Zum Stand der IT-Sicherheit in Berlin

Zwei Sichtweisen.

Den Landesbevollmächtigte für Informationssicherheit des Landes Berlin, Dr. Olaf Kroll-Peters, hatte ich ja im Blog schon erwähnt. Deshalb schickt mir ein Leser den Link auf dieses Interview. Und weil ich mir ja inzwischen sehr schwer damit tue, Satire und Realität auseinanderzuhalten, versichert mir der Leser nachdrücklich, es sei keine Satire:

Zitat (ab 0:33:05 bis 0:33:23):

Und wir haben dann gesagt, okay, wir sind die öffentliche Verwaltung – also ich habe diese Entscheidung nicht getroffen, aber die wurde getroffen – wir sind öffentliche Verwaltung, wir werden schon nicht angegriffen werden und wir haben nur die Absichungsmaßnahmen noch eingeschaltet, die den Geschäftsbetrieb nicht lahmgelegt haben.

Aber so im Großen und Ganzen: Wir machen das gut, wir kümmern uns drum.

Und dann gibt es diese Sichtweise:

Ein IT-Experte macht dem Land Berlin nach dem Hackerangriff und dem Abfluss großer Datenmengen schwere Vorwürfe:https://t.co/3MgclEUnYD

— NIUS (@niusde_) September 5, 2026

Der IT-Experte Manuel Atug macht dem Land Berlin nach dem Hackerangriff und dem Abfluss großer Datenmengen schwere Vorwürfe: „Das Land Berlin hat grob fahrlässig gehandelt und vorsätzlich die Geheimschutzvorgaben nicht eingehalten“, sagte er. „Ich bin darüber wirklich schockiert und sprachlos.“ Für die Speicherung und Verarbeitung geheimer Verschlusssachen gebe es sehr strenge und genaue Vorschriften sowie mehrere Sicherheitsstufen. Offenbar seien diese nicht ausreichend angewandt worden.

Atug ist Gründer und Sprecher der AG Kritis, einer unabhängigen Arbeitsgruppe, die sich mit kritischen Infrastrukturen beschäftigt. Er arbeitet als Sicherheitsberater für kritische Infrastruktur und sagte, er sei 2023 und 2025 als Sachverständiger in den Berliner Innenausschuss geladen worden. Damals habe er die Zuständigen auf eklatante Sicherheitslücken hingewiesen: „Ihr betreibt desolate Cybersicherheit. Ihr müsst euch dringend um eure Sicherheitsprozesse kümmern.“ Er habe gewarnt, dass eine Vernachlässigung der Sicherheit schwere Konsequenzen haben werde. „Genau das ist jetzt eingetreten.“

Und genau das habe ich ja bei der Außenprüfung durch das Finanzamt beobachtet. Die dachten sogar selbst, sie hätten tolle Sicherheit und haben mir sogar versprochen, dass sie mir das Sicherheitskonzept nachweisen, weil sie ja alle Daten elektronisch haben wollten. Und dann kam von ihnen lange Zeit gar nichts, auch keine Reaktion auf meine Rügen (wie dass die E-Mail an die Betriebsprüfer unverschlüsselt über die allgemeinen Mailserver für die ganze Berliner Verwaltung läuft und ein Auto-Reply von der Poststelle kommt), und irgendwann die Aufforderung, ich solle alles auf Papier ausdrucken und per Einschreiben schicken oder persönlich abgeben.

Irgendwo in der Presse habe ich die Behauptung gefunden, dass es da schon seit mindestens 10 Jahren kein Sicherheitskonzept mehr gibt.

Dafür verteidigte sich das Finanzamt dagegen, dass ich den Betriebsprüfer zum angegebenen Termin nicht persönlich angetroffen habe, damit, dass der halt Betriebsprüfer sei und deshalb nicht im Finanzamt sitze, sondern ständig unterwegs in den geprüften Betrieben sei. Aha. Und meine Steuerprüfung nimmt der also vor, wenn er in anderen Unternehmen sitzt? Mit dem Notebook so unterwegs?

Alles so wunderbar.