In einer öffentlichen Einrichtung ist Sicherheit keine technische Funktion, die im Serverraum versteckt ist. Sie ist die Bedingung, die darüber entscheidet, ob ein Bürger einem digitalen Dienst vertraut, ob ein Beschäftigter ohne Sorge um die eigene Haftung handeln kann und ob ein Audit das nächste Projekt nicht aufhält. Sicherheit im öffentlichen Sektor ist das eigentliche Fundament des Vertrauens, keine Formalität, die am Ende einer Einführung angeschraubt wird.
Aus unserer Erfahrung liegt die Schwierigkeit nicht im Kauf eines Werkzeugs, sondern darin, Identitäten, Zugriffe, Protokolle, Einwilligungen und DSGVO-Pflichten zu einem stimmigen Ganzen zusammenzuziehen und es dann über Jahre zu pflegen. Auch wenn Ihre Einrichtung kein eigenes Sicherheitsteam hat, bringen wir diese Kompetenz mit. Wir unterfüttern sie mit Erfahrung aus dem Betrieb von Systemen und Infrastruktur für die öffentliche Verwaltung und aus der Arbeit an Sicherheitssystemen, in denen Zugriffskontrolle, Nachvollziehbarkeit und Vertraulichkeit der Daten Pflicht sind und kein Zusatz.
Warum ist Sicherheit in einer öffentlichen Einrichtung das Fundament des Vertrauens?
Eine Einrichtung verarbeitet Daten, die ein Bürger nicht anderswohin mitnehmen kann: eine nationale Kennnummer, Angaben zu Gesundheit oder Vermögen. Es gibt keine geschäftliche Beziehung, aus der man aussteigen könnte, deshalb liegt die Messlatte der Verantwortung höher als in einem gewöhnlichen Unternehmen. Wir behandeln Sicherheit daher als Eigenschaft des gesamten Systems: Es zählt, wer auf welcher Grundlage Zugriff erhalten hat, ob jede Operation eine Spur hinterlässt und ob sich ein Vorfall im Nachhinein rekonstruieren lässt. Ist das geordnet, kann eine Einrichtung belegen, dass sie ihre Daten beherrscht, und ein solches Vertrauen lässt sich nach einem einzigen Leck nur schwer wieder aufbauen.
Wie verwalten Sie Identitäten und Zugriffe (IAM) in einer Einrichtung?
Das Fundament ist Identitäts- und Zugriffsverwaltung (IAM), eine klare Antwort darauf, wer im System wer ist und was er darf. Wenn Beschäftigte wechseln, zwischen Fachbereichen rotieren und viele Systeme zugleich nutzen, gerät der Zugriff ohne diese Ordnung schnell außer Kontrolle.
Wir entwerfen die IAM-Schicht um einige Mechanismen, die das Risiko wirklich senken:
- Rollen und Berechtigungen nach Funktion (RBAC) statt von Hand an einzelne Personen vergeben,
- das Prinzip der geringsten Rechte, also genau so viel Zugriff, wie die Aufgabe verlangt, und nicht mehr,
- Mehr-Faktor-Authentifizierung (MFA) und Anmeldung über eine zentrale Identitätsquelle (SSO, Föderation), damit sich Passwörter nicht vermehren,
- automatischer Entzug von Zugriffen, wenn jemand die Rolle wechselt oder geht, verdrahtet mit dem HR-System.
Damit folgt der Zugriff der Rolle und nicht der Beschäftigungshistorie. Die geringsten Rechte sind der Kern: standardmäßig kein Zugriff, und jede Erweiterung ist eine bewusste Entscheidung mit Verantwortlichem und Ablaufdatum. Ein kompromittiertes Konto öffnet einem Angreifer dann nicht das ganze System, sondern nur den dieser Rolle zugewiesenen Ausschnitt.
Wie bauen Sie einen Audit-Trail und Aufbewahrungsrichtlinien auf?
Nachvollziehbarkeit beginnt mit einem Audit-Trail, einer unbestreitbaren Aufzeichnung darüber, wer wann was mit welchen Daten getan hat. Im öffentlichen Sektor ist das keine Bequemlichkeit, sondern Beweismittel im Fall einer Prüfung, einer Bürgerbeschwerde oder eines Gerichtsverfahrens. Deshalb bauen wir die Protokollierung so, dass sie Lesezugriffe und Änderungen sensibler Daten, Rechteänderungen und administrative Operationen abdeckt, wobei die Protokolle selbst gegen Manipulation geschützt sind.
Aufbewahrungsrichtlinien gehen damit Hand in Hand. Daten, die „sicherheitshalber” für immer aufbewahrt werden, sind zugleich ein Risiko und ein Verstoß gegen den Grundsatz der Speicherbegrenzung. Wir legen deshalb fest, wie lange jede Datenkategorie und jedes Protokoll lebt, wann es archiviert und wann es endgültig gelöscht wird, und wir automatisieren diese Zyklen, damit Compliance nicht davon abhängt, dass sich jemand an eine Aufräumaktion erinnert.
Wie verwalten Sie Einwilligungen und personenbezogene Daten nach DSGVO?
Die DSGVO in der öffentlichen Verwaltung hat ihren eigenen Charakter: Grundlage der Verarbeitung ist meist eine Rechtsvorschrift oder eine öffentliche Aufgabe und nicht eine Einwilligung. Wo eine Einwilligung nötig ist, muss sie aber bewusst erfasst, versioniert und widerrufbar sein, und das System muss zeigen, auf welcher Grundlage und zu welchem Zweck es einen bestimmten Datensatz verarbeitet. Wir konzentrieren uns hier auf die Mechanismen, die Rechte der Bürger und Pflichten des Verantwortlichen umsetzen:
- ein Verzeichnis von Verarbeitungstätigkeiten, gebunden an die realen Funktionen des Systems und nicht nebenher in einer Tabelle geführt,
- die Bearbeitung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Übertragbarkeit), sowohl prozedural als auch technisch verfügbar,
- Minimierung und Pseudonymisierung überall dort, wo vollständige Daten für die Aufgabe nicht nötig sind,
- die Verknüpfung von Einwilligungen mit Zwecken, damit ein Widerruf diese Verarbeitung tatsächlich beendet.
So wird DSGVO-Konformität zum Ergebnis der Funktionsweise des Systems und nicht zu einer nachträglich ergänzten Dokumentation.
Warum braucht eine Einrichtung regelmäßige Datenschutzprüfungen?
Sicherheit ist kein Zustand, den man erreicht und abhakt. Recht, Menschen, Integrationen und Bedrohungen verändern sich, eine Konstruktion, die vor einem Jahr dicht war, kann heute Lücken haben. Deshalb behandeln wir Datenschutzprüfungen als festen Rhythmus und nicht als Reaktion auf eine Kontrolle: Wir verifizieren regelmäßig die vergebenen Berechtigungen, analysieren Protokolle auf ungewöhnliche Muster, prüfen die Aktualität der Aufbewahrungsrichtlinien und testen die Prozeduren zur Reaktion auf Vorfälle. Eine solche Prüfung fängt ein Abdriften ab, bevor daraus ein Vorfall wird.
Wie gehen Sie an Compliance heran (nationale Rahmenwerke, NIS2)?
Öffentliche Einrichtungen bewegen sich in einem dichten Netz von Anforderungen. Nationale Interoperabilitätsrahmen setzen unter anderem Standards für Informationssicherheit und Systemverfügbarkeit, während die Richtlinie NIS2 die Messlatte bei Risikomanagement, Meldung von Vorfällen und Verantwortung der Leitung höher legt.
Wir behandeln das nicht als getrennte Checklisten. Das meiste davon läuft auf dieselben Grundlagen hinaus: Zugriffskontrolle, Nachvollziehbarkeit, Risikomanagement und die Fähigkeit, auf einen Vorfall zu reagieren. Sind die solide, besteht die Konformität mit dem nächsten Rechtsakt vor allem darin, zu dokumentieren, was ohnehin funktioniert, statt das System umzubauen. Wir beraten hier allgemein und unterstützen die technische Umsetzung, die juristische Auslegung überlassen wir den Juristen der Einrichtung.
Welche Sicherheitskompetenzen liefern wir an eine Einrichtung?
Das ist der Kern unseres Modells: auch ohne eine eigene Sicherheitsabteilung liefern wir die Menschen und Kompetenzen, die die Arbeit tun. Wir besetzen konkrete Rollen, abgestimmt auf die Projektphase und die Lücken auf Ihrer Seite:
- IAM- und Identity-Ingenieure, die Rollen, SSO, MFA und die Integration mit der HR-Quelle entwerfen,
- Sicherheitsarchitekten, die Authentifizierung, Verschlüsselung, Protokollierung und Aufbewahrung zu einem stimmigen Modell verbinden,
- Entwickler, die mit den Anforderungen des öffentlichen Sektors vertraut sind und Code mit Blick auf Prüfbarkeit und Datenschutz schreiben,
- Compliance-Unterstützung, die Anforderungen aus Rahmenwerken und NIS2 in konkrete Funktionen und Konfigurationen übersetzt.
Wir kalkulieren keine „Sicherheit im Allgemeinen”, sondern nur die Kompetenzen, die Sie tatsächlich brauchen.
Wie machen wir das bei RITS?
Wir machen das als Nearshore-Partner aus Polen, der die Realität der Verwaltung und die Forderung nach Nachvollziehbarkeit versteht:
- wir prüfen die Kompetenzen vor dem Start und formen das Team um die Einrichtung, nicht „auf Vorrat”,
- wir stützen uns auf Erfahrung aus dem Betrieb von Systemen und Infrastruktur für den öffentlichen Sektor und auf Projekte, in denen Sicherheit und Zugriffskontrolle der Kern der Lösung waren,
- wir fügen uns in die bestehenden Prozeduren und Werkzeuge der Einrichtung ein, statt ihr unsere Welt aufzuzwingen, und wir arbeiten in einer nahen Zeitzone, sodass Reviews und die Reaktion auf Vorfälle ohne Verzögerung laufen.
Am häufigsten liefern wir das als Individualsoftware, gebaut von unserem Team, und dort, wo eine konkrete Kompetenz schnell aufgestockt werden muss, als Team-Verstärkung.
Womit beginnen Sie bei Sicherheit und Compliance?
Beginnen Sie mit einer ehrlichen Antwort auf zwei Fragen: wer heute auf welcher Grundlage Zugriff auf die Daten hat und ob Sie rekonstruieren können, was mit ihnen geschehen ist. Lautet eine der Antworten „nicht ganz”, sitzt dort das größte Risiko, und dort beginnen wir: bei IAM und beim Audit-Trail, und erst danach schließen wir Aufbewahrung, Einwilligungen und Compliance ab. Die Unterschiede zwischen den Kooperationsmodellen haben wir in unserem Artikel zu IT-Kooperationsmodellen beschrieben.
Wollen Sie Sicherheit und Compliance in Ihrer Einrichtung ordnen? Sprechen wir darüber - wir stellen Kompetenzen und Vorgehen passend zu Ihren Systemen und Anforderungen zusammen.
Stärken Sie Sicherheit und Compliance Ihrer Einrichtung mit uns