Blatt 00 Deckblatt angelegt

Öffentliche Verwaltung · NIS2 & OZG

BetreffIT-Sicherheit der Verwaltung: Prüfung und Nachweis

Ein Angriff auf euren IT-Dienstleister trifft dutzende Kommunen auf einmal

Die NIS2-Richtlinie erfasst die öffentliche Verwaltung als eigenen Sektor; in Deutschland regelt § 29 BSIG die Bundesverwaltung, für Länder und Kommunen gilt das jeweilige Landesrecht. Für Online-Verwaltungsleistungen nach dem OZG schreibt die IT-Sicherheitsverordnung Portalverbund (ITSiV-PV) des BMI zusätzlich Web-Checks und Penetrationstests vor, vor der Anbindung und danach spätestens alle drei Jahre, durchgeführt vom BSI, von Landes-Fachbehörden oder von BSI-zertifizierten Dienstleistern. Besonders kritisch: Viele Kommunen betreiben ihre IT nicht selbst, sondern über einen gemeinsamen kommunalen IT-Dienstleister, ein einzelner erfolgreicher Angriff kann dadurch dutzende Städte und Gemeinden gleichzeitig lahmlegen. Bürgerportale, Fachverfahren und die Anbindung an den zentralen Dienstleister, das sind die drei Stellen, an denen wir ansetzen.

Verwaltungs-IT prüfen lassen Fall Südwestfalen-IT ansehen
  • Testberichte nach den BSI-Vorgaben für Penetrationstest und Webcheck
  • Erfahrung mit kommunaler IT & Fachverfahren
  • Kostenloses Erstgespräch

Diese Seite ist wie ein Vorgang aufgebaut: zehn Blätter, jedes mit eigener Laufnummer. Die Reiter am Rand zeigen, wo ihr gerade seid.

Blatt 01 Zuständigkeit zur Prüfung

Zuständigkeitsraster

Drei Ebenen, drei Rechtslagen, drei Zuständigkeiten

„Die öffentliche Verwaltung“ gibt es als einheitlichen Adressaten nicht. Bund, Länder und Kommunen betreiben unterschiedliche Systeme, unterliegen unterschiedlichem Recht und stehen für unterschiedliche Teile der Infrastruktur gerade. Das Raster läuft die drei Ebenen von selbst durch und zeigt je Ebene, was dort tatsächlich betrieben wird und an welcher Stelle ein Penetrationstest ansetzt.

Drei Ebenen, drei Rechtslagen, drei Zuständigkeiten
Ebene Bürgerdienste im Netz Fachverfahren Netz & Fernzugang Gebäude & Zutritt Beschäftigte
Portalverbund, Nutzerkonto Bund Register- und Fachverfahren der Ressorts Behördennetze, Fernzugänge der Ressorts Liegenschaften, Technik- und Serverräume Beschäftigte in Bundesbehörden
Landesportale, Servicekonten der Länder Landesweite Fachverfahren Landesnetz, Anbindung nachgeordneter Behörden Ministerien, Landesämter, Rechenzentren Beschäftigte der Landesverwaltung
Bürgerportale, Online-Antragsstrecken Meldewesen, Sozialleistungen, Bauverwaltung Anbindung an den kommunalen IT-Dienstleister Rathaus, Bürgeramt, Serverraum Sachbearbeitung mit direktem Bürgerkontakt

Das Raster wandert von selbst durch die Ebenen. Klick oder Tastatur hält es an, sobald ihr selbst auswählt.

Bund Bundesbehörden und nachgeordnete Einrichtungen

Wer steht dafür gerade

Einrichtungen der Bundesverwaltung regelt § 29 BSIG gesondert: Sie gelten wie besonders wichtige Einrichtungen, allerdings ohne Geschäftsleiterhaftung, ohne Aufsichtsregime und ohne Bußgelder. Der technische Anspruch an die Maßnahmen sinkt dadurch nicht.

Wo ein Pentest ansetzt

Wir prüfen die extern erreichbaren Dienste, die Trennung zwischen Fachnetz und Bürodienst, die Fernzugänge und den physischen Zutritt zu Technikräumen. Der Bericht ist so aufgebaut, dass er in ein bestehendes IT-Grundschutz-Vorgehen passt.

Worauf wir dabei stoßen

Verfahren, die für ein geschlossenes Netz gebaut wurden und inzwischen über eine Weboberfläche erreichbar sind, ohne dass jemand die Annahmen dahinter noch einmal geprüft hätte.

NIS2-Pentest im Detail

Land Ministerien, Landesämter, Landesrechenzentren

Wer steht dafür gerade

Das BSI-Gesetz des Bundes erfasst die Landesverwaltung grundsätzlich nicht, dort gilt Landesrecht. Wer Verwaltungsleistungen über den Portalverbund anbietet, fällt für diese Leistungen dennoch unter die ITSiV-PV des BMI.

Wo ein Pentest ansetzt

Wir prüfen die Portalanbindung, die Schnittstellen zu den nachgeordneten Behörden und die Segmentierung des Landesnetzes. Web-Checks und Penetrationstest dokumentieren wir getrennt, weil die ITSiV-PV beides getrennt verlangt.

Worauf wir dabei stoßen

Ein Landesnetz, das nachgeordnete Behörden wie ein eigenes Haus behandelt: Wer in einer kleinen Außenstelle steht, steht damit praktisch schon im Netz des Ministeriums.

Infrastruktur-Pentest ansehen

Kommune Städte, Gemeinden, Kreise und ihr IT-Dienstleister

Wer steht dafür gerade

Auch für Kommunen gilt Landesrecht, nicht unmittelbar das BSIG des Bundes. Für Leistungen über den OZG-Portalverbund verlangt die ITSiV-PV Web-Checks und Penetrationstests vor der Anbindung und spätestens alle drei Jahre, durch das BSI, eine Landes-Fachbehörde oder BSI-zertifizierte Dienstleister. Wer die IT über einen gemeinsamen Dienstleister bezieht, teilt sich dessen Angriffsfläche mit allen anderen Angeschlossenen.

Wo ein Pentest ansetzt

Wir prüfen Bürgerportale und Antragsstrecken, die Fachverfahren im Zugriff der Sachbearbeitung, die Anbindung an den Dienstleister und den Zutritt zu Rathaus und Serverraum. Im Scoping trennen wir vorher, was eure Zuständigkeit ist und was die des Dienstleisters.

Worauf wir dabei stoßen

Eine Verantwortungsgrenze, die niemand schriftlich hat: Die Kommune hält den Dienstleister für zuständig, der Dienstleister die Kommune, und der Fernzugang dazwischen gehört niemandem.

Web-App-Pentest ansehen

Die Einstufung einer Behörde nimmt niemand für euch vor, auch wir nicht. Wir liefern den Penetrationstest und den technischen Bericht, nicht die rechtliche Bewertung und nicht die Registrierung beim BSI.

Blatt 02 Vorfall zur Kenntnis

Realer Vorfall

Was der Fall Südwestfalen-IT jede Kommune lehrt

In der Nacht vom 29. auf den 30. Oktober 2023 traf ein Ransomware-Angriff die Südwestfalen-IT, den gemeinsamen kommunalen IT-Dienstleister für einen Großteil der Region Südwestfalen. Die Folgen zeigen, was ein Single Point of Failure in der kommunalen IT-Landschaft konkret bedeutet.

Südwestfalen-IT · Nacht vom 29. auf den 30. Oktober 2023 · Gruppe „Akira“ (laut Medienberichten)

  1. Kompromittierter VPN-Zugang

    Laut Medienberichten verschafften sich die Angreifer über einen kompromittierten VPN-Zugang Zutritt zum Netz der Südwestfalen-IT, dem klassischen Einfallstor bei extern erreichbaren Fernzugängen.

    Was ein Pentest an dieser Stelle prüft

    Welche Fernzugänge von außen überhaupt sichtbar sind, ob überall ein zweiter Faktor greift und ob die eingesetzte Version aktuell ist. Das ist der billigste Teil der Prüfung und der mit dem größten Hebel.

  2. Ausbreitung ins Netz des IT-Dienstleisters

    Von diesem einen Zugang aus breiteten sich die Angreifer im internen Netz des Dienstleisters aus, genau dem Netz, an das dutzende Kommunen ihre eigene Verwaltungs-IT angeschlossen hatten.

    Was ein Pentest an dieser Stelle prüft

    Ob die Anbindung an den Dienstleister eine echte Grenze ist oder nur eine Leitung. Wir starten dafür bewusst von einem Punkt aus, den ein Angreifer nach dem ersten Schritt erreicht hätte.

  3. Ransomware-Verschlüsselung

    Die Gruppe „Akira“ verschlüsselte daraufhin zentrale Systeme der Südwestfalen-IT. Weil so viele Kommunen an dieselbe Infrastruktur angebunden waren, traf die Verschlüsselung nicht eine Verwaltung, sondern eine ganze Region auf einen Schlag.

    Was ein Pentest an dieser Stelle prüft

    Wie weit ein einzelnes übernommenes Konto tatsächlich reicht: Rechtevergabe, Administrationswege und die Frage, ob die Sicherungen aus demselben Netz erreichbar sind wie die Systeme, die sie sichern.

  4. Wochen im Notbetrieb für über 100 Kommunen

    Nach Angaben von heise online mussten über 100 Kommunen wochenlang im Notbetrieb arbeiten, mit eingeschränktem Zugriff auf Bürgerportale, Fachverfahren und interne Systeme.

    Was ein Pentest an dieser Stelle prüft

    Welche Bürgerdienste ohne den Dienstleister weiterlaufen und welche stillstehen. Diese Liste entsteht im Test nebenbei und ist für die Notfallplanung oft wertvoller als der Befund selbst.

Was das heißt

Die Lehre für eure Kommune

Der Fall Südwestfalen-IT betraf keine Großstadt mit eigener IT-Abteilung, sondern genau die Konstellation, die in Deutschland am häufigsten vorkommt: kleinere und mittlere Kommunen, die ihre IT über einen gemeinsamen Dienstleister beziehen. Betroffen war nicht die einzelne Kommune, sondern die gemeinsame Infrastruktur, an die sie angeschlossen war.

Ähnliche Vorfälle gab es auch bei der Stadt Mössingen (17. November 2023) und im August 2026 bei zwei Berliner Senatsverwaltungen durch die Gruppe „Rhysida“.

Angaben nach öffentlicher Berichterstattung (u. a. heise online). Access Granted war an diesem Vorfall nicht beteiligt.

Weitere Fälle in unseren Case Studies

Blatt 03 Anlage A beigefügt

Abhängigkeitskarte

Ein Dienstleister, viele Kommunen, eine geteilte Angriffsfläche

Verwaltungen kombinieren öffentlich erreichbare Bürgerdienste mit historisch gewachsenen Fachverfahren und ständigem Publikumsverkehr. Hängen dazu viele Kommunen an derselben zentralen Infrastruktur, reicht ein einziger kompromittierter Zugang, damit sich ein Vorfall entlang der Anbindungen auf alle angeschlossenen Verwaltungen ausbreitet.

01 VPN-Zugang 02 · 03 Kommunaler IT-Dienstleister 04 Kommune Kommune Kommune Kommune Kommune Kommune Kommune
Die Darstellung ist schematisch und bildet keinen konkreten Dienstleister ab. Entscheidend ist die Form: ein Zugang, ein gemeinsamer Punkt, viele angeschlossene Häuser.
  • Einfallstor: ein kompromittierter Fernzugang
  • Geteilte Infrastruktur: der gemeinsame kommunale IT-Dienstleister
  • Angeschlossene Kommunen: alle gleichzeitig betroffen

Wo wir ansetzen

Vier Bereiche fallen bei Kommunen immer wieder auf. Die Buchstaben tauchen im Bericht wieder auf, damit sich jeder Befund ohne Suchen zuordnen lässt.

  1. Bürgerportale

    Online-Antragsstrecken für Personalausweis, Kfz-Zulassung oder Wohngeld sind öffentlich erreichbar und damit ein direktes Ziel für Angreifer, die Bürgerdaten oder Zugriff auf dahinterliegende Systeme suchen.

    Mehr erfahren

  2. Fachverfahren

    Spezialsoftware für Meldewesen, Sozialleistungen oder Bauverwaltung ist oft über Jahrzehnte gewachsen, selten für heutige Bedrohungslagen konzipiert und schwer kurzfristig zu ersetzen.

    Mehr erfahren

  3. Zentraler IT-Dienstleister

    Nutzen viele Kommunen dieselbe zentrale Infrastruktur, wird ein einzelner erfolgreicher Angriff zum Vorfall für dutzende Verwaltungen gleichzeitig, wie der Fall Südwestfalen-IT gezeigt hat.

    Mehr erfahren

  4. Publikumsverkehr in Rathäusern & Bürgerämtern

    Offene Schalterhallen, viele einzelne Standorte und direkter Bürgerkontakt erleichtern Pretexting und unbefugten Zutritt in einem Umfeld, das auf Bürgernähe statt auf Sicherheit ausgelegt ist.

    Mehr erfahren

Blatt 04 Rechtsgrundlagen zur Kenntnis

Rechtlicher Rahmen

Zwei Pflichten, ein Thema: NIS2 und OZG

Öffentliche Verwaltung ist regulatorisch doppelt betroffen: einmal branchenübergreifend durch NIS2, einmal spezifisch für digitale Bürgerdienste durch das OZG. Beides läuft auf dieselbe Grundfrage hinaus: Ist eure IT tatsächlich so sicher, wie sie sein müsste?

NIS2 / BSIG

Öffentliche Verwaltung unter NIS2

Die NIS2-Richtlinie führt die öffentliche Verwaltung als eigenen Sektor, Anlage 1 des BSIG dagegen nicht: Das deutsche Gesetz regelt sie gesondert. Welche Pflichten daraus für eure Einrichtung folgen, hängt von der Ebene ab: Für die Bundesverwaltung gilt § 29 BSIG, Landes- und Kommunalverwaltung richten sich nach Landesrecht. Der technische Maßstab, an dem die Maßnahmen gemessen werden, ist auf allen Ebenen derselbe.

Anlage 1 BSIG · § 29 BSIG · Art. 21 NIS2 bzw. § 30 BSIG

OZG / ITSiV-PV

Pentest-Pflicht für Online-Verwaltungsleistungen

Für Verwaltungsleistungen, die über den Portalverbund nach dem Online-Zugangsgesetz angeboten werden, schreibt die ITSiV-PV des BMI Web-Checks und Penetrationstests vor, vor der Anbindung und spätestens alle drei Jahre, durch das BSI, eine Landes-Fachbehörde oder BSI-zertifizierte Dienstleister. BSI IT-Grundschutz bleibt dabei die allgemeine Referenz, die DSGVO gilt zusätzlich für alle Bürgerdaten.

ITSiV-PV (BMI) · BSI IT-Grundschutz · DSGVO

Registrierungs- und Meldepflichten laufen unabhängig davon, ob eine Kommune ihre IT selbst betreibt oder über einen gemeinsamen Dienstleister bezieht.

Blatt 05 Mitzeichnung im Umlauf

Für wen das relevant ist

Wer in der Verwaltung entscheidet, und was oft dagegenspricht

Ein Pentest für eine Kommune hat selten nur einen Entscheider. In der Praxis sitzen meist der IT-Leiter oder Amtsleiter IT, der kommunale IT-Dienstleister selbst, ein Informationssicherheitsbeauftragter oder CISO, der Bürgermeister oder Kämmerer als Budgetverantwortlicher und der Datenschutzbeauftragte am Tisch, mit teils unterschiedlichen Prioritäten.

Im Umlauf

IT-Leitung, Amtsleitung IT
Befunde nach Priorität, sauber getrennt nach eigener Verantwortung und der des Dienstleisters.
Kommunaler IT-Dienstleister
Eine klare Scope-Abgrenzung und abgestimmte Testfenster, bevor irgendetwas angefasst wird.
Informationssicherheitsbeauftragte, CISO
Einen Bericht, der sich ohne Nacharbeit als Grundlage für die Nachweise zu ITSiV-PV und NIS2 nutzen lässt.
Bürgermeister, Kämmerer
Einen Festpreis und eine Leistungsbeschreibung, die durch die Haushalts- und Vergabeprüfung kommt.
Datenschutzbeauftragte
Eine schriftliche Regelung, wie im Test mit Bürgerdaten umgegangen wird, vor dem ersten Testtag.

Die häufigsten Einwände

Diese vier Sätze hören wir in fast jedem Erstgespräch mit einer Kommune. Sie sind berechtigt, deshalb stehen sie hier mit unserer Antwort statt in einer Schublade.

  • Knappe Haushaltsmittel

    Kommunale Budgets sind eng geplant, IT-Sicherheit konkurriert mit vielen anderen Pflichtaufgaben. Ein klar abgegrenzter, fest kalkulierter Scope macht den Aufwand von vornherein planbar.

  • Vergaberecht macht die Beauftragung kompliziert

    Öffentliche Auftraggeber müssen Ausschreibungs- und Vergaberegeln einhalten, auch bei IT-Sicherheitsleistungen. Wir legen unsere Angebote so aus, dass sie sich für Direktvergaben unterhalb der Wertgrenzen ebenso eignen wie als Grundlage für ein förmliches Vergabeverfahren.

  • Unklare Zuständigkeit: Kommune oder IT-Dienstleister?

    Oft ist nicht eindeutig geklärt, wer für welchen Teil der Infrastruktur verantwortlich ist, die einzelne Kommune oder der gemeinsame IT-Dienstleister. Wir klären das im Scoping vorab, damit der Test dort ansetzt, wo eure tatsächliche Verantwortung liegt.

  • „Wir sind zu klein, um ein Ziel zu sein“

    Genau diese Annahme lag beim Fall Südwestfalen-IT nahe, und war falsch. Ziel war nicht die einzelne kleine Kommune, sondern die gemeinsame Infrastruktur, an die sie angeschlossen war. Größe schützt nicht, wenn die Angriffsfläche geteilt wird.

Wie man Pentest-Angebote vergleicht, steht ausführlich in unserem Auswahlguide. Zum Auswahlguide

Blatt 06 Vergabevermerk zur Zeichnung

Vergabetaugliches Vorgehen

Fünf Punkte, die in jedem Angebot an eine Kommune stehen

Verwaltungsabläufe und Vergaberecht ticken anders als in der freien Wirtschaft. Statt eines Ablaufplans bekommt ihr deshalb eine Liste dessen, was ihr von uns verbindlich erwarten könnt, vom ersten Gespräch bis zum Abschlussbericht.

Ziffer Zusage Was das konkret heißt
01

Festpreisangebot mit Leistungsbeschreibung

 Ihr erhaltet ein Angebot mit klarer Leistungsbeschreibung, Festpreis und nachvollziehbarer Kalkulation. Den Scope legen wir vorher gemeinsam fest: welche Systeme in eurer eigenen Verantwortung liegen und welche über den kommunalen IT-Dienstleister laufen.
02

Wertgrenzen für Direktvergaben berücksichtigt

 Für Direktvergaben gelten je nach Land und Kommune eigene Wertgrenzen. Wir schneiden Scope und Angebot so zu, dass sie darunter bleiben können, oder liefern die Unterlagen so, dass sie als Grundlage für ein förmliches Vergabeverfahren taugen.
03

Bericht nach BSI-Vorgaben mit Management-Summary

 Jedes Finding wird nach Schweregrad, Ausnutzbarkeit und Auswirkung auf Bürgerdienste und Verwaltungsbetrieb bewertet. Der Abschlussbericht dokumentiert Web-Checks und Penetrationstest nach den BSI-Vorgaben, als Grundlage für eure Nachweise zu ITSiV-PV und NIS2, mit einer Management-Summary für IT-Leitung, Amtsleitung und Verwaltungsspitze.
04

Fester Ansprechpartner für Notfälle

 Für die Dauer des Tests ist auf beiden Seiten ein Ansprechpartner benannt und erreichbar. Zeigt sich während der Prüfung ein kritisches Risiko, informieren wir sofort und nicht erst im Abschlussbericht.
05

Keine Unterbrechung der Bürgerdienste

 Bürgerportale, Fachverfahren und Netzwerk werden manuell und im vereinbarten Scope geprüft. Testfenster stimmen wir vorab ab, destruktive Tests sind ausgeschlossen, der laufende Bürgerbetrieb bleibt unberührt.

Die fünf Punkte stehen so auch im Angebot, nicht nur auf dieser Seite. Wer sie in einer Leistungsbeschreibung braucht, bekommt sie als Textbaustein zum Übernehmen.

Blatt 07 Anlagenverzeichnis beigefügt

Relevante Module

Diese Tests bringen eure Verwaltungs-IT auf Stand der Technik

Bürgerportale, Fachverfahren und Rathaus lassen sich nicht mit einem Test abhaken. Diese Module bringen wir bei Kommunen typischerweise zusammen, einzeln buchbar bleiben sie trotzdem.

  • Deckt abBlatt 03 · D

    Physical Pentest

    Simulierter Zutritt zu Bürgerämtern, Rathäusern und Serverräumen. Deckt die physische Angriffsfläche ab, die bei hohem Publikumsverkehr besonders relevant ist.

    Mehr erfahren

  • Deckt abBlatt 03 · D

    Social Engineering

    Phishing- und Pretexting-Simulationen, zugeschnitten auf den direkten Bürgerkontakt und die Arbeitsweise von Sachbearbeitern.

    Mehr erfahren

  • Deckt abBlatt 03 · C

    Infrastruktur-Pentest

    Netzwerksegmentierung, VPN-Zugänge und Anbindung an den kommunalen IT-Dienstleister im Fokus, genau dort, wo der Fall Südwestfalen-IT ansetzte.

    Mehr erfahren

  • Deckt abBlatt 03 · A

    Web-App-Pentest

    Bürgerportale und Online-Antragsstrecken auf Berechtigungsfehler, Authentifizierungsschwächen und Konfigurationsprobleme geprüft, orientiert an den BSI-Vorgaben für den Web-Check nach ITSiV-PV.

    Mehr erfahren

Blatt 08 Rückfragen offen

Rückfragen zum Vorgang

Pentest für Kommunen: eure Fragen

Für Online-Verwaltungsleistungen über den OZG-Portalverbund schreibt die IT-Sicherheitsverordnung Portalverbund (ITSiV-PV) des BMI Web-Checks und Penetrationstests vor, vor der Anbindung und spätestens alle drei Jahre, durch das BSI, eine Landes-Fachbehörde oder BSI-zertifizierte Dienstleister. Zusätzlich gilt NIS2: für die Bundesverwaltung über § 29 BSIG, für die Landesverwaltung über das jeweilige Landesrecht; ob auch Kommunen erfasst sind, entscheidet jedes Land selbst. Die ITSiV-PV verlangt den Penetrationstest ausdrücklich, unter NIS2 ist er ein gängiger Weg, die Wirksamkeit der Maßnahmen zu belegen.

Die NIS2-Richtlinie führt die öffentliche Verwaltung als eigenen Sektor, das BSIG setzt das nicht über Anlage 1 um. Welche Pflichten daraus folgen, hängt allerdings von der Ebene ab: Einrichtungen der Bundesverwaltung regelt § 29 BSIG gesondert, Landes- und Kommunalverwaltung richtet sich nach Landesrecht, das den Rahmen je nach Bundesland unterschiedlich ausfüllt. Registrierung, Meldewege und Aufsicht lesen sich deshalb nicht überall gleich. Der technische Maßstab schon: angemessene Maßnahmen, nachweisbar umgesetzt. Welche Ebene nach welchem Recht adressiert wird, steht auf Blatt 01 dieser Seite.

Nicht unmittelbar. Einrichtungen der Bundesverwaltung regelt § 29 BSIG gesondert: Sie gelten wie besonders wichtige Einrichtungen, allerdings ohne Geschäftsleiterhaftung, Aufsichtsregime und Bußgelder. Landes- und Kommunalverwaltung erfasst das BSIG des Bundes dagegen grundsätzlich nicht, dort gilt Landesrecht. Für Leistungen über den OZG-Portalverbund kommt die ITSiV-PV unabhängig davon hinzu. Die Einstufung eurer Einrichtung müsst ihr selbst vornehmen, gegebenenfalls mit eurer Rechtsabteilung, wir liefern den Test und den Bericht.

Wir legen unsere Angebote von vornherein so aus, dass sie sowohl für Direktvergaben unterhalb der jeweiligen Wertgrenzen als auch als Grundlage für ein förmliches Vergabeverfahren nutzbar sind: klare Leistungsbeschreibung, Festpreis, nachvollziehbare Kalkulation.

Ja. Bürgerportale und Online-Antragsstrecken gehören zur klassischen Angriffsfläche einer Kommune, wir prüfen sie unter anderem auf Berechtigungsfehler, Authentifizierungsschwächen und Konfigurationsprobleme, ohne den laufenden Bürgerbetrieb zu gefährden.

Ja, im Rahmen unseres Physical-Pentest-Moduls simulieren wir realistische Zutrittsversuche, etwa als vermeintlicher Techniker oder Besucher, und prüfen, ob Empfang, Zugangskontrollen und Serverräume dem standhalten. Ablauf und Umfang stimmen wir vorher mit einem festgelegten Kreis auf eurer Seite ab.

Das hängt vom Umfang ab: Anzahl der Standorte und Fachverfahren, ob der kommunale IT-Dienstleister eingebunden ist, ob Physical und Social Engineering Teil des Scopes sein sollen. Nach dem kostenlosen Erstgespräch kennen wir euren Bedarf und ihr erhaltet ein transparentes, vergaberechtskonformes Festpreisangebot.

Der Fall Südwestfalen-IT zeigt das Gegenteil: Angegriffen wurde nicht eine einzelne kleine Kommune, sondern der gemeinsame IT-Dienstleister, an den über 100 Kommunen angeschlossen waren. Wer über eine geteilte Infrastruktur läuft, teilt sich auch deren Angriffsfläche, unabhängig von der eigenen Größe.

Das klären wir im Scoping-Gespräch. In der Praxis liegt ein Teil der Infrastruktur bei der einzelnen Kommune (z. B. Fachverfahren, Endgeräte, Bürgerbüro) und ein Teil beim zentralen Dienstleister (Netzwerk, Serverbetrieb, VPN). Wir passen den Testumfang an eure tatsächliche Zuständigkeit an, gegebenenfalls in Abstimmung mit eurem IT-Dienstleister.

Ja, und in der Konstellation mit gemeinsamem Dienstleister ist das oft die sinnvollste Variante: Ein Test über beide Seiten deckt genau die Übergänge ab, an denen sonst jede Seite die andere für zuständig hält. Wer beauftragt und wer zeichnet, klären wir vor dem Angebot, damit die Vergabe auf einer Seite sauber bleibt.

Blatt 09 Abschluss z. d. A.

Bereit, die IT-Sicherheit eurer Kommune zu prüfen?

In 30 Minuten besprechen wir euren Scope, klären, was für NIS2 und ITSiV-PV relevant ist, und ihr erhaltet ein unverbindliches, vergaberechtskonformes Festpreisangebot.

Kein Vertrieb im Anschluss, kein Newsletter. Wenn der Zuschnitt nicht passt, sagen wir das im Gespräch.

Jetzt Erstgespräch buchen Schriftlich anfragen
hello@access-granted.de

Kontakt

Adresse
Albert-Einstein-Straße 1, 95028 Hof
E-Mail
hello@access-granted.de
Telefon
+49 9281 5918506

AccessGranted X GmbH · HRB 7266 · Hof (Saale)

Unternehmen

Leistungen

Pentests für Regularien

Branchen

Netzwerke & Vertrauenszeichen
Vertrauenszeichen des Bundesverbands IT‑Sicherheit (TeleTrusT)
Teilnehmer der Allianz für Cyber-Sicherheit
© AccessGranted X GmbH Zuletzt aktualisiert: 23.09.2026