Cybersicherheit für
Behörden & Verwaltung

Bundesbehörden müssen die BSI-Mindeststandards und den BSI IT-Grundschutz (Standards 200-1 bis 200-4) verpflichtend umsetzen. Die IT-Grundschutz-Standards definieren ein Informationssicherheitsmanagementsystem (ISMS), eine Risikoanalyse-Methodik und Notfallmanagement. Landesbehörden orientieren sich je nach Landesgesetzgebung ebenfalls am IT-Grundschutz. Kommunen sind zwar nicht direkt durch NIS-2 reguliert, unterliegen aber den Datenschutzanforderungen der DSGVO und des BDSG sowie länderspezifischen E-Government-Gesetzen.

Kommunen sind explizit vom Anwendungsbereich des NIS2UmsuCG (seit 6. Dezember 2025 in Kraft) ausgenommen. Dennoch empfiehlt das BSI die Umsetzung der NIS-2-Anforderungen als Best Practice - insbesondere weil kommunale IT-Dienstleister wie die Südwestfalen-IT (SIT) kritische Dienste für Hunderttausende Bürger bereitstellen. Einige Bundesländer arbeiten zudem an eigenen Cybersicherheitsgesetzen, die kommunale Anforderungen definieren.

Der BSI IT-Grundschutz ist ein Rahmenwerk für Informationssicherheit mit vier Standards: 200-1 (ISMS-Anforderungen), 200-2 (IT-Grundschutz-Methodik mit Basis-, Standard- und Kernabsicherung), 200-3 (Risikoanalyse) und 200-4 (Business Continuity Management). Die Umsetzung erfolgt über Bausteine aus dem IT-Grundschutz-Kompendium, das jährlich aktualisiert wird. Eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz ist möglich und wird vom BSI vergeben.

Laut ENISA entfielen 2023 rund 19% aller Cybervorfälle in der EU auf den öffentlichen Sektor - der am häufigsten attackierte Bereich. Ransomware ist die dominante Bedrohung: Durchschnittlich werden in Deutschland zwei Kommunen pro Monat Opfer von Ransomware-Angriffen. Hinzu kommen gezielte APT-Angriffe staatlicher Akteure (wie der Bundestag-Hack 2015 durch APT28) und Supply-Chain-Angriffe über IT-Dienstleister.

Die Kosten sind enorm und gehen weit über die reine IT-Wiederherstellung hinaus. Der Angriff auf den Landkreis Anhalt-Bitterfeld im Juli 2021 - Deutschlands erster Cyber-Katastrophenfall - verursachte Kosten von über 2,5 Millionen Euro und monatelange Einschränkungen der Bürgerdienste. Der SIT-Angriff im Oktober 2023 legte 72 Kommunen mit über 1,7 Millionen betroffenen Bürgern lahm. Wiederherstellungszeiten von 6 bis 12 Monaten sind keine Seltenheit.

VS-NfD (Verschlusssache - Nur für den Dienstgebrauch) ist die niedrigste Geheimhaltungsstufe für amtliche Dokumente. IT-Systeme, die VS-NfD-Daten verarbeiten, müssen vom BSI zugelassene oder freigegebene Produkte verwenden, verschlüsselte Kommunikation einsetzen und den Zugang auf sicherheitsüberprüftes Personal beschränken. Die VS-NfD-Anforderungen umfassen Verschlüsselung, Zugangskontrollen, Protokollierung und physische Sicherheitsmaßnahmen gemäß der Verschlusssachenanweisung (VSA).

Wir begleiten Behörden von der initialen Bestandsaufnahme über die Schutzbedarfsfeststellung und Modellierung mit IT-Grundschutz-Bausteinen bis zur Umsetzung und Auditierung. Unsere IT-Grundschutz-Praktiker und -Berater unterstützen bei der Erstellung von Sicherheitskonzepten, der Durchführung von Risikoanalysen (BSI 200-3) und der Vorbereitung auf eine ISO 27001-Zertifizierung auf Basis von IT-Grundschutz. Ergänzend führen wir Penetrationstests und Phishing-Simulationen durch, um die technische Wirksamkeit der umgesetzten Maßnahmen zu validieren.

Das Onlinezugangsgesetz 2.0 (OZG 2.0) verpflichtet Bund, Länder und Kommunen zur Digitalisierung von Verwaltungsleistungen. Jeder neue digitale Bürgerdienst - ob Online-Anträge, digitale Identitäten oder Verwaltungsportale - vergrößert die Angriffsfläche und erfordert Security-by-Design. Das OZG 2.0 schreibt explizit die Einhaltung von IT-Sicherheitsstandards vor. AWARE7 unterstützt durch Sicherheitsprüfungen neuer digitaler Dienste, Penetrationstests von Verwaltungsportalen und Schulungen für Entwicklungsteams.

Öffentliche Auftraggeber beschaffen IT-Sicherheitsdienstleistungen in der Regel über EVB-IT-Verträge (Ergänzende Vertragsbedingungen für IT) und vergaberechtliche Verfahren. AWARE7 ist erfahren in der Zusammenarbeit mit öffentlichen Auftraggebern und kennt die Anforderungen an Leistungsbeschreibungen, Eignungskriterien und Vertragsbedingungen. Wir unterstützen bei der Erstellung von Leistungsverzeichnissen und bieten Rahmenvertragsmodelle für wiederkehrende Prüfungen an.

AWARE7 kombiniert offensive Sicherheitsexpertise (Penetrationstests, Red Teaming) mit BSI IT-Grundschutz-Beratung und Security-Awareness-Schulungen. Anders als reine Beratungshäuser führen wir selbst technische Prüfungen durch - anders als reine Pentest-Boutiquen verstehen wir die regulatorischen Anforderungen des öffentlichen Sektors. Alle Daten verbleiben in Deutschland, alle Berater sind sicherheitsüberprüft, und wir arbeiten ausschließlich mit deutschen Rechenzentren. Unsere AZAV-zertifizierten Schulungen können zudem über Fördermittel finanziert werden.