Mobile-Menu

Cyberangriffe auf Kommunen Wie öffentliche Verwaltungen ihre IT mit C5-Zertifizierung schützen können

Ein Gastbeitrag von Frank Schwaak 5 min Lesedauer

Anbieter zum Thema

Rubrik Germany GmbH
Fsas Technologies GmbH
FAST LTA GmbH
FTAPI Software GmbH

Cyberattacken auf Städte wie Aschaffenburg häufen sich dramatisch und gefährden kritische Infrastrukturen sowie sensible Daten. Doch Cloud-basierte Security-Lösungen mit dem strengen BSI-C5-Testat bieten Kommunen effektiven Schutz und ermöglichen schnelle Wiederherstellung nach Angriffen – unverzichtbar für sichere Digitalisierung trotz knapper Ressourcen.

Das C5-Testat ist für die öffentliche Hand eine wichtige Orientierung, um Cloud-Dienste sicher und rechtskonform einzusetzen.(Bild: Dall-E / KI-generiert)
Das C5-Testat ist für die öffentliche Hand eine wichtige Orientierung, um Cloud-Dienste sicher und rechtskonform einzusetzen.
(Bild: Dall-E / KI-generiert)

Im November 2024 traf ein Cyberangriff die Stadt Aschaffenburg: Bürger standen vor verschlossenen Türen, Dokumente konnten nicht ausgestellt, und Anträge nicht bearbeitet werden. Auch wenn langfristiger Schaden nicht entstanden sei, zieht das BSI das übergeordnete Fazit: Besonders Kommunen und öffentliche Einrichtungen seien „schlecht geschützte Opfer“. Was kann der öffentliche Sektor tun?

Der Cyberangriff auf Aschaffenburg ist kein Einzelfall – die Zahl der Cyberangriffe auf Städte und Kommunen steigt seit Jahren kontinuierlich an. Ransomware-Angriffe haben sich allein seit 2022 nahezu verdoppelt. Dabei geraten nicht nur IT-Systeme der Verwaltung ins Visier der Angreifer, sondern auch kritische Infrastrukturen wie öffentlicher Nahverkehr, Energie- und Wasserversorgung sowie Schulen und Kultureinrichtungen. Solche Angriffe legen nicht nur wichtige Dienstleistungen lahm, sondern bedrohen auch sensible personenbezogene Daten. Die Folgen reichen von organisatorischen und finanziellen Belastungen bis hin zu erheblichen Einschränkungen im öffentlichen Leben.

Herausforderungen durch hybride IT-Umgebungen

Mit der Digitalisierung haben sich auch im öffentlichen Sektor hybride IT-Umgebungen als Standard etabliert. Die Integration von On-Premises-Systemen als Teil komplexer hybrider Multi-Cloud-Lösungen ist zwar flexibel und effizient, führt jedoch auch zu neuen Sicherheitsherausforderungen: Angriffsflächen entstehen vor allem an den Schnittstellen zwischen den verschiedenen Systemen. Besonders problematisch sind dabei unzureichend gesicherte Objekt-Speicher, die laut Rubrik Zero Lab Report in einem durchschnittlichen Unternehmen etwa 70 Prozent der Daten in der Cloud speichern. Diese Speicher lassen sich mit herkömmlichen Sicherheitslösungen oft nicht maschinell analysieren, was sie zu einer Art Blackbox macht.

Zusätzlich erschweren begrenzte personelle Ressourcen und die Komplexität der IT-Infrastrukturen den Verantwortlichen, eine umfassende Sicherheitsstrategie zu entwickeln und umzusetzen. Umso wichtiger sind automatisierte Lösungen, die Transparenz schaffen und eine zentrale Verwaltung über alle Plattformen hinweg ermöglichen.

Um hybride Umgebungen richtig zu schützen, benötigen Organisationen daher spezialisierte IT-Security-Lösungen. Security as a Service (SaaS)-Plattformen sind dafür unverzichtbar. Mit einer Cloud-basierten Plattform können IT-Security-Teams verteilte Infrastrukturen von einer zentralen Management-Konsole aus sichern und so die Komplexität vielfältiger Einzel-Security-Lösungen reduzieren. Zudem spielt der Anbieter Patches und Updates zentral ein, so dass die Management-Plattform immer auf dem aktuellen Stand ist. IT- und Security-Teams sparen dadurch Aufwand und erhöhen gleichzeitig die Sicherheit. Trotz des Fachkräftemangels kann so schnell auf veränderte Anforderungen reagiert werden und insbesondere Kommunen und öffentliche Einrichtungen reduzieren Ihre Angriffsfläche. Rubrik schafft so bereits Voraussetzungen für die fortschreitende Digitalisierung der Stadtverwaltung der Stadt Baden-Baden.

C5-Testat: Ein Standard für Cloud-Sicherheit

Die Auswahl einer geeigneten Cloud-SaaS-Lösung für IT-Sicherheit stellt Organisationen jedoch vor Herausforderungen: Unterschiedliche Compliance-Vorgaben, Sicherheitsstandards und die Frage der Datenhoheit erschweren die Entscheidungsfindung. Das C5-Testat des Bundesamts für Sicherheit in der Informationstechnik (BSI) verspricht hier, Abhilfe zu schaffen.

C5 steht für „Cloud Computing Compliance Criteria Catalogue“ und definiert strenge Sicherheitsanforderungen für Cloud-Dienste. Seit der Aktualisierung im Jahr 2020 gilt der Standard als einer der weltweit strengsten. Das C5-Testat bietet Entscheidern in der öffentlichen Hand eine klare Orientierung, welche Cloud-Dienste höchste Sicherheitsstandards erfüllen.

Zudem ist das Testat für alle Cloud-Anwendungen in Bundesbehörden laut §8 BSI-Gesetz verpflichtend, und auch andere Bereiche wie das Gesundheitswesen müssen seit Juli 2024 darauf setzen. Das C5-Testat umfasst Aspekte wie Datenschutz, Transparenz und Ausfallsicherheit und stellt sicher, dass Anbieter jährlich durch unabhängige Wirtschaftsprüfer kontrolliert werden. Auch auf kommunaler Ebene sollten sich IT-Entscheider daher an dieser Vorgabe orientieren, um Sicherheit und Compliance zu stärken sowie perspektivische Änderungen in den Vorgaben direkt einzuhalten. Denn grundsätzlich ist C5 für alle Behörden und Unternehmen relevant, die sensible Daten schützen und einen sicheren Cloud-Einsatz gewährleisten möchten. Insbesondere öffentliche Verwaltungen und Anbieter kommunaler kritischer Infrastruktur wie Verkehrsbetriebe, Energie- oder Wasserversorger oder die Abfallwirtschaft sollten auf ein C5-Testat achten.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Resilienz durch C5-testierte Lösungen

Auf eine C5-testierte Sicherheitslösung in der Cloud zu setzen, ist der Schlüssel hin zu mehr Cyberresilienz im öffentlichen Sektor: eine C5-testierte Lösung geht über reine Abwehrmaßnahmen hinaus. Denn in der heutigen Bedrohungslandschaft, steht nicht mehr zur Debatte, ob oder wann ein Angriff erfolgreich sein wird, sondern wie oft. Der Fokus muss sich daher auf Resilienz verschieben: Wie schnell können Systeme nach einem Angriff wiederhergestellt werden, und wie lassen sich die Auswirkungen minimieren? Gerade hier gibt das C5-Testat sinnvolle Richtlinien vor, die sicherstellen, dass Geschäftskontinuität gewährleistet ist und hoheitliche Dienste auch im Ernstfall verfügbar bleiben.

Dabei kommt Backup- und Recovery-Systemen eine entscheidende Rolle im „Assumed Breach“-Ansatz zu. Sie sorgen im Ernstfall dafür, dass öffentliche Einrichtungen schnellstmöglich den Betrieb wiederherstellen können, nachdem alle anderen Sicherheitsmechanismen versagt haben. Es bietet sich für den Public-Bereich an, auf Sicherheitslösungen zu setzen, die über ein umfassendes Back-Up-System verfügen und somit Business Continuity Management (BCM), wie im C5-Katalog gefordert, gewährleisten. Dazu sollten Entscheider sich an folgenden Funktionen orientieren:

  • 1. Unveränderliche Backups: Daten werden in einem unveränderlichen Zustand unabhängig vom operativen System gespeichert. Ein logischer Air Gap kann dafür sorgen, dass Backups auch bei Kompromittierung des Systems nicht manipuliert werden können.
  • 2. Forensische Funktionen: Nach einem Angriff können betroffene Daten analysiert und Angriffspfade nachvollzogen werden. Das stellt die schnelle Wiederherstellung aus sauberen Backup-Beständen sicher.
  • 3. Proaktive Bedrohungserkennung: Sicherheitslösungen scannen kontinuierlich nach Ransomware-Indikatoren. Wichtig ist, dass diese Scans auf den Backups stattfinden und daher unbemerkt bleiben und die laufenden Systeme nicht belasten.
  • 4. Schnelle Wiederherstellung: Im Ernstfall sorgen automatisierte Wiederherstellungspläne für eine schnelle Verfügbarkeit der Systeme, Applikationen und Daten, ohne dass zusätzliche physische Infrastruktur notwendig ist. Dies reduziert die Ausfallzeiten erheblich.

Digitalisierung und Sicherheit in Einklang bringen

Die Digitalisierung der öffentlichen Hand ist ein notwendiger Schritt, um Prozesse zu optimieren und bürgernahe Dienstleistungen effizient bereitzustellen. Gleichzeitig birgt sie neue Herausforderungen. Denn bei der Nutzung der innovativen Vorteile, die Cloud-Nutzung mit sich bringen kann – die Sicherung sensibler Daten und die Gewährleistung von Compliance stehen immer im Vordergrund und müssen den höchsten Sicherheitsstandards gerecht werden.

Das C5-Testat stellt für die öffentliche Hand daher eine wichtige Orientierung dar, um Cloud-Dienste sicher und rechtskonform einzusetzen. Durch den Einsatz zertifizierter Lösungen können IT-Teams nicht nur die Sicherheit erhöhen, sondern auch Komplexität reduzieren und von automatisierten Prozessen profitieren. Angesichts knapper personeller und finanzieller Ressourcen ist dies ein echter Vorteil.

Über den Autor: Frank Schwaak ist Field CTO EMEA bei Rubrik.

(ID:50385045)

Weiterführende Inhalte