Südwestfalen-IT: Der lange Wiederanlauf der Kommunal-IT
Am 30. Oktober 2023 legte ein Cyberangriff auf die Südwestfalen-IT zahlreiche EDV-Systeme und Fachanwendungen der Stadt Soest lahm. Der kommunale Dienstleister trennte sein Rechenzentrum von sämtlichen Verbandskommunen und entschied sich gegen eine Kontaktaufnahme mit den Angreifern. Ende September 2024 wechselte er nach eigenen Angaben zurück in den Normalmodus.
Das Wichtigste in Kürze
- Nach dem Fund verschlüsselter Serverdaten trennte die Südwestfalen-IT (SIT) ihr Rechenzentrum von sämtlichen Verbandskommunen. Die Trennung sollte die Ausbreitung der Schadsoftware verhindern.
- Eine Kontaktaufnahme mit den Angreifern schloss die SIT im Einvernehmen mit den Behörden aus. Geschäfte mit kriminellen Organisationen kamen für sie als öffentlich-rechtliche Organisation nicht infrage.
- Der Normalmodus der SIT ist von der vollständigen Wiederherstellung aller kommunalen Dienste zu unterscheiden. Nach SIT-Angaben waren elf Monate nach dem Angriff 98 Prozent der von den Verbandsmitgliedern priorisierten technischen Dienstleistungen wieder angelaufen.
Verwandt: Was ist Ransomware? Definition, Ablauf und Schutz
Ausgangslage beim kommunalen Dienstleister
Die Südwestfalen-IT ist eine öffentlich-rechtliche Organisation. Beim dokumentierten Wiederanlauf nach dem Angriff von 2023 versorgte sie ihre 72 Verbandsmitglieder über 22.000 Arbeitsplätze mit IT-Infrastruktur und 160 Fachverfahren. Fachverfahren sind spezialisierte Anwendungen, mit denen Verwaltungen einzelne Aufgaben digital abwickeln. Das Rechenzentrum der SIT war mit sämtlichen Verbandskommunen, Kunden und Partnern verbunden. In einem solchen Modell laufen Infrastruktur und Fachanwendungen zahlreicher Verwaltungen an einer Stelle zusammen.
Was ist Netzsegmentierung? Netzsegmentierung teilt ein IT-Netz in voneinander abgegrenzte Zonen mit kontrollierten Übergängen. Ein Angreifer, der einen Bereich kompromittiert, gelangt dadurch nicht ohne Weiteres in die übrigen. Die Südwestfalen-IT hat ihre Systeme nach eigenen Angaben stärker segmentiert, um mögliche Schäden auf einzelne Bereiche einzugrenzen.
Der Angriff und seine Zeitachse
Am 30. Oktober 2023 legte der Cyberangriff auf die SIT zahlreiche EDV-Systeme und Fachanwendungen der Stadt Soest lahm. Nach dem Fund verschlüsselter Serverdaten trennte die SIT die Verbindungen ihres Rechenzentrums zu sämtlichen Verbandskommunen, Kunden und Partnern. Damit sollte sich die Schadsoftware nicht weiter ausbreiten können. Die Kreisverwaltung Unna war vom Angriff selbst nicht betroffen und konnte ihren Betrieb vollständig aufrechterhalten.
In Soest hielten die Einschränkungen an. Im Januar 2024 waren die digitalen Bürgerservices der Stadt noch nicht verfügbar. Ihre Finanzverfahren liefen eingeschränkt, ihre reguläre Website blieb offline. Ende September 2024 wechselte die SIT nach eigenen Angaben aus einem elfmonatigen Krisenmodus zurück in den Normalmodus.
Entscheidung gegen eine Kontaktaufnahme
Die zweite Weichenstellung betraf den Umgang mit den Angreifern. Im Einvernehmen mit den Behörden verzichtete die SIT auf jeden Kontakt zu ihnen. Als Begründung nannte sie, dass Geschäfte mit kriminellen Organisationen für eine öffentlich-rechtliche Organisation nicht infrage kämen. Die Entscheidung stützte sich damit auf die Rechtsform und Rolle des Dienstleisters.
Mit der Forensik, also der Spurensicherung in den betroffenen Systemen, war die Firma r-tec beauftragt. Zu ihrem Auftrag gehörte auch die Beobachtung des Darkwebs, jenes nur über Anonymisierungsdienste erreichbaren Teils des Internets, in dem Angreifer erbeutete Daten anbieten können.
Wiederanlauf und Kosten
Die Datenrücksicherungen der SIT waren nach Mitteilung der Stadt Soest intakt und wurden den Kommunen schrittweise wieder bereitgestellt. Nach Angaben der SIT hatten die Verbandsmitglieder weit über 100 technische Dienstleistungen priorisiert; elf Monate nach dem Angriff waren davon insgesamt 98 Prozent wieder angelaufen. Der Wechsel der SIT in den Normalmodus ist dabei von der vollständigen Wiederherstellung sämtlicher kommunaler Dienste zu unterscheiden.
Ihre Zusatzaufwendungen infolge des Angriffs bezifferte die SIT bis zum 30. September 2024 auf circa 2,8 Millionen Euro. Technisch hatte sie nach eigenen Angaben den VPN-Zugang verbandsweit vereinheitlicht. VPN steht für einen verschlüsselten Fernzugang ins interne Netz. Diesen Zugang sicherte die SIT zusätzlich durch Multifaktor-Authentifizierung mit Einmalpasswort und Zertifikat ab, die Anmeldung verlangt also mehrere unabhängige Nachweise. Außerdem hatte sie ihre Systeme nach eigenen Angaben stärker segmentiert, um mögliche Schäden auf einzelne Bereiche einzugrenzen.
Folgerungen für CISOs im DACH-Raum
Aus dem dokumentierten Verlauf ergeben sich aus Sicht der Redaktion fünf Prüfpunkte.
- Zwei Wiederanlauf-Stände getrennt führen. Der Normalmodus eines Dienstleisters ist von der vollständigen Wiederherstellung der Dienste bei seinen Abnehmern zu unterscheiden. Lagebilder für Leitung und Aufsicht werden aussagekräftiger, wenn sie beide Stände getrennt ausweisen.
- Vollständige Trennung als Szenario. Die SIT kappte die Verbindungen zu sämtlichen angebundenen Stellen. Notfallpläne von Organisationen, die zentral betriebene Dienste beziehen, sollten diesen Fall ausdrücklich abdecken.
- Haltung zu Angreifern vorab festlegen. Die SIT begründete ihren Verzicht auf eine Kontaktaufnahme mit ihrer öffentlich-rechtlichen Rolle und stimmte ihn mit den Behörden ab. Position und Abstimmungswege lassen sich vor einem Vorfall klären.
- Rücksicherung und Rangfolge der Dienste. Die intakten Rücksicherungen gingen schrittweise an die Kommunen zurück. Den Stand des Wiederanlaufs maß die SIT nach eigenen Angaben an den von den Verbandsmitgliedern priorisierten Dienstleistungen, eine solche Rangfolge lässt sich vor dem Ernstfall abstimmen.
- Fernzugänge und Netzzonen. Der vereinheitlichte VPN-Zugang mit Multifaktor-Authentifizierung und die stärkere Segmentierung sind zwei Maßnahmen, die die SIT nach eigenen Angaben umgesetzt hat. Beide eignen sich als Prüfliste für die eigene Architektur.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Sind beim Angriff auf die Südwestfalen-IT Daten abgeflossen?
Die mit Forensik und Darkweb-Beobachtung beauftragte Firma r-tec fand keine Hinweise auf einen Datenabfluss. Eine Garantie gegen einen Abfluss oder eine spätere Veröffentlichung bestand jedoch nicht.
Was empfahl die Gemeinde Burbach den Betroffenen?
Die Gemeinde riet zu sicheren Passwörtern, zusätzlicher Authentisierung sowie aktuellen Betriebssystemen, Anwendungen und Virenschutz. Außerdem empfahl sie Vorsicht bei Anhängen, Links und Downloads.
Stehen die Gesamtkosten des Angriffs fest?
Nach Angaben der SIT standen abschließende Gesamtkosten wegen des damals noch laufenden Geschäftsjahres 2024 nicht fest. Die bezifferten circa 2,8 Millionen Euro umfassen ihre Zusatzaufwendungen bis zum 30. September 2024.
Lesetipps der Redaktion
LesetippLinux-Kernel-Lücke: Ubuntu liefert noch keinen PatchLesetippCisco-VPN wird angegriffen: Wer jetzt patchen mussLesetippKI-Agenten brauchen begrenzte Vollmachten
Bildquelle: KI-generiert (November 2026)
Mehr aus dem MBF Media Netzwerk
cloudmagazinCloud-Souveränität könnte 115 Milliarden Euro kosten
MyBusinessFutureKI-Assistenten bringen seltener Zielkunden als die Suche
Digital ChiefsSchwarz setzt auf Cohere: Was Aleph-Alpha-Kunden tun
