An gutem Willen scheitert es nicht: Der Anteil der Beschäftigten, die von geplanten Investitionen in die IT-Sicherheit ihrer Verwaltung berichten, ist binnen eines Jahres deutlich gestiegen. 43 Prozent nennen für 2026 bereits geplante Investitionen, 2025 waren es 28 Prozent. 14 Prozent sagen, dass derzeit keine Investitionen geplant seien; 9 Prozent warten auf staatliche Fördermittel. 34 Prozent können die Entwicklung nicht beurteilen.
Das geht aus einer Befragung von 690 Beschäftigten im öffentlichen Dienst in Deutschland hervor, die das Marktforschungsinstitut Statista im Auftrag des IT-Sicherheitsunternehmens G DATA 2026 durchgeführt hat. Der technische Zustand der Systeme fällt dabei gemischt aus: 41 Prozent bewerten ihre IT als "modern und gut gepflegt".
19 Prozent beschreiben sie hingegen als "sehr unterschiedlich je nach Bereich", 17 Prozent als teilweise veraltet, aber funktional. 15 Prozent sehen ihre Verwaltung gerade in der Umstellung. 6 Prozent halten ihre Systeme für veraltet und schwer wartbar, 10 Prozent können den Zustand nicht beurteilen.
Cyberangriffe sind kein Einzelfall
Die Bedrohungslage ist für viele Beschäftigte kein abstraktes Risiko. 14 Prozent haben 2026 einen Cyberangriff in ihrer Verwaltung persönlich erlebt; 2025 waren es 13 Prozent. Weitere 35 Prozent haben 2026 von einem Vorfall im Kollegenkreis gehört, nach 32 Prozent im Vorjahr. 51 Prozent verneinen beides. 2025 lag dieser Anteil noch bei 55 Prozent.
Der großflächige Angriff auf Berliner Senatsverwaltungen im August steht damit nicht für sich allein. Er zeigt zudem, dass ein Cybervorfall nicht mit der Wiederherstellung der Systeme endet: Die Hackergruppe Rhysida veröffentlichte Unterlagen, die Hinweise auf kritische Infrastrukturen sowie den Zivil- und Katastrophenschutz enthalten sollen. Jochim Selzer, Sprecher des Chaos-Computer-Clubs, sprach gegenüber der ZFK von einer mittelbaren und mittelfristigen Gefahr. Die Daten könnten Angreifern Hinweise auf Schwachstellen geben.
Angriffe auf andere Kommunen oder kommunale IT-Dienstleister wirken laut Umfrage als Weckruf. In der gesondert ausgewiesenen Gruppe aus IT-Sicherheit, IT und IT-Leitung sowie Behörden- und Amtsleitungen berichten 64 Prozent, dass ihre Organisation IT-Sicherheitsprozesse oder Richtlinien angepasst hat.
62 Prozent nennen Schulungen oder Sensibilisierungsmaßnahmen. Jeweils 46 Prozent berichten von Investitionen in neue IT-Sicherheitslösungen oder einer Überprüfung und Verbesserung ihrer Notfall- und Reaktionspläne. 43 Prozent sehen eine stärkere Priorisierung der IT-Sicherheit im Management, 25 Prozent eine intensivere Zusammenarbeit mit externen IT-Dienstleistern.
Wenn nachts niemand reagiert
Bei den bekannten Notfallmaßnahmen zeigt sich ein weniger geschlossenes Bild. 58 Prozent der Beschäftigten im öffentlichen Dienst nennen regelmäßige Datensicherungen. 43 Prozent kennen Notfallpläne oder Checklisten, 41 Prozent eine Notstromversorgung für Server und 40 Prozent Brandschutz im Serverraum. 31 Prozent wissen von einer Trennung betroffener Systeme bei Angriffen, 30 Prozent von einer Zusammenarbeit mit externen Sicherheitspartnern. 19 Prozent sagen, ihnen seien keine entsprechenden Maßnahmen bekannt.
Auch die Reaktionsfähigkeit außerhalb der Bürozeiten ist nicht überall geklärt. 33 Prozent wissen von Schutzmaßnahmen durch Bereitschaften oder Schichtdienste, 30 Prozent verweisen auf externe Dienstleister. 17 Prozent sagen, solche Maßnahmen gebe es ihres Wissens nach nicht; 24 Prozent können die Frage nicht beantworten.
Damit berührt die Studie ein Problem, das sich auch in den ZFK-Recherchen zu Angriffen auf Stromnetze und Verwaltungen zeigt: Technik allein schützt nicht. Entscheidend ist, ob Zuständigkeiten geklärt, Vertretungen benannt und Abläufe regelmäßig geübt sind. Eine Alarmmeldung nützt wenig, wenn sie nachts niemand empfängt oder bewertet.
Abhängigkeiten bleiben ein Risiko
Auch technologische Abhängigkeiten berücksichtigen die Beschäftigten unterschiedlich stark. 33 Prozent sagen, ihnen sei bewusst, dass internationale Anbieter auch auf Daten zugreifen können, wenn diese in Deutschland gespeichert werden, und sie berücksichtigten das aktiv. 40 Prozent tun dies in bestimmten Fällen. 9 Prozent ist das Risiko bewusst, sie berücksichtigen es aber nicht. 12 Prozent haben davon gehört, sich aber nicht näher damit beschäftigt. 6 Prozent war diese Möglichkeit bislang nicht bewusst.
Beim verstärkten Einsatz quelloffener Software überwiegt die Zustimmung: 19 Prozent bewerten ihn sehr positiv, 38 Prozent eher positiv. 35 Prozent sehen Vor- und Nachteile. Fünf Prozent beurteilen den Einsatz eher kritisch, zwei Prozent sehr kritisch.
In Ausschreibungen für IT-Sicherheitsprojekte nennen 30 Prozent komplexe vergaberechtliche Anforderungen als Hürde. 28 Prozent verweisen auf den Aufwand für Erstellung und Dokumentation von Ausschreibungsunterlagen. Jeweils 26 Prozent nennen unklare oder sich ändernde Anforderungen sowie den Abstimmungs- und Koordinationsaufwand. Fehlende interne Ressourcen oder Expertise führen 25 Prozent an, die schwierige Vergleichbarkeit oder Bewertung von Angeboten 23 Prozent.
Verständliche Informationen gefragt
Was die Beschäftigten bei der Umsetzung brauchen, ist ebenfalls klar: 38 Prozent wünschen sich eine verständliche, nicht zu technische Sprache, 37 Prozent eine schnelle und unkomplizierte Verfügbarkeit der Informationen. 32 Prozent nennen eine klare und übersichtliche Aufbereitung. 30 Prozent setzen auf Austausch oder Zusammenarbeit mit anderen Behörden, 23 Prozent auf kurze und kompakte Formate. Praxisbeispiele aus vergleichbaren Behörden folgen mit 21 Prozent.
Die Rolle des Staates sehen die Befragten überwiegend groß: 44 Prozent halten den öffentlichen Sektor für wichtig, weil er Anforderungen an Technologien, Anbieter und Datennutzung vorgeben kann. 30 Prozent sehen ihn in einer zentralen Vorreiterrolle. Zusammen sind das 74 Prozent. 16 Prozent verstehen den Staat vor allem als Impulsgeber, 6 Prozent sehen keine besondere und 5 Prozent nur eine eher geringe Rolle.
