Wie ist es um die IT-Sicherheit bestellt?

Cyber-Angriffe: So schützen sich die Landkreise Stade und Harburg

Nach dem Hackerangriff auf den Trinkwasserverband Stader Land (siehe Artikel hier: Cyber-Attacke auf den Trinkwasserverband Stade) stellt sich die Frage, wie es bei öffentlichen Einrichtungen um die IT-Sicherheit bestellt ist. Das WOCHENBLATT hakte bei den Behörden nach, die im Ernstfall auf regionaler Ebene für die Aufrechterhaltung einer Notversorgung und die Koordination der Einsatzkräfte zuständig sind: Das sind in diesem Fall die Landkreise Stade und Harburg. Die Landkreise orientieren sich bei ihren Schutzmaßnahmen gegen Cyber-Attacken an den Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Die Bundesbehörde hat erst kürzlich eine Warnung herausgegeben: Cyber-Angriffe hätten extrem zugenommen. Die Bedrohungslage sei noch nie so hoch wie jetzt gewesen.

Regelmäßige Schulungen

Sowohl beim Landkreis Stade als auch beim Landkreis Harburg gibt es einen IT-Sicherheitsbeauftragten, der für den Schutz der digitalen Systeme zuständig ist. Insgesamt umfasst der IT-Bereich im Stader Kreishaus 25,62 Stellen, wovon aktuell fünf unbesetzt sind. Im Kreishaus Winsen sind es 55 Mitarbeiter. In beiden Häusern werden zudem alle Beschäftigten in puncto IT-Sicherheit regelmäßig geschult. Bei der sogenannten Awareness-Schulung in Stade ging es in diesem Jahr um das Thema digitale Kommunikation. Der Begriff Security Awareness bedeutet, dass jeder Mitarbeiter Regeln befolgen muss, um die (Daten-)Sicherheit seiner Behörde nicht zu gefährden und nicht ungewollt Informationen preiszugeben.

Attacken via E-Mail

Wie wichtig solche Schulungen sind, beweisen die Zahlen vom Landkreis Harburg. Demnach blockierten die Sicherheitssysteme (wie beispielsweise Firewall oder Virenscanner) im Jahr 2022 durchschnittlich 27 virenverseuchte E-Mails pro Monat. Außerdem wurden im Schnitt jeden Monat fast 100 Zugriffe von Landkreis-Computern auf Internetseiten verhindert, die Viren oder Schadsoftware enthalten. Darüber hinaus hat das Antivirenprogramm 18 infizierte PCs von Mitarbeitern gemeldet. Im Vorjahr waren es nur zwölf. Der Landkreis Stade nennt keine Zahlen und gibt nur an, dass es regelmäßig zu Attacken via E-Mails komme, wobei diese "nicht zielgerichtet auf die Landkreisverwaltung zugeschnitten" seien.

Schutz beim Homeoffice

Seit Corona arbeiten auch immer mehr Beschäftigte der Kreisverwaltungen im Homeoffice. Hier muss die Datenkommunikation besonders geschützt sein. Beim Landkreis Harburg erfolgt der Zugriff vom Homeoffice oder durch mobile Geräte über ein verschlüsseltes Netz, das sogenannte VPN (virtual private network) in Kombination mit einer Zwei-Faktor-Authentifizierung. Der Landkreis Stade will sich aus Sicherheitsgründen nicht zu den eingesetzten Verfahren äußern. Das Gleiche gilt für die Frage nach konkreten (technischen) Maßnahmen zur IT-Sicherheit. Im Winsener Kreishaus werden regelmäßig Cyber-Angriffe simuliert - in Form von sogenannten Pentests. Bei solchen Tests wird die Cyber-Sicherheit einzelner IT-Komponenten und Anwendungen innerhalb eines Netzwerks geprüft, um mögliche Sicherheitslücken aufdecken zu können.

Versicherung gegen Hacker

Was passiert aber, wenn kriminelle Hacker mit ihrem Cyber-Angriff erfolgreich sind und Daten verschlüsseln, für deren Freigabe sie "Lösegeld" fordern? Die Zahlungen an solche Erpresser könnten kostspielig sein, ebenso wie die Wiederherstellung von gehackten Datensätzen. Für solche Fälle hat der Landkreis Harburg eine Cyber-Schutzversicherung abgeschlossen - im Gegensatz zum Landkreis Stade, wo man nichts davon hält: "Eine Cyber-Schutzversicherung ist kostenintensiv und garantiert keine Sicherheit im Ernstfall. Die entsprechenden Mittel werden in die Prävention investiert."

Leitstellen sind autark

Sollte es Cyber-Kriminellen tatsächlich gelingen, die IT-Systeme der Landkreise oder Teile davon lahmzulegen, wird beim Landkreis Harburg auf einen ausgearbeiteten Notfallplan zurückgegriffen. Die Auskunft aus dem Stader Kreishaus lautet nur knapp: "Der Landkreis ist auf diesen Fall vorbereitet." Von einem erfolgreichen Hackerangriff auf die Kreishäuser wären besonders sensible Bereiche der kritischen Infrastruktur wie etwa die Rettungsleitstellen nicht direkt betroffen. Diese sind in beiden Landkreisen speziell geschützt und von den IT-Systemen der Kreisverwaltungen abgetrennt.