Das Digitalministerium Hessen ist seit Januar 2024 ein eigenständiges Ressort. Die Cybersicherheit liegt trotzdem beim Innenministerium, und der IT-Dienstleister des Landes gehört zum Finanzministerium. Drei Häuser für eine Aufgabe, bei der seit Jahren alle von Konsolidierung und Standardisierung reden.

Anlass für diesen Text ist ein Bericht aus dem Nachbarland. Der Niedersächsische Landesrechnungshof hat in einer Beratenden Äußerung festgestellt, dass die Landes-IT dort trotz Fortschritten zu uneinheitlich ist und zu langsam vorankommt, wie der Behörden Spiegel am 30. September berichtet. Die Diagnose passt auf Hessen erstaunlich gut, nur dass hier noch niemand sie so deutlich gestellt hat.

Ich arbeite als IT-Administrator in einer hessischen Gemeinde und frage mich seit einer Weile, wofür das Wiesbadener Digitalministerium eigentlich die Verantwortung trägt. Also habe ich nachgesehen.

Was der Landesrechnungshof Niedersachsen zur Verwaltungsdigitalisierung sagt

Die Prüfer beschreiben ein bekanntes Bild. Niedersachsens Behörden arbeiten mit vielen unterschiedlichen IT-Systemen, die häufig nebeneinander statt miteinander laufen; Daten werden mehrfach erfasst und gepflegt, was Fehler und höhere Kosten verursacht. Vizepräsidentin Andrea Schröder-Ehlers fasst es so zusammen: „Jedes Ressort braucht gute digitale Lösungen“, aber eben nicht jedes eine eigene IT-Landschaft.

Interessant ist, was der Rechnungshof daraus folgert. Niedersachsen hat vor gut einem Jahr IT und Digitalisierung im Innenministerium gebündelt und eine Digital-Staatssekretärin berufen. Das reicht den Prüfern nicht. Die verantwortliche Stelle brauche klare Durchsetzungsrechte gegenüber den Ministerien und den nachgeordneten Behörden, dazu strikte Umsetzungsfristen und ein Umsetzungscontrolling.

Neu ist das alles nicht. Schon 2023 verlangte der Rechnungshof, die Steuerungs- und Entscheidungsstruktur für IT und Verwaltungsdigitalisierung zentral und ressortübergreifend zu bündeln. Drei Jahre später steht derselbe Satz wieder im Bericht, nur mit dem Wort „Durchsetzungsrechte“ ergänzt. Das ist die eigentliche Lehre: Eine zuständige Stelle zu benennen ist leicht. Ihr zu erlauben, einem anderen Ressort etwas vorzuschreiben, ist die Hürde.

Wer in Hessen wofür zuständig ist

In Hessen verteilt sich die Landes-IT auf drei Ministerien. Der Reihe nach.

Das Hessische Ministerium für Digitalisierung und Innovation (HMD) stellt die CIO des Landes. Louisa Solonar-Unterasinger leitet dort die Abteilung Verwaltungsdigitalisierung, landesweite IT-Projekte und IT-Planungsrat und wurde für die Dauer der Legislatur zur CIO ernannt. Dazu kommen OZG-Umsetzung, Breitband- und Mobilfunkausbau, KI-Themen und Förderprogramme für Kommunen.

Der Chief Information Security Officer sitzt woanders. Ralf Stettner leitet die Abteilung VI „Informations- und Cybersicherheit“ im Innenministerium und ist CISO der Landesverwaltung. Auch das Hessen CyberCompetenceCenter gehört dorthin: Das Hessen3C wurde 2019 im Innenministerium gegründet und bündelt Informationen von Polizei, Verfassungsschutz, CERT-Verbund und Nationalem Cyber-Abwehrzentrum. Seit einem Erlass vom 25.10.2023 ist es zugleich das Zentrum für Informationssicherheit nach dem Hessischen IT-Sicherheitsgesetz.

Und dann die Hessische Zentrale für Datenverarbeitung (HZD), die den Betrieb macht: Rechenzentren, Arbeitsplätze, Netze, Beschaffung. Sie untersteht der Dienst- und Fachaufsicht des Finanzministeriums.

Eine Personalie zeigt, wie künstlich die Trennlinie ist. Stettner war von Ende 2018 bis Anfang 2024 CISO und leitete im Innenministerium die Abteilung „Cyber- und IT-Sicherheit und Verwaltungsdigitalisierung“, war dann bis Ende 2024 CIO im Digitalministerium und ging anschließend als CISO zurück. Bis 2024 lagen Sicherheit und Verwaltungsdigitalisierung also in einer Abteilung. Mit der Gründung des eigenständigen Ministeriums wurden sie auseinandergezogen.

Die HZD bleibt im Finanzministerium

Der Plan war ein anderer. Mit dem Zuständigkeitsbeschluss der Landesregierung vom 5. März 2024 bekam das HMD die Dienst- und allgemeine Fachaufsicht über die HZD eingeräumt, die Steuer-IT ausgenommen. Ministerin Kristina Sinemus erklärte damals im Gespräch mit dem Hessischen Industrie- und Handelskammertag, mit der zusammengeführten OZG-Steuerung und der Aufsicht über die HZD lägen die zentralen Aufgaben der Verwaltungsdigitalisierung in der Hand ihres Ministeriums.

Daraus wurde nichts. Die Belegschaft warnte in einer Petition mit über 600 Unterschriften vor ineffizienten Doppelstrukturen durch eine Aufspaltung. Am 25. September 2025 wurde im Landtagsausschuss für Digitales, Innovation und Datenschutz bekanntgegeben, dass die HZD vorerst im Finanzministerium bleibt. So steht es in einer Pressemitteilung der FDP-Fraktion, also einer Oppositionsquelle. Deren digitalpolitischer Sprecher Oliver Stirböck sieht das Digitalministerium nun ohne nachgeordneten Bereich dastehen und die Regierung „vor dem digitalpolitischen Nichts“.

Den Ton muss man nicht übernehmen. Der Befund stimmt trotzdem: Ein Ministerium, das Standards setzen soll, hat keinen Zugriff auf den Betrieb, in dem diese Standards umgesetzt werden.

Was für getrennte Zuständigkeiten spricht

Fairerweise: Die Aufteilung ist nicht bloß Zufall oder Besitzstandswahrung.

Dass der CISO nicht der CIO untersteht, ist gewollt und fachlich richtig. Wer Sicherheit kontrolliert, soll nicht demselben Chef berichten wie die, die er kontrolliert. Das verlangt der BSI-Grundschutz auch von jeder Kommune, wenn sie einen Informationssicherheitsbeauftragten bestellt. Hinzu kommt die Nähe zu Polizei und Verfassungsschutz, die das Hessen3C für sein Lagebild braucht und die ein Digitalministerium nicht bieten kann.

Bei der HZD ist das Argument ein anderes. Ein großer Teil ihrer Arbeit ist Steuer-IT, und die gehört wegen Steuergeheimnis und Länderverbund zum Finanzressort. Die Beschäftigten wollten keinen zerschnittenen Betrieb, und damit hatten sie recht. Ein in zwei Hälften geteilter Dienstleister wäre schlechter gewesen als der Status quo.

Nur folgt daraus nicht, dass alles bleiben muss, wie es ist. Die Unabhängigkeit des CISO lässt sich auch innerhalb eines Hauses sichern, etwa durch ein direktes Vortragsrecht bei der Hausleitung. Und wenn die HZD als Einheit erhalten bleiben soll, hätte man sie auch als Einheit dem Digitalministerium zuordnen und dem Finanzministerium die Fachaufsicht über die Steuerverfahren lassen können. Diese Variante wurde fast zwei Jahre geprüft und dann verworfen.

Zentrale IT-Steuerung braucht Durchsetzungsrechte

Zurück zur Ausgangsfrage: Ist das Digitalministerium Hessen nur ein Aushängeschild für OZG und Förderbescheide?

Ganz so einfach ist es nicht. CIO-Funktion, IT-Planungsrat und OZG-Steuerung sind echte Aufgaben. Der Breitbandausbau auch. Aber gemessen an dem, was der niedersächsische Rechnungshof für nötig hält, fehlen dem Haus die beiden Dinge, auf die es ankommt: der operative Unterbau und das Recht, anderen Ressorts verbindliche Vorgaben zu machen. Ob die CIO gegenüber dem Kultus- oder Justizressort mehr durchsetzen kann als gute Argumente, konnte ich aus öffentlichen Quellen nicht klären. Ich vermute: nein.

Niedersachsen zeigt dabei, dass die Zahl der Ministerien gar nicht der Kern ist. Dort liegt alles in einem Haus, und es hakt trotzdem. Ein eigenes Digitalministerium kann sinnvoll sein, wenn es Budget, Betrieb und Weisungsbefugnis in IT-Fragen hat. Ohne das ist es eine Koordinierungsstelle mit Ministerrang. Hessen hat sich für das Ministerium entschieden und ihm danach die Werkzeuge nicht gegeben.

Was die Aufteilung für Kommunen bedeutet

In der Gemeinde kommt diese Struktur als Zuständigkeitsfrage an. Für Sicherheitsvorfälle und Präventionsangebote wende ich mich an das Innenministerium. Dessen „Aktionsprogramm Kommunale Cybersicherheit“ unterstützt die 442 hessischen Kommunen mit modularen Formaten. Für Fördermittel zur Digitalisierung ist das Digitalministerium die Adresse. Über das Programm „Starke Heimat Hessen“ standen von 2020 bis 2024 jährlich rund 16 Millionen Euro für die Digitalisierung der kommunalen Daseinsvorsorge bereit.

Wie diese Förderung in der Praxis funktioniert, zeigt ein Beispiel. Gefördert wird, was den Bürgern zugutekommt und innovativ ist. Abholboxen für Ausweisdokumente erfüllen das erste Kriterium ohne Diskussion: Wer seinen Personalausweis abends nach der Arbeit aus einem Fach vor dem Rathaus holen kann, muss sich dafür keinen halben Tag freinehmen. Vier Kommunen haben solche Boxen gefördert bekommen. Die fünfte bekommt sie nicht mehr, weil die Idee dann nicht mehr innovativ genug ist.

Man muss sich das kurz vor Augen führen. Dieselbe Box, derselbe Nutzen, andere Bürger, und das Land sagt nein, weil vier andere Gemeinden schneller waren. Überspitzt gesagt müsste man die Box lila anstreichen und Blinklichter anschrauben, damit sie wieder als Innovation durchgeht. So kommt Förderpolitik bei uns an: als Willkür.

Fairerweise: Ein Innovationsprogramm soll Piloten finanzieren und nicht die Fläche. Das ist als Förderlogik vertretbar. Aber dann fehlt der zweite Schritt. Wenn vier Pilotkommunen gezeigt haben, dass etwas funktioniert, müsste daraus ein Standard werden, mit Rahmenvertrag, Sicherheitsvorgaben und einer Regelfinanzierung für die übrigen Kommunen. Diesen Weg vom Piloten zum Standard gibt es nicht. Es bleibt bei vier Leuchttürmen, und die anderen Kommunen zahlen selbst oder lassen es.

Hier schließt sich der Kreis zur Ausgangsfrage. Ein Ministerium mit operativem Unterbau und Durchsetzungsrechten könnte aus einem erfolgreichen Piloten eine Landeslösung machen. Ein Ministerium, das vor allem Bescheide überreicht, kann den nächsten Piloten fördern.

Fazit

Hessen hat ein Digitalministerium mit CIO, aber ohne Rechenzentrum und ohne Zuständigkeit für Sicherheit. Das Innenministerium hat die Sicherheit, das Finanzministerium den Betrieb. Wer es mit Konsolidierung ernst meint, muss entweder die Zuständigkeiten zusammenlegen oder der CIO verbindliche Durchsetzungsrechte gegenüber allen Ressorts geben. Der Rechnungshof in Hildesheim hat das für Niedersachsen aufgeschrieben. Für Hessen steht es noch aus. Solange das so bleibt, werden in Hessen Abholboxen nach Neuigkeitswert gefördert und nicht nach Nutzen.

Der Hessische Rechnungshof könnte das prüfen, und der Digitalausschuss des Landtags könnte danach fragen. Wenn Sie in einer hessischen Kommune arbeiten: Schreiben Sie Ihrem Landtagsabgeordneten und fragen Sie, wer in Wiesbaden einem Ressort eine IT-Vorgabe machen darf, die es nicht will. Die Antwort würde mich interessieren.

Quellen:

• Behörden Spiegel, „Jedes Ressort braucht gute digitale Lösungen“ (30.09.2026);
• Niedersächsischer Landesrechnungshof, Pressemitteilung „IT in Niedersachsen: Denn sie tun nicht, was sie wissen…“ (2023);
• Hessisches Ministerium für Digitalisierung und Innovation, „CIO und CISO der Landesregierung neu besetzt“ (04.04.2025);
• Hessische Staatskanzlei, 2. Bericht zum Stand der Verwaltungsmodernisierung (1. Halbjahr 2025);
• Hessisches Innenministerium, Themenseite Cyber- und IT-Sicherheit;
• hessen.de, „Cybersicherheit in Hessen: Gefährdungslage 2024 weiterhin hoch“;
• HIHK, Interview mit Kristina Sinemus (2024);
• FDP-Fraktion Hessen, Pressemitteilung Stirböck (25.09.2025);
• move-online/Kommune21, „CIO und CISO neu besetzt“ (07.04.2025);
• Wikipedia, „Hessische Zentrale für Datenverarbeitung“ (Petition, aktuelle Aufsicht)

Diese Woche ist Resilienzwoche in Hessen. Innenminister Poseck nennt Resilienz einen unverzichtbaren Baustein der Sicherheitsarchitektur, und die Lage erfordere „von uns allen konsequente Vorbereitung“ auf Krisenereignisse.

Von uns allen.

Drei Wochen zuvor hatte Innenstaatssekretär Rößler beim Cybersicherheitsgipfel den Ton gesetzt: „Cybersicherheit ist ein unverzichtbarer Teil staatlicher Daseinsvorsorge geworden.“

Zwei Mal „unverzichtbar„, ein Mal „Daseinsvorsorge„, einmal „von uns allen„. Man könnte den Eindruck gewinnen, hier werde etwas ernst genommen.

Sehen wir nach.

Die Zahl

Hessen hat 421 Gemeinden. Von diesen 421 unterliegt exakt keine einzige einer gesetzlichen Mindestanforderung an die Informationssicherheit ihrer Verwaltung. Nicht eine.

Das ist kein Versäumnis und keine Regelungslücke, die man noch schließen wollte. Es ist eine Entscheidung, sie ist dokumentiert, und dokumentiert hat sie das Innenministerium selbst. Auf innen.hessen.de, Rubrik Cyber- und IT-Sicherheit, Unterseite „Hessische Kommunen“, steht der Vorgang in erfrischender Klarheit:

Der europäische Gesetzgeber hatte es den Mitgliedstaaten freigestellt, die Kommunalverwaltung in den Anwendungsbereich der NIS-2-Richtlinie einzubeziehen. Die Länder haben sich unisono dagegen ausgesprochen. Der IT-Planungsrat hat sie mit Beschluss 2023/39 ausdrücklich gebeten, von der Option keinen Gebrauch zu machen. Hessen ist dieser Bitte gefolgt.

„Unisono“ ist übrigens die Formulierung des Ministeriums, nicht meine. Man ist ein bisschen stolz darauf.

Rechnen wir das in Menschen um. In Hessen leben rund 6,4 Millionen Einwohnerinnen und Einwohner, und sie alle wohnen in einer dieser 421 Gemeinden. Das Verhältnis lautet also:

6,4 Millionen zu null.

Hundert Prozent der hessischen Bevölkerung leben in einer Kommune, deren Verwaltung keiner verbindlichen Anforderung an ihre IT-Sicherheit unterliegt. Nicht „einer niedrigeren als anderswo“. Keiner.

Was dort liegt: die Melderegister sämtlicher hessischer Einwohner. Die Standesämter. Die Sozial- und Jugendhilfeakten, also die sensibelsten personenbezogenen Daten, die ein Staat überhaupt führt. Bauakten, Gewerberegister, Kita- und Schulverwaltung. Die Durchführung von Wahlen. Dazu sämtliche Fachverfahren und die Schnittstellen, über die sie an Landes- und Bundesregister hängen — künftig noch erheblich mehr davon, wenn NOOTS als „zentrale Datenautobahn der föderalen Verwaltung“ ans Netz geht.

Ein Handwerksbetrieb mit 50 Beschäftigten in einem geregelten Sektor braucht ein Informationssicherheitsmanagementsystem, Meldewege und eine haftende Geschäftsleitung. Das Rathaus, das die Daten sämtlicher Mitarbeiter dieses Betriebs führt, braucht nichts davon.

„Aber die Stadtwerke sind doch erfasst“

Kommt der Einwand. Er stimmt sogar. Nur hilft er nicht.

Erfasst werden kommunale Einrichtungen über zwei Wege. Erstens als Betreiber kritischer Anlagen — das ist die alte KRITIS-Logik nach Versorgungsgrad, bei Trinkwasser rund 500.000 versorgte Personen. Zweitens über den Size-Cap: Sektor plus Größe, ab etwa 50 Beschäftigten oder 10 Millionen Euro Umsatz.

Wer daraufhin an Frankfurt, Wiesbaden und Kassel denkt, denkt schon falsch. Wiesbaden hat rund 283.000 Einwohner, Kassel rund 205.000. Beide liegen mit ihrer Wasserversorgung deutlich unter der KRITIS-Schwelle. Erfasst sind sie über den zweiten Weg — und erfasst ist dann die ESWE beziehungsweise die Städtische Werke. Nicht die Stadt. Nicht das Rathaus. Nicht das Melderegister.

Und jetzt die typische hessische Gemeinde, also der Normalfall. Sie betreibt ihre Wasserversorgung, wenn sie sie selbst betreibt, als Regie- oder Eigenbetrieb mit fünf bis acht Personen. Fällt sie unter den Size-Cap?

Nein. § 28 Abs. 3 Satz 1 Nr. 2 BSIG ordnet die Anwendung der KMU-Empfehlung — und damit die Zurechnung von Personal- und Umsatzzahlen — ausdrücklich nur für Einrichtungen an, die keine rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft sind. Ein Eigenbetrieb ist genau das. Die Beschäftigten der Verwaltung dürfen also nicht mitgezählt werden.

Was auch schwer ginge, denn die Verwaltung ist ja gar nicht erfasst.

Sechs Leute bleiben sechs Leute. Die Schwelle liegt bei fünfzig. Ergebnis: nichts.

Bundesweit haben 93 Prozent aller Gemeinden weniger als 20.000 Einwohner, rund 72 Prozent weniger als 5.000. Hessens Gemeinden sind nach der Gebietsreform der Siebziger größer als der Bundesschnitt — aus über 2.700 wurden 421, die durchschnittliche hessische Gemeinde hat rund 14.000 Einwohner gegenüber gut 7.500 im Bund. Am Prinzip ändert das nichts: In der ganz überwiegenden Zahl der Fälle ist weder die Verwaltung noch der eigene Versorgungsbetrieb reguliert.

Die Größenlogik läuft dabei exakt verkehrt herum. Reguliert wird, wer viel Personal hat. Nicht reguliert wird, wer wenig hat. Also stellt der Gesetzgeber ausgerechnet dort keine Mindestanforderung, wo am wenigsten Fachpersonal, Budget und Vertretungsfähigkeit vorhanden ist — und wo ein Ausfall die Verwaltung nicht verlangsamt, sondern anhält.

Die Frage, die daraus folgt

Wer in Frankfurt wohnt, bekommt sein Trinkwasser von einem regulierten Betreiber. Wer in einer Gemeinde mit 3.000 Einwohnern wohnt, nicht. Gleiches Wasser, gleiche Abhängigkeit, andere Rechtslage.

Also die Frage, direkt: Sind die Einwohnerinnen und Einwohner von Frankfurt, Wiesbaden und Darmstadt bei der Wasserversorgung schützenswerter als alle anderen?

Die Antwort der Landesregierung ist absehbar und lautet sinngemäß: Es gehe nicht um den Wert von Menschen, sondern um die Zahl der Betroffenen je Ereignis. Konzentriertes Risiko, konzentrierte Pflichten. Das ist die Standardlogik von Infrastrukturregulierung, und sie ist nicht von vornherein falsch.

Nur trägt sie hier an drei Stellen nicht.

Erstens ist eine Kante keine Risikoabstufung. Risikobasiert wäre, unterhalb der Schwelle geringere Anforderungen zu stellen. Gewählt wurde stattdessen ein Sprung von allem auf nichts. Wer knapp unter fünfzig Beschäftigten liegt, schuldet nicht weniger — er schuldet gar nichts. Kein Mindeststandard, kein Meldeweg, kein Notfallkonzept. Für ein Risikomodell ist das eine bemerkenswert grobe Kurve.

Zweitens hat das Land nur die halbe Rechnung aufgemacht. Risiko ist Eintrittswahrscheinlichkeit mal Schadenshöhe. Betrachtet wurde ausschließlich die Schadenshöhe. Die Wahrscheinlichkeit fällt aber in die andere Richtung: Ein Betrieb mit sechs Beschäftigten, ohne Informationssicherheitsbeauftragten, ohne Monitoring, ohne Rufbereitschaft und ohne Vertretungsregelung ist leichter zu treffen als ein Verbundversorger mit eigener Sicherheitsabteilung. Wer nur die Folgen gewichtet und die Anfälligkeit ignoriert, hat kein Risikomodell, sondern eine Einwohnerzahl.

Drittens fällt der Ausfall für Betroffene nicht anteilig aus. Wenn in einer Gemeinde mit 3.000 Einwohnern die Wasserversorgung steht, steht sie für diese 3.000 zu hundert Prozent. Grundversorgung ist ein individueller Anspruch, kein statistischer. Und in der Summe reden wir nicht über Randfälle: Bundesweit haben rund 93 Prozent aller Gemeinden weniger als 20.000 Einwohner. Die Menschen, die von nicht regulierten Betreibern versorgt werden, sind keine Minderheit.

Und jetzt der Teil, an dem die Konzentrationslogik vollständig zusammenbricht.

Bei der Verwaltung gibt es überhaupt keine Schwelle. Frankfurts Melderegister mit rund 775.000 Datensätzen unterliegt exakt derselben Regulierung wie das einer 3.000-Einwohner-Gemeinde, nämlich keiner. Hier kann sich das Land nicht einmal auf ein Risikomodell berufen, weil keines angewandt wurde. Die größte Datensammlung im Land ist genauso ungeregelt wie die kleinste.

Damit ergibt sich ein Muster. Wo eine Größenlogik angelegt wurde, führte sie zur Freistellung der Kleinen. Wo keine angelegt wurde, führte das zur Freistellung aller. In beide Richtungen lautet das Ergebnis: weniger Pflicht. Das ist kein Zufall und keine Risikoabwägung. Das ist eine Haushaltsentscheidung, die sich als Regulierungskonzept verkleidet.

Warum eigentlich?

Es gab Argumente, und der Ordnung halber seien sie genannt: Doppelregulierung vermeiden, Zuständigkeiten sauber trennen, den Ländern Zeit geben, eigene, auf die jeweilige Verwaltungsstruktur zugeschnittene Regelungen zu schaffen.

Das war allerdings die halbe Empfehlung. Der zweite Teil lautete, die Länder mögen dann eben eigene Regelungen im Landesrecht schaffen. Dieser Teil wird seit November 2023 mit bemerkenswerter Ausdauer überhört. Der Beschluss ist knapp drei Jahre alt. Das Bundesgesetz ist seit dem 6. Dezember 2025 in Kraft. Ein hessisches Landesrecht zur kommunalen Informationssicherheit: existiert nicht.

Der ehrlichere Grund ist in den Fachdebatten offen benannt worden und heißt Konnexität. Hätte man die Kommunen verpflichtet, hätte das Land zahlen müssen. Wer bestellt, bezahlt. Wer nicht bestellt, spart.

Man hat also nicht entschieden, dass kommunale IT-Sicherheit unwichtig sei. Man hat entschieden, dass sie nicht in den Landeshaushalt passt. Das ist etwas völlig anderes. Es macht sich nur in einer Pressemitteilung zur Resilienzwoche schlechter.

Wie viele sind es denn nun?

Gute Frage. Niemand weiß es.

Das BSI-Register ist nicht öffentlich. Die Einstufung erfolgt als Selbsteinschätzung, ohne behördlichen Bescheid — jede Einrichtung muss selbst prüfen, ob sie betroffen ist. Und das Land ist für die kommunale Ebene nicht zuständig, weil es sich die Zuständigkeit ja gerade erspart hat.

Es gibt also keine Stelle in Hessen, die beziffern kann, wie viele kommunale Einrichtungen einer gesetzlichen Mindestanforderung unterliegen und wie viele davon sie erfüllen. Die Registrierungsfrist beim BSI ist im März 2026 abgelaufen; Schätzungen aus der Beraterbranche gehen davon aus, dass ein erheblicher Teil der Pflichtigen sie versäumt hat. Ob das für Hessen zutrifft, kann man nicht sagen, weil niemand nachsieht.

Beim Trinkwasser wird es noch unübersichtlicher. Hessenwasser versorgt nach eigenen Angaben rund 2,4 Millionen Menschen im Rhein-Main-Gebiet; Frankfurt, Wiesbaden, Darmstadt und über fünfzig weitere Kommunen beziehen direkt oder mittelbar. Mit 2,4 Millionen liegt das Unternehmen weit über jeder Schwelle und ist zweifelsfrei erfasst.

Nur verantwortet Hessenwasser die Beschaffung — Gewinnung, Aufbereitung, Transport, Speicherung. Die Belieferung der Endkunden und die örtlichen Verteilnetze bleiben bei den Gesellschaftern und den lokalen Versorgern. Wer in einer kleinen Gemeinde wohnt, bezieht sein Wasser also unter Umständen aus einer regulierten Beschaffung über ein unreguliertes Verteilnetz. „Versorgt von einem KRITIS-Betreiber“ ist eben nicht dasselbe wie „geschützte Versorgungskette“.

Welcher Anteil der 6,4 Millionen Hessinnen und Hessen an einer durchgehend regulierten Trinkwasserversorgung hängt, kann deshalb niemand beziffern. Auch das ist keine Wissenslücke, sondern eine Folge der Zuständigkeitsverteilung.

Daraus werden zwei hübsche Landtagsanfragen. Erstens: Wie viele kommunale Einrichtungen in Hessen fallen nach Kenntnis der Landesregierung unter das BSIG, und wie viele haben sich fristgerecht registriert? Zweitens: Wie viele Einwohnerinnen und Einwohner Hessens werden von Wasserversorgungsunternehmen versorgt, die dem BSIG unterliegen — und wie viele nicht?

Die wahrscheinliche Antwort auf beide — es liegen keine Erkenntnisse vor — ist die eigentliche Nachricht.

Und wofür genau leisten wir uns zwei Ministerien?

Hessen hat ein Digitalministerium. Nicht jedes Land hat das. Man ist stolz darauf, und es liefert: ein KI-Anwendungszentrum in Frankfurt, ein Drohnenkompetenzzentrum in Calden mit acht Millionen Euro Förderung, eine Datentreuhandstelle in Gießen, Spatenstiche bei Rechenzentren, ein Förderprogramm für digitale Basistechnologien in den Rathäusern, den Verwaltungsschub und, als Krönung, den ersten Platz unter den Flächenländern im Digitalranking.

Cyber- und IT-Sicherheit sitzt derweil im Innenministerium. Dort fand der Cybersicherheitsgipfel statt, dort steht die NIS-2-Seite, dort wurde entschieden, die Kommunen nicht einzubeziehen, und dort läuft die Resilienzwoche.

Zwei Häuser, viel Digitalpolitik, ein gemeinsames Ergebnis: null verbindliche Mindestanforderung an die IT-Sicherheit von 421 Kommunalverwaltungen.

Hessen leistet sich damit mehr Ressorts für Digitalisierung als verbindliche Standards für kommunale Informationssicherheit. Eins zu null.

Was besser wäre

Landesrechtliche Mindeststandards, mit Konnexitätsausgleich. Pflicht und Finanzierung im selben Gesetz. Alles andere ist entweder eine unbezahlte Zumutung oder gar nichts — und bisher ist es gar nichts.

Verbindliche Meldewege. Ohne Meldepflicht kein Lagebild, ohne Lagebild ist jede Aussage zur kommunalen Sicherheitslage geraten. Auch die beruhigenden.

Informationssicherheitsbeauftragte im interkommunalen Verbund, vom Land kofinanziert. Eine Person für zwanzig Gemeinden ist dünn. Sie ist trotzdem zwanzig Mal mehr als der Status quo.

Ein Landes-SOC mit kommunalem Mandat und ein einsatzfähiges Incident-Response-Team. Wenn ein Rathaus verschlüsselt wird, entscheidet sich in den ersten 48 Stunden, ob die Verwaltung in einer Woche oder in einem halben Jahr wieder arbeitet. Diese Kapazität hält man vor oder man hat sie nicht.

Und, am wenigsten charmant: eine Zahl. Wie viele hessische Kommunen betreiben heute ein funktionierendes ISMS? Das Land weiß es nicht, muss es nicht wissen und hat sich das Fragen selbst erspart.

Zurück zur Resilienzwoche

Die Kampagne wirbt bei der Bevölkerung für Vorsorge und Selbstschutz. Wasservorrat, Kurbelradio, Notfallkontakte, ein Plan für 72 Stunden. Das ist richtig und viel zu wenig verbreitet, und ich meine das ohne Häme.

Nur hilft der beste Wasservorrat nicht, wenn nach einem Ransomware-Angriff das Bürgerbüro schließt, keine Personalausweise ausgegeben, keine Wohngeldzahlungen angewiesen und keine Sozialleistungen bewilligt werden. Genau das ist deutschen Kommunen in den vergangenen Jahren wiederholt passiert, teils über Monate.

Resilienz der Bevölkerung ersetzt keine handlungsfähige Verwaltung. Sie setzt sie voraus.

„Konsequente Vorbereitung von uns allen.“ Von uns allen — mit Ausnahme der 421 Stellen, bei denen im Krisenfall die Bürgerinnen und Bürger anrufen.

Null von 421. Nachzulesen auf der Website desselben Ministeriums, das zur Resilienz aufruft. Zwei Klicks von der Pressemitteilung entfernt.

Quellen:

• Pressemitteilung des Hessischen Innenministeriums zur Resilienzwoche, 03.09.2026 — https://hessen.de/node/23127
• Pressemitteilung zum Cybersicherheitsgipfel, 13.08.2026 — https://hessen.de/node/22984
• Hessisches Ministerium des Innern: NIS-2 in Hessen, „Hessische Kommunen“ — https://innen.hessen.de/sicherheit/cyber-und-it-sicherheit/nis-2-in-hessen/hessische-kommunen
• Beschluss 2023/39 des IT-Planungsrats vom 03.11.2023
• Gesetz zur Umsetzung der NIS-2-Richtlinie, in Kraft seit 06.12.2025 — https://www.recht.bund.de/bgbl/1/2025/301/VO.html
• BSI, FAQ zu NIS-2 (zur Betroffenheit kommunaler Eigen- und Regiebetriebe) — https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-FAQ/NIS-2-FAQ-allgemein/FAQ-zu-NIS-2_node.html
• § 28 Abs. 3 S. 1 Nr. 2 BSIG zur Schwellenwertberechnung bei rechtlich unselbstständigen Organisationseinheiten
• Hessisches Ministerium des Innern: Gemeinden und Landkreise (421 Gemeinden) — https://innen.hessen.de/Kommunales/Kommunen/Gemeinden-und-Landkreise
• Statistisches Bundesamt, Gemeinden nach Einwohnergrößenklassen
• Hessenwasser GmbH & Co. KG, Angaben zur versorgten Bevölkerung im Rhein-Main-Gebiet — https://www.hessenwasser.de/

Die Sicherheit im Internet steht vor einem radikalen Wandel. Wenn Sie eine Website oder eine Unternehmensinfrastruktur betreiben, ist das Thema SSL für Sie kein Unbekannter. Doch was im Jahr 2026 auf Administratoren und IT-Leiter zukommt, markiert das Ende der „Set-and-Forget“-Ära. Let’s Encrypt, der weltweit führende Anbieter kostenloser Zertifikate, hat einschneidende Änderungen angekündigt, die weit über kosmetische Korrekturen hinausgehen.

Ab 2026 wird die maximale Gültigkeitsdauer von Zertifikaten drastisch reduziert, und bewährte Funktionen wie die TLS-Client-Authentifizierung werden eingestellt. In diesem Artikel analysieren wir, warum diese Schritte notwendig sind, welche technischen Hürden auf Sie warten und wie Sie Ihre Systeme rechtzeitig auf die neuen Standards vorbereiten.

1. Von 90 auf 45 Tage: Die neue Zertifikatslaufzeit

Die wohl folgenreichste Nachricht für alle Webmaster: Let’s Encrypt plant, die standardmäßige Gültigkeit seiner Zertifikate von derzeit 90 Tagen auf lediglich 45 Tage zu halbieren.

Warum wird die Laufzeit verkürzt?

Die Reduzierung der Zertifikatslaufzeit ist kein Alleingang von Let’s Encrypt. Es ist eine Reaktion auf die allgemeine Bewegung in der CA/Browser-Community (wie Google und Apple), die Sicherheit durch Agilität erhöhen will. Kürzere Laufzeiten minimieren das Zeitfenster, in dem ein kompromittierter privater Schlüssel missbraucht werden kann. Zudem wird die Sperrung von Zertifikaten (Revocation) durch den schnellen natürlichen Ablauf nahezu obsolet.

Die Auswirkungen auf Ihre IT-Infrastruktur

Wer bisher seine SSL-Zertifikate noch manuell erneuert, wird spätestens 2026 scheitern. Ein Intervall von 45 Tagen (mit einer empfohlenen Erneuerung nach 30 Tagen) lässt keinen Spielraum für menschliche Fehler oder Urlaubszeiten. Die Automatisierung via ACME-Protokoll wird damit zur absoluten Pflicht für jede HTTPS-Verschlüsselung.

2. Das Ende der TLS-Client-Authentifizierung

Eine weitere wichtige Ankündigung betrifft die TLS-Client-Authentifizierung. Let’s Encrypt hat offiziell bekannt gegeben, dass die Unterstützung für diesen spezifischen Anwendungsfall eingestellt wird.

Was bedeutet das konkret?

Bisher konnten Zertifikate von Let’s Encrypt in begrenztem Maße auch dazu genutzt werden, nicht nur den Server gegenüber dem Client (Webseite), sondern auch den Client gegenüber dem Server zu identifizieren. Da Let’s Encrypt jedoch auf die Absicherung von Web-Infrastrukturen spezialisiert ist und die Validierungsmethoden für Clients komplexer und fehleranfälliger sind, zieht sich der Anbieter aus diesem Bereich zurück.

Wichtig für Sie: Wenn Sie Let’s Encrypt Zertifikate für die Identifizierung von Benutzern oder Geräten in geschlossenen Systemen nutzen, müssen Sie bis 2026 auf alternative Lösungen wie eine eigene Private PKI (Public Key Infrastructure) oder spezialisierte Identitätsdienste umsteigen.

3. Die Vision: Automatisierung als Standard

Wie bereits in unserem vorherigen Artikel zur Verkürzung der SSL-Gültigkeit erläutert, ist der Trend zur Kurzlebigkeit unumkehrbar. Let’s Encrypt verfolgt hierbei das Ziel einer „Agile PKI“.

Vorteile der erzwungenen Automatisierung

• Fehlerreduktion: Einmal korrekt konfiguriert, laufen Erneuerungsprozesse geräuschlos im Hintergrund.
• Schnellere Reaktion auf Krypto-Agilität: Wenn ein Algorithmus (wie RSA) durch Quantencomputing oder neue Schwachstellen unsicher wird, können neue Standards innerhalb von Wochen global ausgerollt werden.
• Sicherheitsniveau: Ein gestohlenes Zertifikat verliert nach maximal 45 Tagen seinen Wert.

4. Technische Vorbereitung auf das Jahr 2026

Um den Übergang zu meistern, sollten Sie Ihre TLS-Zertifikate und deren Management-Tools einer Prüfung unterziehen. Hier ist eine Checkliste für Ihre IT-Abteilung:

Überprüfung der ACME-Clients

Stellen Sie sicher, dass Ihre verwendeten Clients (wie Certbot, acme.sh oder integrierte Lösungen in Firewalls wie OPNsense/pfSense) auf dem neuesten Stand sind. Viele ältere Implementationen gehen fest von 90 Tagen aus – diese Logik muss flexibel anpassbar sein.

Monitoring und Alerting

Auch die beste Automatisierung kann fehlen. Implementieren Sie ein externes Monitoring, das Sie warnt, wenn ein Zertifikat weniger als 10 Tage Restlaufzeit hat. Bei einem 45-Tage-Rhythmus ist die Reaktionszeit kürzer als früher.

Abschied von manuellen Prozessen

Besitzen Sie noch Legacy-Systeme, die keine automatische Erneuerung unterstützen? 2026 ist das Jahr, in dem diese Systeme entweder ersetzt oder hinter einen Reverse-Proxy (wie Nginx oder Traefik) gestellt werden müssen, der das SSL-Handling übernimmt.

5. Warum Google und andere Browser Druck ausüben

Die Änderungen bei Let’s Encrypt stehen im Einklang mit Googles „Moving Forward Together“-Initiative. Google hat bereits vorgeschlagen, die maximale Gültigkeitsdauer für alle öffentlich vertrauten SSL-Zertifikate im Chrome-Browser auf 90 Tage zu begrenzen.

Indem Let’s Encrypt nun proaktiv auf 45 Tage geht, positionieren sie sich als Vorreiter. Es ist davon auszugehen, dass andere Zertifizierungsstellen (CAs) diesem Beispiel folgen müssen, um weiterhin in den Root-Stores der Browser gelistet zu bleiben. Für Sie als Nutzer bedeutet das: Die gesamte Branche bewegt sich weg von statischen Zertifikaten hin zu dynamischen Sicherheits-Tokens.

Fazit: Agilität ist der neue Sicherheitsstandard

Die angekündigten Änderungen von Let’s Encrypt für 2026 sind eine klare Botschaft an die IT-Welt: Wer seine Sicherheitsprozesse nicht automatisiert, wird abgehängt. Die Verkürzung der Zertifikatslaufzeit auf 45 Tage und der Wegfall spezieller Authentifizierungsmethoden zwingen Unternehmen dazu, ihre Infrastruktur moderner und resilienter zu gestalten.

Quelle: ag.kritis.info

Der Referentenentwurf vom 26.05.2025 ist ein Gesetzentwurf zur Umsetzung der NIS-2-Richtlinie der EU und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung. Ziel ist es, die Cybersicherheit in Deutschland angesichts zunehmender digitaler Vernetzung und Bedrohungen zu stärken.

Kerninhalte der letzten Version:

• Erweiterung des Anwendungsbereichs: Der Entwurf weitet die bestehenden Cybersicherheitsanforderungen auf eine größere Anzahl von Sektoren und Einrichtungen aus, die als „wesentlich“ oder „besonders wichtig“ eingestuft werden. Dies umfasst sowohl klassische Kritische Infrastrukturen (KRITIS) als auch weitere Bereiche wie die Wasserwirtschaft, Abfallwirtschaft, digitale Infrastruktur, Gesundheitswesen, usw.
• 
• Risikomanagementpflichten: Betroffene Einrichtungen müssen angemessene und verhältnismäßige technische und organisatorische Maßnahmen zur Beherrschung der Risiken für die Sicherheit ihrer Netz- und Informationssysteme ergreifen. Dazu gehören u.a. Konzepte für die Risikoanalyse und Sicherheit von Informationssystemen, Vorfallbewältigung, Business Continuity und Notfallmanagement, Sicherheit der Lieferkette, Basishygiene der Cybersicherheit, Einsatz von Kryptografie und Verschlüsselung, Personalsicherheit und Zugangskontrolle.
• Meldepflichten: Es werden gestaffelte Meldepflichten für erhebliche Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) eingeführt:
  • Frühwarnung: Innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls, wenn dieser die Erbringung einer Dienstleistung erheblich beeinträchtigen oder andere erhebliche Auswirkungen haben könnte.
  • Meldung des erheblichen Vorfalls: Innerhalb von 72 Stunden nach Kenntnis, inklusive erster Bewertung, Art und Schwere des Vorfalls und möglicher Auswirkungen.
  • Abschlussbericht: Spätestens einen Monat nach der Vorfallsmeldung.
• Aufsicht und Durchsetzung: Das BSI erhält erweiterte Aufsichts- und Durchsetzungsbefugnisse, inklusive der Möglichkeit zur Durchführung von Überprüfungen, Anordnung von Maßnahmen und Verhängung von Bußgeldern bei Verstößen.
• Zusammenarbeit und Informationsaustausch: Der Entwurf fördert die Zusammenarbeit und den Informationsaustausch zwischen den betroffenen Einrichtungen, dem BSI und anderen relevanten Behörden.
• Anpassung bestehender Gesetze: Zahlreiche bestehende Gesetze, insbesondere das BSI-Gesetz und das IT-Sicherheitsgesetz, werden angepasst oder durch das neue NIS2UmsuCG ersetzt, um die Anforderungen der NIS-2-Richtlinie zu integrieren.

Auswirkungen für die Kommunale Ebene mit Wasserversorgung und Abwasserentsorgung

Für die Kommunale Ebene, insbesondere für die Bereiche Wasserversorgung und Abwasserentsorgung, die traditionell oft in kommunaler Hand oder eng mit Kommunen verbunden sind, sind die Auswirkungen des NIS2UmsuCG erheblich:

1. Erweiterter Anwendungsbereich:
   • Wasserversorgung und Abwasserentsorgung sind explizit als wichtige Sektoren in der NIS-2-Richtlinie aufgeführt (Anhang I und II). Dies bedeutet, dass kommunale oder kommunal getragene Betriebe der Wasserver- und Abwasserentsorgung unter den Anwendungsbereich des Gesetzes fallen werden, sofern sie bestimmte Größenkriterien (Mitarbeiterzahl oder Jahresumsatz/Bilanzsumme) überschreiten oder als besonders wichtig eingestuft werden.
   • Es ist zu beachten, dass „Unternehmen, für die das Sammeln, die Entsorgung oder die Behandlung solchen Abwassers ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit ist,“ ausgenommen sein könnten, wie im älteren Entwurf angesprochen. Dies muss jedoch im endgültigen Gesetzestext präzisiert werden.
   • 
2. Erhöhte Cybersicherheitsanforderungen:
   • Kommunale Wasser- und Abwasserversorger müssen umfassende Risikomanagementmaßnahmen implementieren. Das bedeutet, dass sie ihre IT- und OT-Systeme (Operational Technology, z.B. für die Steuerung von Pumpen, Kläranlagen) auf Schwachstellen analysieren, Sicherheitskonzepte entwickeln, Notfallpläne erstellen und ihre Lieferketten sichern müssen.
   • Dies erfordert Investitionen in technische Lösungen (z.B. Firewalls, Intrusion Detection Systeme, Verschlüsselung) und in die Schulung des Personals.
3. Strengere Meldepflichten:
   • Bei erheblichen IT-Sicherheitsvorfällen (z.B. Ausfall der Steuerung einer Wasseraufbereitungsanlage durch Cyberangriff) müssen die Betriebe schnell agieren und das BSI innerhalb von 24 Stunden informieren, gefolgt von einer detaillierten Meldung nach 72 Stunden und einem Abschlussbericht. Dies erfordert die Einrichtung geeigneter Prozesse und die Verfügbarkeit von Fachpersonal (oder externen Dienstleistern), um Vorfälle schnell zu erkennen, zu bewerten und zu melden.
4. Aufsicht und potenzielle Sanktionen:
   • Das BSI wird die Einhaltung der Vorschriften überwachen. Bei Nichteinhaltung können Bußgelder verhängt werden. Dies erhöht den Druck auf die kommunalen Betriebe, die Anforderungen konsequent umzusetzen.
5. Verpflichtung zur Zusammenarbeit und zum Informationsaustausch:
   • Kommunale Wasser- und Abwasserversorger müssen sich aktiv an der Zusammenarbeit mit dem BSI und gegebenenfalls anderen relevanten Behörden beteiligen. Auch der Informationsaustausch innerhalb der Branche zur Verbesserung der kollektiven Cybersicherheit wird gefördert.
6. Finanzielle und personelle Belastung:
   • Die Umsetzung der NIS-2-Anforderungen wird für viele kommunale Betriebe, insbesondere kleinere, eine erhebliche finanzielle und personelle Herausforderung darstellen. Es sind Investitionen in Hard- und Software, externe Beratung, Mitarbeiterschulungen und die Einrichtung neuer Prozesse notwendig.
   • Die Kommunen müssen prüfen, ob ihre Eigenbetriebe oder die kommunalen Unternehmen die erforderlichen Ressourcen und das Know-how intern aufbauen können oder ob sie auf externe Dienstleister zurückgreifen müssen.

Zusammenfassend lässt sich sagen, dass der NIS2UmsuCG-Entwurf die Cybersicherheit in der Wasserversorgung und Abwasserentsorgung deutlich stärken soll. Dies führt zu erhöhten Anforderungen und Pflichten für die kommunale Ebene, aber auch zu einer besseren Absicherung der kritischen Daseinsvorsorge gegen Cyberbedrohungen.