Handlungsempfehlungen: Nach dem Hackerangriff auf die Berliner Verwaltung – Was KMU und Kommunen jetzt tun müssen

Am 18. Oktober 2026 wurde die Berliner Verwaltung Opfer eines schweren Hackerangriffs, der zu einer akuten Gefährdung der öffentlichen Infrastruktur führte. Das Ereignis zeigt eindrücklich: Keine Organisation – ob Großverwaltung oder kleines KMU – ist vor Cyberangriffen geschützt. Die Frage ist nicht, ob ein Angriff kommt, sondern wie schnell und effektiv darauf reagiert wird. Diese Handlungsempfehlungen zeigen konkrete Schritte für IT-Verantwortliche in KMU und Kommunen.

Handlungsempfehlungen

1. Notfallplanung überprüfen und actualisieren

Ein funktionierender Notfallplan ist die erste Verteidigungslinie. Prüfen Sie: Gibt es einen schriftlichen Incident-Response-Plan? Sind die Rollen und Verantwortlichkeiten klar definiert? Wird der plan regelmäßig (mindestens vierteljährlich) actualisiert und geprobt? Viele KMU vernachlässigen diesen Schritt – mit katastrophalen Folgen bei einem echten Vorfall.

2. Backup-Strategie überdenken und testen

Der Angriff auf ConnectWise Cloud Backup mit 173 betroffenen M365-Tenants zeigt: Cloud-Backups sind nicht automatisch sicher. Prüfen Sie Ihre Backup-Lösung: Werden Backups verschlüsselt und offline/on-site gelagert? Werden Restore-Tests regelmäßig durchgeführt? Ist ein 3-2-1-Backup-Prinzip (3 Kopien, 2 verschiedene Medien, 1 offline) implementiert? Ein Backup ist nur so gut, wie der letzte Restore-Test.

3. Identitäts- und Zugriffsmanagement verschärfen

Fassen Sie die Angriffsfläche ein: Wie viele Accounts haben Administratorrechte? Werden Multi-Factor-Authentifizierung (MFA) und Passwort-Manager flächendeckend eingesetzt? Prüfen Sie die Zugriffe Dritter – Lieferanten, Partner, externe Dienstleister. Jeder Zugriffspunkt ist ein potenzielles Einfallstor.

4. Phishing-Schulungen für alle Mitarbeiter

Das gehackte CDU-Mailkonto in Heilbronn, über das eine Phishing-Welle bis ins Kanzleramt ausgelöst wurde, zeigt: Der Mensch ist das schwachste Glied. Führen Sie regelmäßige, realistische Phishing-Tests durch. Schulen Sie Mitarbeiter daran, verdächtige E-Mails zu erkennen und zu melden. Eine Kultur der Sicherheitswahrnehmung ist unbezahlbar.

5. Kommunikationswege definieren

Im Notfall ist klare Kommunikation entscheidend. Legen Sie fest: Wer informiert wen? Gibt es eine alternative Kommunikationsplattform (z.B. Signal, Teams) für den Fall, dass E-Mail oder interne Systeme ausfallen? Informieren Sie Ihre Kunden, Lieferanten und die Öffentlichkeit rechtzeitig – Schweigen schadet dem Vertrauen oft mehr als die Offenbarung des Vorfalls.

Was tun, wenn – First-Response-Schritte

1. Sofort isolieren: Betroffene Systeme vom Netzwerk trennen, um die Ausbreitung zu stoppen.
2. Sammeln und sichern: Logs, Protokolle und betroffene Dateien sichern, bevor sie verändert werden.
3. Bewerten: Welche Daten sind betroffen? Welche Systeme sind kompromittiert? Ist die Ausbreitung gestoppt?
4. Informieren: Interne Stakeholder, Behörden (BSI, Landesamt für Verfassungsschutz) und ggf. betroffene Dritte informieren.
5. Wiederherstellen: Erst nach vollständiger Analyse und Reinigung Systeme wieder online stellen. Keine Eile – die Folgen eines vorzeitigen Wiederanlaufs können gravierender sein als der Stillstand.

Empfehlung für die nächsten 30 Tage

• Woche 1: Notfallplan prüfen, Backup-Tests durchführen, Zugriffe bereinigen.
• Woche 2: Phishing-Schulungen starten, Kommunikationswege definieren.
• Woche 3: Incident-Response-Team benennen, Erstellt einen Live-Dokumentationsprozess.
• Woche 4: Vollständigen Security-Review durchführen, Lücken schließen und die Strategie für die nächsten 6 Monate festlegen.

Ein Cyberangriff ist keine Frage des Ob, sondern des Wie. Die Berliner Ereignisse müssen der Weckruf sein – für KMU genauso wie für Kommunen. Handeln Sie jetzt, bevor es zu spät ist.