Ein Tag im Krisenstab – wie die Stadt Lavenheim mit einem Cyberangriff umgeht
Cyberangriffe auf Behörden sind längst keine abstrakte Bedrohung mehr – sie gehören für viele Kommunen zur realen Risikolage. Dennoch bleibt die Frage: Wie läuft ein solcher Vorfall eigentlich ab – von innen betrachtet?
Weil reale Fälle aus Datenschutz- und Sicherheitsgründen selten offen kommuniziert werden, greifen wir in diesem Beitrag auf ein fiktives, aber realistisch aufgebautes Beispiel zurück. Die Stadt Lavenheim existiert nicht – doch die beschriebenen Abläufe, Unsicherheiten und Herausforderungen könnten genauso in jeder echten Stadt oder Gemeinde auftreten.
Unser Ziel:
- Awareness schaffen,
- typische Schwachstellen sichtbar machen,
- und konkrete Learnings für Ihre eigene Krisenreaktion bieten.
▶︎ Mehr lesen: Alarmierung bei Cyberangriffen auf Behörden und Ämter
Jetzt Testaccount erstellen - 14 Tage kostenlos!
Mit safeREACH schnell bei Cyberattacken auf Ihre Organisation reagieren. Unabhängige Infrastruktur. Keine Einschränkungen. ISO-zertifizierte Server. Phishing, DDos oder Malware umgehend bekämpfen. In nur 5 Minuten zum ersten Testalarm.
07:45 Uhr – Auffälligkeiten im Bürgerbüro
Die Sachbearbeiter im Bürgerbüro stellen fest, dass keine Verbindung zum Dokumentenmanagement-System aufgebaut werden kann. Auch E-Mails funktionieren nicht.
Kurze Rückfragen in anderen Fachbereichen ergeben: Das Problem betrifft alle Abteilungen. Die IT ist bereits informiert – doch noch gibt es keine Erklärung.
Erste Phase: Unklare Lage
- Systeme reagieren verzögert oder gar nicht
- Drucker und Zeiterfassung sind offline
- Kommunikation läuft nur noch über Mobiltelefone
- Bürger warten – ohne Information
▶︎ Mehr lesen: Cyberangriff auf Behörden: 7 häufige Fragen
08:30 Uhr – Der Krisenstab wird aktiviert
Im Rathaus von Lavenheim wird der Krisenstab Cyberangriff zusammengerufen. Die Stadt hat in ihrem IT-Notfallplan genau dafür einen Ablauf definiert – allerdings wurde dieser zuletzt vor drei Jahren geprobt.
Teilnehmende im Krisenstab:
- Amtsleitung und Bürgermeisterin
- IT-Leitung und Datenschutzbeauftragter
- Kommunikation, Rechtsabteilung, Personal
- Eine Vertretung der örtlichen Polizei
Herausforderungen beim Start:
- Kein Zugriff auf die zentrale Telefonanlage
- Die interne Alarmierungssoftware funktioniert nicht – sie ist serverbasiert
- Ad-hoc-Koordination über private Mobilgeräte
- Informationslage: Lückenhaft, technisch komplex
▶︎ Mehr lesen: Cyberangriffe: 5 reale Bedrohungsszenarien für Behörden
Jetzt Testaccount erstellen - 14 Tage kostenlos!
Mit safeREACH schnell bei Cyberattacken auf Ihre Organisation reagieren. Unabhängige Infrastruktur. Keine Einschränkungen. ISO-zertifizierte Server. Phishing, DDos oder Malware umgehend bekämpfen. In nur 5 Minuten zum ersten Testalarm.
09:20 Uhr – Technische Einschätzung & erste Entscheidungen
Die IT-Abteilung informiert den Krisenstab: Es gibt Hinweise auf einen Ransomware-Angriff. Erste Systemprotokolle zeigen verdächtigen Datenverkehr über das Verwaltungsnetz.
Die Entscheidung fällt: Die Systeme werden vorsorglich abgeschaltet. Das Ziel: Schaden begrenzen, potenzielle Ausbreitung stoppen.
Akute Maßnahmen:
- Netzwerkverbindungen werden gekappt
- IT-Dienstleister und CERT kontaktiert
- Der Krisenstab legt Eskalationsstufen fest
▶︎ Mehr lesen: Bei Cyberangriffen in 5 Minuten wissen, wer handelt
10:00 Uhr – Kommunikationschaos mit Bürgern und Presse
Bürger stehen vor geschlossenen Schaltern. Auf der Website der Stadt steht keine Information – sie ist ebenfalls nicht erreichbar. Erste Anrufe erreichen die Pressestelle und die lokale Zeitung.
Problem: Es gibt keine Freigabestruktur für externe Kommunikation in solchen Lagen. Die Zuständigkeit ist unklar, niemand will „falsch“ kommunizieren.
Fehlende Strukturen führen zu:
- Verzögerter Information an die Öffentlichkeit
- Interner Unsicherheit über Sprachregelungen
- Gefahr von Spekulationen in sozialen Medien
Lavenheim hätte profitiert von:
- Vorab definierten Pressestatements
- Klaren Freigabewegen in der Kommunikation
- Extern gehosteter Krisen-Landingpage
▶︎ Mehr lesen: Was ist Cyberresilienz
Jetzt Testaccount erstellen - 14 Tage kostenlos!
Mit safeREACH schnell bei Cyberattacken auf Ihre Organisation reagieren. Unabhängige Infrastruktur. Keine Einschränkungen. ISO-zertifizierte Server. Phishing, DDos oder Malware umgehend bekämpfen. In nur 5 Minuten zum ersten Testalarm.
11:45 Uhr – Wer muss was melden?
Spätestens jetzt stellt sich die Frage nach der rechtlichen Meldepflicht.
Der Datenschutzbeauftragte weist darauf hin, dass möglicherweise personenbezogene Daten betroffen sind – wenn auch nicht sicher.
Diskussionen im Krisenstab:
- Muss das BSI informiert werden?
- Ist die Datenschutzaufsicht bereits meldepflichtig?
- Welche Informationen dürfen wir weitergeben – und wann?
Punktuelle Unsicherheit lähmt Entscheidungen.
Ein standardisierter Meldeplan mit automatisierter Dokumentation hätte geholfen.
▶︎ Mehr lesen: Compliance Definition
14:30 Uhr – Die Systeme sind offline, der Druck steigt
Bis zum Nachmittag ist klar: Die vollständige Wiederherstellung wird mehrere Tage dauern. Manche Fachbereiche beginnen manuell zu arbeiten. Die Unsicherheit ist spürbar – auch unter den Mitarbeitenden.
In einem kurzen Austausch sagt die Personalreferentin:
„Die Technik ist das eine – aber wir wissen nicht, wer was tun soll, wenn das System versagt.“
▶︎ Mehr lesen: Hackerangriffe: Ämter & Behörden beliebte Opfer
16:00 Uhr – Nachbesprechung: Was hat funktioniert, was nicht?
Der Krisenstab beendet den Tag mit einer ersten Bewertung. Man ist sich einig: Die Reaktion war engagiert, aber nicht strukturiert genug. Vieles lief über persönliche Kontakte und spontane Entscheidungen.
Wichtige Learnings aus Lavenheim:
- Interne Kommunikation war zu abhängig von der IT
- Zuständigkeiten für Krisenkommunikation waren nicht klar
- Alarmierungswege waren nicht ausfallsicher
- Die schnelle Abschaltung verhinderte größeren Schaden
- Das Engagement des Personals kompensierte viele Lücken
▶︎ Mehr lesen: Stiller Kollaps: Was ein IT-Ausfall für Behörden wirklich bedeutet
Jetzt Testaccount erstellen - 14 Tage kostenlos!
Mit safeREACH schnell bei Cyberattacken auf Ihre Organisation reagieren. Unabhängige Infrastruktur. Keine Einschränkungen. ISO-zertifizierte Server. Phishing, DDos oder Malware umgehend bekämpfen. In nur 5 Minuten zum ersten Testalarm.
Fazit: Was Behörden aus Lavenheim lernen können
Cyberangriffe werden nicht angekündigt – aber sie treffen zunehmend Verwaltungen jeder Größe. Der Fall Lavenheim zeigt: Auch mit Notfallplan auf Papier ist man nicht automatisch vorbereitet.
Was zählt, ist digitale Resilienz:
- Eine Alarmierungs- und Kommunikationslösung, die unabhängig funktioniert
- Klare Eskalationsstufen und automatisierte Meldewege
- Vorbereitete Kommunikation – nach innen und außen
▶︎ Mehr lesen: Wie funktioniert safeREACH
Weitere Beiträge, die Sie interessieren könnten:
▶︎ Was ist das Zero Trust Prinzipg
▶︎ 677.000 Euro Schaden durch Cyberangriff
▶︎ Was ist der Unterschied zwischen einem Hackerangriff & einem Cyberangriff
▶︎ Cyberangriff: Ist Ihre Behörde vorbereitet?
▶︎ Warum ist ein effektives IT-Incident-Management für Unternehmen so wichtig?