Cyberangriff auf Behörde oder Stadtwerke: Warum das Chefsache ist
Keine Fahrzeugummeldung mehr möglich?
Es war ein Freitag im August 2026, als in zwei Berliner Senatsverwaltungen plötzlich nichts mehr ging. Die Verwaltung für Stadtentwicklung, Bauen und Wohnen und die Verwaltung für Mobilität und Verkehr wurden vom Landesnetz getrennt, nachdem Angreifer dort eingedrungen waren.
Ergebnis: Kein Internet, keine externen Mails, kein Homeoffice, und weil an dieser Infrastruktur eben auch reelle Dinge hängen, konnte das Wohngeld für mehr als 50.000 Berliner Haushalte zeitweise nicht ausgezahlt werden. Aktiviert wurde laut Medienbericht sofort der Krisenstab, LKA, BSI. Noch Tage später sagte der Regierende Bürgermeister Wegner, die Lage sei weiterhin ernst.
Berlin ist jedoch kein Einzelfall in Deutschland: Potsdam war Ende 2022 direkt betroffen, durch ein Sicherheitslücke in Citrix im September 2026 wurden die Online-Dienste proaktiv vom Netz genommen. Auch Stadtwerke in kleineren Städten trifft es immer wieder, nur schafft es nicht jeder Fall in die überregionalen Nachrichten.
So unterschiedlich die Fälle sind, eine Erfahrung teilen sie fast alle: Die Technik läuft (mehr oder weniger) irgendwann wieder, die Daten sind meist wieder da, leider jedoch nicht immer nur dort wo Sie sein müssten - siehe der Fall in Berlin mit . Was hängen bleibt, ist die Frage, wie es überhaupt soweit kommen konnte.
Warum Behörden und Stadtwerke von Cyberangriffen betroffen sind
Aus Sicht eines Angreifers wird nach größter Schwachstelle mit größtem Schadenshebel gesucht:
Bei der Störung in der Versorgung von Strom, Wasser, Sozialleistungen oder der Störung der Bearbeitung von Baugenehmigungen oder Führerscheinen, erzeugt sofort öffentlichen Druck gegen die lokale Verwaltung, was gerade in einer aktuell politisch aufgeheizten Umgebung sofort zu den Entscheidungsträgern in Verwaltungen durchdringt. Dieser Druck nutzen Hacker für sich.
Dazu kommen IT-Landschaften, die über Jahrzehnte gewachsen sind, Fachverfahren, die niemand gern anfasst, chronisch zu wenig Personal und Budgets, die im Haushaltsausschuss verhandelt werden und nicht dann bereitstehen, wenn man sie braucht. Wenn Bedarfe erkannt werden, dauert es aufgrund der Haushaltsverfahren teils mehrere Jahre bis zur Umsetzung, weil allein die Beantragung und Freigabe der Gelder sich über ein bis zwei Jahre hinzieht - was in Industrieunternehmen bei akuten IT-Sicherheitsbedarfen undenkbar wäre. Nicht nur bei den Angreifern ist das Thema präsent, sondern auch bei den Versorgern. In einer Umfrage der Thüga unter ihren rund 150 Stadtwerken und Regionalversorgern nannten 97 Prozent Cyberangriffe als zentrales Risiko für die Versorgungssicherheit, 85 Prozent haben ihre Investitionen in Schutzmaßnahmen bereits erhöht. Das ist zwar im Grundsatz richtig, löst aber nur einen Teil des Problems.
Cybersicherheit ist primär ein Governance Thema, kein reines IT Thema
Wenn die Systeme stehen, braucht die IT in den ersten Stunden weniger neue Technik als Entscheidungen, und zwar solche, die kein Administrator treffen kann und auch nicht treffen sollte: Welche Leistung fahren wir zuerst wieder hoch – das Wohngeld, den Bürgerservice oder die Abrechnung? Trennen wir das ganze Netz, auch wenn dann drei Abteilungen stillstehen? Wer informiert Bürger, Kunden, Aufsicht und Presse, und wann? Wer diese Fragen zum ersten Mal im Krisenstab stellt, verliert genau die Stunden, die über das Ausmaß des Schadens entscheiden.
Gute Governance beantwortet sie vorher. Sie legt fest, welche Leistungen kritisch sind, wer für sie verantwortlich ist, wer im Ernstfall entscheiden darf und wie Informationssicherheit, Notfallmanagement und Krisenkommunikation ineinandergreifen.
Genau dort setzen wir bei ACONO an: Mit unserem RegRISE™ Framework beginnen wir nicht bei Firewalls und Kontrollkatalogen, sondern bei den kritischen Services einer Organisation und ihren tatsächlichen Abhängigkeiten. Daraus entstehen klare Rollen und Entscheidungswege, ein integriertes Managementsystem statt paralleler Insellösungen und Notfallabläufe, die mit der Leitung geübt werden – auf Wunsch gesteuert und nachweisbar dokumentiert in einer GRC-Plattform wie TopEase.
Das Ergebnis ist kein weiteres Handbuch im Schrank, sondern eine Organisation, die im Ernstfall weiß, wer was zu tun hat.
Cyberangriff auf Behörde oder Stadtwerk – was tun?
Um Forensik und Wiederherstellung kümmern sich IT-Dienstleister und Spezialisten. Die Leitung hat in den ersten Stunden andere Aufgaben:
1. Krisenstab einberufen, und zwar mit Leuten, die entscheiden dürfen. Kommunikation, Fachbereiche und Recht gehören an den Tisch, nicht nur die IT.
2. Lage klären: Welche Leistungen sind ausgefallen, welche laufen noch, gibt es Hinweise auf abgeflossene Daten?
3. Melden. Polizei bzw. LKA einschalten. Datenschutzverletzungen gehen innerhalb von 72 Stunden an die Aufsichtsbehörde, NIS2-pflichtige Einrichtungen schicken zusätzlich binnen 24 Stunden eine Frühwarnung an das BSI.
4. Priorisieren: Was wird zuerst wiederhergestellt, und wie sieht der Notbetrieb bis dahin aus?
5. Kommunizieren, früh und regelmäßig. Wer drei Tage nichts hört, vertraut danach weniger als jemand, dem man offen sagt, was gerade nicht geht.
Und falls Lösegeld gefordert wird: Die Sicherheitsbehörden raten klar davon ab zu zahlen und empfehlen, die Ermittler einzubinden.
Was Gesetz und Aufsicht verlangen
Kommunen als größtes Einfallstor aufgrund fehlender Regulatorik
Für Stadtwerke ist die Sache eindeutig. Energie- und Wasserversorger fallen unter das NIS2-Umsetzungsgesetz, das seit Dezember 2025 gilt, und dieses Gesetz nimmt ausdrücklich die Geschäftsleitung in die Pflicht: Sie muss die Maßnahmen zum Risikomanagement billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen, und wenn sie das versäumt, kann sie dafür haften. Seit das BSI angekündigt hat, die Einhaltung ab dem vierten Quartal 2026 aktiv durchzusetzen, ist das auch keine Theorie mehr.
Siehe unser Beitrag: BSI Durchsetzungsinitiative
Bei Behörden ist das Bild diffuser: Für die Bundesverwaltung gilt das NIS2-Umsetzungsgesetz direkt, die Länder regeln ihre Verwaltungen selbst, und Deutschlands mehr als 10.000 Kommunen sind bislang meist nicht verpflichtend erfasst. Nur bedeutet weniger Pflicht nicht weniger Risiko, sondern eher stärkeres Risiko, da auch den Angreifern bekannt ist wie "gut" die Absicherung auf kommunaler Ebene ist.
ABER: Wer auf sein Wohngeld wartet, fragt nicht, unter welches Gesetz seine Verwaltung fällt.
Drei Dinge, die vor dem Angriff geklärt sein sollten
1. Kritische Leistungen und Ausfalltoleranzen.
Für jede Leistung sollte feststehen, wie lange sie ausfallen darf, bevor für Bürger oder Kunden ein erheblicher Schaden entsteht. Aus diesen Ausfalltoleranzen ergibt sich die Reihenfolge der Wiederherstellung. Sie muss im Krisenfall nicht mehr verhandelt werden.
2. Abhängigkeiten.
Eine Leistung stützt sich in der Regel auf mehrere Ressourcen: Netze, Fachverfahren, externe Dienstleister und Personal mit den erforderlichen Berechtigungen. Eine Abhängigkeitsanalyse macht sichtbar, an welchen Stellen ein einzelner Ausfall die gesamte Leistung gefährdet.
3. Entscheidungs- und Eskalationswege.
Zuständigkeiten für die Trennung von Netzen, die Freigabe des Notbetriebs und die Kommunikation nach außen sollten verbindlich festgelegt sein. Damit diese Regelungen im Ernstfall tragen, müssen sie regelmäßig geübt werden, unter Beteiligung der Leitung.
Fazit: Resilienz entsteht in der Führung
Der nächste Angriff auf eine Verwaltung oder einen Versorger kommt bestimmt. Ob daraus eine echte Krise wird oder eine Störung, die man in den Griff bekommt, hängt am Ende weniger von der Firewall ab als davon, ob die Leitung ihre kritischen Leistungen kennt, deren Abhängigkeiten versteht und schon einmal durchgespielt hat, wer im Ernstfall was entscheidet.
Genau dabei unterstützt ACONO Advisory Behörden, Stadtwerke und Unternehmen: von der Analyse kritischer Leistungen über NIS2 und ISO 27001 bis zur Krisenübung mit der Leitung.
Mehr dazu auf unserer Seite zur NIS2 Beratung, oder Sie vereinbaren direkt ein Erstgespräch.