Der Cyberangriff auf die Berliner Verwaltung offenbart kritische Schwachstellen in der Behörden-IT und macht dringenden Handlungsbedarf bei der Cybersicherheit deutlich.
Der Cyberangriff auf die Berliner Verwaltung und das damit verbundene Datenleck zeigen aus Sicht von eco – Verband der Internetwirtschaft, wie gefährlich unterschiedliche Sicherheitsstandards für Staat und Wirtschaft sind. Neben personenbezogenen Daten wurden offenbar auch sensible Unterlagen zu Notfallplänen für die Wasserversorgung und zur Erweiterung des Bundeskanzleramts veröffentlicht.
eco sieht sich damit in seiner bereits 2024 geäußerten Kritik bestätigt: Auch Landes- und Kommunalbehörden brauchen verbindliche und überprüfbare Cybersicherheitsstandards.
„Der Staat darf sich bei der Cybersicherheit nicht selbst ausnehmen. Unternehmen müssen nach NIS-2 erhebliche Anstrengungen unternehmen, um ihre Systeme und Daten zu schützen. Gleichzeitig gelten vergleichbare verbindliche Vorgaben für Landes- und Kommunalverwaltungen nicht unmittelbar. Der Angriff auf Berlin zeigt, dass diese Lücke kein theoretisches Problem ist“, sagt Prof. Dr. Norbert Pohlmann, Mitglied des eco Vorstands.
Bereits in seiner Stellungnahme vom 28. Mai 2024 zum Entwurf des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes hatte eco die Ausnahme für Einrichtungen der Bundesländer ausdrücklich kritisiert. Aus Sicht des Verbands braucht es jetzt Konsequenzen.
Für Behörden müssen dieselben Cybersicherheitsstandards gelten wie für Unternehmen
„Wer Unternehmen zur Cybersicherheit verpflichtet, muss für seine eigenen Behörden mindestens denselben Maßstab anlegen. Sensible Verwaltungsdaten dürfen nicht schlechter geschützt sein als Daten in einem Unternehmen, nur weil sie auf einem anderen Schreibtisch liegen“, so Pohlmann.
Besonders deutlich wird das am Schutz Kritischer Infrastruktur. Ein Wasserversorger kann seine eigenen Systeme umfassend absichern – und trotzdem können sensible Informationen über die Infrastruktur einer Behörde kompromittiert werden. „Cybersicherheit endet nicht an Organisationsgrenzen. Wenn Behörden Informationen über kritische Infrastruktur verwalten, müssen auch dort entsprechende Sicherheitsstandards gelten und umgesetzt werden“, sagt Pohlmann.
Unternehmen, die unter das NIS-2-Umsetzungsgesetz fallen, müssen Cyberrisiken systematisch bewerten, Schutzmaßnahmen umsetzen und deren Einhaltung dokumentieren. Dazu zählen unter anderem Datensicherungen, Vorkehrungen zur Wiederherstellung nach Sicherheitsvorfällen, Zugriffskontrollen und regelmäßige Schulungen. Erhebliche Sicherheitsvorfälle müssen innerhalb klar definierter Fristen gemeldet werden. Auch die Geschäftsleitungen tragen Verantwortung für die Umsetzung und Überwachung der Sicherheitsmaßnahmen.
Föderale Lücken beim Cyberschutz machen Behörden zum attraktiven Angriffsziel
Für Landes- und Kommunalverwaltungen gilt ein vergleichbarer bundesgesetzlicher Pflichtenkatalog bislang nicht unmittelbar. Die Umsetzung der europäischen Vorgaben in kritischen Teilen der Landesverwaltungen liegt damit in der Verantwortung der Länder.
„Berlin ist ein Weckruf: Cybersicherheit darf im föderalen Zuständigkeitsdschungel nicht zur Verantwortungsfrage werden. Für Angreifer spielt es keine Rolle, ob eine Sicherheitslücke beim Bund, einem Land oder einer Kommune liegt. Entscheidend ist allein, ob sie existiert und umgesetzt werden“, sagt Pohlmann.
eco fordert einen gemeinsamen Notfallplan für Bund, Länder und Kommunen
eco fordert deshalb einen gemeinsamen Notfallplan von Bund, Ländern und Kommunen. Dieser muss festlegen, wie gefährdete Systeme kurzfristig überprüft, kompromittierte Zugänge gesperrt und betroffene Behörden und Einrichtungen informiert werden. Für weitere Angriffe braucht es klare Meldewege, festgelegte Verantwortlichkeiten und regelmäßig erprobte Abläufe.
Darüber hinaus fordert eco einheitlich hohe Sicherheitsstandards für Landes- und Kommunalbehörden, verbindliche Umsetzungsfristen und unabhängige Kontrollen. Die dafür notwendigen Mittel für Fachpersonal, sichere Technik und verpflichtende Schulungen müssen bereitgestellt werden.
Auch bei der alltäglichen Arbeit sieht eco Handlungsbedarf. Sichere Cybersicherheit beginnt nicht erst beim nächsten Angriff, sondern bei den Prozessen im Verwaltungsalltag.
„Beschäftigte brauchen sichere Verfahren für den Umgang mit vertraulichen Dokumenten und Zugangsdaten, die im Arbeitsalltag funktionieren. Die Behördenleitungen müssen diese Verfahren bereitstellen, ihre Anwendung schulen und die Einhaltung kontrollieren. Die Verantwortung für sichere Verwaltungsdaten lässt sich nicht auf einzelne Beschäftigte abschieben“, sagt Pohlmann.
Zentrale Erkenntnisse der DS-Redaktion
- Regulatorische Lücke: Landes- und Kommunalbehörden unterliegen bislang nicht unmittelbar vergleichbaren verbindlichen Cybersicherheitsvorgaben wie Unternehmen.
- Berlin als Weckruf: Der Cyberangriff zeigt, dass unterschiedliche Sicherheitsstandards zwischen Staat und Wirtschaft ein konkretes Risiko darstellen.
- Kritische Infrastruktur: Sensible Informationen zu kritischer Infrastruktur müssen unabhängig von Zuständigkeiten nach einheitlich hohen Standards geschützt werden.
- Klare Verantwortung: eco fordert verbindliche Sicherheitsstandards, Umsetzungsfristen und unabhängige Kontrollen für Landes- und Kommunalbehörden.
- Gemeinsame Vorbereitung: Bund, Länder und Kommunen brauchen einen gemeinsamen Notfallplan mit klaren Meldewegen, Verantwortlichkeiten und regelmäßig erprobten Abläufen.
Fazit
Der Cyberangriff auf Berlin macht unmissverständlich deutlich: Cybersicherheit darf keine Frage der Zuständigkeit sein. Wer Unternehmen zu hohen Sicherheitsstandards verpflichtet, muss dieselben Maßstäbe auch an Behörden anlegen – verbindlich, überprüfbar und bundesweit einheitlich.
Weitere Informationen
DATENSICHERHEIT.DE, 31.07.2026
NIS-2-Registrierungslücke als Symptom für ein größeres Problem
DATENSICHERHEIT.DE, 02.07.2026
Die eigentliche Herausforderung beginnt erst jetzt: NIS-2-Registrierung genügt nicht
DATENSICHERHEIT.DE, 11.01.2026
KMU-Fitness für NIS-2: Universität Paderborn bietet Online-Tool und Lernplattform zur Stärkung der Cybersicherheit
DATENSICHERHEIT.DE, 07.12.2025
NIS-2-Umsetzungsgesetz in Kraft: Verpflichtende Umsetzungsphase lässt keine weiteren Verzögerungen zu
DATENSICHERHEIT.DE, 21.11.2023
NIS-2-Nicht-Umsetzung: Offener Brief des TeleTrusT an den IT-Planungsrat
