Erneuter Cyberangriff auf Bremer Behörden: CDU fragt nach DoS-Attacke vom 12. Februar 2025

Zum zweiten Mal in acht Wochen: Wann zieht der Senat endlich strukturelle Konsequenzen?

Am 12. Februar 2025 wurden Bremer Behörden zum zweiten Mal innerhalb weniger Wochen Opfer eines koordinierten Cyberangriffs. Diesmal handelte es sich um einen Denial-of-Service-Angriff auf die Website der Polizei Bremen — bis zu 18.000 Anfragen pro Minute führten zur Überlast. In der Folge waren die Internetseiten von Polizei, Senatskanzlei sowie Finanz-, Sozial- und Bildungsressort für mehrere Stunden nicht erreichbar. Eine russische Hackergruppe bekannte sich zur Tat. Nach dem Botnet-Angriff vom 17. Dezember 2024 ist das der zweite, aus Sicht der Angreifer erfolgreich verlaufene Angriff binnen kurzer Zeit. Die Schlussfolgerung ist unausweichlich: Die Lehren und Konsequenzen, die nach dem Dezember-Vorfall gezogen wurden, waren unzureichend.

Genau deshalb stellen sich die Fragen aus der vorhergehenden Kleinen Anfrage (Drs. 21/1008) jetzt erneut — und mit erhöhter Dringlichkeit. Diesmal geht es nicht nur darum, wie der Angriff ablief, sondern auch darum, warum bereits identifizierte Schwachstellen offenbar nicht geschlossen wurden, ob die zuständigen Stellen organisatorisch und personell überhaupt aufgestellt sind, und ob die Dimensionierung der bremischen IT-Infrastruktur für ihren Zweck noch ausreicht.

Die 37 Fragen sind in acht Themenblöcke gegliedert:

• Kenntnisstand und Ablauf: Wann erlangten Dataport, Kompetenzstelle CMS und Internet sowie Zentralstelle Cybersicherheit Kenntnis? Wie unterschied sich der Angriff vom 17. Dezember? Welcher Zusammenhang besteht zum „geplanten Betriebssystem-Update” am Abend desselben Tages?
• Schadensausmaß: Welche Auswirkungen hatte der Angriff auf Betriebsabläufe? Gab es im zeitlichen Zusammenhang weitere, komplexere Angriffe — und wurde das systematisch geprüft? Gab es Datenverlust oder -diebstahl?
• IT-Sicherheitsmaßnahmen: Welche präventiven Vorkehrungen waren in Kraft? Setzt der Senat spezialisierte Anti-DoS-Dienstleister ein — und falls ja, warum konnten sie überwunden werden? Falls nein, warum nicht? Warum konnten Angreifer ein zweites Mal erfolgreich sein? Worin lagen die Schwachstellen — und warum wurden die Lücken aus Dezember nicht geschlossen?
• Koordinierung und Krisenkommunikation: Welche Stellen waren zuständig? Wurde das BSI eingebunden? Wie genau waren die Zentralstelle Cybersicherheit mit ihrem Chief Cybersecurity Officer (CCSO) und die Kompetenzstelle CMS und Internet eingebunden? Worin unterschied sich das Krisenmanagement vom Dezember-Vorfall?
• Personal und Organisation: Wie ist die Zentralstelle Cybersicherheit organisatorisch, personell und materiell aufgestellt — und entspricht das dem Soll-Zustand? Dieselbe Frage zur Kompetenzstelle CMS und Internet. Falls nicht: Wo liegen die Lücken, und wann sollen sie geschlossen werden?
• Aufklärung und Ermittlung: Was ist über die russische Hackergruppe und ihre Motive bekannt? Welche Sicherheitsbehörden ermitteln, sind Strafverfahren eingeleitet — und ähneln die Spuren denen vom Dezember-Vorfall?
• Strategie und Ressourcen: Welche Lehren zieht der Senat? Welche Auswirkungen hat der erneute Angriff auf die Modernisierungspläne, auf die Sensibilisierung der Beschäftigten und auf den Personal- und Mittelbedarf der IT-Sicherheit? Welche Kosten sind entstanden, welche externen Dienstleister waren nötig?
• Dimensionierung und Zukunft: Ist die bremische IT-Infrastruktur — insbesondere die angegriffene Website — überhaupt ausreichend dimensioniert? 18.000 Anfragen pro Minute führen bei einer größeren, optimierten Website nicht zur Überlast. Wie soll die Dimensionierung bedarfsgerecht angepasst werden? Wie wirkt sich der Vorfall auf die Weiterentwicklung der Online-Angebote aus?

Zwei erfolgreiche Cyberangriffe innerhalb weniger Wochen sind kein Pech. Sie sind ein Strukturproblem. Bremen braucht eine Cyber-Sicherheitsarchitektur, die nicht erst nach dem zweiten oder dritten Angriff lernt — sondern die organisatorisch, personell und technisch so aufgestellt ist, dass sie der Realität der Bedrohungslage standhält. Dazu gehört eine ausreichend ausgestattete Zentralstelle Cybersicherheit, eine handlungsfähige Kompetenzstelle CMS und Internet, eine zeitgemäße technische Absicherung mit Anti-DoS-Vorkehrungen und Redundanzen — und ein Cyber-Sicherheitsbasisgesetz, das verbindliche Mindeststandards setzt. Das ist die Aufgabe des Senats, und sie ist überfällig.