Security Awareness in Kommunen: „Man braucht einen langen Atem und starke Nerven“

Petra Stibane: Ich bin Verwaltungsfachfrau, keine Informatikerin, das schicke ich gleich voraus. Ich leite in der Kreisstadt Eberswalde das Hauptamt, zu dem unter anderem der Bereich IT gehört. Zusätzlich habe ich auch die Funktion der Informationssicherheitsbeauftragten, kurz ISB, inne. Seit 2023 bauen wir in unserer Verwaltung die Informationssicherheit nach den Vorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) auf. Ein zentraler Baustein sind dabei Security Awareness Schulungen für unsere Beschäftigten.

Petra Stibane: Das ist von Verwaltung zu Verwaltung unterschiedlich. Aber der pauschalen Aussage, dass die IT-Systeme veraltet sind, kann ich nicht zustimmen. Es gab bis vor Kurzem wohl tatsächlich vereinzelt Kommunen, die zum Beispiel noch mit Windows 10 arbeiteten. Aber bestenfalls stehen sowohl die technischen als auch die personellen Mittel zur Verfügung, um auf dem neuesten Stand zu bleiben. Kein Geheimnis ist aber, dass die öffentlichen Haushalte vielerorts unterfinanziert sind.

Genau hier komme ich als ISB ins Spiel. Denn in dieser Funktion kann ich mit der Verwaltungsleitung ernsthaft darüber sprechen, wenn Budgets für IT nicht ausreichen oder zusätzliche Stellen nötig sind.
Unter anderem, weil in der öffentlichen Verwaltung Politik und Verwaltungsfachleute aufeinandertreffen, sind Entscheidungswege manchmal, aber dann eben auch naturgemäß länger.

Petra Stibane: Kommunen sind kritische Infrastruktur. Hier liegen sensible Daten, hier werden viele Informationen verwaltet. Das macht sie zu einem attraktiven Angriffsziel. Diese Entwicklung hat aber meines Erachtens nicht nur mit Lösegeld-Erwartungen zu tun, als vielmehr auch mit dem Ziel, das Vertrauen der Bürger in den Staat zu untergraben.

Je nachdem, wie eine Kommune technisch aufgestellt ist oder wie wachsam die Beschäftigten sind, lässt sich mit vergleichsweise geringem Aufwand ein hoher Schaden anrichten. Wir kennen Fälle, in denen komplette Serverlandschaften abgeschaltet werden mussten, auch Ransomware-Angriffe auf Rathäuser und Landratsämter gab es bereits. Die Folgen spüren Bürgerinnen und Bürger unmittelbar. Das Bürgerbüro funktioniert nicht mehr, Autos können nicht angemeldet, Ausweise und Reisepässe nicht beantragt werden. Besonders kritisch wird es, wenn Sozialleistungen nicht ausgezahlt werden können oder die Notfallkommunikation der Rettungsdienste ausfällt.

Petra Stibane: Wir beobachten viele Phishing-Mails, mit denen Kriminelle über Social Engineering an Zugangsdaten oder Geld gelangen wollen. Die Zeiten des angeblichen Prinzen aus Afrika sind allerdings vorbei. Heute bekommen wir hochprofessionelle Texte, beispielsweise eine vermeintlich echte Mail von Zoom, die zum Klicken in einem gefälschten „Trust Center“ auffordert. Auf den ersten Blick kaum als bösartig zu erkennen. Dazu kommt der klassische Rechnungsbetrug: gefälschte PDFs mit angeblich offenen Forderungen. Der eigentliche Trend dahinter ist die Professionalisierung der Cybercrime-Szene. Es wird arbeitsteilig gearbeitet, ähnlich wie in einem regulären Unternehmen. Die einen stehlen Passwörter und Identitäten, andere programmieren damit gezielte Angriffe.

Sorgen bereitet mir außerdem der unkritische Hype um KI-Anwendungen. Der unreflektierte, ungeübte Umgang mit Sprachmodellen wie ChatGPT birgt ein echtes Risiko für den Datenabfluss, weil vielen Beschäftigten gar nicht bewusst ist, was sie dort preisgeben.

Petra Stibane: Das fängt früh, nämlich mit einer guten schulischen Allgemeinbildung, an. Wenn Kinder und Jugendliche fundiert ausgebildet werden, sind sie später gut in der Lage, Inhalte richtig einzuordnen und gegebenenfalls zu hinterfragen. Genau das brauchen wir auch im Berufsleben: Methodenkompetenz, also die Fähigkeit, sich neues und faktisch korrektes Wissen selbst zu erschließen. So ist man recht gut gewappnet, um falsche Inhalte und Betrügerei zu erkennen.

Beim Thema künstliche Intelligenz ist deren geschwinde Entwicklung gemessen am recht langsamen menschlichen Lernverhalten schlicht zu schnell, als dass sich die Nutzenden in diesem Feld schon alle sicher bewegen können. Ich bin nicht gegen technologischen Fortschritt, im Gegenteil. Entscheidend ist aber, ob ich das, was mir die Technik anbietet, kritisch prüfen und einordnen kann. Genau dieses Innehalten kommt zu kurz.

Petra Stibane: Bei unserer Verwaltungsleitung habe ich zunächst dafür geworben, dass wir dieses Thema angehen und dass wir es digital umsetzen, statt einen klassischen Präsenz-Fortbildungstag anzubieten. Zum Glück gab es dort von Anfang an Unterstützung. Viel Zeit hat die Vorbereitung des Vergabeverfahrens gekostet: eine Leistungsbeschreibung zu erstellen, in der klar steht, was wir brauchen und was wir von Anbietern erwarten. Dafür braucht es einen breiten Beteiligungsprozess, in den auch Personalrat und Datenschutzbeauftragte eingebunden sind. Genauso wie unsere Arbeitsgruppe Informationssicherheit, die aus unserem Rechnungsprüfungsamt, der IT sowie dem Bereich Organisation und Digitalisierung besteht. Die Beteiligung ist wichtig, um eine möglichst breite Akzeptanz für diese zusätzliche Aufgabe des Lernens zu erzeugen.

Petra Stibane: Ganz wichtig war, dass die Verwaltungsleitung die anderen Führungskräfte von Anfang an klar über das Vorhaben dieser Schulung informiert und Stellung bezogen hat: Wir machen das, und zwar als Pflichtveranstaltung. Wer nicht teilnimmt, muss auch mit arbeitsrechtlichen Konsequenzen rechnen. Trotzdem gab es zu Beginn Startschwierigkeiten, die Anlaufkurve stieg nur langsam. Deshalb haben die Vorgesetzten und ich als ISB eine deutlich stärkere Rolle übernommen, viel und wiederholt informiert und das persönliche Gespräch mit Kolleginnen und Kollegen gesucht, die teilweise einfach nicht ins Laufen kamen. Nach dem ersten Drittel der Laufzeit zog die Teilnahmequote spürbar an. Am Ende braucht es vor allem eines: viel reden, viel überzeugen.

Petra Stibane: Letztlich waren es auch hier Gespräche, und zwar hierarchiefrei. Ich bin als ISB zwar direkt dem Hauptverwaltungsbeamten unterstellt und berate die oberste Leitung, gleichzeitig bin ich aber auch für alle Beschäftigten ansprechbar und sichtbar, bis in die einzelnen Fachbereiche hinein. Man muss wissen, was die Kolleginnen und Kollegen gerade beschäftigt, dafür braucht es ein gutes Netzwerk in der eigenen Verwaltung. Sehr geholfen hat außerdem der Praxisbezug: Wir bekommen weiterhin Phishing-Mails und Betrugsversuche, und genau daran lässt sich zeigen, warum die Schulung wichtig ist.

Petra Stibane: Bei den Skeptikern haben wir vor allem argumentiert, dass sie privat ja auch von der Schulung profitieren, weil sie zum Beispiel längst online einkaufen oder Onlinebanking nutzen. Die Trainings behandeln nicht nur dienstliche Themen, sondern vermitteln ganz allgemein, wie man sich sicher im Cyberraum bewegt. Zusätzlich haben wir den Umfang erklärt und eingeordnet: Die Schulung entspricht in etwa einem einzigen Arbeitstag, verteilt über zwölf Monate mit acht bis zehn Stunden Gesamtaufwand. Das ist überschaubar.

Sehr wirksam war zudem die Praxisrelevanz, wenn Kolleginnen und Kollegen durch die Schulung erkannten, dass sie in ihrem Arbeitsumfeld etwas ändern müssen und können – zum Beispiel noch fehlende Datentonnen aufstellen oder ihre Besucherräume besser gegen ein unbefugtes Mithören durch andere schützen. Das haben sie als selbstwirksam und positiv erlebt. Aber auch Sicherheitsvorfälle führen zu Gesprächen und Verbesserungen: Als unsere IT-Kollegen entdeckten, dass Zugangsdaten mit durchsichtigem Klebeband auf einem Laptop klebten, war das ein direkter Gesprächsanlass – auch um zu verdeutlichen, wie wichtig die Schulung ist, um solche kritischen Vorkommnisse zu verhindern. Bei wenigen hartnäckigen Fällen mussten wir dann doch zum arbeitsrechtlichen Instrument greifen: Mit Fristsetzung und Ermahnungen. Weitere Konsequenzen waren nicht nötig.

Petra Stibane: Ganz kurz: Verantwortliche müssen einen langen Atem und starke Nerven mitbringen. Zweitens: das Vorhaben frühzeitig und breit kommunizieren, statt es von heute auf morgen anzukündigen. Und drittens, das halte ich für besonders wichtig: Um den passenden Anbieter zu finden, muss man vorher genau wissen, was der eigene Bedarf ist: Welche Inhalte, welcher Umfang, welche Darbietungsform einer Schulung passen zu unserer Verwaltung? Sonst landet man am Ende bei einem Anbieter, zum Beispiel ohne einen persönlichen Ansprechpartner oder mit sehr viel Aufwand für den Self-Service – und vielleicht unpassenden Schulungsinhalten - was man unter Umständen weder wollte oder erwartet hat. Diese Vorarbeit kostet bei den unüberschaubar vielen Schulungsanbietern am Markt Zeit, sie zahlt sich aber aus.