Cybersicherheits-Strategien für Kommunen: 5 Fragen an Julia Schütze

1) IT-Sicherheitsstandards: Einmal etabliert, für immer geschützt? 

Selbstverständlich ist es wichtig, dass zuerst ein IT-Sicherheitsstandard etabliert wird. Hier ist der vom Bundesamt für Informationssicherheit (BSI) entwickelte BSI-Grundschutz zu nennen oder der internationale Standard ISO 20071. Auf einem eingeführten Sicherheitsstandard darf man sich jedoch nicht ausruhen. Es gilt, immer wieder zu prüfen, die Richtlinien im Arbeitsalltag umgesetzt werden. Auch müssen sie stets den aktuellen Gegebenheiten angepasst werden. Informationssicherheit sollte als Prozess verstanden werden.

2) Wie lässt sich feststellen, ob die IT-Sicherheitsstandards den Anforderungen entsprechen?

Es gibt für die Überprüfung von technischen Maßnahmen sogenannte Penetrationstests und – analysen. Ob Passwortrichtlinien allen derzeitigen Erfordernissen entsprechen, kann man selbst überprüfen, indem man sich über aktuelle Angriffstaktiken und -tools informiert. Hier wird noch einmal der Prozess-Charakter deutlich. Informationssicherheitsstandards müssen fortlaufend geprüft und die Verbesserungen in den Arbeitsalltag integriert werden.

3) Warum müssen alle Mitarbeiterinnen und Mitarbeiter eingebunden werden?

Die Einbindung aller ist ein entscheidender Faktor für den Erfolg. Häufig wird Cybersicherheit als reines IT-Thema angesehen. Dabei handelt es sich jedoch um ein Missverständnis. Das Ziel muss vielmehr die Etablierung einer Cybersicherheitskultur sein, die alle Bereiche und Ebenen einbezieht, also beispielsweise Personal und Finanzen sowie Führungskräfte. Vor allem, wenn Dinge mal schiefgehen, kann es nicht nur alleine die IT regeln. Jeder und jedem wird eine Rolle zugewiesen.

4) Sollte Cybersicherheit trainiert werden?

Ja, vergleichbar ist dies mit einem Fitnesstraining – je häufiger Sport getrieben wird, desto besser arbeiten Muskeln. Um auf den Worst Case, wie eine Ransomware-Attacke, vorbereitet zu sein, sollten solche Szenarien durchgespielt werden. Wichtig ist, dass die Notfalltrainings auf die jeweiligen Gegebenheiten abgestimmt werden und realistisch sind. Tritt der Ernstfall ein, kennt jeder seine Aufgabe und die Abläufe – einen kühlen Kopf zu bewahren, fällt leichter.

5) Welcher sicherheitsrelevante Aspekt wird häufig unterschätzt?

Cybersicherheit muss aus verschiedenen Blickwinkeln betrachtet werden, um erfolgreich zu sein. Nur die technischen Aspekte zu beleuchten, greift zu kurz. Die Leitung muss Informationssicherheit als organisationssweites Risiko-Management verstehen – nicht als reines IT-Problem. Dabei kommt es auf organisatorische, finanzielle, technische und personelle Faktoren an, die Risiken vermindern können. All diese zusammenzuführen, ist die Aufgabe der Leitungsebene.

Weitere Informationen zur Cybersicherheit für Kommunen
Sie wollen mehr über den Aufbau kommunaler IT-Sicherheitsstrategien erfahren? Dann lesen Sie unseren Bericht über den 2. Cybersecurity-Tag der Komm.ONE am 20. Juni 2024 in der Böblinger Kongresshalle. Julia Schütze sprach dort über die Stärkung von Kommunalverwaltungen und führte Tabletop-Übungen durch. Werfen Sie hier einen Blick auf das gesamte Programm des 2. Cybersicherheits-Tags