Die IT-Sicherheitslage in deutschen Kommunen hat sich im laufenden Jahr weiter zugespitzt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) zählt in seinem jüngsten Lagebericht 119 neu entdeckte Schwachstellen pro Tag — ein Anstieg von 24 Prozent gegenüber dem Vorjahr. Die öffentliche Verwaltung gehört laut BSI zu den drei Hauptzielgruppen professioneller Angreifergruppen, neben kleinen und mittleren Unternehmen und IT-Dienstleistern. Der Branchenverband Bitkom beziffert den jährlichen Schaden durch Cyberangriffe auf die deutsche Wirtschaft auf 202 Milliarden Euro. Auf europäischer Ebene bestätigt die IT-Sicherheitsagentur ENISA das Bild: 54 Prozent aller registrierten Cyberangriffe richten sich gegen öffentliche Verwaltung, Transport, digitale Infrastruktur, Finanzwesen und verarbeitende Industrie.
Kommunale Entscheider sehen sich einem Faktor gegenüber, der die Qualität der Angriffe grundlegend verändert. Mehr als 80 Prozent der weltweit registrierten Phishing-Kampagnen setzen nach ENISA-Daten inzwischen auf KI-generierte Inhalte. Wo früher schlecht formulierte E-Mails mit fragwürdigen Absenderadressen auffielen, treffen heute sprachlich einwandfreie, kontextuell präzise Nachrichten ein — personalisiert auf den Empfänger, gespeist aus öffentlich verfügbaren Informationen über Verwaltungsstrukturen, Zuständigkeiten und laufende Vergabeverfahren. Voice-Cloning-Angriffe, bei denen die Stimme eines Vorgesetzten täuschend echt nachgeahmt wird, sind 2026 dokumentierte Realität im Mittelstand.
Parallel zum wachsenden Bedrohungsdruck steigen die regulatorischen Anforderungen. Das NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Rund 29.500 Unternehmen in Deutschland müssen seitdem neue Pflichten in der Informationssicherheit erfüllen — darunter Stadtwerke, kommunale Eigenbetriebe und Krankenhäuser in öffentlicher Trägerschaft. Geschäftsführer haften nach §38 BSIG persönlich für Verstöße. Die Frist für die Registrierung beim BSI-Portal lief im März 2026 ab. Auch wenn die Kommunalverwaltung selbst vom NIS-2-Geltungsbereich formal ausgenommen bleibt, betrifft die Regulierung zahlreiche Einrichtungen im unmittelbaren kommunalen Einflussbereich. Und wer als GmbH-Geschäftsführer eines Stadtwerks oder Eigenbetriebs die Registrierung versäumt hat, steht vor einem Compliance-Problem, das sich nicht durch Abwarten löst.
Für Kommunen und ihre Beteiligungsunternehmen stellt sich damit eine Frage, die über die Wahl einzelner Produkte hinausgeht. Welche IT-Sicherheitsarchitektur lässt sich mit den vorhandenen Ressourcen tatsächlich betreiben, ohne die Hoheit über die eigenen Daten an außereuropäische Cloud-Infrastrukturen abzugeben?
Der Jenaer Cybersecurity-Softwarehersteller Enginsight verfolgt dabei einen Ansatz, der genau an dieser Souveränitätsfrage ansetzt. Die Plattform verbindet Inventarisierung, Schwachstellenmanagement, Angriffserkennung, automatisierten Penetrationstest und SIEM in einer modularen Lösung, die vollständig im eigenen Rechenzentrum oder bei einem deutschen Hoster betrieben werden kann. Sämtliche Daten bleiben in deutscher Hand. Die regulatorische Parallelbelegung — NIS2, BSI-Grundschutz, KRITIS, ISO 27001 — lässt sich über die Plattform in einem zusammenhängenden Anforderungsprofil abbilden. IT-Verantwortliche in kommunalen Betrieben müssen die einzelnen Normenwerke nicht manuell gegeneinander abgleichen, weil die Überschneidungen systemseitig aufgelöst werden.
Einen besonderen Akzent setzt das Unternehmen beim Thema KI-gestützte Abwehr. Gemeinsam mit dem Erfurter IT-Dienstleister Asoftnet betreibt Enginsight nach eigenen Angaben das erste KI-Abwehrzentrum Europas. Die Enginsight-Plattform liefert die technologische Grundlage, die KI-Algorithmen lernen kontinuierlich über den Geltungsraum der angeschlossenen Organisationen hinweg. Das Modell arbeitet LLM-agnostisch und kann im eigenen Rechenzentrum betrieben werden. Kommunen und KRITIS-Betreiber behalten damit auch die KI-gestützte Bedrohungsanalyse unter eigener Kontrolle, ohne Datenabfluss an externe Cloud-Dienste. Dass ein solches Zentrum aus Thüringen kommt, wirft ein Schlaglicht auf die Frage, ob deutsche IT-Sicherheitskompetenz nicht stärker regional verankert werden müsste — als Teil einer technologischen Wertschöpfung, die über den klassischen Standortwettbewerb hinausgeht.
Wer sich ein eigenes Bild davon machen will, wie KI-gestützte Sicherheitsarchitektur in der Praxis funktioniert, hat dazu Ende Oktober Gelegenheit. Die it-sa Expo&Congress in Nürnberg, Europas größte Fachmesse für IT-Sicherheit, öffnet vom 27. bis 29. Oktober 2026 ihre Türen. Im vergangenen Jahr kamen 28.267 Fachbesucher aus 64 Ländern, rund 1.000 Unternehmen stellten in fünf Hallen aus. KI-Sicherheit, NIS2, KRITIS und digitale Souveränität gehören zu den Kernthemen des Programms.
Enginsight zeigt die Plattform an zwei Ständen in Halle 7A (Stand 7A-112 und 7A-120) mit zwölf Demo-Stationen und fünf Partnerunternehmen vor Ort.
Kommunale IT-Verantwortliche, die vor der Entscheidung stehen, wie sie ihre Sicherheitsarchitektur unter NIS2-Bedingungen aufstellen und dabei die Kontrolle über ihre Daten behalten wollen, finden auf der Messe einen der wenigen Orte, an denen sich Anbieterversprechen unmittelbar mit der eigenen Bedarfslage abgleichen lassen — persönlich, am laufenden System. (DEKOM, 19.10.2026) Mehr Infos hier…
