Cyberangriffe auf Städte und Gemeinden treffen längst nicht mehr nur einzelne IT-Systeme. Fallen Verwaltungsnetze aus, können Bürgerdienste, Kommunikation und zentrale kommunale Abläufe unmittelbar beeinträchtigt werden. Hessen reagiert darauf mit einem Ausbau seiner Unterstützungsstrukturen. Auf dem neunten Cybersicherheitsgipfel des Landes in Marburg wurde jetzt ein neues Pilotprojekt vorgestellt: Eine gemeinsam vom Hessen CyberCompetenceCenter und der Hochschule Fresenius entwickelte „Sandbox“ soll verdächtige Dateien isoliert untersuchen und Kommunen dabei helfen, Schadsoftware frühzeitig zu erkennen.

Cybersicherheit wird zunehmend zur Voraussetzung staatlicher Handlungsfähigkeit. Diese Botschaft stand im Mittelpunkt des neunten Cybersicherheitsgipfels Hessen in Marburg, der unter dem Motto „80 Jahre Hessen – Cybersicherheit in der Zeitenwende“ Vertreter aus Politik, Verwaltung, Wirtschaft und Wissenschaft zusammenbrachte.

Diskutiert wurde eine Bedrohungslage, die sich gleich in mehrfacher Hinsicht verändert. Cyberangriffe werden professioneller und stärker automatisiert, künstliche Intelligenz erweitert die Möglichkeiten für Angreifer und geopolitische Konflikte wirken zunehmend in den digitalen Raum hinein. Einen besonderen Schwerpunkt bildete dabei die Widerstandsfähigkeit der hessischen Kommunen.

Innenstaatssekretär Martin Rößler stellte Cybersicherheit ausdrücklich in den Zusammenhang staatlicher Daseinsvorsorge. Verwaltung, Energieversorgung, Gesundheitswesen, Bildung und Wirtschaft seien heute so stark digital miteinander verflochten, dass der Schutz digitaler Infrastrukturen unmittelbar mit der Funktionsfähigkeit des Staates verbunden sei.

Der Gedanke ist entscheidend: Ein Cyberangriff auf eine Kommune ist längst nicht mehr lediglich ein IT-Problem. Werden Fachverfahren, Kommunikationssysteme oder zentrale Verwaltungsdienste lahmgelegt, kann daraus innerhalb kurzer Zeit ein organisatorischer Krisenfall werden.

Kommunen als sensible Angriffsfläche

Gerade Städte, Gemeinden und Landkreise stellen besondere Anforderungen an Cybersecurity. Sie verarbeiten große Mengen personenbezogener und teilweise besonders schützenswerter Daten, betreiben zahlreiche digitale Fachverfahren und müssen gleichzeitig sicherstellen, dass Verwaltungsleistungen für Bürger und Unternehmen verfügbar bleiben.

Hinzu kommt eine strukturelle Herausforderung: Die technische und personelle Ausstattung unterscheidet sich erheblich zwischen einzelnen Kommunen. Während größere Städte eigene Security-Spezialisten beschäftigen können, müssen kleinere Verwaltungen IT-Sicherheit häufig mit wesentlich begrenzteren Ressourcen organisieren.

Hessen versucht deshalb, Fähigkeiten stärker zu bündeln. Das Hessen CyberCompetenceCenter, kurz Hessen3C, fungiert als zentrale Anlaufstelle für Informations- und Cybersicherheit und unterstützt insbesondere Kommunen bei der Prävention und Bewältigung von Sicherheitsvorfällen.

Die strategische Richtung ist damit klar: Nicht jede Kommune soll sämtliche Fähigkeiten zur Angriffserkennung, Bedrohungsanalyse und Reaktion auf Cybervorfälle vollständig selbst vorhalten müssen.

„Sandbox“ untersucht verdächtige Dateien in geschützter Umgebung

Einen neuen Baustein dieser Strategie stellte Hessen auf dem Cybersicherheitsgipfel vor.

Die gemeinsam vom Hessen3C und der Hochschule Fresenius entwickelte „Sandbox“ soll verdächtige E-Mail-Anhänge und Dateien in einer abgeschotteten digitalen Umgebung analysieren. Das System basiert nach Angaben des Landes auf Open-Source-Software und startet nun in die Pilotphase.

Das technische Prinzip ist etabliert: Eine potenziell gefährliche Datei wird nicht unmittelbar auf einem regulären Arbeitsplatz oder innerhalb des produktiven Verwaltungsnetzes geöffnet. Stattdessen wird sie in einer kontrollierten Umgebung ausgeführt beziehungsweise untersucht.

Zeigt die Datei dort verdächtiges Verhalten – etwa ungewöhnliche Netzwerkkommunikation, Manipulationen am System oder den Versuch, weitere Schadsoftware nachzuladen –, kann dies analysiert werden, ohne das eigentliche Verwaltungsnetz derselben Gefahr auszusetzen.

Gerade für kleinere Kommunen kann ein solches Angebot von Bedeutung sein, weil nicht jede Verwaltung eigene Kapazitäten zur Analyse verdächtiger Dateien und Schadsoftware vorhalten kann.

Das Pilotprojekt adressiert damit einen weiterhin kritischen Angriffsweg: manipulierte E-Mail-Anhänge und Dateien, über die Angreifer versuchen, Schadsoftware in Organisationen einzuschleusen oder weitere Angriffe vorzubereiten.

Eine Sandbox ist kein vollständiges Sicherheitskonzept

Der Ansatz ist sinnvoll, sollte allerdings nicht überschätzt werden.

Eine Sandbox ist ein Analyseinstrument – keine vollständige Verteidigungsarchitektur. Moderne Schadsoftware kann beispielsweise versuchen zu erkennen, ob sie innerhalb einer virtuellen Testumgebung ausgeführt wird, und ihr Verhalten entsprechend verändern. Zudem benötigen viele erfolgreiche Cyberangriffe längst keine klassischen Dateianhänge mehr.

Gestohlene Zugangsdaten, Phishing-Seiten, Social Engineering, kompromittierte Cloud-Konten oder Schwachstellen in öffentlich erreichbaren Systemen können ebenso zum Einfallstor werden.

Die eigentliche Stärke des hessischen Projekts dürfte deshalb weniger im einzelnen Werkzeug als in dessen Einbettung in eine breitere Sicherheitsstruktur liegen.

Kommunale Cyberresilienz benötigt mehrere Verteidigungsebenen: sichere Identitäten und Zugänge, konsequentes Patch- und Schwachstellenmanagement, Netzsegmentierung, belastbare Datensicherungen, Monitoring, Security Awareness und vorbereitete Reaktionsprozesse.

Eine Sandbox kann dabei helfen, bestimmte verdächtige Inhalte frühzeitig zu erkennen. Sie ersetzt jedoch weder technische Basissicherheit noch ein funktionierendes Incident-Response-Konzept.

Hessen baut ein kommunales Sicherheitsnetz

Parallel entwickelt das Land weitere Unterstützungsangebote.

Über die Malware Information Sharing Platform MISP können beispielsweise Informationen über Cyberbedrohungen und technische Indikatoren ausgetauscht werden. Hessen3C bietet den Kommunen eine entsprechende Anbindung kostenfrei an.

Der Nutzen eines solchen Ansatzes liegt im gemeinsamen Lagebild. Wird eine Bedrohung an einer Stelle erkannt, können relevante Informationen schneller mit anderen Organisationen geteilt werden. Verteidigung wird damit zumindest teilweise von einer isolierten Aufgabe einzelner Kommunen zu einem gemeinschaftlichen Prozess.

Hinzu kommen Beratungs- und Unterstützungsangebote für die Prävention und Bewältigung von Sicherheitsvorfällen.

Gerade bei größeren Cyberattacken zeigt sich, dass erfolgreiche Verteidigung nicht allein darin besteht, einen Angriff möglichst früh zu stoppen. Ebenso entscheidend ist die Fähigkeit, nach einer erfolgreichen Kompromittierung weiterarbeiten und zentrale Leistungen wiederherstellen zu können.

Vom Schutz der IT zur Aufrechterhaltung des Betriebs

Damit verändert sich auch der Maßstab für kommunale Cybersicherheit.

Die zentrale Frage lautet nicht mehr nur: Wie lässt sich ein erfolgreicher Cyberangriff verhindern?

Mindestens ebenso wichtig ist: Welche Verwaltungsleistungen bleiben nach einem Angriff verfügbar, und wie schnell kann der reguläre Betrieb wiederhergestellt werden?

Das betrifft technische ebenso wie organisatorische Fragen. Verantwortlichkeiten müssen vor einem Vorfall geklärt sein, Kommunikationswege auch bei Ausfällen funktionieren und besonders kritische Dienste priorisiert werden.

Cyberresilienz umfasst deshalb neben Prävention und Angriffserkennung zunehmend auch Business Continuity und Wiederanlaufplanung.

Gerade für Kommunen ist diese Perspektive entscheidend. Können Bürgerdienste, interne Kommunikation oder zentrale Fachverfahren über längere Zeit nicht genutzt werden, wird ein Cybervorfall unmittelbar für Bevölkerung und Wirtschaft sichtbar.

Standardisierung kann Kommunen entlasten

Eine weitere Rolle spielt der sogenannte Zukunftspakt zwischen dem Land Hessen und seinen Kommunen. Ziel ist unter anderem, stärker vereinheitlichte und resiliente IT-Strukturen mit hohen Sicherheitsstandards zu schaffen und vorhandene Ressourcen effizienter einzusetzen.

Dahinter steht eine Herausforderung, die weit über Hessen hinausreicht.

Je mehr Verwaltungsleistungen digitalisiert werden, desto schwieriger wird es, eine Vielzahl weitgehend eigenständiger IT-Landschaften dauerhaft auf einem vergleichbaren Sicherheitsniveau zu betreiben. Gemeinsame Dienste, standardisierte Architekturen und zentral verfügbare Security-Kompetenzen können hier erhebliche Vorteile schaffen.

Gleichzeitig entstehen dadurch neue Anforderungen. Je stärker Infrastruktur zentralisiert wird, desto größer können die Auswirkungen eines Ausfalls oder erfolgreichen Angriffs auf zentrale Komponenten sein.

Konsolidierung ist deshalb kein Ersatz für Resilienz. Im Gegenteil: Sie macht hohe Sicherheitsstandards, Redundanzen und belastbare Wiederanlaufkonzepte noch wichtiger.

Cybersicherheit muss dauerhaft überprüft werden

Mit dem KOMPASS-Cybersicherheitssiegel will Hessen zudem das Engagement von Kommunen für eine systematische Verbesserung ihrer IT-Sicherheit sichtbar machen.

Solche Ansätze können dabei helfen, Cybersecurity stärker zu institutionalisieren und aus der Ebene unverbindlicher Einzelmaßnahmen herauszuführen.

Allerdings sollte ein Siegel nicht mit einem dauerhaft sicheren Zustand verwechselt werden. Cybersecurity ist kein Projekt, das zu einem bestimmten Zeitpunkt abgeschlossen werden kann. Systeme verändern sich, neue Schwachstellen entstehen, Personal wechselt und Angriffsmethoden entwickeln sich weiter.

Der eigentliche Wert liegt daher in kontinuierlichen Prozessen: regelmäßiger Überprüfung, klaren Verantwortlichkeiten und der Bereitschaft, Sicherheitsstrukturen fortlaufend anzupassen.

Kommunale Cyberresilienz wird zur Kernaufgabe

Der Cybersicherheitsgipfel in Marburg zeigt, wie sich die Debatte verändert. Im Mittelpunkt steht nicht mehr allein die Absicherung einzelner IT-Systeme, sondern die Widerstandsfähigkeit staatlicher und kommunaler Strukturen insgesamt.

Die neue Sandbox ist dafür ein konkretes Beispiel. Sie kann helfen, verdächtige Dateien kontrolliert zu untersuchen und damit eine häufig genutzte Angriffsschnittstelle besser abzusichern. Ihre größere Bedeutung liegt jedoch im dahinterstehenden Modell.

Nicht jede Kommune muss sämtliche Cybersecurity-Fähigkeiten selbst entwickeln. Analyse, Threat Intelligence, Beratung und Unterstützung im Krisenfall können zumindest teilweise zentral gebündelt und gemeinsam genutzt werden.

Für Städte und Gemeinden wird ein solcher Ansatz zunehmend wichtig. Digitalisierung macht Verwaltungen effizienter und eröffnet neue Dienstleistungen – erhöht jedoch gleichzeitig ihre Abhängigkeit von funktionierenden IT-Systemen.

Wenn digitale Verwaltungsstrukturen ausfallen, wird aus einem Cybersecurity-Problem sehr schnell eine Frage der Daseinsvorsorge.

Kommunale Cyberresilienz entscheidet sich deshalb nicht allein daran, ob ein Angriff verhindert werden kann. Entscheidend ist, ob eine Verwaltung auch unter Angriff und nach einem erfolgreichen Vorfall handlungsfähig bleibt.