Öffentliche Verwaltung: Häufig gestellte Fragen

Das ist die wichtigste und am häufigsten falsch beantwortete Frage. Das BSIG erfasst unmittelbar nur Einrichtungen der Bundesverwaltung. Für Landes- und Kommunalverwaltungen hat der Bundesgesetzgeber die Regelung ausdrücklich den Ländern überlassen — maßgeblich ist also das jeweilige Landesrecht, dessen Umsetzungsstand sich zwischen den Ländern erheblich unterscheidet. Halten Sie diese Feststellung mit Datum und verantwortlicher Stelle schriftlich fest, bevor Sie Maßnahmen budgetieren.

Melderegister, Kfz-Zulassung und Finanzwesen laufen meist bei einem gemeinsamen Rechenzentrum. Fällt es aus, stehen alle angeschlossenen Verwaltungen gleichzeitig still — der Angriff auf die Südwestfalen-IT traf rund siebzig Kommunen auf einen Schlag. Verlangen Sie vertraglich zugesicherte Wiederanlaufzeiten und lassen Sie sich zeigen, in welcher Reihenfolge Kunden im Ernstfall bedient werden. Bilden Sie diese Abhängigkeit zusätzlich in Ihrer eigenen Notfallplanung ab.

Fristgebundene Verfahren laufen weiter, auch wenn die Systeme stehen. Wählen Sie die zehn Leistungen aus, deren Ausfall unmittelbar Menschen trifft, und beschreiben Sie je Leistung, was analog möglich bleibt und wie die Nacherfassung erfolgt, ohne die Aktenführung zu beschädigen. Der Landkreis Anhalt-Bitterfeld arbeitete nach seinem Ransomware-Vorfall über Monate eingeschränkt — diese Zeitspanne ist der realistische Planungshorizont, nicht ein paar Tage.

Melde-, Sozial- und Finanzdaten sind unmittelbar verwertbar, weshalb neben der Verfügbarkeit die Vertraulichkeit im Vordergrund steht. Beschränken Sie Zugriffe strikt nach Erforderlichkeit und überprüfen Sie die Berechtigungen jährlich — historisch gewachsene Rechte sind in Verwaltungen der Regelfall. Protokollieren Sie bei sensiblen Registern auch lesende Zugriffe und legen Sie fest, wer diese Protokolle anlassbezogen auswertet.

Ein Vorfall in der Verwaltung ist fast immer zugleich eine Verletzung des Schutzes personenbezogener Daten. Die Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO läuft in 72 Stunden und damit parallel zur Sicherheitsmeldung. Führen Sie beide in einem Prozess mit gemeinsamer Fristenübersicht zusammen und benennen Sie eine Person, die den Überblick behält — getrennte Abläufe führen dazu, dass unter Druck eine Frist reißt.

Eine eigene Sicherheitsorganisation ist unterhalb einer gewissen Größe nicht darstellbar, und das erwartet auch niemand. Realistisch sind drei Wege: eine benannte Person mit Teilzeitanteil, eine interkommunal geteilte Stelle oder ein externer Informationssicherheitsbeauftragter. Entscheidend ist nicht die Konstruktion, sondern dass die Verantwortung ausdrücklich zugewiesen ist und nicht stillschweigend bei der IT-Betreuung landet.

Entscheidungen über Notbetrieb, öffentliche Kommunikation und die Reihenfolge des Wiederanlaufs sind keine IT-Entscheidungen — sie gehören zur Behördenleitung. Eine Übung ohne diese Ebene trainiert die falschen Leute. Spielen Sie ein realistisches Szenario mit Ausfall des zentralen Dienstleisters durch, einschließlich Presseanfragen und Bürgerkommunikation, und halten Sie die getroffenen Entscheidungen schriftlich fest.