Warum Berlin kein Einzelfall ist

Nach dem Cyberangriff auf das Berliner Landesnetz zeichnet sich beim Blick auf andere Vorfälle in deutschen KRITIS-Sektoren ein wiederkehrendes Muster ab. Erst werden Warnungen von Fachleuten ignoriert und Sicherheitsbudgets zusammengestrichen, dann wird im Ernstfall hastig und teuer amerikanische Nothilfe eingekauft, deren Abhängigkeit man sich aus Kostengründen eigentlich nicht leisten wollte. Der Vortrag von Manuel Atug (AG KRITIS) auf dem Chaos Communication Congress, der den Anstoß für meine Recherche gab, war dafür nur der jüngste und plakativste Fall.

Warnungen die niemand hören wollte

Beim Landkreis Anhalt-Bitterfeld hatte das BSI die Verantwortlichen laut einem später öffentlich gewordenen internen Abschlussbericht "wiederholt und ausdrücklich" auf mögliche Risiken hingewiesen, bevor die Grief-Gruppe 2021 das komplette Verwaltungsnetz verschlüsselte. Bei der Südwestfalen-IT deckte ein vertraulicher Forensik-Bericht nach dem Angriff auf, dass grundlegende Maßnahmen wie regelmäßige Updates und eine wirksame Netzwerksegmentierung schlicht fehlten. Nahezu zeitgleich empfahl der IT-Planungsrat sogar, kommunale Verwaltungen aus dem Anwendungsbereich der NIS2-Richtlinie herauszunehmen, während zu diesem Zeitpunkt über 70 Kommunen mit 1,7 Millionen Einwohnern offline waren.

Bei Berlin lässt sich die Ignoranz sogar auf den Monat genau datieren. Die ITDZ-Vorstandsvorsitzende Maria Borelli hatte laut einer Analyse von kommunal.de bereits im Dezember 2024 im Digitalisierungsausschuss auf verschobene Sicherheitsmaßnahmen und veraltete Software hingewiesen, mit dem inzwischen bitter ironischen Fazit "so lange nichts passiert, ist alles gut". Neun Monate später war genau das nicht mehr der Fall.

Wenn das eigene Personal fehlt hilft nur noch die Kreditkarte

Fehlt intern das Fachwissen, bleibt im Ernstfall nur der teure Griff zum externen Dienstleister, und der ist dann selten souverän ausgewählt. Anhalt-Bitterfeld musste laut einer Aufarbeitung von CyberDirekt aufwendig 245.000 Euro über das Finanzministerium beschaffen, die mangels vorbereitetem Ansprechpartner an einen unbekannten Forensik-Anbieter gingen. Der wurde nach neun ergebnislosen Tagen wieder nach Hause geschickt.

Bei Berlin ist der Reflex derselbe, nur diesmal mit US-Adresse. Zur forensischen Untersuchung engagierte die Senatskanzlei laut heise das umstrittene US-Unternehmen CrowdStrike, während der Bezirk Lichtenberg den Einsatz der Falcon-Software auf eigenen Servern verweigerte. Der Bezirk verwies dabei auf einen nahezu unbegrenzten Datenzugriff des Tools sowie auf Überwachungsrisiken für die eigenen Beschäftigten, sah zu diesem Zeitpunkt aber selbst keine Einbruchspuren im eigenen Netz.

Die Rechnung nach der Rechnung

Was bei der Prävention gespart wird, kommt bei der Aufarbeitung als Vielfaches zurück. Der Hochsauerlandkreis bezifferte laut einem Bericht von Borns IT- und Windows-Blog allein seinen eigenen Schaden aus dem SIT-Vorfall für vier Monate auf rund 1,5 Millionen Euro, und die Südwestfalen-IT selbst rutschte durch Einnahmeausfälle in einen Jahresfehlbetrag von 4,2 Millionen Euro. Der Märkische Kreis listete laut LokalDirekt bis September des Folgejahres bereits Ausgaben von über 2,8 Millionen Euro für Sicherheit, Lizenzen, Dienstleisterunterstützung und Krisenbewältigung auf. Prävention wäre in jedem dieser Fälle die deutlich billigere Option gewesen.

Alternativlosigkeit als bequeme Ausrede

Das Muster beschränkt sich nicht auf Forensik nach einem Vorfall, sondern zieht sich strukturell durch die gesamte deutsche Sicherheitsarchitektur, wie schon in einem früheren Artikel zu diesem Blog beschrieben. Bei mehreren Landespolizeien ist inzwischen die Analyseplattform des US-Unternehmens Palantir im Einsatz, das laut Verfassungsblog enge politische Verbindungen zur Regierung von Donald Trump pflegt und dem US Cloud Act unterliegt. Manuel Atug bringt die Konsequenz in einem aktuellen Beitrag der Blätter für deutsche und internationale Politik auf den Punkt: Wenn die Kernfunktionen von Staat und Verwaltung von externen Mächten und der Willkür einer politisch unberechenbaren US-Regierung abhängig sind, hat der Rechtsstaat ein erhebliches Problem.

Dass es auch anders geht, zeigt Schleswig-Holstein. Das Bundesland hat laut demselben Bericht bereits mehr als 40.000 Postfächer von Microsoft Exchange auf Open-Xchange umgezogen und rund 80 Prozent der Verwaltungsarbeitsplätze auf LibreOffice umgestellt, ein Weg, der hier im Blog bereits im Kontext des digitalen Abschieds von Microsoft und der generellen Abhängigkeit von Big Tech behandelt wurde. Der Unterschied zu Berlin, Anhalt-Bitterfeld oder den Landespolizeien liegt also nicht an fehlenden Alternativen, sondern am politischen Willen, sie auch zu nutzen.

Das gleiche Muster auch dort wo noch nichts passiert ist

Auch außerhalb der Verwaltung lässt sich eine mildere Variante desselben Verhaltens beobachten. Laut einer Umfrage der Thüga-Gruppe unter 150 Stadtwerken und Regionalversorgern nennen 97 Prozent Cyberangriffe als größte Bedrohung für die Versorgungssicherheit, gleichzeitig hält sich die Branche insgesamt für gut vorbereitet und handlungsfähig. Genau diese Selbsteinschätzung trotz erkannter Bedrohung war auch beim ITDZ Berlin schon vor dem Vorfall zu hören, und sie wird sich erst im Ernstfall als richtig oder falsch erweisen.

Der Vortrag über den Berliner Vorfall

Hier ist der Vortrag von HonkHase auf den MetaRheinMainChaosDays 2026:

Fazit

Der rote Faden durch Anhalt-Bitterfeld, Südwestfalen-IT und Berlin ist immer derselbe: Fachleute warnen, die Warnung wird aus Kostengründen ignoriert, und im Ernstfall fehlt das interne Wissen komplett, sodass hastig und teuer bei genau jenen US-Anbietern eingekauft wird, deren strukturelle Abhängigkeit man sich aus denselben Kostengründen vorher nicht eingestehen wollte. Am Ende zahlen die betroffenen Verwaltungen und Bürger gleich doppelt, einmal in Euro für die Aufarbeitung und einmal in Souveränität für die Nothilfe.