IT-Sicherheit in der Kommunalverwaltung beginnt bei der Hardware-Beschaffung

Wenn über IT-Sicherheit in Kommunen gesprochen wird, geht es meist um Firewalls, Schulungen und Notfallpläne. Das ist richtig, übersieht aber den Anfang der Kette: Ein erheblicher Teil der kommunalen Sicherheitsprobleme entsteht, weil auf Schreibtischen Rechner stehen, die keine Sicherheitsupdates mehr bekommen.

Das Bundesamt für Sicherheit in der Informationstechnik stellt fest, dass die öffentliche Verwaltung häufiger von IT-Sicherheitsvorfällen betroffen ist als jede andere Branche. Der Angriff auf den Dienstleister Südwestfalen-IT im Oktober 2023 legte über 70 Kommunen gleichzeitig lahm, teils für Monate.

Die Folgen solcher Vorfälle sind für Bürger unmittelbar spürbar: kein Personalausweis, keine Kfz-Zulassung, keine Auszahlung von Leistungen. Für eine kleine Verwaltung ist die Wiederherstellung zudem teurer als jede vorbeugende Investition in aktuelle Technik es gewesen wäre.

Das konkrete Problem 2026: Windows 10 läuft aus

Am 14. Oktober 2025 hat Microsoft den regulären Support für Windows 10 beendet. Geräte ohne kostenpflichtige Erweiterte Sicherheitsupdates (ESU) erhalten seitdem keine Sicherheitskorrekturen mehr, und das ESU-Programm ist ausdrücklich eine befristete Übergangslösung, deren Kosten pro Gerät jährlich steigen.

Viele ältere Verwaltungsrechner können nicht auf Windows 11 aktualisiert werden, weil ihnen das Sicherheitsmodul TPM 2.0 oder ein unterstützter Prozessor fehlt. Für diese Geräte gibt es keinen Upgrade-Pfad, nur den Austausch.

Jeder Monat, den ein solches Gerät im Rathausnetz weiterläuft, ist ein offenes Fenster. Ransomware-Gruppen suchen gezielt nach ungepatchten Systemen, und eine einzige kompromittierte Arbeitsstation reicht als Einstiegspunkt ins Verwaltungsnetz.

Worauf es beim Neukauf ankommt

Die Sicherheitsanforderungen an neue Verwaltungshardware sind überschaubar, wenn man sie beim Einkauf mitdenkt statt hinterher. Aktuelle Business-Geräte bringen TPM 2.0, UEFI Secure Boot und Windows-11-Fähigkeit standardmäßig mit, womit die Basis für Festplattenverschlüsselung und geprüfte Systemstarts gelegt ist.

Ebenso wichtig ist der Blick auf den Lebenszyklus: Business-Serien der großen Hersteller garantieren mehrjährige Treiber- und Firmware-Versorgung, Consumer-Geräte aus dem Elektromarkt tun das nicht. Wer heute die Ausstattung wechselt, kauft damit planbare Sicherheit für die nächsten fünf bis sechs Jahre.

Als Orientierungsrahmen für die Gesamtplanung empfiehlt sich das IT-Grundschutz-Profil „Basis-Absicherung Kommunalverwaltung“ des BSI. Es definiert Mindestmaßnahmen, mit denen Kommunen grobe Fahrlässigkeit vermeiden, und setzt aktuelle, gepflegte Hardware als Grundlage voraus.

In Stufen austauschen statt alles auf einmal

Kaum eine kleine Kommune tauscht 40 Arbeitsplätze in einem Zug, und das ist auch nicht nötig. Sinnvoll ist eine Staffelung nach Risiko: Zuerst die Geräte, die nicht Windows-11-fähig sind und an sensiblen Stellen stehen, etwa im Einwohnermeldeamt oder in der Kämmerei. Danach die übrigen Altgeräte, verteilt über ein bis zwei Haushaltsjahre.

Diese Staffelung hat einen zweiten Vorteil: Die Verwaltung lernt beim ersten Schwung, wie Umzug der Daten, Einrichtung und Schulung ablaufen, und der zweite Schwung läuft doppelt so schnell. Wichtig ist nur ein festes Enddatum, sonst wird aus der Staffelung ein Dauerzustand mit Mischbetrieb.

Bei der Ausmusterung gilt: Alte Festplatten enthalten Meldedaten, Bescheide und Personalunterlagen. Vor der Entsorgung müssen die Datenträger nachweisbar gelöscht oder zerstört werden, das gehört als fester Posten in jeden Austauschplan.

Der Austausch muss nicht an der Vergabe scheitern

Der häufigste Einwand gegen den Geräteaustausch lautet: Dafür brauchen wir eine Ausschreibung, das dauert. Seit der Reform des Unterschwellenbereichs zum 1. Januar 2026 gilt auf Bundesebene ein Direktauftrag bis 100.000 Euro für Liefer- und Dienstleistungen. Die Länder können abweichende Wertgrenzen festlegen, prüfen Sie daher die Regelung Ihres Bundeslandes.

Für den Austausch von 20 oder 30 Verwaltungsarbeitsplätzen bedeutet das in vielen Fällen: direkt bestellen statt monatelang ausschreiben. Wie Sie Ihre konkrete Grenze ermitteln, zeigt der Schwellenwert-Check, und den Ablauf beschreibt unser Beitrag zur Beschaffung ohne Ausschreibung.

Im kommunalen Shop stehen dafür Business-Geräte mit aktuellen Sicherheitsstandards bereit, geliefert über die Logistik von Bechtle, dem größten IT-Systemhaus Deutschlands. Bestellung, Rückfragen und Klärung laufen über eine Plattform, was gerade für kleine Verwaltungen ohne eigene IT-Beschaffungsstelle den Aufwand niedrig hält.

Nächster Schritt

Lassen Sie eine einfache Bestandsliste erstellen: Welche Geräte laufen noch auf Windows 10 und welche davon sind nicht Windows-11-fähig? Diese Liste ist Ihr Beschaffungsbedarf. Liegt er unter der Direktauftragsgrenze Ihres Landes, können Sie den Austausch noch in diesem Haushaltsjahr abschließen.