Viele erinnern sich noch daran. Beim Cyberangriff auf das Landesnetz in Berlin Mitte August erpresste die Hackergruppe Rhysida die Berliner Verwaltung mit einer Forderung von 30 Bitcoins (ca. zwei Millionen Euro). Der Senat zahlte nicht und prompt landeten 1,4 Millionen Nutzerdaten im Darknet.

Berlins Regierender Bürgermeister Kai Wegner (CDU) erklärte: "Wer sagt denn, wenn wir es gezahlt hätten, dass die Daten nicht längst schon woanders sind?" Man prüfe derzeit, welche Informationen abgeflossen seien, um mögliche Betroffene schnell zu informieren.

Insbesondere die Bereiche "Stadtentwicklung, Bauen und Wohnen" sowie "Mobilität, Verkehr, Klimaschutz und Umwelt" waren betroffen. Personalakten, Arbeitszeugnisse, Beurteilungen, Stundenzettel und interne Betriebsunterlagen sowie potenziell Daten von Bürgerinnen und Bürgern wurden geleakt. Könnte das auch bei uns passieren und was tun die Behörden dagegen?

• IT-Panne: Keine sensiblen Daten abgegriffen
• Lassen sich Hacker-Attacken generell vermeiden?
• Programmierfehler als Ursache der IT-Panne
• Schulung für Mitarbeitende besonders wichtig
• Womit muss ich bei einem Datenklau rechnen?
• Höhere Wachsamkeit jedes Einzelnen gefordert
• Gute Sicherheitskonzepte müssen mehrere Ebenen haben
• Notfallpläne für Krankenhäuser und Energieversorger

In Rheinland-Pfalz entdeckten die Behörden eine Sicherheitslücke in ihrer IT, bevor es zu einem groß angelegten Hackerangriff kam. Die Systeme wurden vorsorglich heruntergefahren, um die Lücke zu schließen. Betroffen waren Einwohnermeldeämter, Pass- und Personalausweisstellen, Kfz-Zulassungsbehörden und Standesämter, außerdem Waffenwesen und Schulverwaltungsprogramme. Personenbezogene Daten seien nicht gefährdet, hieß es. An den beiden Rechenzentren in Mainz und Koblenz hingen viele andere Kommunen im Land. Auch am Mittwoch gab es noch eine weitere landesweite Störung.

Doch was wäre, wenn es anders gekommen wäre. Wenn Hacker massenhaft Daten abgegriffen hätten oder in der Lage wären, Stromausfälle zu provozieren, Kraftwerke und Krankenhäuser lahmzulegen oder ein Verkehrschaos auf Straßen und Schienen zu bewirken? Sind wir davor ausreichend geschützt? Was sollen Kommunen oder Landesbehörden tun, wenn sie mit dem Datenklau erpresst werden?

Manuel Atug, Gründer und Sprecher der AG Kritis, sagte dem SWR auf Anfrage, dass sich Hackerattacken auf IT-Systemen nicht immer vermeiden lassen. Denn jede Software und jede IT biete auch eine Angriffsfläche. Entscheidend sei, wie darauf reagiert werde. Durch Beobachtung der Logfiles könnten Systemtechniker beispielsweise schnell entdecken, ob im System ein fremdes Admin-Konto eingerichtet worden sei, und dann die Systeme rechtzeitig von der Außenwelt abschotten, bevor Schaden entstehe. Das sei jetzt in Rheinland-Pfalz passiert.

Eine etwas andere Auffassung vertritt Christopher Kunz vom IT-Dienstleister Heise Online. Im Interview mit dem SWR prangert er Programmierfehler bei der IT-Sicherheit an. Beim Programmieren dieser Netzwerkgeräte habe jemand geschlampt und Inhalte nicht ordentlich geprüft. Entweder würden Cyberkriminelle die Fehler entdecken und angreifen oder im besten Fall Sicherheitsbehörden auf die Sicherheitslücken hinweisen.

Nach Ansicht von Kunz hat es auf die rheinland-pfälzische Behörden tatsächlich solche Cyberangriffe gegeben. Hier seien die Sicherheitslücken ausgenutzt worden. Das belegten Daten der amerikanischen Cybersicherheitsbehörden. Allerdings sei nicht mitgeteilt worden, von wem die Angriffe ausgingen und gegen wen sie sich richteten.

Doch sei es nicht so leicht, aufgrund einer Sicherheitslücke allein, Daten zu klauen. Dazu müsse man sich erst eine "Hintertür" im System einrichten, um quasi "mitschneiden und mitlauschen" zu können, so Kunz.

Er halte daher nichts davon, die IT-Sicherheit durch weitere Geräte aufzurüsten. Diese brächten oft gar nichts oder würden sogar selber neue Sicherheitslücken schaffen. Die Hersteller seien ja kommerziell aufgestellt und wollten gerne weitere Abos verkaufen. Besser sei es, Mitarbeitende zu einem höheren Sicherheitsbewusstsein zu bringen. Das reiche von Passwort-Sicherheit, über Schutz vor Schadsoftware bis zum Wissen, was Künstliche Intelligenz die IT-Sicherheit verändert.

Durch die immer stärkere Digitalisierung von kommunalen Dienstleistungen sind die Bürgerinnen und Bürger gezwungen, immer mehr Daten online preiszugeben. Sei es bei der Steuererklärung, bei Bauanträgen und beim Einwohnermeldeamt, aber auch bei der kommenden Wallet mit Ausweisfunktion oder der Elektronischen Patientenakte. Bei ihr besteht noch ein Widerspruchsrecht, das von vielen aus Unwissenheit oder auch Bequemlichkeit oft nicht genutzt wird.

Der Chaos-Computer-Club (CCC) weist darauf hin, dass wir uns Störungen in der öffentlichen Verwaltung nicht entziehen können. Wir sind in vielen Bereichen auf sie angewiesen. Auslöser für Datendiebstahl seien oftmals Phishing-Angriffe auf einzelne Personen. Aus den zusätzlich geklauten Daten würden Cyberkriminelle Profit machen. 

Medizinische Daten können für Erpressungsversuche genutzt werden - auch nach vielen Jahren noch, wenn man gar nicht mehr damit rechnet.

Wenn Daten von Unbefugten abgegriffen werden, muss ich laut AG Kritis damit rechnen, dass sie irgendwann missbraucht werden. E-Mail-Adressen, die Wohnadresse, aber auch Bankdaten könnten dazu genutzt werden, um auf meine Kosten Bestellungen durchzuführen und diese abzugreifen. Medizinische Daten könnten auch für Erpressungsversuche genutzt werden - auch in vielen Jahren noch, wenn ich gar nicht mehr damit rechne.

In diesem Zusammenhang bemängelt Atug auch die Daten-Sammelwut, sowohl der Bürgerinnen und Bürger, als auch der Behörden. Viele veraltete Daten, die eigentlich gar nicht mehr benötigt würden, würden häufig nicht gelöscht.

Natürlich bestehe die Möglichkeit, E-Mail-Adressen, Passwörter und sogar Namen und Adresse zu ändern. Aber vor allem letzteres sei mit großem Aufwand verbunden. Das Geburtsdatum oder die öffentlich gewordenen Diagnosen aus dem Arztbrief aber seien nicht veränderbar.

Der Chaos-Computer-Club (CCC) rät Betroffenen zu einer noch höheren Wachsamkeit, als ohnehin schon geboten sei. Wenn sich beispielsweise angeblich Behörden meldeten und Menschen zur Preisgabe bestimmter Daten verleiten wollten.

Nach einem Datenklau gebe es aber auch bestimmte juristische Möglichkeiten. Im Rahmen der Datenschutzgrundverordnung kann man von Behörden zumindest die Information einfordern, ob man selbst betroffen ist. Je nach Schwere des Schadens seien auch Schadenersatzforderungen möglich - wenn es durch eine Hackerattacke in Behörden etwa zu finanziellen Verlusten komme.

Laut CCC sind aber nicht nur Bürgerinnen und Bürger gefährdet, sondern auch viele Unternehmen, die Daten in einer Cloud gespeichert haben. Der CCC weist darauf hin, dass IT-Sicherheit nicht einmal eingekauft werden kann und dann ist es "gut".

Laut einer Sprecherin ist sie vielmehr ein "Kontinuum". Gute Sicherheitskonzepte hätten mehrere Ebenen, die Daten und Anwendungen schützen können. Auch wenn eine dieser Ebenen anfällig sei, schützt dann noch eine zweite Ebene. Das könne mit zeitgemäßen Sicherheitskonzepten erreicht werden: Kontinuierliche Zugangskontrolle mit Mehr-Faktor-Authentifzierung, gutes Management von notwendigen Software-Updates sowie eine funktionierende Überwachung und Erkennung von Auffälligkeiten.

Behörden dürften an zeitgemäßen Sicherheitskonzepten nicht sparen und diese unnötig aufschieben - auch wenn eine Veränderung hier aufwändig und nicht ohne Kosten ist. 

Ja, die gibt es laut AG Kritis. Krankenhäuser seien per Gesetz verpflichtet, über eine Notstromversorgung sicherzustellen, dass der Betrieb 72 Stunden aufrecht erhalten werden kann. In dieser Zeit sollten unaufschiebbare Operationen weiter durchgeführt werden und die Stromversorgung wieder hergestellt werden können.

Bei den jüngsten Anschlägen auf Umspannwerke in Nordrhein-Westfalen und Brandenburg habe es für die Bevölkerung beispielsweise keine spürbare Beeinträchtigung gegeben. Den betroffenen Energieversorgern sei es gelungen, auf andere Optionen umzuschwenken, sagte Atug.

Schwieriger sei das bei der Wasserversorgung in Großstädten. Dort werde die IT- Steuerung oft benötigt, um Wasser zu pumpen, sodass auch Hochhäuser versorgt werden könnten. Zudem sei inzwischen viel Wissen verloren gegangen, wie man die Wasserversorgung auch auf mechanischem Weg vollständig gewährleisten kann. Denn viele ältere Mitarbeitende, die noch über diese Kenntnisse verfügten, seien aus dem Berufsleben ausgeschieden.