Offenbach, den 13.09.2026
Sehr geehrter Herr Stadtverordnetenvorsteher,
gemäß § 50 HGO richte ich die nachstehende Anfrage an den Magistrat mit der Bitte um Beantwortung innerhalb der geschäftsordnungsgemäßen Frist.
Vorbemerkungen:
1. Behörden-IT-Systeme sind zu verwundbar: Beispiel Berlin
Dies wird deutlich vor allem durch den jüngsten Fall des Angriffs auf die Berliner Behörden, der von Politikerinnen und Kommentatoren als „Katastrophe“ bezeichnet wird, auch weil eine unüberschaubarer Menge von sicherheitsrelevanten Daten abgeflossen ist und das Ausmaß des Lecks noch gar nicht überschaut werden kann.
Eine Analyse des Berliner Falls zeigt Strukturschwächen der IT, wie sie leider typisch für viele Verwaltungen sind. Deshalb wollen wir die vorläufigen Erkenntnisse hier kurz skizzieren:
Ein Phishing-Angriff verschaffte den Angreifern offenbar einen Einstieg in die Berliner Verwaltungs-IT. In der Folge konnten sie sich über mehrere Tage innerhalb der Systeme bewegen und große Datenmengen abziehen, ohne rechtzeitig entdeckt und gestoppt zu werden.“ Ein einziges kompromittiertes Benutzerkonto war offenbar der Einstiegspunkt in ein Netzwerk, in dem die Angreifer ihre Zugriffsrechte anschließend immer mehr ausweiten konnten. Der Tagesspiegel berichtet, dass unter anderem der Domaincontroller betroffen war – also genau der zentrale Dienst, der Benutzer und Zugriffsrechte im Windows-Netz verwaltet /1/. In einer Windows-Domäne ist der Domaincontroller die zentrale Instanz für entscheidende weitere Zugriffsrechte, z.B. für Benutzerkonten, Passwörter oder Netzwerkressourcen. Zwischen dem Phishing-Klick und dem Diebstahl von 5,8 TB lagen mehrere weitere Angriffsschritte. Eine ausführliche Analyse zum konkreten Rhysida-Angriff auf Berlin ist das aktuelle Threat Advisory von Threat-Informed /2/.
Die Sicherheitsarchitektur hat also offenbar nicht dafür gesorgt, dass weitere Barrieren nach dem Klick Bestand hatten. Dies ist ein strukturelles Problem der Netzarchitektur und der Zugriffsrechte.
Man muss immer damit rechnen, dass ein Mitarbeiter einen Fehler macht und auf einen Phishing-Link klickt. Wenn das passiert, darf dadurch trotzdem nicht das gesamte Netzwerk gefährdet sein.
Die Netzarchitektur Berlins wird als problematisch eingeschätzt: Berlin hat kein vollständig einheitliches IT-System. Ein Teil der Berliner Verwaltung läuft über ein Dienstleistungszentrum. Andere Behörden bzw. Senatsverwaltungen betreiben jedoch weiterhin eigene Systeme, die der Tagesspiegel als teilweise veraltete Insellösungen beschreibt. Diese Systeme sollten eigentlich ausreichend voneinander abgeschottet sein, hieß es immer. Diese Annahme erwies sich offenbar als falsch, sie waren nicht ausreichend abgeschottet. Berlin hatte also nicht einfach ein großes Netzwerk mit überall gleicher Sicherheitsarchitektur. Gerade die Übergänge zwischen Systemen sind für Angreifer interessant.
Die ungewöhnlichen Vorgänge wurden tagelang nicht erkannt. Es hat offenbar kein ausreichendes Monitoring von Datenabflüssen oder unbefugten Datenkopien gegeben
Auch hatte Berlin offenbar keinen vollständigen Überblick darüber, welche Daten wo liegen und wer darauf zugreifen kann. Man weiß inzwischen, dass der überwiegende Teil der abgeflossenen Daten aus gemeinsam genutzten und persönlichen Verzeichnissen stammte – nicht aus speziellen Fachanwendungen /3/.
2. Wo hätte Berlin den Angriff stoppen können?
Dies ist eine Übersicht über Sicherheitsbarrieren, die versagt haben könnten:
| Angriffsstufe | Schutzmaßnahme | Mögliches Versagen |
| 1. Phishing | Mailfilter, Schulung | Mitarbeiter fiel herein |
| 2. Zugang | Multi-Faktor-Authentifizierung (MFA) | Offenbar nicht überall verpflichtend |
| 3. Benutzerkonten | Erkennen ungewöhnlicher Anmeldungen | Offenbar unzureichend |
| 4. Netzwerk | Segmentierung / Zero Trust | Angreifer konnten sich weiterbewegen |
| 5. Daten | Zugriffskontrolle | Sehr große Datenbestände erreichbar |
| 6. Datenabfluss | Data Leak Prevention | Tagelang unbemerkt |
3. Wie sähe eine bessere Sicherheitsarchitektur aus?
Die Hacker-Gruppe Rhysida nutzt keine Zero-Days, sondern fehlende MFA, fehlendes Logging, ungeschützte Hypervisoren, Passwörter in Word-Dateien und Nutzer, die jeden Befehl ausführen dürfen. Das sind lösbare Probleme, wenn man weiß, wo man anfangen muss. Das Threat Advisory von Threat-Informed listet Gegenmaßnahmen auf, die sofort umgesetzt werden können /2/ S. 12.
Sinnvoll wäre eine Sicherheitsarchitektur mit diesen Elementen:
- Phishing-resistente Multi-Faktor-Authentifizierung für alle
- Single Sign On Service mit einem zentralen Provider. (So etwas betreiben z.B. die TU Darmstadt und die GSI Darmstadt)
- vollständige Protokollierung der Authentifizierungen und Token-Ausgaben
- Zero-Trust-Zugriff statt „wer einmal im Netz ist, ist vertrauenswürdig“
- strikte Netzwerksegmentierung
- Zugang nur, soweit benötigt („Least Privilege“)
- keine gespeicherten Passwörter in Dateien
- Privileged Access Management als Schutz der Administratoren-Zugänge, z.B. zeitliche Begrenzung für die Arbeit mit einem mächtigen Konto
- Endpoint Detection and Response, also ständige Überwachung der Endgeräte bezüglich ungewöhnlichen Verhaltens
- Zentrale Sammlung und laufende Auswertung von Sicherheitsprotokollen
- Schutz davor, dass Daten unberechtigt herauskopiert oder abgeführt werden
Mit diesen Maßnahmen wird aus dem zentralen Identitätsprovider und dem Monitoring ein Frühwarnsystem. Ein einzelner Phishing-Vorfall hätte nicht so katastrophale Folgen.
/1/ https://www.tagesspiegel.de/berlin/rekonstruktion-des-berliner-hackerangriffs-wahrend-das-ultimatum-verstreicht-durchsuchen-mitarbeiter-per-hand-dokumente-16023082.html
/2/ https://threat-informed.de/Threat_Advisory_Rhysida_2026-09.pdf
/3/ https://www.berlin.de/cyberangriff/informationen-fuer-buergerinnen-und-buerger/
4. Die Situation in Offenbach
Wir fürchten, dass Offenbach nicht besser aufgestellt ist als Berlin. Es gab bisher nur deshalb keine Zwischenfälle, weil unsere Stadt weniger wichtig ist als die Hauptstadt. Aber auch wir können interessant sein für Hacker, Erpresser und Spione, weil es auch bei uns vulnerable Infrastruktur und zu schützende Daten gibt.
Vor etwa 10 Jahren ist die Druckmaschinenfabrik Manroland Sheetfed Opfer eines erpresserischen Hackerangriffs geworden. Manroland hat nicht gezahlt, aber tagelang hat die Arbeit lahm gelegen. Der gemeinsamen Anstrengung der Mitarbeiter und Mitarbeiterinnen ist es zu verdanken, dass keinerlei Information nach außen gedrungen ist, alle hielten dicht. Da es die Firma nicht mehr gibt, kann die Geschichte jetzt erzählt werden.
Am 23. Juni 2022 hat die Stadtverordnetenversammlung den Beschluss 2021-26/DS-I(A)0278 gefasst. Danach soll soll der Magistrat zur Reduktion der Risiken und Folgen eines Cyberangriffs ein Informationssicherheitskonzept auf Basis BSI Grundschutz („IT-Grundschutzprofil Basis-Absicherung Kommunalverwaltung“) vorlegen. Dieses soll die Kernverwaltung mit allen Bereichen der kritischen Infrastruktur umfassen sowie den Stadtkonzern und die Eigenbetriebe. Dabei ist zu prüfen und zu berichten, ob ein offizielles Audit „ISO 27001 Zertifizierung“ angestrebt werden soll und welche Kosten damit verbunden wären.
Am 24.11.2023 haben wir eine Anfrage gestellt, wie weit dieser Beschluss jetzt umgesetzt worden sei. In der Antwort hieß es, es müsse zuerst ein Informationssicherheitsbeauftragter (ISB) eingestellt werden müsse, der dafür zuständig sei. In einer Folgeanfrage vom 29.01.2024 wollten wir wissen, wo wir die Stellenbeschreibung finden. In der Antwort hieß es, die Stelle sei 2023 im Stellenplan eingerichtet worden, konnte aber noch nicht besetzt werden. Eine dafür notwendige Stellenbewertung sei für den Februar 2024 vorgesehen. In einer weiteren Folgeanfrage am 20.06.2024 erkundigten wir uns, ob die Stelle inzwischen besetzt sei. Außerdem wollten wir wissen, wie weit der Beschluss 2021-26/DS-I(A)0278 umgesetzt werden sollte. In der Antwort hieß es, dass eine Ausschreibung „in Kürze“ erfolgen sollte. Die Maßnahmen des Beschlusses können erst umgesetzt werden, wenn die Stelle des ISB besetzt sei. Am Tag dieser Antwort erschien jedoch eine Pressemitteilung der Stadt, in der es hieß: „Zusätzlich wird die Stadt die in 2023 und 2024 geschaffenen, aber bisher nicht besetzten Stellen erst ab 2025 ausschreiben“. In einer dritten Anfrage vom 20.07.2024 wollten wir daher wissen, welche von beiden Informationen stimme. Antwort: Die Pressemitteilung war korrekt, die Antwort auf die Anfrage nicht, die Stelle würde erst ab 2025 ausgeschrieben. Im März 2025 erschien dann tatsächlich eine Ausschreibung auf dem Stellenportal. In einer weiteren Anfrage vom 14.06.2025 erkundigten wir uns, ob die Stelle jetzt besetzt sei. Das war sie nicht, man konnte keine geeigneten Bewerber finden.
Links zu diesen Anfragen und Antworten:
| 14.06.2025 | Informationssicherheitsbeauftragte/r (ISB) die vierte | 29.07.2025: Antwort Informationssicherheitsbeauftragter |
| 20.07.2024 | Informationssicherheitsbeauftragte/r – die dritte | 12.08.2024: Antwort hierzu eine Folgeanfrage am 14.06.2025 |
| 20.06.2024 | Informationssicherheitsbeauftragte/r (ISB) die zweite | 18.07.2024: Antwort hierzu eine Folgeanfrage am 20.07.2024 |
| 29.01.2024 | Informationssicherheitsbeauftragte/r | 15.02.2024: Antwort hierzu eine Folgeanfrage am 20.06.2024 |
| 24.11.2023 | Cybersicherheit in der Offenbacher Verwaltung | 14.12.2023: Antwort, hierzu eine Folgeanfrage am 29.01.2024 |
Hierzu haben wir folgende Fragen:
- Ist die Stelle eines ISB inzwischen besetzt?
- Wenn nicht, was ist das Problem bei der Suche?
- Gibt es inzwischen ein Informationssicherheitskonzept?
- Weiß man inzwischen, ob ein offizielles Audit „ISO 27001 Zertifizierung“ angestrebt werden soll oder nicht?
- Können wir in diesem Jahr mit einem Bericht über den Sachstand rechnen?
- Gibt es auch in Offenbach teilweise veraltete Insellösungen?
- Ist geplant, die Sicherheitsstufen noch zu verbessern?
- Gibt es Überlegungen, einen Single Sign On Service mit Protokollierung aller ausgegebenen Token einzuführen?
- Sind die Übergänge zwischen Systemen und der Datenaustausch genügend gesichert?
- Ist für alle Zugänge Multi-Faktor-Authentifizierung verpflichtend?
- Gibt es eine Segmentierung der gesamten IT-Infrastruktur?
- Wenn nicht, wird sie angestrebt?
- Gibt es für große Datenbestände eine besondere Zugangskontrolle?
- Gibt es ein Monitoring von Datenabflüssen, so dass ein großer Datenabfluss schnell bemerkt werden kann?
- Gibt es Bestrebungen, bei der Erhöhung der IT-Sicherheit mit den städtischen Gesellschaften zusammenzuarbeiten?
gez.
Dr. Annette Schaper Herget
Stadtverordnete