LSI-Präsident Bernd Geisler über die reale Bedrohungslage für Kommunen: Cybersicherheit ist längst Chefsache

Cyberangriffe auf Kommunen gehören längst zum Alltag. Täglich versuchen Angreifer, Schadsoftware einzuschleusen, Daten zu verschlüsseln oder Verwaltungsabläufe lahmzulegen. Gleichzeitig fehlen vielerorts Personal, Zeit und IT-Fachwissen. Bernd Geisler, Präsident des Landesamts für Sicherheit in der Informationstechnik (LSI) erklärt im Gespräch mit GZ-Chefredakteurin Constanze von Hassel, warum keine Kommune zu klein für Cyberkriminelle ist, welche Rolle Bürgermeister und Landräte künftig übernehmen müssen und weshalb Bayern mit dem LSI bundesweit eine Sonderstellung einnimmt.

GZ: Herr Geisler, wie ernst ist die Bedrohungslage für Bayerns Kommunen inzwischen tatsächlich?
Bernd Geisler: Die Gefahr ist absolut real. Einen hundertprozentigen Schutz gibt es nicht, weder für Kommunen noch für staatliche Behörden oder Unternehmen. Entscheidend ist deshalb, möglichst gut vorbereitet zu sein und sollte es zu einem Angriff kommen, die Auswirkungen klein zu halten. Angriffe finden täglich statt. Dabei geraten längst nicht nur große Städte ins Visier. Cyberangriffe laufen heute weitgehend automatisiert ab, Größe oder Bekanntheit einer Kommune spielen für viele Angreifer kaum noch eine Rolle. Allein im bayerischen Behördennetz wurden 2024 rund 5.500 sicherheitsrelevante Vorfälle erkannt und abgewehrt; wohlgemerkt nur jene Fälle, die nicht bereits automatisiert von Firewalls oder Filtersystemen gestoppt wurden.
Besonders alarmierend ist dabei die Entwicklung der Schadsoftware insgesamt: Weltweit existieren inzwischen weit über eine Milliarde bekannte Schadcode-Varianten. Täglich kommen laut den vorgestellten Zahlen rund 300.000 neue Varianten hinzu.

GZ: Woher kommen diese Angriffe hauptsächlich?
Geisler: Das spielt für unsere Arbeit gar nicht die entscheidende Rolle, wir melden Vorfälle weiter an die verantwortlichen Stellen bei der Polizei. Einige Angreifer – etwa bei DDoS-Angriffen – suchen gezielt Öffentlichkeit, für die machen wir kein Marketing. Wichtig ist für uns vor allem: Wie schnell erkennen wir einen Angriff und wie verhindern wir Schäden?

IT-Sicherheit funktioniert nur, wenn die Führung dahintersteht

GZ: Warum tun sich manche Kommunen trotzdem noch schwer mit der Umsetzung notwendiger Sicherheitsmaßnahmen?
Geisler: Die größte Herausforderung sind meist Ressourcen, also Personal, Zeit und Geld. Aber mindestens genauso wichtig ist die Haltung der Führungsebene. Wenn Bürgermeister oder Landräte das Thema nicht zur Chefsache machen, wird IT-Sicherheit im Alltag schnell verdrängt.
Dabei läuft heute praktisch jede kommunale Dienstleistung digital. Wenn Systeme ausfallen, können Bürger keine Fahrzeuge zulassen, keine Urkunden beantragen oder Leistungen erhalten. Das ist nicht nur ein technisches Problem, sondern auch ein Vertrauensproblem für den Staat insgesamt.

GZ: Sind die Kommunen mit dieser Aufgabe nicht oft überfordert?
Geisler: Kleine Kommunen können viele Sicherheitsmaßnahmen gar nicht allein stemmen. Deshalb unterstützen wir sie gezielt. Das Gute ist: Alle Angebote des LSI sind für bayerische Kommunen kostenfrei.

Das LSI-Siegel ist der TÜV für die kommunale IT

GZ: Welche Angebote des LSI werden besonders stark genutzt?
Geisler: Ein zentrales Instrument ist unser „Siegel Kommunale IT-Sicherheit“. Das ist im Grunde der IT-TÜV für Kommunen. Es bestätigt, dass grundlegende Sicherheitsmaßnahmen umgesetzt wurden. Das Siegel gilt zwei Jahre und muss dann erneuert werden, denn auch die Gefährdungslage verändert sich ständig.
Insgesamt haben bereits rund 700 Kommunen das Siegel erhalten, viele davon mehrfach. Versicherungen berücksichtigen das inzwischen sogar bei Cyberversicherungen.

GZ: Welche weiteren Unterstützungsangebote gibt es?
Geisler: Wir beraten Kommunen individuell, bieten regionale IT-Thementage in allen Regierungsbezirken an und betreiben einen Warn- und Informationsdienst. Dort erhalten Kommunen konkrete Hinweise zu Sicherheitslücken oder aktuellen Angriffskampagnen, und zwar abgestimmt auf die Software und Hardware, die sie tatsächlich einsetzen.
Dazu kommen Phishing-Simulationen, Online-Schulungen und Unterstützungsangebote für kritische Infrastrukturen wie Wasserwerke oder Krankenhäuser.

87 Prozent aller eingehenden Mails sind schadhaft

GZ: Wie groß ist die Gefahr durch Phishing inzwischen?
Geisler: Phishing ist mit Abstand der wichtigste Angriffsvektor. Laut den vorgestellten Zahlen gehen rund 60 Prozent aller erfolgreichen Angriffe auf gestohlene Zugangsdaten durch Phishing zurück.
Im Behördennetz filtert das LSI deshalb einen enormen Teil des Mailverkehrs bereits zentral heraus. Die Zahlen zeigen eine dramatische Entwicklung: Während 2023 rund 441 Millionen E-Mails ins Behördennetz eingingen, waren davon bereits 327 Millionen schadhaft. 2025 stieg der gesamte Mailverkehr auf fast eine Milliarde Nachrichten – davon wurden rund 838 Millionen als gefährlich eingestuft. Der Anteil schadhafter Mails liegt damit inzwischen bei fast 87 Prozent.

GZ: Woher kommt dieser massive Anstieg?
Geisler: Nach Einschätzung des LSI spielt Künstliche Intelligenz dabei inzwischen eine zentrale Rolle. Phishing-Mails lassen sich heute hochautomatisiert und sprachlich deutlich überzeugender erzeugen als noch vor wenigen Jahren.

GZ: Was bedeutet das konkret für Kommunen?
Geisler: Wer sich an das kommunale Behördennetz anschließt, profitiert automatisch von diesen Schutzmechanismen. Viele schadhafte Mails kommen dort gar nicht erst an. Das ist ein enormer Sicherheitsgewinn, gerade für kleinere Verwaltungen.

GZ: Die EU-Richtlinie NIS2 verschärft die Cybersicherheitsvorgaben deutlich. Müssen Kommunen sich darauf einstellen?
Geisler: Kleine Kommunen fallen in Deutschland grundsätzlich nicht direkt unter die NIS2-Regelungen. Das war bewusst so gewollt. Eine vollständige Regulierung hätte viele Verwaltungen schlicht überfordert. Für Kommunen im Freistaat gilt ohnehin mit dem bayerischen Digitalgesetzt eine gesetzliche Verpflichtung zur Umsetzung angemessener Maßnahmen um die IT-Sicherheit zu stärken.
Anders kann es allerdings bei kommunalen Unternehmen aussehen, etwa Krankenhäusern oder Wasserversorgern soweit diese die in der NIS2 Richtlinie festgelegten Schwellwerte überschreiten. Dort gelten künftig deutlich strengere Anforderungen an Risikomanagement, Sicherheitsmaßnahmen und Meldepflichten.

Der größte Fehler: zu spät Hilfe holen

GZ: Was läuft bei einem Cyberangriff in den ersten Stunden am häufigsten falsch?
Geisler: Der größte Fehler ist: zu spät Hilfe holen. Das LSI ist rund um die Uhr erreichbar. Je früher eine Kommune Auffälligkeiten meldet, desto größer ist die Chance, Schäden zu begrenzen. Wenn bereits Lösegeldforderungen auf dem Bildschirm erscheinen und Systeme verschlüsselt wurden, ist es oft zu spät. Dann geht es meist nur noch darum, aus Backups wiederherzustellen.

GZ: Hilft im Ernstfall wirklich nur noch „Stecker ziehen“?
Geisler: Manchmal ja. Aber auch dafür braucht es klare Abläufe und Notfallpläne. Kommunen sollten vorbereitet sein: Wer informiert wen? Wo liegen Backups? Wie funktioniert die Wiederherstellung? Welche Telefonnummern müssen verfügbar sein? Manche Dinge sollte man tatsächlich auch heute noch analog auf Papier bereithalten.

GZ: Welche Schritte sollten Kommunen kurzfristig unbedingt umsetzen?
Geisler: Erstens: Mitarbeitende sensibilisieren. Die meisten Angriffe beginnen mit Phishing. Zweitens: Patchmanagement ernst nehmen. Sicherheitsupdates dürfen nicht monatelang liegen bleiben. Drittens: funktionierende Backups vorhalten, idealerweise nicht ausschließlich online erreichbar. Hinzu kommt ein weiterer wichtiger Punkt: der Einsatz einer Mehrfaktor-Authentifizierung, die Phishing-Angriffe erschwert. Auch darauf weist das LSI ausdrücklich hin. Wenn Kommunen diese Punkte konsequent umsetzen, decken sie bereits den Großteil typischer Angriffswege ab.

GZ: Haben Sie selbst schon einmal auf einen verdächtigen Link geklickt?
Geisler: Natürlich. Das kann jedem passieren. Gerade wenn echte Konten kompromittiert wurden und Nachrichten scheinbar von bekannten Personen kommen, wird es schwierig. Entscheidend ist deshalb nicht Perfektion, sondern Sensibilisierung und gute technische Schutzmechanismen.

Bayern hat hier bundesweit eine Sonderstellung

GZ: Was unterscheidet das LSI von den IT-Sicherheitsstrukturen anderer Bundesländer?Geisler: Bayern war das erste Bundesland mit einer eigenständigen IT-Sicherheitsbehörde. Während viele Länder vor allem auf reine Notfallteams setzen, unterstützt das LSI Kommunen umfassend präventiv, von Warnsystemen über Schulungen bis hin zum kommunalen Behördennetz. Diese Struktur ist bundesweit bislang nahezu einzigartig. Kommunen profitieren damit von Unterstützungsangeboten, die es in dieser Form in kaum einem anderen Bundesland gibt.

GZ: Vielen Dank für das Gespräch!