Auf Basis der Forschungsarbeiten von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Wenn eine Kommune lahmgelegt wird, merkt es jeder: Bürgerportale fallen aus, Meldebescheinigungen können nicht ausgestellt werden, Sozialleistungen stocken, im schlimmsten Fall stehen Wasserversorgung oder Energieverteilung still. Kommunalverwaltungen und Stadtwerke gehören zu den verwundbarsten Zielen im deutschen Cyberraum – und zugleich zu den am schlechtesten geschützten. Teichmann hat die strukturellen Ursachen dieser Verwundbarkeit und die Konsequenzen der NIS-2-Richtlinie in mehreren Beiträgen analysiert (Teichmann, Cyberangriffe auf kommunale IT-Infrastrukturen, CyberStR 2025, S. 23–32; ders., NIS-2 und die Anwendung auf kleine und mittlere Stadtwerke, EnWZ 2025, S. 400–407).

Warum Kommunen besonders gefährdet sind

Teichmann identifiziert mehrere strukturelle Faktoren, die Kommunen zu attraktiven und leicht angreifbaren Zielen machen.

Das erste Problem ist die heterogene IT-Landschaft. Während kleine Gemeinden ihre IT oft an gemeinsame kommunale Rechenzentren auslagern, betreiben größere Städte eigene Infrastrukturen – und vielfach existiert ein unübersichtlicher Mischbetrieb. Diese gewachsene Heterogenität führt zu sehr unterschiedlichen Sicherheitsniveaus und einer Vielzahl schwer überwachbarer Schnittstellen (Teichmann, CyberStR 2025, S. 23–32).

Das zweite Problem sind Legacy-Systeme. Viele Kommunen arbeiten mit veralteten Fachverfahren, für die es keine Sicherheitsupdates mehr gibt oder deren Aktualisierung aus Budgetgründen unterbleibt. Diese Altsysteme sind ein bevorzugtes Einfallstor für Angreifer.

Das dritte und vielleicht gravierendste Problem sind die Governance-Defizite. Cyberrisiken werden in Kommunen oft als punktuelle Einzelprobleme wahrgenommen, Zuständigkeiten bleiben diffus. Der Bund fühlt sich nicht direkt zuständig, die Länder verweisen auf die kommunale Selbstverwaltung, und viele Kommunen verfügen schlicht nicht über ausreichende personelle und finanzielle Ressourcen, um Cybersicherheit proaktiv anzugehen (Teichmann, CyberStR 2025, S. 23–32).

Der zersplitterte Rechtsrahmen

Ein zentrales Problem ist die unübersichtliche Rechtslage. Die Verantwortung für kommunale Cybersicherheit liegt in einem Spannungsfeld zwischen EU-Vorgaben, Bundesrecht und Landesrecht – ein föderales Geflecht, in dem klare Zuständigkeiten und einheitliche Mindeststandards fehlen. Bemerkenswert ist, dass der IT-Planungsrat entschieden hat, Kommunen von vielen NIS-2-Pflichten auszunehmen – ein Symptom der föderalen Unübersichtlichkeit, das Teichmann kritisch bewertet. Das Ergebnis ist ein Flickenteppich verschiedener Normen, in dem keine Stelle umfassend für ein einheitliches Schutzniveau sorgt (Teichmann, Cybersicherheit in Kommunen – Regelungsdefizite und Reformbedarf, ZRP 2025, S. 184–187).

Stadtwerke: Zwischen Daseinsvorsorge und NIS-2

Während die kommunale Kernverwaltung in vielen Bundesländern von NIS-2 ausgenommen bleibt, stellt sich die Lage bei Stadtwerken anders dar. Als Betreiber von Energie-, Wasser- und teilweise Verkehrsinfrastruktur erbringen sie kritische Dienstleistungen der Daseinsvorsorge – und fallen damit häufig unter die NIS-2-Richtlinie (Teichmann, EnWZ 2025, S. 400–407).

Besonders herausfordernd ist die Selbsteinstufung: Mehrspartenunternehmen, die gleichzeitig Strom, Gas, Wasser und vielleicht noch Verkehr oder Telekommunikation anbieten, müssen sorgfältig prüfen, welche ihrer Tätigkeiten sie unter welche Kategorie bringen. Und selbst unterschwellige, aber funktional kritische Akteure können erfasst sein: Ein kleines Stadtwerk, das eine ganze Region mit Energie versorgt, kann trotz geringer Mitarbeiterzahl eine Schlüsselrolle einnehmen, deren Ausfall erhebliche Auswirkungen hätte (Teichmann, EnWZ 2025, S. 400–407).

Das Ressourcenproblem

Teichmann adressiert ein Problem, das in der Praxis oft übersehen wird: Die Anforderungen von NIS-2 können kleine kommunale Versorger schlicht überfordern. Ein Stadtwerk mit wenigen Dutzend Mitarbeitern verfügt selten über eine eigene IT-Sicherheitsabteilung oder einen CISO. Sein Lösungsvorschlag ist pragmatisch: Kooperationsmodelle. Kleine Stadtwerke können sich zusammenschließen, gemeinsame IT-Sicherheitsdienstleister beauftragen oder auf die Ressourcen kommunaler Rechenzentren zurückgreifen. Wichtig dabei: Wer IT-Sicherheit auslagert, bleibt für deren Niveau verantwortlich und muss die Dienstleister entsprechend prüfen (Teichmann, EnWZ 2025, S. 400–407).

Was Kommunen und Stadtwerke jetzt tun sollten

Stadtwerke müssen prüfen, ob und in welche Kategorie sie unter NIS-2 fallen. Cybersicherheit muss eine klare Zuständigkeit erhalten – als Führungsaufgabe mit definierter Verantwortung. Kleine Versorger sollten Kooperationen und geteilte Dienstleister nutzen. Die grundlegenden Schutzmaßnahmen – Netzwerksegmentierung, Backups, Multi-Faktor-Authentifizierung, Patch-Management, Mitarbeiterschulungen – sind auch bei begrenzten Ressourcen umsetzbar. Und Notfallkonzepte für einen Minimalbetrieb ohne IT sind in der Daseinsvorsorge unverzichtbar (Teichmann, EnWZ 2025, S. 400–407; ders., CyberStR 2025, S. 23–32).

Fazit: Daseinsvorsorge braucht Cyber-Resilienz

Kommunen und Stadtwerke stehen vor einer doppelten Herausforderung: Sie sind besonders verwundbar und gleichzeitig besonders schützenswert, weil ihr Ausfall die Grundversorgung der Bürger gefährdet. Was es braucht, ist ein struktureller Wandel der Cybersicherheitskultur in der kommunalen Daseinsvorsorge – und der beginnt damit, dass Cybersicherheit als Kernaufgabe der öffentlichen Verantwortung begriffen wird.

Alle Quellenangaben beziehen sich auf veröffentlichte wissenschaftliche Beiträge von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. Die vollständige Bibliographie ist im Publikationsverzeichnis (Stand Mai 2026) dokumentiert.