Der Kern des Problems ist laut dem Beitrag ein Missverhältnis zwischen Datenbestand und Personal. Kommunale Verwaltungen halten dieselben sensiblen Daten wie Bundesbehörden – Sozialversicherungsnummern, medizinische Unterlagen, strafrechtliche Akten, Lohndaten –, meist jedoch mit einem Bruchteil der Beschäftigten, die sie schützen könnten. Mehr als 80 Prozent der Organisationen auf Landes- und Kommunalebene betreiben ihre Sicherheit mit weniger als fünf dafür abgestellten Personen. Solche Stellen seien nicht nachlässig, sondern personell unterlegen.

Aus seiner Projektpraxis leitet der Autor mehrere Ansätze ab. Der erste: nicht mit dem Werkzeug beginnen, sondern mit der Angriffsfläche. Jedes Projekt starte mit unspektakulären Fragen – was wird betrieben, welche Daten liegen vor, wo besteht tatsächlich Exposition –, bevor überhaupt ein Produkt zur Sprache komme. Ein Landkreis, in dem ein einziger Administrator 14 Fachbereiche betreut, brauche einen anderen Plan als ein Schulbezirk. Die Stunde, in der dieser Unterschied erkannt werde, entscheide darüber, ob das Ergebnis ein Jahr später noch in Betrieb ist.

Zweitens müsse man Behörden dort abholen, wo ihr Budget wirklich liegt. Klassische Unternehmenssicherheit sei für Organisationen mit siebenstelligen Budgets bepreist und gebündelt. Ein Landkreis mit 200.000 Dollar für die gesamte IT könne so nicht einkaufen – wohl aber eine zugeschnittene Risikobewertung, die Einführung von Mehr-Faktor-Authentifizierung oder einen Rahmenvertrag für die Reaktion auf Sicherheitsvorfälle. Die Arbeit in Stücke zu zerlegen, die eine Behörde pro Haushaltszyklus finanzieren kann, sei häufig der Unterschied zwischen Unterstützung und gar nichts. Das sei langsamer – und Langsamkeit sei genau das, was Vergabeverfahren, Personalwechsel und die nächste Wahl übersteht.

Drittens gehöre das Thema Regelkonformität an den Anfang. Wohnungsbehörden unterliegen HUD-Vorgaben, Landkreise verwalten CJIS-regulierte Unterlagen, Schulbezirke halten Schülerdaten. Wer CJIS und SOC 2 bereits im ersten Gespräch anspreche statt erst nach der Vertragsunterschrift, ermögliche der Leitung einer kleinen Behörde ein Ja, ohne dass sie sich wie bei einem Glücksspiel fühlt.

Viertens: Nach Vertragsende nicht verschwinden. Die Behörden, die Jahre später noch stabil dastehen, seien fast immer jene, bei denen jemand präsent blieb – nachfragte, neue Beschäftigte nachschulte, bei veränderter Bedrohungslage anpasste. Wenn die gesamte IT-Abteilung aus einer überlasteten Person besteht, zähle diese Beziehung mehr als jedes Produkt auf der Rechnung.

Der letzte Punkt kostet nichts: Wer viele Behörden betreut, sehe dieselben Tätergruppen von einem Landkreis zum nächsten nach demselben Muster vorgehen. Anonymisierte Erkenntnisse aufzuschreiben und in die regionalen Verbände der Verwaltungs-IT zu tragen, mache das an einem Ort Gelernte zum Schutz für die nächste Behörde. Mehr Fachleute sollten das tun.

Nichts davon warte auf den Kongress oder ein neues Förderprogramm, schließt der Autor. Es sei die Entscheidung, ein kleineres Budget als echten Kunden zu behandeln und die Arbeit passend dazu zu bauen.