Anfrage Fraktion die Linke im Stadtrat Halle (Saale) zu IT Sicherheit und Sirenen
Ist der Informationssicherheitsbeauftragte (ISB) der Stadt mit ausreichenden Handlungskompetenzen und Ressourcen ausgestattet, um die Aufgaben effektiv wahrnehmen zu können (Gibt es ein Budget für IT-Sicherheitsmaßnahmen)?
Ja, der ISB ist entsprechend ausgestattet. IT-Sicherheitsmaßnahmen sind im Budget der Abteilung IT und Digitale Verwaltung inbegriffen.
Zu welchem Zeitpunkt wurde der ISB der Stadt zum Vorfall am 10.01.2026 hinzugezogen und gibt es von ihm bereits eine Einschätzung dazu?
Es erfolgte am 11.01.2026 eine Information an den ISB. Der ISB ist aktiv in die Sachverhaltsaufklärung eingebunden.
Verfügen wir als Stadt jenseits des ISB über qualifiziertes IT-Sicherheitspersonal und gibt es eine eindeutige Zuordnung der Verantwortlichkeiten?
Aktuell sind zwei Vollzeitstellen „IT-Sicherheitsmanager (m/w/d)“ mit festgelegten Verantwortlichkeiten besetzt, unter anderem mit der Wahrnehmung der Aufgaben eines Informationssicherheitsbeauftragtem. Der wesentliche Teil der IT-Dienstleistungen der Stadtverwaltung Halle ist vertraglich an die IT-Consult Halle GmbH (IT-C, ein Tochterunternehmen der Stadtwerke Halle GmbH) ausgelagert. Diese ist nach ISO 27001 (Informationsmanagementsystem) zertifiziert. Die IT-C ist als Betriebsführerin für den sicheren IT-Betrieb verantwortlich und führt die notwendige Betriebsdokumentation.
Arbeitet die Stadtverwaltung mit einem Informations-Sicherheits-Management-System (wie z. B. IT-Grundschutz, an ISO-27001 orientiert)?
Ja. Die Einzelheiten sind in der Verwaltungsvorschrift Nr. 01/2021 „Informationssicherheit“ geregelt.
Haben wir als Stadt die Zertifizierung nach DIN/ISO 270001 und wenn ja, seit wann? Wenn nein, warum nicht?
Die Stadtverwaltung Halle ist nicht zertifiziert. Ein rechtliches Erfordernis dazu besteht nicht. Eine Zertifizierung wird dennoch angestrebt. Der verantwortliche IT-Dienstleister der Stadtverwaltung Halle, die IT-Consult Halle Gmbh, ist entsprechend zertifiziert (siehe Antwort auf Frage 3).
Gibt es in der Stadtverwaltung eine aktuelle und umfassende Bestandsaufnahme unserer IT-Systeme und -Prozesse und das Wissen, wie diese miteinander verknüpft sind?
Der IT-Dienstleister ist vertraglich verpflichtet, eine entsprechende IT-Betriebsdokumentation zu führen.
Gibt es in der Stadtverwaltung ein dokumentiertes und wirksames Risikomanagement? Wenn ja, auf welcher Grundlage basiert es?
Ein Risikomanagement nach BSI-Standard 200-3 ist im Aufbau. Darüber hinaus existiert ein Risikobehandlungsplan, der ebenso wie das IT-Sicherheitsbetriebskonzept Bestandteil des Informationssicherheitsmanagementsystems ist.
Wie werden potenzielle Risiken identifiziert und bewertet?
Siehe Antwort zu Frage 7.
Gibt es einen Notfallplan für Cyberangriffe und an wie vielen Stellen in der Stadt, sind welche Schritte zur Eindämmung, Wiederherstellung und Kommunikation vorgesehen? In welchem Abstand/Rhythmus wird der Plan überprüft und allen Beteiligten bekanntgegeben?“
Großflächige IT-Notfälle, bspw. durch langwährende Stromausfälle oder Verschlüsselungsangriffe, würden im Rahmen des Katastrophenschutzstabes (Stab für außergewöhnliche Ereignisse) bearbeitet. Darüber hinaus existiert mit der Verwaltungsvorschrift Nr. 08/2019 „Bearbeitung von Datenschutzverletzungen und Informationssicherheitsvorfällen“ ein entsprechendes Regelwerk für IT-Notfälle.
Werden auch andere Mitarbeitende in der Stadtverwaltung, die nicht der IT-Abteilung zugehören, aktiv mit einbezogen (Stichwort: Sensibilisierungsmaßnahmen in Form von Schulungen oder anschauliche Phishing-Simulationen, um die Gefahren im Social Engineering zu verdeutlichen)?
Es finden regelmäßig Schulungen und Sensibilisierungsmaßnahmen statt. Darüber hinaus wurden bereits sogenannte Pen-Test und Phishing-Simulationen durchgeführt. Weiterhin finden fortlaufend Benachrichtigungen über das Intranet statt, bspw. bei auffälligen bzw. vermehrten SPAM-Eingängen.
Findet ein regelmäßiger Austausch mit anderen Kommunen sowie mit Expert*innen statt?
Ja.
Welche Sicherheitsmaßnahmen für Fernzugriff, Authentisierung, Protokollierung, 4-Augen-Prinzip, Notfallbetrieb gibt es?
Die genannten Maßnahmen sind Gegenstand des IT-Betriebsführungskonzepts der IT-C und werden aus Sicherheitsgründen nicht detailliert veröffentlicht.
Wurden externe Pen-Tests/Audits gemacht? Sind die Ergebnisse einsehbar?
Pen-Tests wurden durchgeführt. Ergebnisse der Tests werden aus Sicherheitsgründen nicht detailliert veröffentlicht.
Wer betreibt das Sirenensystem?
Die Stadt Halle (Saale).
Wie weit ist die Errichtung von Sirenen an den Standorten OFW Diemitz, OFW Kanena, OFW Neustadt und OFW Nietleben, Albrecht-Dürer-Schule, Grundschule Silberwald und OFW Lettin (wann ist mit der Fertigstellung zu rechnen)?
Die Errichtung ist abgeschlossen.
Gibt es bei den bereits aufgebauten Sirenenstandorten mittlerweile eine Anbindung an das Sirenensystem BOS-Digitalfunk? Wenn nicht, warum nicht und wann ist damit zu rechnen?
Die Hoheit für das Tetra-BOS-System (Digitalfunk) liegt beim Land. Der Beantragungsprozess gegenüber dem Land für die Nutzung/Anbindung ist abgeschlossen. Die Stadt wartet auf die benötigten Nutzerberechtigungen.
Die Feuerwehr Halle (Saale) verfügte im Jahr 2023 über eine Drohne. Wurden im Rahmen des Brandschutzes und Katastrophenschutzes weitere Drohnen angeschafft?
Nein.
Welche weiteren Maßnahmen zum Bevölkerungsschutz sind aktuell in Planung oder Umsetzung? Wurde die geplante Beschaffung des Arzttruppwagens umgesetzt?
Zum Thema Schutzraumkonzept wurde eine Arbeitsgruppe gegründet. Die Beschaffung der Arzttruppwagen läuft und ist noch nicht abgeschlossen.