43.000 Mitarbeitende. Leere Kassen. Und 30 Prozent der Belegschaft gehen in den nächsten fünf Jahren in Rente. In dieser Folge von Follow the White Rabbit spricht Dr. Nina Böhm, Digitalisierungsstrategin bei der Landeshauptstadt München, über eine unbequeme Wahrheit: Im Jahr 2025 muss man in der öffentlichen Verwaltung immer noch erklären, warum Digitalisierung überhaupt stattfinden sollte. Nicht das Budget ist das größte Problem. Nicht die Technik. Sondern der Moment, in dem ein IT-Referat sagt: „Wir müssen digitalisieren”, und alle anderen sagen: „Nö.”

Nina Böhm kommt aus der freien Wirtschaft und bringt genau den Blick von außen mit, den viele Behörden nicht mehr haben. Sie erklärt, warum die Digitalisierung kein IT-Projekt ist, sondern eine Transformation von 43.000 Menschen. Sie zeigt auf, wie Gesetze wie das Schriftformerfordernis Bürgerinnen und Bürger dazu zwingen, dieselben Daten immer wieder neu einzugeben. Und warum eine Personalausweisverlängerung längst vollautomatisiert ablaufen könnte – rund um die Uhr, sieben Tage die Woche –, während die freigewordene Zeit in echte Beratung fließt, die KI noch nicht leisten kann. Auch die Themen Datenschutz, Bias und der Berliner Senatshack kommen zur Sprache, denn wer die Daten aller Münchnerinnen und Münchner verwaltet, trägt eine andere Verantwortung als ein Start-up.

Am Ende bleibt die schlichte, aber ernste Frage: Wann ist es endlich Zeit, die Nutzerinnen und Nutzer in den Mittelpunkt zu stellen – nicht den Prozess, nicht die Hierarchie, nicht das Gesetz von 1980? Nina wünscht sich keine Digitaloffensive von oben. Sie wünscht sich, dass einmal jemand von vorne anfängt und fragt, wie ein Bürgerbüro heute aussehen würde, wenn es neu gebaut würde.

1. Die Digitalisierung ist kein IT-Projekt, sondern ein Gemeinschaftsprojekt. Wer sie ins IT-Referat abschiebt, hat bereits verloren. Eine Transformation kann nur gelingen, wenn alle 43.000 Mitarbeitenden beteiligt sind – nicht als Empfänger einer Lösung, sondern als Teil des Prozesses.
2. Fachkräftemangel und Haushaltskrise machen Automatisierung zur einzigen echten Option. 30 Prozent der Belegschaft gehen bald in Rente. Die Stellen werden nicht nachbesetzt. Wer jetzt nicht automatisiert, wird in fünf Jahren gar nichts mehr regeln können.
3. Datenschutz ist kein Feind der Digitalisierung – er ist ein Schutzschild. Die DSGVO und der AI Act als Ausrede zu nutzen, ist falsch. Wer kreativ und kooperativ mit dem Datenschutz arbeitet, findet Lösungen. Wer das Fingerpointing betreibt, bleibt stehen.
4. Ein Gesetz namens Schriftformerfordernis bremst die digitale Kommunikation zwischen Stadt und Bürger. Und kaum jemand kennt es. Bevor man digitalisiert, muss man wissen, welche Regeln das verhindern. KI könnte dabei helfen, genau das sichtbar zu machen.
5. „Fast-Follower” statt „Early Adopter” ist eine legitime Strategie für die öffentliche Hand. Wenn ein Fehler jedoch bedeutet, dass die Daten aller Münchnerinnen und Münchner im Darknet landen, ist Vorsicht keine Schwäche. Andere machen die Fehler, aus denen man lernt.

Jetzt abonnieren – und keine Folge mehr verpassen

Diese Folge ist für alle, die sich fragen, warum der Staat so langsam ist, sowie für alle, die daran arbeiten, dies zu ändern. Abonniere „Follow the White Rabbit”, hinterlasse eine Bewertung und schicke die Folge an Kolleginnen und Kollegen, die in Verwaltungen, Kommunen oder der öffentlichen Hand tätig sind. Oder an alle, die einfach verstehen wollen, warum die Beantragung eines Personalausweises immer noch sechs Wochen dauert.

Dr. Nina Böhm – Digitalisierungsstrategin, Landeshauptstadt München | Dr. Nina Böhm | LinkedIn

Onlinezugangsgesetz (OZG) – Stand der Umsetzung

EU AI Act – Volltext und Risikokategorien

Bitkom zur föderalen Modernisierungsagenda | Presseinformation | Bitkom e. V.

Beide Leitungen sind dicht. Die Handscanner an den Standorten sind ausgefallen. Die Paketabwicklung ist eingestellt. Die Auslieferfahrer sind hilflos. Innerhalb von Minuten stand ein internationaler Logistikkonzern still – nicht durch einen hochkomplexen Hack, sondern durch einen DDoS-Angriff auf die Netzwerkleitungen. In dieser Folge von „Follow the White Rabbit” spricht Lisa Fröhlich mit Christof Weppler, Senior IT-Architekt bei GLS, über den Moment, in dem er zum ersten Mal live miterlebt hat, was passiert, wenn die Leitung zum Rechenzentrum einfach voll ist. Und was er seitdem verändert hat.

Christof erklärt, warum eine Appliance im eigenen Netzwerk gegen DDoS-Angriffe so gut wie nichts bringt, denn wenn der Weg ins Rechenzentrum zugefahren ist, nutzt die beste Hardware dahinter nichts mehr. Er beschreibt, wie er damals mit BGP-Anpassungen versuchte, das Schlimmste zu verhindern, warum das langfristig keine Lösung war und wie er schließlich einen providerunabhängigen DDoS-Schutz eingeführt hat. Dazu gibt es einen ehrlichen Einblick in die interne Debatte bei GLS: Wer ist für den DDoS-Schutz zuständig – die Netzwerkeinheit oder die Security? Und warum ein Netzwerker unmöglich entscheiden kann, ob ein Request auf ein Webportal legitim ist oder nicht.

Was diese Folge besonders macht: Christof spricht nicht aus der Theorie, sondern aus 22 Jahren Praxis in einem Unternehmen, das täglich Millionen von Paketen bewegt. Er erklärt, welche Aspekte IT-Architekten bedenken müssen, bevor sie einen Schutzanbieter kontaktieren, und warum die Frage, welche Prozesse an einer einzigen Netzwerkleitung hängen, viel zu selten gestellt wird – bis es zu spät ist.

1. Eine Appliance im Rechenzentrum schützt nicht vor DDoS-Angriffen. Ist der Weg ins Rechenzentrum zugefahren, hilft auch die beste dahinterstehende Hardware nichts. Der Schutz muss daher bereits vor dem eigenen Netzwerk ansetzen, beispielsweise beim Provider oder einem spezialisierten Anbieter.
2. BGP-Manipulation ist ein Notfallwerkzeug, aber kein Schutzkonzept. Traffic umzuleiten, kann kurzfristig helfen. Langfristig ist ein providerunabhängiger DDoS-Schutz erforderlich, der nicht von einem einzigen Internetanbieter abhängig ist.
3. Netzwerker können nicht über Layer 7 entscheiden. Ob eine Anfrage an ein Webportal legitim ist, kann nur der Applikationsverantwortliche beurteilen. Ein DDoS-Schutz auf Anwendungsebene muss zwischen den Bereichen Security, Netzwerk und Portale koordiniert werden.
4. Erst verstehen, was hängt dran – dann schützen. Bevor man einen Anbieter kontaktiert, sollte man sich folgende Fragen stellen: Welche Prozesse, Services und Kunden hängen an welcher Leitung? Wer diese Frage nicht beantworten kann, bemerkt den Schaden erst, wenn er bereits entstanden ist.
5. Kommunikation auf Augenhöhe ist ein entscheidender Faktor. Beim Anbietervergleich hat nicht nur die Technik entschieden, sondern auch, ob man als Kunde wirklich erreichbar ist. Nicht jedes Unternehmen möchte bei einem Großanbieter nur eine kleine Nummer sein.

Jetzt abonnieren – und keine Folge mehr verpassen

Wenn dich diese Folge dazu gebracht hat, nachzufragen, welche Services an euren Netzwerkleitungen hängen, ist das gut. Dann abonniere Follow the White Rabbit, hinterlasse eine Bewertung und schicke die Folge an alle, die für die Netzwerkinfrastruktur verantwortlich sind – oder glauben, das tue jemand anderes.

Christof Weppler – Senior IT-Architekt, GLS | LinkedIn

BSI - Bundesamt für Sicherheit in der Informationstechnik - Liste qualifizierter DDoS-Mitigation-Dienstleister; Stand: 15.05.2026

Link11 DDoS-Schutz – Technologie & Funktionsweise

BGP – Border Gateway Protocol einfach erklärt

ENISA Threat Landscape 2026 | ENISA

„Mehr Tools bedeuten mehr Sicherheit“ – so lautet das Mantra vieler Unternehmen. Franziska Manko, VP Transformation & Governance und CSO bei OneQrew, sieht das jedoch anders. In dieser Folge von „Follow the White Rabbit” spricht sie mit Lisa Fröhlich darüber, warum zu viele Tools eine Selbstbeschäftigungsmaschine erzeugen, warum Einfachheit eine unterschätzte Sicherheitsstrategie ist und warum der gefährlichste Moment in einem Transformationsprozess nicht der Angriff von außen, sondern die Verteidigungshaltung von innen ist.

Franzi kennt beide Welten: die technische und die menschliche. Ihr Argument ist bestechend einfach. „Jedes Tool, das ich einführe, erzeugt Abhängigkeiten, Dashboards, Lieferanten und Aufmerksamkeit – alles Ressourcen, die dann woanders fehlen.“ Anstatt am Ende eines Prozesses immer mehr Sicherheitskontrollen aufzubauen, plädiert sie dafür, bereits beim Engineering einer Lösung zu fragen: „Kann ich das so bauen, dass ich weniger schützen muss?” Sicherheit als Wertsteigerung – für Investoren, für Kunden und für das Unternehmen selbst. Und das kommuniziert man nicht mit Paragraphen, sondern in der Sprache des Gegenübers.

Der stärkste Teil dieser Folge ist der menschlichste. Franzi spricht über psychologische Sicherheit, über Fuck-Up-Freitage und den Mut, sich selbst als verwundbar zu zeigen, bevor ein Vorfall dies erzwingt. Wer wartet, bis ein Datenleck aufgetreten ist, um Vertrauen aufzubauen, hat zu lange gewartet. Resilienz entsteht nicht im Ernstfall. Sie entsteht im Alltag, in den kleinen Gesprächen und darin, wie Fehler im Unternehmen behandelt werden, wenn niemand zuschaut.

1. Mehr Tools bedeuten mehr Risiken, nicht weniger. Jedes zusätzliche Tool bringt Abhängigkeiten, Lieferanten und Aufmerksamkeit mit sich. Wer alles messen will, verliert den Blick fürs Wesentliche. Die bessere Strategie ist: weniger, dafür richtig.
2. Sicherheit lässt sich als Wertsteigerung verkaufen. Für Investoren bedeutet das Cashflow-Sicherung, Skalierbarkeit und ESG-Reporting. Für Kunden bedeutet es: Vertrauen, Bindung und geringere Abwanderungsrate. Wer die Sprache seines Gegenübers spricht, gewinnt.
3. Ein Security Review am Ende ist zu spät. Wer den CISO erst am Ende des Entscheidungsprozesses einbindet, hat Sicherheit als Kostenfaktor positioniert. Wer ihn früh einbindet, schafft Optionen und spart am Ende Kontrollen.
4. Psychologische Sicherheit ist kein Soft Skill, sondern eine Sicherheitsstrategie. Wer Fehler nicht ansprechen kann, meldet den Vorfall nicht. Wer den Vorfall nicht meldet, verliert wertvolle Zeit. Eine offene Fehlerkultur ist kein Nice-to-have.
5. Vertrauen muss aufgebaut werden, bevor es brennt. Im Ernstfall bleibt keine Zeit mehr für die Beziehungspflege. Wer vorher nicht investiert hat, steht im Ernstfall allein da. Resilienz ist das Ergebnis kontinuierlicher Arbeit und nicht das Ergebnis einer Krisenreaktion.

Jetzt abonnieren – und den nächsten Schritt nicht verpassen

Diese Folge ist für alle, die Security nicht nur als Technikthema, sondern als Führungsaufgabe verstehen. Abonniere „Follow the White Rabbit”, hinterlasse eine Bewertung und schicke die Folge an CISOs, CSOs und alle, die sich gerade in einem Transformationsprozess befinden.

Franziska Manco – VP Transformation & Governance / CSO, OneQrew | LinkedIn |

BSI - IT-Grundschutz

Agile Manifesto: Simplicity Principle

Amy Edmondson: The fearless organization: https://youtu.be/b395WrEQbeU?si=BtnriEvPgStgWgwm