Mitte August hat Innenstaatssekretär Martin Rößler beim hessischen Cybersicherheitsgipfel eine bemerkenswerte Einordnung vorgenommen: Cybersicherheit sei inzwischen ein unverzichtbarer Teil staatlicher Daseinsvorsorge. Die Veranstaltung lief unter dem Motto „80 Jahre Hessen — Cybersicherheit in der Zeitenwende“.
Dem ist inhaltlich nichts hinzuzufügen. Es stimmt.
Daseinsvorsorge heißt allerdings normalerweise, dass der Staat dafür sorgt, dass eine Leistung flächendeckend verfügbar ist — nicht, dass er ihre Wichtigkeit feststellt und die Umsetzung dann jeder Gemeinde einzeln überlässt. Bei Trinkwasser käme niemand auf die Idee, es bei einer Grundsatzrede zu belassen.
Wie das in der Praxis aussieht
Eine Gemeinde mittlerer Größe in Nordhessen hat typischerweise eine Person für IT. Diese Person betreut die Serverlandschaft, das Netzwerk, die Arbeitsplätze, die Fachverfahren, die Telefonie, gelegentlich die Feuerwehrtechnik und den Bauhof, und beantwortet nebenbei die Frage, warum der Drucker im Standesamt nicht will.
Diese Person soll zusätzlich: ein Informationssicherheitsmanagementsystem betreiben, Notfallkonzepte schreiben und üben, Logdaten auswerten, Schwachstellenmanagement machen, NIS2-Anforderungen prüfen, Awareness-Schulungen durchführen und im Ernstfall eine forensisch verwertbare Incident Response leisten.
Das ist keine Frage von Fleiß. Das geht rechnerisch nicht.
Was daran richtig ist
Das Land tut nicht nichts. Mit KOMPASS Resilienz gibt es seit Juni ein Landesprogramm zur Stärkung der kommunalen Krisenvorsorge, Kommunen können sich beteiligen. Das Starkregen-Frühalarmsystem wird ausgerollt. Der Warntag funktioniert. Es gibt eine Landes-CISO-Funktion und mit der HZD einen zentralen IT-Dienstleister.
Und die Priorisierung von Katastrophenschutz ist nach den Ereignissen der letzten Jahre nachvollziehbar. Niemand sollte so tun, als sei das falsch investiertes Geld.
Nur ist KOMPASS Resilienz ein Programm für Krisenvorsorge im Allgemeinen — Stromausfall, Unwetter, Ausfall kritischer Infrastruktur. IT-Sicherheit ist dort ein Aspekt unter vielen, nicht der Gegenstand. Und die HZD ist der Dienstleister des Landes, nicht der Kommunen.
Was besser wäre
Ein kommunaler IT-Sicherheitsverbund mit echter Personalfinanzierung. Nicht ein Förderprogramm für Hardware, sondern geteilte Stellen: ein Informationssicherheitsbeauftragter für einen Verbund aus mehreren Gemeinden, vom Land kofinanziert. Eine Person für zwanzig Rathäuser ist immer noch dünn, aber es ist zwanzig Mal mehr als null.
Ein Landes-SOC, das Kommunen aufnimmt. Monitoring und Alarmierung sind genau die Aufgaben, die man zentral besser löst als lokal. Es gibt keinen Grund, warum jede Gemeinde ihr eigenes Log-Management aufbauen sollte, das dann niemand liest.
Eine Incident-Response-Truppe auf Abruf. Wenn ein Rathaus verschlüsselt wird, ist die entscheidende Frage, wer in den ersten 48 Stunden vor Ort ist. Diese Kapazität muss man vorhalten, nicht im Ernstfall ausschreiben.
Und, weniger populär: eine ehrliche Mindestanforderung. Wenn Cybersicherheit Daseinsvorsorge ist, dann gehört dazu auch, dass das Land Standards setzt und ihre Einhaltung prüft — verbunden mit den Mitteln, sie zu erfüllen. Anforderungen ohne Finanzierung sind eine Zumutung. Finanzierung ohne Anforderungen ist Symbolpolitik. Beides zusammen wäre Politik.
Der eigentliche Punkt
Es wird viel Geld in hessische Digitalisierung investiert: Glasfaser, KI-Anwendungszentren, Drohnenkompetenz, Rechenzentrumsansiedlungen. Alles nach vorn gerichtet, alles gut für Pressetermine.
Die Absicherung dessen, was schon läuft, hat keinen Ministerbesuch verdient. Sie steht in keiner Bilanz, weil ein nicht stattgefundener Angriff sich nicht als Erfolg fotografieren lässt. Genau deshalb muss man sie politisch einfordern — sie hat keine Lobby, außer den Leuten, die sie machen.
Quellen:
- Pressemitteilung des Hessischen Innenministeriums zum Cybersicherheitsgipfel, 13.08.2026 — https://hessen.de/node/22984
- Pressemitteilung zum Start des Landesprogramms KOMPASS Resilienz, 08.06.2026 — https://hessen.de/node/22317