Große Anfrage Linke: IT-Security – Penetrationstests und Webchecks

261211 · 2026-06-16 · Große Anfrage · öffentlich

Antragsteller: Die Linke-Fraktion im Rat der Stadt Bonn Dennis Kocis Patrick Tollasz

Sachverhalt

Die digitale Infrastruktur der Stadt Bonn ist ein wesentlicher Bestandteil kommunaler Daseinsvorsorge. Bürger*innen sind darauf angewiesen, dass Verwaltungsleistungen zuverlässig, sicher und vertrauenswürdig funktionieren, von der Beantragung von Sozialleistungen über Melde- und Standesamtsangelegenheiten bis hin zu Angeboten in Bildung, Jugendhilfe und Bürgerbeteiligung.

IT-Sicherheit ist deshalb kein rein technisches Thema, sondern eine Frage öffentlicher Verantwortung. Werden kommunale Systeme kompromittiert oder fallen sie aus, betrifft dies nicht nur interne Verwaltungsabläufe, sondern unmittelbar die Handlungsfähigkeit der Stadt und die Menschen, die auf funktionierende öffentliche Dienstleistungen angewiesen sind.

Vorfälle wie der Ausfall bei IT Regio haben gezeigt, wie verletzlich digitale Verwaltungsinfrastrukturen sein können. Ransomware-Angriffe und andere Cyberangriffe auf Kommunen führen nicht abstrakt zu technischen Störungen, sondern können konkrete Auswirkungen auf Sozialämter, Bürgerdienste, Kitas, Schulen, Standesämter und weitere zentrale Bereiche der kommunalen Verwaltung haben. Die Stadt Bonn trägt Verantwortung für den Schutz der Daten ihrer Bürger*innen sow

_Abschnitt gekürzt. Weiter mit abschnitt=sachverhalt und offset des Eintrags in weiter._

Beschlussvorschlag

Penetrationstests auf die städtische Infrastruktur

Werden regelmäßig Penetrationstests auf die IT-Infrastruktur der Stadt Bonn durchgeführt? Falls nein: Warum nicht?
Falls ja: Wann wurde der letzte Pen Test durchgeführt?
Von wem wurde dieser Pen Test durchgeführt?
Welche Systeme wurden getestet? Wie ist er ausgefallen (kritische/hohe Findings)?
Welche Maßnahmen wurden abgeleitet und sind diese bereits umgesetzt?
Gibt es einen festgelegten Turnus?

Sicherheit städtischer Webseiten

Werden die von der Stadt betriebenen Webseiten regelmäßig automatisierten Sicherheitsscans unterzogen? Falls nein: Warum nicht?
Falls ja: Welcher Umfang (nur bonn.de oder auch Subdomains/Fachverfahren)? In welchem Rhythmus? Werden Ergebnisse nachverfolgt?

Ergänzende Fragen

Gibt es ein dokumentiertes IT-Sicherheitskonzept (angelehnt an BSI IT-Grundschutz o.ä.)?
Wie ist der Stand der Umsetzung der NIS-2-Richtlinie?
Gibt es ein geregeltes Patch- und Schwachstellenmanagement?
Gibt es einen Incident-Response-Plan? Wurde dieser je getestet?
Werden regelmäßige IT-Sicherheitsschulungen für Mitarbeitende durchgeführt?
Wie ist die Stadt auf Ransomware-Angriffe vorbereitet?

_Abschnitt gekürzt. Weiter mit abschnitt=beschlussvorschlag und offset des Eintrags in weiter._

Beratungsfolge

2026-07-07 · Ausschuss für Digitalisierung, Dienstleistung und Verwaltungsmodernisierung · zur Kenntnis genommen

Dokumente

Sammeldokument öffentlich (Original)