Felix Kuhelnkamp, Leiter Sicherheit, Bitkom e.V.

Herr Kuhlenkamp, Deutschland ist ständigen hybriden Angriffen von außen ausgesetzt. Erkennen Sie als Leiter des Sicherheitsbereich Ihres Verbandes eine Veränderung der Lage? Ja, es gibt eine neue Lage – und zwar auf zwei Ebenen. Zunächst sind die Angreifer erheblich professioneller geworden als noch vor wenigen Jahren. In der Vergangenheit stellte sich die Situation noch so dar, dass wir mehr Einzeltäter hatten. Heutzutage hat sich das ganz klar verlagert. Die Täter sind erheblich professioneller geworden. Man findet im Darknet Firmen, die Crime-as-a-Service verkaufen, man kann im Internet Schadsoftware erwerben oder auch jemanden beauftragen, einen Cyberangriff durchzuführen.

Und die zweite Ebene? Gleichzeitig sehen wir, dass staatliche Akteure eine deutlich größere Rolle spielen. Das trifft vor allem auf China und Russland zu. Hier findet entweder eine direkte Kooperation statt oder es gibt zumindest eine wohlwollende staatliche Duldung von kriminellen Aktivitäten. Das bedeutet, dass die Regierungen entweder ein unausgesprochenes Abkommen mit den Kriminellen haben, dass diese sie nicht angreifen, sondern sich auf andere Länder konzentrieren. Oder dass sie direkt die Fähigkeiten solcher Unternehmen für ihre geheimdienstlichen Aktionen nutzen.

Gewöhnlich ist aber bei solchen Angriffen von einem „mutmaßlichen“ staatlichen Angriff die Rede. Warum? Das liegt daran, dass die Akteure natürlich versuchen, bestmöglich zu verschleiern, wer hinter solchen Angriffen steht. Aber es gibt immer wieder Indizien, an denen man erkennen kann, wer dahintersteckt und wo der Angriff herkommt. Und das sind dann in den meisten Fällen Russland und China. Aber auch der Iran und Nordkorea spielen eine Rolle. In Nordkorea stellt Cybercrime einen wichtigen Faktor zur Finanzierung des Staatshaushaltes dar. Russland will dagegen in erster Linie Unsicherheit in Deutschland und der EU verbreiten. Chinesische Angriffe sind oft lautloser, denn das Ziel ist nicht mediale Aufmerksamkeit, sondern Ergebnisse und Geheimhaltung.

Der Staat hat durch die Auflockerung der Schuldenbremse theoretisch genug Mittel, aber er muss sie zukunftsgerichtet investieren.

Und wie sieht es mit physischen Angriffen aus? Auch hier gibt es einen Anstieg. Wir haben in den vergangenen Jahren vor allem auf Cyberattacken geschaut, aber das hat sich in jüngster Zeit verändert. Ich erinnere nur an den Anschlag auf das Berliner Stromnetz.

Wir leben also in einer Zeit der Doppelbedrohung. Vergrößert das die Gefahr noch einmal? Die Angriffsvektoren werden durch diese doppelte Bedrohung komplexer. Unternehmen müssen daher beide Seiten zusammen denken. Denn wenn ein Angreifer beispielsweise in die digitale Sicherheitsstruktur eindringt, kann er damit möglicherweise ja auch die physische Sicherheit ausschalten oder schwächen. Und gleichzeitig gilt umgekehrt, dass auch physische Sicherheit die digitale Sicherheit garantiert. Das bedeutet, dass Unternehmen auch wieder verstärkt in klassische Vorrichtungen wie Zugangskontrollen oder Alarmanlagen investieren müssen.

Hat sich das Bewusstsein für diese doppelte Bedrohungslage schon überall durchgesetzt? Das kommt darauf, mit wem man redet. Wenn man mit Vertretern der kritischen Infrastrukturen, zum Beispiel aus dem Energie- oder Finanzsektor, spricht, kann man feststellen, dass es ein hohes Sicherheitsniveau gibt. Wenn man dagegen mit mittelständischen Unternehmen spricht, sieht die Lage anders aus. Hier wird häufig noch daraufgesetzt, dass man ja viel zu klein und unbedeutend sei für einen Angriff. Das ist leider ein fataler Trugschluss. Und bei den Bürgerinnen und Bürgern sieht das im Übrigen leider auch ähnlich aus.

Und auf staatlicher Ebene? Auch hier hat sich in den vergangenen fünf Jahren wirklich viel getan. Die EU hat verschiedene Maßnahmen beschlossen, die in Deutschland jetzt umgesetzt werden oder auch schon umgesetzt worden sind. Auf der digitalen Seite ist vor allem NIS-2 zu nennen, von dem in Deutschland knapp 30.000 Unternehmen betroffen sind. Sie müssen seit vergangen Dezember deutlich höhere Cyber-Sicherheitsanforderungen erfüllen. Auf der physischen Seite gibt es seit März das KRITIS-Dachgesetz, das verschiedene Maßnahmen vorschreibt.

Was uns in Deutschland fehlt, ist ein gemeinsames Lagebild.

Was wäre noch nötig? Was uns in Deutschland fehlt, ist ein gemeinsames Lagebild. Zwar wurde mittlerweile der Nationale Sicherheitsrat etabliert, aber der ist immer noch nicht der Ort, an dem alle Informationen gesammelt werden, sodass man bei einem großflächigen Cyberangriff in Hamburg auch in München alle wichtigen Informationen hat.

Sie haben von der Zurückhaltung der kleinen und mittelständischen Unternehmen gesprochen. Stellt für sie nicht der Aufbau von Schutzstrukturen auch eine große Herausforderung dar? Ja, tatsächlich müssen die Unternehmen Geld in die Hand nehmen und dabei sind sie sehr zurückhaltend. Leider ist hierzulande auch die Förderlandschaft zu dünn. Wenn man bedenkt, dass laut einer Bitkom-Studie 2025 durch diese Art Kriminalität ein Schaden von 289 Milliarden Euro entstanden ist, ist das eigentlich sehr überraschend.

Also ist Geld das Zauberwort? Die Bereitstellung von Geld ist unabdingbar, aber es kommt ja auch darauf an, wofür es ausgegeben wird. Der Staat hat durch die Auflockerung der Schuldenbremse theoretisch genug Mittel, aber er muss sie zukunftsgerichtet investieren. Das gilt für die klassische Verteidigungsfähigkeit ebenso wie für die Entwicklung und den Einsatz von KI und anderen zukunftsgewandten Technologien wie der Quantentechnologie, die in den nächsten Jahren ein großes Thema wird. Wenn das nicht geschieht, haben wir in fünf Jahren viel Geld ausgegeben, aber sind nur einen kleinen Schritt weitergekommen, obwohl sich die Welt inzwischen schon ein paar Mal gedreht hat.

Factbox:

Der durch Diebstahl, Sabotage und Industriespionage entstandene Gesamtschaden in Deutschland ist 2025 auf einen neuen Höchststand von 289,2 Milliarden Euro gestiegen (plus acht Prozent im Vergleich zum Vorjahr). Das ergab die Studie „Wirtschaftsschutz 2025“ des Digital-Branchenverbandes Bitkom. 70 Prozent des Schadens wurden direkt durch Cyberattacken verursacht.