Webinar turen zu schaffen und notwendige Maßnahmen umzusetzen, kostet viel Zeit und Ressourcen. Hier herrscht teilweise eine Überforde- rung: Weil man die Aufgaben nicht stemmen kann, klammert man sich an das Prinzip Hoffnung. Herr Nitz, worauf müssen Kommunen beim Thema IT-Sicherheit besonders ach- ten? Was sind die häufigsten Einfallstore? haben wir festgestellt, dass die IT mit ihren Facetten Netzwerk, In- frastruktur, Software und Hardware gut funktioniert. Ein weiterer An- satzpunkt ist die Organisation. Im Ernstfall muss man wissen, was zu tun ist und wie man sofort reagie- ren kann. Um einen Schaden, wenn er denn entsteht, so gering wie möglich zu halten, müssen Orga- nisationsstrukturen aufgebaut wer- diesen Erkenntnissen entscheidet man dann, wie die IT darunter aufgebaut sein muss. Hier gibt es viele Möglichkeiten und Richtli- nien wie etwa ISO 27000 oder die Standardmaßnahmenkataloge des Bundesamts für Sicherheit in der Informationstechnik (BSI). Ein weiterer wichtiger Punkt ist der Umgang mit Notfällen. Am Ende einer Analyse weiß eine Kommune, „Sicherheit ist nicht nur Selbstschutz, sondern Schutz für die ganze Region.“ Hendrik Nitz: Zunächst muss man die Intention des Angreifers kennen und wissen, wie ein Angriff funktioniert. Erst dann lassen sich in der Kommune Mechanismen etablieren, die einen wirksamen Schutz gewährleisten. Auskunft über die Intention des Angreifers erteilt das so genannte Mitre- Framework. Dieses umfasst drei Punkte: Sabotage, Doxing – also das Ausspähen von Informatio- nen – und finanzieller Diebstahl. Letzteres war im Landkreis Anhalt- Bitterfeld der Fall, wo die Mitarbei- tenden durch die Verschlüsselung ihrer Systeme keinen Zugriff mehr hatten. Beim anschließenden Auf- bau eines Schutzes geht es dann erstens darum, das Ziel des An- greifers zu identifizieren, zweitens das Vorgehen des Angreifers zu erkennen. Welche Backdoors kann der Angreifer ausnutzen? Ist es ihm möglich eine eigene Software zu installieren, um die Herrschaft über die Systeme an sich zu reißen? Herr Landrat Bauer, wie richten Sie sich ein, um Gefahren abzuwehren? Bauer: Zunächst haben wir Resi- lienzanalysen durchgeführt. Dabei den und Notfallpläne bereitstehen. Deshalb habe ich einen Chief Digi- tal Officer (CDO) eingesetzt und die Stelle eines Chief Information Officer (CIO) geschaffen, um Ver- antwortlichkeiten zu verteilen und ein Sparring zwischen der direkten IT und der Strategie aufzubauen. Herr Nitz, was versteht man unter einer Resilienzanalyse und inwiefern profitieren Kommunen davon? Nitz: Eine Resilienzanalyse zeigt einer Kommune, wie gut sie aufgestellt ist. In einem ers- ten Schritt wird geschaut, welche Verwaltungsverfahren die Kom- mune den Bürgern bereitstellt und welche davon notwendig sind, um den Landkreis, die Stadt oder die Gemeinde zu organisieren. Im zweiten Schritt wird dann die IT, die diese Prozesse unterstützt, ge- nauer unter die Lupe genommen. Hier kommt die Verfahrenskritika- lität ins Spiel, die es zu bewerten gilt. Welche Daten sind besonders schützenswert? Welche Prozesse müssen zwingend bereitgestellt werden? Diese Fragen helfen dabei, die Business- und Verfahrenskriti- kalität festzulegen. Basierend auf wie sie aufgestellt ist, welche Ver- besserungspotenziale sie hat und welche Punkte sie hinsichtlich der IT-Sicherheit priorisieren muss. Herr Landrat Bauer, welche Schlüsse haben Sie aus der Resilienzanalyse im Salzlandkreis gezogen? Bauer: Die Resilienzanalyse hat uns gezeigt, dass die Organisation aus der Strategie des Hauses heraus entwickelt werden muss. Daran ar- beiten wir momentan. Ein weiterer wichtiger Punkt ist die interkom- munale Zusammenarbeit. Es ist wichtig, dass sich die Kommunen gegenseitig die Hand reichen. Die Aufgaben, die eine Verwaltung rund um die Uhr zu leisten hat, ist mit den 20 bis 30 Mitarbeitenden, die ihr zur Verfügung stehen, kaum zu bewältigen. Wenn wir uns hingegen als kommunale Familie begreifen, stärken wir uns gegenseitig und die Sicherheit untereinander. Herr Nitz, wie schätzen Sie die inter- kommunale Zusammenarbeit aus Sicht eines IT-Dienstleisters ein? Nitz: Das kann ich nur begrüßen. Natürlich geht es erst einmal da- www.kommune21.de Kommune21 · 11/2023 23