Pressemitteilung vom 20. Oktober 2026

IT-Sicherheit und Datenschutz: Landesbeauftragter empfiehlt Verwaltungen dringend Inventur der technischen Systeme

Stichprobenkontrollen bei Verwaltungen in den kommenden Monate

Wie wichtig die Sicherheit in der digitalen Infrastruktur ist, wurde jüngst in Baden-Württemberg durch Phishing-Attacken und Hackerangriffen wieder deutlich. Mediale Aufmerksamkeit haben Datenschutzvorfälle bei einer Partei und dem Servicezentrum von Hochschulen erzeugt. Vor wenigen Wochen wurden die Netze der Berliner Verwaltung angegriffen. In sehr hohem Umfang veröffentlichten Hacker_innen Daten aus der Berliner Verwaltung im Darknet, darunter auch personenbezogenen Daten von Mitarbeitenden der öffentlichen Verwaltung und möglicherweise auch die von Bürger_innen. Sensible Daten, die einmal im Darknet landen, sind kaum wieder zu aus dem Netz zu bekommen.

Phishing-Attacken und Hackerangriffe kommen häufiger vor, auch kleinere Verwaltungseinheiten können betroffen sein. Allein im Jahr 2026 wurden dem Landesbeauftragten bislang sektorübergreifend über 1900 gemäß Artikel 33 DS-GVO meldepflichtige IT-Sicherheitsvorfälle mitgeteilt, darunter über 700, bei denen der Verdacht auf Phishing besteht.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg hat bereits im März 2026 in einer Schulung für öffentliche Stellen Tipps und Hinweise gegeben, wie die eigenen technischen Systeme geschützt werden können (https://tube.bawü.social/w/knmmb7rskZJUrLEbLKQR7b). Mehrfach im Jahr bietet der Landesbeauftragte Grundlagenschulungen zum Datenschutz für öffentliche Stellen in seinem hauseigenen Bildungszentrum BIDIB (https://www.baden-wuerttemberg.datenschutz.de/bidib-veranstaltungen/) an. Zudem steht er einzelnen Behörden beratend zur Verfügung, wenn sie datenschutzrechtliche Unterstützung benötigen. Wie in den Schulungen dargestellt, lässt sich die IT-Sicherheit bereits mit wenigen Maßnahmen deutlich verbessern. Dazu gehören:

10 Punkte für mehr IT-Sicherheit

  1. Sicherheitsupdates zügig einspielen. Software, für die keine Sicherheitsupdates mehr verfügbar sind, nicht nutzen.
  2. Ausschließliche sichere und individuelle Passwörter und Zwei-Faktor-Authentifizierung (2FA) mit einem Passwortmanager verwenden. Sensible Daten und E-Mails müssen darüber hinaus mit Phishing-resistenten Anmeldeverfahren wie Passkeys/FIDO2 geschützt sein.
  3. Interne Systeme oder Adminoberflächen/Fernwartungssysteme dürfen nicht direkt aus dem Internet erreichbar sein, sondern nur im lokalen Netz oder via VPN.
  4. Clouddienste mit sensiblen Daten müssen an vertrauenswürdiger Hardware und IP-Adressbereiche oder interne Netze gebunden werden. Ein Zugriff ist so nur von erlaubter Hardware aus möglich.
  5. Nur digital signierte Powershell-Skripte und Makros in Office-Anwendungen erlauben. Der Zugriff auf die Kommandozeile durch normale Nutzer_innen muss unterbunden werden.
  6. Ein Rechte- und Rollenkonzept regelt die Zugriffsmöglichkeiten auf Infrastruktur und Daten, nach den jeweiligen fachlichen Erfordernissen. Unauthentifizierte Benutzer_innen haben keinen Zugriff. Konten mit Adminrechten dürfen nur für administrative und nicht für alltägliche Arbeiten genutzt werden.
  7. Datenträger, insbesondere von mobilen Geräten, verschlüsseln.
  8. Daten, die nicht benötigt werden, löschen. Die Löschung erfolgt möglichst automatisiert.
  9. Backups werden getrennt von restlichen Systemen vorgehalten. Ein Probelauf zur Wiederherstellung von Backups wird durchgeführt.
  10. Die Systeme kontinuierlich betreuen. Beschäftigte sensibilisieren.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg Prof. Dr. Tobias Keber empfiehlt Landes- und Kommunalverwaltungen im Lichte der aktuellen Ereignisse über IT-Sicherheit und Datenschutz die eigenen IT-Systeme zu überprüfen und sensible personenbezogene Daten der Bürger_innen bestmöglich zu schützen.

Der Landesbeauftragte wird in den kommenden Monaten stichprobenartig kontrollieren, ob öffentliche Stellen datenschutzrechtlich einzuhaltende IT-Sicherheitsmaßnahmen umsetzen und behält sich vor, auch unangekündigt zu prüfen.

LfDI Prof. Dr. Tobias Keber: „Verwaltungen haben zum Teil höchst sensible personenbezogene Daten von ihren Bürger_innen. Eine hundertprozentige Sicherheit vor Cyberangriffen gibt es in der digitalen Welt nicht. Dennoch können viele Angriffe mit verhältnismäßig einfachen Mitteln verhindert werden. Ich empfehle den Verwaltungen dringend, ihre technischen Systeme auf die von uns genannten Punkte hin zu überprüfen.“

Weitere Informationen und Bildungsangebote

Eine Orientierungshilfe in Form von Leitfragen zu unseren Basis-Sicherheitstipps finden Sie hier: https://www.baden-wuerttemberg.datenschutz.de/leitfragen-basis-itsicherheit-oeffentliche-stellen/

LfDI BW Schulung zum Nachschauen: Cyberangriff auf das Rathaus! Tipps und Hinweise zum technischen und organisatorischen Datenschutz in der Gemeinde: https://tube.bawü.social/w/knmmb7rskZJUrLEbLKQR7b

Schulungen im Bildungszentrum BIDIB: https://www.baden-wuerttemberg.datenschutz.de/bidib-veranstaltungen/

Schulungen der Cybersicherheitsagentur Baden-Württemberg (CSBW): https://www.cybersicherheit-bw.de/beratungsangebote-fuer-kommunen

Checkliste Grundzüge der IT-Sicherheit der Cybersicherheitsagentur Baden-Württemberg (CSBW): https://www.cybersicherheit-bw.de/checkliste-grundzuege-it-sicherheit

Allgemeine Angebotsseite Cybersicherheitsagentur Baden-Württemberg (CSBW): https://www.cybersicherheit-bw.de/angebote

Cyber-Ersthilfe BW der Cybersicherheitsagentur: https://www.cybersicherheit-bw.de/cyber-ersthilfe-bw

Hinweise des BayLDA zu Datensicherheit: https://www.lda.bayern.de/de/cyberfestung.html

Beitrag vom 20.10.2026

Für Rückfragen erreichen Sie uns unter der Telefonnummer
0711/615541-23 und per E-Mail: pressestelle@lfdi.bwl.de

Weitere Informationen zu Datenschutz und Informationsfreiheit finden Sie im Internet unter www.baden-wuerttemberg.datenschutz.de oder unter www.datenschutz.de.