Nach Cyberattacke: Südwestfalen-IT wirft Ex-Manager raus

Das kommunale Dienstleistungsunternehmen Südwestfalen-IT (SIT) hat nach dem folgenschweren Cyberangriff im vergangenen Jahr personelle Konsequenzen gezogen. Einem ehemaligen Geschäftsführer, der noch Gehalt kassierte, wurde gekündigt. Gegen weitere Mitarbeiter wurden Disziplinarmaßnahmen eingeleitet. Das meldete am Montag der Branchendienst it-daily.net.

Laut dem Bericht des Online-Portals ordnet die SIT zudem ihre Führungsstruktur komplett neu. Die bisherige Organisationsform mit einer "aufgeblähten" 119-köpfigen Verbandsversammlung und einem von Politikern dominierten Vorstand werde reformiert, heißt es. Künftig sollen mehr IT-Experten dem Gremium angehören. Überdies sollen "klare Verantwortlichkeiten, gestraffte Entscheidungswege und professionellere Führungsstrukturen" in Zukunft Sicherheitspannen verhindern helfen.

Zwei frühere Geschäftsführer der SIT wurden nach Recherchen der Lokalzeitung Westfalenpost entlassen. Einer der beiden ist zwar seit März 2022 nicht mehr in der aktiven Geschäftsführung tätig, bezog aber weiterhin volles Gehalt. Der andere Geschäftsführer verließ das kommunale Unternehmen kurz vor der folgenschweren Cyberattacke vom 30. Oktober 2023. Laut einem Compliance-Bericht der Anwaltskanzlei CMS haben beide grundlegende Sicherheitsvorkehrungen missachtet.

Schwache Sicherheitsvorkehrungen begünstigen Angriff

Die Ransomware-Bande Akira machte sich ein schwaches Passwort, fehlende Mehrfaktor-Authentifizierung und eine schlecht gepflegte VPN-Appliance für den Angriff zunutze. Die bislang folgenreichste Attacke auf den öffentlichen Sektor in der Bundesrepublik betraf über 70 Kommunen mit insgesamt rund 1,7 Millionen Einwohnern. Die Kommunen finanzieren die SIT und haben ihre IT weitgehend an das Unternehmen ausgelagert. Trotz der katastrophalen Auswirkungen der Attacke lehnten die Südwestfalen-IT und die Kommunen eine Lösegeldzahlung ab. Erst neun Monate nach der Attacke waren die Auswirkungen des Cyberangriffs weitgehend behoben.

Der durch das Managementversagen begünstigte Schaden aber sei erheblich, schreibt it-daily.net, und spricht von bislang aufgelaufenen Mehrkosten in Höhe von mindestens 2,8 Millionen Euro. Weitere sechsstellige Investitionen in die IT-Sicherheit seien nötig. Finanziert werden diese wohl durch höhere Umlagen der betroffenen Kommunen. Schadenersatzforderungen müssen die geschassten Manager aber wohl nicht befürchten. "Trotz der massiven Versäumnisse wurde den Ex-Führungskräften keine grobe Fahrlässigkeit nachgewiesen, weshalb Schadenersatzforderungen nicht geplant sind", heißt es.

(akn)