Anhalt-Bitterfeld 2021: Katastrophenfall nach Cyberangriff

Was im Juli 2021 passiert ist

Anfang Juli 2021 wurde die Verwaltung des Landkreises Anhalt-Bitterfeld Ziel eines Angriffs mit sogenannter Ransomware, also Erpressungssoftware, die Daten verschlüsselt. Laut dem Lagebericht 2022 des Bundesamts für Sicherheit in der Informationstechnik (BSI) waren sämtliche IT-Systeme aller Standorte der Kreisverwaltung beeinträchtigt. Die Schadensdatenbank KatRiMa des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK) beschreibt, dass die Verwaltung dadurch extrem in ihrer Handlungsfähigkeit eingeschränkt war.

Die Angreifer stahlen außerdem Daten, veröffentlichten einen Teil davon und erpressten die Verwaltung. Nach Kenntnis der Landesregierung wurden insgesamt rund 62 GB Daten ausgespäht. Das Landeskriminalamt Sachsen-Anhalt und die zuständige Staatsanwaltschaft nahmen die Ermittlungen auf. Zu Tätern und technischen Einzelheiten äußert sich diese Fallstudie bewusst nicht.

Am 9. Juli 2021 stellte der Landkreis den Katastrophenfall fest. Nach einer Aufstellung der Landesregierung dauerte er bis zum 31. Januar 2022 – gezählt mit Anfangs- und Endtag sind das 207 Tage. Alle anderen Katastrophenfälle, die das Land für die Jahre 2011 bis 2022 auflistet, gingen auf Hochwasser, einen Erdrutsch, eine Pflanzenkrankheit, die Pandemie und einen Waldbrand zurück.

Warum ein Katastrophenfall ohne Flut

Laut BBK rief die Verwaltung den Katastrophenfall aus, um ihre Handlungsfähigkeit möglichst schnell wiederherzustellen und die Auszahlung der Sozial- und Unterhaltsleistungen wieder zu ermöglichen. Nach einem Bericht der Fachzeitschrift Kommunal sicherte sich der Landkreis damit mehr Befugnisse und eine vereinfachte Vergabe kurzfristig nötiger Aufträge. Außerdem konnte er sofort Hilfe anfordern.

Im Krisenstab arbeiteten nach diesem Bericht neben Beschäftigten des Landkreises Fachleute der Bundeswehr, des BSI, des Landeskriminalamts, des Computer Emergency Response Teams Nord und der Landesverwaltung. Die Zeitschrift bezeichnet den Fall als ersten Cyber-Katastrophenfall in Deutschland.

Video: Katastrophenfall durch Cyberattacke (Sachsen-Anhalt AKTUELL) – MDR-Nachrichtenbeitrag vom 9. Juli 2021, dem Tag der Feststellung des Katastrophenfalls. Stand damals: Verwaltung seit fast einer Woche handlungsunfähig.

Was für die Menschen im Landkreis nicht mehr ging

Das BSI hält fest, dass infolge des Angriffs keine Dienste für Bürgerinnen und Bürger erbracht werden konnten. Nach der BBK-Datenbank konnten mindestens eine Woche lang keine Sozial- und Unterhaltsleistungen bearbeitet und ausgezahlt werden. Landrat Andy Grabner sagte der Fachzeitschrift Kommunal, das Einzige, was noch funktioniert habe, sei die Telefonanlage gewesen.

Die Landesregierung zählt in ihrer Antwort an den Landtag die Aufgabenbereiche auf, die von der Cyberattacke betroffen waren. Aus dem Sozialbereich gehören dazu der Unterhaltsvorschuss, das Elterngeld, die Hilfe zur Pflege und die Blindenhilfe, außerdem der öffentliche Gesundheitsdienst. Zu den Aufgaben des Kreises zählt sie unter anderem auch die Zulassung von Kraftfahrzeugen, Führerscheine, Wohngeld und die Ausländerbehörde.

Das BSI bewertet das so: Wenn kommunale Verwaltungsprozesse ausfallen, kann das die Bevölkerung vielfältig belasten. Das gelte besonders für Menschen, die durch ausbleibende Zahlungen, etwa von Sozialleistungen oder Elterngeld, unmittelbar betroffen sind.

Was weiter funktioniert hat

Nicht alles fiel aus. Brand- und Katastrophenschutz waren laut Landesregierung nicht betroffen, weil sie mit eigener, örtlicher IT arbeiteten. Auch die Pandemiebekämpfung lief weiter, weil sie IT des Bundes nutzte. Damit blieben wichtige Stellen für Notfälle arbeitsfähig.

Nach der BBK-Datenbank stand am 19. Juli 2021 wieder eine „Not-Infrastruktur“, knapp zwei Wochen nach dem Ausfall. Der Landkreis beschreibt den Wiederaufbau in einem Vortrag in drei Stufen: zuerst ein Notbetriebsnetz, physisch von der alten Technik getrennt. Danach eine Zwischeninfrastruktur ausschließlich für hoch priorisierte Fachverfahren, schließlich die neue Zielinfrastruktur.

Der Landkreis zahlte kein Lösegeld und setzte stattdessen auf den Wiederaufbau, wie BSI und Landkreis übereinstimmend berichten.

Hilfe von Land, Bund und Bundeswehr

Zuständig für die Bewältigung war nach Auffassung der Landesregierung der Landkreis selbst. Das Finanzministerium des Landes stellte ihm aber über bestehende Rahmenverträge externe IT-Fachleute zur Verfügung. Sein Informationssicherheitsbeauftragter unterstützte ab dem 9. Juli 2021 vor Ort die Wiederherstellung einer sicheren IT.

Das BSI war auf Anfrage des Landkreises bereits am 8. Juli mit einem mobilen Einsatzteam vor Ort. Es koordinierte das Krisenmanagement danach von Bonn aus mit, analysierte die Schadsoftware und beriet beim sicheren Wiederaufbau. Die Bundeswehr, ebenfalls vom Landkreis angefordert, leistete technische Amtshilfe; das BSI stimmte seine Maßnahmen eng mit ihr ab. Beratend war laut Landkreis außerdem die Hochschule Harz beteiligt.

Schnell ging es trotzdem nicht. Im März 2022 liefen laut Fachzeitschrift Kommunal erst 40 der 159 Fachanwendungen wieder. Daten auf dem Mailserver, im Intranet und auf den einzelnen Arbeitsplatzrechnern waren dauerhaft verloren, der Rest konnte gerettet werden. Das BSI hält fest, dass bei Aufhebung des Katastrophenfalls noch nicht alle Schäden behoben waren, wohl aber die Funktionsfähigkeit.

Welche Lehren gezogen wurden

Die Landesregierung zog eine Erkenntnis ausdrücklich: Der Informationsaustausch zwischen Land und Kommunen weise Schwachstellen auf und müsse gerade bei Sicherheitsvorfällen verbessert werden. Dafür richtete sie eine Arbeitsgruppe zur Einbindung der Kommunen in das Sicherheitsmanagement des Landes ein. Für die Informationssicherheit sind die Kommunen selbst verantwortlich. Als Einstieg verweist das Land auf ein IT-Grundschutz-Profil zur Basis-Absicherung von Kommunalverwaltungen, das auf dem Standard des BSI beruht.

Der Landkreis selbst nennt in seinem Vortrag unter anderem: Arbeiten nach BSI-Grundschutz, Backups und Dokumentation, dokumentierte Abläufe mit Rückfallverfahren, eine benannte IT-Sicherheitsbeauftragte oder einen -beauftragten sowie Wiederanlauf- und Notfallpläne. Die Leiterin des technischen Einsatzes betonte gegenüber Kommunal, dass die Reihenfolge, in der Fachanwendungen wieder anlaufen, vorab verbindlich festgelegt sein sollte.

Seine Erfahrungen will der Landkreis weitergeben. In seinem Vortrag nennt er ein Expertengremium, unter anderem mit der Universität Magdeburg, dem BSI und der Bundeswehr, dazu Vorträge, Seminare und eine Handreichung. Laut Kommunal wurde der Landkreis außerdem Modellkommune des BSI und sollte an einem Grundschutz-Profil für Kommunalverwaltungen mitarbeiten.

Was das für deinen Haushalt heißt

Einen Angriff auf eine Behörde kannst du nicht verhindern. Du kannst aber dafür sorgen, dass dich ein Amt, das wochenlang kaum arbeiten kann, nicht unvorbereitet trifft. Die folgenden Punkte sind unsere Schlussfolgerungen aus den Berichten, keine Empfehlungen der Behörden zu diesem Fall.

Wie lange so etwas dauern kann, zeigt dieser Fall: knapp zwei Wochen bis zum Notbetrieb, mehr als ein halbes Jahr Katastrophenfall, und selbst danach lief noch nicht alles wieder. Bei Behörden nur mit einem Ausfall von ein paar Tagen zu rechnen, greift also zu kurz.

Am härtesten trifft so ein Ausfall Menschen, die auf regelmäßige Zahlungen vom Amt angewiesen sind. Wer Leistungen bezieht, sollte seine Unterlagen deshalb selbst griffbereit haben, statt sich darauf zu verlassen, dass das Amt sie jederzeit abrufen kann. Wie du eine Dokumentenmappe anlegst, steht im Artikel zu wichtigen Dokumenten.

• Bewilligungsbescheide, Anträge und Schriftwechsel mit Ämtern auf Papier aufbewahren, nicht nur im Postfach.
• Fristen, Aktenzeichen und Ansprechpartner notieren, dazu wann und wie du etwas eingereicht hast.
• Einen kleinen Geldpuffer und etwas Bargeld einplanen, falls eine Zahlung sich um Wochen verschiebt.
• Behördengänge wie Zulassung oder Ausweis nicht bis kurz vor Ablauf einer Frist aufschieben.
• Bei Nachrichten, die sich auf einen Ausfall beziehen, nur offiziellen Wegen des Amts trauen.