Hacker im Rathaus: CDU-Wirtschaftsrat schlägt Cyber-Alarm!

Der Wirtschaftsrat der CDU fordert Bund und Länder auf, Deutschlands Kommunen endlich wirksam gegen Cyberangriffe zu schützen. Das geht aus einem Positionspapier hervor, aus dem das Nachrichtenmagazin „Focus“ zitiert. Im November soll es an Bundesdigitalminister Karsten Wildberger (CDU) gehen. Der Verband stellt damit eine unbequeme Frage: Was nützt das schönste Online-Rathaus, wenn es beim ersten Hackerangriff zusammenbricht?

Digitalisierung ohne Sicherheitsnetz

Wirtschaftsrat-Generalsekretär Wolfgang Steiger wird deutlich. Man dürfe nicht immer mehr Verwaltungsleistungen digitalisieren, ohne zugleich deren Sicherheit und Verfügbarkeit zu gewährleisten, sagte er dem Magazin. Ein digitaler Staat müsse auch dann handlungsfähig bleiben, wenn seine IT unter Druck gerate.

Das klingt selbstverständlich. In der Praxis ist es das offenbar nicht. Seit Jahren treibt die Politik die Digitalisierung der Verwaltung voran. Ob die Städte und Gemeinden dafür genug Personal, Geld und Know-how haben, war dabei oft zweitrangig.

Was der Wirtschaftsrat konkret verlangt

Das Papier bleibt nicht bei Appellen. Es nennt mehrere handfeste Forderungen:

• Verlässliches Geld: Bund und Länder sollen über mehrere Jahre Mittel für Personal und Wartung bereitstellen.
• Keine ungedeckten Schecks: Neue Pflichten dürften nicht ohne Finanzierung auf die Kommunen abgewälzt werden.
• Sichere Backups: Wichtige Daten sollen so gesichert sein, dass sie sich nach einem Angriff wiederherstellen lassen.
• Notfallübungen: Rathäuser sollen regelmäßig proben, wie sie ohne funktionierende Computer weiterarbeiten.

Vor allem der zweite Punkt sitzt. Das Prinzip „Wer bestellt, bezahlt“ wird in Berlin gern gepredigt und selten gelebt. Die Rechnung landet am Ende allzu oft bei den Kommunen und damit bei den Bürgern vor Ort.

Die bitteren Lehren der Vergangenheit

Wie real die Gefahr ist, zeigt ein Blick zurück. Im Juli 2021 legten Erpresser mit Schadsoftware den Landkreis Anhalt-Bitterfeld lahm. Die Daten waren verschlüsselt, die Backups Berichten zufolge defekt. Nach drei Tagen rief der Landrat den Katastrophenfall aus. Es war Deutschlands erste Cyberkatastrophe, und die Verwaltung brauchte Wochen bis Monate, um wieder normal zu arbeiten.

Im Oktober 2023 folgte der nächste Schlag. Ein Angriff auf den kommunalen Dienstleister Südwestfalen-IT traf dessen 72 Mitgliedskommunen und Medienberichten zufolge mehr als 50 weitere Städte und Kreise. Ein Forensik-Bericht soll später erhebliche Versäumnisse offengelegt haben, darunter fehlende Updates und mangelhafte Netzwerksicherung.

Berlin: Passwörter im Word-Dokument

Und erst in diesem Spätsommer traf es die Hauptstadt. Laut Medienberichten hatten Angreifer vom 7. bis 14. August unbemerkt Zugriff auf zwei Berliner Senatsverwaltungen. Anfang September veröffentlichte die Gruppe Rhysida rund 1,44 Millionen Dateien im Darknet. Zugangsdaten sollen teils unverschlüsselt in einer Datei namens „Passwort.docx“ gelegen haben. Die Auszahlung von Wohngeld an mehr als 50.000 Haushalte geriet in Gefahr. Mehr Weckruf geht kaum.

Cyberdome: Viel Ankündigung, wenig Schutz

Der Wirtschaftsrat drängt Schwarz-Rot deshalb, bereits angestoßene Projekte zügig fertigzustellen. Gemeint sind „CyberGovSecure“, das die IT der Bundesverwaltung absichern soll, und der „Cyberdome“, ein Frühwarnsystem gegen Angriffe. Das Kabinett hatte das Konzept auf Initiative von Innenminister Alexander Dobrindt bereits im August 2025 in Auftrag gegeben. Das fertige Realisierungskonzept soll laut offiziellen Angaben aber erst bis Ende 2026 vorliegen.

Der trockenste Satz des Papiers ist zugleich der schärfste: Ein Beschluss sei noch keine flächendeckend verfügbare Schutzleistung. Bemerkenswert ist, wer das schreibt. Die Kritik kommt nicht von der Opposition, sondern aus dem eigenen Lager des Kanzlers. Für Friedrich Merz und Minister Wildberger ist das ein klarer Auftrag, denn Hackerbanden warten nicht auf Konzeptpapiere.