahr davor. Das zeigt das Bundeslagebild Cybercrime des Bundeskriminalamts (BKA). Betroffen sind vor allem Unternehmen und öffentliche Einrichtungen. Noch stärker wuchs die Zahl der Überlastungsangriffe (DDoS), nämlich um 25 % – mit Behörden und öffentlichen Verwaltungen unter den häufigsten Zielen. Zu einem ähnlichen Befund kommt das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem Lagebericht IT-Sicherheit in Deutschland 2025: Die öffentliche Verwaltung ist derzeit das Hauptziel von Cyberspionage in Deutschland.

Nachdem am 12. Oktober 2026 ein Cyberangriff auf die Stadtverwaltung Eichstätt bekannt wurde, mussten große Teile der IT präventiv deaktiviert werden. So waren große Teile der kommunalen Dienste mehrere Tage nicht per E-Mail erreichbar. Im September 2026 gelangten Erpresser über das Datennetz der Berliner Verwaltung an große Mengen Daten und Dokumente, zentrale Bürgerdienste waren über Tage lahmgelegt. Ebenso im Sommer 2026 wurde die Verbandsgemeinde Rhein-Nahe Opfer eines Cyberangriffs und war mit weitreichenden Einschränkungen konfrontiert, u. a. in den Bereichen E-Mail-Kommunikation, Bürgerdienste oder Finanzverwaltung.

Ein Blick auf weiter zurückliegende Fälle zeigt das folgenreiche Ausmaß solcher Angriffe und Ausfälle: Nach einem Cyberangriff musste der Landkreis Anhalt-Bitterfeld im Juli 2021 den Katastrophenfall ausrufen, der sieben Monate lang andauerte und circa 2,5 Millionen Euro Schaden verursachte. 74 Kommunen und etwa 1,7 Millionen Einwohner in Nordrhein-Westfalen wurden im Oktober 2023 nach einem Ransomware-Angriff auf den kommunalen IT-Dienstleister Südwestfalen-IT in Mitleidenschaft gezogen.

Wer steckt hinter den Angriffen?

Cyberkriminelle, die Geld erbeuten wollen

Den größten Anteil an Cyberangriffen haben weiterhin kriminelle Erpressergruppen. Ihnen geht es um Geld: Sie nutzen u. a. Ransomware, Phishing und Business Email Compromise, verschlüsseln Daten und drohen zusätzlich damit, gestohlene Informationen zu veröffentlichen. Kommunen werden dabei oft zufällig getroffen, weil Täter das Internet automatisiert nach Schwachstellen absuchen. Lohnend sind öffentliche Stellen trotzdem: Sie verwalten sensible Melde-, Sozial-, Gesundheits- und Schülerdaten und stehen unter großem Druck, ihre Leistungen schnell wieder anzubieten.

Politisch motivierte Cyberangriffe

Anders gehen staatliche und staatsnahe Akteure vor: Sie suchen Informationen und Einfluss, im Extremfall auch Möglichkeiten zur Sabotage. Die meisten Angriffe kommen laut BSI-Präsidentin Claudia Plattner aus Russland, China, Iran oder Nordkorea. Im Visier stehen vor allem Ministerien und Behörden, Justiz und Sicherheitsbehörden. Bei Energie- und Wasserversorgern kommt das Risiko der Sabotage hinzu.

Hacktivistische Gruppierungen verfolgen ebenso politische Zielen: Sie bezwecken mediale Aufmerksamkeit und Einfluss auf die politische und gesellschaftliche Lage. Sehr oft legen sie mit Überlastungsangriffen Websites und Online-Dienste von Behörden, Kommunen und Ländern lahm. Das BKA zählte 2025 mehr als 700 Angriffsankündigungen und -meldungen gegen Ziele in Deutschland. Hacktivismus nimmt laut BKA stark zu: 2025 waren es um 224 % mehr als im Vorjahr.

Der gesamte öffentliche Sektor wird zum Angriffsziel

Fällt eine öffentliche Einrichtung aus, sind ganze Kommunen, Landkreise oder Menschengruppen betroffen. Erschwerend kommt hinzu, dass viele Einrichtungen mit knappen Budgets und wenig IT-Personal auskommen müssen und sich Rechenzentren teilen. Jeder Ausfall ist zudem sofort öffentlich sichtbar.

Werden Server und Postfächer von Städten, Gemeinden oder Landkreisen bei einem Ransomware-Angriff verschlüsselt, stehen Bürgerservices still. Der Systemausfall bei kommunalen IT-Dienstleistern oder in kommunalen Rechenzentren trifft viele Verbandskommunen gleichzeitig. Ein Spionageangriff oder Datenleck in Landes- und Bundesbehörden, Justiz oder Exekutive legt interne Abstimmungen, vertrauliche Dokumente, Verfahren und Prozesse offen bzw. lahm.

Wie die Beispiele zeigen, sind von den Angriffen oft kritische Abläufe und Dienstleistungen von Einrichtungen betroffen, auch von Kliniken und Gesundheitsämtern, Rettungsdiensten und Feuerwehren, Energie, Wasser und Entsorgung. Ebenso sind Schulen, Universitäten und Forschungseinrichtungen, der öffentliche Personennahverkehr und Verkehrsbetriebe sowie Jobcenter, Sozialversicherungen und Sozialverwaltungen Ziel und Opfer von Cyberkriminellen.

Unterschiedliche rechtliche Pflichten öffentlicher Einrichtungen

Die NIS-2-Richtlinie bzw. das entsprechende deutsche Umsetzungsgesetz setzt neben Unternehmen auch für die öffentliche Verwaltung einen wichtigen rechtlichen Rahmen: So gilt für den Bund das NIS-2-Umsetzungsgesetz. Die Länder sind für ihre eigenen Behörden zuständig. Sie setzen NIS-2 per Gesetz oder Verwaltungsvorschrift in unterschiedlichem Tempo um.

Die Kommunalverwaltungen nehmen eine Sonderstellung ein: Deutschland hat die Option, sie einzubeziehen, nicht genutzt, und die bisherigen Landesgesetze gelten nur für die Landesverwaltung. Eine Meldepflicht für IT-Sicherheitsvorfälle gibt es für Kommunen in kaum einem Bundesland. Auch Schulen und Hochschulen erfasst das Bundesgesetz nicht.

Frei von NIS-2 ist die kommunale Verwaltung damit aber nicht: Kommunale Infrastrukturen wie Stadtwerke, Wasserversorger, Entsorger, Verkehrsbetriebe oder kommunale Kliniken können sehr wohl unter das Umsetzungsgesetz fallen. Maßgeblich sind Sektor und Größe der Einrichtungen. In unserem Blog zum deutschen NIS-2-Umsetzungsgesetz erfahren Sie mehr darüber. Betreiber kritischer Anlagen, etwa in Energie, Wasser und Gesundheit, müssen seit dem 17. März 2026 zusätzlich das KRITIS-Dachgesetz erfüllen. Es verlangt Risikoanalysen, Resilienzpläne und Meldungen binnen 24 Stunden. Damit sind kommunale Versorger doppelt betroffen.

Auch wenn NIS-2 und KRITIS-Dachgesetz nicht für den gesamten öffentlichen Sektor verbindlich sind, gelten zwei Grundsätze:

• Werden bei einem Vorfall personenbezogene Daten verletzt, muss die Einrichtung dies nach der DSGVO in der Regel binnen 72 Stunden der Datenschutzaufsicht melden.
• Selbst ohne gesetzliche Pflichten bleibt die gesellschaftliche Verantwortung für die Daseinsvorsorge.

Handlungsfähigkeit und Business Continuity sind Teil der Daseinsvorsorge

Unabhängig von der gesetzlichen Pflicht konzentrieren sich viele Notfallpläne auf Backups und die Wiederherstellung von Systemen. Doch bis Systeme und Verfahren wieder laufen, vergehen oft Wochen oder Monate. In dieser Zeit muss die Einrichtung weiterarbeiten, und dafür braucht sie vor allem eines: Kommunikation.

Krisenstäbe müssen sich abstimmen und Mitarbeitende brauchen Anweisungen, Bürger, Eltern, Patienten oder die Kundschaft der Stadtwerke erwarten Informationen. Und je nach Einrichtung warten BSI, Aufsichts- und Datenschutzbehörden auf Meldungen mit Fristen zwischen 24 und 72 Stunden.

Doch meist hängen E-Mail, Kalender, Dateiablage und Videokonferenz an genau der Infrastruktur, die gerade ausgefallen ist: Als die Stadtwerke Clausthal-Zellerfeld im Oktober 2025 angegriffen wurden, fielen ihre Kommunikationssysteme aus. Beim Angriff auf Südwestfalen-IT verloren Dutzende Verwaltungen gleichzeitig ihre gewohnten Kanäle – und damit auch die Möglichkeit, sich untereinander und mit dem Dienstleister abzustimmen.

Mitarbeitende und Teams weichen dann oft auf private Messenger, private E-Mail-Adressen oder ausgedruckte Telefonlisten aus. Diese Nutzung von Schatten-IT ist unsicher, datenschutzrechtlich heikel und erschwert die spätere Dokumentation des Vorfalls. Ein guter Notfallplan beantwortet deshalb nicht nur die Frage, wie die Systeme wiederhergestellt werden, sondern auch, wie die Einrichtung bis dahin arbeitet und kommuniziert.

In sechs Schritten zur Handlungsfähigkeit im Notfall

1. Identifizieren Sie zeitkritische Prozesse: Führen Sie eine Business-Impact-Analyse nach BSI-Standard 200-4 durch. Damit klären Sie, welche Aufgaben wie lange ausfallen dürfen.
2. Legen Sie Krisenstab, Rollen und Meldewege fest: Fixieren Sie, wer entscheidet, wer kommuniziert und wer an Behörden meldet. Unabhängig von rechtlichen Pflichten, sollten Sie Rollen, Vertretungen und Fristen in einem Notfallplan hinterlegen.
3. Planen Sie Kommunikationswege unabhängig von Ihrem primären System: Notfallkanäle müssen unabhängig sein und dürfen nicht an der Infrastruktur hängen, die ausfallen kann.
4. Bereiten Sie Vorlagen vor: Entwerfen Sie schon vorab Dokumente wie Erstmeldungen an Behörden, Informationen für Mitarbeitende, Pressemitteilungen, Elternbriefe oder Bürgerinformationen, um im Ernstfall wertvolle Zeit zu sparen. Unsere Checkliste unterstützt Sie dabei.
5. Binden Sie Partner und Verbund ein: Kommunale Rechenzentren, Verbandskommunen, Schulträger, Netzbetreiber u. ä. sollten wissen, wie sie sich im Notfall gegenseitig erreichen. Fällt ein gemeinsamer Dienstleister aus, braucht es einen unabhängigen Kanal, über den sich alle Betroffenen abstimmen können.
6. Üben Sie den Ernstfall regelmäßig: Trainieren Sie den Krisenfall und erkennen Sie, ob Ihr Notfallplan funktioniert.

Angriffe und Ausfälle im öffentlichen Sektor sind heute ein strukturelles und wachsendes Risiko. Planen Sie Ihre Notfallkommunikation schon vorab und minimieren Sie damit den Stillstand, um handlungsfähig zu bleiben und das Vertrauen der Bevölkerung zu behalten.