Spionage i Tyskland: fra 7% til 37% på tre år

En sikkerhedschef i en tysk mellemstor virksomhed budgetterer efter en gammel trussel

Sikkerhedschefen hos en tysk mellemstor producent af værktøjsmaskiner sætter sig i september for at lægge budget for næste år. Han afsætter en lille post til 'statslig risiko', som han har gjort de seneste tre år: en sjælden, fjern risiko, der retfærdiggør en beskeden, forsikringslignende reserve og ikke meget mere. Den 26. august 2026 offentliggjorde Bitkom, den tyske brancheorganisation for digitalindustrien, og BfV, Tysklands indenlandske efterretningstjeneste, en undersøgelse, der får den budgetpost til at se tydeligt forældet ud.

Undersøgelsen, kaldet Wirtschaftsschutz 2026, spurgte tyske virksomheder om datatyveri, industrispionage og sabotage i de foregående tolv måneder. Blandt de virksomheder, der rapporterede mindst ét sådant angreb, kunne 37% spore mindst én hændelse til en udenlandsk efterretningstjeneste. Året før lå tallet på 28%. I 2023 var det 7%. Sikkerhedschefens mentale model, hvor spionage behandles som en marginal risiko, er ikke blevet opdateret med de tal, hans egen brancheorganisation netop har offentliggjort.

Tallene, tre år fra hinanden

Bitkom og BfV fremlagde tallene på en fælles pressekonference i Berlin. Samlet set svarede 96% af de adspurgte virksomheder, at de var blevet ramt af en eller anden form for angreb eller angrebsforsøg det seneste år, fra datatyveri over sabotage til industrispionage. Den samlede skønnede skade for tysk økonomi ligger mellem 211 og 270,8 milliarder euro, hvoraf omkring tre fjerdedele tilskrives cyberangreb specifikt.

Udviklingen bag dette samlede tal er det, der gør dette til et beslutningsproblem og ikke bare en dårlig nyhed. Andelen, der spores til en udenlandsk efterretningstjeneste, blandt ramte virksomheder, har flyttet sig ved hver udgave af studiet:

Det er næsten en femdobling på tre år, og springet alene fra 28% til 37% på ét år er større end hele udgangstallet fra 2023.

Fælden: at budgettere efter en forældet grundrate

Denne skævhed i grundraten er den samme beslutningsfælde, der opstår, hver gang en virksomhed måler en risiko én gang og derefter stopper med at opdatere den. En grundrate er ikke et faktum, man lærer og lægger væk, men et tal, der bevæger sig, og en risikomodel bygget på en tre år gammel grundrate fordeler hver eneste efterfølgende euro forkert. At behandle statslig spionage som en eksotisk, usandsynlig begivenhed var en forsvarlig læsning af dataene i 2023, hvor tallet var 7%. Det er ikke en forsvarlig læsning i 2026, hvor tallet er 37%.

Den sammenligning, det er værd at lave internt, er den samme, man bruger til leverandørrisiko: en virksomhed ville ikke fortsætte med at købe hos en leverandør, hvis fejlrate var femdoblet på tre år, bare fordi den oprindelige kontrakt forudsatte en lav fejlrate. Et sikkerhedsbudget bygget på en forældet grundrate er den samme fejl, blot anvendt på et større tal.

AI's rolle i de stigende tal

Bitkom og BfV pegede på kunstig intelligens som en af de faktorer, der driver både omfanget og sofistikeringen af de angreb, studiet registrerede. AI-værktøjer sænker omkostningen ved at research et mål, formulere en overbevisende phishinghenvendelse på flydende tysk, eller automatisere rekognosceringsarbejde, som tidligere tog en menneskelig analytiker dage. Intet af dette ændrer, hvad en virksomhed konkret bør gøre anderledes, men det forklarer en del af, hvorfor kurven fra 7% til 37% er bøjet så hurtigt opad.

For en sikkerhedschef, der lægger budget for næste år, er den praktiske konklusion, at de værktøjer, en angriber har til rådighed, forbedres hurtigere, end de fleste interne risikomodeller bliver revideret. En budgetpost skrevet i 2023 forudsatte en angriber fra 2023.

Hvad der bør ændres før næste budgetcyklus

Tallene fra Bitkom og BfV er specifikke for Tyskland og bør læses sådan: de siger intet direkte om attributionsrater i Frankrig, Holland eller Storbritannien. Men det beslutningsproblem, de illustrerer, er ikke tysk-specifikt. Enhver virksomhedsejer i EU eller Storbritannien, der sidst dimensionerede sin statslige risiko efter en antagelse fra før 2023, arbejder med en grundrate, som de tyske data selv antyder er forældet.

Den konkrete løsning er ikke et større budget på tillid, men en planlagt genkalibrering. Hent en gang om året de aktuelle trusselstal for jeres egen branche og land, sammenlign dem med den antagelse, der lå til grund for sidste budgetcyklus, og justér fordelingen mellem generel cyberhygiejne og målrettede modspionage-tiltag derefter. En virksomhed, der ikke har gentaget den sammenligning siden 2023, planlægger per definition mod et trusselsniveau, som Tysklands egen efterretningstjeneste siger ikke længere gælder.

Servola Journal

Vi gør dette for alle, der prøver at følge med i, hvad teknologi gør ved vores liv. De mennesker, der bygger det, og de mennesker, det sker for. Servola Journal findes, så det vi lærer, tilhører dem alle.

Ingen betaler os for dette. Ingen reklamer, ingen betalingsmur, gratis for alle. Vi tror simpelthen, at det at forstå, hvad der sker for os alle, ikke bør afhænge af, hvem der har råd til at betale for det.

Hvis det gav dig noget i dag, så sig til os, at vi skal blive ved. Følg os, giv et like, eller skriv en positiv kommentar. Vi læser hver eneste en, og de er det, der holder os i gang.

Læs videre: Anti-Drone-Pengene Kom Før Angrebet I Leipzig  |  Dine Serverventilatorer Er Solgt For 5,4 Milliarder Dollar