IT-Sicherheit für öffentliche Einrichtungen
Daten sicher und souverän speichern und nutzbar machen
Ransomware trifft Behörden, Hochschulen, Stadtwerke und öffentliche Institutionen mit besonderer Wirkung: Der Betrieb ist nicht einfach einzustellen, Bürgerdaten und kritische Informationen dürfen die Einrichtung nicht verlassen, und externe Cloud-Dienste scheiden regulatorisch oft aus. FAST LTA liefert Backup- und Archivinfrastruktur, die physisch nicht angreifbar ist — vollständig on-premise, gegenüber Aufsichtsbehörden lückenlos nachweisbar.
Das Problem: Öffentliche Einrichtungen im Visier — und besonders verwundbar #
Behörden, Hochschulen, Stadtwerke, Gerichte und öffentliche Institutionen sind in den vergangenen Jahren zu bevorzugten Zielen von Ransomware-Angreifern geworden. Der Grund ist strukturell: Diese Einrichtungen können ihren Betrieb nicht einfach unterbrechen. Wenn Bürgerdienste ausfallen, Versorgungsnetze nicht gesteuert werden können, Hochschulsysteme nicht erreichbar sind oder Gerichtsverfahren stillstehen, steigt der politische und öffentliche Druck — und damit die Zahlungsbereitschaft.
Drei Faktoren machen öffentliche Auftraggeber besonders angreifbar:
Erstens sind netzwerkgebundene Backups kein verlässlicher Schutz: Wer Administratorzugang kompromittiert, erreicht in der Regel auch das Backup. Ein gesicherter Wiederherstellungspunkt ist nur dann ein echter Wiederherstellungspunkt, wenn er physisch vom Netz getrennt und nachweislich unverändert ist.
Zweitens scheiden Cloud-Backup-Dienste für viele öffentliche Einrichtungen aus — wegen Datenschutz, Vertragsrecht, BSI-Anforderungen oder schlicht wegen der Sensibilität der Daten. Bürgerdaten, Forschungsdaten, Strafverfolgungsinformationen und behördeninterne Vorgänge dürfen nicht an externe Dienste übermittelt werden.
Drittens ist der Nachweisdruck gestiegen: NIS2UmsuCG, BSI IT-Grundschutz, und sektorspezifische Vorschriften verlangen dokumentierbare technische Schutzmaßnahmen — nicht nur politische Bekenntnisse.
NIS2UmsuCG: Wer betroffen ist — und was alle öffentlichen Einrichtungen brauchen #
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit 6. Dezember 2025 in Kraft und betrifft eine breite Gruppe öffentlicher Einrichtungen:
Direkt betroffen:
- Bundesbehörden und Landesbehörden — vollständig unter NIS2-Anforderungen
- Öffentliche Versorgungsunternehmen (Energie, Wasser, Abwasser, Abfallwirtschaft) — als Betreiber kritischer Infrastruktur
- Öffentliche Verkehrsunternehmen (Schiene, ÖPNV) — soweit als wichtige Einrichtung eingestuft
- Öffentliche digitale Infrastruktur — Rechenzentren, Cloud-Dienste öffentlicher Träger
Explizit ausgenommen:
- Kommunalverwaltungen und Kommunen — wurden vom NIS2UmsuCG explizit ausgenommen (Ausnahme: Kommunen als KRITIS-Betreiber oder als Auftragsverarbeiter für Bundes-/Landesbehörden)
Sektorspezifische Anforderungen:
- Hochschulen und Forschungseinrichtungen — je nach Trägerschaft und Drittmittelgeber eigene Anforderungen (DFG, BMBF, EU Horizon)
- Öffentliche Rundfunkanstalten — Mediensektor mit eigenem Regulierungsrahmen
- Justiz und Strafverfolgung — eigene Verschlusssachen- und Datenschutzanforderungen
Für alle öffentlichen Einrichtungen gelten unabhängig von NIS2 verbindliche Standards:
- BSI IT-Grundschutz — als allgemeiner Sicherheitsstandard für alle öffentlichen Einrichtungen
- Art. 32 — für den Schutz von Personen- und Bürgerdaten
- Archivrecht (BArchG, LArchG) — für Einrichtungen mit gesetzlicher Aufbewahrungspflicht
Fazit: Die NIS2-Pflicht trifft eine wachsende Zahl öffentlicher Einrichtungen direkt. Für alle anderen sind BSI IT-Grundschutz und verbindliche Mindestandards — mit identischen technischen Anforderungen an Backup-Integrität und Datenschutz.
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
Silent Brick System: BSI-konformes Air-Gap-Backup für öffentliche Einrichtungen
Das Silent Brick System schützt Backup-Daten durch physische Netzwerktrennung auf Hardwareebene. Nach Abschluss eines Backup-Jobs trennt der Silent Brick Max Air die Verbindung zum Netzwerk vollständig — kein Protokoll, kein Port, kein API-Endpunkt bleibt aktiv. Für -Angriffe, kompromittierte Admin-Accounts und Insider-Bedrohungen ist ein physisch getrenntes Medium schlicht nicht erreichbar.
Für öffentliche Einrichtungen sind zwei Eigenschaften besonders relevant:
Nachweis gegenüber Aufsichtsbehörden: Die physische Netzwerktrennung ist keine Konfigurationseinstellung — sie ist eine Hardwareeigenschaft. Das Silent Brick System ist BSI-konform (BSI TR-03125 / TR-ESOR) und -geeignet. Im Rahmen von -Meldepflichten, BSI-Prüfungen und internen Audits stellt FAST LTA vollständige Konformitätsdokumentation bereit.
Integration ohne Ablösung: Das Silent Brick System ergänzt vorhandene Backup-Infrastruktur. Es ist kompatibel mit Veeam, Commvault, Acronis und allen Backup-Lösungen mit FC-, iSCSI-, NFS-, SMB- oder S3-Protokollunterstützung. Bestehende Backup-Prozesse und -Software bleiben unverändert.
Ransomware
Ransomware ist Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und ein Lösegeld für die Entschlüsselung fordert — mit dem Ziel, Unternehmen und Behörden zur Zahlung zu zwingen, indem sie deren Betrieb lahmlegen.
KRITIS
KRITIS bezeichnet Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde — KRITIS-Betreiber unterliegen nach §8a BSI-Gesetz verschärften Anforderungen an IT-Sicherheit und müssen diese alle zwei Jahre gegenüber dem BSI nachweisen.
NIS2
Die NIS2-Richtlinie (EU 2022/2555) ist eine EU-Regulierung, die wesentliche und wichtige Einrichtungen zu konkreten Cybersicherheitsmaßnahmen verpflichtet — darunter nachweisbares Backup-Management, Krisenmanagement und Meldepflichten — mit persönlicher Haftung der Geschäftsleitung bei Versäumnissen.
Silent Cubes: Revisionssichere Langzeitarchivierung nach Archivrecht und gesetzlichen Aufbewahrungspflichten
Öffentliche Einrichtungen unterliegen weitreichenden gesetzlichen Aufbewahrungspflichten — Landesarchivgesetze, Bundeshaushaltsordnung, Hochschulgesetze, Rundfunkstaatsvertrag, fachspezifische Vorschriften. Viele Fristen reichen weit über zehn Jahre hinaus. Die gemeinsame Anforderung: Unveränderbarkeit, Vollständigkeit, Nachvollziehbarkeit und jederzeitige Lesbarkeit über die gesamte Aufbewahrungsfrist.
Silent Cubes erfüllen diese Anforderungen durch : Der Schreibschutz wird direkt im Speicher-Controller auf Geräteebene gesetzt — unabhängig von Betriebssystem, Benutzerprivilegien oder Konfigurationsänderungen. Kein Administrator und kein Angriff kann einen archivierten Datensatz verändern oder vorzeitig löschen. Die Unveränderbarkeit ist eine physikalische Eigenschaft des Geräts, nicht eine Policy.
Kompatibilität mit DMS- und Archivsystemen: Silent Cubes sind als Speicherplattform in gängige Dokumentenmanagementsysteme und Archivsysteme integrierbar — ob in der Verwaltung, im Hochschulbetrieb, in Rundfunkarchiven oder in Bibliotheken. Zugriffs- und Veränderungshistorien werden vollständig protokolliert — die Grundlage für revisionssichere Nachweise gegenüber Rechnungshöfen und Datenschutzaufsichtsbehörden.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
Silent AI: On-Premise KI-Wissensdatenbank für öffentliche Einrichtungen
Mitarbeitende in öffentlichen Einrichtungen arbeiten täglich mit einem komplexen Geflecht aus Bundesgesetzen, Landesvorschriften, internen Richtlinien, Verwaltungsvorschriften, Tarifverträgen und Fachregelwerken. Relevante Informationen schnell zu finden kostet Zeit — und Fehler kosten mehr. Cloud-KI-Dienste scheiden für die meisten öffentlichen Einrichtungen aus: Bürgerdaten, Forschungsdaten, behördeninterne Informationen und personenbezogene Daten dürfen nicht an externe Dienste übermittelt werden.
Silent AI wird vollständig on-premise betrieben. Es gibt keine Cloud-Verbindung, keinen externen Verarbeitungsschritt, keine Übermittlung von Anfragen an Dritte. Über 15 vorkonfigurierte Konnektoren bindet Silent AI Gesetzes- und Vorschriftendatenbanken, SharePoint-Ablage, interne Anweisungen und Archivbestände ein. Zu jeder KI-Antwort werden die Quelldokumente angegeben — nachvollziehbar und zitierfähig.
Für Einrichtungen, die unter den fallen, vereinfacht der On-Premise-Betrieb das Risikomanagement nach Artikel 9 erheblich: Datenflüsse sind vollständig kontrollierbar, externe Datenverarbeitung durch Dritte entfällt.
EU AI Act
Der EU AI Act ist die weltweit erste umfassende gesetzliche Regulierung von KI-Systemen, in Kraft seit August 2024. Er klassifiziert KI-Anwendungen nach Risikoklassen und stellt an Hochrisiko-Systeme konkrete Anforderungen an Transparenz, Kontrolle, Datenschutz und menschliche Aufsicht.
Compliance auf einen Blick #
| Regulierung | Betroffene Einrichtungen | FAST LTA Lösung |
|---|---|---|
| NIS2UmsuCG / §30 BSIG-neu | Bundesbehörden, Landesbehörden, öffentliche Versorger, öffentliche Verkehrsunternehmen | Silent Brick System mit physischem Air Gap; BSI-konforme Konformitätsdokumentation für NIS2-Nachweispflichten |
| BSI IT-Grundschutz OPS.1.2.2 | Alle öffentlichen Einrichtungen | Hardware-WORM (Silent Cubes) und physische Netzwerktrennung (Silent Brick) erfüllen BSI-Anforderungen ohne zusätzliche Softwareschicht |
| DSGVO Art. 32 | Alle öffentlichen Einrichtungen mit Personendaten | Hardware-Immutabilität und Air Gap sichern Integrität und Zugriffsschutz; vollständige Datenhaltung on-premise |
| Archivrecht (LArchG, BArchG) | Behörden, Archive, Bibliotheken, Hochschulen | Silent Cubes mit konfigurierbaren Retentionsfristen; Hardware-WORM ohne Softwareabhängigkeit |
| Vergaberecht (EVB-IT, VOB) | Alle öffentlichen Auftraggeber | FAST LTA ist erfahren in der Beschaffung über öffentliche Vergabeverfahren; Unterstützung bei Rahmenverträgen und Direktvergabe |
| EU AI Act | Einrichtungen mit Hochrisiko-KI-Einsatz | Silent AI: On-Premise-Betrieb, keine Drittverarbeitung, vollständige Kontrolle über Datenflüsse und KI-Ausgaben |
Häufige Fragen für öffentliche Verwaltungen
Direkt betroffen sind Bundesbehörden, Landesbehörden sowie öffentliche Einrichtungen in -Sektoren (Energie, Wasser, Verkehr, digitale Infrastruktur). Kommunalverwaltungen wurden vom explizit ausgenommen — mit Ausnahme von Kommunen, die -relevante Dienste betreiben oder als Auftragsverarbeiter für Bundes- oder Landesbehörden tätig sind. Für Hochschulen, Rundfunkanstalten und andere öffentliche Einrichtungen gelten je nach Trägerschaft und Tätigkeitsfeld eigene Regelungen. Für alle öffentlichen Einrichtungen bleiben und verbindliche Standards — unabhängig von .
BSI IT-Grundschutz
Der BSI IT-Grundschutz ist ein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickeltes Rahmenwerk mit standardisierten Sicherheitsanforderungen für IT-Systeme — für KRITIS-Betreiber, NIS2-betroffene Organisationen und Behörden ist er die zentrale Referenz für nachweisbare IT-Sicherheitsmaßnahmen.
BSI IT-Grundschutz
Der BSI IT-Grundschutz ist ein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickeltes Rahmenwerk mit standardisierten Sicherheitsanforderungen für IT-Systeme — für KRITIS-Betreiber, NIS2-betroffene Organisationen und Behörden ist er die zentrale Referenz für nachweisbare IT-Sicherheitsmaßnahmen.
NIS2
Die NIS2-Richtlinie (EU 2022/2555) ist eine EU-Regulierung, die wesentliche und wichtige Einrichtungen zu konkreten Cybersicherheitsmaßnahmen verpflichtet — darunter nachweisbares Backup-Management, Krisenmanagement und Meldepflichten — mit persönlicher Haftung der Geschäftsleitung bei Versäumnissen.
KRITIS
KRITIS bezeichnet Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde — KRITIS-Betreiber unterliegen nach §8a BSI-Gesetz verschärften Anforderungen an IT-Sicherheit und müssen diese alle zwei Jahre gegenüber dem BSI nachweisen.
KRITIS
KRITIS bezeichnet Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde — KRITIS-Betreiber unterliegen nach §8a BSI-Gesetz verschärften Anforderungen an IT-Sicherheit und müssen diese alle zwei Jahre gegenüber dem BSI nachweisen.
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
NIS2
Die NIS2-Richtlinie (EU 2022/2555) ist eine EU-Regulierung, die wesentliche und wichtige Einrichtungen zu konkreten Cybersicherheitsmaßnahmen verpflichtet — darunter nachweisbares Backup-Management, Krisenmanagement und Meldepflichten — mit persönlicher Haftung der Geschäftsleitung bei Versäumnissen.
NIS2
Die NIS2-Richtlinie (EU 2022/2555) ist eine EU-Regulierung, die wesentliche und wichtige Einrichtungen zu konkreten Cybersicherheitsmaßnahmen verpflichtet — darunter nachweisbares Backup-Management, Krisenmanagement und Meldepflichten — mit persönlicher Haftung der Geschäftsleitung bei Versäumnissen.
Ein BSI-konformer Backup-Nachweis erfordert, dass der Schutz des Backup-Speichers nicht durch Softwarekonfiguration umgehbar ist. Das Silent Brick System erfüllt diese Anforderung durch physische Netzwerktrennung auf Hardwareebene — eine Eigenschaft des Geräts, keine Policy. FAST LTA stellt Konformitätsdokumentation bereit, die direkt in Nachweisprozesse gegenüber BSI, Rechnungshöfen oder Aufsichtsbehörden eingebunden werden kann.
Ja. Die EVB-IT Kauf- und Dienstleistungsverträge regeln die öffentliche Beschaffung von IT-Produkten und IT-Dienstleistungen. FAST LTA ist als Anbieter für öffentliche Auftraggeber erfahren und unterstützt die Beschaffung von Silent Cubes und Silent Brick System im Rahmen der einschlägigen Vergabeverfahren — einschließlich Rahmenverträgen und Direktvergabe. Sprechen Sie unser Vertriebsteam an.
Silent Cubes unterstützen konfigurierbare Retentionsfristen — von fünf- oder zehnjährigen Standardfristen bis zu individuellen Fristen nach Archivgesetz oder fachspezifischen Vorschriften. Die -Sperre gilt für die gesamte konfigurierte Frist; nach Ablauf wird die kontrollierte Löschung freigegeben und protokolliert. Die Speichermedien sind für eine Betriebsdauer von mindestens dreißig Jahren ausgelegt.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
Nein. Silent AI wird ausschließlich on-premises als Appliance im eigenen Rechenzentrum betrieben. Es gibt keine Cloud-Verbindung und keine Übermittlung von Anfragen, Dokumenten oder Ergebnissen an externe Dienste. Bürgerdaten, Forschungsdaten, behördeninterne Informationen und personenbezogene Daten verbleiben vollständig unter Ihrer Kontrolle. Die Lösung ist -konform und entspricht den Datenschutzanforderungen öffentlicher Einrichtungen.
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
Wünschen Sie ein Beratungsgespräch?
Über 2.500 Unternehmen und öffentliche Einrichtungen in Deutschland vertrauen auf FAST LTA — darunter das Bundesarchiv sowie zahlreiche Behörden, Hochschulen und öffentliche Versorgungsunternehmen. Entwickelt und produziert in München. Persönliche Beratung durch FAST LTA Ingenieure — kein Vertriebsanruf, sondern ein technisches Gespräch mit Erfahrung aus dem öffentlichen Sektor.
Account Executive Öffentliche Auftraggeber