Wenn ich an eine Landesverwaltung denke, sehe ich vor meinem inneren Auge Akten, Anträge, Formulare und gelegentlich die freundliche Erinnerung, dass noch eine Bescheinigung für die Berechnung der Kita-Beiträge fehlt.
Angreifer sehen etwas anderes.
Sie sehen sensible personenbezogene Daten, politische Informationen, kritische Verwaltungsprozesse und zahlreiche digitale Zugänge. Vor allem sehen sie Organisationen, die funktionieren müssen – selbst dann, wenn die IT gerade nicht funktioniert.
Das macht Verwaltungen zu lohnenden Angriffszielen.
Aktuelle Zahlen aus Sachsen-Anhalt zeigen, wie ernst die Lage inzwischen ist: Im ersten Halbjahr 2026 wurden dort 30 IT-Sicherheitsvorfälle innerhalb der Landesverwaltung registriert. Im gleichen Zeitraum des Vorjahres waren es noch 14. Die Zahl hat sich damit mehr als verdoppelt.
Das ist kein Grund für digitale Schnappatmung, aber definitiv ein Grund, genauer hinzusehen.
Von den 30 registrierten Sicherheitsvorfällen in Sachsen-Anhalt entfielen 16 auf Phishing-Angriffe. Hinzu kamen zwei DDoS-Attacken, zwei Systemeinbrüche sowie neun Fälle, in denen IT-Hardware verloren ging oder gestohlen wurde.
Die Statistik zeigt etwas Wichtiges: Cyberangriffe bestehen nicht nur aus hochkomplexen technischen Operationen, bei denen Menschen in dunklen Kapuzenpullis hektisch grüne Kaskaden über mehrere Bildschirme laufen lassen.
Ein Vorfall beginnt mit einer täuschend echt aussehenden E-Mail.
Manchmal wird ein öffentlich erreichbarer Dienst mit Anfragen überflutet.
Und manchmal bleibt ein Diensthandy im Zug liegen.
Cybersecurity ist deshalb nicht nur eine Frage von Firewalls und Spezialsoftware. Sie betrifft Technik, Prozesse und Menschen gleichermaßen.
Oder anders gesagt: Die teuerste Sicherheitslösung hilft nur begrenzt, wenn „Passwort123!“ weiterhin als bewährter Klassiker gilt.
Verwaltungen vereinen mehrere Eigenschaften, die sie für Angreifer interessant machen.
Behörden arbeiten mit Meldeinformationen, Steuerdaten, Sozialdaten, Gesundheitsinformationen, politischen Dokumenten und internen Verwaltungsunterlagen. Gelangen solche Informationen in falsche Hände, können sie für Identitätsdiebstahl, Erpressung, Betrug oder weitere Angriffe eingesetzt werden.
Ein gestohlener Datensatz ist selten das Ende einer Angriffskette. Häufig ist er erst die Eintrittskarte für den nächsten Vorfall.
Wenn der Webshop eines Unternehmens für zwei Stunden nicht erreichbar ist, ist das ärgerlich und möglicherweise teuer.
Wenn eine Verwaltung ausfällt, können unter anderem Kfz-Zulassungen, Sozialleistungen, Meldeangelegenheiten oder interne Abläufe im Katastrophenschutz betroffen sein. Ein Cyberangriff kann damit sehr schnell Auswirkungen auf den Alltag vieler Menschen haben.
Verfügbarkeit wird zum Druckmittel.
In öffentlichen Organisationen treffen moderne Cloud-Dienste, ältere Fachanwendungen, verschiedene Zuständigkeiten und zahlreiche externe Dienstleister aufeinander.
Das ist ein bisschen wie bei einem Haus, das über Jahrzehnte immer wieder erweitert wurde: Hier ein neuer Anbau, dort ein zusätzliches Fenster und irgendwo im Keller eine Tür, von der niemand mehr den Schlüssel hat.
Je komplexer die Umgebung, desto schwieriger wird es, sämtliche Zugänge, Systeme und Abhängigkeiten im Blick zu behalten.
Neben finanziell motivierten Cyberkriminellen greifen auch politisch motivierte Gruppen staatliche Einrichtungen an. DDoS-Attacken sollen beispielsweise Webseiten und Portale zeitweise unerreichbar machen, Aufmerksamkeit erzeugen und das Vertrauen in staatliche Institutionen beschädigen.
Im Jahr 2025 wurden das Landesportal Sachsen-Anhalts und mehrere Internetseiten von Ministerien durch eine mutmaßlich prorussische Hackergruppe zeitweise beeinträchtigt.
Dabei muss ein Angriff nicht sämtliche Daten verschlüsseln, um Wirkung zu zeigen. Manchmal reicht bereits die Meldung „Behördenportal nicht erreichbar“, damit der gewünschte öffentliche Eindruck entsteht.
Besonders bemerkenswert ist der Hinweis aus Sachsen-Anhalt, dass in den Sommermonaten erhöhte Alarmbereitschaft gilt. Angreifer nehmen demnach zunehmend Kommunen ins Visier und nutzen Zeiten, in denen Behörden personell schwächer besetzt sind.
Das ist leider logisch: In Ferienzeiten sind Ansprechpartner möglicherweise nicht erreichbar, Vertretungen müssen Entscheidungen treffen und externe Dienstleister reagieren unter Umständen langsamer. Diese Verzögerungen können Angreifer ausnutzen.
Das Problem betrifft keineswegs nur Behörden. Auch in Unternehmen sind Urlaubszeiten, Feiertage, Wochenenden und Nachtschichten beliebte Zeitfenster für Angriffe.
Cyberkriminelle halten sich nur selten an die üblichen Geschäftszeiten. Nicht gerade kundenfreundlich ...
Die aktuellen Vorfälle zeigen mehrere typische Angriffsmuster, die auch Unternehmen kennen sollten.
Beim Phishing versuchen Kriminelle, Menschen zur Herausgabe von Zugangsdaten oder zur Ausführung einer gefährlichen Handlung zu bewegen. Dazu gehören gefälschte Anmeldeseiten, präparierte Anhänge, betrügerische Anrufe oder Nachrichten über Messenger.
Durch künstliche Intelligenz werden solche Angriffe sprachlich besser, persönlicher und schwerer zu erkennen. Die Zeiten, in denen sich jede Phishing-Mail bereits durch fünf Rechtschreibfehler und die Anrede „Sehr geehrter geliebter Kunde“ verraten hat, sind vorbei.
Technische Schutzmaßnahmen bleiben deshalb wichtig. Gleichzeitig benötigen Mitarbeitende einfache Meldewege und regelmäßige, alltagsnahe Sensibilisierung.
Bei einer Distributed-Denial-of-Service-Attacke wird ein Dienst mit einer enormen Anzahl automatisierter Anfragen überlastet. Webseiten, Portale oder andere Online-Angebote sind anschließend langsam oder nicht mehr erreichbar.
Ein solcher Angriff führt nicht automatisch zu einem Datendiebstahl. Trotzdem kann er erhebliche Auswirkungen haben – besonders dann, wenn Bürger, Kunden oder Mitarbeitende auf den betroffenen Dienst angewiesen sind.
Bei einem erfolgreichen Systemeinbruch verschaffen sich Angreifer Zugriff auf Konten, Server oder Anwendungen. Möglich wird das beispielsweise durch gestohlene Zugangsdaten, fehlende Sicherheitsupdates, falsch konfigurierte Cloud-Dienste oder unzureichend geschützte externe Zugänge.
Gefährlich wird es, wenn ein einzelner kompromittierter Account weitreichende Berechtigungen besitzt.
Die entscheidende Frage lautet deshalb: „Was darf dieses Konto alles?“
Ransomware gehört weiterhin zu den Angriffen mit den schwerwiegendsten Folgen. Dabei verschlüsseln Kriminelle Systeme und stehlen häufig zusätzlich Daten. Anschließend drohen sie mit deren Veröffentlichung und verlangen Lösegeld.
Wie gravierend die Auswirkungen sein können, zeigte bereits 2021 der Landkreis Anhalt-Bitterfeld. Nach einem Ransomware-Angriff wurde erstmals in Deutschland wegen eines Cyberangriffs der Katastrophenfall ausgerufen. Die Verwaltung war massiv in ihrer Handlungsfähigkeit eingeschränkt.
Auch kleinere Kommunen sind betroffen. Nach einem Angriff auf die Gemeinde Untereisesheim im Oktober 2025 waren sämtliche Verwaltungsrechner blockiert. Neun Tage lang war der Rathausbetrieb stark eingeschränkt.
Das zeigt: Die Größe einer Organisation ist kein Schutzschild. Manchmal macht ein knappes Budget ein Ziel sogar attraktiver.
Die aktuellen Entwicklungen sind nicht nur für Ministerien, Landesbehörden oder Kommunen relevant. Sie zeigen sehr deutlich, wie moderne Cyberangriffe funktionieren – und warum Unternehmen ihre Sicherheit nicht auf einzelne technische Maßnahmen reduzieren dürfen.
Da viele Angriffe auf Zugangsdaten abzielen, gehören eine konsequent eingesetzte Multi-Faktor-Authentifizierung, sichere Anmelderichtlinien und die regelmäßige Kontrolle von Berechtigungen zu den wichtigsten Grundlagen.
Administrationskonten sollten besonders geschützt und nicht für alltägliche Aufgaben verwendet werden.
Zugriffe müssen nachvollziehbar sein.
Auffällige Anmeldungen sollten nicht erst Wochen später in irgendeinem Protokoll entdeckt werden.
Phishing lässt sich nicht allein durch Schulungen verhindern. Ebenso wenig reicht ein technischer Filter, wenn niemand weiß, wie verdächtige Nachrichten gemeldet werden sollen.
Wirksam wird der Schutz erst durch das Zusammenspiel aus technischen Kontrollen, sicheren Prozessen und sensibilisierten Mitarbeitenden.
Viele Organisationen investieren stark in Prävention. Das ist richtig – aber jeder Schutz ist überwindbar.
Ungewöhnliche Aktivitäten müssen möglichst schnell erkannt werden. Dazu gehören verdächtige Anmeldungen, Änderungen an Berechtigungen, auffälliger Datenverkehr oder Manipulationen an Cloud-Konfigurationen.
Ein Security Operations Center kann solche Signale kontinuierlich überwachen und bewerten. Denn eine Warnmeldung, die drei Wochen ungelesen im Postfach liegt, ist zwar formal vorhanden – praktisch aber nur digitale Dekoration.
Ein IT-Notfallplan gehört nicht ausschließlich in das Rechenzentrum oder in den gleichen Cloud-Speicher, der wegen dem Angriff nicht erreichbar ist.
Verantwortlichkeiten, Eskalationswege, externe Ansprechpartner und Kommunikationskanäle müssen unabhängig von der normalen IT verfügbar sein.
Außerdem sollte geklärt sein:
Ein Notfallplan, der nie getestet wurde, ist letztlich nur eine besonders optimistische Textdatei.
Hundertprozentige Sicherheit gibt es nicht. Weder in der Landesverwaltung noch im mittelständischen Unternehmen.
Das realistische Ziel lautet deshalb, Angriffe schwieriger zu machen, sie früh zu erkennen und ihre Auswirkungen zu begrenzen.
Cyberresilienz entsteht, wenn Organisationen ihre kritischen Systeme kennen, Identitäten konsequent schützen, Konfigurationen überwachen, sichere Backups vorhalten und regelmäßig üben, wie sie auf einen Vorfall reagieren.
Dabei muss Security verständlich bleiben. Sie muss im Alltag funktionieren und die Menschen einbeziehen, die täglich mit den Systemen arbeiten.
Die steigenden Vorfallzahlen in Sachsen-Anhalt sind mehr als eine regionale Statistik. Sie zeigen, wie stark öffentliche Verwaltungen inzwischen unter digitalem Druck stehen.
Phishing, DDoS-Angriffe, Systemeinbrüche, Ransomware und verlorene Geräte wirken auf den ersten Blick sehr unterschiedlich.
Die Gemeinsamkeit: Sie treffen Organisationen hart, wenn Zuständigkeiten unklar, Identitäten unzureichend geschützt und Notfallprozesse nicht vorbereitet sind.
Das gilt für eine Landesbehörde genauso wie für ein Unternehmen.
Die entscheidende Frage lautet:
Wie schnell würden wir es bemerken – und wären wir danach noch handlungsfähig?