Zur systematischen Bewertung von IT-Sicherheitsvorfällen in Kommunalverwaltungen wird der Auswirkungsgrad anhand der öffentlich belegbaren tatsächlichen Folgen eines Vorfalls eingeschätzt. Bewertet werden insbesondere Auswirkungen auf die Verfügbarkeit, Vertraulichkeit und Integrität von Informationen und IT-Systemen sowie auf die kommunale Aufgabenerfüllung.
Die vierstufige Skala von gering bis sehr hoch greift Grundgedanken der Risiko- und Business-Impact-Betrachtung des Bundesamts für Sicherheit in der Informationstechnik (BSI) auf und wurde für die nachträgliche Bewertung öffentlich bekannt gewordener IT-Sicherheitsvorfälle im kommunalen Kontext angepasst.
Grundsatz der Einstufung: Maßgeblich sind die tatsächlichen und öffentlich nachvollziehbaren Auswirkungen eines Vorfalls, nicht allein dessen technisches Schadenspotenzial. Eine schwerwiegende Beeinträchtigung von Verfügbarkeit, Vertraulichkeit oder Integrität kann für sich allein einen hohen oder sehr hohen Auswirkungsgrad begründen. Dauer und Umfang eines Vorfalls werden dabei immer im Zusammenhang mit der Bedeutung der betroffenen Verwaltungsleistungen betrachtet.
Auswirkungsgrad: Gering
Ein lokal begrenztes Ereignis ohne relevante Auswirkungen auf die kommunale Aufgabenerfüllung. Verfügbarkeit, Vertraulichkeit oder Integrität von Informationen und Systemen sind allenfalls unerheblich beeinträchtigt. Der Vorfall kann im normalen IT-Betrieb bearbeitet werden.
Beispiele:
- Kurzzeitiger Ausfall eines einzelnen Arbeitsplatzes oder Geräts
- Erkannte Schwachstelle auf einem Einzel-PC, ohne dass eine Ausnutzung festgestellt wurde
- Malware- oder Phishing-E-Mail wird erkannt und abgewehrt, ohne dass es zu einer Kompromittierung kommt
- Kurzzeitige technische Störung ohne relevante Auswirkungen auf Verwaltungsleistungen
Auswirkungsgrad: Mittel
Der Vorfall verursacht eine erkennbare, aber begrenzte Beeinträchtigung einzelner Organisationseinheiten, Arbeitsplätze oder Fachverfahren. Verwaltungsleistungen können verzögert oder vorübergehend eingeschränkt sein, wesentliche Aufgaben bleiben jedoch insgesamt verfügbar.
Beispiele:
- Mehrstündiger Ausfall eines einzelnen Fachverfahrens
- Ausfall einer Online-Dienstleistung, während alternative Bearbeitungswege weiterhin zur Verfügung stehen
- Lokal begrenzte Malware-Infektion mit schneller Eindämmung
- Vorübergehende Beeinträchtigung der Datenintegrität eines Fachsystems mit kurzfristig möglicher Wiederherstellung
- Begrenzte Kompromittierung personenbezogener Daten ohne erkennbar schwerwiegende Folgen für die Betroffenen
Auswirkungsgrad: Hoch
Der Vorfall beeinträchtigt wesentliche Verwaltungsprozesse, mehrere Organisationseinheiten oder zentrale IT-Ressourcen erheblich. Wichtige Dienstleistungen sind zeitweise nicht oder nur eingeschränkt verfügbar oder Informationen mit hohem Schutzbedarf sind in erheblichem Umfang betroffen. Die Verwaltung bleibt jedoch insgesamt handlungsfähig; ein verwaltungsweiter Notbetrieb ist nicht erforderlich.
Beispiele:
- Längerer Ausfall mehrerer wichtiger Fachverfahren
- Erhebliche Einschränkungen im Bürgerbüro, Sozialamt, Jugendamt oder einer anderen wesentlichen Organisationseinheit
- Ransomware-Befall eines abgegrenzten Netz- oder Serverbereichs mit erheblichen Auswirkungen auf einzelne Verwaltungsbereiche
- Erheblicher Abfluss personenbezogener oder besonders schutzbedürftiger Daten
- Manipulation oder Verlust wichtiger Verwaltungsdaten mit aufwendiger Wiederherstellung
- IT-Ausfall in einem zeitkritischen Verwaltungsbereich, beispielsweise dem Wahlamt unmittelbar vor einer Wahl
- Ausfall eines kommunalen IT-Dienstleisters mit erheblichen, aber funktional oder zeitlich begrenzten Auswirkungen auf mehrere Kommunen
Auswirkungsgrad: Sehr hoch
Der Vorfall führt zu einer weitreichenden Beeinträchtigung der kommunalen Handlungs- oder Leistungsfähigkeit oder zu außergewöhnlich schweren Auswirkungen auf Vertraulichkeit oder Integrität. Wesentliche Teile der regulären Aufgabenerfüllung sind nicht mehr möglich oder nur noch über Ersatzverfahren aufrechtzuerhalten. Typische Indikatoren sind ein umfangreicher oder verwaltungsweiter Notbetrieb, die Aktivierung einer besonderen Aufbauorganisation oder eines Krisenstabs sowie eine langwierige Wiederherstellung zentraler IT-Strukturen.
Auch ohne umfassenden Betriebsstillstand kann der Auswirkungsgrad sehr hoch sein, wenn beispielsweise besonders sensible Daten in außergewöhnlichem Umfang offengelegt oder zentrale Verwaltungsdaten so manipuliert wurden, dass ihre Vertrauenswürdigkeit nicht mehr gewährleistet werden kann.
Beispiele:
- Vollständige oder weitgehende Abschaltung des Verwaltungsnetzes
- Zahlreiche Fachverfahren, E-Mail und zentrale Kommunikationsdienste sind gleichzeitig nicht verfügbar
- Wesentliche Verwaltungsaufgaben müssen über längere Zeit analog oder im Notbetrieb erbracht werden
- Umfassende Verschlüsselung, Zerstörung oder Neuaufsetzung zentraler IT-Infrastruktur
- Umfangreicher Abfluss besonders sensibler Daten mit schwerwiegenden Folgen für eine große Zahl betroffener Personen
- Schwerwiegende Manipulation zentraler Register oder Verwaltungsdaten, deren Richtigkeit nicht mehr zuverlässig festgestellt werden kann
- Ausfall eines zentralen kommunalen IT-Dienstleisters mit weitreichenden Auswirkungen auf die Verwaltungsleistungen zahlreicher Kommunen
Abgrenzung zwischen „hoch“ und „sehr hoch“
Die wesentliche Grenze zwischen den beiden höchsten Stufen liegt in der Handlungsfähigkeit der Verwaltung:
- Hoch: erhebliche Beeinträchtigungen wichtiger Verwaltungsleistungen, die Verwaltung bleibt insgesamt jedoch regulär handlungsfähig.
- Sehr hoch: wesentliche Teile der regulären Aufgabenerfüllung sind nicht mehr möglich, ein umfangreicher Not- oder Krisenbetrieb wird erforderlich oder es ist ein außergewöhnlich schwerer Schaden hinsichtlich Vertraulichkeit oder Integrität eingetreten.
Die Dauer eines Vorfalls ist dabei kein allein entscheidendes Kriterium. Ein kurzer Ausfall kann beispielsweise unmittelbar vor einer Wahl erhebliche Folgen haben, während ein mehrtägiger Ausfall eines wenig zeitkritischen Fachverfahrens eine geringere Auswirkung haben kann. Entscheidend ist stets die Kombination aus Umfang, Dauer, Bedeutung der betroffenen Verwaltungsleistungen, vorhandenen Ersatzverfahren und den Auswirkungen auf Verfügbarkeit, Vertraulichkeit und Integrität.
