Antrag der CDU-Ratsfraktion: Digitale Sicherheit im Konzern Stadt Osnabrück
Stadt: osnabrueck
Drucksache: VO/2015/5388-01
Datum: 2015-10-05
Vorlagenart: Mitteilungsvorlage

Seite: 1/4
Stadt Osnabrück 29.09.2015 
Der Oberbürgermeister
Fachbereich Personal und Organisation
Mitteilungsvorlage Vorlage-Nr:
Öffentlichkeitsstatus:
VO/2015/5388-01
öffentlich
Antrag der CDU-Ratsfraktion: Digitale Sicherheit im Konzern Stadt 
Osnabrück
Beratungsfolge:
Gremium Datum Sitzungs-
art
Zuständigkeit TOP- 
Nr.
 Organisations-, Personal- und 
Gleichstellungsausschuss 15.10.2015 Ö Kenntnisnahme
Der Inhalt der Vorlage unterstützt folgende/s strategische/n Stadtziel/e:
 nicht zutreffend
Der Rat hat in seiner Sitzung vom 21.04.2015 folgenden Beschluss gefasst: 
„Die Verwaltung wird beauftragt den derzeitigen Stand des „digitalen Schutzes“ im 
Organisations-, Personal- und Gleichstellungsausschuss darzustellen und nach Beschluss 
des IT-Sicherheitsgesetzes im Deutschen Bundestag aufzuzeigen, welche Maßnahmen 
getroffen werden müssen und wie eine stetige Überprüfung der Sicherheitsmaßnahmen 
stattfinden wird.
In den entsprechenden Aufsichtsräten der städtischen Gesellschaften und gegebenenfalls 
deren Beteiligungen etc. sind die Mitglieder ebenso zu informieren“.
Vor diesem Hintergrund wird der aktuelle Sachstand dargestellt: 
 
Die Verwaltung hat ein großes Interesse, dass Vertraulichkeit, Verfügbarkeit und Integrität 
aller Informationen in der Verwaltung sichergestellt sind. Unsere Bürgerinnen und Bürger 
sind an ganz unterschiedlichen Stellen auf Leistungen ihrer öffentlichen Verwaltung 
angewiesen und haben den berechtigten Anspruch, dass ihre Daten sicher verarbeitet 
werden. Unsere Anstrengungen liegen dahin, innerhalb der Verwaltung ein einheitliches 
Sicherheitsniveau bei der Informationsverarbeitung zu gewährleisten.
Die Informationstechnologie wird auch zukünftig eine hohe Bedeutung für die öffentliche 
Verwaltung haben und eine entscheidende Säule der IT darstellen.
Ausgangslage – Antrag vom Rat
Der Ratsantrag gliedert sich in folgende Punkte:
[1] Darstellung vom derzeitigen Stand des “digitalen Schutzes“ im Organisations-, 
Personal- und Gleichstellungsausschuss
[2] Aufzeigen, welche Maßnahmen getroffen werden müssen
[3] Darstellen wie eine stetige Überprüfung der Sicherheitsmaßnahmen stattfinden kann
IT-Sicherheitsgesetz – Schutz der digitalen Infrastruktur
Das IT-Sicherheitsgesetz ist ein Baustein aus der Digitalen Agenda der Bundesregierung. 
Der Schutz der Bürgerinnen und Bürger sowie die Sicherheit von Unternehmen im Internet 
wird durch das neue IT-Sicherheitsgesetz verbessert, welches am 25.07.2015 in Kraft 
                                                           Seite: 2/4
getreten ist. Ziel ist, die digitalen Infrastrukturen Deutschlands zu den sichersten weltweit zu 
machen. Das neue Gesetzt umfasst primär folgende Punkte:
 Betreiber kritischer Infrastrukturen (Einrichtungen, die für das Gemeinwesen 
besonders wichtig sind) müssen Sicherheitsstandards (Details sollen von den 
betroffenen Firmen zusammen mit Verbänden und dem BSI festgelegt werden) 
einhalten.
 Erhebliche Sicherheitsvorfälle müssen an das Bundesamt für Sicherheit in der 
Informationstechnik (BSI) gemeldet werden.
 Kompetenzen des BSI und der Bundesnetzagentur sowie die 
Ermittlungszuständigkeiten des Bundeskriminalamtes im Bereich der 
Computerdelikte werden ausgebaut und verstärkt.
 Die vom IT-Sicherheitsgesetz betroffenen Einrichtungen werden durch eine 
Rechtsverordnung des Innenministeriums festgelegt. Ggf. wird es für Kommunen 
(Verwaltungsbereich) eine Ausnahmeregelung geben (Entscheidung voraussichtlich 
im Oktober 2015).
Aktueller Stand der digitalen Sicherheit innerhalb der Stadtverwaltung [1]
Bauliche Sicherheit
- Zwei zentrale und redundante Serverstandorte
- Serverraum in der Turmstr. beinhaltet folgende Sicherheitsvorkehrungen:
o Löschanlage und Brandfrüherkennungssystem
o Redundante Klimaanlage
o Zweiwegeführung innerhalb der Stromversorgung
o Unterbrechungsfreie Stromversorgung – USV
o Externe Stromversorgung möglich (z. B. durch ein externe Stromaggregat)
o Zutrittssicherung 
Technische Sicherheit
- Einsatz aktueller Client-Betriebssysteme
- Einsatz aktueller Server-Betriebssysteme 
- Einsatz gehärteter Servertemplates
- Antivirenschutz (alle vier Stunden Aktualisierung der Antivirendefinitionen)
- Systeme sind auf zwei Rechenzentren redundant ausgelegt 
- Hochverfügbares Firewallcluster
- Intrusion Prevention/ Intrusion Detection Schutz (IPS/ IDS)
- Einsatz von verschlüsselten VPN Tunnelverbindungen
- Einsatz von gesicherten und verschlüsselten Wireless LAN Umgebungen
- Festplattenverschlüsselung (in Planung, Umsetzung Anfang 2016)
- USB Schutz (in Planung, Konzept erstellt, Umsetzung Ende 2015)
- Network Access Controll (in Planung, Umsetzung Mitte 2016)
Organisatorische Sicherheit
- Sensibilisierung der Mitarbeiter durch Schulungen im Bereich IT-Sicherheit
- Geplante Stellen im Bereich IT-Sicherheit
o 0,5 MA für den Bereich der technischen Sicherheit
o 0,5 MA für den Bereich der organisatorischen Sicherheit
- Zutrittssicherung im Serverraum für fest definiertes Personal
                                                           Seite: 3/4
Aufzeigen, welche Maßnahmen getroffen werden müssen [2]
Das IT-Sicherheitsgesetz beantwortet noch nicht die Frage, welche Unternehmen konkret als 
kritischen Infrastrukturen im Sinne des Gesetzes gelten. Das Gesetz definiert kritische 
Infrastrukturen lediglich abstrakt. Für jede relevante Branche aus den Bereichen Energie, 
Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, 
Ernährung sowie Finanz- und Versicherungswesen, sollen eigene Rechtsverordnungen zur
Klärung dieser Fragestellung erstellt werden.
Derzeit ist noch unklar, ob eine Stadtverwaltung von dem neuen IT-Sicherheitsgesetzt direkt 
betroffen ist und Maßnahmen abgeleitet werden müssen.
Darstellung einer stetigen Überprüfung der Sicherheitsmaßnahmen [3]
Im Sicherheitsprozess geht es nicht nur darum, das angestrebte Sicherheitsniveau zu 
erreichen, sondern dieses auch dauerhaft zu gewährleisten. Um das bestehende 
Sicherheitsniveau aufrechtzuerhalten und fortlaufend zu verbessern, (sollen und) müssen 
alle Sicherheitsmaßnahmen regelmäßig überprüft werden.
Diese Überprüfungen sollten zu festgelegten Zeitpunkten (mindestens jährlich) durchgeführt 
werden und können auch zwischendurch erfolgen. Insbesondere Erkenntnisse aus 
sicherheitsrelevanten Zwischenfällen, Veränderungen im technischen oder technisch-
organisatorischen Umfeld sowie Änderungen von Sicherheitsanforderungen bzw. 
Bedrohungen erfordern eine Anpassung der bestehenden Sicherheitsmaßnahmen. Die in 
den einzelnen Überprüfungen ermittelten Ergebnisse sollten dokumentiert werden. Es muss 
zudem festgelegt sein, wie mit den Überprüfungsergebnissen zu verfahren ist, da die 
Informationssicherheit nur dann wirksam aufrechterhalten werden kann, wenn aufgrund der 
Überprüfungsergebnisse auch die erforderlichen Korrekturmaßnahmen ergriffen werden.
Es sollten auch gelegentlich unangekündigte Überprüfungen durchgeführt werden, da 
angekündigte Kontrollen häufig ein verzerrtes Bild des Untersuchungsgegenstands ergeben.
Kontrollen sollten vor allen Dingen darauf ausgerichtet sein, Mängel abzustellen. Für die 
Akzeptanz ist es wichtig, dass dies allen Beteiligten als Ziel der Kontrollen erkennbar ist und 
dass die Kontrollen nicht den Charakter von „Schulmeisterei“ haben. Es ist daher sinnvoll, 
während einer Kontrolle mit den Beteiligten über mögliche Problemlösungen zu sprechen 
und entsprechende Abhilfen vorzubereiten.
Die vorhandenen Sicherheitsmaßnahmen sollten mindestens einmal im Jahr überprüft 
werden. Darüber hinaus sind sie immer dann zu prüfen, wenn
 neue Geschäftsprozesse, Anwendungen oder IT-Komponenten aufgebaut werden,
 größere Änderungen der Infrastruktur vorgenommen werden ( z. B. Umzug),
 größere organisatorischen Änderungen anstehen ( z. B. Outsourcing),
 die Gefährdungslage sich wesentlich ändert,
 wenn gravierende Schwachstellen oder Schadensfälle bekannt werden.
Um dieses beschriebene Szenario (vergl. M 2.199 Aufrechterhaltung der 
Informationssicherheit, Bundesamt für Sicherheit in der Informationstechnik) zu 
gewährleisten sind die neu geplanten Stellen im Bereich IT-Sicherheit zwingend notwendig:
- 0,5 MA für den Bereich der technischen Sicherheit (geplant)
- 0,5 MA für den Bereich der organisatorischen Sicherheit (geplant)
                                                           Seite: 4/4