Wir hören regelmässig, eine Gemeinde sei zu klein, eine Stadt zu unbekannt oder das Rechenzentrum sei ohnehin zuständig. Angriffe laufen heute automatisiert und suchen nicht nach Namen, sondern nach offenen Türen. Die Cyber Security Probe prüft in einem Tag, wovon die Sicherheit einer Verwaltung tatsächlich abhängt – und bindet dafür vier Stunden der verantwortlichen Personen.
Die vier Sätze
Sie fallen fast wörtlich gleich, quer durch Kantone und Gemeindegrössen:
- „Unsere Gemeinde ist viel zu klein, um für Kriminelle interessant zu sein.“
- „Unsere Stadt ist zu unbekannt.“
- „Wir haben die IT an ein Rechenzentrum ausgelagert – damit sind die zuständig.“
- „Unser Kanton ist gut geschützt.“
Hinter allen vier steht dieselbe Annahme: dass ein Angriff eine Entscheidung ist, die jemand über ein bestimmtes Ziel trifft. Das war einmal so. Heute ist es nicht mehr so.
Warum Grösse und Bekanntheit nichts schützen
Der weit überwiegende Teil der Angriffe beginnt ohne Ziel. Automatisierte Werkzeuge durchsuchen Adressbereiche nach erreichbaren Diensten, veralteten Versionen und offenen Zugängen. Was sie finden, landet in einer Liste. Erst danach schaut ein Mensch darauf – und der sieht keine Gemeinde mit dreitausend Einwohnern, sondern einen Zugang, der offensteht.
Für Verwaltungen kommt ein zweiter Punkt dazu: Sie halten Daten, die sich nicht ersetzen lassen, und sie können ihren Betrieb nicht einfach eine Woche einstellen. Genau diese Kombination macht sie für Erpressung attraktiv – unabhängig von der Einwohnerzahl.
Kleine Verwaltungen sind zudem selten schlechter ausgerüstet, aber fast immer dünner besetzt. Wenn die Person, die sich um die IT kümmert, das neben vier anderen Aufgaben tut, bleibt weniger Zeit für das, was nur regelmässig wirkt.
Was die Auslagerung wirklich abdeckt
Ein Rechenzentrum übernimmt den Betrieb der Technik: Strom, Kühlung, Netz, Hardware, oft auch Betriebssystem und Sicherung. Das erhöht die technische Sicherheit nachweislich, und wer ausgelagert hat, hat in diesem Bereich meist einen besseren Stand als vorher.
Nicht mit ausgelagert werden die Zugänge, die Berechtigungen und die Menschen. Wer sich anmelden darf, wer welche Ordner sieht, wer auf eine gut gemachte Mail antwortet – das bleibt in der Verwaltung. Und dort passieren die meisten erfolgreichen Angriffe.
Der Vertrag mit dem Rechenzentrum sagt das auch. Er liest sich nur selten so, wie er verstanden wird.
Die Probe aufs Exempel
Statt darüber zu diskutieren, prüfen wir es. Die Cyber Security Probe läuft an einem Tag und bindet vier Stunden der verantwortlichen Personen. Geprüft wird in vier Richtungen:
- Was von aussen erreichbar ist – Dienste, Zugänge, Fernwartung, veröffentlichte Adressen
- Wer welche Rechte hat – Konten ohne Besitzer, Administratorrechte im Alltag, ausgeschiedene Mitarbeitende
- Wie der Faktor Mensch reagiert – eine kontrollierte, vorher vereinbarte Probe mit einer realistischen Nachricht
- Ob der Betrieb zurückkommt – Stichprobe auf die Sicherung und die Wiederherstellung
Am Ende steht kein Gutachten mit hundert Seiten, sondern eine Liste: was gefunden wurde, wie schwer es wiegt, was sofort behoben gehört und was geplant werden kann.