Cybersicherheit in Hessen: Gefährdungslage 2024 weiterhin hoch
Für die Cybersicherheit ist in Hessen das 2019 im Hessischen Innenministerium gegründete Hessen3C zuständig. Als Zentrum der hessischen Cybersicherheitsarchitektur bündelt es relevante Informationen hessischer Polizeibehörden, des Landesamtes für Verfassungsschutz Hessen, des bundesweiten Verwaltungs-CERT-Verbundes und des Nationalen Cyber-Abwehrzentrums. Auf dieser Grundlage führt Hessen3C Maßnahmen im Bereich der Prävention durch und unterstützt bei der Bewältigung von Cyberkrisen. Seine Expertise und Unterstützungsangebote stellt Hessen3C primär der hessischen Landesverwaltung und den hessischen Kommunen zur Verfügung. Weitere Zielgruppen sind kleine und mittlere Unternehmen (KMU) sowie Unternehmen aus dem Bereich der kritischen Infrastruktur.
Zur Lage der Cybersicherheit führte Innenminister Roman Poseck aus:
„Hybride Bedrohungen haben insbesondere seit dem Angriffskrieg Russlands auf die Ukraine zugenommen. Immer häufiger sind Kommunen, Unternehmen, öffentliche Einrichtungen und kritische Infrastrukturen Cyberangriffen ausgesetzt. Ziel dieser Attacken ist es, das Vertrauen in unsere Demokratie zu schwächen. Da Staat, Gesellschaft und Wirtschaft auf das Funktionieren von Informationstechnik und die Vertraulichkeit, Integrität und Verfügbarkeit unserer Daten angewiesen sind, müssen wir wehrhafter werden und uns besser vor Angriffen schützen. Absolute Sicherheit kann es auch im digitalen Raum nicht geben, deshalb gilt es, die Cyberresilienz zu stärken.
Hessen hat mit der Einrichtung des Hessen3Cs bereits vor fünf Jahren auf Cyberangriffe reagiert. Dabei unterstützen wir insbesondere die Kommunen. Deshalb haben wir unser Angebot mit dem Aktionsprogramm Kommunale Cybersicherheit zielgerichtet anhand der Bedarfe unserer Städte, Gemeinden und Landkreise erweitert. Im Rahmen von regionalen Cybersicherheitsgipfeln an den Regierungspräsidien Darmstadt, Gießen und Kassel haben wir im vergangenen Jahr den Kommunen die Maßnahmen des neuen Aktionsprogramms Kommunale Cybersicherheit (AKC) vorgestellt. Dieses wurde in enger Zusammenarbeit zwischen dem Hessen3Cs und den Kommunalen Spitzenverbänden erarbeitet. Das AKC ist ein weiterer Baustein für mehr Cybersicherheit in Hessen.“
Aktionsprogramms Kommunale Cybersicherheit (AKC)
Als Grundlage für sichere kommunale Netze werden fortan zum besseren Schutz der IT-Systeme Pentests angeboten, bei denen gezielt ein Cyberangriff zur Aufdeckung von Schwachstellen simuliert wird. Eine von einem Cyberangriff betroffene Kommune kann künftig fünf Einsatztage kostenlos die Dienste eines Incident Response Service in Anspruch nehmen. Auf Grundlage einer Analyse der Datenträger und Netze klären Expertinnen und Experten den Sicherheitsvorfall auf, um weitere Maßnahmen einleiten zu können. Stärken möchten wir auch das Notfallmanagement. Deshalb bieten wir Kommunen vor Ort individuelle Unterstützung bei der Erstellung eines Business Continuity Managements an. Darüber hinaus gibt es neu e-Learning-Module, mit denen Kommunen ihre Mitarbeiterinnen und Mitarbeiter für Cyberrisiken im täglichen Dienstbetrieb sensibilisieren und im richtigen Umgang mit diesen schulen können.
Der Minister erklärte weiter: „Cybersicherheit ist ein fester Bestandteil Innerer Sicherheit. Zusammen mit den relevanten Akteuren aus Wirtschaft, Verwaltung, Forschung und Wissenschaft werden wir als Land weiter unseren Beitrag zur Cybersicherheit leisten. Klar ist aber auch, dass wir Cybersicherheit nur mit Unterstützung des Bundes und anderer Länder stärken können. Dabei spricht viel für eine zentralere Rolle des Bundesamts für Sicherheit in der Informationstechnik, das seine Kompetenzen im Interesse des gesamten Landes ausbauen könnte. Hessen wird sich hierbei gerne beteiligen und die kommende Bundesregierung unterstützen.
Im vergangenen Jahr haben Hessen und Baden-Württemberg unter dem Motto „Vernetzten Bedrohungen vernetzt begegnen“ eine bestehende Kooperationsvereinbarung um das Land Bayern erweitert. Hessens CyberCompetenceCenter, die Cybersicherheitsagentur Baden-Württemberg und das bayerische Landesamt für Sicherheit in der Informationstechnik sind starke Strukturen, die gebündelt noch wirksamer Gefahren im Netz bekämpfen können. Die vertrauensvolle Zusammenarbeit mit verlässlichen Partnern trägt maßgeblich zu einem verbesserten Schutz der staatlichen IT-Infrastrukturen bei.
Auch in diesem Jahr werden wir gemeinsam dafür Sorge tragen, dass wir die Cyberresilienz stärken und damit die Cybersicherheit erhöhen.“
Hessen3C und Unterstützungsangebote
Die Anzahl der dem Hessen CyberCompetenceCenter (Hessen3C) freiwillig gemeldeten Cyberangriffe auf hessische Kommunen belief sich im vergangenen Jahr bislang auf 21 Fälle. Auch wenn die Mehrzahl dieser Fälle niederschwellige Angriffsformen darstellen, bei denen keine Daten abgeflossen sind oder Systeme komplett zum Erliegen gebracht wurden, ist die Zahl der ernstzunehmenden Cyberangriffe alarmierend hoch. Die größte Bedrohung für hessische Unternehmen waren auch in diesem Jahr Ransomware-Angriffe, bei denen Kriminelle die Daten ihrer Opfer verschlüsseln, um ein Lösegeld zu erpressen. Im Bereich der Bürgerinnen und Bürger stellten Phishing-Angriffe zur Erlangung sensibler Daten (z. B. Kontodaten) einen Schwerpunkt dar.
Der Bedarf nach Beratung und den Angeboten des Hessen3C ist auch im Jahr 2024 groß gewesen. So führten die Expertinnen und Experten des Hessen3C seit Beginn des Jahres 35 Beratungs- und Awarenessveranstaltungen durch. An die Notfall-Hotline des Hessen3C wandten sich 50 Akteure.
Insgesamt haben 325 hessische Kommunen und 19 Landkreise die Angebote des Kommunalen Dienstleistungszentrums Cybersicherheit (KDLZ-CS) in Anspruch genommen. Das KDLZ-CS unterstützt Kommunen bei einer individuellen Ist-Analyse zur Cybersicherheit, auf deren Grundlage ein konkreter Maßnahmenplan zur Stärkung der Resilienz entwickelt wird. Im Hessischen Cyberabwehrausbildungszentrum (HECAAZ) werden Bedienstete aus den Bereichen Verwaltungsleitung, Organisation und IT-Betrieb in realistischen Übungsszenarien auf den Ernstfall vorbereitet. Anhand praktischer Übungen werden Notfallpläne und Strategien entwickelt. So sollen die Kommunen auch nach einem Cyberangriff schnell wieder arbeitsfähig sein. 305 Kommunen (Gemeinden, Städte, Landkreise) haben seit Mai 2022 an dem dreitägigen Schulungsprogramm teilgenommen. Das Aktionsprogramm Kommunale Cybersicherheit wurde im Rahmen von drei regionalen Cybersicherheitsgipfeln in Nord-, Mittel- und Südhessen über 350 Vertreterinnen und Vertretern der kommunalen Familie vertieft vorgestellt.
Von den 117 identifizierten Einzelmaßnahmen der Ende 2023 verabschiedeten hessischen Cybersicherheitsstrategie sind ein Jahr nach der Verabschiedung 95 Prozent (112 Maßnahmen) der Maßnahmen umgesetzt (z. B. ein Informationssicherheitsmanagementsystem wurde in allen Dienststellen der Landesverwaltung eingeführt), in Umsetzung befindlich oder werden als Daueraufgabe von den Ressorts der hessischen Landesverwaltung wahrgenommen.
Awareness und Sensibilisierung sind ein wesentliches Element, um erfolgreiche Cyberangriffe zu verhindern, u. a. in Zusammenarbeit mit Industrie- und Handelskammern, TÜV und dem Handelsverband Hessen. Es wurden über 220 Schulungen mit mehr als 15.00 Teilnehmerinnen und Teilnehmern (Stichtag 11.10.2024) erfolgreich durchgeführt. Zielgruppenspezifische Awareness ist ebenfalls ein zentraler Bestandteil des Aktionsprogramms Kommunale Cybersicherheit. 2025 sind weitere einschlägige Maßnahmen, wie Schulungen, Fortführung und Weiterentwicklung eLearning und Sensibilisierungsaktionen geplant.
Adina Murrer
Pressesprecherin
Referat Presse- und Öffentlichkeitsarbeit
Ministerbüro
Hessisches Ministerium des Innern, für Sicherheit und Heimatschutz
Friedrich-Ebert-Allee 12
65185 Wiesbaden
