SIT Südwestfalen. Ein Jahr ist es her, dass die Südwestfalen-IT (SIT) von kriminellen Hackern angegriffen wurde: Die Attacke in der Nacht auf den 30. Oktober 2023 hatte immense Auswirkungen auf die 72 Mitgliedskommunen. In den darauffolgenden Monaten arbeiteten sowohl die Mitarbeitenden der SIT als auch die IT-Verantwortlichen der betroffenen Kommunen und deren Teams mit größtem Einsatz und unter enormem Zeitdruck daran, die Systeme so schnell wie möglich wieder zum Laufen zu bringen. „Unser Dank gilt allen Beteiligten für ihre unermüdliche Unterstützung bei der Krisenbewältigung – und ebenso den Bürgerinnen und Bürgern, von denen streckenweise sehr viel Geduld und Verständnis gefordert war“, wird Mirco Pinske, der seit 1. Februar 2024 Geschäftsführer der Südwestfalen-IT ist, in einer SIT-Pressemitteilung zitiert. Der Krisenmodus der SIT dauerte insgesamt 11 Monate an – zum 30.09.2024 konnte die Organisation in den Normalmodus wechseln. Zum jetzigen Zeitpunkt stehen nahezu 100% des Produktportfolios von rund 160 Anwendungen wieder im vollen Funktionsumfang zur Verfügung.

Cyber-Attacke

Am 30.11.2023 wurde die SIT Ziel eines Hacker-Angriffs. © pixabay/madartzgraphics

Gemeinsam mit externen IT- und Cyber-Security-Experten hat die SIT in den vergangenen Monaten bereits zahlreiche Sicherheitsvorkehrungen in allen aktuell eingesetzten Systemen implementiert. Zudem wurden die Erkenntnisse aus dem Vorfall genutzt, um die Sicherheit der IT-Systeme in allen Netzwerkbereichen weiter zu verstärken. Für Investitionen in die IT-Sicherheit sind für das Jahr 2025 Aufwendungen in hoch sechsstelliger Höhe kalkuliert. „Zu den konkreten bisherigen Kosten des Vorfalls lässt sich aktuell noch keine verlässliche Aussage treffen“, so Mirco Pinske. „Das Geschäftsjahr 2024 ist noch nicht abgeschlossen, es liegen also noch nicht alle Zahlen vor. Bis zum Stichtag 30. September 2024 fielen Zusatzaufwendungen in Höhe von ca. 2,8 Mio. Euro an.“ Die Infrastruktur wird – ebenso wie interne Strukturen und Prozesse – regelmäßig von externen Experten und Gutachtern auf Verbesserungspotential hin analysiert und auditiert. Eine 100-prozentige Sicherheit gegen solche Vorfälle gebt es allerdings nicht, heißt es.

Damit ein möglicher erneuter Angriff nicht mehr derartige Auswirkungen hat, habe die Südwestfalen-IT neben einer Vielzahl technischer Maßnahmen auch verschiedene Prozesse auf Managementebene eingeleitet. So wurde u.a. eine Kooperation mit anderen kommunalen IT-Dienstleistern in NRW angestoßen, um einander sowohl bei der Prävention als auch im Falle einer Cyberattacke noch besser unterstützen zu können. Perspektivisch sieht Mirco Pinske auch regionalen und nationalen Handlungsbedarf: „Die Vielfalt der Anwendungen muss reduziert werden, für gleichartige Aufgaben darf es im Verbandsgebiet auch nur jeweils ein System geben. Das würde auch im Krisenfall die Zeit bis zu einer erfolgreichen Wiederherstellung verkürzen.“

Der Angriff auf die Südwestfalen-IT sei nach Angaben des Unternehmens der bundesweit bisher „größte und komplexeste Vorfall dieser Art“ gewesen. Die Südwestfalen-IT hat 72 Verbandsmitglieder. Diese bedient Nach eigenen Angaben bedient sie über 22.000 Arbeitsplätze mit IT-Infrastruktur und mit rund 160 Fachverfahren, die nach dem Angriff ausgefallen waren. Zudem versorgt die SIT weitere Kunden wie Tourismusverbände, Zweckverbände für Abfallwirtschaft, Feuerwehren, Stadtwerke etc. mit IT-Dienstleistungen. Insgesamt seien 1,6 Millionen Bürgerinnen und Bürger von den Folgen des Angriffs betroffen gewesen. Der Angriff betraf 1.463 Server. Die über 700 Daten-Backups waren von dem Angriff nicht betroffen, mussten aber alle einzeln geprüft und wieder eingespielt werden. In Summe arbeiteten rund 170 Personen bei der Südwestfalen-IT an der Bewältigung der Auswirkungen des Cyberangriffs. Über 50 externe Partner galten für die Krisenbewältigung als essentiell und mussten entsprechend intensiv eingebunden und koordiniert werden. Insgesamt wendete allein die SIT-Belegschaft für die reine Bewältigung der Krise bei der SIT rund 43.000 Arbeitsstunden auf.