Ein neuer Abenteuerspielplatz garantiert strahlende Kinderaugen, medienwirksame Bilder und sicheren Applaus im Gemeinderat. Investitionen in die kommunale IT-Sicherheit hingegen gewinnen im politischen Alltag selten Beliebtheitswettbewerbe. Ihr Nutzen offenbart sich erst dann, wenn absolut nichts passiert – wenn der digitale Ernstfall ausbleibt, kein Erpressungstrojaner die Rechner sperrt und die Verwaltung geräuschlos weiterarbeitet. Genau diese oftmals unbemerkte, aber essenzielle Präventionsarbeit stand am 16. und 17. Juni auf der PITS 2026 in Berlin im Fokus. Unter dem Motto „Unsichtbare Helden“ diskutierten Fachleute auf der Public IT Security über den verborgenen Schutz öffentlicher Infrastrukturen. Zu den Impulsgebern der Fachkonferenz zählte auch der IT-Security-Hersteller Enginsight. In seinem Vortrag rückte Michael Rainer, Business Manager Public der Enginsight GmbH, ein Thema in den Mittelpunkt, das weit über technische Parameter hinausgeht: die digitale Souveränität als stärkste Verteidigungslinie. Im folgenden Interview erklärt er, warum Vertrauen in der IT-Sicherheit keine verlässliche Währung ist, wie sich ein „Return on Security Invest“ für Kommunen berechnen lässt und wo Verwaltungen jetzt konkret ansetzen müssen.
Sie nennen digitale Souveränität die stärkste Verteidigungslinie für Bund und Länder. Warum?
Michael Rainer: Weil ich die Hoheit über meine Daten behalten und selbst entscheiden können muss, wer als Dritter Zugriff bekommt. Das ist keine reine Vertrauensfrage, sondern in erster Linie eine Sicherheitsfrage. Wem ich heute vertraue, der kann durch einen Angriff oder durch Gesetze morgen in einen Zwang geraten, und genau dann nützt mir das Vertrauen wenig. Entscheidend ist deshalb nicht der Hersteller als solcher, sondern der Rechtsraum, aus dem er stammt. Ob ein Rechenzentrum auf europäischem Boden steht oder nicht, ändert nichts daran, dass amerikanische Software amerikanischem Recht unterliegt. Dieses Märchen glauben heute zum Glück immer weniger Verantwortliche.
Ein Kämmerer entgegnet Ihnen, eine in Deutschland entwickelte Lösung sei schlicht zu teuer im Vergleich zum eingespielten US-Produkt. Was sagen Sie ihm?
Michael Rainer: Dann bringe ich den Return on Security Invest ins Spiel, also die Rechnung über den Schaden, der gar nicht erst eintritt. Am Beispiel Hochsauerlandkreis lässt sich das gut zeigen. Der Kreis konnte selbst nichts dafür und hat den Angriff nur als Dritter abbekommen, blieb am Ende aber wegen Haftungsfragen auf rund 2,7 Millionen Euro sitzen. Wir haben das bewusst ungünstig für uns gerechnet, also praktisch mit Umsetzungs- und Betriebskosten statt rein theoretisch. Heraus kam eine Amortisationszeit von 0,22 Jahren, also knapp drei Monaten. Dann sprechen die Zahlen für sich. Wo am Ende nicht nur Daten, sondern auch Gelder und Ressourcen hinfließen, gehört eben zur ehrlichen Rechnung dazu. Dabei geht es uns ausdrücklich nicht um Hersteller-Bashing.
[Anmerkung der Redaktion: Die Schadenssumme von 2,7 Mio. Euro und die Amortisationszeit von 0,22 Jahren stammen aus einer RoSI-Berechnung der Enginsight GmbH auf Basis öffentlich verfügbarer Informationen zum Vorfall im Hochsauerlandkreis.]
Was genau macht Enginsight an dieser Stelle?
Michael Rainer: Wir sind ein deutscher Hersteller aus Jena. Unsere Plattform ergänzt die vorhandene Grundausstattung — also Firewall und Virenschutz — um alles, was darüber hinaus nötig ist: von der Inventarisierung über das Schwachstellenmanagement bis zur Angriffserkennung, einschließlich eines vollständig integrierten SIEM, also einer zentralen Stelle, an der alle sicherheitsrelevanten Ereignisse zusammenlaufen und ausgewertet werden. So lassen sich Vorfälle bereits im Entstehen erkennen, rechtzeitig abwehren und der Betrieb aufrechterhalten, ohne dass man einen ganzen Zoo an Einzelwerkzeugen pflegen muss. Dabei lässt sich die Plattform flexibel an den tatsächlichen Bedarf anpassen — eine Kommune kann mit einzelnen Bausteinen starten und den Umfang schrittweise erweitern, je nachdem, wie die eigene IT aufgestellt ist und welche regulatorischen Anforderungen greifen. Wer im eigenen Haus nicht die Kapazität hat, rund um die Uhr auf Vorfälle zu reagieren, kann unseren Managed-Detection-and-Response-Dienst dazubuchen — ein deutschsprachiges Analystenteam, das direkt auf der Plattform arbeitet und im Ernstfall sofort eingreift. Die gesamte Entwicklung passiert in Jena, die Daten bleiben unter deutscher Rechtshoheit. Ein Allheilmittel ist das nicht, das wäre unseriös. Gerade mit Blick auf Normen und Regulatorik ist die Lösung aber breit genug aufgestellt, um die konkreten Anforderungen abzudecken.
Eine Verwaltung kann nicht über Nacht umstellen. Wo fängt man an?
Michael Rainer: Am Anfang steht die Frage nach dem Ist- und dem Soll-Zustand und vor allem nach dem tatsächlichen Bedarf. Dazu braucht es ein ehrliches, holistisches Lagebild, und genau das fehlt vielerorts bewusst. Etwas provokant gesagt sorgen wir dafür, dass ein ehrliches Bild auf den Tisch kommt — denn wer den Zustand seiner IT nicht kennt, muss auch nichts beheben. Ein guter Einstieg ist ein automatisierter Penetrationstest auf einige Server und Clients, mit einem verständlichen Report auf Deutsch und einer Management-Übersicht im Ampelprinzip. Steht dort eine rote Markierung mit einer Zahl daneben, muss man kein Techniker sein, um zu erkennen, dass gehandelt werden muss. Und sobald ich es weiß, bin ich auch in der Haftung.
Was raten Sie einem Bürgermeister, der den Sicherheitsstand seines Hauses gar nicht kennt?
Michael Rainer: Schon, dass er sich diese Frage überhaupt stellt, verdient Anerkennung, denn das ist längst nicht die Regel. Die Verwaltungsebene wurde nach langer Diskussion aus NIS2 herausgenommen — das hatte am Ende vor allem mit der Finanzierung zu tun. Vom Anforderungsprofil her bin ich allerdings überzeugt, dass man sie hätte drin lassen sollen und müssen. Bei Stadtwerken bewegen wir uns ohnehin im Bereich kritischer Infrastruktur, dort sollte man schon aus Eigeninteresse aktiv werden. Entscheidend ist dabei die Frage der Haftung: Viele Kommunen führen ihre Stadtwerke, IT-Zweckverbände oder Eigenbetriebe als GmbH — und dort greift die persönliche Geschäftsführerhaftung, nicht die Amtshaftung der Behörde. Das ist ein Unterschied, den man als Bürgermeister kennen muss. Mein Rat bleibt in jedem Fall derselbe: Verschaffen Sie sich zuerst ein Lagebild, steigen Sie über einen Test ein und holen Sie Datenschutz, IT und Kämmerei früh an einen Tisch, damit am Ende alle in dieselbe Richtung rudern. Wer bei der Plattformentscheidung darauf achtet, dass Anforderungen aus NIS2, BSI-Grundschutz, KRITIS und ISO 27001 sich überschneiden und gemeinsam abdecken lassen, spart nicht nur Aufwand, sondern schafft eine Grundlage, auf der sich perspektivisch auch eigene KI-Modelle in die Sicherheitsarchitektur integrieren lassen — und das ist für eine Kommune ein Innovationssignal, das weit über den obligatorischen Chatbot hinausgeht. (DEKOM, 22.06.2026) Mehr Infos zu Enginsight hier…
Enginsight Schulpromo: Schulen schützen — eine Frage der Verantwortung
Im Rahmen einer Sonderaktion der Enginsight GmbH zur Absicherung von Bildungsinfrastrukturen können kommunale Schulträger, die die Sicherheitsplattform des Unternehmens flächendeckend für ihre eigene Verwaltung lizenzieren, sämtliche angeschlossene Schulen ohne zusätzliche Lizenzkosten in das System integrieren. Die Bereitstellung der Software für die Lehrstätten erfolgt dabei kostenfrei und parallel zur Vertragslaufzeit der Hauptverwaltung.
Schulen gehören zu den am wenigsten geschützten Einrichtungen im öffentlichen Raum. Sie verarbeiten hochsensible Daten — von Schülern, Eltern, Lehrkräften — und arbeiten fast überall mit einer IT-Infrastruktur, die weder inventarisiert noch überwacht wird. Gleichzeitig tragen kommunale Schulträger die Verantwortung für genau diese Infrastruktur. Das ist kein Randthema, sondern eine der offensten Flanken, die wir im öffentlichen Sektor haben.
Deshalb sich das Unternehmen entschieden, hier einen konkreten Beitrag zu leisten: Kommunale Schulträger, die die Enginsight – Plattform für ihre Verwaltung lizenzieren, können sämtliche Schulen in ihrem Zuständigkeitsbereich ohne Mehrkosten mitschützen — für die gesamte Vertragslaufzeit. Das ist kein zeitlich begrenztes Marketingangebot, sondern eine bewusste Entscheidung, die sich aus der Haltung als deutscher Hersteller ergibt, betont Enginsight. Wer als Kommune auf eine souveräne, in Deutschland entwickelte Lösung setzt, trifft damit nicht nur eine Sicherheitsentscheidung, sondern auch eine nachhaltige. Daten bleiben unter deutscher Rechtshoheit, Wertschöpfung bleibt in der Region, und die Abhängigkeit von Drittstaaten-Infrastruktur sinkt. Das sind Argumente, die weit über IT-Sicherheit hinausreichen — sie berühren digitale Souveränität, den Schutz der Daten Minderjähriger, regionale Wirtschaftsförderung und die Frage, welche Werte wir in unserer öffentlichen Infrastruktur verankern wollen. Schulen zu schützen ist keine Kür, sondern eine gesellschaftliche Pflicht. Und wenn ein deutscher Hersteller dazu beitragen kann, dass dieser Schutz nicht an der Finanzierung scheitert, dann sollte er genau das tun. Mehr Infos zur Enginsight Schulpromo hier…