Cybersicherheitssiegel für Wetzlar: Was die Auszeichnung wirklich belegt

Der Lahn-Dill-Kreis und die Stadt Wetzlar haben das Hessische Cybersicherheitssiegel erhalten. Die Auszeichnung bescheinigt beiden Verwaltungen, definierte Anforderungen des Landesprogramms KOMPASS Cybersicherheit erfüllt zu haben. Ein umfassendes Sicherheitszertifikat ist das Siegel allerdings nicht.

Hessens Innenstaatssekretär Martin Rößler übergab die Auszeichnung an Landrat Carsten Braun und Wetzlars Oberbürgermeister Manfred Wagner. Für das im April 2026 gestartete Landesprogramm sind es die siebte und achte Siegelvergabe. Zuvor waren unter anderem die Stadt und der Landkreis Fulda ausgezeichnet worden.

Audit und Maßnahmenumsetzung als Voraussetzung

Das Siegel wird nicht allein für die Teilnahme an Schulungen oder eine politische Absichtserklärung vergeben. Voraussetzung sind nach Angaben des Hessischen Innenministeriums die Teilnahme am Modul „Sichere Kommunale Netze Hessen“, ein IT-Audit durch Fachleute des kommunalen IT-Dienstleisters ekom21 sowie die Umsetzung der daraus resultierenden Sicherheitsempfehlungen.

Wetzlar und der Lahn-Dill-Kreis hätten darüber hinaus weitere technische Schutzmaßnahmen eingeführt und ihre Beschäftigten regelmäßig für Cyberrisiken sensibilisiert. Welche Systeme geprüft, welche Schwachstellen festgestellt und welche Maßnahmen konkret umgesetzt wurden, geht aus den veröffentlichten Informationen jedoch nicht hervor.

Das Siegel ist zunächst drei Jahre gültig und kann anschließend auf Antrag verlängert werden. Öffentlich dokumentierte Angaben zu regelmäßigen Kontrollen während dieser Laufzeit oder zu einer erneuten technischen Prüfung vor der Verlängerung liegen bislang nicht vor.

Keine klassische Sicherheitszertifizierung

Die Auszeichnung sollte nicht mit einer Zertifizierung nach ISO 27001 oder einer BSI-Zertifizierung gleichgesetzt werden. In den veröffentlichten Vergabekriterien wird weder eine Prüfung durch eine unabhängige akkreditierte Zertifizierungsstelle noch ein formelles Zertifizierungsschema genannt.

Auch die zugrunde liegenden Auditberichte, Bewertungsskalen und erreichten Reifegrade sind nicht öffentlich. Das Siegel bestätigt daher vor allem, dass ein strukturierter Prüf- und Verbesserungsprozess durchlaufen wurde. Es belegt dagegen nicht, dass sämtliche Systeme dauerhaft gegen Angriffe geschützt sind.

Das schmälert den praktischen Wert des Programms nicht zwangsläufig. Gerade für kleinere Verwaltungen kann ein verbindlicher Einstieg über Bestandsaufnahme, priorisierte Maßnahmen und externe Unterstützung sinnvoller sein als ein umfangreiches Zertifizierungsprojekt, das personell oder finanziell kaum zu bewältigen ist.

Kommunen brauchen einen realistischen Einstieg

Der Dienstleister ekom21 richtet seine Bestandsaufnahme an den technischen und organisatorischen Anforderungen des IT-Grundschutz-Profils „Basis-Absicherung Kommunalverwaltung“ aus. Auf die Analyse folgen ein Bericht, Maßnahmenvorschläge und Empfehlungen für die nächsten Schritte. Zum weiteren Portfolio gehören unter anderem Awareness-Angebote, Beratung zum Notfallmanagement und Unterstützung beim Aufbau eines Informationssicherheitsmanagementsystems.

Das BSI beschreibt die kommunale Basis-Absicherung ausdrücklich als systematischen Einstieg in die Informationssicherheit. Sie soll zunächst eine breite Grundabsicherung ermöglichen und kann anschließend weiter ausgebaut werden.

Der Ansatz ist vor dem Hintergrund der aktuellen Bedrohungslage relevant. Das BSI bewertet die IT-Sicherheitslage in Deutschland weiterhin als angespannt und sieht insbesondere bei unzureichend geschützten Angriffsflächen sowie bei der Resilienz erheblichen Handlungsbedarf. Die öffentliche Verwaltung gehört zudem zu den Hauptzielen der für Deutschland relevanten Cyberspionagegruppen.

Was IT-Entscheider daraus ableiten können

Für IT-Verantwortliche liegt die zentrale Erkenntnis weniger im Siegel selbst als im dahinterstehenden Prozess. Ein Audit schafft zunächst Transparenz über technische und organisatorische Defizite. Entscheidend ist anschließend, ob priorisierte Maßnahmen tatsächlich umgesetzt, Verantwortlichkeiten festgelegt und Notfallprozesse regelmäßig erprobt werden.

Awareness-Schulungen allein reichen dabei ebenso wenig aus wie einzelne technische Werkzeuge. Belastbare Cyberresilienz entsteht erst durch das Zusammenspiel von Asset-Übersicht, Patch- und Schwachstellenmanagement, Zugriffsschutz, Datensicherung, Wiederanlaufplanung, Mitarbeitersensibilisierung und einem funktionierenden Incident-Response-Prozess.

Auch Unternehmen sollten Sicherheitsauszeichnungen deshalb nicht isoliert betrachten. Aussagekräftiger sind die zugrunde liegenden Prüfkriterien, der Umfang des Audits, die Unabhängigkeit der Prüfer und der Umgang mit festgestellten Abweichungen. Ebenso wichtig ist die Frage, ob eine Organisation ihre Sicherheit nur zu einem bestimmten Zeitpunkt nachweist oder kontinuierlich weiterentwickelt.

Fazit

Das Hessische Cybersicherheitssiegel macht kommunales Engagement sichtbar und kann Verwaltungen zu einem strukturierten Einstieg in die Informationssicherheit motivieren. Die Auszeichnung ersetzt jedoch weder eine umfassende Zertifizierung noch den Nachweis dauerhaft wirksamer Sicherheitsmaßnahmen.

Für Wetzlar und den Lahn-Dill-Kreis beginnt die entscheidende Arbeit daher nicht mit der Übergabe des Siegels – sie muss über dessen dreijährige Laufzeit konsequent fortgeführt werden.