IT-Sicherheit · 21. Oktober 2026

LfDI Baden-Württemberg kündigt Stichproben an: zehn Basismaßnahmen zur IT-Sicherheit für Verwaltungen

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW), Prof. Dr. Tobias Keber, fordert Landes- und Kommunalverwaltungen auf, ihre technischen Systeme dringend zu inventarisieren und an zehn Basis-Sicherheitsmaßnahmen zu messen. Neu ist die Ankündigung, die der Mitteilung vom 20. Oktober 2026 Gewicht gibt: In den kommenden Monaten will die Aufsichtsbehörde stichprobenartig kontrollieren, ob öffentliche Stellen die datenschutzrechtlich einzuhaltenden IT-Sicherheitsmaßnahmen umsetzen. Auch unangekündigte Kontrollen behält sie sich ausdrücklich vor.

Damit wird aus einer Empfehlung ein Prüfmaßstab. Wer in einer baden-württembergischen Behörde für IT oder Datenschutz verantwortlich ist, sollte die Liste als Checkliste für eine mögliche Kontrolle lesen. Für Verwaltungen in anderen Ländern ist sie eine gut begründete Orientierung, welche Basismaßnahmen eine Datenschutzaufsicht heute als selbstverständlich ansieht.

Anlass und Lage

Der LfDI begründet den Schritt mit der aktuellen Bedrohungslage. Allein 2026 seien ihm bislang sektorübergreifend über 1.900 nach Art. 33 DSGVO meldepflichtige IT-Sicherheitsvorfälle mitgeteilt worden, darunter über 700 mit Verdacht auf Phishing. Er verweist auf Phishing- und Hackerangriffe in Baden-Württemberg und auf den Angriff auf die Netze der Berliner Verwaltung, bei dem in großem Umfang Daten im Darknet veröffentlicht wurden, darunter personenbezogene Daten von Beschäftigten und möglicherweise auch von Bürgerinnen und Bürgern. Auch kleinere Verwaltungseinheiten könnten betroffen sein.

Was sich ändert: zehn Basismaßnahmen als Prüfmaßstab

Der LfDI nennt folgende Maßnahmen, mit denen sich die IT-Sicherheit „bereits mit wenigen Maßnahmen deutlich verbessern“ lasse:

1. Sicherheitsupdates zügig einspielen. Software ohne verfügbare Sicherheitsupdates nicht mehr nutzen.
2. Sichere, individuelle Passwörter und Zwei-Faktor-Authentifizierung mit Passwortmanager. Sensible Daten und E-Mails sind zusätzlich mit phishing-resistenten Verfahren wie Passkeys/FIDO2 zu schützen.
3. Keine direkte Erreichbarkeit interner Systeme aus dem Internet. Adminoberflächen und Fernwartung nur im lokalen Netz oder per VPN.
4. Clouddienste mit sensiblen Daten an vertrauenswürdige Hardware, IP-Bereiche oder interne Netze binden, sodass Zugriffe nur von zugelassenen Geräten möglich sind.
5. Nur signierte PowerShell-Skripte und Office-Makros zulassen; Kommandozeilenzugriff für normale Nutzer unterbinden.
6. Rechte- und Rollenkonzept nach fachlichem Bedarf; keine Zugriffe ohne Authentifizierung; Adminkonten nur für administrative Aufgaben.
7. Datenträger verschlüsseln, insbesondere auf mobilen Geräten.
8. Nicht benötigte Daten löschen, möglichst automatisiert.
9. Backups getrennt vorhalten und die Wiederherstellung im Probelauf testen.
10. Systeme kontinuierlich betreuen und Beschäftigte sensibilisieren.

Ergänzend hat der LfDI „Leitfragen zur Basis-IT-Sicherheit für öffentliche Stellen“ veröffentlicht. Sie übersetzen die Maßnahmen in prüfbare Fragen: Gibt es ein Patchmanagement? Besteht ein Überblick über alle Betriebssysteme, Anwendungen, Geräte sowie Online- und Clouddienste? Werden alle eingesetzten Produkte noch vom Hersteller mit Sicherheitsupdates versorgt? Wird bei der Beschaffung darauf geachtet, dass Anwendungen Zwei-Faktor-Authentifizierung oder Passkeys unterstützen? Gibt es eine Passwortrichtlinie, und wurden die Beschäftigten geschult?

Rechtliche Einordnung

Der LfDI prüft nicht die IT-Sicherheit als solche, sondern die „datenschutzrechtlich einzuhaltenden IT-Sicherheitsmaßnahmen“. Maßstab ist damit vor allem die Pflicht zur Sicherheit der Verarbeitung nach Art. 32 DSGVO: Verantwortliche müssen geeignete technische und organisatorische Maßnahmen treffen, die dem Risiko angemessen sind und den Stand der Technik berücksichtigen. Die zehn Punkte zeigen, was die Aufsicht in Baden-Württemberg derzeit als Mindestniveau für öffentliche Stellen ansieht. Für Kontrollen hat die Aufsichtsbehörde die Untersuchungsbefugnisse nach Art. 58 DSGVO.

Die Empfehlungen ersetzen weder IT-Grundschutz noch ein Informationssicherheitsmanagement. Sie entsprechen in weiten Teilen gängigen Basisanforderungen an die IT-Sicherheit. Ergänzend verweist der LfDI auf die Cybersicherheitsagentur Baden-Württemberg (CSBW). Dort gibt es unter anderem eine Checkliste, Beratung und die Cyber-Ersthilfe.

Folgen für Behörden

Prüfbereitschaft wird zur Daueraufgabe. Eine unangekündigte Stichprobe lässt keine Vorbereitungszeit. Entscheidend ist, ob Maßnahmen nicht nur umgesetzt, sondern auch belegbar sind: Patchstände, Ausnahmen, Rollenkonzepte und Backup-Tests müssen sich auf Nachfrage zeigen lassen.

Altsysteme werden zum Datenschutzrisiko. Die Forderung, Software ohne Sicherheitsupdates nicht mehr zu nutzen, trifft viele Verwaltungen an einer empfindlichen Stelle: Fachverfahren, Server- und Client-Betriebssysteme, Netzwerkgeräte. Wo ein Wechsel nicht kurzfristig möglich ist, braucht es eine dokumentierte Risikobewertung und Übergangsmaßnahmen.

Beschaffung wird Teil der Sicherheit. Die Leitfragen machen ausdrücklich zum Thema, ob bei der Beschaffung auf 2FA- und Passkey-Fähigkeit geachtet wird. Leistungsbeschreibungen sollten diese Anforderungen künftig enthalten.

Kleine Verwaltungen sind nicht ausgenommen. Der LfDI betont, dass auch kleinere Einheiten betroffen sein können. Gerade Gemeinden ohne eigene IT-Abteilung sollten mit ihrem kommunalen IT-Dienstleister klären, welche der zehn Punkte dort abgedeckt sind und welche in der eigenen Verantwortung liegen.

Was jetzt zu tun ist

• Inventur durchführen: Die Übersicht über alle Systeme, Anwendungen, Geräte und Clouddienste erstellen oder aktualisieren, einschließlich Firewall, VPN, Router und Netzwerkdrucker.
• Supportstatus prüfen: Alle Produkte ohne Herstellerunterstützung kennzeichnen und für jedes einen Ablöse- oder Absicherungsplan mit Termin festlegen.
• Externe Erreichbarkeit prüfen: Feststellen, welche Adminoberflächen, Fernwartungszugänge und internen Systeme aus dem Internet erreichbar sind, und diese Zugänge hinter VPN legen.
• Phishing-resistente Anmeldung priorisieren: Bei E-Mail und Systemen mit sensiblen Daten mit Passkeys/FIDO2 beginnen.
• Backup-Wiederherstellung testen und dokumentieren: Ein Backup ohne erfolgreichen Rücksicherungstest ist im Ernstfall wenig wert und in einer Prüfung schwer zu vertreten.
• Nachweise bündeln: Für jede der zehn Maßnahmen festlegen, welcher Nachweis bei einer Kontrolle vorgelegt wird und wer ihn pflegt.
• Leitfragen als Selbstprüfung nutzen: Die Leitfragen des LfDI gemeinsam mit IT, Datenschutzbeauftragten und gegebenenfalls dem kommunalen Dienstleister durchgehen.

Getestet heißt belegt

Mehrere der zehn Punkte verlangen nicht nur eine Maßnahme, sondern deren Prüfung: Ist der Patchstand aktuell, sind Adminoberflächen wirklich nicht erreichbar, funktioniert die Wiederherstellung aus dem Backup? Bei einer unangekündigten Kontrolle zählt, ob sich das mit Datum, Ergebnis und verantwortlicher Person zeigen lässt.

Wer diese Prüfungen als wiederkehrende Prüffälle anlegt und jede Durchführung dokumentiert, hat die Nachweise griffbereit, wenn die Aufsicht fragt. Das gilt auch für Prüfungen, die ein kommunaler IT-Dienstleister im Auftrag durchführt.