Kommentar: Bei IT-Sicherheit reicht es nicht für den Mindeststandard

Stand: 02.01.2025, 11:33 Uhr

NRW bietet Kommunen einen Check der IT-Sicherheit. Der testet ein niedriges Level und findet Lücken. Kein gutes Signal, meint Philip Raillon.

Von Philip Raillon

Nicht nur die Digitalisierung der Verwaltung, auch der Schutz der Digitalinfrastruktur scheitert in NRW: am Geld. Es stört mich, dass das Ministerium den Auftrag für den IT-Check vergeben hat, ohne es vorher auszuschreiben. Das könnte unnötige Zusatzkosten verursacht haben. Die tragen dann wir alle.

Denn: Die Regeln für öffentliche Ausschreibungen sollen gerade sicherstellen, dass am Ende das beste Angebot gewinnt. Ja, dass nicht unnötig Steuergelder verbraten werden. Ob es hier bessere Angebote gegeben hätte? Wir wissen es nicht – es wurde ja nicht ausgeschrieben. Gerade in Zeiten, wo der öffentliche Haushalt vorne und hinten nicht reicht, kann ich das nicht nachvollziehen.

Keine Ausschreibung wegen Dringlichkeit? Das ist wenig überzeugend

Das Argument der „Dringlichkeit“ überzeugt nicht. Wie dringlich kann ein Anliegen sein, wenn der Vertrag erst nach drei Monaten unterschrieben wird? Wie dringlich kann es sein, wenn der Vertragsgegenstand – also die Tests – dann für die Kommunen freiwillig sind?

Den Zuschlag bekam ein Unternehmen, das in der Branche als sehr gut gilt. Zumindest das.

Das Thema Geld ist bei der IT-Sicherheit allgegenwärtig. Die Kommunen im Land, klein wie groß, verkörpern den Staat an vorderster Front. Beim Auto ummelden, beim Ausweis beantragen oder bei den Müllgebühren: Dort, in den Rathäusern zwischen Siegen und Ibbenbühren, zwischen Höxter und Nettetal, spüren die Menschen, ob Staat und Verwaltung funktionieren – oder eben nicht.

Läuft es vor Ort schief, spüren das Bürger schnell

Der Eindruck und die Effizienz hängen stark von der IT ab. Die IT hat aber nur eine Chance, wenn die Behörden parallel für ausreichend Sicherheit dieser IT sorgen. Daher ist die Grundidee hinter dem IT-Check des Landes für Kommunen gut. Die Städte und Gemeinden können testen, wie sie aufgestellt sind. Ein freiwilliges und kostenloses Angebot dürfte sich auch kaum ein Bürgermeister oder Landrat entgehen lassen.

Philip Raillon

Lieber den Test machen und Schwachstellen entdecken, als keinen Test machen und sich beim nächsten erfolgreichen Hackerangriff rechtfertigen müssen. Denn Hackerangriffe gibt es viele und quasi tagtäglich. In vielen Behörden dürfte daher nicht die Frage sein, ob einer erfolgreich ist – sondern eher wann.

Dafür sprechen auch die Testergebnisse in einigen Städten. Bei den IT-Checks des Landes für die Städte wird nach den WDR-Recherchen offenbar nicht der Mindeststandard abgeprüft. Der Test richtet sich außerdem nur an kleine Behörden. Kreisfreie Städte scheinen in vielen Fällen für den Test zu gut aufgestellt zu sein.

Das niedrige Testniveau scheint noch immer zu gut für einige NRW-Städte

Das ist natürlich erstmal ein gutes Signal. Doch wie gesagt: Sie sind zu gut für einen Test aufgestellt, der ein niedriges Niveau abfragt. Ob das Niveau in allen Fällen auch gut genug für die tatsächliche Bedrohungslage ist, steht auf einem anderen Blatt. Ich hoffe es zumindest.

Wieso wird aber für die getesteten Städte ein niedrigeres Niveau abgefragt? Auf den ersten Blick irritiert das. Es lässt aber vor allem tief blicken: Noch nicht einmal den absoluten Mindeststandard in der IT-Sicherheit erreichen manche NRW-Städte.

Ich habe den Eindruck, dass zwar in den vergangenen Jahren bei der Digitalisierung von Bürgerämtern, Straßenverkehrsbehörden und Co einiges passiert ist, die IT-Sicherheit aber erstmal auf die lange Bank geschoben wurde. Das ist nicht nur fahrlässig, das ist gefährlich. Ich verstehe, dass das Thema wenig sexy ist. IT-Sicherheit kostet Geld und es merkt erstmal keiner.

Es braucht dringend mehr Geld für die IT-Sicherheit

Und doch zeigt mir das: Die Behörden brauchen nicht nur einen Schub in der Digitalisierung, sondern genauso in der IT-Sicherheit. Ja, das wird teuer. Das Geld dafür haben viele Kommunen nicht. Sie sind ohnehin schon überschuldet. Auch diese Kosten für die IT-Sicherheit dürften daher wieder einmal Schmerzen.

Und doch: Das Investment scheint bitter nötig – wer auch immer es am Ende zahlt.

Über dieses Thema berichtet der WDR auch am 02.01.2025 im Hörfunk auf WDR 5.