Berlin d. 08.09.2026 – Der Cyberangriff auf die Berliner Verwaltung und das damit verbundene Datenleck zeigen aus Sicht von eco – Verband der Internetwirtschaft, wie gefährlich unterschiedliche Sicherheitsstandards für Staat und Wirtschaft sind. Neben personenbezogenen Daten wurden offenbar auch sensible Unterlagen zu Notfallplänen für die Wasserversorgung und zur Erweiterung des Bundeskanzleramts veröffentlicht. eco sieht sich damit in seiner bereits 2024 geäußerten Kritik bestätigt: Auch Landes- und Kommunalbehörden brauchen verbindliche und überprüfbare Cybersicherheitsstandards.
„Der Staat darf sich bei der Cybersicherheit nicht selbst ausnehmen. Unternehmen müssen nach NIS-2 erhebliche Anstrengungen unternehmen, um ihre Systeme und Daten zu schützen. Gleichzeitig gelten vergleichbare verbindliche Vorgaben für Landes- und Kommunalverwaltungen nicht unmittelbar. Der Angriff auf Berlin zeigt, dass diese Lücke kein theoretisches Problem ist“, sagt Prof. Dr. Norbert Pohlmann, Mitglied des eco Vorstands.
Bereits in seiner Stellungnahme vom 28. Mai 2024 zum Entwurf des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes hatte eco die Ausnahme für Einrichtungen der Bundesländer ausdrücklich kritisiert. Aus Sicht des Verbands braucht es jetzt Konsequenzen.
„Wer Unternehmen zur Cybersicherheit verpflichtet, muss für seine eigenen Behörden mindestens denselben Maßstab anlegen. Sensible Verwaltungsdaten dürfen nicht schlechter geschützt sein als Daten in einem Unternehmen, nur weil sie auf einem anderen Schreibtisch liegen“, so Pohlmann.
Besonders deutlich wird das am Schutz kritischer Infrastruktur. Ein Wasserversorger kann seine eigenen Systeme umfassend absichern – und trotzdem können sensible Informationen über die Infrastruktur einer Behörde kompromittiert werden. „Cybersicherheit endet nicht an Organisationsgrenzen. Wenn Behörden Informationen über kritische Infrastruktur verwalten, müssen auch dort entsprechende Sicherheitsstandards gelten und umgesetzt werden“, sagt Pohlmann.
Unternehmen, die unter das NIS-2-Umsetzungsgesetz fallen, müssen Cyberrisiken systematisch bewerten, Schutzmaßnahmen umsetzen und deren Einhaltung dokumentieren. Dazu zählen unter anderem Datensicherungen, Vorkehrungen zur Wiederherstellung nach Sicherheitsvorfällen, Zugriffskontrollen und regelmäßige Schulungen. Erhebliche Sicherheitsvorfälle müssen innerhalb klar definierter Fristen gemeldet werden. Auch die Geschäftsleitungen tragen Verantwortung für die Umsetzung und Überwachung der Sicherheitsmaßnahmen.
Für Landes- und Kommunalverwaltungen gilt ein vergleichbarer bundesgesetzlicher Pflichtenkatalog bislang nicht unmittelbar. Die Umsetzung der europäischen Vorgaben in kritischen Teilen der Landesverwaltungen liegt damit in der Verantwortung der Länder.
„Berlin ist ein Weckruf: Cybersicherheit darf im föderalen Zuständigkeitsdschungel nicht zur Verantwortungsfrage werden. Für Angreifer spielt es keine Rolle, ob eine Sicherheitslücke beim Bund, einem Land oder einer Kommune liegt. Entscheidend ist allein, ob sie existiert und umgesetzt werden“, sagt Pohlmann.
eco fordert deshalb einen gemeinsamen Notfallplan von Bund, Ländern und Kommunen. Dieser muss festlegen, wie gefährdete Systeme kurzfristig überprüft, kompromittierte Zugänge gesperrt und betroffene Behörden und Einrichtungen informiert werden. Für weitere Angriffe braucht es klare Meldewege, festgelegte Verantwortlichkeiten und regelmäßig erprobte Abläufe.
Darüber hinaus fordert eco einheitlich hohe Sicherheitsstandards für Landes- und Kommunalbehörden, verbindliche Umsetzungsfristen und unabhängige Kontrollen. Die dafür notwendigen Mittel für Fachpersonal, sichere Technik und verpflichtende Schulungen müssen bereitgestellt werden.
Auch bei der alltäglichen Arbeit sieht eco Handlungsbedarf. Sichere Cybersicherheit beginnt nicht erst beim nächsten Angriff, sondern bei den Prozessen im Verwaltungsalltag.
„Beschäftigte brauchen sichere Verfahren für den Umgang mit vertraulichen Dokumenten und Zugangsdaten, die im Arbeitsalltag funktionieren. Die Behördenleitungen müssen diese Verfahren bereitstellen, ihre Anwendung schulen und die Einhaltung kontrollieren. Die Verantwortung für sichere Verwaltungsdaten lässt sich nicht auf einzelne Beschäftigte abschieben“, sagt Pohlmann.
