Fallstudie: 27 Kommunen härten ihr Active Directory in 12 Wochen

Eine Kohorte (10-15 Organisationen, die timeboxed gemeinsam ein geteiltes Problem lösen) haben wir mit dem KRZN und Computacenter für Kommunen am Niederrhein moderiert.

Ausgangslage: 62 Maßnahmenziele für einen Admin

Wer in einer Kommune die IT-Sicherheit allein trägt, kann niemanden fragen, ob die Gruppenrichtlinie so passt oder ob 20 GB für Logs genügen.

Viele Kommunen am Niederrhein sind klein. Nach der landesweiten Sicherheitsüberprüfung bekamen sie Berichte mit 130 bis 150 Seiten und 62 Maßnahmenzielen, und Empfänger war oft ein einziger Admin. So ein Bericht zeigt, wo die Lücken sind. Womit man anfängt, zeigt er nicht.

Thomas Kindermann, Projektsponsor beim Kommunalen Rechenzentrum Niederrhein (KRZN), hat auf der Smart Country Convention die Landkarte von Deutschland gezeigt, mit dem Verbandsgebiet des KRZN ganz am westlichen Zipfel. Da wurde allen Anwesenden noch einmal so richtig klar, wie groß die Aufgabe ist, Security nachhaltig in die Fläche zu bringen.

Warum Active Directory zuerst

Jede Kommune hat eine Domäne, niemand muss erst etwas kaufen, und die Härtungsaufgaben ähneln sich von Kommune zu Kommune. Active Directory ist das Herz jeder Verwaltungs-IT, und genau dort wollen Angreifer hin. Wir haben das Herz angefasst.

Fünf Umsetzungsthemen hatte der Fahrplan: Auditing & Logging, gefährliche Protokolle, AD-Hygiene, SMB & LDAP Security, Kerberos-Härtung. Schwere technische Themen, bei denen richtig was schiefgehen kann, wenn mensch sie nicht ordentlich umsetzt.

Aufbau: zwölf Mittwoche, zwei Gruppen

Wir haben gemeinsam mit unseren Mitstreitern von Computacenter die Mitglieder des KRZN zweimal besucht, um das Kohortenkonzept zu erklären. Das war notwendig, bei solch einer neuen, ungewohnten Idee, die noch nie jemand im Public Sector versucht hat. Und plötzlich wollten nicht nur 10 oder 15 mitmachen, sondern 27 Kommunen gleichzeitig. Ein Gänsehautmoment.

Damit die Gespräche intensiv und konkret bleiben, haben wir in zwei Gruppen gearbeitet, vormittags und nachmittags. Ab etwa 15 Teilnehmenden kippt in unseren Kohorten die Gruppendynamik: Nicht mehr alle kommen zu Wort, und die Fragen, um die es eigentlich geht, bleiben aus.

Mit 27 Kommunen am Tisch lohnt es sich, Anleitungen und Skripte einmal gründlich zu bauen und dann 27-mal parallel umzusetzen. Jede Session endete mit Aufgaben an den eigenen Systemen, die nächste begann mit dem Nachschauen.

Was in den Sessions passiert ist

An einem der Mittwoche hat jemand zugegeben, bei den TODOs den Überblick zu verlieren. Und dann haben andere erzählt: Geht uns genauso.

Wirklich kaputt gegangen ist nichts. Wir haben aber auch 8 Wochen lang immer wieder nachgemessen, zusammen Logs durchgeschaut und Audit-Skripte genutzt, um das zu vermeiden. Einmal musste ein Admin einen Konfigurationsschritt zurücknehmen, weil davor ein weiterer Schritt fehlte.

Thomas Kindermann hat die Stimmung am Anfang so beschrieben: „Ich habe es in den Gesichtern gesehen, die waren alle skeptisch. Im Nachhinein wollen sie mehr davon.“ Und einen Grund für den Umschwung gleich mit: „Fremdmoderiert war ein Schlüssel.“

Ergebnis: SMB Signing bei 80 % statt 20 %

Fertig heißt nicht, dass alle 100 % umgesetzt haben. Fertig heißt: Wir haben nachgemessen, und alle, die die nötige Zeit investiert haben, sind nachweisbar weitergekommen.

Ein Beispiel: Am Anfang der Kohorte hatten etwa 20 % der Kommunen SMB-Signing umgesetzt, am Ende ca. 80 %.

Die anonyme Abschlussbefragung im Juli 2026 hatte 22 Rückmeldungen. Alle 22 würden wieder mitmachen^*, 20 empfehlen die Kohorte anderen Kommunen weiter. Am hilfreichsten fanden sie Anleitungen und Skripte, den festen Rhythmus und das Lernen von Fachleuten und voneinander. Im Freitext schrieb jemand: „Haben Input bekommen, auf den wir alleine nicht gekommen wären.“

Und auf die Frage, wie sie sich am Ende fühlen, kam: „weniger allein“. Sowas steht in keinem Auditbericht, und für mich war es das schönste Ergebnis.

Was das für die Fläche heißt

Deutschland hat 10.749 Gemeinden^**. Rechnerisch reichen damit rund 400 Kohorten mit je 27 Kommunen, bis jede Gemeinde in Deutschland einmal dabei war.

So baut Ihr eine Kohorte nach

1. Die Mitglieder besuchen und das Konzept erklären, bevor sich jemand anmeldet.
2. Gruppen unter 15 Teilnehmenden bilden, bei mehr Anmeldungen zwei Gruppen.
3. Einen festen Termin setzen: zwölf Mittwoche, je zwei Stunden.
4. Pro Thema Anleitung und Skript einmal bauen, für alle.
5. Jede Session endet mit einer Aufgabe an den eigenen Systemen.
6. Die nächste Session beginnt mit dem Nachmessen.

Was wir nächstes Mal anders machen

Wir würden nächstes Mal mit etwas weniger Themen starten und dann ggf. Themen dazunehmen, wenn die Kohorte gut vorankommt.

Lieber Thomas: Dir und dem Team beim KRZN ganz, ganz großen Dank und auch Respekt, dass Ihr Euch auf dieses Experiment eingelassen habt!

Wer das für die eigene Kommune oder den eigenen Verbund durchdenken will: Am Montag, 09.11.2026, erzähle ich die Geschichte um 11:20 Uhr auf dem dena-Kongress in Berlin, und Ihr erreicht uns jederzeit unter hello@intcube.io.