Eine Cyberkrise in Ihrem Haus – durchgespielt von der ersten unsichtbaren Minute bis Monate danach. Die Szenen sind erfunden. Alles, was in ihnen steckt, ist es nicht: Es stammt aus den realen Erfahrungsberichten, Fallschilderungen und Impulsen des Fachkongresses Cybersecurity am 11. und 12. Juni 2026 in Berlin – zwei Tagen, an denen Träger, die es getroffen hat, Behörden, Versicherer und Sicherheitsexperten offen erzählt haben, wie sich das wirklich anfühlt.
0:00 Uhr – Sie sind längst drin. Sie wissen es nur noch nicht.
Es beginnt nicht mit einem Knall. Es beginnt mit Stille – und die dauert oft länger, als Ihnen lieb sein kann.
Während Sie diesen Satz lesen, könnte jemand bereits in Ihrem Netz sein und sich in aller Ruhe umsehen. Bei der Südwestfalen-IT, dem kommunalen Dienstleister, dessen Fall Geschäftsführer Mirco Pinske am ersten Kongresstag schilderte, bewegten sich die Angreifer rund zwölf Tage unbemerkt durch die Systeme, bevor überhaupt etwas verschlüsselt wurde. Das ist die erste, unbequeme Wahrheit des Kongresses: Der eigentliche Schaden entsteht nicht im Moment der Verschlüsselung. Er entsteht in den Tagen davor – in denen niemand etwas merkt, weil niemand hinsieht. Wer erst reagiert, wenn der Erpresserbildschirm erscheint, hat die entscheidende Phase längst verloren. Erkennung und Monitoring schlagen Reaktion.
Mirco Pinske berichtet über die Erfahrungen bei ser SIT
Wie kommen die Angreifer überhaupt hinein? Fast immer über zwei Wege, die nichts mit Hochtechnologie zu tun haben. Der eine ist eine bekannte, aber nicht geschlossene Schwachstelle: ein Update, das man „erstmal nicht sofort” einspielt, ein VPN-Zugang ohne zweiten Faktor, ein Passwort, das längst öffentlich entschlüsselbar ist. Bei der Südwestfalen-IT kam mehreres davon zusammen – jedes für sich bekannt, in Summe verheerend. Der andere Weg sind Sie. Genauer: Ihre Mitarbeitenden, Ihre Kolleginnen, Sie selbst.
Dr. Christian Reinhardt / SoSafe
Dr. Christian Reinhardt von SoSafe widmete diesem zweiten Weg seinen ganzen Vortrag, „Die Psychologie des Angriffs”. Seine Kernaussage räumt mit zwei bequemen Annahmen auf: Cybersicherheit ist weder ein reines IT-Problem noch ein IQ-Problem. Angreifer spezialisieren sich nicht auf unaufmerksame oder wenig gebildete Menschen – sie zielen auf den Menschen schlechthin, weil das der wirksamste Weg in jede Organisation ist. Der Gründer eines bekannten Sicherheitsdienstes, der Datenlecks katalogisiert, ist selbst auf eine Phishing-Mail hereingefallen. Es trifft die Klügsten genauso.
Warum funktioniert das so zuverlässig? Reinhardt führte es auf ein Grundprinzip unseres Denkens zurück, das der Psychologe Daniel Kahneman beschrieben hat: Wir haben ein schnelles, intuitives, emotionales System – und ein langsames, rationales. Eine starke Emotion lässt das rationale System für einen Moment außen vor. Genau hier setzen Angreifer an: Dringlichkeit, Angst, Autorität, Hilfsbereitschaft. Dieses Prinzip ist Jahrhunderte alt – den „spanischen Gefangenen”, den klassischen Vorschussbetrug, gab es lange vor dem Internet. Künstliche Intelligenz erfindet nichts Neues. Sie macht das Alte nur unendlich skalierbar und überzeugend.
Wie nah das inzwischen ist, führte Reinhardt drastisch vor. Aus wenigen Sekunden Tonmaterial – einem Mitschnitt, einer Mailbox-Ansage, einem verpassten Anruf – lässt sich eine Stimme klonen. Der Anruf „vom Chef” mit der dringenden, vertraulichen Zahlungsanweisung klingt echt. Und das Tückische: Ihre emotionale Reaktion entsteht, bevor der Inhalt überhaupt geprüft ist. Unser energiesparendes Gehirn ergänzt das Vertraute und überhört die kleinen Brüche – es reagiert stärker auf „bekannt” als auf „perfekt”. Ein paar charakteristische Muster genügen.
Manuel ‘Honkhase’ Atuk von HiSolutions
Manuel ‘HonkHase’ Atug von HiSolutions ordnete diese Einzelfälle ins große Bild ein. Hinter den meisten menschengemachten Bedrohungen stehen, so seine Analyse, zwei nüchterne Grundmotive: die Gewinnmaximierung organisierter Kriminalität und der Machtmissbrauch staatlicher Akteure. Die kriminelle Seite arbeitet dabei längst wie eine Industrie – arbeitsteilig, professionell, mit Dienstleistern für jeden Schritt. Atug rechnete es an einem realen Fall vor: Bei einem angegriffenen Landkreis forderten die Täter eine vergleichsweise „bescheidene” Summe von einer halben Million Euro – mit dem zynischen Hinweis, der Wiederaufbau koste ohnehin ca. 4 Millionen Euro. Er kostete am Ende rund 3,2 Millionen. Die Kalkulation der Angreifer war präzise. Für sie ist Ihr Haus kein Schicksal, sondern eine Kundennummer.
Und die Daten? Atug verschob die Perspektive: Datenschutz heißt im Kern nicht Schutz von Daten, sondern Schutz der Menschen hinter den Daten. Einmal kopierte Gesundheits- oder Sozialdaten sind nicht „weg”, sie sind vervielfältigt – und niemand garantiert, ob sie in zwei, zehn oder dreißig Jahren auftauchen. Bei einem Kind, bei einem psychisch erkrankten Menschen kann das ein Leben lang nachwirken. Das ist die Dimension, die in der Sozial- und Gesundheitswirtschaft besonders schwer wiegt.
Volker Tosch / Allianz
Bleibt das verbreitetste Gegenargument: „Bei uns ist nichts zu holen.” Volker T., der bei der Allianz als Cyber-Schadenexperte unzählige Fälle begleitet hat, hält dagegen – und es klingt fast lakonisch: Den Angreifern ist Ihre Größe gleichgültig. Sie kaufen im Darknet zehntausende Adressen und streuen breit, „erst mit Schrot, dann schauen, was passiert”. Wer reagiert, wird weiterverfolgt. Es gibt, zitierte er, nur zwei Arten von Organisationen: die, die gehackt wurden und es wissen – und die, die gehackt wurden und es nicht wissen. Die Frage ist nicht ob, sondern wann.
Tag 1 – Stillstand. Und plötzlich ist es kein IT-Problem mehr.
Am Morgen geht nichts mehr. Keine Anmeldung, keine Dokumentation, keine Dienstpläne, kein Telefon, keine Mail. Auf den Bildschirmen, falls sie überhaupt noch etwas zeigen, eine Forderung.
Podiumsdikussion
In einem Industrieunternehmen wäre das ein teurer Produktionsausfall. In Ihrem Haus ist es etwas grundlegend anderes. Evelin Schneyer von der BAGFW sprach in der Podiumsdiskussion den Satz aus, der über beiden Tagen schwebte: In der Sozial- und Gesundheitswirtschaft ist jeder IT-Ausfall ein Versorgungsausfall. Wenn die Pflegedokumentation steht, wenn Medikationssysteme und Assistenztechnik ausfallen, wenn die Einsatzplanung des ambulanten Dienstes nicht erreichbar ist, dann geht es nicht um Umsatz. Es geht um Menschen, die auf Versorgung angewiesen sind – und um Mitarbeitende, die ohnehin am Limit arbeiten und nun zusätzlich improvisieren, auf Papier zurückfallen, Medikamente händisch abgleichen.
Wie real das ist, zeigte Atug schon am Vortag an einem Klinikbetreiber, dessen Rettungsdienst nach einem Angriff wochenlang ohne seine Einsatz-App auskommen musste: Kapazitäten für schwere Fälle ließen sich nicht mehr schnell klären, kooperierende Dienste wurden mitbelastet, und Patientinnen mussten dem Personal teils selbst sagen, welche Medikamente sie bekommen. Eine Kaskade, die weit über die eigene IT hinausreicht.
Christoph Dürdoth / Johannesstift Diakonie
So erging es im Oktober 2024 der Johannesstift Diakonie, deren zentrale Server verschlüsselt wurden und deren IT über Wochen weitgehend ausfiel – bis hinein in Dienstplanung und Gehaltsabrechnung. Personalvorstand Christoph Dürdoth erzählte, wie sein Haus die Gehälter trotzdem auszahlte: Man übernahm näherungsweise die Abrechnung des Vormonats, arbeitete mit Abschlägen, kommunizierte offen vorab, dass es später Korrekturen geben werde. Erst nach rund vier Wochen war wieder eine reguläre Abrechnung möglich. Bemerkenswert sein Befund: Dass diese pragmatischen Notlösungen funktionierten und ehrlich angekündigt waren, stärkte am Ende das Vertrauen in die Organisation – statt es zu zerstören.
Patrick Mombaur / SRH
So erging es 2021 auch der SRH Holding mit ihren Hochschulen und Kliniken. Über rund drei Wochen bewegten sich die Angreifer durch eine als gut gesichert geltende Infrastruktur, schleusten ein großes Datenvolumen aus und zerstörten anschließend nahezu die gesamte virtuelle Infrastruktur des Bildungsbereichs. Genau hier liegt die unbequeme Lektion, die Vorstand Patrick Mombaur nüchtern formulierte: Bildungs- und Gesundheitseinrichtungen geraten oft nicht primär wegen ihrer sensiblen Daten ins Visier, sondern weil ihr Schutzniveau am geringsten ist. Automatisierte Angriffswellen suchen sich die schwächsten Ziele. Und die unbequemste Pointe: Auch eine überdurchschnittlich gesicherte IT – mit Segmentierung, Monitoring, hunderten Firewalls – schützt nicht, wenn an einer einzigen Stelle die Architektur nachgibt, etwa in den gewachsenen Vertrauensbeziehungen zwischen Systemen.
Die Rechnung – zahlen oder neu bauen?
Dann ist die Forderung konkret. Im Fall der SRH Holding ging sie in die Millionen.
Jetzt sitzen Sie vor einer Entscheidung, für die Sie nie geübt haben – unter Zeitdruck, mit unvollständigen Informationen, und in der Gewissheit, dass Sie als Leitung dafür geradestehen. Zahlen verspricht die schnelle Rückkehr zur Normalität. Nicht zahlen bedeutet Wochen, vielleicht Monate Wiederaufbau.
Mombaur schilderte, wie sein Haus sich entschied: kein Lösegeld, stattdessen vollständiger Neuaufbau. Seine Begründung ist bestechend nüchtern. Eine Zahlung kauft weder Sicherheit gegen die nächste Kompromittierung noch irgendeine Verlässlichkeit gegenüber Kriminellen – und selbst nach einer Entschlüsselung müssten ohnehin alle Systeme als kompromittiert gelten und neu aufgesetzt werden. Atug hatte das Dilemma am Vortag offen als das benannt, was es ist: keine Schwarz-Weiß-Frage, sondern eine Abwägung zwischen Prinzip und Pragmatismus, die man besser vor der Krise durchdacht hat – idealerweise in einer geübten Planübung, mit klarer Vorab-Abstimmung mit Polizei, Versicherer und Haftpflicht.
Was in diesem Moment über die Handlungsfähigkeit entscheidet, ist nicht die Technik. Es ist die Aufstellung der Führung. Mombaur nannte es ein Top-down-Krisenmanagement „in außergewöhnlicher Geschwindigkeit”, das nur funktioniert, wenn Geschäft und IT eng – im Idealfall in einer Hand – zusammenwirken. Ersoy Karakoc, der die SRH-IT durch den Wiederaufbau führte, bestätigte aus der operativen Sicht: kurze Entscheidungswege, hundertprozentige Rückendeckung von oben, und ein Backup, das die Existenz rettete – weil es vollständig getrennt, mit eigenen Zugängen und eigener Administrationslogik gesichert war. Hätten die Angreifer es erreicht, wäre aus der Krise eine Katastrophe geworden.
Andrea Michalczyk-Schröder / Ecclesia
Und die Haftung, die Ihnen in diesem Moment im Nacken sitzt? Andrea Michalczyk-Schröder von der Ecclesia Gruppe räumte mit einem weit verbreiteten Missverständnis auf. Die Leitung haftet nicht für die falsche Entscheidung – sie haftet für die schlecht vorbereitete und nicht dokumentierte. Maßgeblich ist die Sicht zum Zeitpunkt der Entscheidung, die sogenannte Ex-ante-Perspektive: Haben Sie sich angemessen informiert, Risiken abgewogen, die Entscheidung nachvollziehbar festgehalten? Delegation – an die eigene IT oder an externe Dienstleister – verlagert Arbeit, niemals Verantwortung. Cybersicherheit ist damit Chef- und Aufsichtssache, nicht delegierbares IT-Thema.
Bleibt die Cyber-Versicherung, auf die jetzt alle Hoffnung ruht. Michalczyk-Schröder zeichnete ein ehrliches Bild: ein wertvolles, modular aufgebautes Instrument, das gerade in den ersten Stunden viel wert ist – Forensik, Krisenkommunikation, Soforthilfe. Aber kein Rundum-sorglos-Paket. Die häufigste Sollbruchstelle sind die Obliegenheiten: Wer die zugesagten Mindeststandards – Patch-Management, Backups, Virenschutz, Mehr-Faktor-Authentifizierung – nicht erfüllt hat, steht im Schadensfall trotz Police ohne Schutz da. Selbst ein bewusster, gut begründeter und dokumentierter Verzicht auf eine Versicherung kann legitim sein – entscheidend ist, dass die Entscheidung überhaupt fundiert getroffen und festgehalten wurde.
Dr. Daniel Meltzian / BMI
Über all dem steht die Pflicht zu melden. Dr. Daniel Meltzian vom Bundesinnenministerium erinnerte daran, dass NIS-2 Meldefristen vorsieht – nicht als Bürokratie, sondern als Frühwarnsystem: Nur wenn Betroffene früh melden, können andere geschützt werden, die den Angriff vielleicht noch gar nicht bemerkt haben. Die Meldung an die Sicherheitsbehörde ist dabei etwas anderes als die Strafanzeige bei der Polizei – die eine ist opferbezogen und will weitere Opfer verhindern, die andere täterbezogen.
Wochen danach – die eigentliche Prüfung beginnt.
Der Tag des Angriffs ist längst vorbei. Die Schlagzeile ist abgeklungen. Die Krise nicht.
Karakoc nannte den Wiederaufbau das, was er ist: einen Marathon. Die Krisenorganisation lief über Monate, die volle Stabilität kehrte erst nach rund zwei Jahren zurück. Und dieser Marathon fordert seinen Tribut nicht bei den Maschinen, sondern bei den Menschen. Karakoc sprach offen über die enorme Dauerbelastung, über Kolleginnen und Kollegen, die nach einem halben, dreiviertel Jahr in die berufliche Wiedereingliederung mussten, weil die Stressphase Spuren hinterlassen hatte. Schon Pinske hatte am Vortag berichtet, dass die Südwestfalen-IT in der akuten Phase eigens psychologische Unterstützung organisierte und Mitarbeitende dreistellige Überstundenzahlen ansammelten. „Abschalten” ist in dieser Phase keine Selbstverständlichkeit – es muss aktiv erzwungen werden.
Christoph Dürdoth beschrieb, was in einer Belegschaft in diesen Wochen seelisch passiert – und er tat es als Personalvorstand, nicht als IT-Mann, was den Blick so wertvoll machte. Ein Angriff durchläuft, ähnlich den Phasen einer Trauer, vorhersehbare emotionale Stationen: zuerst Schock und Unsicherheit, dann ein erstaunlicher, fast euphorischer Zusammenhalt – „wir schaffen das” –, und schließlich, wenn es sich zieht und die Provisorien zur Last werden, Ungeduld, Wut, Frustration, Zynismus, Rückzug, im schlimmsten Fall die innere Kündigung. Die gefährlichste Phase, so seine eindringliche Warnung, ist nicht der Schock. Es ist die spätere Erschöpfung. Denn dann beginnen Mitarbeitende, sich aus Frust eigene Wege zu bauen, kleine Umgehungslösungen, eine Schatten-IT neben der offiziellen – und schaffen damit genau die neuen Lücken, die der nächste Angriff braucht.
Seine Lehre ist vielleicht die wichtigste des ganzen Kongresses, und sie passt zu keinem Produktkatalog: Cybersicherheit ist Kulturveränderung. Sie wird von der Sache der IT zur Gemeinschaftsaufgabe der ganzen Organisation. Das gelingt nur mit ehrlicher, einheitlicher Kommunikation – auch dem offenen Eingeständnis, nicht auf alles eine Antwort zu haben, was mehr Vertrauen schafft als jede beschönigende Parole. Es gelingt mit Führungskräften, die zu „Dolmetschern” zwischen der IT und dem Alltag der Anwender werden – denn die Personalsachbearbeiterin will ihre Abrechnung fertig bekommen, nicht über Berechtigungskonzepte diskutieren. Und es gelingt nur mit einer echten Fehlerkultur.
Diese Fehlerkultur war der Punkt, an dem sich die Vorträge wie von selbst die Hände reichten. Reinhardt hatte erklärt, warum sie sicherheitsrelevant ist: Wer auf etwas hereinfällt, schämt sich – und meldet es deshalb oft nicht. Aber sobald gemeldet wird, zählt jede Minute. Wer Betroffene rehabilitiert, statt sie bloßzustellen, macht aus einem Opfer im besten Fall einen Fürsprecher und verkürzt im nächsten Ernstfall die entscheidende Reaktionszeit. Tosch formulierte dasselbe aus der Versichererperspektive: Man sollte schon froh sein, wenn die Belegschaft wenigstens als „menschliche Alarmanlage” funktioniert und Alarm schlägt, wenn sie den Angriff nicht abwehren kann. Mitarbeitende, die einen Vorfall melden, gehören gelobt, nicht getadelt – persönliche Haftung des Einzelnen greift ohnehin nur bei Vorsatz.
Davor handeln – die Hebel, die wirklich zählen.
Hier ist die gute Nachricht, und sie zieht sich durch beide Tage: Fast alles, was diese Krise so teuer und so schmerzhaft macht, lässt sich vorher entschärfen. Vieles davon kostet kein Vermögen, sondern Entschlossenheit – und die Bereitschaft, Prioritäten zu setzen.
Volker Tosch verdichtete die Erfahrung aus unzähligen Schadenfällen zu fünf Säulen der Cyber-Resilienz, die zusammenwirken müssen wie die Schichten eines Netzes:
Erstens klare, gelebte Prozesse, die vor Manipulation schützen: das Vier-Augen-Prinzip bei Zahlungsfreigaben, die Rückruf-Pflicht über eine bekannte Nummer bei jeder Änderung einer Bankverbindung – niemals über die Nummer aus der verdächtigen Mail –, und definierte Freigabestufen, von denen es keine Ausnahme gibt, „auch nicht auf Anweisung der Geschäftsführung”. Genau diese Prozesse hätten viele der dreist einfachen Betrugsmaschen gestoppt, die Tosch beschrieb: manipulierte PDF-Rechnungen, bei denen schlicht die Bankverbindung ausgetauscht wird, oft an geteilte Sammelpostfächer wie „rechnung@” adressiert, weil dort das Entdeckungsrisiko geringer ist.
Zweitens Patch-Management. Ungepatchte Systeme sind selten das erste Einfallstor, aber sie wirken wie ein Brandbeschleuniger. Und der Faktor Zeit kippt gerade dramatisch: Durch Automatisierung schrumpft die Spanne von der Ausbreitung im Netz bis zur Verschlüsselung von früher im Schnitt rund zweieinhalb Wochen auf inzwischen teils acht Stunden. Tosch verwies zudem auf KI-Werkzeuge, die in Software jahrelang unentdeckte Schwachstellen aufspüren – die Zeit von der Entdeckung einer Lücke bis zum fertigen Angriffscode sinke damit von Wochen auf Stunden. Zeitnahes Patchen, gerade internet-exponierter Systeme, wird damit wieder hochgradig kritisch.
Drittens, und für Tosch der größte Einzelhebel bei vergleichsweise geringem Aufwand: flächendeckende Mehr-Faktor-Authentifizierung. Gestohlene Passwörter sind der häufigste Einfallsweg – mit MFA ist ein gestohlenes Passwort allein wertlos. Wichtig sei, wirklich alles mitzudenken: VPN, Mail, Cloud-Dienste und vor allem Admin-Zugänge, auch außerhalb der IT-Abteilung. Und besser auf sichere Faktoren setzen als auf die anfällige SMS.
Viertens resiliente Backups – nicht irgendein Backup, sondern eines nach der 3-2-1-Regel, mit mindestens einer offline und unveränderbar gehaltenen Kopie, regelmäßig auf Wiederherstellbarkeit getestet. Tosch erzählte von einem Fall, in dem Backups zuverlässig erstellt und quittiert wurden – wegen eines abgelaufenen Zertifikats aber nie wirklich gespeichert waren. Aufgefallen wäre das nur durch einen echten Wiederherstellungstest. Sein Merksatz: „No Backup, no Mercy.”
Fünftens vorbereitete Krisenpläne – inklusive einer Business-Impact-Analyse, welche Prozesse überhaupt geschäftskritisch sind, eines Kommunikationsplans für den Nicht-IT-Teil und der schlichten Vorsorge, die Pläne offline auszudrucken. Denn im Ernstfall ist das Intranet das Erste, was fehlt. Atug hatte es am Vortag noch einfacher gefasst: Resilienz beginnt nicht mit einem perfekten Managementsystem, sondern mit wenigen handhabbaren Schritten – eine verantwortliche Person benennen und im Krisenfall schlicht davon ausgehen, dass die gesamte IT ausgefallen ist.
Und wenn die Mittel knapp sind, wie in so vielen Häusern der Sozialwirtschaft? Dann wird André Windsch von HiSolutions zum wichtigsten Stichwortgeber. Sein Vortrag „Mit wenig Ressourcen viel erreichen” zeigte, dass gerade kleine Träger weit kommen – wenn sie nicht alles auf einmal wollen. Das richtige Sicherheitsniveau ist für jede Organisation anders; Standards geben Orientierung, ersetzen aber nicht die eigene Priorisierung. Wirksam ist ein hybrides Vorgehen: Die Führung benennt, „wo es wehtut”, die IT arbeitet gezielt darauf hin. Wer mit knappen Mitteln startet, sichert zuerst die Zugänge mit dem größten Schadenspotenzial – privilegierte Rollen wie Administratoren oder Ärztinnen, die im Ernstfall den größten Hebel für einen Angreifer bilden. Und Windsch warb für einen unterschätzten Ressourcengewinn: konsolidieren statt vermehren. Wer vier Werkzeuge für dasselbe Problem betreibt, zahlt vierfachen Pflegeaufwand und vergrößert seine Angriffsfläche. Wer reduziert, gewinnt Kapazität für echte Sicherheitsarbeit – ohne neue Stellen.
Dass dieser Druck kein Selbstzweck ist, machte Meltzian klar: Mit NIS-2 hat sich der Modus geändert. Die Frage lautet nicht mehr „Bin ich betroffen?“, sondern „Wie setze ich Risikomanagement, Meldepflichten und Governance um?”. Cybersicherheit ist endgültig Chefsache – mit Geschäftsleiterverantwortung, Schulungspflicht bis in die oberste Etage und einem spürbaren, umsatzbezogenen Bußgeldregime. Schon Prof. Timo Kob hatte es in der Begrüßung auf eine Formel gebracht: Mit Cybersicherheit verkaufen Sie kein Produkt – aber ohne sie verkaufen Sie keines mehr.
Bevor es so weit ist: Was jetzt zu tun ist.
An dieser Stelle melden wir uns – das Team vom Caritas-Netzwerk IT e. V.. Bis hierhin sind wir bewusst im Hintergrund geblieben, weil dieser Text von den Erfahrungen anderer lebt. Aber die beiden Kongresstage haben einen Schluss so klar gemacht, dass wir ihn nicht den Referierenden überlassen wollen: Die Antworten liegen auf dem Tisch. Wir können sie nur nicht jeder für sich allein umsetzen.
Schon der erste Tag hatte den Ton gesetzt: IT-Sicherheit ist kein Wettbewerbsvorteil, um den einzelne Träger ringen, sondern ein gemeinsames Branchenniveau, das wir nur miteinander heben. Cybersicherheit wurde als das nächste große, branchenübergreifende Problem nach dem Klimawandel eingeordnet – mit dem Unterschied, dass diejenigen, die einen Angriff erlebt haben, die „Hitze” eines Totalausfalls bereits kennen. Zwei Aufgaben tragen wir aus diesen zwei Tagen weiter.
Erstens die Refinanzierung. Das Grundproblem ist nicht fehlendes Bewusstsein – das ist, wie die Praktiker auf dem Podium betonten, längst da. Das Problem ist eine strukturelle Finanzierungslücke: In Leistungsentgelten, Pflegesätzen und Zuwendungen ist schlicht kein Budget für IT-Sicherheit vorgesehen. Und es fehlt eine verbindliche Zuständigkeit – die freien Träger berichteten, bei keinem Ministerium, auch nicht beim neuen Digitalressort, eine Adresse zu finden, die sich für sie verantwortlich fühlt. Erste Programme zeigen Bewegung; das Bundesgesundheitsministerium stellt für NIS-2-betroffene Gesundheitseinrichtungen bis zu 1,8 Milliarden Euro bereit. Doch die Pflege und viele kleine Träger erreicht das nicht, weil sie meist gar nicht unter NIS-2 fallen. Wenn der Staat Sicherheit zu Recht zur Pflicht macht, muss sie als dauerhafte Vorhalteleistung in den regulären Finanzierungssystemen ankommen – nicht als befristete Anschubförderung. Ohne Strukturwandel droht sonst eine Marktbereinigung zulasten kleiner, gemeinnütziger, ehrenamtlich geprägter Träger. Dafür braucht es eine geschlossene, faktenbasierte Stimme von Caritas und Diakonie.
Zweitens die Weiterentwicklung unserer eigenen Strukturen. Mehr Geld allein löst nichts, solange die Fachkräfte fehlen – auch das war Konsens auf dem Podium. Der entscheidende Hebel ist Konsolidierung: gemeinsame, souveräne Plattformen, gebündelte Beschaffung, geteilte Awareness- und Incident-Response-Strukturen, im Bild der Diskussion eine gemeinsame „Sozial- und Pflegeinformatik” nach dem Vorbild der Sparkassen-Finanzinformatik. Niemand muss dafür fusionieren. Aber die Kleinstaaterei, in der jeder Träger und jeder Dienstleister parallel dasselbe in mittlerer Qualität baut, können wir uns nicht länger leisten – sie ist teuer, kleinteilig und verwundbar zugleich. Die Caritas- und Diakonie-Familien zählen zusammen weit über eine Million Beschäftigte (und zusätzlich VIELE Ehrenamtliche) und sind nach dem öffentlichen Dienst die größten Arbeitgeber des Landes. Diese Gestaltungsmacht entfaltet sich nur über handlungsfähige, gemeinsam getragene Strukturen.
Die Krise in diesem Text ist erfunden. Die nächste echte ist nur eine Frage der Zeit – das war die wohl meistgehörte Erkenntnis dieser zwei Tage. Was wir bis dahin tun, entscheidet darüber, ob sie ein beherrschbarer Vorfall wird oder eine Katastrophe: ob die Backups halten, ob die Menschen vorbereitet sind, ob die Strukturen tragen. Lassen Sie uns gemeinsam handeln, bevor es so weit ist. Denn ohne Cybersicherheit zerrinnt alles, was wir digital und mit Künstlicher Intelligenz aufbauen wollen – und am Ende die Versorgung der Menschen, für die wir da sind.
Mit Impulsen von Mirco Pinske ( Südwestfalen-IT ), Manuel ‘HonkHase’ Atug ( HiSolutions ), Dr. Daniel Meltzian (BMI), Thomas Süptitz (BMG), Evelin Schneyer ( BAGFW ), Prof. Timo Kob ( HiSolutions ), Stefan Guhl (Stiftung St. Franziskus Heiligenbronn), Patrick Mombaur ( SRH Holding), Ersoy Karakoc ( SYMBION GmbH ), Dr. Christian Reinhardt ( SoSafe ), André Windsch ( HiSolutions ), Volker T. (Allianz) und Andrea Michalczyk-Schröder ( Ecclesia Gruppe ) sowie Christoph Dürdoth ( Johannesstift Diakonie ). Eine gemeinsame Veranstaltung von Verband diakonischer Dienstgeber in Deutschland (VdDD) , Deutscher Caritasverband e.V. , Diakonie Deutschland , Caritas-Netzwerk IT e. V. sowie Caritas und Diakonie Baden-Württemberg, zu Gast bei der HiSolutions AG, vielen herzlichen Dank dafür!
Vielen Dank an alle Organisatoren für die gute und vertrauensvolle Zusammenarbeit, wir planen für 2027 wieder einen Fachkongress Cybersecurity, vermutlich wie 2025 online.
Transparenz: Dieser Text ist mit Hilfe von generativer künstlicher Intelligenz entstanden.
#Cybersecurity #NIS2 #Sozialwirtschaft #Caritas #Diakonie #Refinanzierung #Resilienz #Sicherheitskultur #KI
Dieser Beitrag ist am 21. Juni 2026 auch auf LinkedIn erschienen.