Ausfall beim IT-Dienstleister: Notfallplan für Kommunen

Wenn der IT-Dienstleister ausfällt: Notfallbetrieb für Verwaltungen und KMU

Am Abend des 7. Oktober 2026 hat das Hochschulservicezentrum Baden-Württemberg (HSZ-BW) einen Cyberangriff auf seine IT-Infrastruktur festgestellt. Seitdem sind die zentralen Verwaltungssysteme zahlreicher Hochschulen im Land ganz oder teilweise offline. Bewerbungen sind mancherorts nur noch per E-Mail möglich, Noten und Stundenpläne fehlen, Rückmeldungen und Prüfungsverwaltung stocken.

Der Fall zeigt ein Muster, das Kommunen und Mittelstandsbetriebe genauso trifft. Wer Fachverfahren, Mail und Verzeichnisdienste bei einem Dienstleister oder Zweckverband einkauft, erbt dessen Ausfallrisiko vollständig. Ein einziges kompromittiertes Rechenzentrum legt dann Dutzende Organisationen gleichzeitig lahm – und jede von ihnen muss ihren Notbetrieb allein organisieren.

Nach Angaben des HSZ-BW deuten die Ergebnisse der forensischen Analyse darauf hin, dass die Datenbestände weitgehend intakt geblieben sind. Für die betroffenen Einrichtungen ist das die gute Nachricht des Monats. Einen Notfallplan ersetzt sie nicht.

Warum die Ausfallzeit das eigentliche Problem ist

Datenverlust lässt sich restaurieren, verlorene Bearbeitungszeit nicht. An einem Verwaltungssystem hängen Fristen: Rückmeldungen, Widerspruchsfristen, Bewerbungsschlüsse, Zahlungsläufe, Vorlagepflichten gegenüber Aufsichtsbehörden. Fällt die Plattform aus, entstehen Rückstau und Rechtsrisiken, obwohl die Daten noch vorhanden sind.

Gleichzeitig steigen die Anforderungen an dokumentierte Notfallkonzepte. Mit dem NIS2-Umsetzungsgesetz gelten für betroffene Einrichtungen Registrierungs-, Nachweis- und Meldepflichten gegenüber dem BSI. Ein Notfallhandbuch, das nur im Intranet liegt, erfüllt diese Pflichten nicht.

Empfehlung 1: Notbetrieb auf Papier beschreiben

Formulieren Sie für die fünf wichtigsten Fachverfahren je ein Ein-Seiten-Blatt. Darauf stehen drei Fragen: Wer entscheidet, wenn das System nicht antwortet? Welche Vorgänge können vorläufig per Formular, Telefon oder E-Mail erledigt werden? Welche müssen ausdrücklich liegen bleiben, bis die Rechtsgrundlage wieder verfügbar ist?

Diese Blätter gehören gedruckt in den Aktenschrank. Im Ernstfall ist das Intranet oft genau das System, das fehlt – und mit ihm jede Anleitung.

Empfehlung 2: Ausweichkommunikation getrennt betreiben

Wenn Mail und Zusammenarbeit beim selben Dienstleister liegen wie die Fachverfahren, fällt mit dem Angriff auch die interne Abstimmung aus. Halten Sie deshalb einen zweiten, technisch unabhängigen Kanal bereit: eine gehostete Notfallgruppe, einen SMS-Verteiler, aktuelle dienstliche Mobilnummern.

Testen Sie diesen Kanal mindestens zweimal im Jahr mit einer echten Nachricht an alle Führungskräfte. Ein Verteilercode, der 2023 zuletzt gepflegt wurde, ist im Krisenfall wertlos.

Empfehlung 3: Verträge und Meldepflichten nachschärfen

Prüfen Sie bei jedem Dienstleistungsvertrag drei Punkte. Erstens: Wie schnell und in welcher Form muss der Anbieter einen Sicherheitsvorfall melden, und an welche Stelle genau? Zweitens: Welche Wiederanlaufzeit ist zugesichert und mit welcher Sanktion ist sie hinterlegt?

Drittens: Gibt es einen belastbaren Exit-Plan – Datenexport, Format, Frist und Unterstützung beim Wechsel? Ohne diese Klausel bleiben Sie im Ernstfall an einen Anbieter gebunden, der selbst in der Krise steckt.

Empfehlung 4: Privilegierte Zugänge trennen

Viele Angriffe auf Dienstleister beginnen mit einem kompromittierten Administrationszugang. Verlangen Sie, dass administrative Konten ausschließlich aus einem getrennten Managementnetz erreichbar sind – mit Mehrfaktor-Authentifizierung und vorgeschaltetem Sprungserver.

Für eigene Systeme gilt dasselbe. Domänen-Administratoren arbeiten nicht am normalen Arbeitsplatz-PC, Service-Konten erhalten keine interaktive Anmeldung, und die Gruppenrichtlinie „Alle interaktiven Anmeldungen lokal ablehnen“ sollte für Dienstkonten gesetzt sein.

Empfehlung 5: Den Ernstfall üben, bevor er eintritt

Die Stadt Ingolstadt hat im Oktober gemeinsam mit dem Bayerischen Landesamt für Sicherheit in der Informationstechnik ihre IT-Notfallvorsorge geprobt. Durchgespielt wurden Ausfall und Wiederanlauf zentraler Dienste – von der Alarmierung bis zur Rückkehr in den Regelbetrieb.

Eine solche Übung kostet zwei Arbeitstage und zeigt zuverlässig, wo das Handbuch Lücken hat. Wichtiger als das perfekte Drehbuch ist die Erkenntnis, wer im Krisenstab tatsächlich erreichbar ist und wer nur auf dem Papier steht.

Was tun, wenn der Ausfall bereits eingetreten ist

1. Vorfall bestätigen lassen. Lassen Sie sich vom Anbieter schriftlich bestätigen, ob ein Sicherheitsvorfall vorliegt oder eine technische Störung. Diese Unterscheidung steuert alle weiteren Meldepflichten.

2. Schnittstellen kappen. Trennen Sie eigene Verbindungen zum Anbieter: VPN-Tunnel, API-Zugänge, Synchronisationsjobs, Freigaben. Was nicht verbunden ist, kann nicht mitkompromittiert werden.

3. Zugangsdaten wechseln. Sobald die Systeme erreichbar sind, alle Kennwörter ändern, die über die betroffene Schnittstelle liefen, und ausgestellte Token sowie Sitzungen prüfen.

4. Krisenstab einberufen. Mit fester Uhrzeit, Protokoll und einer klar benannten Person für externe Kommunikation. Bürgerinnen, Studierende und Beschäftigte brauchen eine Anlaufstelle, nicht 20 widersprüchliche Auskünfte.

5. Fristen dokumentieren. Notieren Sie jede Verzögerung mit Datum und Uhrzeit. Das ist später die Grundlage, um Fristversäumnisse gegenüber Aufsichts- oder Prüfstellen zu begründen.

6. Meldewege einhalten. Bei personenbezogenen Daten gilt die Meldung an die Datenschutzaufsicht, bei kritischen Diensten die Meldung an das BSI. Vermeiden Sie parallel eine eigene Spurensuche am Produktivsystem – sie zerstört forensische Beweise.

Die nächsten 30 Tage

Bis Ende November sollten drei Dinge stehen. Erstens eine Liste aller Dienstleister mit Zugriff auf Ihre Systeme oder Daten, inklusive Ansprechpartner im Störfall und Vertragslaufzeit. Zweitens ein Notfallblatt je Kernverfahren. Drittens ein fester Termin für die erste Übung – notfalls als Tischübung von 90 Minuten.

Wer diese drei Punkte abhakt, hat beim nächsten Ausfall nicht weniger Ärger, aber deutlich mehr Handlungsfähigkeit. Genau das unterscheidet Verwaltungen, die einen Angriff abfedern, von denen, die wochenlang nur verwalten, was nicht mehr geht.

Quellen

• Hochschule für Musik Freiburg: Ausfall des Hochschulmanagement-Systems (07.10.2026)
• SWR: Hochschulservicezentrum HSZ BW gehackt (10.10.2026)
• Landtag von Baden-Württemberg: Cyberangriff auf Hochschulen – Noten und Stundenpläne offline (17.10.2026)
• tagesschau: IT-Systeme der Hochschulen seit Tagen offline (20.10.2026)
• stern: HSZ BW – das weiß man zum Datenabfluss (Oktober 2026)
• Kommune21: Ingolstadt – IT-Notfall erfolgreich geprobt (20.10.2026)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.