Zum Inhalt springen
Aus dem Netzwerk

„Abwarten ist keine Option mehr“ – Mein Fazit zum Fachkongress Cybersecurity, einem Weckruf für die gesamte Sozialwirtschaft

22. Juni 2025 · Gerhard Müller

Als Mit-Organisator des und Sprecher beim „Fachkongress Cybersecurity – Stark gegen Cyberangriffe!“ letzten Mittwoch / 18. Juni 2025 bin ich auch Tage später noch tief bewegt von der Intensität, der schonungslosen Offenheit und dem gemeinsamen Ringen um Lösungen, das diesen Tag geprägt hat. Zusammen mit rund 115 Entscheidungsträger:innen und Fachverantwortlichen aus dem gesamten Spektrum von Caritas und Diakonie haben wir in den digitalen Abgrund geblickt – aber auch Wege zurück ans Licht erörtert.

Die zentrale Erkenntnis, die wie ein roter Faden durch alle Beiträge lief, ist so einfach wie alarmierend: Cybersicherheit ist keine optionale IT-Aufgabe mehr. Cybersicherheit ist eine strategische Existenzfrage für jede soziale Einrichtung, egal welcher Größe. Für alle, die dabei waren, und insbesondere für jene, die es nicht sein konnten, möchte ich hier die entscheidenden Erkenntnisse, die drängendsten Fragen und die konkreten Handlungsfelder, die wir identifiziert haben, ausführlich zusammenfassen.

MODUL 1: Der ungeschminkte Blick in die Katastrophe – Wenn es wirklich brennt

Der Tag begann nicht mit Theorie, sondern mit der harten Realität. In einer spürbaren Stille folgten die Teilnehmenden den Erfahrungsberichten von zwei Organisationen, die das durchlebt haben, wovor sich alle fürchten.

Torben Hardt vom Caritasverband der Erzdiözese München und Freising e.V. und Christian Schultz MBA 🛫🛬 von der Diakonie Stiftung Salem, Minden schilderten keine technischen Details, sondern das organisatorische und menschliche Drama eines Ransomware-Angriffs.

Was wir daraus gelernt haben, geht weit über Technik hinaus:

  • Der totale Kontrollverlust: Stellen Sie sich vor, von einer Minute auf die andere sind 10.000 Mitarbeitende von der digitalen Welt abgeschnitten. Kein Telefon, keine E-Mail, kein Zugriff auf Klientendaten. Es ist, als würde einem die Aorta der Organisation durchtrennt. Dieser Zustand der absoluten Handlungsunfähigkeit war die erste, schockierende Realität.
  • Kommunikation als Überlebensnerv: Die größte Herausforderung in den ersten Stunden und Tagen war nicht die IT, sondern die Kommunikation. Wie erreicht man Führungskräfte, Einrichtungen und Mitarbeitende, wenn alle offiziellen Kanäle tot sind? Die Lösung lag oft in der analogen Welt: ausgedruckte Telefonlisten, die im Tresor lagen, wurden zum wertvollsten Gut. Private WhatsApp-Gruppen wurden zum improvisierten Krisenstab-Kanal. Dies unterstreicht die Notwendigkeit, Notfallpläne nicht nur digital, sondern auch physisch und offline vorzuhalten.
  • Der Marathon der Wiederherstellung und seine menschlichen Kosten: Beide Referenten betonten, dass die Vorstellung, nach ein paar Wochen wieder im Normalbetrieb zu sein, eine Illusion ist. Die vollständige Wiederherstellung der Systeme und Prozesse ist ein Marathon, der sich über Monate, wenn nicht Jahre, erstreckt. Dieser Prozess bindet nicht nur finanzielle Mittel in Millionenhöhe, sondern fordert auch einen enormen menschlichen Tribut. Die permanente Überlastung, der Druck und die Frustration führen zu einem massiven Burnout-Risiko, insbesondere in den IT-Abteilungen und bei den Führungskräften.
  • Die paradoxe Chance in der Krise: So schmerzhaft der Angriff war, er zwang beide Organisationen zu einem radikalen Modernisierungsschritt. Der ohnehin geplante, aber langwierige Umstieg in die Cloud und auf Microsoft 365 wurde unter extremem Druck vollzogen. Dies war oft der einzige Weg, um die Organisation schnell wieder kommunikationsfähig zu machen. Es ist eine bittere Pille, dass eine Katastrophe zum Katalysator für eine überfällige digitale Transformation werden muss.

MODUL 2: Der neue Rahmen – Zwischen gesetzlichem Zwang und globaler Ungewissheit

Nach diesen eindringlichen Praxisberichten richteten wir den Blick auf die strategischen Rahmenbedingungen, die unser Handeln in Zukunft definieren werden.

Manuel Bach vom Bundesamt für Sicherheit in der Informationstechnik (BSI) brachte die notwendige Klarheit und Konsequenz zur NIS-2-Richtlinie (die NIS-2-Richtlinie der EU erweitert und stärkt Anforderungen an die Cybersicherheit kritischer Infrastruktur sowie wichtiger Unternehmen und Behörden, um deren Widerstandsfähigkeit gegenüber Cyberangriffen und Störungen deutlich zu erhöhen). Seine Botschaften waren ein Weckruf für viele:

  • NIS-2 ist hier und betrifft sehr viele: Die Schwelle für die Betroffenheit ist niedrig. Bereits Organisationen mit mehr als 50 Mitarbeitenden im Gesundheits- oder Sozialwesen können unter die Regulierung fallen. Das bedeutet: Registrierungspflichten, Meldepflichten bei Vorfällen und die Etablierung eines systematischen Risikomanagements.
  • Die persönliche Haftung der Leitungsebene: NIS-2 verankert eine direkte, persönliche Haftung für Vorstände und Geschäftsführungen bei Versäumnissen. Dies ist ein Paradigmenwechsel. Es hebt Cybersicherheit endgültig aus der IT-Abteilung auf die strategische Agenda des Top-Managements.
  • Hilfe zur Selbsthilfe vom BSI: Mit dem kostengünstigen Cyber-Risiko-Check bietet das BSI eine unverzichtbare erste Hausaufgabe. Es ist, wie Manuel Bach es nannte, das “Seepferdchen der IT-Sicherheit” – die absolute Mindestanforderung, um im digitalen Raum überlebensfähig zu bleiben und die eigene Sicherheitslage realistisch einzuschätzen.

In der Diskussion wurde auch klar, dass es noch sehr viel Unsicherheit gibt, welche Organisationen in der freien Wohlfahrt unter die NIS-2-Richtline fallen werden – hier ist noch viel Information und Aufklärungsarbeit notwendig. Da es noch keine deutsche Umsetzung gibt (die wird für Herbst 2025 erwartet, gilt dann aber sofort), ist hier noch einiges im Unklaren.

Thomas Althammer von Althammer & Kill erweiterte die Perspektive und warf einen Blick über den Tellerrand der unmittelbaren Bedrohungen hinaus:

  • Die Evolution der Bedrohung durch KI: Die Angriffe der Zukunft werden nicht mehr nur plump sein. KI-gestützte Deepfakes, perfekt geklonte Stimmen von Vorgesetzten in WhatsApp-Nachrichten und hochgradig personalisierte Phishing-Mails werden die “menschliche Firewall” auf eine nie dagewesene Probe stellen.
  • Die unbequeme Wahrheit der digitalen Souveränität: Wir erleben ein Paradox. Während uns Cloud-Dienste von US-Anbietern im Krisenfall handlungsfähig machen, vertiefen wir gleichzeitig unsere Abhängigkeit. In einer sich wandelnden geopolitischen Landschaft stellt dies ein strategisches Risiko dar.
  • Die Notwendigkeit, eine Haltung zu entwickeln: Jede Organisation muss sich der Frage stellen, wie sie mit dieser Abhängigkeit umgeht. Dies ist keine rein technische Entscheidung, sondern eine, die unsere Werte, unsere Ethik und unser Selbstverständnis als soziale Träger berührt. Es geht darum, bewusst zu entscheiden, wo wir Kompromisse eingehen und wo wir auf Alternativen setzen müssen.

MODUL 3: Vom Wissen zum Handeln – Konkrete Präventionsstrategien

Am Nachmittag wurde es in den parallelen Fachforen konkret. Hier wurden praxiserprobte Lösungsansätze für die spezifischen Herausforderungen der Sozialwirtschaft diskutiert.

  • Fachforum 1: Machtvoll auch im Kleinen ( Bernhard Kux, IHK für München und Oberbayern): Die klare Botschaft war: Auch kleinere Sozialunternehmen sind nicht machtlos. Ein strukturiertes Notfallhandbuch, das die wichtigsten Kontakte, Prozesse und Sofortmaßnahmen enthält, ist ein erreichbarer und fundamental wichtiger Schritt. Es ist der Kompass, der im Sturm des Angriffs Orientierung gibt. Bonus: IHKs bieten oft Hilfestellungen an, die auch von Organisationen in der freien Wohlfahrt genutzt werden können, z.B. dem Muster der IHK für Notfallhandbücher.
  • Fachforum 2: Die Feuerwehr rufen, bevor es brennt (Sven Ulke, SVA System Vertrieb Alexander GmbH): Dieses Forum deckte eine kritische Lücke auf. Wie ich es in meinem Vortrag (weiter unten) später betonte: Im Krisenfall auf einen IT-Forensiker zu warten, kann bis zu sieben Wochen dauern. Sieben Wochen Stillstand sind für keine soziale Einrichtung überlebbar. Die Lösung ist eine “Cyber-Feuerwehr” – ein vorab geschlossener Vertrag (Retainer) mit Spezialisten für Digitale Forensik & Incident Response. Das hier vorgestellte Kooperationsmodell des Caritas-Netzwerk IT e. V. mit der SVA ist ein wegweisendes Beispiel, wie durch Bündelung und Solidarität professionelle Hilfe auch für kleinere Träger finanzierbar wird.
  • Fachforum 3: Die menschliche Firewall schmieden (Moritz Thomä, G&R Cybersecurity): Die technologischen Einfallstore sind vielfältig, aber der entscheidende Faktor bleibt der Mensch. Dieses Forum machte deutlich, dass Sicherheit ein Dreiklang aus Technologie, Prozessen und Menschen ist. Einmalige Belehrungen reichen nicht aus. Es braucht eine kontinuierliche Sensibilisierung durch regelmäßige, simulierte Phishing-Angriffe und zielgruppengerechte Schulungen, die die Mitarbeitenden als wichtigstes Schutzschild der Organisation aktivieren.

MODUL 4: Ihre konkrete Roadmap – Mein 10-Schritte-Programm

Um die Fülle an Informationen in eine handhabbare Strategie zu überführen, habe ich ein 10-Schritte-Programm als Navigationssystem für soziale Organisationen vorgestellt:

  1. IT-Sicherheit zur Chefsache machen: Verankern Sie die Verantwortung strategisch in der Leitung und stellen Sie Budget und Zeit zur Verfügung.
  2. Lagebild erstellen (BIA): Identifizieren Sie Ihre Kronjuwelen. Welche Prozesse sind überlebenswichtig? Wo tut ein Ausfall am meisten weh?
  3. Datensicherung als Lebensversicherung: Implementieren Sie die 3-2-1-Regel und – entscheidend – testen Sie die Wiederherstellung regelmäßig! Ein ungetestetes Backup ist nur eine Hoffnung.
  4. Notfallplan & Cyber-Feuerwehr: Erstellen Sie einen physisch verfügbaren Notfallplan und schließen Sie VORHER einen Vertrag mit einem Digital Forensic / Incident & Response-Dienstleister. Tipp: Für Caritas-Rechtstäger bietet das Caritas-Netzwerk IT e. V. zusammen mit der SVA einen entsprechenden Rahmen, siehe hier.
  5. Mensch als Schutzschild: Investieren Sie in kontinuierliche Awareness-Schulungen und Phishing-Tests. Dies ist keine Ausgabe, sondern eine Investition in Ihre robusteste Verteidigungslinie. Beispiel: SoSafe.
  6. Basishygiene härten: Sorgen Sie für lückenloses Patch-Management, flächendeckende Multi-Faktor-Authentifizierung (MFA), den Einsatz von Passwort-Managern (1Password, Bitwarden oder KeePassXC) und moderne Schutzsysteme. Diese vier Punkte sind nicht verhandelbar.
  7. Lieferanten im Blick behalten: Ihre Sicherheit endet nicht an Ihrer Firewall. Machen Sie Cybersicherheit zum Kriterium bei der Auswahl Ihrer Partner und Dienstleister.
  8. Standards als Leitplanken nutzen: Nutzen Sie NIS-2 und den BSI-Grundschutz nicht als bürokratische Last, sondern als fertigen Werkzeugkasten und als starkes Argument in Refinanzierungsverhandlungen.
  9. Effizienz durch Technologie & Dienstleister: Da Fachkräfte rar sind, setzen Sie auf Automatisierung und kaufen Sie Sicherheit als “Managed Service” ein, anstatt alles selbst machen zu wollen.
  10. Sicherheit als Prozess verstehen: Etablieren Sie ein regelmäßiges “Update Cybersicherheit” in der Führungsebene. Bleiben Sie neugierig und anpassungsfähig.

Um es ganz konkret zu machen: Gehen Sie morgen in Ihre Organisation und stellen Sie Ihrer IT-Leitung nur diese beiden simplen, aber entlarvenden Fragen:

  • „Wann haben wir das letzte Mal erfolgreich eine komplette System-Wiederherstellung aus dem Backup getestet und wie lange hat es gedauert?“
  • „Welche Telefonnummer rufen wir mitten in der Nacht an, wenn alles brennt – und haben wir mit diesem Partner einen gültigen Vertrag, der eine schnelle Reaktionszeit garantiert?“

Die Antworten werden Ihnen schonungslos aufzeigen, wo Sie wirklich stehen.

Fazit und der Weg nach vorn

Der Fachkongress hat bewiesen, dass die Sozialwirtschaft aufgewacht ist. Das Bewusstsein ist da, aber der Weg ist weit. Die größten Hürden sind knappe Ressourcen und die schwierige Refinanzierung von IT-Investitionen im Rahmen der bestehenden Leistungsentgelte.

Wir müssen daher auf zwei Ebenen kämpfen:

  1. Innerhalb unserer Organisationen: durch konsequente Umsetzung der hier diskutierten Maßnahmen & mehr Awareness. Dazu hat diese Veranstaltung sicherlich beigetragen!
  2. Gemeinsam nach außen: durch politische Lobbyarbeit, um bei Kostenträgern und in der Politik ein Verständnis dafür zu schaffen, dass Cybersicherheit heute ein untrennbarer, betriebsnotwendiger Teil jeder sozialen Dienstleistung ist und entsprechend finanziert werden muss.

Wir werden als Verbände dranbleiben und planen bereits eine Folgeveranstaltung am 11. und 12. Juni 2026, voraussichtlich in Präsenz, um diesen Dialog zu vertiefen und den Druck auf die Politik zu erhöhen.

Ein riesengroßes und herzliches Dankeschön!

Ein solcher Tag des intensiven Austauschs ist nur durch das Engagement und die Zusammenarbeit vieler möglich. Mein aufrichtiger Dank gilt:

Den Mitveranstaltern, die diesen wichtigen Kongress gemeinsam getragen haben:

Meinen Mitstreiter:innen im Organisationsteam, die den Tag perfekt vorbereitet und moderiert haben:

Den Grußworten aus der Diakonie und der Caritas, die zeigen, dass Cybersecurity in der Caritas & Diakonie sehr ernst genommen werden:

Den herausragenden Referentinnen und Referenten, die ihr wertvolles Wissen und ihre teils schmerzhaften Erfahrungen so offen und uneigennützig geteilt haben:

Und zu guter Letzt danke ich allen rund 115 Teilnehmenden. Ihr aktives Mitwirken, Ihre kritischen Fragen und Ihr Engagement sind der Beweis dafür, dass wir auf dem richtigen Weg sind.

Lassen Sie uns diesen Impuls nutzen. Handeln wir. Gemeinsam. Für eine sichere und resiliente Sozialwirtschaft, die ihrem Kernauftrag – für die Menschen da zu sein – auch in einer unsicheren digitalen Welt gerecht werden kann.

Cybersecurity #Sozialwirtschaft #Caritas #Diakonie #NIS2 #BSI

Dieser Beitrag ist am 22. Juni 2025 auch auf LinkedIn erschienen.

← Alle Beiträge