18. August 2026 · Ransomware · Kommune · KRITIS · Sicherheitsvorfall · IT-Sicherheit

Wenn der Landkreis stillsteht: Warum Kommunen zum Ziel werden

Mitte 2026 traf es die Verbandsgemeinde Rhein-Nahe und die Abfallentsorgung im Landkreis Kassel. Zwei Fälle – und was über den Ausgang eines solchen Angriffs entscheidet.

Mitte Juli 2026 verschlüsselten Angreifer die Fachverfahren der Verbandsgemeinde Rhein-Nahe im Landkreis Mainz-Bingen. Bürgerdienste, Finanzverwaltung und E-Mail standen still; es gab eine Lösegeldforderung, die Wiederherstellung bezifferte die Verwaltung selbst auf einen mittleren bis hohen fünfstelligen Betrag. Wer in diesen Tagen einen Termin brauchte, eine Meldung machen oder eine Rechnung anweisen wollte, stand vor verschlossenen Systemen – nicht für Stunden, sondern für Wochen.

Ein Einzelfall ist das nicht. Nur wenige Monate zuvor hatte ein Cyberangriff im Landkreis Kassel die Systeme der Abfallentsorgung (AKK) und der Jugend- und Freizeiteinrichtungen (JUFKK) getroffen; das Landeskriminalamt wurde eingeschaltet, die Zusammenarbeit mit dem Hessischen Datenschutzbeauftragten aufgenommen. Nach damaligem Stand gab es keine Hinweise auf abgeflossene personenbezogene Daten – die Betriebe waren trotzdem tagelang eingeschränkt. Sicherheitsdienstleister zählten allein im ersten Halbjahr 2026 deutlich über 150 gemeldete Ransomware-Vorfälle in Deutschland, mit steigender Tendenz von Monat zu Monat.

Dramatisieren muss man das nicht. Aber wegsehen auch nicht – gerade weil das Muster so verlässlich ist.

Warum ausgerechnet Kommunen

Angreifer wählen ihre Ziele nicht nach Bekanntheit, sondern nach Erreichbarkeit und Wirkung. Kommunen sind aus drei nüchternen Gründen attraktiv:

  • Erreichbarkeit. Historisch gewachsene Netze, exponierte Fernzugänge und Fachverfahren, die nie für ein feindliches Internet entworfen wurden – das ergibt eine große Angriffsfläche bei knappen Personalressourcen.
  • Wirkung. Steht die Verwaltung still, ist der Druck sofort öffentlich. Meldeämter, Sozialleistungen, Abfallentsorgung: Ausfälle sind für alle sichtbar, was die Zahlungsbereitschaft aus Sicht der Täter erhöht.
  • Konzentration. Viele Kommunen teilen sich einen IT-Dienstleister oder Zweckverband. Das ist wirtschaftlich sinnvoll – wird aber zum Single Point of Failure, wenn ein Angriff die gemeinsame Plattform trifft.

Was den Ausgang entscheidet

Ob so ein Vorfall zur Randnotiz oder zur wochenlangen Katastrophe wird, entscheidet sich nicht am Tag des Angriffs, sondern lange vorher. Drei Punkte tragen den Unterschied:

  • Backups, die einen Angriff überleben. Unveränderbare, vom Produktivnetz getrennte Sicherungen (Object-Lock, „immutable”) und – mindestens genauso wichtig – getestete Wiederherstellungen. Ein Backup, dessen Restore nie geprüft wurde, ist eine Hoffnung, kein Plan.
  • Sicht auf das eigene Netz. Die meisten Vorfälle beginnen leise: ein neues Admin-Konto, eine unauffällige Konfigurationsänderung, ein Gerät, das sich anders verhält als gestern. Wer rund um die Uhr auf genau diese Signale schaut, erkennt den Einbruch, bevor er zur Verschlüsselung wird.
  • Ein Notfallplan, den jemand schon einmal geprobt hat. Wer im Ernstfall zuständig ist, wie kommuniziert wird, in welcher Reihenfolge wiederhergestellt wird – das gehört auf Papier und in eine Übung, nicht in die erste Stunde nach dem Fund.

Patchen allein reicht dabei nicht. Mehrere der 2026 bekannt gewordenen Fälle trafen Umgebungen, die aktuell gepatcht, aber unbemerkt bereits kompromittiert waren – über alte Zugangsdaten oder Hintertüren, die ein Update überstehen. Nötig ist laufende Beobachtung, nicht nur ein aktueller Versionsstand.

Für kommunale Betriebe ist das inzwischen auch Pflicht

Viele kommunale Eigenbetriebe – Abfallwirtschaft, Energie- und Wasserversorgung – fallen unter die Vorgaben von IT-SiG 2.0 und NIS-2. Der Gesetzgeber verlangt dort nachweisbare Maßnahmen: Monitoring, Meldeprozesse, Notfallvorsorge. Das ist keine zusätzliche Last neben der Sicherheit, sondern beschreibt genau das, was einen Vorfall glimpflich ausgehen lässt. Dass es in Kassel ausgerechnet die Abfallentsorgung traf, führt vor Augen, wie konkret diese Betroffenheit ist.

Wie wir das begleiten

Als inhabergeführtes Systemhaus in Solingen betreiben wir genau solche Umgebungen im Dauerbetrieb – für kommunale Zweckverbände in regulierten Sektoren überwachen wir Sicherheitssysteme rund um die Uhr über unser NOC. Dazu gehören unveränderbare, geo-redundante Backups mit getesteten Wiederherstellungen (Veeam-Praxis), die laufende Beobachtung auf unerwartete Admin-Konten und Konfigurationsänderungen sowie Notfallvorsorge und Compliance-Begleitung zu NIS-2, IT-SiG 2.0 und ISO 27001 – zu planbaren monatlichen Pauschalen im Rahmen unserer Managed Services und Business Continuity. Kein Weiterreichen an wechselnde Teams: Sie sprechen mit denselben Menschen, die Ihre Umgebung kennen.

Ein Angriff lässt sich nicht ausschließen. Aber ob er Ihre Verwaltung tagelang stilllegt oder an vorbereiteten Kontrollen abprallt, ist eine Entscheidung, die Sie heute treffen – nicht am Tag des Vorfalls.

Quellen

Sprechen wir über Ihre Situation.

Gespräch vereinbaren+49 212 240915 0