In der Nacht vom 29. auf den 30. Oktober 2023 traf ein Ransomware-Angriff die Südwestfalen-IT, den gemeinsamen kommunalen IT-Dienstleister für einen Großteil der Region Südwestfalen. Die Folgen zeigen, was ein Single Point of Failure in der kommunalen IT-Landschaft konkret bedeutet.
Laut Medienberichten verschafften sich die Angreifer über einen kompromittierten VPN-Zugang Zutritt zum Netz der Südwestfalen-IT, dem klassischen Einfallstor bei extern erreichbaren Fernzugängen.
Von diesem einen Zugang aus breiteten sich die Angreifer im internen Netz des Dienstleisters aus, genau dem Netz, an das dutzende Kommunen ihre eigene Verwaltungs-IT angeschlossen hatten.
Die Gruppe „Akira“ verschlüsselte daraufhin zentrale Systeme der Südwestfalen-IT. Weil so viele Kommunen an dieselbe Infrastruktur angebunden waren, traf die Verschlüsselung nicht eine Verwaltung, sondern eine ganze Region auf einen Schlag.
Nach Angaben von heise online mussten bis zu 103 Kommunen wochenlang im Notbetrieb arbeiten, mit eingeschränktem Zugriff auf Bürgerportale, Fachverfahren und interne Systeme.
Der Fall Südwestfalen-IT betraf keine Großstadt mit eigener IT-Abteilung, sondern genau die Konstellation, die in Deutschland am häufigsten vorkommt: kleinere und mittlere Kommunen, die ihre IT über einen gemeinsamen Dienstleister beziehen. Betroffen war nicht die einzelne Kommune, sondern die gemeinsame Infrastruktur, an die sie angeschlossen war.
Ähnliche Vorfälle gab es auch bei der Stadt Mössingen (17. November 2023) und 2025 bei zwei Berliner Senatsverwaltungen durch die Gruppe „Rhysida“.
Angaben nach öffentlicher Berichterstattung (u. a. heise online). accessgranted war an diesem Vorfall nicht beteiligt.
Verwaltungen kombinieren öffentlich erreichbare Bürgerdienste mit historisch gewachsenen Fachverfahren und ständigem Publikumsverkehr. Hängen dazu viele Kommunen an derselben zentralen Infrastruktur, reicht ein einziger kompromittierter Zugang, damit sich ein Vorfall entlang der Anbindungen auf alle angeschlossenen Verwaltungen ausbreitet.
Online-Antragsstrecken für Personalausweis, Kfz-Zulassung oder Wohngeld sind öffentlich erreichbar und damit ein direktes Ziel für Angreifer, die Bürgerdaten oder Zugriff auf dahinterliegende Systeme suchen.
Spezialsoftware für Meldewesen, Sozialleistungen oder Bauverwaltung ist oft über Jahrzehnte gewachsen, selten für heutige Bedrohungslagen konzipiert und schwer kurzfristig zu ersetzen.
Nutzen viele Kommunen dieselbe zentrale Infrastruktur, wird ein einzelner erfolgreicher Angriff zum Vorfall für dutzende Verwaltungen gleichzeitig, wie der Fall Südwestfalen-IT gezeigt hat.
Offene Schalterhallen, viele einzelne Standorte und direkter Bürgerkontakt erleichtern Pretexting und unbefugten Zutritt in einem Umfeld, das auf Bürgernähe statt auf Sicherheit ausgelegt ist.
Öffentliche Verwaltung ist regulatorisch doppelt betroffen: einmal branchenübergreifend durch NIS2, einmal spezifisch für digitale Bürgerdienste durch das OZG. Beides läuft auf dieselbe Grundfrage hinaus: Ist eure IT tatsächlich so sicher, wie sie sein müsste?
Anlage 1 des BSIG führt „Staat und Verwaltung“ als eigenen Sektor. Kommunen, die die dortigen Schwellenwerte erreichen, unterliegen denselben Nachweispflichten wie Energieversorger oder Krankenhäuser, inklusive Registrierung beim BSI und Meldepflichten bei Sicherheitsvorfällen.
Für Verwaltungsleistungen, die über den Portalverbund nach dem Online-Zugangsgesetz angeboten werden, schreibt die ITSiV-PV des BMI regelmäßige Web-Checks und Penetrationstests durch BSI-zertifizierte Prüfstellen vor. BSI IT-Grundschutz bleibt dabei die allgemeine Referenz, die DSGVO gilt zusätzlich für alle Bürgerdaten.
Registrierungs- und Meldepflichten laufen unabhängig davon, ob eine Kommune ihre IT selbst betreibt oder über einen gemeinsamen Dienstleister bezieht.
Ein Pentest für eine Kommune hat selten nur einen Entscheider. In der Praxis sitzen meist der IT-Leiter oder Amtsleiter IT, der kommunale IT-Dienstleister selbst, ein Informationssicherheitsbeauftragter oder CISO, der Bürgermeister oder Kämmerer als Budgetverantwortlicher und der Datenschutzbeauftragte am Tisch, mit teils unterschiedlichen Prioritäten.
Kommunale Budgets sind eng geplant, IT-Sicherheit konkurriert mit vielen anderen Pflichtaufgaben. Ein klar abgegrenzter, fest kalkulierter Scope macht den Aufwand von vornherein planbar.
Öffentliche Auftraggeber müssen Ausschreibungs- und Vergaberegeln einhalten, auch bei IT-Sicherheitsleistungen. Wir legen unsere Angebote so aus, dass sie sich für Direktvergaben unterhalb der Wertgrenzen ebenso eignen wie als Grundlage für ein förmliches Vergabeverfahren.
Oft ist nicht eindeutig geklärt, wer für welchen Teil der Infrastruktur verantwortlich ist, die einzelne Kommune oder der gemeinsame IT-Dienstleister. Wir klären das im Scoping vorab, damit der Test dort ansetzt, wo eure tatsächliche Verantwortung liegt.
Genau diese Annahme lag beim Fall Südwestfalen-IT nahe, und war falsch. Ziel war nicht die einzelne kleine Kommune, sondern die gemeinsame Infrastruktur, an die sie angeschlossen war. Größe schützt nicht, wenn die Angriffsfläche geteilt wird.
Verwaltungsabläufe und Vergaberecht ticken anders als in der freien Wirtschaft. Statt eines Ablaufplans bekommt ihr deshalb eine Liste dessen, was ihr von uns verbindlich erwarten könnt, vom ersten Gespräch bis zum Abschlussbericht.
Ihr erhaltet ein Angebot mit klarer Leistungsbeschreibung, Festpreis und nachvollziehbarer Kalkulation. Den Scope legen wir vorher gemeinsam fest: welche Systeme in eurer eigenen Verantwortung liegen und welche über den kommunalen IT-Dienstleister laufen.
Für Direktvergaben gelten je nach Land und Kommune eigene Wertgrenzen. Wir schneiden Scope und Angebot so zu, dass sie darunter bleiben können, oder liefern die Unterlagen so, dass sie als Grundlage für ein förmliches Vergabeverfahren taugen.
Jedes Finding wird nach Schweregrad, Ausnutzbarkeit und Auswirkung auf Bürgerdienste und Verwaltungsbetrieb bewertet. Der Abschlussbericht dokumentiert Web-Checks und Penetrationstest so, dass er als Nachweis für ITSiV-PV und NIS2 verwendbar ist, mit einer Management-Summary für IT-Leitung, Amtsleitung und Verwaltungsspitze.
Für die Dauer des Tests ist auf beiden Seiten ein Ansprechpartner benannt und erreichbar. Zeigt sich während der Prüfung ein kritisches Risiko, informieren wir sofort und nicht erst im Abschlussbericht.
Bürgerportale, Fachverfahren und Netzwerk werden manuell und im vereinbarten Scope geprüft. Testfenster stimmen wir vorab ab, destruktive Tests sind ausgeschlossen, der laufende Bürgerbetrieb bleibt unberührt.
Bürgerportale, Fachverfahren und Rathaus lassen sich nicht mit einem Test abhaken. Diese Module bringen wir bei Kommunen typischerweise zusammen.
Simulierter Zutritt zu Bürgerämtern, Rathäusern und Serverräumen. Deckt die physische Angriffsfläche ab, die bei hohem Publikumsverkehr besonders relevant ist.
Phishing- und Pretexting-Simulationen, zugeschnitten auf den direkten Bürgerkontakt und die Arbeitsweise von Sachbearbeitern.
Netzwerksegmentierung, VPN-Zugänge und Anbindung an den kommunalen IT-Dienstleister im Fokus, genau dort, wo der Fall Südwestfalen-IT ansetzte.
Unsere NIS2-Seite zeigt im Detail, welche Pflichten aus Art. 21 NIS2 bzw. § 30 BSIG sich mit einem Penetrationstest nachweisen lassen.