KICyberangriff auf das HSZ-BW: Was Kommunen aus den ersten 24 Stunden in Reutlingen lernen können
Cyberangriff auf das HSZ-BW in Reutlingen: Was die ersten 24 Stunden zeigen und wie Kommunen sich auf den Ausfall zentraler IT-Dienstleister vorbereiten.
- Cyber Crime
- Kommunen
- Security
Am Abend des 7. Oktober hat das Hochschulservicezentrum Baden-Württemberg (HSZ-BW) in Reutlingen einen Cyberangriff festgestellt. Welche Dienste betroffen sind, ist bislang offen. Für uns als IT-Dienstleister vieler Gemeinden und Betriebe in der Region Pforzheim ist der Fall ein Anlass, genauer hinzusehen – denn das Muster dahinter betrifft unsere Kunden direkt.
Was bisher bekannt ist
Das HSZ-BW unterstützt zahlreiche Hochschulen im Land bei der Digitalisierung ihrer Verwaltungsprozesse – darunter Hochschulen für angewandte Wissenschaften, Pädagogische Hochschulen, Kunst- und Musikhochschulen sowie die Duale Hochschule Baden-Württemberg. Es ist damit ein zentraler Dienstleister für viele Einrichtungen gleichzeitig.
Die ersten Stunden im Überblick
- 7. Oktober, abendsAngriff erkannt
Die IT-Abteilung des HSZ-BW stellt den Angriff fest und leitet nach eigenen Angaben sofort Maßnahmen zur Eindämmung ein.
- 7. OktoberBehörden informiert
Noch am selben Tag werden die Ermittlungsbehörden und die Cybersicherheitsagentur Baden-Württemberg eingebunden.
- 8. Oktober, morgensKrisenstab arbeitet
Ein Krisenstab übernimmt die Aufarbeitung des Vorfalls.
- LaufendErmittlungen
Polizeipräsidium Reutlingen und die Cybercrime-Abteilung der Generalstaatsanwaltschaft Karlsruhe ermitteln. Zu Umfang und Folgen gibt es noch keine Angaben.
Heute
Dass keine Details genannt werden, ist in laufenden Ermittlungen üblich und richtig: Jedes Detail über die eigene Infrastruktur kann Angreifern helfen. Aus genau diesem Grund verzichten auch wir in unseren Fallstudien bewusst auf konkrete Angaben zur Infrastruktur unserer Kunden.
(Stand: 12. Oktober 2026)
Was hier richtig gelaufen ist – und was wir aus eigenen Einsätzen kennen
Über die Ursache wissen wir nichts, und wir spekulieren nicht. Aber der dokumentierte Ablauf zeigt drei Dinge, an denen im Ernstfall viele Organisationen scheitern: schnelle Eindämmung noch am Abend, sofortige Meldung an Polizei und Landesbehörde und ein Krisenstab, der am nächsten Morgen die Verantwortung übernimmt.
Aus unserer Praxis
Wir begleiten Sicherheitsvorfälle bei Kunden auch forensisch. Unsere Erfahrung: Die Technik ist selten das größte Problem in den ersten Stunden. Das größte Problem ist die Organisation.
Wer darf den Stecker ziehen? Wen ruft man an, wenn das Adressbuch auf dem verschlüsselten Server liegt? Und wer sichert Spuren, bevor gut gemeintes „Aufräumen“ sie vernichtet? Wer diese Fragen im Vorfeld geklärt hat, gewinnt im Ernstfall die entscheidenden Stunden.
Das eigentliche Thema: Abhängigkeit von zentralen Dienstleistern
Das HSZ-BW ist ein zentraler Dienstleister für viele Hochschulen. Kommunen kennen diese Struktur gut: Fachverfahren, Rechenzentrumsleistungen und Schnittstellen laufen häufig über gemeinsame Anbieter. Das ist wirtschaftlich sinnvoll und hebt in der Regel das Sicherheitsniveau. Es bedeutet aber auch: Fällt ein zentraler Partner aus, stehen viele Einrichtungen gleichzeitig still – auch solche, deren eigene IT einwandfrei geschützt ist.
Uns ist bewusst, dass wir für unsere Kunden selbst ein solcher zentraler Partner sind. Deshalb behandeln wir unsere eigenen Zugänge so, als könnten sie jederzeit Ziel eines Angriffs werden – und darauf sollten Sie auch bei jedem anderen Dienstleister bestehen.
Wie wir unsere Kunden darauf vorbereiten
Früh erkennen, automatisch reagieren
Viele Vorfälle beginnen mit unauffälligen Anmeldeversuchen. Unsere Active-Defense-Pipeline erkennt Password-Spraying auf VPN-Zugänge und sperrt angreifende Adressen automatisch an der Firewall – auch nachts und am Wochenende.
Verwaltungsoberflächen nicht ins Internet
Ob Firewall, Backup-Konsole oder Fernwartung: Was von außen erreichbar ist, wird angegriffen. Wir veröffentlichen nur, was wirklich nach außen gehört – und das abgesichert.
Backups, die einen Angriff überstehen
Nach der 3-2-1-1-0-Strategie mit unveränderlichen Kopien und regelmäßigen Wiederherstellungstests – damit Angreifer die Sicherung nicht mitverschlüsseln können.
Patchen, bevor es brennt
Zwischen Veröffentlichung einer Lücke und ihrer Ausnutzung vergehen oft nur Tage. Strukturiertes Patchmanagement ist deshalb Pflicht, keine Kür.
Dienstleister-Zugänge trennen
Fernwartungs- und Verbindungszugänge – unsere eigenen eingeschlossen – werden so abgegrenzt, dass ein Vorfall beim Partner nicht automatisch zum Vorfall im eigenen Netz wird.
Ausführlicher beschrieben haben wir das in unseren Beiträgen zur Active-Defense-Pipeline, zur automatischen Firewall-Sperre, zu Herstellerinstallationen und Reverse Proxy, zur 3-2-1-1-0-Backupstrategie und dazu, warum der Angriff heute manchmal schon vor dem Patch kommt.
Was Sie jetzt selbst prüfen sollten
- Notfallplan auf Papier: Liegen Ansprechpartner, Telefonnummern und Entscheidungswege auch offline vor – inklusive der Notfallnummer Ihres IT-Dienstleisters?
- Meldewege kennen: In Baden-Württemberg ist die Zentrale Ansprechstelle Cybercrime (ZAC) beim LKA erster Kontakt; Kommunen können sich zudem an die Cybersicherheitsagentur Baden-Württemberg wenden. Bei personenbezogenen Daten gilt die 72-Stunden-Meldefrist an den Landesdatenschutzbeauftragten.
- Abhängigkeiten kennen: Welche Fachverfahren laufen über externe Anbieter – und wie arbeiten Sie weiter, wenn diese mehrere Tage ausfallen?
- Krisenkommunikation vorbereiten: Wer informiert Bürger, Mitarbeitende und Presse, wenn E-Mail und Webseite nicht verfügbar sind?
- Wiederanlauf festlegen: Welche Systeme kommen zuerst zurück? Diese Reihenfolge gehört in den Notfallplan, nicht in die Diskussion am Tag X.
Für viele unserer Kunden kommt zusätzlich die Frage hinzu, ob sie unter die neuen NIS2-Pflichten fallen – auch mit Meldefristen im Ernstfall. Eine Einordnung für Baden-Württemberg finden Sie in unserem NIS2-Beitrag.
Unser Fazit
Kein Netz ist hundertprozentig sicher – auch nicht das einer gut aufgestellten Landeseinrichtung. Was im Ernstfall den Unterschied macht, ist die Vorbereitung: Angriffe früh erkennen, Schaden begrenzen, Meldewege kennen und einen Plan haben, der auch ohne funktionierende IT abrufbar ist.
Genau dabei unterstützen wir Gemeinden und Betriebe in der Region Pforzheim – seit inzwischen zehn Jahren.
Wie gut ist Ihre Organisation auf einen Vorfall vorbereitet?
Wir schauen gemeinsam mit Ihnen auf Notfallplan, Zugänge, Datensicherung und Wiederanlauf.
Kontakt aufnehmen