IT und Cybersicherheit: was Kommunen gemeinsam besser absichern

Wie ist kommunale IT in Hessen organisiert?

Kommunale IT ist in Hessen seit über fünf Jahrzehnten eine Gemeinschaftsaufgabe. Die Landesberatungsstelle schildert die Entwicklung so: Seit 1970 arbeiteten fünf regionale Rechenzentren für die Kommunen, mit Standorten in Kassel, Gießen, Frankfurt, Wiesbaden und Darmstadt; 1996 bildeten die Zentren in Darmstadt, Frankfurt und Gießen die Kommunale Informationsverarbeitung Hessen, 2001 kam die ekom21 GmbH als Tochter hinzu, und 2008 fusionierte die KIV mit dem Kasseler Rechenzentrum zur ekom21 – KGRZ Hessen [Beratungsstelle: IT und Datenschutz]. Dieser Zweckverband wird nach derselben Darstellung von rund 500 Mitgliedern getragen, vor allem hessischen Kommunen, daneben einigen Verbänden und dem Land [Beratungsstelle: IT und Datenschutz]. Die ekom21 bezeichnet sich selbst als größten kommunalen IT-Dienstleister in Hessen [ekom21].

Hessen ging damit einen anderen Weg als Länder mit vielen kleinen Rechenzentren. Für die einzelne Gemeinde bedeutet das: Viele Fachverfahren, etwa im Finanz- oder Meldewesen, kommen bereits aus einem gemeinsamen Rechenzentrum. Was vor Ort bleibt, sind Arbeitsplätze, lokale Netze und Server, Telefonie, Benutzerverwaltung und die Sicherheit dieser Infrastruktur.

Rechtsform, Förderung, Steuer und Vergabe bei IT-Kooperationen

• Rechtsform: Für einen Serververbund kleiner Gemeinden passt meist eine öffentlich-rechtliche Vereinbarung nach §§ 24 ff. KGG, in der eine Kommune Betrieb und Personal übernimmt und die anderen Leistungen abrufen [OFD Frankfurt, Vfg. 04.02.2022]. Für größere Strukturen steht der Zweckverband offen; die ekom21 – KGRZ Hessen ist selbst ein solcher Verband mit rund 500 Mitgliedern [Beratungsstelle: IT und Datenschutz]. Eigene Modelle für digitale Verwaltungsleistungen beschreibt der Artikel Onlinezugangsgesetz.
• Genehmigung: Öffentlich-rechtliche Vereinbarungen sowie Zweckverbands- und Anstaltssatzungen genehmigt die Kommunalaufsicht; das Regierungspräsidium Darmstadt nennt diese Genehmigungen ausdrücklich unter seinen Aufgaben [RP Darmstadt, Zweckverbandsrecht].
• Förderung: Das Land fördert IT-Kooperationen ausdrücklich im Bereich Digitalisierung, etwa gemeinsame IT-Fachkräfte, die sich auch um Cyber- und IT-Sicherheit kümmern [Beratungsstelle: Digitalisierung]. Die Regelzuwendung beträgt 75.000 Euro bei drei und 100.000 Euro bei mehr als drei Kommunen, 50.000 Euro, wenn ausnahmsweise zwei Kommunen genügen; ein Gemeindeverwaltungsverband kann 150.000 Euro je Gemeinde erhalten. Die Rahmenvereinbarung 2021 tritt am 1. Dezember 2026 außer Kraft [Rahmenvereinbarung IKZ 2021].
• Umsatzsteuer: IT-Leistungen werden auch von privaten Unternehmen angeboten. Betreibt eine Kommune gegen Kostenerstattung Server für eine andere, liegt grundsätzlich ein Leistungsaustausch vor, der nach § 2b UStG nur nicht steuerbar ist, wenn keine größere Wettbewerbsverzerrung gegenüber privaten Dritten entsteht [OFD Frankfurt, Vfg. 04.02.2022]. Die Kriterien erklärt die Arbeitshilfe § 2b UStG.
• Vergabe: Bezieht eine Kommune Leistungen von einem IT-Zweckverband, dessen Mitglied sie ist, kann das nach § 108 Abs. 4 GWB als Inhouse-Vergabe ausschreibungsfrei sein, wenn die Mitglieder den Verband gemeinsam kontrollieren und er mehr als 80 Prozent seiner Tätigkeit für sie erbringt [§ 108 GWB]. Überträgt eine Kommune die Aufgabe mit voller Zuständigkeit und ohne Vergütung für vertragliche Leistungen (Delegation), ist das interne Organisation und kein öffentlicher Auftrag [BT-Drs. 18/6281, S. 80]. Betreibt eine Kommune die Server ihrer Partner dagegen nur gegen Kostenerstattung (Mandatierung), ist das ein Auftrag, der nur unter den Bedingungen des § 108 Abs. 6 GWB ausschreibungsfrei bleibt [§ 108 GWB].

Den Vergleich aller Formen zeigt die Übersicht Rechtsformen, die vergaberechtliche Prüfung die Arbeitshilfe Vergaberecht bei IKZ.

Warum bauen kleinere Kommunen eigene Verbünde auf?

Kleinere Kommunen bauen eigene Verbünde auf, weil der Betrieb der örtlichen IT immer anspruchsvoller wird. Nach Beobachtung der Landesberatungsstelle entwickeln zunehmend auch kleinere Kommunen gemeinsam Serverlösungen für die Datenhaltung und den Betrieb von Fachsoftware, während größere Städte mit eigenen IT-Abteilungen teils autonome Lösungen betreiben [Beratungsstelle: IT und Datenschutz]. Rechtlich und organisatorisch unterscheiden sich solche Verbünde kaum von anderen Kooperationen, etwa bei Kassen oder Standesämtern [Beratungsstelle: IT und Datenschutz].

Die Treiber liegen auf der Hand. Kommunale Systeme enthalten sensible Daten über Personen, Grundbesitz, Finanzen und soziale Leistungen, die bestmöglich geschützt werden müssen. Die Beratungsstelle verweist auf die nötigen laufenden Investitionen, auf doppelte Kapazitäten für Datensicherungen, auf geeignete, gesicherte und klimatisierte Räume mit ständiger Überwachung und auf das Fachwissen, das ständig weiterentwickelt werden muss [Beratungsstelle: IT und Datenschutz]. Für eine Verwaltung mit zwei IT-Stellen ist das kaum zu leisten.

Welche Risiken muss eine IT-Kooperation beherrschen?

Das größte Risiko ist die Abhängigkeit von wenigen Köpfen. Die Beratungsstelle warnt, dass der Erfolg einer IT-Kooperation kleiner Kommunen häufig am Wissen einer einzigen Person und an deren dauerhafter Beschäftigung hängt [Beratungsstelle: IT und Datenschutz]. Eine Kooperation sollte dieses Risiko verkleinern, also mindestens zwei Personen für jedes kritische System vorsehen, Dokumentation verpflichtend machen und Notfallpläne üben.

Weitere Risiken sind:

• Einheitlichkeit: Unterschiedliche Software-Stände und Hardware-Generationen machen gemeinsamen Betrieb teuer; ein Migrationsplan gehört an den Anfang.
• Verantwortung: Wer haftet bei einem Sicherheitsvorfall, und wer meldet ihn? Die Vereinbarung muss das regeln.
• Datenschutz: Wer Daten anderer Kommunen hostet, verarbeitet sie in deren Auftrag; das braucht klare vertragliche Grundlagen.
• Ausfallsicherheit: Ein gemeinsamer Serverstandort ist ein gemeinsamer Ausfallpunkt; Georedundanz oder ein Ausweichstandort sollten geplant sein.

Welche Rolle spielt Cybersicherheit?

Cybersicherheit ist inzwischen eines der stärksten Argumente für Kooperation. Die Landesregierung nennt Digitalisierung, Datenschutz und Cybersicherheit als neues Feld der Zusammenarbeit hessischer Kommunen [Landesregierung, PM 04.03.2024]. Im Förderprogramm zur Digitalisierung werden ausdrücklich auch Fragen der Cyber- und IT-Sicherheit als Aufgabe gemeinsamer IT-Fachkräfte genannt [Beratungsstelle: Digitalisierung]. Ein gemeinsamer Informationssicherheitsbeauftragter, gemeinsame Schulungen und abgestimmte Notfallpläne sind Bausteine, die sich auch ohne gemeinsames Rechenzentrum teilen lassen.

Wie startet man eine IT-Kooperation?

Eine IT-Kooperation beginnt am besten mit einer gemeinsamen Bestandsaufnahme: Welche Server, Fachverfahren, Lizenzen und Verträge gibt es bei jedem Partner, und wann laufen sie aus? Oft zeigt sich dabei, dass sich ein gemeinsamer Betrieb anbietet, sobald die nächste Hardwareerneuerung ansteht. Dann lässt sich die Investition einmal statt mehrfach tätigen. Ein zweiter guter Einstieg ist ein gemeinsamer Informationssicherheitsbeauftragter, weil diese Rolle Fachwissen verlangt und in jeder Kommune besetzt sein sollte.