Wie sollten IT-Teams in der öffentlichen Verwaltung die Verfügbarkeit überwachen?

Warum ist die IT der öffentlichen Verwaltung so oft ein Ziel?

Weil gestörte öffentliche Dienste politischen und gesellschaftlichen Druck erzeugen, und genau das wollen Hacktivisten und Ransomware-Gruppen. Die Zahlen von ENISA bestätigen das.

Das Bürgerportal einer Kommune an einem Werktagmorgen: Seit vierzig Minuten steigen die Verkehrskurven auffällig, dann antwortet das Portal nicht mehr. Einwohner können keine Termine buchen, und das Kontaktcenter füllt sich. Die Anzeichen standen in den Monitoring-Daten, aber niemand war damit beauftragt, darauf zu reagieren. Ob Sie die IT selbst betreiben oder als MSP eine EDR-Plattform für kommunale Kunden einsetzen: Monitoring hilft nur, wenn es mit Menschen und mit der Wiederherstellung verbunden ist.

Laut ENISA Threat Landscape 2025 war die öffentliche Verwaltung mit 38,5 % der Vorfälle der am häufigsten angegriffene Sektor in der EU, geprägt von DDoS-Angriffen mit geringer Wirkung (94,8 %). Nur 2 % der von ENISA erfassten DDoS-Vorfälle führten zu einer Störung des Dienstes. Die sektorbezogene Bedrohungslage für die öffentliche Verwaltung von ENISA wertete 586 öffentlich gemeldete Vorfälle des Jahres 2024 aus:

• DDoS-Angriffe machten mehr als 60 % der Vorfälle aus.
• Datenpannen machten 17,4 % aus, Ransomware etwa 10 %.
• Die Zentralregierung war bei 69 % der Vorfälle betroffen, lokale Einrichtungen bei 24 % und regionale Stellen bei 6,8 %.
• Unter den lokalen Einrichtungen waren Kommunen mit fast 44 % das häufigste Ziel.

Strukturelle Faktoren verschärfen das Risiko: Lange Beschaffungszyklen halten Altsysteme am Laufen, kleine Teams betreuen große Bestände, und Bürgerdaten erhöhen bei jeder Datenpanne den Schaden.

Was sollte die IT der öffentlichen Verwaltung tatsächlich überwachen?

Vier Ebenen, jeweils mit Signalen, die auf echte Folgen für Bürger hindeuten. Wer alles gleich stark beobachtet, erzeugt Rauschen. Wer die richtigen Signale beobachtet, gewinnt Vorwarnzeit.

Ergänzen Sie für jedes aus dem Internet erreichbare System Ablaufdatum des Zertifikats und Patch-Stand. Ein abgelaufenes Zertifikat oder ein ungepatchtes Portal gehört zu den am leichtesten vermeidbaren Ausfällen, und Patch-Lücken sind ein häufiger Einstiegsweg für Angreifer.

Was kostet ein Ausfall, wenn der Dienst öffentlich ist?

Mehr als Geld. Einwohner verlieren den Zugang zu wichtigen Diensten, Beschäftigte greifen auf Papier zurück, und das Vertrauen in die digitale Verwaltung leidet über den Ausfall hinaus.

Der Ransomware-Angriff auf Südwestfalen-IT im Oktober 2023, einen gemeinsamen IT-Dienstleister für Kommunen, zeigt das Ausmaß. The Record berichtete, dass mehr als 70 Kommunen in Nordrhein-Westfalen den Zugang zu Rathausdiensten, Einwohnerdaten, Standesämtern, Finanzsystemen und E-Mail verloren. Der Ausfall eines einzelnen Dienstleisters wurde zu einem regionalen Ausfall.

Zu den direkten Kosten zählen die Notfallwiederherstellung, externe Hilfe bei der Reaktion auf den Vorfall, Überstunden und mögliche regulatorische Folgen. Ein Modell zum Wiederverwenden finden Sie in unserem Ratgeber zu den Kosten von Ausfallzeiten.

Wie bauen Sie eine Strategie für die Verfügbarkeit auf? Ein Plan in fünf Schritten

Ordnen Sie Ihre Dienste nach Rang, überwachen Sie alle vier Ebenen, verbinden Sie Alarme mit Menschen, behandeln Sie Backups wie ein Produktivsystem und üben Sie die Wiederherstellung jedes Quartal.

1. Kritische Dienste erfassen und nach Rang ordnen. Listen Sie jeden Dienst für Bürger und jeden internen Dienst auf und geben Sie jedem eine maximal tolerierbare Ausfallzeit. Sie wird zum RTO, also wie lange der Dienst ausfallen darf, und zum RPO, also wie viel Datenverlust er verträgt. Unser Ratgeber zu RTO und RPO zeigt, wie Sie beides festlegen.
2. Gestaffeltes Monitoring mit Referenzwerten einrichten. Decken Sie Endgeräte, Netzwerk, Anwendungen und Cloud-Workloads ab. Zeichnen Sie einige Wochen normales Verhalten auf, damit Abweichungen auffallen.
3. Alarme mit Menschen verbinden. Jeder Alarm braucht eine verantwortliche Person, eine Reaktionszeit und die Befugnis zu handeln, auch außerhalb der Dienstzeiten. Üben Sie das mit Übungen.
4. Backups wie ein Produktivsystem überwachen. Verfolgen Sie den Erfolg der Jobs, die Integrität der Wiederherstellungspunkte und wer auf das Repository zugreift. Ein fehlgeschlagenes Backup, das niemand bemerkt, ist ein Ausfall, der nur noch eintreten muss. Lesen Sie dazu, woran Sie erkennen, ob Ihr Backup funktioniert.
5. Die Wiederherstellung jedes Quartal üben. Stellen Sie echte Dienste am RTO gemessen wieder her, halten Sie die Ergebnisse fest und beheben Sie, was zu langsam ist.

Die Empfehlungen von ENISA für die öffentliche Verwaltung nennen konkrete Maßnahmen: Content Delivery Networks und Web Application Firewalls mit dauerhaft aktivem DDoS-Schutz, DNS-Failover auf eine statische Ausweichseite, MFA mit bedingtem Zugriff und EDR mit Netzwerksegmentierung gegen Ransomware.

Was kann Monitoring leisten, und was nicht?

Monitoring verhindert oder verkürzt Vorfälle, die sich ankündigen. Es kann erfolgreiche Ransomware oder Datenzerstörung nicht rückgängig machen. Das ist die Aufgabe von Backup und Disaster Recovery.

Was verlangt NIS2 von der öffentlichen Verwaltung?

Für öffentliche Stellen im Anwendungsbereich macht die Richtlinie (EU) 2022/2555 Resilienz zur gesetzlichen Pflicht. Die öffentliche Verwaltung steht in Anhang I, und Art. 2 Abs. 2 lit. f bezieht Einrichtungen der Zentralregierung ein. Die Mitgliedstaaten können regionale und lokale Stellen einbeziehen.

• Art. 21 Abs. 2 NIS2-Richtlinie: zehn Maßnahmen, darunter unter Buchstabe c die Aufrechterhaltung des Betriebs, etwa durch Backup-Management und Wiederherstellung nach einem Notfall, sowie das Krisenmanagement.
• Art. 23: bei erheblichen Sicherheitsvorfällen eine Frühwarnung innerhalb von 24 Stunden, eine Meldung des Vorfalls innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
• Art. 20: Die Leitungsorgane billigen und überwachen die Maßnahmen, müssen sich schulen lassen und können haftbar gemacht werden.

In Deutschland gilt das NIS2UmsuCG seit dem 6. Dezember 2025. Es verpflichtet die Behörden der Bundesverwaltung zu verbindlichen IT-Sicherheitsvorgaben unter Aufsicht des BSI. Die Länder setzen die Richtlinie für ihre Verwaltung in eigener Zuständigkeit um, und die kommunale Kernverwaltung fällt nach Angaben des BSI grundsätzlich nicht in den Anwendungsbereich des BSIG. Die Prüfung der Betroffenheit liegt bei der jeweiligen Gebietskörperschaft. In den Niederlanden gilt seit dem 15. August 2026 die Cyberbeveiligingswet. Laut Digitale Overheid erfasst sie Ministerien (einschließlich Agenturen), Provinzen, Gemeinden und Wasserverbände sowie einige unabhängige Verwaltungsorgane und Verbünde. Wie es um Ihre Organisation steht, klären Sie mit unserem Ratgeber zum Anwendungsbereich von NIS2.

Ihre nächsten Schritte

Verfügbarkeit in der öffentlichen Verwaltung ist heute ein regulierter Zielzustand und nicht mehr nur ein Service Level. Ordnen Sie Ihre Dienste nach Rang, überwachen Sie alle vier Ebenen, verbinden Sie jeden Alarm mit einer verantwortlichen Person und üben Sie die Wiederherstellung, bis sich die Nachweise von selbst ergeben.

Mindtime deckt die Wiederherstellungsseite ab. Backups werden rund um die Uhr überwacht, jeder Backup-Job wird automatisch geprüft, und die Daten liegen ausschließlich in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden, als unveränderliche Kopien plus eine Air-Gap-Kopie. Kritische Workloads stellen wir mit einem SLA von 4 Stunden wieder her, und unser Disaster-Recovery-Service führt jedes Quartal automatisierte DR-Tests durch, mit Nachweisen für Prüfer. Der Support ist persönlich, auf Deutsch, Niederländisch und Englisch. MSPs, die Kommunen betreuen, können die EDR-Plattform von Mindtime für die Endgeräteebene ergänzen. Den Betrieb übernimmt dabei ihr eigenes Team.

Würden Ihr Monitoring und Ihre Wiederherstellung einer Prüfung standhalten? Kostenlose Analyse anfordern.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.