Ransomware auf Kommunen: Handlungsempfehlungen 2026

Einleitung: Aktuelle Bedrohungslage

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einer Zunahme von Ransomware-Angriffen auf deutsche Kommunen und Behörden. Besonders LockBit und verwandte Ransomware-as-a-Service-Plattformen stellen eine erhebliche Bedrohung dar. Nach aktuellen Erkenntnissen werden nicht nur Großunternehmen, sondern zunehmend auch mittelständische Unternehmen, Krankenhäuser und vor allem Kommunen ins Visier genommen. Die Auswirkungen solcher Angriffe reichen von Datenverlust über Betriebsunterbrechungen bis hin zu erheblichen finanziellen Schäden und Vertrauensverlust in der Bevölkerung.

Handlungsempfehlungen für IT-Verantwortliche

1. Präventive Maßnahmen: Harden der Systemumgebung

• Regelmäßige Sicherheitsupdates: Implementieren Sie einen automatisierten Patch-Management-Prozess für alle Systeme, insbesondere für Windows-Server und kritische Anwendungen.
• Netzwerksegmentierung: Trennen Sie kritische Infrastrukturbereiche vom restlichen Netzwerk und implementieren Sie Next-Generation Firewalls mit IPS-Funktionalität.
• Endpoint Protection: Deployen Sie moderne EDR-Lösungen (Endpoint Detection and Response) auf allen Endgeräten.
• Benutzerrechte minimieren: Wenden Sie das Prinzip der geringsten Privilegien konsequent an und entfernen Sie unnötige Administratorrechte.

2. Detektion: Frühzeitige Erkennung von Angriffen

• SIEM-Systeme: Implementieren Sie ein Security Information and Event Management (SIEM) System zur zentralen Überwachung aller Systeme.
• Verhaltensanalyse: Nutzen Sie User and Entity Behavior Analytics (UEBA), um anomale Aktivitäten frühzeitig zu erkennen.
• Log-Monitoring: Überwachen Sie systematisch Logs auf verdächtige Aktivitäten wie ungewöhnliche Dateizugriffe, Prozesterstellungen oder Netzwerkverbindungen.
• Phishing-Filter: Implementieren Sie robuste E-Mail-Filterlösungen mit KI-gestützter Bedrohungserkennung.

3. Reaktion: Notfallplan und Incident Response

• Incident Response Plan: Erstellen und testen Sie einen detaillierten Incident Response Plan mit klaren Eskalationspfaden und Verantwortlichkeiten.
• Regelmäßige Übungen: Führen Sie regelmäßige Tabletop-Übungen durch, um die Reaktionsfähigkeit des Teams zu testen und zu verbessern.
• Kommunikationsplan: Bereiten Sie einen Kommunikationsplan für interne und externe Stakeholder vor.
• Backup-Strategie: Implementieren Sie das 3-2-1-Prinzip (3 Kopien, 2 Medien, 1 extern) und testen Sie regelmäßig die Wiederherstellbarkeit.

4. Recovery: Schnelle Wiederherstellung der Systeme

• Automatisierte Wiederherstellung: Implementieren Sie automatisierte Wiederherstellungsprozesse für kritische Systeme.
• Ausweichstandorte: Bereiten Sie alternative Betriebsstandorte vor, um bei einem Totalausfall weiterarbeiten zu können.
• Dokumentation: Dokumentieren Sie alle Incident Response Maßnahmen und Lessons Learned für zukünftige Vorbeugung.
• externe Unterstützung: Legen Sie Verträge mit qualifizierten Incident Response-Dienstleistern fest.

Was tun bei einem Ransomware-Angriff? First-Response-Schritte

Sofortmaßnahmen (erste 15 Minuten)

1. Isolieren Sie betroffene Systeme: Trennen Sie infizierte Systeme vom Netzwerk, aber nicht vom Strom.
2. Benachrichtigen Sie die IT-Leitung: Informieren Sie sofort die IT-Verantwortlichen und Geschäftsführung.
3. Protokollieren Sie alle Maßnahmen: Dokumentieren Sie alle durchgeführten Schritte und Beobachtungen.
4. Starten Sie die Incident Response: Aktivieren Sie vordefinierte Eskalationspfade.

Erweiterte Maßnahmen (erste Stunde)

1. Identifizieren Sie den Schadcode: Analysieren Sie die Ransomware-Variante und deren Verbreitungsmuster.
2. Prüfen Sie Backups: Überprüfen Sie die Integrität Ihrer Backups und deren Wiederherstellbarkeit.
3. Kontaktieren Sie Behörden: Informieren Sie das BSI und die zuständige Landesbehörde.
4. Prüfen Sie Lösegeldforderung: Dokumentieren Sie alle Forderungen, aber zahlen Sie nicht ohne Abstimmung.

Langfristige Maßnahmen (erste 24 Stunden)

1. Wiederherstellung aus Backups: Beginnen Sie mit der systematischen Wiederherstellung der Systeme.
2. Sicherheitsscans: Führen Sie vollständige Sicherheitsscans auf allen Systemen durch.
3. Forensische Analyse: Dokumentieren Sie den Vorfall forensisch korrekt für spätere Ermittlungen.
4. Kommunikation: Informieren Sie Mitarbeiter, Bürger und Medien transparent über die Lage.

Empfehlung für die nächsten 30 Tage

Aufgrund der aktuellen Bedrohungslage empfiehlt sich eine sofortige Umsetzung der folgenden Maßnahmen:

1. Woche 1-2: Sicherheitsaudit
   • Führen Sie eine vollständige Sicherheitsanalyse Ihrer IT-Infrastruktur durch
   • Prüfen Sie alle Sicherheitspatches und installieren Sie ausstehende Updates
   • Überprüfen Sie Ihre Backup-Strategie und führen Sie Wiederherstellungstests durch
2. Woche 3-4: Implementierung von Schutzmaßnahmen
   • Implementieren Sie EDR-Lösungen auf allen Endgeräten
   • Installieren Sie erweiterte E-Mail-Filterung mit KI-Analyse
   • Richten Sie Netzwerksegmentierung für kritische Bereiche ein
   • Erstellen oder aktualisieren Sie Ihren Incident Response Plan
3. Woche 5-6: Training und Übung
   • Führen Sie ein Phishing-Training für alle Mitarbeiter durch
   • Organisieren Sie eine Incident Response-Übung mit dem Team
   • Schulen Sie die Geschäftsführung in Krisenkommunikation

Fazit

Ransomware-Angriffe auf Kommunen sind keine reine IT-Problematik, sondern eine existenzielle Bedrohung für die öffentliche Verwaltung. Proaktive Sicherheitsmaßnahmen, regelmäßige Übungen und ein klares Incident Management sind entscheidend, um die digitale Resilienz zu stärken. Die Investition in Prävention ist deutlich geringer als die Folgen eines erfolgreichen Angriffs.

Quelle: Bundesamt für Sicherheit in der Informationstechnik (BSI), Stand Oktober 2026

Quellen und weiterführende Links

• BSI – Bundesamt für Sicherheit in der Informationstechnik: Lagebericht und Handlungsempfehlungen zu Ransomware
• heise online: Thema Ransomware – aktuelle Meldungen und Hintergründe