Die öffentliche Verwaltung ist im ENISA Threat Landscape 2026 erneut der am häufigsten betroffene Sektor der EU: 31,8 Prozent aller Vorfälle, die ENISA für das Jahr 2025 erfasst hat, betrafen Behörden und Verwaltungen. Die Zahl stimmt. Was sie für eine einzelne Behörde bedeutet, steht allerdings erst in den Kapiteln dahinter, und dort sieht das Bild anders aus als in der Schlagzeile.
ENISA wertet für den Bericht vom 22. September 2026 8.257 Vorfälle aus, erfasst vom 1. Januar bis 31. Dezember 2025. Sie stammen überwiegend aus offenen Quellen, ergänzt um anonymisierte Angaben von Mitgliedstaaten und Partnern der Agentur. Die 31,8 Prozent sind der Anteil der Verwaltung an diesen 8.257 Vorfällen. Die Pressemeldung rundet auf „32% of cases“.
Innerhalb der Verwaltung verteilen sich die Vorfälle fast gleich auf die zentrale Ebene mit 35,1 Prozent und die kommunale mit 33,8 Prozent. Die regionale Ebene kommt auf 10,1 Prozent.
Die Zahl ist also ein Anteil an einem Datensatz. Sie sagt nicht, wie viele Behörden angegriffen wurden, und auch nicht, wie wahrscheinlich ein Angriff auf die eigene ist. ENISA schreibt selbst, dass offene Quellen kein vollständiges Bild liefern: DDoS-Angriffe werden oft direkt von ihren Urhebern öffentlich behauptet, Spionagekampagnen oft erst sechs Monate bis über vier Jahre später dokumentiert.
81,8 Prozent der Vorfälle gegen die Verwaltung waren ideologisch motivierte DDoS-Angriffe. Getroffen wurden öffentliche Websites und Portale. Die Anlässe nennt ENISA ebenfalls: Wahlen, Polizeiaktionen und Festnahmen, Großereignisse, der russische Angriffskrieg gegen die Ukraine und die Konflikte im Nahen Osten. Die Wirkung blieb nach ENISA weitgehend auf behauptete oder vorübergehende Störungen dieser Websites begrenzt.
Das passt zum Kapitel über Hacktivismus. ENISA zählt 4.709 Behauptungen gegen EU-Mitgliedstaaten, davon mehr als 89 Prozent DDoS. Die Verwaltung stellt 45,8 Prozent dieser Aktivität, Deutschland gehört zu den am häufigsten genannten Mitgliedstaaten.
Für eine Behörde heißt „häufigstes Ziel“ damit zuerst: Das öffentliche Portal wird zeitweise überlastet, und die Anlässe sind politisch und damit oft absehbar. Das ist eine Frage der Verfügbarkeit. Sie lässt sich vorbereiten, mit einer klaren Zuständigkeit für den DDoS-Schutz und einer Aussage, wie Bürger erreicht werden, wenn das Portal steht.
Finanziell motiviert waren 8 Prozent der Vorfälle gegen die Verwaltung. Darunter entfielen 36 Prozent auf Ransomware-Behauptungen, vor allem gegen Kommunen, und 38,4 Prozent auf Datenabflüsse. Trotz des kleinen Anteils führten nach ENISA mehrere dieser Ransomware-Vorfälle zu Betriebsstörungen. Ein Angriff auf einen IT-Dienstleister in Schweden traf rund 200 Kommunen und Regionalbehörden und störte Systeme im Personalwesen. Über einen externen Dienstleister für Terminbuchungen flossen bei mehreren Kommunen nach Berichten Daten von rund 100.000 Personen ab.
Ein zweiter Strang betrifft staatsnahe Gruppen. Eine davon nutzte laut ENISA Schwachstellen in Systemen am Übergang zwischen öffentlichem und internem Netz, darunter in einer Plattform für das Management mobiler Geräte. Zu ihren Zielen gehörte neben Telekommunikation und Industrie auch die Kommunalverwaltung, erbeutet wurden unter anderem Zugangsdaten mobiler Geräte und Office-365-Tokens. ENISA begründet, warum solche Plattformen attraktiv sind: Sie „compress many sensitive trust relationships into a small number of exposed systems“, bündeln also viele Vertrauensbeziehungen in wenigen erreichbaren Systemen.
Unsere Einordnung: Der Platz an der Spitze kommt aus der Masse der DDoS-Angriffe. In den Beispielen, die der Bericht für die Verwaltung nennt, laufen die Vorfälle mit Betriebsfolgen über einen Dienstleister oder über ein System am Netzrand. Beides steht nicht in der Schlagzeile.
Der Vergleich mit dem Vorjahr. ENISA hat den Berichtszeitraum auf das Kalenderjahr umgestellt. Er überlappt sich deshalb um sechs Monate mit dem Vorbericht, und die Agentur erfasst inzwischen mehr Arten von Cybercrime. Ein Vergleich der Prozentwerte mit dem Bericht 2025 trägt keine Aussage über Zu- oder Abnahme.
Der Stand der Umsetzung. 73 Prozent aller erfassten Ereignisse betrafen wesentliche und wichtige Einrichtungen im Sinne von NIS2. Das zeigt, dass die Vorfälle überwiegend dort landen, wo NIS2 gilt. Wie weit diese Einrichtungen NIS2 umgesetzt haben, sagt die Zahl nicht. Was das BSI-Gesetz von betroffenen Einrichtungen verlangt, fasst unsere Seite zur NIS2-Richtlinie zusammen.
Die offiziellen NIS2-Meldungen. Die Mitgliedstaaten haben für 2025 unter NIS2 insgesamt 1.954 Ereignisse gemeldet, Stand 14. Juli 2026. Auch dort liegt die Verwaltung vorn. Unter den ersten fünf stehen in diesen Meldungen aber Gesundheit und digitale Infrastruktur, die im offenen Datensatz nicht dort auftauchen. ENISA führt das auf unterschiedliche Geltungsbereiche, Schwellen und Meldebedingungen zurück.
Aus dem Bericht folgen drei Bestandsaufnahmen, die jede Behörde für sich beantworten kann:
Für die dritte Liste hilft der Blick von außen. Im ISEC7-Webcast mit Arctic Wolf vom 10. Juli 2025 hat Arctic Wolf zwei Punkte dazu genannt: Sein MDR-Dienst scannt von außen, was im Internet erreichbar ist, etwa Webserver und Perimeter-Firewalls, und meldet offene Schwachstellen. Und bei der Reihenfolge der Behebung zählt, welche Schwachstellen Angreifer tatsächlich ausnutzen, nicht allein der höchste Schweregrad.
Die Unterlagen zu diesem Webcast stehen zum Download bereit. Am 19. Oktober 2026 geht es im nächsten Webcast mit Arctic Wolf um die Angriffswege, die derzeit funktionieren.
Bei mobilen Geräten gehört die UEM-Landschaft auf diese dritte Liste. Für ihr herstellerübergreifendes Monitoring und Management gibt es ISEC7 SPHERE. Den laufenden Betrieb können Sie über unsere Managed Mobility Services an ISEC7 abgeben.