Ratgeber: Informationssicherheit in der Kommune. Vom Pflichtkonzept zum Siegel.

Der Gesetzestext ist klarer, als sein Ruf vermuten lässt. Art. 43 Abs. 1 BayDiG verlangt, die Sicherheit der informationstechnischen Systeme der Behörden im Rahmen der Verhältnismäßigkeit sicherzustellen. Dafür sind angemessene technische, operative und organisatorische Maßnahmen zu treffen und die erforderlichen Informationssicherheitskonzepte zu erstellen. Und damit keine Zweifel bleiben, wen das betrifft: Art. 1 BayDiG nennt neben dem Freistaat ausdrücklich die Gemeinden und Gemeindeverbände, Verwaltungsgemeinschaften und Zweckverbände eingeschlossen.

Das BayDiG gilt seit dem 1. August 2022. Neu ist die Pflicht damit aber nicht: Schon der Vorgänger, Art. 8 des Bayerischen E-Government-Gesetzes, verlangte Informationssicherheitskonzepte, mit Frist bis zum 1. Januar 2018. Wer heute anfängt, ist also nicht früh dran. Er holt acht Jahre auf.

Drei Begriffe im Gesetz verdienen einen zweiten Blick. Verhältnismäßigkeit heißt: Das Konzept darf zur Größe der Verwaltung passen, eine Gemeinde mit 2.000 Einwohnern braucht kein Regelwerk wie ein Landratsamt. Angemessen heißt: Der Schutz muss zum Risiko passen, nicht zum Budgetrest am Jahresende. Und erstellen ist nur die halbe Wahrheit, denn gemeint ist der Betrieb: Ein Konzept, das seit Jahren unverändert im Ordner steht, erfüllt die Pflicht nicht.

Ein Informationssicherheitskonzept ist kein Dokument, sondern ein Betriebszustand: Es ist so gut wie der Tag, an dem zuletzt jemand hineingeschaut hat.

Die häufigste Reaktion in kleinen Rathäusern: Für uns gilt das doch sicher nicht. Das Gesetz kennt aber keine Untergrenze. Die Pflicht trifft die Gemeinde mit 1.500 Einwohnern genauso wie die große Kreisstadt, nur der Maßstab unterscheidet sich.

Der Grund ist einfach: Die Daten sind dieselben. Meldewesen, Standesamt, Kita-Anmeldung, Friedhofsverwaltung, Steuern und Abgaben: Eine kleine Verwaltung verarbeitet dieselben sensiblen Informationen wie eine große, nur mit weniger Personal und meist ohne eigene IT-Fachkraft. Dazu kommt, was selten auf der Rechnung steht: Wasserversorgung, Kläranlage und Bauhof hängen längst mit am Netz, mehr dazu im Beitrag über kritische Infrastruktur in der Kommune.

Und die Angreifer? Arbeiten automatisiert. Ein Verschlüsselungstrojaner fragt nicht nach der Einwohnerzahl, er sucht offene Türen. Kleine Verwaltungen sind für ihn kein uninteressantes Ziel, sondern ein leichtes.

Die gute Nachricht steckt im Gesetz selbst: Verhältnismäßigkeit ist keine Drohung, sondern eine Entlastung. Niemand verlangt von einer kleinen Gemeinde ein zertifiziertes Managementsystem. Verlangt ist ein Konzept, das zur eigenen Größe passt und im Alltag gelebt wird.

Wie viel ist genug? Genau darauf antwortet das Landesamt für Sicherheit in der Informationstechnik (LSI) mit dem Siegel „Kommunale IT-Sicherheit“. Es bescheinigt einer Kommune eine Mindestabsicherung und ist bewusst für Gemeinden, Märkte und kleinere Städte gemacht. Die Eckpunkte:

• Kostenlos: Beantragung und Ausstellung kosten nichts, das Siegel ist ein Angebot des Freistaats an seine Kommunen.
• Selbsterklärung statt Audit: Grundlage ist ein Fragebogen (aktuell Version 4.0). Zu jeder Maßnahme gibt die Kommune an, ob sie umgesetzt, geplant oder nicht vorgesehen ist. Ein Vor-Ort-Audit findet nicht statt, die Verantwortung für die Angaben bleibt im Rathaus.
• Aktuelle Themen: Version 4.0 fragt inzwischen auch Cloud-Dienste, Mobilgeräte, Datensicherung und den Umgang mit künstlicher Intelligenz ab.
• Gültigkeit nach Größe: Kommunen unter 20.000 Einwohnern erhalten das Siegel für zwei Jahre, zwischen 20.000 und 50.000 für ein Jahr. Darüber, also bei kreisfreien Städten, Landratsämtern und Bezirken, verlangt das LSI eine vollwertige Zertifizierung.

Das Siegel ist als Vorstufe zur Zertifizierung gedacht und damit die richtige Messlatte für die Verwaltungsgrößen unserer Region: anspruchsvoll genug, um die Pflicht aus Art. 43 BayDiG mit Substanz zu füllen, und schlank genug, um neben dem Tagesgeschäft erreichbar zu bleiben.

Oft im selben Atemzug genannt, aber etwas anderes: Das bayerische Digitalministerium zeichnet Kommunen als „Digitales Amt“ aus, wenn sie mindestens 50 Online-Verfahren im BayernPortal verknüpft haben, bei Landkreisen sind es 30. Über 440 Kommunen tragen die Auszeichnung bereits. Das ist ein Digitalisierungsnachweis, kein Sicherheitssiegel. Zusammen gehören beide Themen trotzdem: Wer Verwaltungsleistungen online anbietet, muss die Systeme dahinter erst recht absichern.

Ein Missverständnis räumen wir in fast jedem Erstgespräch aus: Wir haben doch einen Datenschutzbeauftragten, also ist das Thema erledigt. Ist es nicht, denn es sind zwei verschiedene Pflichten.

Datenschutz schützt Menschen: Er regelt den Umgang mit personenbezogenen Daten, von der Kita-Anmeldung bis zur Personalakte. Dafür braucht jede öffentliche Stelle nach Art. 37 DSGVO einen Datenschutzbeauftragten, unabhängig von der Größe. Informationssicherheit schützt die Verwaltung als Ganzes: alle Systeme und alle Informationen, auch die ohne Personenbezug. Das Ratsinformationssystem, die Finanzsoftware, die Steuerung im Wasserwerk.

In der Praxis überschneiden sich beide Welten bei den technischen und organisatorischen Maßnahmen: Firewall, Backup, Zugriffsrechte und Schulungen zahlen auf beide Pflichten ein. Deshalb lohnt es sich nicht, beides getrennt zu beauftragen und doppelt zu dokumentieren. Wie wir Datenschutz und Sicherheitskonzept in der Kommune zusammen betreuen, zeigt unsere Leistungsseite Datenschutz & DSGVO.

1. Bestandsaufnahme: Welche Systeme, Verfahren und Zugänge gibt es, wo liegen die sensiblen Daten, welche Fernwartungen stehen offen? In gewachsenen Netzen ist das selten dokumentiert, oft hängt vom Bürgerbüro bis zur Bücherei alles am selben Strang. Warum das riskant ist, steht im Beitrag über gewachsene IT und Netztrennung.
2. Konzept passend zur Größe: Aus der Bestandsaufnahme entsteht das Informationssicherheitskonzept: Rollen, Regeln, Maßnahmen. Für kleinere Kommunen gibt es erprobte Arbeitshilfen, entscheidend ist, dass alles zur tatsächlichen Verwaltung passt. Kein 300-Seiten-Werk, das niemand pflegt.
3. Maßnahmen umsetzen: Firewall-Regeln, Backup nach der 3-2-1-Regel, Updates, Zugriffskontrolle, Netztrennung. Bei betreuten Kommunen läuft vieles davon ohnehin, dann geht es vor allem darum, den Ist-Zustand sauber zu dokumentieren.
4. Jährliche Pflege: Das Konzept wird fortgeschrieben: neue Verfahren rein, alte raus, Vorfälle ausgewertet, der Notfallplan geprobt. Mit dieser Vorarbeit ist der LSI-Fragebogen keine Hürde mehr, sondern eine Bestätigung.

Die Pflicht aus Art. 43 BayDiG verschwindet nicht, und sie wird mit jedem Jahr Aufschub unangenehmer: spätestens dann, wenn nach einem Vorfall die Frage nach dem Konzept kommt und die Antwort ein Achselzucken ist. Der Weg ist aber kürzer, als viele Rathäuser denken, vor allem dort, wo Firewall, Backup und Betreuung schon geordnet laufen.

Wir betreuen Gemeinden, Schulen und kommunale Einrichtungen in der Region Ingolstadt, Pfaffenhofen, Kelheim und Eichstätt und kennen die Anforderungen aus der Praxis: vom Behördennetz über die Fachverfahren bis zum Sicherheitskonzept. Wenn Sie wissen wollen, wo Ihre Verwaltung heute steht: Eine Bestandsaufnahme ist der ehrliche erste Schritt. Sprechen Sie uns an.