Wie Angreifer ins Rathaus kommen und was sie aufhält.

Cyberangriffe auf Kommunen wirken abstrakt, bis sie eine Verwaltung in der Nachbarschaft treffen.

Im Oktober 2026 hat es die Stadt Eichstätt getroffen. Am Wochenende des 10. und 11. Oktober waren Täter in den Systemen, bemerkt wurde der Angriff am Montag. Die Stadt schaltete daraufhin alle Server im Rathaus ab. Per E-Mail war die Verwaltung nicht mehr erreichbar, telefonisch kaum, Abteilungen blieben geschlossen. Am Dienstag bestätigte die Stadt, dass ein Großteil der Verwaltungsdaten kopiert wurde. Die Zentralstelle Cybercrime Bayern geht von Ransomware aus. Forensiker des Landeskriminalamts und das Landesamt für Sicherheit in der Informationstechnik (LSI) sind vor Ort.

Der Alltag läuft im Notbetrieb. Bauanträge gehen auf Papier, Ausweise laufen über Gemeinden im Umland. Eine gute Nachricht gibt es auch, laut der Mitteilung der Stadt vom 16. Oktober: Die Datensicherung hat funktioniert, das Hochfahren aus der Sicherung wird vorbereitet.

Neu ist das Muster nicht. Ab dem 31. Januar 2024 war das Landratsamt Kelheim vom Internet getrennt. Telefon, Zulassung und Online-Anträge fielen aus, betroffen waren auch Gemeinden im Landkreis. Wieder voll erreichbar war das Amt erst ab dem 6. Februar.

Mit dem Finger zeigen sollte darauf niemand. Treffen kann es jede Verwaltung.

Auf welchem Weg die Täter im Oktober hereinkamen, ist nicht veröffentlicht. Spekulation hilft da niemandem. Die üblichen Einfallstore sind dagegen gut beschrieben. Laut dem Maßnahmenkatalog Ransomware des BSI beginnt eine Infektion üblicherweise mit E-Mails, die Schadprogramme enthalten, oder über verwundbare Systeme, die von außen erreichbar sind. Häufig nutzen Angreifer dafür kompromittierte Fernzugänge.

Der Klassiker ist die Mail mit Schadcode im Anhang. Sie heißt Rechnung oder Mahnung, ist fehlerfrei geschrieben und bezieht sich auf einen Vorgang, der plausibel klingt. Ein Doppelklick genügt.

Ähnlich arbeitet der präparierte Link. Er führt auf eine Seite, die aussieht wie die gewohnte Anmeldung, und fragt nach dem Passwort. Phishing ist laut dem Cybersicherheitsbericht des bayerischen Innenministeriums die vorherrschende Masche, inzwischen auch per QR-Code. Wer so einen Code mit dem Handy scannt, ist schnell außerhalb der Filter im Rathausnetz. Der Bericht nennt das Quishing.

Besonders tückisch sind Dokumente, die perfekt in den Verwaltungsalltag passen. Bewerbungen zum Beispiel: Die Personalstelle muss Anhänge öffnen, das ist ihre Aufgabe. Das Landeskriminalamt warnte schon 2019 vor GermanWiper, einer Schadsoftware, die als Bewerbung mit gezipptem Lebenslauf kam und Daten zerstörte. Lösegeld zu zahlen brachte nichts. 2025 ging die Gruppe FIN6 geschickter vor. Erst kam der Kontakt über Jobportale, dann ein Link zum angeblichen Lebenslauf auf einem Cloud-Speicher. Die ZIP-Datei dahinter lud eine Hintertür nach, über die weitere Schadsoftware folgen kann, am Ende auch Ransomware.

Der vierte Weg kommt ganz ohne Klick aus. Ein Fernzugang mit abgegriffenem Passwort reicht, oder ein Server mit einer bekannten Lücke, die nie geschlossen wurde.

Drei dieser vier Wege brauchen einen Klick. Am Ende entscheidet also oft der Mensch am Schreibtisch. Wir sagen das offen:

Das größte Risiko sitzt oft vor dem PC. Eine einmalige Schulung für 50 Leute, in der jemand erklärt, wie ein USB-Stick funktioniert, ändert daran nichts. Mitarbeitende müssen immer wieder live getestet werden.

Das ist kein Vorwurf. Im Bürgerbüro läuft der Publikumsverkehr, das Telefon klingelt, nebenbei kommen Mails herein. Wer da jede Absenderadresse prüfen soll, braucht Übung.

Awareness, also das geschulte Gespür für verdächtige Nachrichten, ist deshalb eine Daueraufgabe. Wir setzen dafür den Security Awareness Service von Hornetsecurity ein: Seine Spear Phishing Engine schickt simulierte Phishing-Mails direkt ins eigene Postfach, echten Angriffen nachgebaut und in mehreren Schwierigkeitsstufen. Wer klickt, bekommt keinen Rüffel. Er bekommt eine kurze Lerneinheit zu genau diesem Trick, und das Training richtet sich nach dem Bedarf: mehr für alle, die öfter danebenliegen, weniger für die Sicheren.

Für die Verwaltungsleitung zählt der Employee Security Index (ESI). Er zeigt, ob das Sicherheitsbewusstsein im Haus über die Monate wächst. Aus dem Bauchgefühl wird ein Verlauf.

Auch das LSI bietet Kommunen Phishing-Simulationen und Awareness-Kurse an. Welches Werkzeug es wird, ist zweitrangig. Entscheidend ist der Takt: Ein Test im Jahr bleibt ein Ereignis, regelmäßige Tests werden zur Gewohnheit.

Menschen brauchen Technik, die ihnen den Rücken freihält. Wie viel da anfällt, zeigt der bayerische Bericht ebenfalls: Das LSI blockierte rund 838 Millionen verdächtige E-Mails.

Für Anhänge hält das BSI die Sandbox-Analyse für die beste Erkennung. Bei Hornetsecurity übernimmt das die Advanced Threat Protection. Ihre Sandbox Engine führt Anhänge in einer virtuellen Testumgebung aus, bevor ein Mensch sie zu sehen bekommt. Zeigt sich Schadcode, geht die Mail in Quarantäne. Links schreibt das System um und prüft sie erst beim Klick, denn eine Seite, die beim Zustellen harmlos war, kann später gefährlich sein. Unklare Mails hält die Funktion Freezing kurz zurück und prüft sie dann erneut. Wie die Sandbox im Detail arbeitet, beschreibt der Beitrag Phishing stoppen, bevor es im Postfach liegt.

Gegen den vierten Weg hilft eine klare Regel aus dem BSI-Katalog: Fernzugänge nur über VPN und immer mit Multi-Faktor-Authentisierung (MFA). Ein gestohlenes Passwort allein öffnet dann nichts mehr. Dazu gehören Updates in festem Rhythmus für alles, was von außen erreichbar ist, allen voran Firewall und VPN-Zugang. Und eine Liste aller Zugänge, die bei der Gemeinde liegt. In gewachsenen Netzen legen wir sie oft als Erstes an.

Kaum ein Thema tut Kommunen so weh wie das Backup. Alle haben Angst vor dem Tag, an dem es zeigen muss, was es kann. Dann muss das Backup-Konzept einfach funktionieren, ohne Experimente und ohne die Suche nach dem einen Kollegen, der das Passwort kennt.

Das BSI nennt die Datensicherung die wichtigste Schutzmaßnahme gegen Ransomware. Es knüpft daran Bedingungen, die wir in jedem Backup-Check durchgehen:

• Mindestens eine Kopie liegt offline, also getrennt vom Netz.
• Die Trennung wird getestet. Kommt ein Domänen-Administrator an diese Kopie heran, ist sie nicht getrennt.
• Die Rücksicherung wird regelmäßig geübt.
• Vor dem Zurückspielen prüft jemand die Sicherung auf Schadsoftware. Angreifer sitzen oft wochenlang im Netz, und eine Sicherung aus dieser Zeit kann sie gleich wieder einschleppen.

Warum Angreifer gezielt nach den Sicherungen suchen, steht im Beitrag Ransomware: Wie Erpresser in Netzwerke kommen.

Das Gerüst für alles ist die 3-2-1-Regel: drei Kopien, zwei verschiedene Medien, eine Kopie an einem weiteren Ort. Das BSI empfiehlt sie im Umfeld seines Standards 200-4. Der Hersteller Veeam erweitert sie zu 3-2-1-1-0, mit einer Kopie offline oder unveränderlich und null Fehlern bei den Wiederherstellungstests. Das ist ein Herstellerbegriff und keine BSI-Vorgabe, aber eine brauchbare Merkhilfe. Die Praxis dazu steht im Beitrag zur 3-2-1-Regel beim Backup.

Und dann gibt es eine Grenze, an die auch die betroffene Stadt gestoßen ist. Die Sicherung hat funktioniert. Die kopierten Daten sind trotzdem in fremder Hand.

Das ist kein Einzelfall. Das BSI zählt in seinem Lagebericht 2025 950 angezeigte Ransomware-Angriffe, bei 72 Prozent davon kam ein Datenleak dazu oder wurde angedroht. Die Behörde schreibt nüchtern: „Backups bleiben essenziell gegen Ransomware, helfen aber nicht gegen Datenleaks.“ Für eine Verwaltung beginnt damit eine zweite Baustelle. Wer einen Datenschutz-Vorfall melden muss, sollte den Ablauf kennen, bevor es so weit ist. Das Backup bringt den Betrieb zurück. Die Schichten davor sollen verhindern, dass Daten überhaupt abfließen.

Keine einzelne Maßnahme stoppt alle Cyberangriffe auf Kommunen. Jede Schicht fängt einen Teil ab, zusammen machen sie aus der offenen Tür einen mühsamen Weg. Für Verwaltungen der Region bauen wir das so auf: regelmäßige Live-Tests für die Belegschaft, E-Mail-Schutz mit Sandbox, eine gepflegte Firewall mit Fernzugängen nur per MFA, Updates im festen Rhythmus und ein getestetes Backup mit Offline-Kopie. Dieses Schichtenmodell ist der Kern unserer Leistung Backup & IT-Sicherheit.

Die Schichten gehören in das Sicherheitskonzept, das Art. 43 BayDiG von jeder Kommune verlangt. Wir begleiten Verwaltungen dabei, dieses Konzept passend zur eigenen Größe aufzustellen und fortzuschreiben. Einen Maßstab liefert das LSI-Siegel „Kommunale IT-Sicherheit“. Es ist kostenlos und läuft über eine Selbstauskunft. Was das Gesetz genau verlangt, steht im Ratgeber Informationssicherheit in der Kommune.

Hundertprozentige Sicherheit verspricht seriös niemand, wir auch nicht. Wenn es doch passiert, gilt: sofort die Polizei einschalten, in Bayern über die Zentrale Ansprechstelle Cybercrime (ZAC) beim Landeskriminalamt. Ab da zahlt sich aus, was vorher geübt wurde.

Wo steht Ihr Rathaus heute? Wir sitzen in Vohburg und betreuen Kommunen rund um Ingolstadt, Pfaffenhofen, Kelheim und Eichstätt. Gemeinsam mit Ihnen prüfen wir, wo die offenen Türen liegen und ob Ihr Backup den Ernstfall übersteht. Sprechen Sie uns an.