Cyberangriffe: LfDI Baden-Württemberg kündigt Stichprobenkontrollen in Verwaltungen an

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW) hat Landes- und Kommunalverwaltungen Ende Oktober 2026 dringend aufgefordert, ihre technischen Systeme zu überprüfen. Anlass sind mehrere Angriffe der letzten Wochen: auf eine Partei und auf ein Servicezentrum von Hochschulen in Baden-Württemberg, außerdem auf die Berliner Verwaltung. Dort haben die Täter erbeutete Daten im Darknet veröffentlicht.

Über 1.900 Meldungen in diesem Jahr

Wie groß das Problem ist, zeigen die Zahlen: Allein 2026 sind beim LfDI BW bislang sektorübergreifend über 1.900 IT-Sicherheitsvorfälle eingegangen, die nach Art. 33 DS-GVO meldepflichtig waren. In über 700 Fällen besteht der Verdacht auf Phishing. „Eine hundertprozentige Sicherheit vor Cyberangriffen gibt es in der digitalen Welt nicht“, sagt der Landesbeauftragte Prof. Dr. Tobias Keber. Viele Angriffe ließen sich aber schon mit einfachen Mitteln abwehren. Er hebt hervor, dass Verwaltungen zum Teil höchst sensible personenbezogene Daten der Bürgerinnen und Bürger verarbeiten.

Der Aufruf hat Folgen: Der LfDI will in den kommenden Monaten stichprobenartig prüfen, ob öffentliche Stellen die datenschutzrechtlich gebotenen IT-Sicherheitsmaßnahmen umsetzen. Er behält sich ausdrücklich vor, auch unangekündigt zu prüfen.

Zehn Punkte für die Inventur

Der Prüfmaßstab ergibt sich aus Art. 32 DS-GVO. Der LfDI hat ihn in zehn Basismaßnahmen übersetzt:

1. Sicherheitsupdates zügig einspielen und keine Software ohne Updates mehr nutzen.
2. Individuelle Passwörter mit Passwortmanager und Zwei-Faktor-Authentifizierung verwenden. Sensible Daten und E-Mails mit phishing-resistenten Verfahren wie Passkeys/FIDO2 schützen.
3. Interne Systeme, Adminoberflächen und Fernwartung nur im lokalen Netz oder über VPN erreichbar machen.
4. Clouddienste mit sensiblen Daten an vertrauenswürdige Hardware, IP-Bereiche oder interne Netze binden.
5. Nur signierte PowerShell-Skripte und Makros zulassen und normalen Nutzern den Zugriff auf die Kommandozeile sperren.
6. Ein Rechte- und Rollenkonzept umsetzen und Adminkonten nicht für die tägliche Arbeit nutzen.
7. Datenträger verschlüsseln, vor allem auf mobilen Geräten.
8. Nicht benötigte Daten löschen, möglichst automatisiert.
9. Backups getrennt von den übrigen Systemen aufbewahren und die Wiederherstellung testen.
10. Systeme laufend betreuen und Beschäftigte sensibilisieren.

Zur Selbstprüfung hat der LfDI Leitfragen zur Basis-IT-Sicherheit für öffentliche Stellen veröffentlicht. Datenschutzbeauftragte in Kommunen und Landesbehörden sollten diese Leitfragen jetzt mit der IT gemeinsam durchgehen und dokumentieren, welche Maßnahmen umgesetzt sind, welche fehlen und bis wann sie nachgeholt werden. So lässt sich bei einer Kontrolle nachweisen, was nach Art. 5 Abs. 2 und Art. 24 DS-GVO verlangt ist. Die Liste ist ausdrücklich an Verwaltungen gerichtet, taugt aber auch für Unternehmen als Mindeststandard, zumal Phishing-Fälle in allen Branchen überwiegen.

(Foto: AIPERA – stock.adobe.com)