Ransomware trifft Verwaltungen: Warum Kommunen so verwundbar sind

Ein wiederkehrendes Muster

Angriffe auf Städte, Gemeinden und Verbände folgen 2026 einem erkennbaren Ablauf: Zugang über einen Fernwartungszugang oder ein ungepatchtes VPN-Gateway, Ausbreitung in einem historisch flachen Netz, Verschlüsselung der Fachverfahren am Wochenende. Danach stehen Bürgerbüro, Meldewesen, Bauamt und Zahlungsverkehr still – oft für Wochen.

Warum ausgerechnet Verwaltungen? Drei Gründe, die in den Fällen immer wieder auftauchen:

• Fachverfahren mit langen Lebenszyklen. Anwendungen, die nur auf bestimmten Betriebssystemständen laufen, blockieren das Patchen.
• Gemeinsame Infrastruktur. Kommunale Rechenzentren und Zweckverbände betreuen dutzende Mandanten. Ein Vorfall trifft alle angeschlossenen Gemeinden gleichzeitig.
• Knappe Sicherheitsressourcen. Eine IT-Abteilung mit wenigen Personen betreibt Netz, Clients, Server und Fachverfahren – 24/7-Überwachung ist damit nicht darstellbar.

Der Erpressungsdruck ist doppelt

Verwaltungsdaten sind besonders sensibel: Sozialleistungen, Meldedaten, Personalakten, Kinder- und Jugendhilfe. Selbst wenn wiederhergestellt werden kann, bleibt die Veröffentlichung dieser Daten ein eigenständiger Schaden – mit Meldepflicht nach Art. 33 DSGVO und Benachrichtigung der Betroffenen nach Art. 34.

Was in den bewältigten Fällen funktioniert hat

• Offline gehaltene oder unveränderliche Backups, die die Verschlüsselung überlebten.
• Ein vorbereiteter Notbetrieb mit Papierprozessen für kritische Bürgerdienste.
• Frühe, offene Kommunikation – sie verhindert Spekulationen und schafft Zeit.
• Trennung von Mandanten im gemeinsamen Rechenzentrum, damit ein Vorfall nicht alle erfasst.

Drei Prioritäten für die nächsten Wochen

1. Jeden aus dem Internet erreichbaren Zugang inventarisieren und mit phishing-resistenter MFA versehen. 2. Eine Wiederherstellung tatsächlich testen – nicht die Sicherung, die Wiederherstellung. 3. Die Fernzugänge aller Dienstleister überprüfen: Wer kommt wann worauf, und wird das protokolliert?

Nächster Schritt

Risikomonitor überwacht Leaksites und Darknet-Quellen auf Ihre Behörde und Ihre IT-Dienstleister – damit Sie nicht aus der Presse erfahren, dass Daten veröffentlicht wurden.

[Lieferantenmonitoring ansehen](/lieferantenmonitoring) · Jetzt über „Demo / Kontakt“ anfragen.